Ransomware gehört weiterhin zu den dominierenden Cyberrisiken weltweit. Gleichzeitig deuten mehrere Entwicklungen darauf hin, dass die Profitabilität entsprechender Kampagnen zurückgeht. Laut Bericht der Google Threat Intelligence Group sind sowohl die Zahlungsbereitschaft von Opfern als auch die durchschnittlichen Lösegeldforderungen gesunken.

Als Gründe nennt die Analyse verbesserte Sicherheitsmassnahmen in Unternehmen, eine höhere Fähigkeit zur Wiederherstellung von Systemen sowie verstärkte Aktivitäten von Strafverfolgungsbehörden. Zudem hätten interne Konflikte innerhalb der Szene etablierte Gruppen geschwächt oder ganz verschwinden lassen.

Eine zentrale Rolle im aktuellen Ransomware-Ökosystem spielen Data Leak Sites (DLS), so die Analyse. Diese Plattformen dienen Angreifern dazu, gestohlene Daten zu veröffentlichen oder deren Veröffentlichung anzudrohen, um zusätzlichen Druck auf Opfer auszuüben. 2025 erreichte die Zahl der Einträge auf solchen Leak-Seiten einen neuen Höchststand und lag rund 50% über dem Vorjahr, wie die Analystinnen und Analysten schreiben.

Gleichzeitig warnen sie davor, diese Zahlen als direkten Indikator für die tatsächliche Anzahl erfolgreicher Ransomware-Angriffe zu interpretieren. Zum einen würden dort in der Regel nur Opfer gelistet, die sich weigern zu zahlen. Zum anderen vermischen sich klassische Ransomware-Fälle zunehmend mit reinen Daten-Erpressungen ohne Verschlüsselung.

Zu den auffälligsten Akteuren auf DLS gehörten 2025 unter anderem Qilin und Akira. Beide Gruppen konnten nach dem Niedergang anderer grosser Ransomware-as-a-Service-Angebote Marktanteile gewinnen. Zu weiteren bekannten Namen zählen Clop und Lockbit. Diese blieben relevant, auch wenn sich ihre Aktivitäten teilweise verschoben hätten.

Hinzu komme, dass einige Gruppen ihre Erfolge überzeichnen oder alte Fälle erneut veröffentlichen würden, um ihre Wahrnehmung im Untergrund zu stärken. Dadurch können DLS-Statistiken verzerrt werden.

Parallel dazu verändert sich die Vorgehensweise der Angreifer. In rund 77% der untersuchten Fälle wurden 2025 neben der Verschlüsselung auch Daten exfiltriert – ein deutlicher Anstieg gegenüber dem Vorjahr (57%). Diese Entwicklung deute darauf hin, dass sich Cyberkriminelle stärker auf Double-Extortion-Modelle stützen. Dabei dient der Diebstahl sensibler Daten als zusätzlicher Druckfaktor, falls Opfer nicht zahlen.

In etwa einem Drittel der untersuchten Angriffe sei der Erstzugang über ausgenutzte Sicherheitslücken erfolgt. Besonders häufig betroffen waren VPN- und Firewall-Systeme. Auch gestohlene Zugangsdaten und Brute-Force-Angriffe bleiben laut Report relevante Einfallstore. Zudem gebe es Hinweise darauf, dass Angreifer vermehrt Zero-Day-Schwachstellen einsetzen, um in Zielsysteme einzudringen.

Die Analyse zeigt zudem eine Verschiebung bei den Angriffszielen: Während grosse Organisationen ihre Sicherheitsmassnahmen ausgebaut hätten, würden vermehrt kleinere Unternehmen ins Visier geraten. Diese verfügen oft über weniger ausgereifte Schutzmechanismen und gelten daher als leichtere Ziele. Entsprechend steige die Anzahl der Ransomware-Angriffe, während der potenzielle Gewinn pro Angriff sinke, so die Analystinnen und Analysten.

Ein weiterer Trend sei die zunehmende Fokussierung auf virtualisierte Infrastrukturen. In rund 43% der untersuchten Vorfälle zielten Angreifer auf entsprechende Systeme ab – ein deutlicher Anstieg gegenüber 2024, wie die Google Threat Intelligence Group anmerkt. Teilweise würden Angriffe auf solche Umgebungen bereits automatisiert durchgeführt, was auf eine zunehmende Professionalisierung der Täter hinweise.

Ransomware-Gruppen würden zudem verstärkt auf neue Technologien setzen, um ihre Operationen effizienter und widerstandsfähiger zu gestalten. Zu diesen gehören der Einsatz von KI etwa zur Unterstützung bei Verhandlungen, die Nutzung von Web3-Technologien zur Absicherung der Infrastruktur sowie plattformübergreifende Schadsoftware für Windows- und Linux-Systeme.

Trotz zahlreicher Hürden, etwa durch Strafverfolgung oder interne Konflikte, zeigt sich das Ransomware-Ökosystem anpassungsfähig. Neue Gruppen füllen entstandene Lücken rasch, während etablierte Akteure ihre Aktivitäten fortsetzen, wie die Analystinnen und Analysten anmerken.