Das Trend-Micro-Tochterunternehmen TrendAI hat seinen Cyber Risk Report 2026 veröffentlicht, und der zeichnet ein zwiegespaltenes Bild. Unternehmen stellen sich in Cybersicherheitsfragen messbar besser auf, gleichzeitig nimmt die Zahl erfolgreicher Ransomware-Angriffe weltweit deutlich zu. Für Deutschland identifizierte TrendAI anhand der Leak-Seiten von Cyberkriminellen im Jahr 2025 insgesamt 433 bestätigte Ransomware-Angriffe, womit Deutschland zu den drei am stärksten betroffenen Ländern der Welt zählt. Nur die USA mit 4.893 und Kanada mit 520 Vorfällen verzeichneten mehr.
Ein leicht gesunkenes, aber schwankendes Risiko
Um das globale Cyberrisiko einzuschätzen, hat TrendAI den Cyber Risk Index (CRI) bestimmt. Der lag 2025 im Jahresdurchschnitt bei 35,8 Punkten, nach 38,5 im Vorjahr, grundsätzlich eine positive Entwicklung. Allerdings schwankte der Index 2025 deutlich stärker als 2024: Im Januar lag er bei 34,6, sprang im April kurzzeitig auf 37,4, was TrendAI auf viele neue IT-Projekte zum Jahresbeginn zurückführt, und sank im Juli wieder auf 34,1. Unabhängig von Branche oder Größe bewegen sich die untersuchten Unternehmen damit insgesamt im mittleren Risikobereich.
Mit einem CRI von 42,5 führte 2025 der Bergbau die Rangliste der Branchen mit dem höchsten Risiko an, gefolgt von Gesundheitswesen und Landwirtschaft mit je 40,3, Telekommunikation mit 39,9, Bildungswesen mit 39,8 sowie Behörden und öffentlichen Einrichtungen mit 39,7. Unternehmen mit bis zu 100 Mitarbeitenden bleiben zwar die Gruppe mit dem niedrigsten Risiko, sind aber zugleich das einzige Größensegment, dessen CRI 2025 gestiegen ist, ein Hinweis darauf, dass Angreifer kleine Unternehmen zunehmend als Einfallstor in größere Lieferketten nutzen.
Cloud-Zugriffe und veraltete Konten als Haupteinfallstor
Wie im Vorjahr führen riskante Zugriffe auf Cloud-Anwendungen und veraltete Microsoft-Entra-ID-Konten die Liste der am häufigsten erkannten Risikoereignisse an. Konten ohne aktivierte Multi-Faktor-Authentifizierung zählen weiterhin zu den größten Schwachstellen. Neu in den Top 5 sind Verstöße gegen Zero-Trust-Zugriffsregeln, was TrendAI als Zeichen für wachsende, aber noch nicht überall konsequent durchgesetzte Zero-Trust-Adoption wertet.
Beim Schwachstellenmanagement reichen CVSS-Werte allein nicht aus: Unter den zehn am häufigsten erkannten ungepatchten Schwachstellen befanden sich drei mit nur mittlerem Schweregrad, die aber im Zusammenspiel mit hochkritischen Lücken für Remote-Codeausführung und Rechteausweitung besonders gefährliche Angriffsketten ermöglichten. Ungepatchte Schwachstellen führten am häufigsten zu vollständigen Angriffspfaden, TrendAI fand mehr als 2,3 Millionen erkannte Pfade, die so begannen. An zweiter Stelle folgen Angriffe auf schlecht geschützte Konten wie Password-Spraying und Password-Guessing mit zusammen über zwei Millionen Pfaden. Meist ist am Ende der Kette ein Benutzerkonto das Ziel, im Schnitt werden täglich rund 33.000 Konten angegriffen, fast doppelt so häufig wie Endgeräte auf Platz zwei.
Fragmentierte, aktivere Ransomware-Szene
Die Ransomware-Landschaft fragmentiert sich laut TrendAI weiter und wird zugleich aktiver. Die Zahl bestätigter Opfer der zehn aktivsten Ransomware-Gruppen stieg 2025 um 236 Prozent auf 5.096 Unternehmen. Qilin katapultierte sich von Platz zehn im Jahr 2024 auf Platz eins mit 1.262 bestätigten Angriffen, ein Plus von 1.270 Prozent, gefolgt von Akira mit 857 Fällen, ein Plus von 708 Prozent. Gleich fünf Gruppen stiegen 2025 neu in die Top Ten ein, darunter INC Ransom, SafePay, Lynx, DragonForce und Sinobi, während zuvor dominante Gruppen wie LockBit deutlich an Bedeutung verloren. Eine Verteidigungsstrategie, die sich nur auf bekannte Taktiken etablierter Gruppen stützt, hinkt einer sich so rasant wandelnden Landschaft hinterher. Wirksamer ist es, die zugrunde liegenden Schwachstellen zu reduzieren, unabhängig davon, wer sie am Ende ausnutzt.
Empfehlungen für Unternehmen
Um das Cyberrisiko nachhaltig zu senken, rät TrendAI zu einem konsequent risikobasierten Sicherheitsansatz: Sicherheitskonfigurationen aktiv optimieren statt nur einmalig einrichten, Identitäts- und Zugriffsmanagement konsequent durchsetzen, also veraltete Konten löschen, sichere Passwörter erzwingen und MFA flächendeckend aktivieren, Schwachstellen risikobasiert statt nur nach CVSS-Score priorisieren, Angriffspfade statt Einzelrisiken betrachten und vorhandene Sicherheitsplattformen über automatisierte Playbooks und KI-gestützte Priorisierung tatsächlich im Alltag operationalisieren.