Ransomware in Deutschland: Vom IT-Vorfall zum Insolvenzrisiko

Ransomware in Deutschland ist im Jahr 2026 kein abstraktes IT-Risiko mehr, sondern eine der konkretesten Bedrohungen für den Fortbestand deutscher Unternehmen. Zwei aktuelle Fälle zeigen, wie unterschiedlich diese Bedrohung wirken kann: Die Textilveredelung ZEGO musste nach einem Cyberangriff Insolvenz anmelden, ohne dass die Angriffsart je öffentlich bestätigt wurde. Der Industriezulieferer Jäcklin Industrial wurde von der Ransomware-Gruppe SafePay auf deren Leak-Site als Opfer geführt. Beide Fälle stehen vor dem Hintergrund einer Bedrohungslage, die nach Einschätzung von BKA und BSI angespannt bleibt und sich weiter verschärft.

Die Zahlen: Deutschland und die DACH-Region im Fadenkreuz

Das BKA registrierte 2025 in Deutschland 1.041 Ransomware-Angriffe – ein Anstieg von 10 Prozent gegenüber dem Vorjahr; Check Point verzeichnete für die gesamte DACH-Region einen Anstieg der Ransomware- und Hacktivisten-Aktivität um 124 Prozent.

• Laut dem Cybercrime-Bericht 2025 des BKA registrierte das Bundeskriminalamt 2025 in Deutschland 1.041 Ransomware-Angriffe – ein Anstieg von 10 Prozent gegenüber dem Vorjahr. Besonders betroffen waren Unternehmen und öffentliche Einrichtungen. Die Zahl der Opfer, die tatsächlich zahlten, sank, während die durchschnittliche Zahlungshöhe deutlich anstieg; in Summe erfassten die Behörden Lösegeldzahlungen von rund 15,5 Millionen US-Dollar.
• Der aktuelle Lagebericht des BSI, der den Zeitraum vom 1. Juli 2024 bis zum 30. Juni 2025 abdeckt, beschreibt die IT-Sicherheitslage in Deutschland als „angespannt“. Nach Einschätzung der Behörde wächst die Angriffsfläche durch die fortschreitende Digitalisierung schneller, als präventive Maßnahmen mithalten können. Ransomware und Datenlecks zählen laut BSI aktuell zu den größten cyberkriminellen Bedrohungen für Staat, Wirtschaft und Gesellschaft in Deutschland.
• Kaspersky verzeichnete für 2025 einen Anstieg der Ransomware-Angriffe in Deutschland auf 384 registrierte Fälle, bei insgesamt gestiegener Aktivität in der gesamten DACH-Region.
• Check Point kommt für die DACH-Region auf noch drastischere Zahlen: Ransomware- und Hacktivisten-Aktivität stiegen dort 2025 um 124 Prozent, wobei Deutschland in den ausgewerteten Daten für mehr als 80 Prozent der regionalen Vorfälle steht.
• Eingebettet ist diese Entwicklung in ein noch größeres Bild: Die Zusammenfassung der Bundesregierung zum BKA-Bericht beziffert den geschätzten Gesamtschaden durch Cyberkriminalität in Deutschland auf 202,4 Milliarden Euro, bei rund 335.000 erfassten Fällen insgesamt. Ransomware ist darin nur ein Teilsegment – aber eines mit überproportionaler wirtschaftlicher Wirkung, weil es Betriebe nicht nur bestiehlt, sondern lahmlegt.

Fall 1: ZEGO – Wenn ein Cyberangriff zur Insolvenz führt

Die ZEGO Textilveredelungszentrum hat nicht bestätigt, ob Ransomware bei dem Cyberangriff im Spiel war, der die Produktion fast sechs Wochen lahmlegte, bevor das Unternehmen Insolvenz anmeldete.

Die Textilveredelungszentrum ZEGO wurde am 29. März 2026 Ziel eines Cyberangriffs, der einen fast sechswöchigen Produktionsausfall zur Folge hatte. Nach eigenen Angaben machte die daraus resultierende finanzielle Belastung die Insolvenzanmeldung notwendig. Öffentlich nicht bestätigt hat ZEGO dagegen, um welche Art von Angriff es sich handelte, ob Ransomware im Spiel war oder ob Daten abgeflossen sind. Der Fall lässt sich daher korrekt nur als cyberangriffsbedingte Insolvenz beziehungsweise als cyberangriffsbedingter Produktionsausfall beschreiben – nicht als bestätigter Ransomware-Fall (The Register; IT-Daily; t-online; Gigazine).

Gerade diese Unschärfe macht ZEGO bemerkenswert. Für die betriebliche und wirtschaftliche Wirkung spielt es am Ende eine untergeordnete Rolle, ob ein Angriff formal als Ransomware, als Sabotage oder als etwas anderes einzuordnen ist. Entscheidend ist, dass ein IT-Sicherheitsvorfall eine sechs Wochen andauernde Produktionsunterbrechung auslösen und diese wiederum über die Liquidität eines Unternehmens entscheiden kann. Für ein mittelständisches Unternehmen aus der Textilveredelung – einer Branche mit engen Margen und kontinuierlichen Auftragsverpflichtungen gegenüber Kunden – kann ein solcher Ausfall den Unterschied zwischen Fortbestand und Insolvenz ausmachen, unabhängig von der technischen Klassifizierung des Vorfalls.

Fall 2: Jäcklin Industrial – Ein Weiterer Deutscher Industriebetrieb auf einer Leak-Site

Parallel dazu zeigt der Fall Jäcklin Industrial GmbH, dass deutsche Industrieunternehmen weiterhin im Fokus aktiver Ransomware-Gruppen stehen. Mehrere auf Ransomware-Monitoring spezialisierte Quellen berichten übereinstimmend, dass die Ransomware-Gruppe SafePay das Unternehmen im Juli 2026 auf ihrer Leak-Site als Opfer gelistet hat (Darkfield; DeXpose; Ransomware.live; BreachSense; Breach House).

Wichtig für die Einordnung: Diese Angaben stammen aus Leak-Site- und Aggregator-Quellen, nicht aus einer Unternehmensmitteilung oder einer behördlichen Bestätigung. Der Fall ist daher korrekt als „von SafePay beansprucht“ beziehungsweise „auf der Leak-Site von SafePay gelistet“ zu beschreiben – nicht als definitiv bestätigter Einbruch. Unabhängig von dieser Einschränkung bestätigt der Fall ein Muster, das sich seit Jahren durch die Bedrohungslandschaft zieht: Deutsche Fertigungs- und Industriebetriebe – oft mittelständisch geprägt, häufig mit gewachsener statt konsolidierter IT-Infrastruktur – bleiben ein bevorzugtes Ziel doppelter Erpressung, bei der neben der Verschlüsselung auch mit der Veröffentlichung gestohlener Daten gedroht wird.

Strategische Konsequenzen: Backups Allein Reichen Nicht

Segmentierung, kontinuierliche Erkennung und getestete Incident-Response-Pläne zählen mehr als Backups allein, sobald ein Cyberangriff die Produktionskontinuität bedroht.

ZEGO und Jäcklin stehen für zwei unterschiedliche Ausprägungen desselben Grundproblems. Der eine Fall zeigt die betriebswirtschaftliche Endstufe – Insolvenz nach einem länger andauernden Produktionsausfall. Der andere zeigt die vorgelagerte Stufe – ein Unternehmen, das nach Angaben von Monitoring-Quellen bereits ins Visier einer aktiven Ransomware-Gruppe geraten ist. Zusammen verdeutlichen sie, dass Ransomware in der DACH-Region zunehmend ein Betriebskontinuitäts- und Insolvenzrisiko ist, nicht mehr nur ein Verschlüsselungs- und Erpressungsproblem.

Backups bleiben notwendig, sind für sich genommen aber keine ausreichende Antwort mehr. Wenn ein Angriff die Produktion wochenlang lahmlegt, hilft ein wiederhergestelltes Backup wenig, solange Netzwerksegmentierung, Wiederanlaufpläne und Abhängigkeiten zu Zulieferern nicht mitgedacht sind. Aus den beiden Fällen lassen sich mehrere praktische Prioritäten ableiten, insbesondere für mittelständische und industrielle Betriebe:

• Netzwerksegmentierung zwischen IT- und OT-Umgebungen, damit ein Vorfall in der Büro-IT nicht automatisch die Fertigung lahmlegt
• Reduzierung der Angriffsfläche durch konsequentes Patch-Management und Absicherung extern erreichbarer Systeme
• Kontinuierliche Erkennung und Reaktion, um Angriffe zu erkennen, bevor sie sich zu einem produktionsrelevanten Ereignis ausweiten
• Regelmäßige Penetrationstests, um Schwachstellen zu identifizieren, bevor es Angreifer tun
• Getestete Incident-Response- und Wiederanlaufpläne, die auch Lieferketten- und Kundenkommunikation abdecken – nicht nur die technische Wiederherstellung

DIESEC unterstützt Unternehmen in genau diesen Bereichen: mit kontinuierlicher Überwachung und Bedrohungserkennung durch SOC as a Service, mit Penetrationstests zur Identifikation ausnutzbarer Schwachstellen, bevor es Angreifer tun, und mit strukturierter Incident-Response-Vorbereitung, die im Ernstfall Reaktionszeit verkürzt. Der Punkt ist nicht, jedes Risiko auf null zu bringen – das ist unrealistisch. Der Punkt ist, die Wahrscheinlichkeit zu senken, dass aus einem IT-Sicherheitsvorfall ein existenzbedrohendes Ereignis wird.

Fazit

Die Zahlen von BKA und BSI zeigen ein anhaltend angespanntes Bedrohungsbild für Deutschland und die DACH-Region. ZEGO zeigt, wie ein Cyberangriff – auch ohne öffentlich bestätigte Ransomware-Beteiligung – über die Zukunft eines Unternehmens entscheiden kann. Jäcklin zeigt, dass deutsche Industriebetriebe weiterhin aktiv von Ransomware-Gruppen ins Visier genommen werden. Beide Fälle führen zu derselben Schlussfolgerung: Ransomware ist längst kein reines IT-Risiko mehr, sondern ein operatives und wirtschaftliches Risiko, das im Vorstand und nicht nur in der IT-Abteilung behandelt werden muss.

Kontaktieren Sie uns, um mehr zu erfahren.