Ransomware schadet seltener — was hinter den 25 Prozent steckt

/01Begriff und Abgrenzung: Was die Bitkom-Zahl misst — und was nicht

Ransomware hat laut Bitkom-Studie Wirtschaftsschutz 2026 bei 25 Prozent der deutschen Unternehmen ab zehn Beschäftigten in den vergangenen zwölf Monaten einen Schaden verursacht, nach 34 Prozent im Vorjahr. Der Rückgang ist echt im Sinne der Befragung, belegt aber nicht, dass weniger angegriffen wird: 45 Prozent waren im selben Zeitraum von einem Ransomware-Angriff betroffen.

Die 25 Prozent sind ein Anteil von Unternehmen, kein Anteil am Schaden in Euro und keine Zahl von Angriffen. Die Frage lautete wörtlich: „Welche der folgenden Arten von Cyberangriffen haben innerhalb der letzten 12 Monate in Ihrem Unternehmen einen Schaden verursacht?" Mehrfachnennungen waren möglich. Wer also im selben Jahr durch Ransomware und durch Phishing Schaden hatte, zählt in beiden Balken.

Erhoben hat Bitkom Research die Zahlen per computergestützter Telefonbefragung bei 1.003 Unternehmen mit mindestens zehn Beschäftigten und mindestens einer Million Euro Jahresumsatz. Befragt wurden Führungskräfte, die für Wirtschaftsschutz zuständig sind, meist aus der IT. Der Befragungszeitraum lag in den Kalenderwochen 16 bis 23 des Jahres 2026, also zwischen Mitte April und Anfang Juni. Die angegebene Fehlertoleranz beträgt plus/minus 3 Prozent in der Gesamtstichprobe.

Was die Zahl nicht ist

• Keine Schadenssumme für Ransomware. Die Studie beziffert Schäden nach Schadensart (Ausfall von Systemen, Ermittlungskosten, Rechtsstreit), nicht nach Angriffsart. Wie viele Milliarden auf Ransomware entfallen, steht nicht im Bericht.
• Keine Anzeigenstatistik. Die oft zitierte Aussage, rund 80 Prozent der angezeigten Ransomware-Angriffe träfen kleine und mittlere Unternehmen, stammt aus dem BSI-Lagebericht und zählt Strafanzeigen. Was diese Zahl leistet, steht im Beitrag 80 Prozent der Ransomware-Anzeigen treffen KMU. Bitkom fragt dagegen Unternehmen selbst — auch solche, die nie angezeigt haben.
• Kein Größenschnitt. Der Bericht weist die Ransomware-Werte nicht nach Unternehmensgröße aus. Ob ein Betrieb mit 40 Arbeitsplätzen häufiger getroffen wird als einer mit 400, lässt sich aus dieser Studie nicht ablesen.

/02Was die Studie Wirtschaftsschutz 2026 zu Ransomware sagt

Die relevanten Werte stehen im Bericht verstreut über mehrere Abbildungen und haben unterschiedliche Bezugsgrößen. Wer sie zitiert, sollte die Basis mitnennen, sonst entstehen Vergleiche, die nicht aufgehen. Die folgende Tabelle führt sie zusammen.

Ransomware bleibt trotz des Rückgangs die Angriffsart, die am häufigsten Schaden anrichtet. Dahinter folgen Passwortangriffe mit 18 Prozent, Phishing mit 16 und DDoS mit 15 Prozent. Auffällig sind die Aufsteiger: Robo Calls verursachten bei 14 Prozent der Unternehmen einen Schaden, nach 3 Prozent im Vorjahr, Deepfakes bei 8 Prozent nach 4.

Bitkom-Präsident Ralf Wintergerst deutet den Rückgang so: „Viele Unternehmen haben sich auf Ransomware-Angriffe vorbereitet und können so Schäden verhindern oder minimieren." Er nennt ihn zugleich einen „bislang einmaligen Rückgang", aus dem eine „echte Trendwende" erst noch werden müsse. Das ist die vorsichtige Lesart, und sie ist die richtige.

Was in den Euro-Zahlen passiert

Die Schadenstabelle des Berichts ist nach Schadensart gegliedert und gilt für alle Delikte, nicht nur für Ransomware. Zwei Positionen passen trotzdem ins Bild: Schäden durch Ausfall, Diebstahl oder Schädigung von Informations- und Produktionssystemen sanken von 73,3 auf 36,5 Milliarden Euro, Schäden durch Erpressung mit gestohlenen Daten von 15,6 auf 5,0 Milliarden Euro. Gleichzeitig stieg der Geldabfluss durch Betrugsversuche von 0,9 auf 8,4 Milliarden Euro. Der Schaden verschwindet nicht, er wandert.

/0325 statt 34 Prozent: Ist der Rückgang echt?

Statistisch spricht viel dafür. Der Abstand beträgt neun Prozentpunkte und liegt damit deutlich über der angegebenen Fehlertoleranz von plus/minus 3 Prozent. Ein Zufallsrauschen zwischen zwei Stichproben erklärt ihn kaum. Was ihn erklärt, sagt die Studie aber nicht — dafür gibt es mindestens drei Lesarten, und sie schließen sich nicht aus.

Lesart 1: bessere Vorbereitung

Das ist die Deutung des Bitkom. Sie ist plausibel: Offline-Sicherungen, gehärtete Backups, Mehr-Faktor-Authentifizierung auf Fernzugängen und Überwachung durch ein SOC sind in den letzten Jahren vom Sonderfall zur Erwartung von Versicherern und Kunden geworden. Wer nach einer Verschlüsselung in zwei Tagen wieder arbeitet, meldet eher einen Angriff als einen Schaden — je nachdem, wie er die Frage versteht.

Lesart 2: Angreifer verlagern sich

Der Anstieg bei Betrug, Robo Calls und Deepfakes deutet darauf hin, dass ein Teil der Täter andere Wege nimmt. Ein gefälschter Anruf der Geschäftsführung, der eine Überweisung auslöst, braucht keinen Zugang zum Netz und kein Wissen über die Backup-Architektur. Für die Abwehr heißt das: Die Investition in Wiederanlauf ist nicht falsch, sie deckt aber nur einen Teil der Fläche ab.

Lesart 3: Messeffekte

67 Prozent der Unternehmen geben an, sicher von Diebstahl, Spionage oder Sabotage betroffen gewesen zu sein, weitere 29 Prozent vermuten es. Bitkom spricht selbst von einem „wachsenden Dunkelfeld" und weist 2026 erstmals einen Schadenskorridor von 211 bis 270,8 Milliarden Euro statt einer einzelnen Summe aus. Wer einen Vorfall nur vermutet, nennt ihn nicht unbedingt als Schaden. Ehrlich: Wie groß dieser Effekt ist, lässt sich von außen nicht bestimmen.

Ein Widerspruch fällt noch auf: Weniger Unternehmen sehen sich „sehr gut vorbereitet" (43 nach 50 Prozent), zugleich fühlen sich weniger existenzbedroht (45 nach 59 Prozent). Eine mögliche Deutung aus der Praxis: Wer einmal einen Restore-Test oder eine Notfallübung gemacht hat, wird bei der Selbsteinschätzung bescheidener — und bei der Bedrohung gelassener, weil er weiß, wie lange der Wiederanlauf dauert.

/04Angegriffen, aber kein Schaden: Wo der Unterschied entsteht

Die interessanteste Zahl steht neben der Schlagzeile. 45 Prozent waren von einem Ransomware-Angriff betroffen, 25 Prozent hatten einen Schaden. Eigene Rechnung, unter der Annahme, dass sich beide Werte auf alle Befragten beziehen und jeder Geschädigte auch zu den Angegriffenen zählt: Bei gut der Hälfte der angegriffenen Unternehmen (25 von 45, rund 56 Prozent) entstand ein Schaden, bei knapp der Hälfte nicht. Was trennt die beiden Gruppen?

Die Studie beantwortet das indirekt. Unternehmen mit Schaden durch Cyberangriffe (n=580) sollten angeben, was maßgeblich dazu beigetragen hat, dass der Angriff erfolgreich war:

Die drei häufigsten Gründe sind Betriebsthemen, kein Fehlverhalten einzelner Mitarbeiter. Wintergerst formuliert es so: Die häufigsten Schadensursachen seien „keine besonders ausgefeilten oder exotischen Angriffe, sondern blinde Flecken im eigenen System".

In der Praxis sieht eine Ransomware-Kette im Mittelstand fast immer gleich aus: Zugang über ein Konto oder eine ungepatchte Schnittstelle, Rechteausweitung im Active Directory, Erkundung, Löschen oder Verschlüsseln der Sicherungen, dann Abfluss und Verschlüsselung — gern in der Nacht auf Samstag. Jede Stufe hinterlässt Spuren in Logs, die ein SIEM auswerten könnte. Ob das jemand sieht, ist eine Frage des Schichtplans, nicht der Software. Das SOC-Kompendium rechnet es offen vor: Rund um die Uhr heißt fünf Vollzeitstellen, nicht Rufbereitschaft.

Wie Erkennung ohne eigenes Team aussehen kann, beschreibt der Beitrag Angriffserkennung ohne eigenes SOC.

/05Rechenbeispiel: Was ein Tag schnellerer Wiederanlauf wert ist

Die Bitkom-Studie liefert keine Ausfallkosten je Unternehmen. Für die eigene Entscheidung braucht man sie trotzdem — nicht als Prognose, sondern als Größenordnung. Das folgende Modell rechnet nur den Arbeitsausfall. Alle Werte sind eigene Annahmen, keine Studienzahlen. Ersetzen Sie sie durch Ihre.

• Stundenkosten je Arbeitsplatz: 50 Euro (Lohn plus Nebenkosten, Annahme).
• Produktivitätsverlust bei IT-Stillstand: 70 Prozent — ein Teil der Arbeit geht auf Papier oder Telefon weiter (Annahme).
• Arbeitstag: 8 Stunden.
• Wiederanlauf unvorbereitet: 10 Arbeitstage — kein gemessener Restore, Sicherungen erst prüfen, Systeme neu aufsetzen (Annahme).
• Wiederanlauf vorbereitet: 3 Arbeitstage — getestete, vom Netz getrennte Sicherung, dokumentierte Reihenfolge, bekannte RTO (Annahme).

# Ausfallkosten je Tag = Arbeitsplätze x 8 h x 50 EUR x 0,70
#
# Arbeitsplätze   je Tag      10 Tage      3 Tage    Differenz
#       40        11.200 €    112.000 €    33.600 €    78.400 €
#      120        33.600 €    336.000 €   100.800 €   235.200 €
#      300        84.000 €    840.000 €   252.000 €   588.000 €
#
# Nicht enthalten: Forensik, externe Wiederherstellung, Vertragsstrafen,
# entgangener Umsatz, Kosten eines Datenabflusses.

Die Tabelle sagt zweierlei. Erstens: Der Wert der Vorbereitung liegt in den eingesparten Tagen, nicht im Vermeiden jedes Angriffs. Ein Betrieb mit 120 Arbeitsplätzen, der seinen Wiederanlauf um einen einzigen Tag verkürzt, spart in diesem Modell rund 33.600 Euro je Vorfall. Zweitens: Die Zahl hängt an der RTO, und die kennt man nur, wenn man sie gemessen hat. Wie das geht, steht im Beitrag Restore-Test: Wiederanlaufzeit wirklich messen.

Und der Erwartungswert?

Man kann die 25 Prozent als groben Jahreswert nehmen und mit den Ausfallkosten multiplizieren. Für 40 Arbeitsplätze unvorbereitet ergäbe das 0,25 × 112.000 = 28.000 Euro im Jahr. Das ist eine Näherung mit zwei Schwächen: Die 25 Prozent mitteln über alle Branchen und Größen, und sie enthalten vorbereitete wie unvorbereitete Unternehmen. Als Gesprächsgrundlage für ein Budget taugt sie, als Kalkulation nicht.

Wichtig für die Abgrenzung: Ein schneller Restore beendet den Ausfall, nicht die Erpressung. Wenn Daten abgeflossen sind, beginnt das zweite Problem erst nach dem Wiederanlauf — das behandelt der Beitrag Ransomware mit Datenabfluss.

/06Vorbereitung nachweisen: fünf Belege statt Selbsteinschätzung

43 Prozent der Unternehmen halten sich für „sehr gut vorbereitet". Das ist eine Selbsteinschätzung. Bitkom selbst empfiehlt fünf Maßnahmen gegen Ransomware. Die folgende Tabelle übersetzt jede in einen Beleg, den eine Geschäftsführung in zehn Minuten vorlegen lassen kann — und in das Warnsignal, an dem man erkennt, dass die Maßnahme nur auf dem Papier existiert. Die Spalten zwei und drei sind unsere Betriebserfahrung, keine Studieninhalte.

Wer alle fünf Belege vorlegen kann, ist wahrscheinlich in der Gruppe, die angegriffen wird und trotzdem keinen nennenswerten Schaden hat. Wer bei zwei oder mehr ins Stocken gerät, weiß, wo er anfängt. Was in der ersten Stunde nach dem Alarm geregelt sein muss, beschreibt der Beitrag Cyberangriff: die ersten 60 Minuten; die Grundlage dafür ist ein geübter Incident-Response-Ablauf und ein Runbook, das auch ohne IT erreichbar ist.

/07Lösegeld: Was „jedes fünfte Opfer" wirklich bedeutet

Die Überschrift im Bericht lautet: „Jedes fünfte Ransomware-Opfer hat schon einmal Lösegeld gezahlt." 20 Prozent der betroffenen Unternehmen haben gezahlt, 66 Prozent nicht, 14 Prozent wollten oder konnten keine Angabe machen. Drei Details verändern die Lesart.

• „Schon einmal" ist kein Zwölf-Monats-Wert. Die Zahl sagt nicht, wie viele im letzten Jahr gezahlt haben, sondern wie viele es jemals getan haben.
• 14 Prozent ohne Angabe sind viel für eine Ja-Nein-Frage. Wer gezahlt hat, sagt das ungern am Telefon. Der tatsächliche Anteil kann also höher liegen; belegen lässt sich das nicht.
• Die Euro-Position „Erpressung mit gestohlenen Daten" sank von 15,6 auf 5,0 Milliarden Euro. Das passt zu einer sinkenden Zahlungsquote, beweist sie aber nicht.

Für die Praxis wichtiger als die Quote: Die Entscheidung über eine Zahlung fällt in einer Ausnahmelage, mit Zeitdruck und unvollständigen Informationen. Sie gehört vorher geklärt — wer entscheidet, wer berät, was die Cyber-Versicherung dazu sagt und ob der Versicherer einen eigenen Dienstleister vorschreibt. Eine Zahlung ersetzt keinen Wiederanlauf: Auch mit Schlüssel müssen Systeme bereinigt und neu aufgebaut werden, weil der Angreifer dort war.

Ehrlich: Wer eine funktionierende, getrennte Sicherung und eine gemessene RTO hat, steht bei der Verschlüsselung nicht vor dieser Frage. Beim Datenabfluss schon — dort hilft kein Restore, und ob gestohlene Daten nach einer Zahlung wirklich gelöscht werden, kann niemand prüfen. Bei personenbezogenen Daten kommen die Meldepflichten der DSGVO hinzu, unabhängig von jeder Zahlung.

/08Wo die Zahl in die Irre führt

Studien wie diese werden gern verkürzt zitiert. Vier Verkürzungen begegnen uns in Gesprächen besonders oft.

„Ransomware ist rückläufig"

Rückläufig ist der Anteil der Unternehmen mit Schaden. Angegriffen wurde laut Bericht weiterhin fast jedes zweite, und 63 Prozent der Unternehmen berichten, dass die Zahl der Cyberattacken insgesamt zugenommen hat. Wer daraus ableitet, er könne das Budget für Sicherung und Erkennung kürzen, liest die Zahl falsch herum: Der Rückgang ist der Ertrag genau dieser Ausgaben, wenn die Bitkom-Deutung stimmt.

„Das gilt für uns auch"

Die Werte mitteln über alle Branchen und Größen ab zehn Beschäftigten. Einen Größen- oder Branchenschnitt für Ransomware gibt der Bericht nicht her. Ein Betrieb ohne eigene Server, mit allen Daten bei einem Cloud-Anbieter, hat ein anderes Risikoprofil als ein Fertiger mit Produktionsnetz und Windows-Servern aus drei Generationen.

„Ein Jahr ist ein Trend"

Bitkom spricht selbst von einem „bislang einmaligen Rückgang". 2024 lag der Wert bei 31, 2025 bei 34 Prozent. Ob 25 Prozent ein neues Niveau sind oder ein gutes Jahr, zeigt erst die nächste Erhebung.

„Die Schäden sind gesunken"

Die Gesamtsumme der sicher betroffenen Unternehmen sank von 289,2 auf 211 Milliarden Euro. Gleichzeitig weist Bitkom erstmals einen Korridor bis 270,8 Milliarden Euro aus, weil so viele Unternehmen einen Vorfall nur vermuten. Der Anteil der Cyberattacken am Gesamtschaden stieg von 70 auf 76 Prozent. Die Summen beider Jahre sind wegen der neuen Methode nur eingeschränkt vergleichbar.

Und eine Grenze, die jede Befragung hat: Sie misst, was Verantwortliche wissen und sagen wollen. Ein Angriff, der unbemerkt Daten abgezogen hat, taucht in keiner Antwort als Schaden auf. Genau hier schließt sich der Kreis zur häufigsten Ursache: unzureichende Erkennung.

/09Entscheidung: Wann sich mehr Vorbereitung lohnt — und wann nicht

Die Studie sagt nicht, was Sie als Nächstes tun sollen. Die folgende Tabelle schon — als Reihenfolge aus unserer Betriebserfahrung, beginnend mit dem, was am meisten Ausfalltage spart.

Wann mehr Vorbereitung sich nicht lohnt

Ehrlich: Es gibt den Punkt, an dem zusätzliches Geld wenig bringt. Wer eine getestete, getrennte Sicherung, MFA überall, eine besetzte Erkennung und eine geübte Notfallorganisation hat, kauft mit dem nächsten Produkt meist nur Komplexität. Dann lohnt eher der Blick auf die Angriffswege, die in der Studie wachsen — Betrug per Telefon und Deepfake —, und die lassen sich mit Freigabeprozessen für Zahlungen besser bremsen als mit Technik.

Zum Budget nennt die Studie einen Vergleichswert: Im Durchschnitt fließen 18 Prozent des IT-Budgets in IT-Sicherheit; BSI und Bitkom empfehlen 20 Prozent. Der Durchschnitt sagt wenig über den Einzelfall. Wer die Ausfalltage aus /05 kennt, kann die eigene Zahl begründen, statt sie an einem Mittelwert auszurichten.

Unsere Empfehlung: Lesen Sie die Bitkom-Zahl als Bestätigung, dass Vorbereitung messbar wirkt — und prüfen Sie dann mit den fünf Belegen aus /06, ob Sie zu den Unternehmen gehören, bei denen sie schon wirkt.

/10Häufige Fragen