Der aktuelle Threat Report von Arctic Wolf zeigt eine deutliche Verschiebung in der Vorgehensweise von Cyberkriminellen. Während Ransomware weiterhin den Großteil schwerer Sicherheitsvorfälle ausmacht, steigt der Anteil von Angriffen mit reiner Datenexfiltration ohne Verschlüsselung stark an. Besonders Unternehmen in Westeuropa und Deutschland stehen unter Druck.

Foto: Arctic Wolf Christopher Fielder, Chief Technology Officer bei Arctic Wolf Foto: Arctic Wolf Kerri Shafer-Page, Vice President of Digital Forensics and Incident Response bei Arctic Wolf Cyberangriffe folgen immer weniger dem Bild technisch hochkomplexer Einbrüche. Die Auswertung hunderter Incident-Response-Fälle aus dem Jahr 2025 zeigt stattdessen ein Muster operativer Effizienz. Angreifer nutzen bestehende Zugänge, bekannte Werkzeuge und erprobte Methoden, um schnell an verwertbare Daten zu gelangen. Für betroffene Unternehmen erhöhen sich dadurch Tempo und Reichweite der Angriffe – unabhängig von Größe oder Branche..

Verschiebung im Erpressungsmodell

Laut Threat Report machten Ransomware, Business E-Mail Compromise und Data Incidents im Jahr 2025 zusammen 92 Prozent aller untersuchten Vorfälle aus. Auffällig ist dabei der starke Zuwachs reiner Datenerpressung ohne Verschlüsselung. Deren Anteil stieg global von zwei auf 22 Prozent der Fälle und damit innerhalb eines Jahres um das Elffache. Die klassische Verschlüsselung von Systemen verliert damit relativ an Bedeutung, während der Diebstahl sensibler Informationen zunehmend als primäres Druckmittel dient.

Diese Entwicklung spiegelt aus Sicht der Analysten eine bewusste strategische Anpassung wider. Angriffe zielen weniger auf maximale technische Wirkung als auf Geschwindigkeit und unmittelbare Verwertbarkeit der erlangten Daten.

„Angreifer setzen zunehmend auf Effizienz – sie melden sich an, statt einzubrechen, stehlen Daten, statt sie zu verschlüsseln, und missbrauchen vertraute Tools, statt komplexe Schwachstellen auszunutzen“,

erklärt Christopher Fielder, Chief Technology Officer bei Arctic Wolf.

Ergänzend dazu führt Kerri Shafer-Page, Vice President of Digital Forensics and Incident Response bei Arctic Wolf weiter aus: 

„Im vergangenen Jahr hat unser Threat-Intelligence-Team hunderte Vorfälle über verschiedene Branchen, Regionen und Angriffsarten hinweg untersucht. Wenn wir diese Fälle zusammenfassen und mit Telemetriedaten aus der Arctic Wolf Aurora-Plattform und Informationen von Arctic Wolf Labs kombinieren, ergibt sich ein eindeutiges Bild: Die meisten modernen Angriffe sind auf technischer Seite nicht neuartig – sie sind lediglich operativ effizient.“

Remote-Zugänge als bevorzugtes Einfallstor

Parallel dazu zeigt der Report, dass 65 Prozent der untersuchten Nicht-BEC-Angriffe über den Missbrauch legitimer Remote-Zugänge wie VPN, RDP oder Remote-Management-Tools erfolgten. Komplexe Exploits spielten dabei eine untergeordnete Rolle. Die Analyse verdeutlicht, dass Angreifer bewusst auf vorhandene Zugangsmöglichkeiten setzen, um unauffällig und mit geringem Aufwand in Unternehmensnetzwerke einzudringen.

Unternehmen, die über eine klare Transparenz ihrer IT-Umgebungen verfügten und Fernzugänge konsequent absicherten, erwiesen sich im Vergleich als widerstandsfähiger gegenüber solchen Angriffen.

Deutschland unter besonderem Druck

Die ergänzende EMEA-Auswertung des Reports weist eine hohe Konzentration von Ransomware-Aktivität in Westeuropa aus. Frankreich, Deutschland und das Vereinigte Königreich führen die Opferstatistiken an. Für Deutschland zeigt sich eine Häufung von Leak-Site-Veröffentlichungen in Bauwirtschaft, Finanzsektor, IT-Services und Großhandel, wobei insbesondere kleine und mittelständische Unternehmen betroffen sind.

Zusätzlich verstärken regulatorische Anforderungen wie die DSGVO den Druck auf betroffene Organisationen. Offenlegungspflichten erhöhen laut Report die Wahrscheinlichkeit, dass Vorfälle öffentlich auf Leak-Sites erscheinen, wodurch Reputations- und Compliance-Risiken unmittelbar verschärft werden. Als Industriestandort mit komplexen Lieferketten bleibt Deutschland zudem ein attraktives Ziel, da Betriebsunterbrechungen schnell erhebliche wirtschaftliche Folgen haben. Fiedler betont:

„Gerade in Deutschland sehen wir, dass regulatorische Anforderungen und öffentliche Offenlegungspflichten den Druck im Ernstfall massiv erhöhen. Unternehmen sollten deshalb nicht nur in Prävention investieren, sondern insbesondere ihre Remote-Zugänge konsequent absichern, Datenabflüsse frühzeitig erkennen und Incident-Response-Prozesse regelmäßig testen. Resilienz entscheidet heute darüber, ob ein Angriff zur existenziellen Krise wird oder beherrschbar bleibt.“

Weitere Informationen sowie den vollständigen Arctic Wolf Threat Report 2026 finden Sie auf der Website von Arctic Wolf.