Wer besonders viel Lösegeld zahlt – und wie oft – Sophos Information

In der sechsten Ausgabe seines jährlichen „State of Ransomware“-Reviews legt Sophos den Fokus auf die finanziellen Auswirkungen einer Ransomware-Attacke und zeigt auf, in welchen Ländern Unternehmen besonders viel Lösegeld nach einem Cyberangriff zahlen. Die unabhängige Umfrage unter 3.400 IT- und Cybersicherheitsverantwortlichen in 17 Ländern ergab zudem, dass worldwide 50 Prozent der Unternehmen zumindest einen Teil des geforderten Lösegelds gezahlt haben, um ihre Daten zurückzubekommen. Dies repräsentiert die zweithöchste Zahlungsrate für Lösegeldforderungen seit sechs Jahren, der Höchststand wurde letztes Jahr mit 56 Prozent erreicht. Der Blick in die regionalen Particulars des Reviews 2025 attestiert sowohl Deutschland (63 Prozent) als auch der Schweiz (54 Prozent) sogar eine noch etwas höhere Zahlungsbereitschaft im Falle einer erfolgreichen Ransomware-Attacke.

Unternehmen verhandeln zunehmend Lösegeldzahlungen
Doch auch wenn sich über die Hälfte scheinbar in ihr Schicksal ergibt, scheinen Unternehmen zumindest aus finanzieller Sicht selbstbewusster mit den Kriminellen umzugehen. Mit 53 Prozent zahlte mehr als die Hälfte weniger als ursprünglich von den Cyberkriminellen gefordert. Dieser Pattern gilt auch für  Deutschland mit 47 Prozent und vor allem in der Schweiz, wo 65 Prozent der befragten Unternehmen  geringere Beträge als ursprünglich gefordert zahlten.

Die durchschnittliche Lösegeldforderung sank zwischen den Befragungen der letzten beiden Jahre aus internationaler Perspektive um ein Drittel. Gleichzeitig ging die durchschnittliche Lösegeldzahlung um 50 Prozent zurück. Diese Entwicklung zeigt, dass Unternehmen zunehmend erfolgreich bei der Minimierung der Auswirkungen von Ransomware-Angriffen sind.

Lösegeldforderungen und -zahlungen variieren stark nach Ländern
Weltweit lag die durchschnittliche Lösegeldforderung (Median) bei 1.324.439 Million Greenback (€ 1.159.905). Auf Landesebene sind die Mediane der Forderungshöhen allerdings sehr unterschiedlich, hier einige Beispiele:

• 600 Tsd. Greenback (€ 525 Tsd.) in Deutschland
• 643 Tsd. Greenback (€ 563 Tsd.) in Frankreich
• 4,12 Mio. Greenback (€ 3,61 Mio.) in Italien
• 5,37 Mio. Greenback (€ 4,7 Mio.) in Großbritannien
• 2,0 Mio. Greenback (€ 1,75 Mio.) in den USA

Aufgrund der angesprochenen, besseren Verhandlungstaktik ist die weltweite, durchschnittliche Lösegeldzahlung (Median) niedriger als die Forderung und liegt bei rund 1 Million Greenback (€ 869.591). Die regional bezahlten Lösegeldsummen belaufen sich in den Beispielländern auf:

• 412 Tsd. Greenback (€ 361 Tsd.) in Deutschland
• 232 Tsd. Greenback (€ 203 Tsd.) in Frankreich
• 2,06 Mio. Greenback (€ 1,8 Mio.) in Italien
• 5,20 Mio. Greenback (€ 4,55 Mio.) in Großbritannien
• 1,50 Mio. Greenback (€ 1,53 Mio.) in den USA

Schwachstellen und Ressourcenknappheit sind maßgebliche Risikofaktoren
Wenn es um die Ursachen für erfolgreiche Cyberattacken geht, zeigt sich ein allbekanntes Bild: Zum dritten Mal in Folge waren ausgenutzte Schwachstellen die häufigste technische Ursache für Angriffe. 40 Prozent aller befragten Ransomware-Opfer gaben an, dass die Angreifer eine ihnen nicht bekannte Sicherheitslücke ausnutzten. In Deutschland und der Schweiz stellt sich diese Scenario mit 45 Prozent beziehungsweise 42 Prozent noch etwas verschärfter dar. Dies verdeutlicht die anhaltenden Schwierigkeiten von Unternehmen, ihre Angriffsfläche im Blick zu haben und zu sichern.

63 Prozent der befragten Unternehmen weltweit bestätigen, dass Ressourcenprobleme ein Faktor dafür waren, dass sie Opfer des Angriffs wurden. Die Unternehmen in Deutschland (67 Prozent) und in der Schweiz (72 Prozent) liegen hier über dem internationalen Schnitt. World wurden in diesem Zusammenhang mangelnde Fachkenntnisse als wichtigste operative Ursache in Unternehmen mit mehr als 3.000 Mitarbeitern genannt. Unternehmen mit 251 bis 500 Mitarbeitern kämpften am häufigsten mit einem Mangel an personellen Ressourcen bzw. Kapazitäten.

Interne wie externe Ressourcen sind entscheidend
„Im Jahr 2025 sehen die meisten Unternehmen die Gefahr, Opfer eines Ransomware-Angriffes zu werden, als einen Teil des Geschäftsalltags. Die gute Nachricht ist, dass sich viele Organisationen dank dieses gestiegenen Bewusstseins mit zusätzlichen Ressourcen ausstatten, um den Schaden zu begrenzen. Dazu gehört die Einstellung von Incident-Response-Spezialisten, die nicht nur die Lösegeldzahlungen senken können, sondern auch die Wiederherstellung nach einer Attacke  beschleunigen und sogar laufende Angriffe stoppen können“, sagt Chester Wisniewski, Subject CISO bei  Sophos. „Ein echter Recreation Changer im Kampf gegen Ransomware ist die Konzentration auf die Ursachen  der Angriffspotenziale. Dazu gehören vor allem ausgenutzte Schwachstellen, mangelnde Transparenz bei der Angriffsfläche im Unternehmen und zu wenige Ressourcen. Wir beobachten, dass immer mehr Unternehmen erkennen, dass sie Hilfe benötigen und zur Verteidigung auf MDR-Dienste, additionally Managed Detection and Response, setzen. Dieser Cybersecurity-Service in Verbindung mit proaktiven Sicherheitsstrategien wie Multi-Faktor-Authentifizierung und Patching leistet einen entscheidenden  Beitrag, Ransomware von vornherein zu verhindern.“

Weitere wichtige Erkenntnisse aus dem „State of Ransomware 2025“-Report

• Zunehmend mehr Unternehmen stoppen Angriffe während der Ausführung: 44 Prozent der Unternehmen (42 Prozent in Deutschland und 46 Prozent in der Schweiz) konnten den Ransomware-Angriff stoppen, bevor Daten verschlüsselt wurden – ein Sechsjahreshoch.
• Die Nutzung von Backups ist rückläufig: Nur 54 Prozent der Unternehmen (59 Prozent in Deutschland und 56 Prozent in der Schweiz) nutzten Backups, um ihre Daten wiederherzustellen – der niedrigste Prozentsatz seit sechs Jahren.
• Ein Lichtblick: Die Wiederherstellungskosten sind rückläufig: Die mittleren Wiederherstellungskosten sanken aus globaler Sicht von 2,73 Millionen US-Greenback im Jahr 2024 (€ 2.373.983) auf 1,53 Millionen US-Greenback (€ 1.330.474) im Jahr 2025 – respektive 1,56 Millionen Greenback (€ 1.352.512) in Deutschland und 1,04 Millionen Greenback (€ 901.675) in der Schweiz.
• Lösegeldzahlungen variieren je nach Branche: World gaben staatliche und lokale Behörden die höchsten Durchschnittsbeträge an (2,5 Millionen US-Greenback / € 2.173.978), während das Gesundheitswesen die niedrigsten Beträge meldete (150.000 US-Greenback / € 130.439).
• Unternehmen werden schneller bei der Wiederherstellung: Über die Hälfte der Unternehmen international (53 Prozent), 64 Prozent in Deutschland und 58 Prozent in der Schweiz  erholte sich innerhalb einer Woche vollständig von einem Ransomware-Angriff – gegenüber 35 Prozent im Vorjahr. Nur 18 Prozent weltweit benötigten mehr als einen Monat für die Wiederherstellung – gegenüber 35 Prozent im Jahr 2024. Hier zeigen sich die Organisationen in der Schweiz und Deutschland intestine gewappnet: jeweils 9 Prozent der Befragten benötigen mehr als einen Monat für die Wiederherstellung.

Sophos-Empfehlungen für einen effektiven Schutz vor Ransomware und anderen Cyberangriffen:

• Ergreifen von Maßnahmen, um häufige technische und betriebliche Ursachen für Angriffe, wie z. B. ausgenutzte Schwachstellen, zu beseitigen. Instruments wie Sophos Managed Danger können Unternehmen dabei helfen, ein individuelles Risikoprofil zu ermitteln und das Risiko so gezielt zu minimieren.
• Sicherstellung, dass alle Endpoint-Geräte (einschließlich Server) mit einem speziellen Anti-Ransomware-Schutz ausgestattet sind.
• Bereitstellung und Testen eines Incident-Response-Plans. Dabei spielen gute Backups und das regelmäßige Üben der Datenwiederherstellung eine wichtige Rolle.
• 24/7-Überwachung und Erkennung. Wenn Unternehmen dafür nicht über die erforderlichen internen Ressourcen verfügen, können vertrauenswürdige Anbieter von Managed Detection and Response (MDR) helfen, diese Anforderungen zu erfüllen.

Über den „State of Ransomware 2025“-Report
Die Daten für den „State of Ransomware 2025”-Report stammen aus einer unabhängigen Umfrage unter 3.400 IT- und Cybersicherheitsverantwortlichen in Unternehmen, die im vergangenen Jahr von Ransomware betroffen waren. Die befragten Unternehmen in 17 Ländern hatten zwischen 100 und 5.000 Mitarbeiter. Die Umfrage wurde zwischen Januar und März 2025 durchgeführt.

Der vollständige „State of Ransomware 2025“-Report steht hier zum Obtain zur Verfügung.