Globale Proofpoint-Studie zeigt: KI verschlimmert Phishing, Identitätsbetrug und den Diebstahl von Zugangsdaten für Angriffe mit Ransomware

• In 36 % der deutschen Unternehmen vertrauten Mitarbeiter KI-gestützten Angriffen, weil sie authentisch wirkten.
• Bei mehr als einem Drittel (37 %) der Angriffe in Deutschland waren Phishing-E-Mails oder anderes E-Mail-basiertes Social Engineering das Einfallstor.
• Bei mehr als zwei Dritteln (67 %) der deutschen Opfer wurden sensible Daten gestohlen.
• 29 % derjenigen, die Lösegeld zahlten, sahen sich zusätzlichen Erpressungsversuchen ausgesetzt.

Künstliche Intelligenz macht Ransomware-Angriffe erheblich erfolgreicher, indem sie Angreifern hilft, überzeugendere Kampagnen für Phishing, Identitätsmissbrauch und den Diebstahl von Anmeldedaten durchzuführen. Dies zeigt der neue „AI-Era Ransomware Report“ 2026 von Proofpoint, einem weltweit führenden Unternehmen für personen- und agentenzentrierte Cybersicherheit. Demnach bestätigen zwei Drittel (66 %) der betroffenen Unternehmen in Deutschland, dass KI die Effektivität der Angriffe erhöht hat. Dies unterstreicht einen umfassenderen Trend: Ransomware-Angriffe sind zunehmend durch die Ausnutzung von Personen, Identitäten und vertrauenswürdiger Kommunikation erfolgreich.

Die Studie basiert auf einer Umfrage unter 953 Cybersicherheitsexperten in 12 Ländern. Sie zeigt unter anderem, dass sich moderne Ransomware-Angriffe von einem einmaligen Verschlüsselungsereignis zu einer anhaltenden Erpressungskampagne entwickelt haben. Angreifer stehlen immer häufiger Zugangsdaten und andere sensible Daten, bevor sie Ransomware einsetzen, nutzen vertrauenswürdige Kommunikation für den Erstzugang und üben durch wiederholte Lösegeldforderungen kontinuierlichen Druck aus.

„KI hat Ransomware nicht grundlegend verändert, aber sie hat die Angriffe deutlich verbessert, die zu Ransomware-Infektionen führen“, erläutert Ryan Kalember, Chief Strategy Officer bei Proofpoint. „Die Angreifer von heute nutzen KI, um hochgradig überzeugende Phishing-E-Mails, Malware-Komponenten wie Skripte und Kampagnen zum Diebstahl von Anmeldedaten zu erstellen, die das menschliche Vertrauen im großen Stil ausnutzen. Unternehmen, die Ransomware und Datenerpressung weiterhin als reines Endgeräte- oder Recovery-Problem behandeln, übersehen die Einfallstore: Personen, Identitäten und vertrauenswürdige Kommunikation.“

Die wichtigsten Ergebnisse für Deutschland:

• Personen sind das wesentliche Ziel für Ransomware-Attacken, und KI verschlimmert die Lage: Mit KI können Angreifer überzeugendere Phishing-Köder erstellen, gezieltere Nachrichten zur Identitätstäuschung verfassen und die Organisationsstrukturen sowie Nachrichtenmuster schneller ausspionieren. Von den deutschen Unternehmen, die einen Ransomware-Angriff erlebten, gaben 26 % an, dass KI die Effektivität des Angriffs erheblich gesteigert hat. Weitere 40 % sagten, dass sie die Effektivität etwas gesteigert hat. Nur 5 % fanden überhaupt keine Belege für den Einsatz von KI.
• Die größten Einfallstore sind alle vom Faktor Mensch abhängig: Wenn deutsche Unternehmen den primären Einstiegspunkt eines Ransomware-Vorfalls identifizierten, deuteten die Ergebnisse klar auf menschliche Interaktion hin. Phishing-E-Mails und andere E-Mail-basierte Social-Engineering-Angriffe waren in 37 % der Fälle das erste Glied der Angriffskette. Schädliche Links und Anhänge (jeweils 45 %) wurden als die häufigsten ersten Bedrohungen identifiziert, gefolgt von Credential Harvesting (Diebstahl von Anmeldedaten) mit 37 % und Business Email Compromise (BEC) mit 26 %. Dies zeigt, dass die erfolgreichsten Ransomware-Kampagnen während des gesamten Angriffslebenszyklus auf vertrauenswürdige Benutzerinteraktion setzen.
• Zahlungen führen zur Eskalation, nicht zur Lösung: Trotz jahrelanger Ratschläge von Strafverfolgungs- und Sicherheitsbehörden, keine Lösegelder zu zahlen, gingen 41 % der betroffenen deutschen Unternehmen auf die Forderungen der Angreifer ein. Mehr als ein Viertel (29 %) derjenigen, die zahlten, sah sich einer zweiten Erpressungsforderung gegenüber. Dies verdeutlicht die Entwicklung von Ransomware-Angriffen von einem einmaligen Ereignis hin zu einer laufenden Kampagne, bei der die Angreifer mehrere Druckmittel gleichzeitig in der Hand halten: die fortlaufende Verschlüsselung, gestohlene Daten und die Drohung mit der Veröffentlichung.
• Verschlüsselung ist nicht mehr das Endziel: Mehr als zwei Drittel (67 %) der deutschen Unternehmen bestätigten, dass während des Vorfalls sensible Daten gestohlen wurden. Bei den aktuellen Ransomware-Kampagnen geht es weniger darum, Systeme zu sperren, als vielmehr darum, Daten, Identitäten und dauerhaften Zugriff zu erlangen. Diese können durch wiederholte Forderungen monetarisiert, auf kriminellen Marktplätzen verkauft oder als Sprungbrett für Sekundärangriffe genutzt werden.
• Angriffe gelingen durch Manipulation: Auf die Frage, warum der Ransomware-Angriff die bestehenden Sicherheitskontrollen umgehen konnte, nannten Befragte aus deutschen Unternehmen Faktoren, die nichts mit technischen Fehlern zu tun haben. 36 % der Unternehmen bestätigen, dass die Mitarbeiter den Angriff nicht vermuteten, weil er authentisch wirkte, während 35 % den Vorfall darauf zurückführten, dass Benutzer direkt mit bösartigen Inhalten interagierten. Dies belegt, dass KI es immer schwieriger macht, Social Engineering von legitimer Geschäftskommunikation zu unterscheiden.
• Auswirkungen von Ransomware im Ländervergleich: Deutsche Unternehmen rangieren bei der Effektivität der erlebten KI-gestützten Angriffe (65 %) im weltweiten Durchschnitt. Ihre Lösegeldzahlungsquote (41 %) liegt hingegen unter dem Durchschnitt. Die Nutzerinteraktion als Umgehung der Sicherheitsmaßnahmen war in Japan (49 %), Indien (49 %) und Singapur (48 %) am höchsten. In diesen Märkten bestand die häufigste Fehlerursache darin, dass Nutzer direkt mit schädlichen Inhalten interagierten, anstatt durch Identitätsbetrug getäuscht zu werden.

Die Ergebnisse unterstreichen, dass Unternehmen Ransomware nicht länger primär als reines Malware-Problem behandeln dürfen. Weil KI Phishing, Identitätsmissbrauch und den Diebstahl von Anmeldedaten immer erfolgreicher macht, bedeutet Ransomware-Prävention vor allem den Schutz von Personen, Identitäten und vertrauenswürdiger Kommunikation, bevor die Angreifer den Endpunkt überhaupt erreichen.

Der vollständige Report von Proofpoint steht unter folgendem Link zur Verfügung: https://www.proofpoint.com/us/resources/threat-reports/ai-era-ransomware-report

Methode

Zwischen März und April 2026 wurden weltweit 953 Vollzeit-Sicherheitsverantwortliche in Unternehmen verschiedener Größen und Branchen befragt. Die Befragten repräsentierten 20 Branchen und verteilten sich auf 12 Länder: die USA, Großbritannien, Frankreich, Deutschland, Italien, Spanien, die VAE, Australien, Japan, Singapur, Indien und Brasilien.

Über Proofpoint

Proofpoint ist ein weltweit führender Anbieter von Cybersicherheitslösungen, die auf Menschen und KI-Agenten zugeschnitten sind. Das Unternehmen schützt die Verbindung von Menschen, Daten und KI-Agenten über E-Mail, Cloud und Collaboration-Tools hinweg. Proofpoint ist ein vertrauenswürdiger Partner für über 80 der Fortune-100-Unternehmen, mehr als 10.000 Großunternehmen und Millionen kleinerer Organisationen, wenn es darum geht, Bedrohungen abzuwehren, Datenverluste zu verhindern und die Resilienz von Menschen und KI-Workflows zu stärken. Die Kollaborations- und Datensicherheitsplattform von Proofpoint unterstützt Unternehmen jeder Größe dabei, ihre Mitarbeitenden zu schützen und zu stärken und KI gleichzeitig sicher und vertrauensvoll einzusetzen.

Weitere Informationen finden Sie unter www.proofpoint.com 

Vernetzen Sie sich mit Proofpoint auf LinkedIn

Proofpoint ist ein eingetragenes Warenzeichen von Proofpoint, Inc. in den USA und/oder anderen Ländern. Alle anderen hier erwähnten Marken sind das Eigentum ihrer jeweiligen Inhaber.