Finanziell motivierte Gruppen – verantwortlich für die Mehrzahl der Angriffe auf den Mittelstand.
Aktivste RaaS-Gruppe nach dem LockBit-Ende; Fokus Mittelstand und Produktion.
Bevorzugter Einstieg: VPN ohne MFA. Besonders gefährlich für KMU.
Massen-Erpressung über Zero-Days in Datei-Transfer-Software.
Hunderte Opfer über ungepatchte Randsysteme – auch in DACH.
Ziele mit geringer Ausfalltoleranz: Kliniken, Industrie, Verwaltung.
Social Engineering: Vishing, SIM-Swapping, Helpdesk-Betrug.
Ransomware-„Kartell“ mit Affiliate-Marken.
Kliniken, Schulen, Behörden; Vice-Society-Wurzeln.
Erpressung und Zugangsverkauf; Fokus Gesundheitswesen.
Rust-Ransomware als Ausweich-Werkzeug erfahrener Angreifer.
2024 gestartet, 2025 rasant in die Spitzengruppe gewachsen.
Code-verwandt mit INC Ransom; KMU-Fokus.
Professioneller Betrieb, heute mit Ransomware-Bezug.
Großvolumige Malware-Kampagnen, eng mit Cl0p verwoben.
Einst dominierend; 2024 durch Operation Cronos zerschlagen.
Rasant gewachsen; überdurchschnittlich viele DACH-Opfer, worm-artige Verbreitung.
Hunters-International-Nachfolger ohne Verschlüsselung; Deutschland stark betroffen.
Nutzte die SharePoint-ToolShell-Zero-Days; Opfer auch in DE und AT.
ClickFix/Fake-Updates plus Zero-Days; Fokus Gesundheitswesen und KRITIS.
Optionaler Wiper zerstört Dateien unwiderruflich – selbst nach Zahlung.
Auf Conti-Code basierende Ransomware; kurze Fristen, dokumentiertes Opfer in Deutschland.
Deutschsprachiger Solo-Erpresser; missbraucht Fernwartungs-Tools und verschlüsselt gezielt frische Dateien.
Junges RaaS mit Windows-, Linux-, ESXi- und NAS-Verschlüsselung; Opfer in Deutschland, Österreich und der Schweiz.
Unabhängige, Babuk-basierte Gruppe mit auffällig starkem DACH-Fokus – Schweiz und Deutschland unter den Top-Ländern.
Neu seit Juni 2026 mit rasantem Wachstum; bereits Opfer in Deutschland und der Schweiz.
RaaS mit ChaCha20/NTRUEncrypt und Drohung, Opfer bei Behörden und Wettbewerbern zu melden; mehrere DACH-Opfer.
Reine Datenerpressung ohne Verschlüsselung; dokumentierte Opfer in Deutschland und Österreich.
Aus RALord hervorgegangenes RaaS mit 85 % Partneranteil; rund 178 Opfer, darunter Deutschland und Österreich.
Phobos-Umfeld mit betont seriöser „Corporate“-Leak-Site; Deutschland unter den Top-3-Zielländern.
Selbsternannte „APT“ aus dem LockBit-Umfeld; auffällig viele Einträge aus DE, AT und CH – Behauptungen prüfen.
Neu seit Juni 2026: Einstieg über VPN-Zugangsdaten, EDR-Abschaltung per verwundbarem Treiber; Deutschland auf Platz zwei.
Go-Verschlüsseler (.8hmlsewu) gegen kleine IT-Dienstleister; mehrere Opfer in Deutschland und der Schweiz.
Schnellster Neuzugang des Sommers 2026: RaaS mit Fokus auf kleine Arzt- und Zahnarztpraxen; bislang ohne DACH-Bezug.
Erpressung ohne Verschlüsselung; 187 Opfer, darunter bekannte deutsche Unternehmen.
Über 300 Opfer, Einstieg über ungepatchte Firewalls; Zwei-Tages-Frist gegen den Mittelstand.
BlackSuit-/Royal-Nachfolger; Fernzugriff per gefälschtem IT-Support-Anruf, verschlüsselt auch ESXi.
Ex-Black-Basta-Partner; Teams-Support-Masche und Quick Assist, 15 deutsche Opfer.
Verschlüsselt ohne Endungsänderung; Industrieopfer in Deutschland und Österreich.
Selektives Partnerprogramm mit DACH-Fokus; Einstieg über gestohlene VPN-Zugänge.
Neu und schnell gewachsen; veröffentlicht Opfer gebündelt Wochen nach dem Angriff.
LockBit-3.0-Codebasis; verschlüsselt auch Dateinamen, Endung wechselt je Kampagne.
Seit 2019 aktiv, Einstieg über offene RDP-Zugänge – nicht mit Medusa zu verwechseln.
Kleines Kernteam mit eigener Go-Ransomware; über 90 Opfer, seit August 2026 auch in Deutschland.
Luna Moth: gefälschte IT-Helpdesk-Anrufe statt Verschlüsselung; Kanzleien im Visier, FBI-Warnung.
Junge Gruppe mit doppelter Erpressung; Opfer in Deutschland und der Schweiz.
Spionage, Sabotage und strategische Positionierung – relevant für KRITIS, Rüstung und deren Zulieferer.
Spearphishing gegen Politik, Verteidigung und Logistik.
Die Gruppe hinter SolarWinds; Cloud- und Lieferkettenangriffe.
Stromausfälle, NotPetya, Wiper – Maßstab für OT-Bedrohungen.
Milliarden-Krypto-Diebstähle und Fake-Job-Kampagnen.
Living off the Land in kritischen Infrastrukturen.
Staatsspionage und Cybercrime zugleich; Supply-Chain.
Regierungen und NGOs via PlugX und USB, auch Europa.
Tiefe Eindringungen in Telekommunikationsnetze.
„Cloud Hopper“: Angriff über IT-Dienstleister.
Gezielte Spionage gegen Politik, Think Tanks, Forschung.
Luftfahrt und Energie; Spionage mit Sabotagepotenzial.
Spionage mit getarnter C2-Kommunikation.
Zugangsdaten über geduldiges Social Engineering.
Missbrauch legitimer Fernwartungssoftware.
Hochentwickelte Spionage, bis zu Satelliten-C2.
Hochfrequente Phishing-Wellen, v. a. gegen die Ukraine.
Gezieltes Credential-Phishing gegen Politik und NGOs.
Aufgelöste, umbenannte oder zerschlagene Gruppen – wichtig zur Einordnung heutiger Nachfolger.
Führende RaaS-Gruppe bis zum Exit-Scam 2024.
Ransomware-Kartell; DNA von Black Basta und BlackSuit.
2023 vom FBI abgeschaltet; Nachfolger Hunters International.
2023 in BlackSuit umbenannt; Conti-Umfeld.
Kaseya und JBS; 2022 Festnahmen in Russland.
Colonial-Pipeline-Angriff; danach eingestellt.
Pionier der Double Extortion.
Schulen und Kliniken; ging ins Rhysida-Umfeld über.
Auffangbecken für Affiliates von LockBit und ALPHV.
Callback-Phishing; Rebranding von Royal, Conti-Wurzeln.
Schlagkräftig aus dem Conti-Umfeld; 2025 durch Leak geschwächt.
Mutmaßlicher Hive-Nachfolger; hohe Schlagzahl.
Reine Datenerpressung ohne Verschlüsselung.
Phobos-Variante gegen KMU; 2025 teils zerschlagen.
Selbstverschlüsselnde Payload, Einstieg über VPN-Lücken.
Seit 2019 gegen Finanz-, Gesundheits- und KRITIS-Ziele.
Einstieg über kompromittierte VPN-Zugänge; oft Bildung.
HelloKitty-Nachfolge (Windows/Linux/ESXi); seit Mitte 2025 verstummt.
Erpressung mit öffentlichem Countdown; CISA/FBI-Warnung.
Lynx-/INC-Ableger; SonicWall-VPN-Einstieg gegen den Mittelstand.
Schaltet rund 30 EDR-/AV-Produkte per Custom-Tool aus.
Diese Übersicht ist bewusst kein „Ranking der gefährlichsten Hacker“: Gruppen benennen sich um, spalten sich auf und wechseln Werkzeuge. Grundlage sind öffentliche Threat-Intelligence-Quellen (BSI-Lagebericht, ENISA Threat Landscape, CISA-Advisories); wir aktualisieren die Profile fortlaufend. Für die akute Bedrohungslage zählt weniger der Name des Angreifers als Ihre Erkennungs- und Reaktionsfähigkeit.