Ransomware hat sich erneut weiterentwickelt. Sie ist schneller, intelligenter und zielgerichteter als je zuvor. Was einst ein lästiges Ärgernis in Form von Datenverschlüsselung war, hat sich zu einem vollwertigen Motor für Betriebsunterbrechungen entwickelt, der durch KI, Automatisierung und eine professionalisierte Cyberkriminalitätswirtschaft angetrieben wird.
Im Jahr 2026 wird es bei Ransomware nicht mehr nur um gesperrte Dateien gehen. Es geht um gestohlene Identitäten, kompromittierte Lieferketten und Betriebslähmungen, die sich innerhalb von Minuten ausbreiten können.
„Agentische KI kann autonom denken, planen und handeln, Angriffe in Echtzeit anpassen und schneller aus den Reaktionen der Verteidiger lernen, als diese reagieren können“, schrieb Govind Rangasamy, Leiter Recovery Solutions und Vizepräsident für Portfolio-Marketing bei Commvault, in seinem Buch „The Cyber Resilience Reckoning“.
In kontrollierten Tests, die in dem Buch zitiert werden, gelang es KI-gesteuerter Ransomware, Daten 100-mal schneller vollständig zu exfiltrieren als menschlichen Angreifern. Dies stellt einen grundlegenden Wandel dar, der ebenso intelligente Abwehrmaßnahmen erfordert.
Für CISOs und IT-Führungskräfte wird 2026 das Jahr sein, in dem Resilienz die Prävention als wahren Maßstab für die Bereitschaft ablöst.
Trend 1: Agentenbasierte KI-Ransomware übernimmt die Führung
Angreifer setzen mittlerweile agentenbasierte KI oder autonome Systeme ein, die Kampagnen von Anfang bis Ende planen und durchführen. Im Gegensatz zu herkömmlichen Tools, die Skripten folgen, können sich diese KI-Agenten an Netzwerkabwehrmaßnahmen anpassen, die Nutzlast während eines Angriffs ändern und aus Erkennungsreaktionen lernen.
Diese Fähigkeit könnte herkömmliche Strategien überflüssig machen. Verteidiger müssen Angriffen, die mit der Geschwindigkeit einer Maschine erfolgen, mit KI-gestützter Erkennung, Verhaltensanalysen und automatisierten Wiederherstellungstests begegnen, die die Integrität der Wiederherstellung kontinuierlich überprüfen.
Trend 2: Identitätsvertrauen wird zum neuen Perimeter
Nach Jahren, in denen der Schwerpunkt auf „identitätszentrierter“ Sicherheit lag, markiert das Jahr 2026 eine neue Etappe. Nicht mehr nur die Zugriffskontrolle, sondern auch das Vertrauen in die Identität wird die Cyber-Resilienz bestimmen.
Angreifer nutzen gestohlene Tokens, API-Schlüssel und falsch konfigurierte Berechtigungen aus, um sich in hybriden Umgebungen zu bewegen, ohne Warnmeldungen auszulösen. Die Herausforderung besteht nicht mehr darin, zu überprüfen, wer jemand ist. Es geht darum zu wissen, ob dieser Identität nach einer Kompromittierung noch vertraut werden kann.
Wie Rangasamy schreibt: „Bei Resilienz geht es nicht darum, Misserfolge zu vermeiden. Es geht darum, sich davon wieder zu erholen.“
Die fortlaufende Überprüfung und die saubere, nachvollziehbare Wiederherstellung der Identitätsinfrastruktur tragen dazu bei, das Vertrauen schneller wiederherzustellen, als Angreifer es für ihre Zwecke missbrauchen können.
Trend 3: Beschleunigte SaaS-Angriffe auf Lieferketten und SaaS
Ransomware-Banden nehmen zunehmend Drittanbieter und SaaS ins Visier, wo ein einziger Angriff Hunderte von Unternehmen betreffen kann. RaaS-Plattformen automatisieren mittlerweile die Erkundung von Lieferantenbeziehungen und legen dabei gemeinsam genutzte Anmeldedaten, CI/CD-Pipelines und API-Verbindungen offen.
Es ist davon auszugehen, dass die Vorschriften für 2026 Nachweise zur Ausfallsicherheit von Anbietern verlangen werden. Dies bedeutet nicht nur SOC-2-Berichte, sondern auch Nachweise zur Wiederherstellungsfähigkeit über Abhängigkeiten hinweg.
Trend 4: Ransomware-as-a-Service hält Einzug in Unternehmen
Was einst einem Hacker-Marktplatz ähnelte, funktioniert heute wie ein Software-Franchise. RaaS-Betreiber bieten ihren Partnern gestaffelte Preise, technischen Support und Anpassungsmöglichkeiten.
Diese Industrialisierung der Cyberkriminalität bedeutet, dass selbst wenig qualifizierte Akteure KI-gestützte Ransomware-Kits mieten können. Unternehmen müssen RaaS als echten Branchenkonkurrenten betrachten, der innovativer ist als die meisten Unternehmensverteidiger.
Trend 5: Zunahme von Datenerpressung und Deepfake-Erpressung
Angriffe, die ausschließlich auf Verschlüsselung abzielen, werden immer seltener. Angreifer kombinieren nun Datendiebstahl, KI-generierte Deepfakes und synthetische Kommunikation, um Zahlungen zu erzwingen oder den Ruf von Unternehmen zu schädigen. Diese neue Welle psychologischer Ransomware macht nicht nur Technologie, sondern auch Vertrauen selbst zu einer Waffe.
Trend 6: Resilienz wird zum entscheidenden Maßstab
Führende Unternehmen verlagern ihren Fokus von der Verteidigung hin zu nachgewiesener Resilienz.
Rangasamy definiert echte Cyber-Resilienz als „Wiederherstellung des Vertrauens“ – die nachgewiesene Fähigkeit, geschäftskritische Anwendungen innerhalb weniger Stunden wiederherzustellen.
Geschwindigkeit allein reicht nicht mehr aus. Die Recovery-Prozesse müssen sauber sein, nicht nur schnell.
Das Whitepaper von Commvault „Redefining Cyber Recovery: Introducing Mean Time to Clean Recovery“ stellt MTCR als neuen Maßstab für den Erfolg der Recovery-Prozesse vor.
MTCR misst, wie schnell ein Unternehmen wichtige Dienste mithilfe verifizierter, fehlerfreier Daten wiederherstellen kann, und schließt damit die von Commvault als „Cyber-Resilienz-Lücke“ bezeichnete Lücke. Es geht über herkömmliche Ziele für Wiederherstellungszeit und Wiederherstellungspunkt hinaus und konzentriert sich auf Vertrauen, Validierung und Datenintegrität – die Faktoren, die darüber entscheiden, ob die Wiederherstellung wirklich funktioniert.
Zu den wichtigsten Säulen der Resilienz gehören nun:
- Unveränderliche, regelmäßig validierte Backups mit Luftspalt.
- Automatisierte, richtliniengesteuerte Wiederherstellungen ganzer Anwendungsstacks.
- Laufende Chaos-Tests, um Schwachstellen aufzudecken, bevor Angreifer dies tun.
- Messung und Berichterstattung von MTCR.
- Einheitliche Transparenz über Daten, Identitäten und Infrastruktur hinweg.
Trend 7: Cyberversicherungen und strengere Vorschriften
Regierungen und Versicherer verlangen zunehmend Nachweise für validierte Recovery- und getestete Wiederaufbaukapazitäten. Unternehmen, die eine Cleanroom Recovery und verifizierte Datenintegrität nachweisen können, profitieren von schnelleren Schadensregulierungen und einer besseren regulatorischen Stellung. Der Nachweis von Resilienz wird schnell genauso wichtig wie Finanzprüfungen.
Die Quintessenz
Ransomware hat sich zu einer datengesteuerten, durch KI beschleunigten Branche entwickelt. Das Überleben hängt mittlerweile weniger davon ab, jeden Angriff abzuwehren, als vielmehr davon, sich schneller zu erholen, als der Angreifer sich anpassen kann. Ihre Resilienz – gemessen in Stunden statt in Tagen – ist heute ein Wettbewerbsvorteil.
Rangasamy kommt zu folgendem Schluss: „Die Unternehmen, die sich heute die ‚Rebuild‘-Funktion zu eigen machen, werden die Angriffe von morgen nicht nur überstehen, sondern gestärkt aus ihnen hervorgehen.“
Mehr erfahren
Dieser Blog basiert auf Erkenntnissen aus „The Cyber Resilience Reckoning“ (O’Reilly Media, 2025) von Govind Rangasamy, Leiter Recovery Solutions und Vice President of Portfolio Marketing bei Commvault, sowie aus dem Commvault-Whitepaper „Redefining Cyber Recovery: Introducing Mean Time to Clean Recovery“. Weitere Informationen zu agentenbasierter KI, Cyber Recovery und Resilienzmetriken finden Sie auf Readiverse.
Katherine Demacopoulous ist Senior Director für globale Inhaltsstrategie und Programme bei Commvault.
