Der Jahresbericht 2026 der ENISA, der Europäischen Agentur für Cybersicherheit, liest sich nicht mehr nur als technisches Bulletin, sondern als Weltlagebericht. Ransomware-Angriffe kosteten globale Unternehmen im Jahr 2025 über 60 Milliarden US-Dollar – Versicherungen, Lösegelder, Betriebsunterbrechungen, Wiederaufbau – das Dreifache des Niveaus von 2020. Über die Zahlen hinaus hat sich die Art der Bedrohung selbst geändert.
Ransomware ist zur Industrie geworden
Das Modell Ransomware-as-a-Service (RaaS) – spezialisierte Gruppen, die ihre Angriffsinfrastruktur an Affiliates gegen eine Provision auf die Lösegelder vermieten – hat sich konsolidiert. Einige Familien (LockBit in seinen aufeinanderfolgenden Versionen, ALPHV/BlackCat, Cl0p, Akira, RansomHub) konzentrieren einen Großteil der Angriffe. Die von Europol, dem FBI und der britischen NCA koordinierten Zerschlagungen (Operationen Cronos, Endgame, Morpheus) haben das Ökosystem vorübergehend gestört, ohne es zu zerstören: Eine zerschlagene Gruppe wird in der Regel innerhalb weniger Monate ersetzt.
Das bevorzugte Ziel hat sich geändert. Neben den traditionell angegriffenen Großunternehmen sind lokale Gebietskörperschaften, Krankenhäuser und industrielle KMU zu den neuen Schwachstellen geworden. In Frankreich verzeichnete die ANSSI im Jahr 2025 über 300 große Vorfälle, die wichtige Betreiber oder Gemeinden betrafen, gegenüber 187 im Jahr 2022.
Die wichtigsten Zahlen zur Cybersicherheit 2026
60 Mrd. US-Dollar: Weltweite jährliche Kosten von Ransomware im Jahr 2025.
+220 %: Anstieg der Angriffe auf Krankenhäuser zwischen 2020 und 2025.
300+: Von der ANSSI in Frankreich im Jahr 2025 erfasste größere Vorfälle.
NIS2: EU-Richtlinie, die Anfang 2026 in 26 Mitgliedstaaten vollständig umgesetzt wurde.
Cyber Resilience Act: Progressive Inkraftsetzung 2024-2027, Sanktionen bis zu 2,5 % des weltweiten Umsatzes.
2030: Horizont, ab dem ein Quantencomputer RSA-2048 knacken könnte, gemäß den pessimistischsten Prognosen (vs. 2040 im Konsens).
3: Vom NIST im Jahr 2024 standardisierte post-quantische Algorithmen: ML-KEM, ML-DSA, SLH-DSA.
Die Quantenbedrohung: noch theoretisch, bereits operativ
Das Aufkommen eines Quantencomputers, der die aktuelle asymmetrische Kryptographie (RSA, ECC) knacken kann, bleibt für den Zeitraum 2030-2040 hypothetisch. Doch die Bedrohung „jetzt ernten, später entschlüsseln“ – das Abfangen verschlüsselter Daten heute, um sie morgen zu entschlüsseln – drängt Regierungen zur Voraussicht. Die Vereinigten Staaten haben ihren Bundesverwaltungen eine vollständige Migration zu post-quantischer Kryptographie bis 2035 auferlegt. Europa, über ENISA, ANSSI und das deutsche BSI, empfiehlt kritischen Betreibern, ihre Krypto-Agilität bereits ab 2026 aufzubauen: die Fähigkeit, kryptografische Algorithmen schnell zu ersetzen, ohne die Systeme neu schreiben zu müssen.
Das NIST standardisierte im August 2024 drei post-quantische Algorithmen: ML-KEM (Schlüsselaustausch), ML-DSA und SLH-DSA (Signaturen). Die ersten operationellen Implementierungen (hybrides TLS 1.3, Firmware-Signaturen) begannen 2025, hauptsächlich bei großen Cloud-Anbietern (Google, AWS, Cloudflare) und sensiblen Verwaltungen.
NIS2 und Cyber Resilience Act: Europa reguliert, Europa sanktioniert
Die NIS2-Richtlinie, die Anfang 2026 in 26 Mitgliedstaaten umgesetzt wurde, erweitert den Geltungsbereich der Cybersicherheitsverpflichtungen auf Energie, Verkehr, Gesundheit, Banken, digitale Infrastrukturen, aber auch öffentliche Verwaltung, Raumfahrt, Abfallwirtschaft und bestimmte KMU. Die Sanktionen erreichen 10 Millionen Euro oder 2 % des weltweiten Umsatzes.
Der Cyber Resilience Act (CRA), der Ende 2024 mit einer schrittweisen Anwendung bis 2027 in Kraft trat, verpflichtet erstmals zu Cybersicherheit by Design für alle in der EU verkauften vernetzten Produkte – vom Wi-Fi-Router bis zum vernetzten Auto. Für Softwarehersteller und Hardwarehersteller ist der Konformitätsaufwand enorm: technische Dokumentation, Schwachstellenmanagement, garantierte Sicherheitsupdates über die gesamte Produktlebensdauer.
„Cybersicherheit ist kein technisches Thema mehr. Es ist ein Thema der Unternehmensführung und zunehmend ein Thema der Staatsführung.“ – Vincent Strubel, Generaldirektor der ANSSI, Anhörung im französischen Senat, Februar 2026.
Wichtige Erkenntnisse
60 Mrd. US-Dollar: Weltweite jährliche Kosten von Ransomware.
RaaS strukturiert nun die Cyber-Kriminalwirtschaft.
NIS2 Anfang 2026 in 26 Mitgliedstaaten vollständig umgesetzt.
CRA schreibt Cybersicherheit by Design für alle vernetzten Produkte vor.
Quantenbedrohung: Post-Quanten-Migration für kritische Betreiber ab 2026 empfohlen.
Drei NIST-standardisierte Algorithmen: ML-KEM, ML-DSA, SLH-DSA.
