Ransomware Q2 2026: EDR-Kill-Methoden werden Standard bei Angriffen

Halcyon-Report zeigt: Ransomware-Gruppen setzen zunehmend auf KI und automatisierte Angriffe. Fertigungssektor bleibt Hauptziel.

Im Bereich der Cybersicherheit hat sich eine signifikante Verschiebung der Angriffstaktiken vollzogen. Laut dem aktuellen „Q2 2026 Ransomware Evolution Report“ des Sicherheitsunternehmens Halcyon ist der Einsatz von Techniken zur Deaktivierung von Endpoint Detection and Response (EDR), sogenannte EDR-Kill-Methoden, mittlerweile zum Standardvorgehen bei Ransomware-Gruppen avanciert. Diese Entwicklung deutet darauf hin, dass herkömmliche Sicherheitsmechanismen von Angreifern immer systematischer umgangen werden.

Rückgang der Fallzahlen bei steigender technischer Komplexität

Der Bericht dokumentiert für das zweite Quartal des Jahres insgesamt 1.988 behauptete Angriffe, die von 89 verschiedenen Gruppen in 101 Ländern verübt wurden. Trotz der technologischen Verfeinerung der Angriffsmethoden verzeichnete die Branche im Vergleich zum vorangegangenen Quartal einen leichten Rückgang der Vorfälle um 5,7 %.

Besonders stark im Visier der Cyberkriminellen steht weiterhin die Industrie. Mit einem Anteil von 19,8 % an allen dokumentierten Vorfällen bleibt der Fertigungssektor das am stärksten betroffene Ziel. Diese Branche gilt aufgrund ihrer Abhängigkeit von kontinuierlichen Betriebsabläufen als besonders anfällig für Erpressungsversuche.

Führende Akteure und beschleunigte Verschlüsselungsprozesse

Im Hinblick auf die Aktivität einzelner Gruppierungen identifizierte Halcyon klare Spitzenreiter. Die Gruppe Qilin war mit 293 Angriffen am aktivsten, gefolgt von „The Gentlemen“ mit 214 Vorfällen. Weitere bedeutende Akteure waren DragonForce mit 143, Akira mit 119 und LockBit 5.0 mit 102 registrierten Angriffen.

Anzeige

Angesichts der zunehmenden Professionalisierung von Ransomware-Gruppen müssen Unternehmen ihre Abwehrstrategien proaktiv verstärken. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt auf, wie Sie Sicherheitslücken ohne hohe Investitionen schließen können. IT-Sicherheit stärken und Unternehmen proaktiv schützen

Ein besonderes Augenmerk legten die Analysten auf die Geschwindigkeit der Angreifer. Die Gruppen DragonForce und Akira seien mittlerweile in der Lage, die vollständige Verschlüsselung der Zielsysteme in weniger als einer Stunde nach dem ersten Einbruch durchzuführen. Diese hohe Geschwindigkeit erschwert es IT-Sicherheitsabteilungen erheblich, rechtzeitig auf eine laufende Kompromittierung zu reagieren.

Operativer Einsatz von KI und agentischer Ransomware

Der Bericht beleuchtet zudem den Einzug Künstlicher Intelligenz in den operativen Bereich der Internetkriminalität. KI werde inzwischen über die gesamte Kette eines Angriffs hinweg eingesetzt. Erstmals beobachteten Forscher den Einsatz sogenannter agentischer Ransomware, die in der Lage ist, Eindringphasen autonom durchzuführen.

Ein Beispiel für diese neue Generation von Schadsoftware ist „EvilAI“, ein Programm, das sich als harmlose Produktivitäts-App tarnte. Diese Entwicklung markiert eine neue Stufe der Automatisierung, bei der menschliche Interaktion auf Seiten der Angreifer zunehmend durch intelligente Systeme ersetzt wird.

Anzeige

Der Einsatz von KI in Cyberangriffen schafft neue Risiken, die auch rechtliche Konsequenzen für betroffene Firmen haben können. Erfahren Sie in diesem kostenlosen Report, welche Anforderungen die neue EU-KI-Verordnung stellt und wie Unternehmen ihre KI-Systeme rechtssicher dokumentieren. EU-KI-Verordnung: Jetzt kostenlosen Umsetzungsleitfaden sichern

Strategische Entwicklungen und staatliche Akteure

Neben der Automatisierung zeigt sich eine hohe technische Kompetenz bei der Analyse fremder Schadsoftware. Die Gruppe „The Gentlemen“ habe im Juni die Quellcodes bekannter Ransomware-Varianten wie Babuk, Qilin, LockBit 5.0 und Medusa rückentwickelt, um deren Funktionen für eigene Zwecke zu nutzen oder zu modifizieren.

Zusätzlich verschwimmen die Grenzen zwischen finanziell motivierter Kriminalität und staatlicher Spionage. Laut Halcyon wurden Akteure mit Verbindungen zum Iran beobachtet, die klassische Spionageoperationen als Ransomware-Angriffe tarnten. Dieses Vorgehen dient vermutlich dazu, die wahren Absichten der Eindringlinge zu verschleiern und die betroffenen Organisationen über das tatsächliche Ziel des Angriffs im Unklaren zu lassen.