Die Einnahmen aus Ransomware-Angriffen sind im Jahr 2025 auf rund 820 Millionen USD gesunken, und das zum zweiten Mal in Folge, obwohl die Anzahl der Angriffe um 50 Prozent gestiegen ist.
Die Zahlungen im Zusammenhang mit Ransomware sind laut Chainalysis um etwa acht Prozent zurückgegangen. Dies markiert den zweiten aufeinanderfolgenden Rückgang der Zahlungen, während gleichzeitig die gemeldeten Angriffe erheblich zugenommen haben. Der Bericht verdeutlicht, dass die Diskrepanz zwischen der Zunahme der Angriffe und dem Rückgang der Zahlungen die Veränderungen innerhalb der Ransomware-Branche widerspiegelt.
Ransomware-Zahlungen im Jahr 2025
Im Kapitel über Ransomware des Crypto Crime Reports 2026 hat Chainalysis festgestellt, dass die Akteure im Jahr 2025 mehr als 820 Millionen USD an On-Chain-Zahlungen generiert haben. Dies stellt einen Rückgang von acht Prozent im Vergleich zur Schätzung für 2024 dar, die bei 892 Millionen USD lag. Es besteht jedoch die Möglichkeit, dass die Gesamtsumme für 2025 noch ansteigt, da Chainalysis darauf hinweist, dass der endgültige Betrag möglicherweise 900 Millionen USD erreichen oder sogar überschreiten könnte. Im Vorjahr wurde die erste Schätzung von 813 Millionen USD ebenfalls nachträglich angehoben.
Obwohl die Gesamtzahlungen relativ stabil blieben, nahm die Aktivität im Bereich Ransomware stark zu. Daten von eCrime.ch zeigen, dass die Zahl der gemeldeten Ransomware-Opfer im Jahr 2025 um 50 Prozent gestiegen ist, was es zum aktivsten Jahr in dieser Hinsicht macht. Trotz des Anstiegs der Angriffe sank der Anteil der gezahlten Lösegelder auf 28 Prozent, was einen neuen Tiefpunkt darstellt.
Gründe für den Rückgang der Zahlungen
Chainalysis nennt mehrere Faktoren, die zu dieser Entwicklung beigetragen haben. Ein verbessertes Krisenmanagement und strengere Vorschriften führen dazu, dass weniger häufig gezahlt wird. Zudem haben internationale Strafverfolgungsmaßnahmen gegen die Täter und Geldwäsche-Netzwerke dazu beigetragen, dass einige Einnahmequellen eingeschränkt wurden. Weitere Informationen zu den Auswirkungen der Cyberkriminalität zeigen, dass die Branche sich verändert.
„In einigen Fällen führte die Einführung von Varianten wie VolkLocker, die aufgrund einer kryptografischen Schwäche in bestimmten Fällen eine kostenlose Entschlüsselung ermöglichten, dazu, dass technische Gegenmaßnahmen von Verteidigern eine Ransomware-Variante stoppen konnten“, erläutert der Bericht.
Bitcoin bleibt das bevorzugte Zahlungsmittel
Obwohl die Gesamtsumme der Zahlungen relativ konstant blieb, stieg der durchschnittliche Erpressungsbetrag im Jahr 2025 erheblich an. Der Median der Zahlungen erhöhte sich um 368 Prozent, von 12.738 USD im Jahr 2024 auf 59.556 USD im Jahr 2025.
Jacqueline Koven, Leiterin für Cyber Threat Intelligence bei Chainalysis, erklärte gegenüber BeInCrypto, dass der Anstieg des mittleren Betrags wahrscheinlich durch einige sehr hohe Ausreißerzahlungen verursacht wurde und nicht durch eine Rückkehr zu gezielten Großangriffen wie in der Vergangenheit. „Ransomware-Akteure sind opportunistisch, und wir beobachten weiterhin Opfer aus Unternehmen jeder Größe“, fügte sie hinzu.
Koven betonte zudem, dass Bitcoin (BTC) nach wie vor das bevorzugte Zahlungsmittel für Ransomware-Akteure ist. Trotz der Risiken, die mit der Transparenz von BTC verbunden sind, nutzen die Täter es, weil es international, schnell, leicht handelbar und benutzerfreundlich ist. „Bitcoin wird weiterhin für Ransomware-Zahlungen bevorzugt“, ergänzte sie. Auch die Frage, ob Bitcoin-ATMs von einer Regulierung betroffen sein könnten, bleibt relevant.
Initial Access Broker und die wachsende Bedrohung
Der Bericht hebt hervor, dass Ransomware durch ein umfangreicheres cyberkriminelles Netzwerk unterstützt wird, zu dem auch Initial Access Broker (IAB) und andere spezialisierte Anbieter gehören. Diese Broker ermöglichen den Zugang zu bereits kompromittierten Netzwerken, was es Partnern erleichtert, Ransomware einzusetzen.
Chainalysis schätzt, dass die Initial Access Broker im Jahr 2025 mindestens 14 Millionen USD an On-Chain-Zahlungen erhalten haben. Diese Zahl ist im Vergleich zum Vorjahr nahezu konstant geblieben. Auch wenn sie im Verhältnis zu den Gesamteinnahmen gering ist, verdeutlicht sie die „entscheidende Bedeutung“ dieser Zahlungen.
„Es ist wichtig zu beachten, dass nicht alle Zahlungen an IABs von Ransomware-Gruppen stammen. IABs handeln Zugänge untereinander, und einige kriminelle Akteure verfolgen andere Ziele. Zudem können nicht alle Ransomware-Angriffe auf Initial Access Broker zurückgeführt werden – es gibt verschiedene Wege, um Zugang zu Netzwerken zu erlangen. Dennoch lässt sich ein Zusammenhang zwischen den Investitionen von Kriminellen und den darauf folgenden Ransomware-Angriffen erkennen“, erklärte Chainalysis.
Frühindikatoren für Ransomware-Aktivitäten
Laut dem Bericht können die Aktivitäten der IABs als Frühindikator dienen. On-Chain-Analysen zeigen, dass Anstiege bei Zahlungen an IABs in der Regel etwa 30 Tage vor einem Anstieg der Ransomware-Zahlungen und der Veröffentlichungen von Opfern auftreten.
„Zahlungen an IABs bieten einen wertvollen Einblick in die Ransomware-Welt. Auch wenn sich viele Ransomware-Gruppen aufteilen oder umbenennen, bleibt die Abhängigkeit von IABs bestehen. Zahlungen an IABs und für Infrastruktur können auf eine bevorstehende Angriffswelle hinweisen“, sagte Koven gegenüber BeInCrypto.
Fazit zur Ransomware-Situation 2025
Chainalysis betont, dass die Geschichte der Ransomware im Jahr 2025 nicht nur über die Einnahmen verstanden werden kann. Obwohl die Zahlungen auf der Blockchain gesunken sind, sind die Angriffe größer, ausgeklügelter und haben gravierendere Auswirkungen. Unternehmen jeder Größe, von großen Automobilherstellern bis hin zu regionalen Gesundheitsdienstleistern, wurden erpresst. Dies führte zu Störungen in den Abläufen, einem Vertrauensverlust und finanziellen Schäden, die weit über die offiziell gezahlten Lösegelder hinausgehen. Ein Beispiel für die Entwicklungen in Deutschland ist die geplante Ripple-Freigabe ab 2026.
Schreibe einen Kommentar