Was Sophos 2025 über Ransomware richtig erkannt hat — und die Backup-Frage, die niemand stellt | BackupSec Knowledge Base
13. Mai 2026·11 Min. Lesezeit
Was Sophos 2025 über Ransomware richtig erkannt hat — und die Backup-Frage, die niemand stellt
Die Nutzung der Backup-Wiederherstellung sank im Sophos-Ransomware-Report 2025 von 73 % auf 53 % — ein Vierjahrestief. Warum das Vertrauen in Backups jetzt die entscheidende Kennzahl ist.
von BackupSec Team
Eine unauffällige Zahl, die Alarm auslösen sollte
Jedes Jahr veröffentlicht Sophos seinen Bericht State of Ransomware, der auf einer herstellerunabhängigen Befragung von Tausenden IT- und Cybersecurity-Verantwortlichen beruht. Für die Ausgabe 2025 wurden 3.400 Befragte in 17 Ländern befragt, darunter 1.733 aus Enterprise-Organisationen (über 1.000 Mitarbeitende). Die zentralen Ergebnisse lesen sich überzeugend: Die Datenverschlüsselungsraten sinken, die Wiederherstellung wird schneller, und immer mehr Organisationen weigern sich, das Lösegeld zu zahlen.
Doch tief in den Enterprise-Daten verbirgt sich eine Zahl, die auf dem Whiteboard jedes CISO stehen sollte:
Der Anteil der Organisationen, die Backups zur Wiederherstellung nach Ransomware-Angriffen nutzen, sank von 73 % im Jahr 2024 auf 53 % im Jahr 2025 — ein Vierjahrestief.
Lesen Sie das noch einmal. In dem Jahr, in dem Verteidiger angeblich besser darin wurden, Ransomware zu stoppen, wurden sie messbar schlechter darin, sich bei der Wiederherstellung auf ihre eigenen Backups zu verlassen.
Das ist keine belanglose Fußnote. Es ist die strategisch wichtigste Erkenntnis im gesamten Sophos-Datensatz — und fast niemand spricht darüber.
Bei BackupSec lesen wir den Sophos-Bericht 2025 anders als die meisten Analystenzusammenfassungen. Die Schlagzeilen-Zahlen erzählen die eine Geschichte; die zugrunde liegenden operativen Daten erzählen eine andere. Dieser Artikel zeigt, was der Bericht aus unserer Sicht tatsächlich über moderne Ransomware-Resilienz offenbart — und warum das Backup-Vertrauen klammheimlich zur wichtigsten Kennzahl der Cyberabwehr in Unternehmen geworden ist.
Die oberflächliche Erzählung: Die Verteidigung gewinnt
Beginnen wir mit den guten Nachrichten, denn die gibt es tatsächlich.
Laut Sophos:
Die Datenverschlüsselungsraten fielen weltweit auf 50 % — der niedrigste Wert in der sechsjährigen Geschichte des Berichts, gegenüber 70 % im Vorjahr.
In Enterprise-Organisationen sanken die Verschlüsselungsraten auf nur noch 49 %, gegenüber 66 % im Jahr 2024.
Der Anteil der Angriffe, die vor der Verschlüsselung gestoppt wurden, hat sich innerhalb von zwei Jahren mehr als verdoppelt — von 22 % im Jahr 2023 auf 47 % im Jahr 2025.
Die durchschnittlichen Wiederherstellungskosten sanken weltweit von 2,73 Millionen $ auf 1,53 Millionen $.
Die mittlere Lösegeldzahlung fiel um 50 % — von 2 Millionen $ im Jahr 2024 auf 1 Million $ im Jahr 2025.
53 % der Organisationen hatten sich innerhalb einer Woche vollständig wiederhergestellt — ein deutlicher Anstieg gegenüber 35 % im Vorjahr.
Würde man nur diese Zahlen lesen, käme man zu dem Schluss, dass die Branche die Wende geschafft hat. EDR reift heran. Die Erkennungszeiten sinken. Verhandlungen werden ausgefeilter. Versicherer drängen stärker auf Mindeststandards. Alles richtig.
Doch dann gelangt man zu den Wiederherstellungsdaten — und die Geschichte ergibt keinen Sinn mehr.
Der Widerspruch, der alles offenbart
Hier ist der Datenpunkt, der die optimistische Erzählung zerbricht:
Von den Enterprise-Organisationen, die 2025 von Ransomware getroffen wurden, nutzten nur 53 % Backups, um ihre verschlüsselten Daten wiederherzustellen. Nur ein Jahr zuvor lag dieser Wert noch bei 73 %. Gleichzeitig zahlten 48 % der Unternehmen trotzdem das Lösegeld — weitgehend unverändert gegenüber den Vorjahren.
Mit anderen Worten: Verschlüsselung kommt seltener vor, aber wenn sie eintritt, vertrauen weniger Organisationen darauf, dass ihre Backups sie aus der Lage befreien. Stattdessen greifen sie zum Geldbeutel.
Sophos' eigene Analyse umschreibt dies als „geringeres Vertrauen in die Backup-Wiederherstellungsfähigkeiten“. Das ist eine höfliche Art, etwas Schärferes auszudrücken:
Die Backup-Infrastruktur, von der man Unternehmen versprach, sie würde sie schützen, versagt in realen Vorfällen.
Das ist der Widerspruch im Kern des Berichts 2025. Verteidiger werden besser darin, Angriffe frühzeitig zu stoppen. Doch sobald ein Angriff tatsächlich gelingt und Daten verschlüsselt werden, wird die Wiederherstellungsebene, die das Sicherheitsnetz sein sollte, zunehmend umgangen — zugunsten von Zahlungen an Kriminelle.
Das ist keine Geschichte darüber, dass Ransomware schwerer abzuwehren wird. Es ist eine Geschichte darüber, dass die Backup-Architektur bloßgestellt wird.
Warum versagen Backups im entscheidenden Moment?
Der Sophos-Bericht beantwortet diese Frage nicht direkt, doch die umliegenden Datenpunkte fügen sich zu einem stimmigen Bild zusammen. Aus architektonischer Sicht erklären drei Muster den Einbruch des Backup-Vertrauens.
Muster 1: Backups werden zusammen mit der Produktion kompromittiert
Der Bericht 2025 zeigt, dass 75 % der Ransomware-Angriffe inzwischen eine Datenexfiltration vor der Verschlüsselung umfassen. Das bedeutet, dass moderne Bedrohungsakteure Tage oder Wochen im Netzwerk verbringen, kritische Systeme — einschließlich der Backup-Infrastruktur — identifizieren und darauf zugreifen, bevor sie überhaupt die Verschlüsselungs-Payload einsetzen.
Bei Incident-Response-Einsätzen, die wir branchenweit beobachten, wird diese Verweildauer durchgängig für eine bestimmte Sache genutzt: das Backup-Repository aufzuspüren, seine Zugangsdaten abzugreifen und es entweder zu verschlüsseln, zu beschädigen oder seine Aufbewahrungsrichtlinien zu löschen — Stunden bevor die Produktions-Payload zündet.
Wenn Ihr Backup-System eine Domäne, einen Identity-Provider oder einen Satz von Zugangsdaten mit Ihrer Produktionsumgebung teilt, ist es keine Wiederherstellungsebene. Es ist das zweite Ziel in der Kill Chain.
Muster 2: „Backup erfolgreich“ ist nicht gleich „Wiederherstellung erfolgreich“
Die Daten von Sophos zeigen die menschlichen Kosten deutlich: Alle Befragten in Organisationen, deren Daten verschlüsselt wurden, berichteten, dass ihre IT-/Cybersecurity-Teams in irgendeiner Form beeinträchtigt waren. Erhöhter Stress (40 % der Enterprise-Befragten), zunehmender Druck von der Führungsebene (41 %) und Führungswechsel nach dem Vorfall waren allesamt häufige Folgen.
Ein Muster, das in diesen Geschichten immer wiederkehrt, ist, dass das Team mitten im Vorfall feststellt, dass die seit Jahren betriebenen Backups sich tatsächlich nicht mit der Geschwindigkeit oder Vollständigkeit wiederherstellen lassen, die das Unternehmen benötigt. Die Job-Protokolle sagen „erfolgreich“. Die Wiederherstellung erzählt eine andere Geschichte.
Genau das ist der Fehlerfall, den die „0“ in der 3-2-1-1-0-Regel adressieren sollte: null Fehler bei der Backup-Verifizierung. Doch Verifizierung ist etwas, das die meisten Organisationen zu tun behaupten und sehr wenige kontinuierlich, im großen Maßstab und gegen die tatsächlichen Wiederherstellungsszenarien durchführen, denen sie in einem echten Vorfall begegnen werden.
Muster 3: Die organisatorische Ebene ist das schwächste Glied
Erstmals fragte Sophos 2025 die Befragten nach den organisatorischen Faktoren, die dazu beigetragen haben, dass sie getroffen wurden. Die Ergebnisse sind bemerkenswert:
40,2 % nannten „mangelndes Fachwissen“ — unzureichende Fähigkeiten oder Kenntnisse, um den Angriff rechtzeitig zu erkennen und zu stoppen.
40,1 % nannten „unbekannte Sicherheitslücken“ — Schwachstellen in ihren Abwehrmaßnahmen, von denen sie nichts wussten.
Die Befragten identifizierten im Durchschnitt 2,7 beitragende Faktoren pro Vorfall.
Übersetzt aus der Sprache der Umfragen: Enterprise-Security-Teams wissen, dass sie unterbesetzt sind, wissen, dass sie blinde Flecken haben, und wissen, dass die Komplexität ihre Fähigkeit, sie zu beherrschen, überholt hat. Die Backup-Infrastruktur — typischerweise die am wenigsten geschätzte, am wenigsten modernisierte Ebene des Enterprise-Stacks — liegt genau am Schnittpunkt aller drei Schwächen.
Wenn die Personen, die Ihre Backup-Umgebung betreiben, dieselben sind, die Incident Response, Patching, Identitätsverwaltung und ein Dutzend weiterer Prioritäten verantworten, erhält die Backup-Ebene nicht die architektonische Aufmerksamkeit, die sie braucht. Und wenn sie dann in einem Vorfall liefern soll, tut sie es nicht.
Was die branchenspezifischen Berichte zum Bild beitragen
Sophos veröffentlichte mehrere branchenspezifische Auswertungen der Daten von 2025, und jede fügt eine beachtenswerte Nuance hinzu.
In der Fertigungsindustrie fielen die Verschlüsselungsraten auf ein Fünfjahrestief von 40 %, doch das mittlere gezahlte Lösegeld erreichte dennoch 1 Million $, und 47 % der Hersteller berichteten von erhöhtem Stress im Team nach einem Vorfall. Die Abhängigkeit der Branche von operativer Kontinuität — bei der Minuten der Ausfallzeit durch ganze Lieferketten wellen — macht das Vertrauen in die Wiederherstellung existenziell wichtig.
Im Einzelhandel wurden 46 % der Vorfälle auf eine unbekannte Sicherheitslücke zurückgeführt, und 58 % der Organisationen mit verschlüsselten Daten zahlten das Lösegeld — die zweithöchste Zahlungsquote in fünf Jahren. Die mittleren Lösegeldforderungen im Einzelhandel verdoppelten sich auf 2 Millionen $.
Das Muster ist über alle Branchen hinweg konsistent: Organisationen werden besser darin, Angriffe zu stoppen. Sie werden nicht im gleichen Maße besser darin, sich von ihnen zu erholen. Die Lücke zwischen Präventionsreife und Wiederherstellungsreife wird größer — und in dieser Lücke leben die Lösegeldzahlungen.
Was der Sophos-Bericht empfiehlt (und was er auslässt)
Sophos' eigene Empfehlungen konzentrieren sich auf vier Bereiche: Prävention, Schutz, Erkennung und Reaktion. Diese sind sinnvoll und durch die Daten gut belegt. Konkret empfiehlt der Bericht:
Häufige technische und operative Grundursachen zu beseitigen (ausgenutzte Schwachstellen, schwache Identitätskontrollen).
Die grundlegende Sicherheit durch gehärtete Konfigurationen, MFA und Patch-Disziplin zu stärken.
In Managed-Detection-and-Response-Fähigkeiten (MDR) zu investieren.
Alles richtig. Alles notwendig. Doch es gibt eine fünfte Säule, die der Bericht nicht in den Mittelpunkt rückt — und die Backup-Nutzungszahlen von 2025 sind der Grund, warum er es tun sollte:
Die Wiederherstellungsarchitektur selbst muss modernisiert werden — nicht nur verteidigt.
Eine Backup-Umgebung, die für die Wiederherstellung nach Hardwareausfällen und versehentlichen Löschungen ausgelegt ist, ist nicht dasselbe wie eine Backup-Umgebung, die für die Wiederherstellung nach einem entschlossenen Angreifer ausgelegt ist, der sich zwei Wochen lang im Netzwerk aufgehalten hat. Das Erste ist ein Redundanzproblem. Das Zweite ist ein Architekturproblem. Und die Daten zeigen, dass die meisten Enterprise-Backup-Umgebungen noch immer als Ersteres betrieben werden.
Die Backup-Vertrauenslücke: Was Sie stattdessen messen sollten
Wenn Sie aus dem Sophos-Bericht 2025 nur eine einzige operative Veränderung mitnehmen, dann diese: Hören Sie auf, die Backup-Erfolgsquote zu messen, und beginnen Sie, das Backup-Vertrauen zu messen.
Die Backup-Erfolgsquote ist die Kennzahl, die Ihnen Ihre Backup-Software gratis liefert. Sie sagt: „Wurde der Job abgeschlossen?“ Als Wiederherstellungsindikator ist diese Kennzahl mittlerweile bedeutungslos. Bedrohungsakteure wissen das, Verteidiger lernen es langsam, und die Lücke zwischen dem, was das Dashboard anzeigt, und dem, was ein Vorfall tatsächlich liefert, ist genau der Ort, aus dem der Rückgang der backup-basierten Wiederherstellung um 20 Punkte stammt.
Backup-Vertrauen ist eine andere Kennzahl. Sie fragt:
Können wir Tier-One-Systeme aus unveränderlichem Speicher innerhalb unserer festgelegten RTO wiederherstellen — heute, unter umkämpften Bedingungen?
Funktionieren unsere Wiederherstellungsverfahren, wenn die Identity-Provider der Produktion kompromittiert sind?
Haben wir validiert, dass unsere Aufbewahrungsrichtlinien durch keine Zugangsdaten der Produktionsebene verändert werden können?
Überwachen wir die Telemetrie des Backup-Systems auf Angreiferverhalten — nicht nur auf den Abschluss von Jobs?
Wenn das IR-Team gefragt wird „Sollen wir zahlen?“ — was ist die technische Grundlage für die Antwort?
Diese Fragen haben Antworten. Die meisten Unternehmen kennen derzeit ihre eigenen nicht, und die Sophos-Daten sind die Folge dieser Ungewissheit, die sich im großen Maßstab entfaltet.
Was wir aus den Sophos-Daten 2025 mitnehmen
Wenn man den vollständigen Bericht sorgfältig liest, ist die Geschichte, die wir sehen, nicht die, die die meisten Zusammenfassungen erzählten. Sie lautet:
Die Branche ist spürbar besser darin geworden, zu verhindern, dass Ransomware ihre volle Payload entfaltet. Das ist eine echte und wichtige Verbesserung, und sie verdient Anerkennung.
Doch die Wiederherstellungsebene — das architektonische Versprechen, dass Organisationen niemals Lösegeld zahlen müssten, weil sie aus sauberen Backups wiederherstellen könnten — wird klammheimlich ausgehöhlt. Der Rückgang der backup-basierten Wiederherstellung um 20 Punkte ist der Rauch. Die architektonische Lücke darunter ist das Feuer.
Für Unternehmen, die in regulierten Branchen tätig sind, komplexe hybride Umgebungen verwalten oder schlicht nicht bereit sind, die nächste Ransomware-Kampagne aus der eigenen Kasse zu finanzieren, ist dies das vorrangige Gespräch für 2026. Nicht „Haben wir Backups?“ — jede Organisation in der Sophos-Befragung hatte Backups. Die Frage lautet: Übersteht unsere Backup-Architektur einen echten Angreifer, und können wir das beweisen, bevor wir es brauchen?
Wie BackupSec die Vertrauenslücke angeht
Bei BackupSec haben wir unseren Service auf der Prämisse aufgebaut, dass Backup-Umgebungen unter Angriffsbedingungen beobachtbar, beratbar und beweisbar sein müssen — nicht nur unter Normalbedingungen betriebsfähig. Jedes Element unseres Ansatzes adressiert genau die Schwachstellen, die die Sophos-Daten offenlegen:
ZeroMON — unsere Observability-Plattform — bietet kontinuierliches Monitoring von Backup-Vorgängen und Sicherheitssignalen: Job-Tracking in Echtzeit, Warnungen bei Konfigurationsabweichungen, forensische Audit-Trails, Kapazitätsanalysen und Veeam-fähige Transparenz. Dies ist die Ebene, die die stillen Backup-Ausfälle abfängt, die die Sophos-Daten andeuten. Sie ist die operative Antwort auf die Frage „Tun unsere Backups tatsächlich das, was das Dashboard behauptet?“
ZeroTAM — unser Expertenberatungsdienst — stellt Enterprise-Teams einen dedizierten Backup-Security-Berater zur Seite, für Architektur-Reviews, Ransomware-Recovery-Planung, Kapazitätsstrategie und Krisenreaktion. Dies ist die menschliche Ebene, die die Erkenntnis des „mangelnden Fachwissens“ adressiert, die 40,2 % der Sophos-Befragten nannten — ohne wechselnde Support-Tickets oder generische Hinweise.
ZeroPEN — unser Dienst für Backup-Penetrationstests und Recovery-Validierung — adressiert direkt die Backup-Nutzungslücke von 53 %. Wir pentesten Ihre Backup-Management-Planes, Zugriffskontrollen, Unveränderlichkeitseinstellungen und Ihre Isolationslage so, wie es ein echter Angreifer tun würde. Anschließend führen wir reale Wiederherstellungsszenarien gegen Ihre RTO-/RPO-Ziele durch und verifizieren, dass die wiederhergestellten Daten sauber, vollständig und frei von Angreiferpersistenz sind. Das Ergebnis ist keine Liste von Befunden — es ist ein dokumentierter Nachweis, dass die Wiederherstellung funktioniert.
BackupSec wird On-Premise bereitgestellt. Wir verbinden uns über schreibgeschützten API-Zugriff. Ihre Backup-Daten, Telemetrie und Konfigurationsdetails verlassen niemals Ihre Umgebung. Wir ersetzen nicht Ihre Backup-Plattform — wir machen die, die Sie bereits betreiben, beobachtbar, beratbar und beweisbar.
Die Backup-Nutzungsquote von 53 % in den Sophos-Enterprise-Daten ist kein Schicksal. Sie ist die Folge einer architektonischen Ära, die zu Ende geht. Die Organisationen, die in den nächsten zwölf Monaten die Vertrauenslücke schließen, werden die Organisationen sein, die in der Spalte „Lösegeld gezahlt“ des Berichts im nächsten Jahr nicht mehr auftauchen.
Diese Analyse stützt sich auf den Sophos-Bericht State of Ransomware 2025 und zugehörige branchenspezifische Veröffentlichungen. Die hier dargestellte Interpretation und der Bezugsrahmen sind die eigenen von BackupSec. Um zu besprechen, wie die Erkenntnisse von 2025 auf Ihre konkrete Umgebung zutreffen, nehmen Sie Kontakt mit unserem Team auf →
Häufig gestellte Fragen
Ist der Sophos-Bericht State of Ransomware eine verlässliche Quelle?
Der Sophos-Bericht ist eine der meistzitierten herstellerunabhängigen Studien zu Ransomware. Für die Ausgabe 2025 wurden 3.400 IT-/Cybersecurity-Verantwortliche in 17 Ländern befragt, unabhängig durchgeführt von Vanson Bourne. Zwar verkauft Sophos Sicherheitsprodukte, doch die Erhebungsmethodik ist unabhängig vom Kundenstatus, was den Datensatz für Analysen auf Branchenebene besonders nützlich macht.
Warum ging die Backup-Nutzung zurück, wenn Backups doch die Lösung gegen Ransomware sein sollen?
Die wahrscheinlichste Erklärung ist eine Kombination aus drei Faktoren: Backup-Infrastruktur, die zusammen mit den Produktionsumgebungen kompromittiert wird; Backups, die die Validierung auf Job-Ebene bestehen, aber bei realen Wiederherstellungstests scheitern; und die wachsende Erkenntnis unter IR-Teams, dass veraltete Backup-Architekturen die Recovery-Time-Objectives unter Angriffsbedingungen nicht erfüllen können. Der Rückgang ist keine Anklage gegen Backups *als Konzept* — er ist eine Anklage gegen die Art und Weise, wie die meisten Backup-Umgebungen *architektonisch aufgebaut* sind.
Garantiert die Zahlung des Lösegelds die Datenwiederherstellung?
Nein. Branchendaten haben durchgängig gezeigt, dass ein erheblicher Anteil der Organisationen, die zahlen, ihre Daten dennoch nicht vollständig wiederherstellen kann. Zahlungen finanzieren zudem künftige Angriffe, können bei sanktionierten Bedrohungsgruppen ein rechtliches Risiko nach OFAC-Sanktionen schaffen und bieten keine Garantie gegen erneute Erpressung. Eine resiliente Backup-Architektur bleibt die einzige strukturell solide Alternative zur Zahlung.
Wie sollten Unternehmen auf diese Erkenntnisse reagieren?
Beginnen Sie damit, Ihre aktuelle Backup-Architektur gegen Angriffsbedingungen zu validieren — nicht anzunehmen. Konkret: Können Sie Tier-One-Systeme innerhalb Ihrer festgelegten RTO wiederherstellen, wenn die Produktionsidentität kompromittiert ist? Können Ihre Aufbewahrungsrichtlinien durch irgendwelche Produktions-Zugangsdaten verändert werden? Ist mindestens eine Kopie jedes kritischen Datensatzes wirklich unveränderlich und isoliert? Wenn Sie diese Fragen heute nicht eindeutig beantworten können, legen die Sophos-Daten nahe, dass Sie auf geborgte Zeit setzen.
