Eine unauffällige Zahl, die Alarm auslösen sollte
Jedes Jahr veröffentlicht Sophos seinen Bericht State of Ransomware, basierend auf einer nach eigener Beschreibung unabhängigen, herstellerneutralen Umfrage unter IT- und Cybersecurity-Verantwortlichen, deren Organisationen von Ransomware getroffen wurden. Die Ausgabe 2025, veröffentlicht im Juni 2025, umfasst 3.400 Befragte in 17 Ländern aus Organisationen mit 100 bis 5.000 Beschäftigten. Im Dezember 2025 veröffentlichte Sophos eine separate Auswertung, The State of Ransomware in Enterprise 2025, die die 1.733 Befragten aus Unternehmen mit 1.000 bis 5.000 Beschäftigten abdeckt. Sophos benennt jeden Bericht nach dem Jahr der Umfrage (Januar bis März 2025), sodass viele der beschriebenen Angriffe im Jahr 2024 stattfanden.
Die zentralen Ergebnisse sind ermutigend: Die Verschlüsselungsquoten sinken, die Wiederherstellung wird schneller, und weniger Opfer zahlen das Lösegeld.
Doch der Enterprise-Bericht enthält eine Zahl, die auf dem Whiteboard jedes CISO stehen sollte:
Unter den Unternehmen, deren Daten verschlüsselt wurden, sank der Anteil derer, die sie mithilfe von Backups wiederherstellten, von 73 % im Jahr 2024 auf 53 % im Jahr 2025. Sophos bezeichnet das als den niedrigsten Wert seit vier Jahren.
Lesen Sie das noch einmal. In dem Jahr, in dem Verteidiger besser darin wurden, Ransomware vor der Verschlüsselung zu stoppen, stellten die Unternehmen, bei denen es doch zur Verschlüsselung kam, messbar seltener aus ihren eigenen Backups wieder her.
Das ist keine unbedeutende Fußnote. Wir halten es für das strategisch wichtigste Ergebnis in den Sophos-Daten. Die Schlagzeilenzahlen erzählen eine Geschichte, die Wiederherstellungsdaten eine andere. Dieser Artikel zeigt, was die Daten unserer Ansicht nach über Ransomware-Resilienz verraten und warum Backup-Vertrauen zur wichtigsten Kennzahl geworden ist.
Die Oberflächenerzählung: Die Abwehr gewinnt
Beginnen wir mit den guten Nachrichten, denn es gibt tatsächlich welche.
Über alle 3.400 Befragten im Hauptbericht 2025 hinweg gilt:
- Die Datenverschlüsselung sank auf 50 % der Angriffe, gegenüber 70 % im Jahr 2024, und damit auf die niedrigste Quote in den sechs Jahren der Studie.
- Die durchschnittlichen (arithmetisches Mittel) Wiederherstellungskosten ohne Lösegeld sanken von 2,73 Mio. auf 1,53 Mio. US-Dollar.
- Die mediane Lösegeldzahlung sank um 50 %, von 2 Mio. US-Dollar im Jahr 2024 auf 1 Mio. US-Dollar im Jahr 2025.
- 53 % der Opfer hatten sich innerhalb einer Woche vollständig erholt, gegenüber 35 % im Jahr 2024.
- 49 % der Opfer mit verschlüsselten Daten zahlten das Lösegeld, gegenüber 56 % im Jahr 2024.
Unter Unternehmen gilt laut dem Enterprise-Bericht:
- Die Datenverschlüsselung sank auf 49 % der Angriffe, gegenüber 66 % im Jahr 2024.
- Der Anteil der vor der Verschlüsselung gestoppten Angriffe hat sich in zwei Jahren mehr als verdoppelt, von 22 % im Jahr 2023 auf 47 % im Jahr 2025.
Sophos deutet den Rückgang der Verschlüsselung als Zeichen dafür, dass Organisationen "are more capable of stopping attacks before the encrypted payload is deployed" (besser in der Lage sind, Angriffe zu stoppen, bevor die Verschlüsselungs-Payload ausgerollt wird), und die schnellere Wiederherstellung als mögliches Zeichen für Investitionen in "cyber incident preparation and recovery readiness" (Vorbereitung auf Cybervorfälle und Wiederherstellungsbereitschaft). Für sich genommen besagen diese Zahlen, dass die Branche die Wende geschafft hat.
Dann kommt man zu den Wiederherstellungsdaten.
Der Widerspruch, der alles offenlegt
Hier ist der Datenpunkt, der die optimistische Erzählung verkompliziert.
Unter den Unternehmen, deren Daten verschlüsselt wurden, stellten 53 % sie mithilfe von Backups wieder her, gegenüber 73 % ein Jahr zuvor. Im selben Zeitraum zahlten 48 % das Lösegeld, um Daten zurückzubekommen, gegenüber 55 % (Enterprise-Bericht). Beide Wege schrumpften. Knapp ein Drittel (30 %) der Unternehmen mit verschlüsselten Daten gab an, andere Mittel genutzt zu haben, wozu laut Sophos "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" gehören könnte (Wiederherstellung aus Schattenkopien, Nutzung von Rollback-Funktionen des Endpoint-Schutzes oder Wiederherstellung von Daten aus nicht betroffenen Systemen).
2024 lagen Backups um 18 Prozentpunkte vor der Lösegeldzahlung (73 % gegenüber 55 %). 2025 betrug der Vorsprung 5 Punkte (53 % gegenüber 48 %). Weniger Unternehmen zahlen, und das ist eine gute Nachricht. Doch die Wiederherstellungsebene, die das Zahlen überflüssig machen sollte, trägt weniger von der Last, nicht mehr.
Sophos' eigene Zusammenfassung ist direkt: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience." (Zusammengenommen deuten diese Ergebnisse auf einen stärkeren Widerstand gegen Forderungen hin, verbunden mit Schwächen und mangelnder Backup-Resilienz.)
Schwächen und mangelnde Backup-Resilienz: Das ist der Teil, der uns beschäftigt. Verteidiger werden besser darin, Angriffe früh zu stoppen. Doch wenn ein Angriff gelingt und Daten verschlüsselt werden, kommen die Backups, die das Sicherheitsnetz sein sollten, seltener zum Einsatz.
Das ist keine Geschichte darüber, dass Ransomware schwieriger wird. Es ist eine Geschichte darüber, dass die Backup-Architektur bloßgelegt wird.
Warum versagen Backups im entscheidenden Moment?
Die Sophos-Berichte sagen nicht, warum die Nutzung von Backups zurückging. Die Umfrage erfasst, wie Daten wiederhergestellt wurden, nicht, warum Backups genutzt wurden oder nicht. Die drei folgenden Muster sind unsere Interpretation, gestützt auf Sophos-Daten, wo es solche gibt.
Muster 1: Backups werden zusammen mit der Produktion kompromittiert
Angreifer nehmen Backups gezielt ins Visier. In Sophos' Studie von 2024 zu kompromittierten Backups gaben 94 % der von Ransomware getroffenen Organisationen an, dass die Angreifer versucht hatten, ihre Backups zu kompromittieren, und 57 % dieser Versuche waren erfolgreich. Organisationen, deren Backups kompromittiert wurden, zahlten fast doppelt so häufig das Lösegeld (67 % gegenüber 36 %), und ihre medianen Wiederherstellungskosten waren achtmal höher (3 Mio. US-Dollar gegenüber 375.000 US-Dollar).
Datendiebstahl erhöht den Druck zusätzlich. Im Enterprise-Bericht wurden bei 30 % der Unternehmen, deren Daten verschlüsselt wurden, auch Daten gestohlen (15 % aller betroffenen Unternehmen). Ein sauberer Restore ändert nichts an Daten, die das Haus bereits verlassen haben.
Wenn Ihr Backup-System eine Domäne, einen Identitätsanbieter oder einen Satz Zugangsdaten mit Ihrer Produktionsumgebung teilt, ist es keine separate Wiederherstellungsebene. Es ist das nächste Ziel in derselben Kill Chain.
Muster 2: „Backup erfolgreich" heißt nicht „Restore erfolgreich"
Die Enterprise-Daten enthalten ein direktes Signal. Von den 72 Unternehmen, die mehr als die ursprüngliche Lösegeldforderung zahlten, nannten 42 % diesen Grund: "Our backups failed or were malfunctioning" (Unsere Backups sind ausgefallen oder haben nicht richtig funktioniert) (Enterprise-Bericht). Die Gruppe ist klein, aber es sind betroffene Unternehmen, die klar aussprechen, dass ihre Backups nicht gehalten haben.
Auch der menschliche Preis ist deutlich. Jedes Unternehmen, dessen Daten verschlüsselt wurden, berichtete von Folgen für sein IT-/Cybersecurity-Team: 40 % berichteten von erhöhtem Druck durch die Führungsebene, 39 % von mehr Angst oder Stress vor künftigen Angriffen, und in 27 % der Fälle wurde die Leitung des Teams ausgetauscht.
Ein Job-Log, das „erfolgreich" meldet, sagt Ihnen, dass das Backup gelaufen ist. Es sagt Ihnen nicht, dass der Restore mit der Geschwindigkeit oder Vollständigkeit funktioniert, die das Geschäft braucht.
Genau diesen Fehlermodus adressiert die „0" in der 3-2-1-1-0-Regel. Veeams Security Best Practice Guide definiert sie als "0 errors" (null Fehler) bei der automatischen Überprüfung der Wiederherstellbarkeit jedes Backups mit SureBackup. Ein abgeschlossener Job ist kein verifizierter Restore, und eine Verifizierung zählt nur, wenn sie die Wiederherstellungsszenarien testet, mit denen Sie bei einem echten Vorfall konfrontiert wären.
Muster 3: Die organisatorische Ebene ist das schwächste Glied
2025 fragte Sophos die Opfer erstmals nach den organisatorischen Faktoren, die sie angreifbar gemacht hatten. Über alle 3.400 Befragten im Hauptbericht hinweg:
- 40,2 % nannten fehlende Expertise: nicht über die Fähigkeiten oder das Wissen zu verfügen, um den Angriff rechtzeitig zu erkennen und zu stoppen.
- 40,1 % nannten unbekannte Sicherheitslücken: Schwächen in ihrer Abwehr, die ihnen nicht bewusst waren.
- 39,4 % nannten fehlendes Personal oder fehlende Kapazität.
- Im Durchschnitt nannten die Befragten 2,7 beitragende Faktoren.
Die Enterprise-Auswertung ist nahezu identisch: Eine unbekannte Sicherheitslücke (40 %), fehlendes Personal oder fehlende Kapazität (39,2 %) und fehlende Expertise (38,9 %) führen die Liste an, wobei im Durchschnitt drei Faktoren genannt wurden.
Nüchtern gelesen: Security-Teams fehlt es an Personal und Fähigkeiten, und sie haben blinde Flecken, die sie nicht sehen können. Wir würden argumentieren, dass die Backup-Infrastruktur genau dort liegt, wo alle drei Schwächen zusammentreffen. Wenn dieselben Leute, die sie betreiben, auch Incident Response, Patching und Identitäten verantworten, erhält sie selten architektonische Aufmerksamkeit, bis ein Vorfall verlangt, dass sie liefert.
Was die branchenspezifischen Berichte ergänzen
Sophos veröffentlichte außerdem Branchenauswertungen der Umfrage 2025.
In Fertigung und Produktion (332 Befragte) sank die Verschlüsselungsquote auf 40 %, den niedrigsten Wert seit fünf Jahren, und die mediane Lösegeldzahlung lag bei 1 Mio. US-Dollar, gegenüber 1,2 Mio. US-Dollar. 47 % berichteten von mehr Angst oder Stress vor künftigen Angriffen im IT-/Cybersecurity-Team. Die Nutzung von Backups blieb stabil bei 58 %.
Im Einzelhandel (361 Befragte in 16 Ländern) sank die Verschlüsselungsquote auf 48 %, ebenfalls der niedrigste Wert seit fünf Jahren. Eine unbekannte Sicherheitslücke war der häufigste operative Faktor, genannt von 46 % der Opfer. 58 % der Händler mit verschlüsselten Daten zahlten das Lösegeld, was Sophos als "the second highest ransom payment rate in five years" bezeichnet (die zweithöchste Zahlungsquote seit fünf Jahren). Die mediane Lösegeldforderung verdoppelte sich von 1 Mio. auf 2 Mio. US-Dollar, und die Nutzung von Backups sank auf 62 %, den niedrigsten Wert seit vier Jahren.
Das Bild nach Branchen ist gemischt: Im Einzelhandel sank die Nutzung von Backups, in der Fertigung blieb sie stabil. Gemeinsam haben die Branchenberichte mit den Enterprise-Daten, dass sich die Prävention schneller verbessert als die backupbasierte Wiederherstellung. Die Verschlüsselungsquoten sanken in beiden Branchen, während die Nutzung von Backups zurückging oder stagnierte. In dieser Lücke zwischen der Reife der Prävention und der Reife der Wiederherstellung liegen unserer Ansicht nach die Lösegeldzahlungen.
Was der Sophos-Bericht empfiehlt (und wo wir mehr Gewicht setzen würden)
Der Haupt- und der Enterprise-Bericht schließen mit denselben vier Empfehlungen:
- Prävention: die technischen und operativen Grundursachen beseitigen, die der Bericht identifiziert.
- Schutz: eine starke grundlegende Sicherheit mit gut verteidigten Endpoints (einschließlich Servern), einschließlich eines dedizierten Anti-Ransomware-Schutzes, der bösartige Verschlüsselung stoppen und zurückrollen kann.
- Erkennung und Reaktion: Erkennung und Abwehr von Bedrohungen rund um die Uhr, über einen Anbieter von Managed Detection and Response (MDR), wenn intern Ressourcen oder Fähigkeiten fehlen.
- Planung und Vorbereitung: ein Incident-Response-Plan, dessen Umsetzung Sie sicher beherrschen, dazu hochwertige Backups und regelmäßiges Üben der Wiederherstellung daraus.
Alles richtig. Backups kommen vor, in einem Satz unter Planung und Vorbereitung. Angesichts der Backup-Zahlen aus dem Enterprise-Bericht würden wir der Wiederherstellung mehr Gewicht geben:
Die Wiederherstellungsarchitektur selbst muss modernisiert werden, nicht nur verteidigt.
Eine Backup-Umgebung, die für die Wiederherstellung nach Hardwareausfällen und versehentlichen Löschungen entworfen wurde, ist nicht dasselbe wie eine, die für die Wiederherstellung nach einem Angreifer entworfen wurde, der bereits im Netzwerk ist und zuerst die Backups angreift. Das erste ist ein Redundanzproblem. Das zweite ist ein architektonisches. Restores zu üben ist notwendig, hilft aber nicht, wenn der Angreifer die Backups erreichen kann, mit denen Sie geübt haben.
Die Backup-Vertrauenslücke: Was Sie stattdessen messen sollten
Wenn Sie aus den Sophos-Daten von 2025 eine einzige operative Änderung mitnehmen, dann diese: Hören Sie auf, die Erfolgsquote Ihrer Backups als Wiederherstellungskennzahl zu behandeln, und beginnen Sie, Backup-Vertrauen zu messen.
Die Backup-Erfolgsquote ist die Kennzahl, die Ihnen Ihre Backup-Software gratis liefert. Sie beantwortet eine Frage: Wurde der Job abgeschlossen? Für sich genommen ist sie kein Indikator für die Wiederherstellung. Wir glauben, dass die Lücke zwischen dem, was das Dashboard zeigt, und dem, was bei einem Vorfall tatsächlich geliefert wird, Teil dessen ist, was sich im Rückgang der backupbasierten Wiederherstellung um 20 Punkte widerspiegelt.
Backup-Vertrauen stellt andere Fragen:
- Können wir Tier-1-Systeme heute, unter umkämpften Bedingungen, innerhalb unserer festgelegten RTO aus unveränderlichem Speicher wiederherstellen?
- Funktionieren unsere Wiederherstellungsverfahren, wenn die Identitätsanbieter der Produktion kompromittiert sind?
- Haben wir validiert, dass unsere Aufbewahrungsrichtlinien mit keinerlei Zugangsdaten der Produktionsebene geändert werden können?
- Überwachen wir die Telemetrie des Backup-Systems auf Angreiferverhalten und nicht nur auf abgeschlossene Jobs?
- Wenn das IR-Team gefragt wird „Sollen wir zahlen?", worauf stützt sich die Antwort technisch?
Auf diese Fragen gibt es Antworten. Viele Unternehmen kennen ihre noch nicht.
Was wir aus den Sophos-Daten von 2025 mitnehmen
Wenn wir die Berichte vollständig lesen, sehen wir folgende Geschichte.
Organisationen sind deutlich besser darin geworden, Ransomware zu stoppen, bevor sie Daten verschlüsselt. Das ist eine echte Verbesserung und verdient Anerkennung.
Doch die Wiederherstellungs-Ebene, das Versprechen, dass Organisationen nie zahlen müssten, weil sie aus sauberen Backups wiederherstellen könnten, trägt weniger von der Last. In den Enterprise-Daten ist der Rückgang der backupbasierten Wiederherstellung um 20 Punkte der Rauch. Das Feuer ist unserer Ansicht nach die architektonische Lücke darunter.
Für Unternehmen in regulierten Branchen, mit komplexen hybriden Umgebungen oder einfach ohne Bereitschaft, die nächste Ransomware-Kampagne zu finanzieren, ist jetzt der Zeitpunkt für dieses Gespräch. Die Frage lautet nicht „Haben wir Backups?", sondern: Übersteht unsere Backup-Architektur einen echten Angreifer, und können wir das nachweisen, bevor wir es brauchen?
Wie BackupSec die Vertrauenslücke angeht
Bei BackupSec gehen wir von der Prämisse aus, dass Backup-Umgebungen unter feindlichen Bedingungen beobachtbar und getestet sein müssen, nicht nur unter normalen Bedingungen betriebsbereit. Drei unserer Services lassen sich den oben beschriebenen Schwachstellen zuordnen:
- ZeroMON überwacht Veeam Backup & Replication: Job-Zustand, Konfigurationsdrift mit einem Forensic-&-Audit-Protokoll darüber, wer was wann geändert hat, eine Security-Analyzer-Checkliste, Berichte und einen Honeypot auf der Monitoring-Appliance. Es zeigt den Immutability-Status so an, wie ihn Veeams eigene Repository-Einstellungen melden; es liest Veeams Konfiguration aus und verifiziert keine Sperren auf Objektebene im Speicher. Alarme werden per E-Mail und als In-App-Benachrichtigung versendet. ZeroMON wird on-premises als OVA bereitgestellt und verbindet sich mit einem Read-only-Konto, und nichts von dem, was es erfasst, wird an BackupSec oder Dritte gesendet.
- ZeroTAM stellt Ihrem Team einen dedizierten Backup-Security-Berater für Architektur-Reviews, Planung der Ransomware-Wiederherstellung, Kapazitätsplanung und priorisierten Support in der Krise zur Seite. Es ist ein Beratungsservice, keine Software, und setzt direkt an den oben genannten Befunden zu fehlender Expertise und fehlender Kapazität an.
- ZeroPEN ist ein bedrohungsorientierter Penetrationstest von Veeam Backup & Replication, Veeam ONE und Enterprise Manager. Er simuliert eine auf MITRE ATT&CK abgebildete Ransomware-Kill-Chain in acht Phasen: Erstzugriff, Discovery und Inventarisierung, Missbrauch von Zugangsdaten, Kompromittierung des Veeam-Servers, Zugriff auf Repositories, Neutralisierung von Backups, Simulation der Exfiltration und Nachweis der Verschlüsselungsfähigkeit. Er ist nicht destruktiv: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (löscht niemals echte Backups, führt keine echte Verschlüsselung durch und stoppt weder Produktions- noch Backup-Dienste). Das Engagement umfasst außerdem die Verifizierung der Restore-Integrität und der Immutability und endet mit einem auditfähigen Berichtspaket und einem Retest für kritische Befunde.
Wir ersetzen Ihre Backup-Plattform nicht. Wir helfen Ihnen, die Plattform, die Sie bereits betreiben, zu durchschauen und zu testen.
Die 53 % in den Enterprise-Daten von Sophos sind kein Schicksal. Unserer Ansicht nach spiegeln sie Backup-Architekturen wider, die für eine andere Bedrohung gebaut wurden.
Sprechen Sie mit BackupSec über Ihre Backup-Sicherheit →
Diese Analyse stützt sich auf Sophos' Bericht State of Ransomware 2025, den Bericht State of Ransomware in Enterprise 2025 und die Branchenberichte 2025. Die Interpretation stammt von BackupSec. Sophos hat inzwischen The State of Ransomware 2026 veröffentlicht; dieser Artikel behandelt die Daten von 2025. Wenn Sie besprechen möchten, wie sich diese Ergebnisse auf Ihre Umgebung übertragen lassen, nehmen Sie Kontakt mit unserem Team auf →