Das 2,7-Problem: warum moderne Ransomware mit der Mathematik auf ihrer Seite immer gewinnt

Die am meisten unterschätzte Zahl im Sophos-Report 2025

Als Sophos seinen State of Ransomware-Report 2025 veröffentlichte, konzentrierte sich die Berichterstattung größtenteils auf die Schlagzeilen-Kennzahlen: sinkende Verschlüsselungsraten, kürzere Wiederherstellungszeiten, rückläufige Lösegeldzahlungen. Diese Zahlen sind real, und sie sind wichtig. Doch versteckt in einem Abschnitt des Reports, der dieses Jahr erstmals untersucht wurde — die organisatorischen Faktoren, die Unternehmen verwundbar machten —, findet sich eine einzelne Statistik, die unserer Ansicht nach neu definiert, wie Risikoverantwortliche in Unternehmen über Ransomware überhaupt denken sollten.

Über die 3.400 befragten Organisationen hinweg identifizierten die Betroffenen durchschnittlich 2,7 verschiedene Einflussfaktoren hinter den Angriffen, die gegen sie erfolgreich waren.

Nicht einer. Nicht einmal zwei. Fast drei voneinander unabhängige Schwachstellen, die bei jedem erfolgreichen Vorfall gleichzeitig wirkten.

Das ist keine Fußnote. Es ist der mathematische Beweis, dass die Ära der Ransomware-Abwehr mit einem einzigen Kontrollmechanismus vorbei ist — und dass die Backup-Architektur leise zur wichtigsten kompensierenden Kontrolle im modernen Enterprise-Stack geworden ist.

Bei BackupSec sind wir überzeugt, dass die Zahl 2,7 die strategisch nützlichste Zahl im gesamten Report ist. Dieser Artikel erläutert, was sie tatsächlich bedeutet, warum sie reine Präventionsstrategien mathematisch unhaltbar macht und was sie für Organisationen impliziert, die Backup immer noch als Anhängsel zur „echten“ Sicherheit behandeln.

Was die 2,7 tatsächlich bedeutet

Im Sophos-Report 2025 wurden die Befragten erstmals gebeten, die organisatorischen Faktoren zu benennen, die dazu beitrugen, dass sie getroffen wurden — nicht nur den technischen Einstiegspunkt, sondern die umfassenderen betrieblichen Bedingungen, die sie verwundbar machten. Die Ergebnisse zeichnen ein Bild, das keine Management-Zusammenfassung sauber erfasst:

• 40,2 % nannten fehlende Expertise — unzureichende Fähigkeiten oder Kenntnisse, um den Angriff rechtzeitig zu erkennen und zu stoppen.
• 40,1 % nannten unbekannte Sicherheitslücken — Schwächen in der Abwehr, die ihnen bis zum Vorfall nicht bewusst waren.
• Erhebliche Anteile nannten fehlende Kapazität, fehlende Schutzprodukte, Lücken in der Prozessdisziplin und unvollständige Transparenz über die eigene Angriffsfläche.
• Darüber legten sich technische Grundursachen: ausgenutzte Schwachstellen (32 %), kompromittierte Zugangsdaten (23 %), bösartige E-Mails (19 %) und Phishing (18 %).

Als die Befragten die Faktoren zusammenzählten, die ihrer Ansicht nach zu ihrem Vorfall beitrugen, ergab sich ein Durchschnitt von 2,7. Sophos nennt dies „eine komplexe, vielschichtige Situation“. Wir würden es präziser formulieren: strukturelle Unvermeidbarkeit.

Wenn jeder erfolgreiche Ransomware-Vorfall im Jahr 2025 nahezu drei unabhängige Fehler umfasste, dann arbeitet das implizite Abwehrmodell, gegen das die meisten Unternehmen noch immer agieren — „die Lücke finden, die Lücke schließen“ —, gegen einen Angreifer, der nur eine der drei finden muss. Der Verteidiger hingegen muss alle gleichzeitig beherrschen.

Das ist kein Sicherheitsproblem. Das ist ein Asymmetrieproblem.

Die Asymmetrie: Eine Tür gegen sieben

Betrachten Sie die Mathematik aus der Sicht des Angreifers.

Ein moderner Ransomware-Akteur — ob eine staatsnahe Gruppe, ein RaaS-Affiliate oder ein unabhängiger Akteur — muss nicht jede Schwachstelle in Ihrer Umgebung identifizieren und ausnutzen. Er muss nur einen einzigen gangbaren Weg finden: ein ungepatchtes System, einen Satz kompromittierter Zugangsdaten, einen falsch konfigurierten Cloud-Bucket, einen für Phishing anfälligen Benutzer, eine administrative Lücke.

Betrachten Sie nun die Mathematik aus der Sicht des Verteidigers. Sie sind verantwortlich für:

1. Schwachstellenmanagement über Tausende von Assets hinweg, in Zyklen, denen kein Patching-Rhythmus zuverlässig voraus ist.
2. Identity-Governance über menschliche Benutzer, Service-Accounts, föderierte Identitäten und zunehmend autonome Agenten hinweg.
3. E-Mail- und Kollaborationssicherheit, der häufigste Einstiegspunkt und derjenige mit der größten menschlichen Variabilität.
4. Endpoint-Schutz gegen Payloads, die sich schneller weiterentwickeln, als signaturbasierte Erkennung sich anpassen kann.
5. Netzwerksegmentierung, ausgelegt gegen Bedrohungsmodelle, die sich kontinuierlich verändern.
6. Cloud- und SaaS-Konfiguration über Dutzende oder Hunderte von Diensten hinweg, jeder mit seinem eigenen Berechtigungsmodell.
7. Backup- und Wiederherstellungsinfrastruktur, die unter Bedingungen funktionieren muss, die der Rest Ihres Stacks bereits nicht verhindern konnte.

Der Angreifer bespielt ein Feld auf diesem Brett. Der Verteidiger bespielt alle sieben, jeden Tag, mit endlichen Ressourcen.

Die Zahl 2,7 von Sophos ist die empirische Bestätigung, dass diese Asymmetrie nicht länger hypothetisch ist. Bei den realen Vorfällen, die 2025 auftraten, versagten die Verteidiger in nahezu drei Feldern gleichzeitig — nicht weil sie nachlässig waren, sondern weil das Modell strukturell gegen vollständige Prävention manipuliert ist.

Warum „einfach die Grundursache beheben“ schlechte Mathematik ist

Eine verbreitete Reaktion auf die Vorfallanalyse besteht darin, die „Grundursache“ zu identifizieren und zu beheben. Compliance-Frameworks verstärken dieses Denken. Ebenso die meisten Nachbetrachtungen von Vorfällen. Die Sophos-Daten 2025 zeigen, warum diese Betrachtungsweise, so intuitiv befriedigend sie auch ist, zunehmend losgelöst davon ist, wie sich moderne Vorfälle tatsächlich entfalten.

Wenn der durchschnittliche erfolgreiche Vorfall 2,7 Einflussfaktoren umfasst, dann ist die Identifizierung einer einzigen Grundursache per Definition eine unvollständige Analyse. Sie sagt Ihnen, durch welche Tür der Angreifer ging — nicht, warum das Gebäude so viele unverschlossene Türen hatte, dass eine von ihnen immer offen sein würde.

Operativ ist das von Bedeutung, denn die Ressourcen, die für die zwanghafte Beschäftigung mit dem spezifischen Einstiegsvektor des letztjährigen Vorfalls aufgewendet werden, fehlen für die architektonischen Lücken, die den nächstjährigen bestimmen werden. Die Sophos-Daten implizieren, dass Organisationen, die im Single-Root-Cause-Modus arbeiten, systematisch zu wenig in die mehrschichtigen Kontrollen investieren, die darüber entscheiden, ob irgendein Einstiegsvektor zu einem katastrophalen Ergebnis führt.

Die strategische Neuausrichtung lautet: In jeder hinreichend komplexen Unternehmensumgebung werden Angreifer früher oder später einen gangbaren Weg finden. Die Frage, die darüber entscheidet, ob dieser Weg zu einem gezahlten Lösegeld führt, lautet nicht „Haben wir jede Tür geschlossen?“, sondern „Übersteht unsere Architektur, sobald sich eine von ihnen öffnet?“

Die kompensierende Kontrolle, die die meisten Unternehmen unterschätzen

Hier ist die architektonische Erkenntnis, die die Zahl 2,7 unausweichlich macht: Wenn Prävention mit mathematischer Regelmäßigkeit versagen wird, verlagern sich die Ebenen, die über die Geschäftsergebnisse entscheiden, nach hinten.

Genau hier wandelt sich die Backup-Architektur von „Infrastrukturhygiene“ zur „primären strategischen Kontrolle“.

In einem Single-Vector-Bedrohungsmodell ist Backup ein Rückfallnetz. In einem 2,7-Faktoren-Bedrohungsmodell ist Backup die kompensierende Kontrolle für jedes Präventionsversagen, das unvermeidlich eintreten wird. Die Sophos-Daten 2025 zeigen dies in aller Deutlichkeit:

• 48 % der Großunternehmen zahlten das Lösegeld trotz Verbesserungen bei der Prävention.
• Die Nutzung von Backups zur Wiederherstellung verschlüsselter Daten fiel auf ein Vierjahrestief von 53 %, gegenüber 73 % im Vorjahr.
• Die durchschnittlichen Wiederherstellungskosten im Unternehmen erreichten 1,83 Millionen US-Dollar bei Organisationen mit 1.000–5.000 Mitarbeitenden — und diese Zahl schließt etwaige gezahlte Lösegelder aus.

Wenn Sie diese Zahlen vor dem Hintergrund der 2,7 Faktoren lesen, wird die Geschichte stimmig: Organisationen werden besser darin, einige Angriffe zu verhindern, verbessern aber nicht die Wiederherstellungsarchitektur, die über die Ergebnisse entscheidet, wenn die Prävention versagt. Das Resultat ist eine wachsende Kluft zwischen Präventionsreife und Wiederherstellungsreife — und genau in dieser Kluft sind die Lösegeldzahlungen angesiedelt.

Für Risikoverantwortliche in Unternehmen impliziert dies eine gezielte Neuverteilung der architektonischen Aufmerksamkeit. Investitionen in Erkennung, Identität und Patching bleiben allesamt unverzichtbar. Doch keine davon eliminiert die 2,7. Sie verschieben lediglich, welche drei Türen an einem bestimmten Tag offen sind. Die Kontrolle, die darüber entscheidet, ob eine geöffnete Tür zu einem existenziellen Vorfall wird, ist diejenige, die die meisten Organisationen am wenigsten modernisiert haben: die Architektur, die saubere, unveränderliche, validierte Kopien geschäftskritischer Daten vorhält und sie unter feindlichen Bedingungen wiederherstellen kann.

Wie 2,7 in einem realen Vorfall aussieht

Um dies konkret zu machen, betrachten Sie, wie sich die 2,7 typischerweise in einer realen Unternehmensumgebung zusammensetzt. Die einzelnen Faktoren variieren, aber das Muster ist konsistent:

Faktor eins ist meist ein Einstiegsvektor: ein ungepatchtes Edge-Gerät, eine kompromittierte, über mehrere Systeme hinweg wiederverwendete Zugangsberechtigung oder eine erfolgreiche Phishing-E-Mail. Dies ist der Fehler, den der Vorfallbericht als „Grundursache“ bezeichnen wird.

Faktor zwei ist typischerweise ein Berechtigungs- oder Transparenzversagen, das es dem anfänglichen Fußabdruck ermöglichte, sich auszubreiten: übermäßige dauerhafte Berechtigungen, Lücken bei der Erkennung von Lateral Movement oder unzureichende Segmentierung zwischen Geschäftsbereichen.

Faktor drei ist fast immer ein Versagen auf der Wiederherstellungsebene, das aus einer eingedämmten Sicherheitsverletzung ein gezahltes Lösegeld machte: aus der Produktion erreichbare Backup-Zugangsdaten, Aufbewahrungsrichtlinien, die von kompromittierten Admins veränderbar sind, oder Wiederherstellungsverfahren, die nie gegen das tatsächliche Szenario getestet wurden, dem das Team nun gegenübersteht.

Die ersten beiden Faktoren erhalten die Aufmerksamkeit in der Incident Response. Der dritte bestimmt das finanzielle Ergebnis. Und der dritte ist derjenige, den die meisten Unternehmen am wenigsten in der Lage sind, ehrlich zu bewerten, bevor ein Vorfall die Frage erzwingt.

Das ist die operative Realität, auf die die Zahl 2,7 verweist. Die Faktoren sind nicht abstrakt — sie sind die spezifische Abfolge von Fehlern, die ein beherrschbares Sicherheitsereignis in eine Krise auf Vorstandsebene verwandelt.

Was dies für die Risikoallokation bedeutet

Wenn Sie das 2,7-Ergebnis als architektonisch bedeutsam akzeptieren — und der zugrunde liegende Sophos-Datensatz mit 3.400 Organisationen macht es schwer, es abzutun —, ergeben sich mehrere Schlussfolgerungen für die Allokation.

Verteilen Sie Investitionen über die gesamte Fehlerkette, nicht innerhalb einer einzelnen Ebene. Die E-Mail-Sicherheit zu verdoppeln und dabei die Wiederherstellungsarchitektur unverändert zu lassen, verschiebt nur, welcher Faktor zuerst versagt; es reduziert nicht die Gesamtzahl der Fehler. Sicherheitsbudgets von Unternehmen, die unverhältnismäßig viel der Prävention zuweisen und Backup als Standardposten behandeln, agieren gegen ein Bedrohungsmodell, das nicht mehr widerspiegelt, wie sich Vorfälle tatsächlich entfalten.

Bewerten Sie Architekturen anhand von Mehrfaktor-Szenarien, nicht anhand von Single-Vector-Tests. Ein Penetrationstest, der bestätigt, dass eine Abwehr standhält, ist kein Beleg dafür, dass Ihre Umgebung einen echten Angriff übersteht. Die Sophos-Daten zeigen, dass reale Angriffe nahezu drei Schwachstellen gleichzeitig ausnutzen. Tabletop-Übungen und Red-Team-Einsätze sollten so konzipiert sein, dass sie diese kombinierte Bedingung ausdrücklich testen.

Messen Sie die Wiederherstellungssicherheit, nicht den Backup-Abschluss. Die Backup-Nutzungsrate von 53 % in den Sophos-Enterprise-Daten ist keine Geschichte über Backups, die generell versagen. Es ist eine Geschichte über Backup-Architekturen, die für Einzelfaktor-Ausfälle ausgelegt sind (ein Server ist ausgefallen, ein Benutzer hat eine Datei gelöscht) und nun unter Mehrfaktor-Bedingungen funktionieren sollen (der Angreifer ist seit zwei Wochen im Netzwerk und hat alles angefasst). Das sind unterschiedliche Probleme, und die meisten Backup-Umgebungen in Unternehmen wurden für das erste gebaut.

Behandeln Sie die Wiederherstellungsebene als die kompensierende Kontrolle, zu der sie geworden ist. Wenn Prävention mit mathematischer Regelmäßigkeit versagen wird, ist die Ebene, die über die Ergebnisse entscheidet, diejenige, die saubere, isolierte, unveränderliche Kopien der Daten vorhält und sie unter feindlichen Bedingungen mit hoher Geschwindigkeit wiederherstellen kann. Diese Ebene muss mit derselben Strenge architektiert, gesteuert und getestet werden wie die Produktionsumgebung, die sie schützt.

Wo BackupSec ins Spiel kommt

Bei BackupSec ist unser gesamter Ansatz um eine einzige architektonische Prämisse herum aufgebaut: Prävention wird früher oder später versagen, und wenn sie es tut, entscheidet die Wiederherstellungsebene darüber, ob das Versagen behebbar oder existenziell ist.

Das 2,7-Ergebnis aus den Sophos-Daten ist in vielerlei Hinsicht die empirische Rechtfertigung für diese Prämisse. Die drei Leistungen, die wir erbringen — Observability, Beratung und pentestgeprüfter Wiederherstellungsnachweis —, sind darauf ausgelegt, die Fragen zu beantworten, mit denen die Zahl 2,7 Risikoverantwortliche in Unternehmen konfrontiert:

• ZeroMON beantwortet „Was tut unsere Backup-Umgebung gerade tatsächlich?“ — durch kontinuierliches Monitoring von Backup-Vorgängen und Sicherheitssignalen, forensische Audit-Trails in Echtzeit, Erkennung von Konfigurationsabweichungen und Veeam-fähige Transparenz über das gesamte Backup-Estate.
• ZeroTAM beantwortet „Verfügen wir über die Expertise, um zu interpretieren, was wir sehen?“ — durch einen dedizierten Backup-Security-Berater, der Ihre Umgebung, Ihre Wiederherstellungsprioritäten und Ihre Architektur kennt und für proaktive Beratung sowie Krisenreaktion zur Verfügung steht, ohne die Reibungsverluste wechselnder Support-Tickets.
• ZeroPEN beantwortet „Können wir tatsächlich wiederherstellen, wenn die Präventionsebene versagt?“ — durch Backup-Penetrationstests, die auf Ihre Management-Planes, Zugriffskontrollen und Unveränderlichkeitslage abzielen, gefolgt von realen Restore-Szenarien, die eine saubere, vollständige und pünktliche Wiederherstellung gegenüber Ihren festgelegten RTO- und RPO-Zielen validieren.

BackupSec wird On-Premise bereitgestellt, verbindet sich über schreibgeschützten API-Zugriff und verlagert Backup-Daten oder Telemetrie niemals außerhalb Ihrer Umgebung. Wir ersetzen Ihre Backup-Plattform nicht — wir machen die Wiederherstellungsebene, die diese Plattform unterstützt, beobachtbar, beratbar und beweisbar unter den Mehrfaktor-Bedingungen, die die Sophos-Daten beschreiben.

Wenn Ihre Organisation den Sophos-Report 2025 liest und zu dem Schluss kommt, die Antwort sei, jede Tür zu schließen, sagen die Daten Ihnen etwas anderes: Die Türen werden nicht alle geschlossen bleiben, und die Architektur, die bestimmt, was passiert, wenn sich eine von ihnen öffnet, ist das Gespräch, das es 2026 wert ist, geführt zu werden.

Sprechen Sie mit BackupSec über Recovery-Validierung →

Diese Analyse stützt sich auf den Sophos-Report „State of Ransomware 2025“ und die breitere Ransomware-Forschungslandschaft des Jahres 2025. Die hier dargestellte Interpretation und das Framework stammen von BackupSec selbst. Um zu besprechen, wie diese Analyse auf Ihre spezifische Umgebung zutrifft, nehmen Sie Kontakt mit unserem Team auf →