Das 2,7-Problem: Warum Ransomware-Opfer typischerweise mit mehr als einer Schwachstelle konfrontiert sind

Die am meisten unterschätzte Zahl im Sophos-Bericht 2025

Als Sophos im Juni 2025 seinen Bericht State of Ransomware 2025 veröffentlichte, waren die zentralen Ergebnisse ermutigend. Bei 50 % der Angriffe wurden Daten verschlüsselt, gegenüber 70 % im Jahr 2024. 53 % der Opfer hatten sich innerhalb einer Woche vollständig erholt, gegenüber 35 %. Die mediane Lösegeldzahlung halbierte sich von 2 Mio. auf 1 Mio. US-Dollar. Diese Zahlen sind echt, und sie sind wichtig. Doch der Bericht untersuchte erstmals auch etwas anderes: die organisatorischen Faktoren, die Unternehmen angreifbar gemacht hatten. Eine Statistik aus diesem Abschnitt verändert unserer Ansicht nach, wie Verantwortliche für Unternehmensrisiken über Ransomware nachdenken sollten.

Die Umfrage umfasste 3.400 IT- und Cybersecurity-Verantwortliche in 17 Ländern, alle in Organisationen mit 100 bis 5.000 Beschäftigten, die in den vorangegangenen 12 Monaten von Ransomware getroffen worden waren. Auf die Frage, warum ihre Organisation zum Opfer wurde, nannten die Befragten im Durchschnitt 2,7 beitragende Faktoren.

Nicht einen. Nicht einmal zwei. Im Durchschnitt nannten die Opfer knapp drei operative Bedingungen hinter einem einzigen Angriff.

Das ist keine Fußnote. Es ist ein starker Beleg dafür, dass eine Ransomware-Abwehr, die auf eine einzelne Kontrolle setzt, nicht dazu passt, wie Opfer ihre eigenen Vorfälle beschreiben, und dass die Backup-Architektur unbemerkt zu einer der wichtigsten kompensierenden Kontrollen im Unternehmens-Stack geworden ist.

Bei BackupSec halten wir die Zahl 2,7 für die strategisch nützlichste Zahl im Bericht. Dieser Artikel erläutert, was sie misst, warum sie reine Präventionsstrategien schwer vertretbar macht und was sie für Organisationen bedeutet, die Backup immer noch als Nebensache gegenüber der „echten" Sicherheit behandeln.

Wofür die 2,7 tatsächlich steht

Die Frage, die Sophos stellte, lautete "Why do you think your organization fell victim to the ransomware attack?" (Warum ist Ihre Organisation Ihrer Meinung nach Opfer des Ransomware-Angriffs geworden?). Die Befragten konnten mehr als einen von sieben operativen Gründen auswählen und wählten im Durchschnitt 2,7. Die vollständige Liste, mit dem Anteil der 3.400 Befragten, die den jeweiligen Grund nannten:

• Fehlende Expertise: 40,2 %. Nicht über die Fähigkeiten oder das Wissen zu verfügen, um den Angriff rechtzeitig zu erkennen und zu stoppen.
• Unbekannte Sicherheitslücke: 40,1 %. Eine Schwäche in der Abwehr, die der Organisation nicht bewusst war.
• Fehlendes Personal / fehlende Kapazität: 39,4 %. Zum Zeitpunkt des Angriffs überwachten nicht genug Cybersecurity-Fachleute die Systeme.
• Fehlender Schutz: 39,0 %. Die notwendigen Cybersecurity-Produkte und -Services fehlten.
• Bekannte Sicherheitslücke, die nicht behoben worden war: 38,2 %.
• Schutz von schlechter Qualität, der den Angriff nicht stoppen konnte: 37,1 %.
• Menschliches Versagen: 34,2 %.

Aus der Art der Fragestellung folgen zwei Dinge. Die 2,7 ist ein Durchschnitt, also nannten manche Opfer einen Faktor und andere mehrere. Und sie gibt wieder, was die Befragten für einen Beitrag halten, nicht das Ergebnis einer forensischen Untersuchung. Die Faktoren überschneiden sich zudem. Sophos fasst sie zu Schutzproblemen (63 % der Befragten), Ressourcenproblemen (63 %) und Sicherheitslücken (65 %) zusammen und findet "no single stand-out source" (keine einzelne herausragende Ursache).

Nach dem technischen Einstiegspunkt fragte Sophos gesondert. Ausgenutzte Schwachstellen waren die Grundursache bei 32 % der Angriffe, kompromittierte Zugangsdaten bei 23 %, bösartige E-Mails bei 19 % und Phishing bei 18 %. Diese Anteile beschreiben, wie der Angreifer hineinkam. Die 2,7 beschreibt die Bedingungen drumherum.

Sophos' eigene Zusammenfassung lautet, dass "victims are typically facing multiple operational challenges." (Opfer typischerweise mit mehreren operativen Herausforderungen konfrontiert sind). Wir lesen das als strukturelles Problem, nicht als Pechsträhne.

Wenn Opfer typischerweise fast drei beitragende Bedingungen nennen, dann trifft das Abwehrmodell, nach dem die meisten Unternehmen noch arbeiten („Lücke finden, Lücke schließen"), auf einen Angreifer, der nur eine davon ausnutzen können muss. Der Verteidiger muss dagegen alle gleichzeitig im Griff haben.

Das ist kein Sicherheitsproblem. Das ist ein Asymmetrieproblem.

Die Asymmetrie: eine Tür gegen sieben

Betrachten Sie die Rechnung aus der Perspektive des Angreifers.

Ein moderner Ransomware-Betreiber (eine staatsnahe Gruppe, ein RaaS-Affiliate oder eine unabhängige Crew) muss nicht jede Schwäche in Ihrer Umgebung finden und ausnutzen. Er braucht einen einzigen gangbaren Weg: ein ungepatchtes System, einen Satz kompromittierter Zugangsdaten, einen falsch konfigurierten Cloud-Bucket, einen für Phishing anfälligen Benutzer, eine administrative Lücke.

Betrachten Sie nun die Rechnung aus der Perspektive des Verteidigers. Sie sind verantwortlich für:

1. Schwachstellenmanagement über Tausende von Assets hinweg, in Zyklen, denen kein Patch-Rhythmus zuverlässig voraus ist.
2. Identity Governance über menschliche Benutzer, Dienstkonten, föderierte Identitäten und zunehmend autonome Agenten hinweg.
3. E-Mail- und Collaboration-Sicherheit, ein wichtiger Einstiegspunkt und derjenige mit der größten menschlichen Variabilität. In der Sophos-Umfrage waren bösartige E-Mails und Phishing zusammen die Grundursache von 37 % der Angriffe.
4. Endpoint-Schutz gegen Payloads, die sich schneller weiterentwickeln, als sich signaturbasierte Erkennung anpassen kann.
5. Netzwerksegmentierung, ausgelegt auf Bedrohungsmodelle, die sich laufend ändern.
6. Cloud- und SaaS-Konfiguration über Dutzende oder Hunderte von Diensten hinweg, jeder mit eigenem Berechtigungsmodell.
7. Backup- und Recovery-Infrastruktur, die unter Bedingungen funktionieren muss, die der Rest Ihres Stacks bereits nicht verhindern konnte.

Der Angreifer spielt ein Feld auf diesem Brett. Der Verteidiger spielt alle sieben, jeden Tag, mit begrenzten Ressourcen.

Diese sieben Bereiche sind unsere Einteilung, nicht die sieben Antwortoptionen von Sophos. Sophos' Liste beschreibt organisatorische Bedingungen wie Expertise, Kapazität und unbekannte Lücken, und diese ziehen sich durch jeden der oben genannten Bereiche. Die Zahl 2,7 stützt die Asymmetrie dennoch mit Daten. Die Opfer beschrieben ihre Angriffe (die Umfrage fragte nach den vorangegangenen 12 Monaten, daher fanden viele davon 2024 statt) als Ergebnis von im Durchschnitt fast drei beitragenden Bedingungen. Das ist kein Zeichen von Fahrlässigkeit. Es ist ein Zeichen dafür, dass vollständige Prävention strukturell schwer zu erreichen ist.

Warum „einfach die Grundursache beheben" eine schlechte Rechnung ist

Eine gängige Reaktion auf eine Vorfallsanalyse besteht darin, die „Grundursache" zu identifizieren und zu beheben. Die meisten Post-Incident-Reviews bestärken dieses Denken. Die Sophos-Daten von 2025 zeigen, warum diese Sichtweise, so intuitiv befriedigend sie ist, verfehlt, wie die Opfer selbst beschreiben, was schiefgelaufen ist.

Wenn Opfer im Durchschnitt 2,7 beitragende Faktoren nennen, dann ist ein Review, das bei einer einzigen Grundursache stehen bleibt, wahrscheinlich unvollständig. Es sagt Ihnen, durch welche Tür der Angreifer gegangen ist. Es sagt Ihnen nicht, warum das Gebäude so viele unverschlossene Türen hatte, dass eine davon immer verfügbar sein würde.

Das hat operative Bedeutung. Ressourcen, die für den konkreten Einstiegsvektor des Vorfalls vom letzten Jahr aufgewendet werden, fehlen für die architektonischen Lücken, die über das nächste Jahr entscheiden. Unsere Lesart der Sophos-Daten ist, dass Organisationen, die im Modus der einen Grundursache arbeiten, wahrscheinlich zu wenig in die mehrschichtigen Kontrollen investieren, die darüber entscheiden, ob irgendein Einstiegsvektor zu einem katastrophalen Ergebnis führt.

Die strategische Neuausrichtung lautet: In jeder ausreichend komplexen Unternehmensumgebung werden Angreifer irgendwann einen gangbaren Weg finden. Die Frage, die darüber entscheidet, ob dieser Weg zu einem gezahlten Lösegeld führt, lautet nicht „Haben wir jede Tür geschlossen?", sondern „Übersteht unsere Architektur es, wenn sich eine davon öffnet?"

Die kompensierende Kontrolle, die die meisten Unternehmen unterschätzen

Hier ist die architektonische Erkenntnis, auf die die Zahl 2,7 hinweist: Wenn Prävention mit einer gewissen Regelmäßigkeit versagt, verlagern sich die Ebenen, die über das Geschäftsergebnis entscheiden, nach hinten in der Kette.

An diesem Punkt wird die Backup-Architektur von „Infrastrukturhygiene" zur „primären strategischen Kontrolle".

In einem Bedrohungsmodell mit einem einzigen Vektor ist Backup eine Rückfallebene. In einem Bedrohungsmodell mit mehreren Faktoren ist Backup die kompensierende Kontrolle für die Präventionsausfälle, die eintreten werden. Sophos' erster Bericht State of Ransomware in Enterprise 2025, der auf den 1.733 Befragten aus Organisationen mit 1.000 bis 5.000 Beschäftigten beruht, zeigt, was auf dem Spiel steht:

• 48 % der betroffenen Unternehmen, deren Daten verschlüsselt wurden, zahlten das Lösegeld, um sie zurückzubekommen, gegenüber 55 % im Jahr 2024.
• Die Nutzung von Backups zur Wiederherstellung verschlüsselter Daten sank in Unternehmen auf 53 %, den niedrigsten Wert seit vier Jahren, gegenüber 73 % im Jahr 2024.
• Organisationen mit 1.000–5.000 Beschäftigten gaben für die Wiederherstellung im Durchschnitt 1,83 Mio. US-Dollar aus, ohne gezahltes Lösegeld, laut dem Hauptbericht 2025.

Sophos liest die Zahlen zu Zahlungen und Backups gemeinsam als Hinweis "to stronger resistance to demands together with weaknesses and lack of backup resilience." (auf einen stärkeren Widerstand gegen Forderungen, verbunden mit Schwächen und mangelnder Backup-Resilienz). Sophos weist außerdem darauf hin, dass 30 % der Unternehmen mit verschlüsselten Daten andere Mittel zur Wiederherstellung nutzten, der Rückgang bei der Backup-Nutzung also nicht nur eine Geschichte versagender Backups ist. Dennoch ist das Bild stimmig. Weniger Angriffe erreichen die Verschlüsselung, doch wenn sie es tun, trugen Backups die Wiederherstellung nur in etwa der Hälfte der Fälle in Unternehmen. Genau in der Lücke zwischen der Reife der Prävention und der Reife der Wiederherstellung liegen die Lösegeldzahlungen.

Für Verantwortliche im Enterprise-Risikomanagement bedeutet das eine gezielte Umverteilung der architektonischen Aufmerksamkeit. Investitionen in Erkennung, Identität und Patching bleiben alle unverzichtbar. Doch keine davon beseitigt die 2,7. Sie verschieben lediglich, welche drei Türen an einem bestimmten Tag offen stehen. Die Kontrolle, die darüber entscheidet, ob eine geöffnete Tür zu einem existenzbedrohenden Vorfall wird, ist diejenige, die die meisten Organisationen zu wenig modernisiert haben: die Architektur, die saubere, unveränderliche, validierte Kopien geschäftskritischer Daten vorhält und sie unter feindlichen Bedingungen wiederherstellen kann.

Wie 2,7 bei einem Vorfall aussehen kann

Sophos schlüsselt die 2,7 nicht in eine Abfolge auf. Das Folgende ist daher unsere Veranschaulichung, wie sich beitragende Faktoren in einer Unternehmensumgebung zusammensetzen können, keine Umfragedaten:

Faktor eins ist meist ein Einstiegsvektor: ein ungepatchtes Edge-Gerät, kompromittierte Zugangsdaten, die systemübergreifend wiederverwendet werden, oder eine erfolgreiche Phishing-Mail. Das ist das Versagen, das der Post-Incident-Bericht als „Grundursache" bezeichnen wird.

Faktor zwei ist typischerweise ein Versagen bei Berechtigungen oder Sichtbarkeit, das es ermöglichte, den ersten Brückenkopf auszubauen: übermäßige dauerhafte Berechtigungen, Lücken bei der Erkennung lateraler Bewegungen oder unzureichende Segmentierung zwischen Geschäftsbereichen.

Faktor drei ist der, auf den wir uns konzentrieren: ein Versagen auf der Wiederherstellungsebene, das aus einem eingedämmten Einbruch ein gezahltes Lösegeld macht. Backup-Zugangsdaten, die aus der Produktion erreichbar sind, Aufbewahrungsrichtlinien, die kompromittierte Admins ändern können, oder Restore-Verfahren, die nie gegen das Szenario getestet wurden, mit dem das Team jetzt konfrontiert ist. Sophos hat hierzu einen eng gefassten Datenpunkt: Im Hauptbericht 2025 gaben von den 151 Organisationen, die mehr als die ursprüngliche Lösegeldforderung zahlten, 38 % an, ihre Backups seien ausgefallen oder hätten nicht richtig funktioniert.

Die ersten beiden Faktoren erhalten bei der Incident Response die Aufmerksamkeit. Der dritte entscheidet oft über das finanzielle Ergebnis, und er ist schwer ehrlich zu bewerten, bis ein Vorfall die Frage erzwingt.

Das ist die operative Realität, auf die die Zahl 2,7 hinweist. Die Faktoren sind nicht abstrakt: Zusammen bilden sie die Abfolge von Ausfällen, die aus einem beherrschbaren Sicherheitsereignis eine Krise auf Vorstandsebene macht.

Was das für die Verteilung von Risikobudgets bedeutet

Wenn Sie das Ergebnis 2,7 als architektonisch bedeutsam akzeptieren (und eine Umfrage unter 3.400 betroffenen Organisationen lässt sich schwer abtun), ergeben sich mehrere Schlussfolgerungen für die Verteilung.

Investitionen über die gesamte Ausfallkette streuen, nicht innerhalb einer einzigen Ebene. Wer die E-Mail-Sicherheit verdoppelt und die Recovery-Architektur unverändert lässt, verschiebt nur, welcher Faktor zuerst versagt; die Gesamtzahl der Ausfälle sinkt dadurch nicht. Sicherheitsbudgets in Unternehmen, die überproportional in Prävention fließen und Backup als Standardposten behandeln, arbeiten gegen ein Bedrohungsmodell, das nicht widerspiegelt, wie Opfer ihre Vorfälle beschreiben.

Architekturen gegen Szenarien mit mehreren Faktoren bewerten, nicht mit Tests für einen einzelnen Vektor. Ein Test, der bestätigt, dass eine Abwehrmaßnahme hält, ist kein Beleg dafür, dass Ihre Umgebung einen echten Angriff übersteht. In der Sophos-Umfrage nannten die Opfer im Durchschnitt fast drei beitragende Faktoren. Tabletop-Übungen und Red-Team-Einsätze sollten so angelegt sein, dass sie genau diese zusammengesetzte Lage ausdrücklich testen.

Wiederherstellungsvertrauen messen, nicht abgeschlossene Backups. Sophos sagt nicht, warum die Backup-Nutzung in Unternehmen auf 53 % sank, und ein Teil des Rückgangs geht auf andere Wiederherstellungsmethoden zurück. Unsere Lesart ist, dass viele Backup-Architekturen für Ausfälle mit einem einzigen Faktor entworfen wurden (ein Server ist ausgefallen, ein Benutzer hat eine Datei gelöscht) und jetzt unter Bedingungen mit mehreren Faktoren funktionieren sollen (der Angreifer ist seit zwei Wochen im Netzwerk und hat alles angefasst). Das sind unterschiedliche Probleme. Sophos' eigene Empfehlung lautet, "make quality backups and regularly practice restoring data from them." (hochwertige Backups anzulegen und die Wiederherstellung von Daten daraus regelmäßig zu üben).

Die Wiederherstellungsebene als die kompensierende Kontrolle behandeln, die sie geworden ist. Wenn Prävention manchmal versagen wird, ist die Ebene, die über das Ergebnis entscheidet, diejenige, die saubere, isolierte, unveränderliche Kopien der Daten vorhält und sie unter feindlichen Bedingungen schnell wiederherstellen kann. Diese Ebene muss mit derselben Sorgfalt architektonisch geplant, gesteuert und getestet werden wie die Produktionsumgebung, die sie schützt.

Wo BackupSec ins Spiel kommt

Bei BackupSec beruht unser Ansatz auf einer Prämisse: Prävention wird irgendwo irgendwann versagen, und wenn das passiert, entscheidet die Wiederherstellungsebene, ob das Versagen behebbar oder existenzbedrohend ist.

Drei unserer Services lassen sich den Fragen zuordnen, die die Zahl 2,7 aufwirft:

• ZeroMON beantwortet die Frage „Was tut unsere Backup-Umgebung gerade tatsächlich?" Es überwacht Veeam Backup & Replication: Job-Zustand, Konfigurationsänderungen mit wer, was und wann (Forensic & Audit), eine Security-Analyzer-Checkliste, Berichte und einen Honeypot auf der Monitoring-Appliance. Es zeigt den Immutability-Status so an, wie ihn Veeams eigene Repository-Einstellungen melden; es liest Veeams Konfiguration aus und verifiziert keine Sperren auf Objektebene im Speicher. Alarme werden per E-Mail und als In-App-Benachrichtigung versendet. ZeroMON wird on-premises als OVA bereitgestellt, verbindet sich mit einem Read-only-Konto und sendet nichts an BackupSec oder Dritte.
• ZeroTAM beantwortet die Frage „Haben wir die Expertise, um zu deuten, was wir sehen?" Das ist die Frage hinter dem häufigsten Faktor auf der Sophos-Liste. Ein dedizierter Backup-Security-Berater deckt Architektur, Planung der Ransomware-Wiederherstellung und Kapazität ab, mit priorisiertem Support während einer Krise. Es ist Beratung, keine Software.
• ZeroPEN beantwortet die Frage „Wie weit würde ein Angreifer gegen unsere Backups kommen?" Es ist ein bedrohungsorientierter Penetrationstest von Veeam Backup & Replication, Veeam ONE und Enterprise Manager, der eine Ransomware-Kill-Chain in acht auf MITRE ATT&CK abgebildeten Phasen simuliert, vom Erstzugriff über die Neutralisierung von Backups bis zum Nachweis der Verschlüsselungsfähigkeit. Er ist nicht destruktiv: Er "never deletes real backups, performs real encryption, or stops production or backup services." (löscht niemals echte Backups, führt keine echte Verschlüsselung durch und stoppt weder Produktions- noch Backup-Dienste). Befunde werden mit auditfähigen Nachweisen geliefert, und kritische Befunde werden erneut getestet.

Wir ersetzen Ihre Backup-Plattform nicht. Wir helfen, die Wiederherstellungsebene, die sie trägt, beobachtbar, verständlich und gegen die von den Sophos-Daten beschriebenen Bedingungen mit mehreren Faktoren getestet zu machen.

Wenn Ihre Organisation den Sophos-Bericht 2025 liest und daraus schließt, die Antwort sei, jede Tür zu schließen, sagen Ihnen die Daten etwas anderes: Die Türen werden nicht alle geschlossen bleiben, und die Architektur, die bestimmt, was passiert, wenn sich eine davon öffnet, ist das Gespräch, das sich 2026 zu führen lohnt.

Sprechen Sie mit BackupSec →

Diese Analyse stützt sich auf Sophos' Berichte State of Ransomware 2025 und State of Ransomware in Enterprise 2025. Interpretation und Framework stammen von BackupSec. Wenn Sie besprechen möchten, wie sich diese Analyse auf Ihre Umgebung übertragen lässt, nehmen Sie Kontakt mit unserem Team auf →