Die größten Cyberangriffe in Deutschland

Deutsche Unternehmen und öffentliche Einrichtungen gehören zu den am häufigsten angegriffenen in Europa. Das Bundeskriminalamt verzeichnete im Jahr 2025 333.922 Fälle von Cyberkriminalität mit einem geschätzten Schaden von 202,4 Milliarden Euro. Im selben Jahr wurden 1.041 Ransomware-Angriffe gemeldet, und Deutschland belegte weltweit den dritten Platz bei den bestätigten Ransomware-Vorfällen.

Hinter diesen Zahlen verbergen sich konkrete Fälle: ein kommunaler IT-Dienstleister, der 72 Gemeinden vom Netz nahm, ein Autoteile-Riese, der 40 Terabyte an Daten verlor, und ein Universitätsklinikum, das Patienten abweisen musste. Dieser Artikel befasst sich mit sechs dokumentierten Angriffen, deren Kosten und dem einen Punkt, den fast alle gemeinsam haben.

Die größten Cyberangriffe in Deutschland

1. Südwestfalen IT (2023): 72 Gemeinden ohne Internetanschluss

Am 30. Oktober 2023 wurde der kommunale IT-Dienstleister Südwestfalen IT von einer Ransomware-Attacke getroffen, die der Akira-Gruppe zugeschrieben wird. Das Rechenzentrum unterbrach die Verbindungen zu den von ihm betreuten Kommunen, wodurch 72 Mitgliedsstädte und -kreise auf einen Schlag vom Netz genommen wurden. Die Bürger konnten keine Fahrzeuge anmelden, keine Dokumente anfordern und keine kommunalen Dienste in Anspruch nehmen.

Rund 170 Personen waren an den Wiederherstellungsarbeiten beteiligt und leisteten dabei etwa 43.000 Arbeitsstunden; die vollständige Wiederherstellung des Betriebs erstreckte sich bis in den Herbst des folgenden Jahres. Es handelt sich nach wie vor um den größten und komplexesten Vorfall dieser Art in Deutschland.

2. Continental (2022): 40 Terabyte gestohlen

Im Sommer 2022 drang die LockBit-Gruppe in die Netzwerke des Automobilzulieferers Continental ein und blieb rund einen Monat lang unentdeckt. Sie stahl etwa 40 Terabyte an Daten: Budget-, Investitions- und Strategiepläne, Personalakten sowie vertrauliche Korrespondenz von Führungskräften und dem Aufsichtsrat. Zu den gestohlenen Daten gehörten auch Kundendaten, darunter solche von Volkswagen.

Die Angreifer veröffentlichten eine Datei, in der die Speicherpfade von 55 Millionen Dateien aufgeführt waren. Continental schrieb an Zehntausende betroffene Personen und forderte öffentlich ein Verbot von Lösegeldzahlungen.

3. Universitätsklinikum Düsseldorf (2020): Ein Krankenhaus, das Patienten abgewiesen hat

Ein Ransomware-Angriff auf das Universitätsklinikum Düsseldorf zwang dieses dazu, sich aus dem Notfalldienst abzumelden. Die Systeme wurden verschlüsselt, und Patienten mussten in andere Krankenhäuser umgeleitet werden. Der Fall erregte internationale Aufmerksamkeit als eines der eklatantesten Beispiele dafür, was passiert, wenn kritische Versorgungsinfrastruktur ausfällt. Die deutschen Sicherheitsbehörden führten diesen Angriff, ebenso wie andere Vorfälle, auf die als „Double Spider“ bekannte Gruppe zurück.

4. Landkreis Anhalt-Bitterfeld (2021): die erste Erklärung zum Cyber-Katastrophenfall

Nach einem Ransomware-Angriff erklärte der Landkreis Anhalt-Bitterfeld den Katastrophenfall. Es war das erste Mal, dass eine deutsche Behörde diesen Schritt aufgrund eines Cyberangriffs unternahm. Die Auszahlung von Sozialleistungen und die Bürgerdienste waren wochenlang unterbrochen, und der Landkreis benötigte Monate, um wieder zum normalen Betrieb zurückzukehren.

5. Funke Mediengruppe (2020): Ein Verlag ohne Redaktion

Einer der größten deutschen Medienkonzerne wurde von einer Ransomware-Attacke getroffen, die sich auf Redaktions- und Produktionssysteme ausbreitete. Die Zeitungen erschienen in Notausgaben. Wie bereits im Fall von Düsseldorf und Anhalt-Bitterfeld wiesen die deutschen Behörden auf die Gruppe „Double Spider“ hin.

6. Das Muster hinter den Schlagzeilen (2025)

Einzelne Fälle sorgen zwar für Schlagzeilen, doch wichtiger ist der allgemeine Trend. Im Jahr 2025 entfielen 23 Prozent aller deutschen Datenlecks auf das verarbeitende Gewerbe, gefolgt von Rechts- und Beratungsdienstleistungen mit 14 Prozent sowie dem Bau- und Ingenieurwesen mit 11 Prozent. Laut Google Threat Intelligence war die SafePay-Gruppe in diesem Jahr für rund ein Viertel der veröffentlichten deutschen Datenlecks verantwortlich. Die Ziele sind längst nicht mehr nur die bekannten Namen.

Was diese Fälle gemeinsam haben

Liest man die Berichte nebeneinander, zeichnet sich ein Muster ab. Es handelte sich nicht um exotische Zero-Day-Exploits gegen streng gesicherte Systeme. In einem Fall nach dem anderen gelangten die Angreifer durch eine ganz gewöhnliche Tür ins System: gestohlene Zugangsdaten, eine überzeugende E-Mail, ein Mitarbeiter, der handelte, bevor er nachfragte.

Der Fall „Continental“ ist aufschlussreich. Die Angreifer befanden sich bereits seit etwa einem Monat im Netzwerk, bevor jemand etwas bemerkte. Das ist kein Versagen der Firewalls, sondern ein Versagen der Erkennung und der menschlichen Warnsignale, die dem vorausgehen. Irgendwo hat irgendjemand etwas bemerkt, das nicht ganz richtig aussah.

Aus diesem Grund weisen das BSI und das BKA immer wieder auf dieselbe Schwachstelle hin. Technische Kontrollmaßnahmen wehren bekannte Bedrohungen ab. Sie verhindern jedoch nicht, dass ein Mitarbeiter einen Anhang öffnet, der wie eine Rechnung aussieht, einen auf dem Parkplatz gefundenen USB-Stick anschließt oder nach einem Anruf von jemandem, der sich als IT-Support ausgibt, eine Anmeldeanfrage genehmigt. Diese letzte Methode wurde bei einigen der größten europäischen Datenlecks der letzten Jahre angewendet, und Phishing funktioniert nach genau demselben Prinzip: Neugier, nicht eine technische Schwachstelle.

So schützen Sie Ihr Unternehmen

Backups, Patches und Netzwerksegmentierung bilden die Grundvoraussetzung, und jedes der oben genannten Unternehmen verfügte in irgendeiner Form darüber. Was die Unternehmen, die einen Angriff abgefedert haben, von denen unterscheidet, die Schlagzeilen machten, ist in der Regel die Geschwindigkeit, mit der erkannt wurde, was vor sich ging.

Diese Wahrnehmung lässt sich trainieren. In der Praxis sind drei Dinge entscheidend:

• Regelmäßige, kurze Schulungen statt einer jährlichen Veranstaltung. Das Bewusstsein lässt nach. Bei einer jährlichen Veranstaltung werden Fakten vermittelt, die bis März wieder vergessen sind; wöchentliche Wiederholungen führen zu einem Reflex.
• Realistische Phishing-Simulationen. Über Phishing zu lesen ist nicht dasselbe wie selbst eine Phishing-Mail zu erhalten. Anhand von Simulationen lässt sich erkennen, welche Abteilungen Unterstützung benötigen, bevor ein Angreifer dies für Sie herausfindet.
• Eine Kultur, in der das Melden von Vorfällen zur Normalität gehört. Der Mitarbeiter, der den Vorfall bemerkt und dies innerhalb von fünf Minuten meldet, ist mehr wert als derjenige, der fünf Tage lang schweigt.

Für Organisationen, die unter die NIS2-Richtlinie fallen, ist dies nicht mehr freiwillig. In der Richtlinie werden Sensibilisierungsschulungen ausdrücklich genannt, und unser NIS2-Leitfaden erläutert, was dies in der Praxis bedeutet.