Die Work-Life-Balance der Cyberkriminellen: Wann Ransomware-Gruppen zuschlagen

Ransomware-Gruppen operieren wie Unternehmen – mit Schichtplänen, Stoßzeiten und strategischem Timing. Eine Analyse der Veröffentlichungsmuster auf Darknet-Leak-Seiten zeigt: Cyberkriminelle haben klare Arbeitsrhythmen, die sich gezielt an den Schwachstellen ihrer Opfer orientieren. Über die Hälfte aller Ransomware-Angriffe erfolgt an Wochenenden oder Feiertagen – genau dann, wenn IT-Teams unterbesetzt sind.

Globales Muster: Wochentags-Verteilung

Die Auswertung von über 7.600 Leak-Seiten-Veröffentlichungen zwischen März 2025 und März 2026 zeigt ein eindeutiges Muster. Dienstag und Mittwoch sind die aktivsten Tage für Veröffentlichungen:

• Montag: 295 Publikationen
• Dienstag: 358 Publikationen (Spitzentag)
• Mittwoch: 342 Publikationen
• Donnerstag: 321 Publikationen
• Freitag: 309 Publikationen
• Samstag: 268 Publikationen
• Sonntag: 272 Publikationen

Samstag und Sonntag sind die schwächsten Tage für Veröffentlichungen, doch die eigentlichen Angriffe finden häufig genau dann statt. Laut Semperis (2025) wurden über 53 % aller Ransomware-Vorfälle an Wochenenden, Feiertagen oder während Unternehmensumstrukturierungen ausgeführt.

Arbeitsprofile der Top-Gruppen

• Qilin – Der unermüdliche Schichtarbeiter: 342 Opfer im Q1 2026, gleichmäßige Verteilung über alle 7 Tage. Ein klares Zeichen für ein Schichtsystem mit mehreren Teams.
• The Gentlemen – Der Dienstags-Spezialist: Dienstag ist mit Abstand der aktivste Tag. Die Gruppe veröffentlicht gesammelte Ergebnisse in einem wöchentlichen „Release-Zyklus".
• LAPSUS$ – Der Wochenend-Krieger: Veröffentlicht fast ausschließlich an Wochenenden – strategisches Timing für maximale Störung bei minimaler Gegenwehr.
• Akira – Der 9-to-5-Kriminelle: Aktivität konzentriert sich auf Montag bis Freitag mit deutlichem Rückgang am Wochenende. Erstaunlich „normales" Arbeitsmuster.
• CL0P – Der Kampagnen-Arbeiter: Intensive Kampagnen-Phasen mit hunderten Opfern, gefolgt von wochenlanger Stille.

Feiertage als Hochsaison

Die Analyse zeigt deutliche saisonale Spitzen. Besonders die Weihnachtszeit erwies sich als Hochphase:

• 26. Dezember 2025: 63 neue Opfer an einem einzigen Tag (+163 % über Durchschnitt)
• Heiligabend: 38 Opfer (+58 %)
• Weihnachten: 41 Opfer (+71 %)
• An jedem einzelnen DACH-Feiertag lag die Ransomware-Aktivität über dem Durchschnitt – im Schnitt um +40 %

Was bedeutet das für Unternehmen?

• Wochenend-Bereitschaft: SOC-Teams müssen an Wochenenden und Feiertagen gleichwertig besetzt sein
• Dienstag als Risikotag: Incident-Response-Teams sollten zu Wochenbeginn besonders aufmerksam sein
• Dezember-Vorbereitung: Vor den Feiertagen alle Patches einspielen, Backups prüfen und Notfallpläne aktualisieren
• M&A-Phasen absichern: 60 % der Angriffe korrelieren mit Unternehmensveränderungen
• Automatisierung statt Manpower: EDR, automatisiertes Patch-Management und KI-basierte Anomalieerkennung sind notwendig

Fazit

Ransomware-Gruppen haben eine bessere Schichtplanung als die meisten IT-Abteilungen ihrer Opfer. Solange Unternehmen ihre Cyberabwehr um 17 Uhr herunterfahren, werden Kriminelle genau diese Lücke ausnutzen.