Akira-Welle gegen DACH-Mittelstand: VPN-Schwachstellen als Einfallstor – wie Sie sich jetzt schützen

Die Ransomware-Gruppe Akira zählt seit Anfang Mai 2026 zu den aktivsten Akteuren im DACH-Raum. Unsere [Live-Ticker-Analyse](/live-ticker) zeigt allein in den vergangenen zwei Wochen mehrere österreichische Mittelstandsunternehmen auf Akiras Leak-Portal – Tendenz steigend.

Wie Akira angreift

Akira nutzt fast ausschließlich öffentlich erreichbare SSL-VPN-Gateways (Cisco ASA, SonicWall, Fortinet) ohne MFA als Initial-Access-Vektor. Nach erfolgreichem Login per Credential-Stuffing dauert es im Schnitt 23 Stunden bis zur Verschlüsselung der zentralen Fileserver. Davor wird konsequent exfiltriert: Finanzdaten, HR-Daten, technische Zeichnungen – alles, was Druckpotenzial hat.

Lösegeldforderungen 2026

Die Forderungen reichen aktuell von 200.000 EUR bei kleinen Kanzleien bis zu 8 Mio. EUR bei produzierendem Mittelstand. Wer nicht zahlt, sieht seine Daten innerhalb von 14 Tagen im Darknet.

Drei Sofortmaßnahmen

1. VPN-Gateways patchen und MFA flächendeckend erzwingen – auch für Service-Accounts. 2. Externe Angriffsfläche prüfen mit unserem [SSL-Check](/tools/ssl-zertifikat-check) und [Security-Header-Check](/tools/security-header-check). 3. Darknet-Monitoring aktivieren – siehe [Darknet Monitoring](/darknet-monitoring): Wenn Ihre Domain in Akira-Foren auftaucht, läuft der Angriff bereits.

Im Ernstfall

Bei laufender Verschlüsselung gilt: nichts ausschalten, Netzwerk segmentieren, sofort Spezialisten kontaktieren. Unsere [Ransomware-Soforthilfe](/ransomware-hilfe) ist 24/7 erreichbar – inklusive Verhandlungsführung, Forensik und sanktionsrechtlicher Prüfung jeder potenziellen Zahlung.

Lieferkette nicht vergessen

Über die Hälfte aller Akira-Folgeschäden in 2026 traf nicht das Erstopfer, sondern dessen Kunden und Lieferanten. Wer Zulieferer in Branchen mit hoher Akira-Aktivität hat (Maschinenbau, Logistik, Gesundheit), sollte das [Lieferantenmonitoring](/lieferantenmonitoring) aktiv überwachen – wir alarmieren in dem Moment, in dem ein Zulieferer im Akira-Leakportal erscheint, oft Tage bevor er es selbst kommuniziert.