Rechnet man alle Datensicherheitsvorfälle zusammen, kommt das ICO für das Quartal auf 4604 Meldungen, ebenfalls ein Höchstwert. Darin sind auch Vorfälle ohne Cyberbezug enthalten, etwa E-Mails an falsche Empfänger. Die Behörde veröffentlicht ihre Zahlen zu Sicherheitsvorfällen seit mehreren Jahren. Sie sind jedoch wenig bekannt und tauchen in offiziellen Mitteilungen der Regierung kaum auf. Die Statistik enthält nur Vorfälle, die Organisationen selbst bemerken und melden. Fachleute halten sie trotzdem für den besten verfügbaren Maßstab für die tatsächliche Zahl der Vorfälle. Die neuen Werte sind vorläufig, weil Dutzende Fälle noch nicht abgeschlossen sind. Vorläufige Zahlen weichen aber selten stark vom endgültigen Ergebnis ab.

Welche Angriffe hinter dem Anstieg stehen, ist unklar. Den Großteil ordnet das ICO als „sonstige Cybervorfälle“ ein. Diese Sammelkategorie ist von Phishing, Ransomware und Malware getrennt. Die Zahl der gemeldeten Ransomware-Fälle sinkt nach den ICO-Daten sogar:

  • 2023: 1253 Fälle
  • 2024: 752 Fälle
  • 2025: 620 Fälle
  • erste neun Monate 2026: 321 Fälle, davon 102 im dritten Quartal (zweites Quartal: 111)

Ob das ICO unter Ransomware nur Angriffe mit Verschlüsselung erfasst oder auch reine Datenerpressung, ist nicht bekannt.

Daten von den Leak-Seiten, auf denen Ransomware-Gruppen ihre Opfer öffentlich nennen, zeigen dagegen mehr Erpressungsversuche. Rafe Pilling, Director of Threat Intelligence bei Sophos, nennt diese Daten eine „unvollkommene Kennzahl“. Sie deuteten aber darauf hin, dass Ransomware und Erpressung mit gestohlenen Daten zunehmen, besonders in Großbritannien. Sophos zählte im Oktober weltweit mehr als 1200 neu genannte Opfer. Das ist der höchste Monatswert, den das Unternehmen bisher erfasst hat, und fast zwei Drittel mehr als ein Jahr zuvor. Treiber waren nach Pillings Angaben vor allem die Gruppen Qilin, The Gentlemen und n0n. Hinzu kommen mehrere kleinere Gruppen, die offenbar erst vor Kurzem aufgetaucht sind. Etwa 350 britische Organisationen wurden in diesem Jahr bisher auf Leak-Seiten genannt. Das sind rund 50 Prozent mehr als im Vorjahr, während der weltweite Anstieg eher bei 25 Prozent liegt. „Weltweit ist das ein neuer Anstieg. In Großbritannien geht es schon das ganze Jahr über stetig nach oben“, sagte Pilling. Nach Einschätzung von Sophos wird der November den Monatsdurchschnitt des Jahres bereits übertreffen.

Mehrere Beschäftigte britischer Incident-Response-Firmen sagten, sie müssten wegen der hohen Nachfrage Kunden abweisen. Andere sprachen von hoher Arbeitslast, fühlten sich aber nicht überlastet. Sie wiesen darauf hin, dass solche Firmen immer abwägen müssen: Die Spezialisten sollen ausgelastet sein, gleichzeitig braucht man Reserven für plötzliche Angriffswellen. In den USA hatte NBC News eine ähnliche Entwicklung beschrieben und sie auf Angriffe mit künstlicher Intelligenz zurückgeführt.

Der Anstieg der ICO-Meldungen betrifft mehrere Branchen:

  • Einzelhandel und Fertigung: von 205 im zweiten auf 296 im dritten Quartal, der höchste Wert aller Branchen
  • Wohltätigkeits- und Freiwilligenorganisationen: von 79 auf 145, fast eine Verdopplung
  • Online-Technologie und Telekommunikation: von 76 auf 120
  • Bildung und Kinderbetreuung: Rückgang von 135 auf 115, als einzige der sechs am stärksten betroffenen Branchen

Förmliche Untersuchungen leitet das ICO nur selten ein. Von den 1371 Cybervorfällen des dritten Quartals verfolgte die Behörde nach eigenen Angaben nur 18 mit einer Untersuchung weiter. Die meisten Fälle schloss sie mit informellen Maßnahmen ab. Schon früher hatte sich gezeigt, dass das ICO weniger Ransomware-Vorfälle untersuchte, obwohl mehr Meldungen eingingen.

Pilling nennt mehrere Gründe für die wachsende Bedrohung. Etablierte kriminelle Gruppen setzen inzwischen künstliche Intelligenz ein, und es gibt mehr Angriffe mit Frameworks für KI-Agenten. Viele der erfolgreichsten Angriffe ließen sich laut Pilling trotzdem mit grundlegenden Maßnahmen verhindern. Dazu gehört, Schwachstellen in Systemen zu schließen, die aus dem Internet erreichbar sind. Außerdem empfiehlt er phishingresistente Multifaktor-Authentifizierung und Passkeys. Das ICO und das National Cyber Security Centre reagierten zunächst nicht auf eine Bitte um Stellungnahme.