Gestohlene Anmeldedaten sind zum primären Einfallstor für Ransomware-Angriffe geworden; die Identitätssicherheit in Unternehmen muss dringend gestärkt werden.

Einleitung

Der Einstiegspunkt von Ransomware-Angriffen befindet sich in einem grundlegenden Wandel. Laut dem aktuellen jährlichen Ransomware-Bericht von Sophos lassen sich 79 % der analysierten Ransomware-Vorfälle auf die Nutzung gestohlener Identitäten und legitimer Benutzeranmeldungen in der initialen Eindringphase zurückführen. Diese Daten zeigen, dass die Identitätsebene zur bevorzugten Einfallspforte für Cyberkriminelle geworden ist und die traditionelle, auf Schwachstellenbehebung ausgerichtete Verteidigungsstrategie vor Herausforderungen steht.

Ereignisübersicht

• Zeitraum: Der Bericht basiert auf Untersuchungen tatsächlicher Vorfälle zwischen 2025 und 2026 und umfasst 2.158 Führungskräfte im Bereich Cybersicherheit.
• Hintergrund: Identitätsangriffe sind zur häufigsten initialen Eindringmethode geworden und haben das bisherige Muster der Schwachstellenausnutzung abgelöst.
• Schlüsseldaten:
• - 79 % der Ransomware-Vorfälle begannen mit gestohlenen Identitäten oder Missbrauch legitimer Anmeldedaten.
• - Der Anteil bösartiger E-Mails als Einstiegspunkt stieg von 19 % auf 26 %.
• - Phishing-Angriffe machten 24 % aus (im Vorjahr 18 %).
• - Brute-Force-Angriffe machten 23 % aus (leicht rückläufig).
• - Ausnutzung von Schwachstellen fiel von 32 % auf 18 %.
• Nutzungsweise: 38 % über exponierte Anwendungen/Systeme, 30 % über Fernzugriff auf Geräte, 21 % über Firewalls, 8 % über exponierte VPNs, 3 % über IoT-Geräte.

Technische und Risikoanalyse

Angriffsmethoden und Nutzungskette

Warum wenden sich Angreifer Identitätsangriffen zu? Sophos CISO Ross McKerchar weist darauf hin, dass Kriminelle sich auf „einfachere“ Angriffsmethoden verlassen – die Nutzung gestohlener Identitäten als initialen Zugangsvektor. Die Verbreitung von KI verstärkt die Bedrohung durch Social Engineering weiter: KI kann Phishing-E-Mails verfeinern und komplexe ClickFix-Kampagnen entwerfen, um Benutzer dazu zu verleiten, MFA zu umgehen.

Typische Angriffskette umfasst: 1. Erlangung von Anmeldedaten: Stehlen gültiger Anmeldedaten durch Phishing, bösartige E-Mails oder Brute-Force. 2. Initialer Zugriff: Nutzung legitimer Anmeldungen, um auf exponierte Anwendungen, Remote-Desktops oder Firewalls zuzugreifen. 3. Laterale Bewegung und Rechteausweitung: Ausbreitung im internen Netzwerk mithilfe legitimer Identitäten. 4. Bereitstellung von Ransomware: Verschlüsselung der Daten und Lösegeldforderung.

Betroffene Assets

• Identitätsangriffe beschränken sich nicht auf IT-Systeme. Die im Bericht genannten Einstiegspunkte umfassen:
• Exponierte Anwendungen oder Systeme (38 %) – z. B. Webanwendungen, SaaS-Plattformen.
• Fernzugriff auf Geräte (30 %) – einschließlich persönlicher Geräte der Mitarbeiter, ungeschützter Remote-Arbeitsplätze.
• Firewalls (21 %) – Verwaltungsschnittstellen oder VPN-Gateways.
• VPNs (8 %) – Remote-Zugangspunkte.
• IoT-Geräte (3 %) – Sicherheitslücken bei Edge-Geräten.

Bemerkenswerterweise ist die Ausnutzung von Schwachstellen nicht mehr vorherrschend, was jedoch nicht bedeutet, dass Patchen nicht mehr wichtig ist. Die Angreifer haben lediglich den „einfacheren“ Weg bevorzugt.

Auswirkungen auf Unternehmen### Betriebsrisiken

Identitätsangriffe sind oft schwer zu erkennen, da Angreifer legitime Anmeldeinformationen verwenden und ihr Verhalten normal erscheint. Dies verlängert die Reaktionszeit auf Vorfälle und kann den Umfang der Datenverschlüsselung vergrößern. Berichten zufolge geben 62 % der Unternehmen an, dass es bekannte oder unbekannte Sicherheitslücken gibt, die dazu führen, dass Angriffe nicht rechtzeitig erkannt werden.

Finanzielle Risiken

Die Daten zeigen, dass das mittlere Lösegeld von 2 Millionen Dollar vor zwei Jahren auf 698.000 Dollar gesunken ist, aber große Unternehmen sind immer noch mit Lösegeldforderungen in Millionenhöhe konfrontiert. Angreifer neigen dazu, das Lösegeld an die Zahlungsfähigkeit des Opfers anzupassen – zu hohe Forderungen könnten dazu führen, dass Unternehmen die Zahlung verweigern, während ein „angemessenes“ Lösegeld die Zahlungswahrscheinlichkeit erhöht. 48 % der Opfer zahlten Lösegeld, 66 % stellten Daten aus Backups wieder her. Die Zahlung von Lösegeld garantiert jedoch keine Datenwiederherstellung und kann das aggressive Verhalten der Angreifer fördern.

Compliance- und Markenrisiken

Identitätslecks betreffen in der Regel personenbezogene Daten und können Meldepflichten nach Vorschriften wie der DSGVO oder dem CCPA auslösen. Ransomware-Vorfälle schädigen zudem das Kundenvertrauen und die Markenreputation erheblich, insbesondere in Branchen, die mit sensiblen Daten umgehen (z. B. Finanzen, Gesundheitswesen, kritische Infrastruktur).

Datenrisiken

Ransomware-Angriffe führen nicht nur zur Verschlüsselung von Daten, sondern können auch mit Datendiebstahl und mehrstufiger Erpressung einhergehen. Angreifer stehlen vor der Verschlüsselung sensible Daten und drohen mit der Veröffentlichung, um zusätzlichen Druck auszuüben.

Branchentrends

Von Schwachstellen-Patching zu Identitätsschutz

In den letzten fünf Jahren war die Ausnutzung von Schwachstellen der Haupteinstiegspunkt für Ransomware. Der Bericht von 2026 zeigt jedoch, dass Angreifer massiv auf Identitätsangriffe umgestiegen sind. Dieser Wandel bedeutet, dass Unternehmen ihren Sicherheitsschwerpunkt vom Patch-Management hin zur Identitätsbedrohungserkennung und -reaktion (ITDR), Multi-Faktor-Authentifizierung (MFA) und Credential-Governance verlagern müssen.

KI-gestütztes Social Engineering

KI macht Phishing-E-Mails realistischer und ermöglicht es, traditionelle E-Mail-Sicherheitsprüfungen zu umgehen. Die ClickFix-Kampagne zeigt, wie Angreifer die Ermüdung von Benutzern gegenüber MFA ausnutzen, um sie dazu zu bringen, bösartige Anforderungen zu genehmigen. Handelt es sich um einen Einzelfall oder einen Trend? Alle Anzeichen deuten auf ein rasches Wachstum KI-gestützter Identitätsangriffe hin.

Verfeinerung der Lösegeldstrategie

Der Rückgang des mittleren Lösegelds bedeutet nicht, dass die Bedrohung nachlässt. Angreifer wenden präzisere Erpressungsmodelle an: Sie legen unterschiedliche Beträge für Unternehmen verschiedener Größen fest, um die Zahlungswahrscheinlichkeit zu erhöhen. Dies erfordert, dass Unternehmen besser auf Verhandlungen und Backup-Strategien vorbereitet sind.

Empfehlungen für Verteidigung und Reaktion

Auf Unternehmensebene - Stärkung der Identitätssicherheit: Implementierung einer Zero-Trust-Architektur, kontinuierliche Überprüfung aller Zugriffsanfragen, kein Vertrauen in standardmäßig gültige Anmeldeinformationen. - Umfassende Einführung von MFA: Verwendung von phishing-resistenter MFA für alle Fernzugriffe, Administratorkonten und kritischen Systeme. - Regelmäßiges Audit von Anmeldeinformationen: Erkennen und Entfernen von Zombie-Konten, schwachen Passwörtern und ungenutzten privilegierten Konten.### Technische Ebene - Bereitstellung von Identity Threat Detection and Response (ITDR): Echtzeitüberwachung anomaler Anmeldeaktivitäten, Missbrauch von Anmeldeinformationen und laterale Bewegungen. - SIEM/SOAR-Integration: Verknüpfung von Identitätsprotokollen mit Netzwerkverkehr und Endpunktdaten zur Beschleunigung der Incident Response. - Endpunktschutz (EDR/XDR): Erkennung bösartiger Prozesse und verdächtiger Aktivitäten, selbst wenn die anfänglichen Anmeldeinformationen legitim sind.

Managementebene - Erstellung eines Ransomware-Vorfallreaktionsplans: einschließlich Backup-Wiederherstellungsprozesse, Entscheidungsmechanismen für Lösegeld und Kommunikationsstrategien. - Durchführung von Red-Team-Übungen: Simulation identitätsbasierter Angriffsszenarien zur Prüfung der Abwehrfähigkeiten von Mitarbeitern und Systemen. - Risikomanagement für Dritte: Sicherstellung, dass wichtige Lieferanten ebenfalls strenge MFA- und Zugriffskontrollen durchsetzen.

SecurityPost Insight

Kernerkenntnisse

Der Einstiegspunkt von Ransomware-Angriffen verlagert sich von technischen Schwachstellen hin zum menschlichen Verhalten. 79% der Angriffe beginnen mit gestohlenen Identitäten. Das bedeutet, dass Unternehmen selbst dann noch gefährdet sind, wenn sie alle bekannten Schwachstellen perfekt gepatcht haben – lediglich aufgrund eines schwachen Passworts oder eines erfolgreichen Phishings. Identitätssicherheit ist nicht mehr nur eine Compliance-Anforderung, sondern der Grundpfeiler moderner Sicherheitsarchitekturen.

Implikationen für die Unternehmenssicherheit

• Neudefinition der „Grenze“: Identität ist die Grenze. Unternehmen sollten Identity Governance and Administration (IGA) auf eine ebenso wichtige Stufe stellen wie die Netzwerkverteidigung.
• Der Mensch bleibt das schwache Glied: Aber wir können das Risiko durch Technologien (z. B. phishing-resistente MFA) und Schulungen (Sicherheitsbewusstseinsbildung) reduzieren.
• Backups sind kein Allheilmittel: Obwohl 66% der Unternehmen Daten durch Backups wiederherstellen, zahlen dennoch 48% der Unternehmen Lösegeld. Backups müssen mit Offline-Speicher und Wiederherstellungstests kombiniert werden.

Zukünftige Trends, die es zu beachten gilt

• KI-gesteuerter Diebstahl von Anmeldeinformationen und Social Engineering werden häufiger; Unternehmen müssen KI-Abwehrtools einsetzen.
• Identity Threat Detection and Response (ITDR) wird zum Standard in Sicherheitsoperationen.
• Angriffe auf Lieferkettenidentitäten: Angreifer könnten über die Identitätsanmeldeinformationen von Drittanbietern in große Unternehmen eindringen.

Sicherheitsverantwortliche in Unternehmen sollten aus dem Sophos-Bericht Lehren ziehen: Angreifer gehen den einfachen Weg, und Verteidiger müssen den breitesten einfachen Weg – die Identität – blockieren.