Trends bei Malware und Schwachstellen in der ersten Hälfte von 2026: Missbrauch legitimer Tools und KI-gestützte Angriffe als markante Merkmale

Im ersten Halbjahr 2026 zeigte sich bei der globalen Bedrohungslage im Bereich der Cybersicherheit ein bemerkenswertes Merkmal: Angreifer stürzten sich nicht voreilig auf geheimnisvolle neue Technologien, sondern neigten vielmehr dazu, „Werkzeuge und Dienste mit legitimem Anschein zu missbrauchen“. Von Remote-Access-Trojanern (RAT) über Ransomware bis hin zu Lieferkettenangriffen bewegen sich böswillige Akteure gekonnt innerhalb vertrauenswürdiger Software, Entwicklerwerkzeuge und Cloud-Workflows. Ein neuer Forschungsbericht des zur Recorded Future gehörenden Threat-Intelligence-Unternehmens Insikt Group mit dem Titel „H1 2026 Malware and Vulnerability Trends“ weist darauf hin, dass diese Strategie der „Umgehung durch Normalität“ es Verteidigern zunehmend erschwert, bösartige Aktivitäten frühzeitig zu erkennen.

Ereignisübersicht: Eine Faktenliste aus dem ersten Halbjahr

Der Bericht deckt Malware- und Schwachstellendaten von Januar bis Juni 2026 ab und stützt sich auf Analysen von Insikt Group sowie auf Einreichungen auf der Plattform Recorded Future Malware Intelligence. Zu den Kerndaten gehören:

• 215 aktiv ausgenutzte CVEs – ein Anstieg von 34 % gegenüber 161 im Vorjahreszeitraum. 146 dieser Schwachstellen können ohne vorherige Authentifizierung ausgenutzt werden, und 142 erfüllen gleichzeitig die Bedingungen der Netzwerkerreichbarkeit und fehlenden Authentifizierung. Noch besorgniserregender ist, dass 60 Schwachstellen mit Remotecodeausführung (RCE) gleichzeitig die Eigenschaften „netzwerkerreichbar + ohne Authentifizierung“ aufweisen, was bedeutet, dass eine große Zahl von Schwachstellen aus der Ferne bewaffnet werden kann.
• RATs bleiben eine langfristige Bedrohung für die Unternehmenssicherheit. AsyncRAT, Cobalt Strike, XWorm, Stealc und REMCOS RAT gehörten sowohl im H1 2025 als auch im H1 2026 zu den Top Ten. AsyncRAT führte bei allen Malware-Einreichungen nach der Anzahl eindeutiger Hashwerte und C2-Konfigurationen.
• Ransomware-Betreiber optimieren kontinuierlich, haben jedoch kein völlig neues Angriffsparadigma erfunden. Sie verlassen sich weiterhin auf Social Engineering nach dem ClickFix-Muster, nutzen Schwachstellen in öffentlich zugänglichen Anwendungen aus und missbrauchen sogar direkt legitime Tools wie s5cmd, PsExec und AnyDesk.
• Android-NFC-Malware ist zur bedeutendsten Bedrohung im mobilen Bereich geworden. Familien wie NFCShare und NGate nutzen die NFC-Funktion von Geräten, um Zahlungskartendaten zu stehlen, kontaktlose Transaktionen weiterzuleiten und sogar Bargeldabhebungen an Geldautomaten zu ermöglichen.

Technische und Risikoanalyse: Legitime Werkzeuge als „Tarnung“ für Angreifer

Schwachstellenausnutzung: Von „technischer Neuheit“ zu „Risikokombination“ Ein weiteres Ergebnis des Berichts ist, dass Bedrohungsakteure bei der Ausnutzung von Schwachstellen häufig nicht zwischen alten und neuen Schwachstellen unterscheiden. Ob es sich um eine gerade erst offengelegte kritische Schwachstelle handelt oder um eine seit Jahren bestehende alte Schwachstelle – Angreifer wenden dieselben Post-Exploitation-Taktiken an. Für Unternehmen bedeutet das: Die Frage, ob eine Schwachstelle waffenfähig ist und tatsächlich in Angriffspfaden liegt, ist aussagekräftiger als der Basis-Score der Schwachstelle selbst. Beispielsweise ist bei Schwachstellen, die sowohl netzwerkerreichbar als auch ohne Authentifizierung ausnutzbar sind, das Risiko durch Remote Code Execution besonders hoch. Hinter diesem Trend steht, dass Angreifer zunehmend den Weg des geringsten Widerstands wählen – sie setzen auf gängige Mittel, anstatt nach komplexen Exploit-Ketten zu suchen.

Die „wahre Rolle“ der KI: Unterstützung statt Ersatz

Im H1 2026 ist der Einsatz von KI im Angriffsbereich sichtbarer geworden, doch laut Insikt Group befindet sich die überwiegende Mehrheit der beobachteten Phänomene weiterhin auf den Stufen 1 bis 3 des Reifegradmodells für KI-Malware von Recorded Future (AIM3) – also in der Phase „Experimentieren, Adoption und Optimierung“. KI wird eher zur Lösung spezifischer Probleme eingesetzt, etwa um Malware dabei zu helfen, UI-Elemente auf dem Bildschirm zu verstehen und so die Persistenz zu stärken (wie bei der Malware PromptSpy) oder mit LLMs Ablenkungslogik zu erzeugen, um Sicherheitsanalysten in die Irre zu führen (wie bei der auf ukrainische Organisationen abzielenden Kampagne CANFAIL) – und nicht, um den gesamten Angriffsablauf direkt von KI entscheiden zu lassen.

Gleichzeitig verstärkt die KI-gestützte Schwachstellenforschung den Druck auf die Verteidiger. Der Bericht erwähnt, dass die Einführung des Claude-Mythos-Preview-Modells die Zahl der gemeldeten Schwachstellen offenbar nach oben getrieben hat: Im Juni lag die Anzahl der vom NVD veröffentlichten Schwachstellen um 43 % über dem Durchschnitt der vorangegangenen sechs Monate. Mozilla berichtete zudem, dass das Modell in Firefox 150 dabei half, 271 Schwachstellen zu beheben – während mit der vorherigen Modellgeneration nur 22 behoben wurden. Das explosionsartige Wachstum der Schwachstelleninformationen bedeutet, dass Sicherheitsteams schneller beurteilen müssen, welche Schwachstellen den Einsatz wirklich lohnen.

Lieferkette und mobile Endgeräte: übersehene Einfallstore

Supply-Chain-Angriffe breiten sich weiter entlang von Entwicklerumgebungen, Paketmanagern und KI-Toolchains aus. Angreifer gelangen über gestohlene Anmeldedaten, vertrauenswürdige Integrationen und Softwareverteilungskanäle in die nachgelagerten Cloud- und Software-Ökosysteme. Außerdem wird im H1-2026-Bericht auf Magecart-Angriffe hingewiesen, die vertrauenswürdige Drittanbieterdienste als Zwischenstation nutzen und in Checkout-Abläufen schadhaften Code einschleusen. Im mobilen Bereich markiert das Aufkommen von NFC-Malware eine neue Phase der Sicherheit mobiler Zahlungen: Statt per Phishing an Einmalpasswörter zu gelangen, übernehmen die Angreifer direkt die NFC-Kommunikation und können so Transaktionen weiterleiten oder sogar Geld an Geldautomaten abheben.

Analyse der Auswirkungen auf Unternehmen: Risiken erstrecken sich auf jeden Geschäftsprozess

Betriebsrisiko: Backup- und Wiederherstellungsfähigkeiten auf dem PrüfstandDer Bericht erwähnt insbesondere, dass Ransomware-Betreiber im ersten Halbjahr 2026 Techniken zur „Reduzierung der Wiederherstellungsoptionen für Opfer“ einsetzen. Das bedeutet, dass Unternehmen sich nicht nur auf Vor-Ort-Backups verlassen dürfen, sondern auch Offline-Backups, unveränderliche (immutable) Backups sowie gründliche Wiederherstellungsübungen berücksichtigen müssen. Auch das Problem, dass Angreifer Fehlkonfigurationen im Cloud-Speicher von Unternehmen ausnutzen oder Drittanbieter-Tools wie s5cmd missbrauchen, um auf Backupdateien zuzugreifen, ist zu beachten.

Compliance- und Lieferkettenrisiken: Dritte sind nicht mehr nur „Compliance-Formulare“

Wenn Angreifer über Paketmanager, KI-Plugins oder Open-Source-Komponenten in Systeme eindringen, müssen das Drittanbieter-Risikomanagement und die Überprüfung der Software-Lieferkette von „einmaligen Penetrationstests“ zu kontinuierlicher Überwachung weiterentwickelt werden. Gleichzeitig führen die regulatorischen Anforderungen bei Datenlecks sensibler Daten dazu, dass durch NFC- oder Zahlungsangriffe verursachte Leaks strengeren Compliance-Prüfungen unterzogen werden und sich die Wahrscheinlichkeit einer Beeinträchtigung des Markenrufs weiter erhöht.

Marken- und Vertrauensrisiken: Lautlose „normale Aktivitäten“ sind am schwersten zu verhindern

Da Angreifer stark darum bemüht sind, sich in den „normalen Datenverkehr“ einzufügen, müssen Unternehmen möglicherweise mit langen Verweilzeiten rechnen. Wenn die Erkennung schließlich erfolgt, haben die Angreifer möglicherweise bereits laterale Bewegungen und Datenexfiltration abgeschlossen. Solche Vorfälle treffen Kundenvertrauen und Markenruf in der Regel weitaus stärker als erwartet – insbesondere wenn der Sicherheitsvorfall darauf zurückzuführen ist, dass „ein von uns vertrautes Automatisierungstool missbraucht wurde“.

Beobachtung von Branchentrends: Abschied vom Narrativ der „isolierten Vorfälle“

Vergleicht man das erste Halbjahr 2026 mit früheren Gegebenheiten, wird ein langfristiger Trend deutlich: Angreifer nutzen systematisch die „Vertrauensanker“ im Unternehmensökosystem aus. Ob Entwicklerumgebungen, Fernzugriffstools, NFC-Zahlungen oder KI-Assistent-Plugins – Angreifer haben ihre Ausweitung auf der Nutzung erlaubter Werkzeuge aufgebaut.

KI ist nicht risikofrei. Zwar gibt es bislang keine vollständig autonomen Angriffsagenten, doch der Vorfall bei Hugging Face im Juli 2026 hat bereits gezeigt, dass autonome Agenten bei begrenzter menschlicher Intervention Entdeckung, Verifizierung, Bewaffnung und Ausnutzung durchführen können. Verteidiger müssen erwägen, auch ihre Sicherheitsprozesse zu automatisieren, um mit der maschinengeschwindigkeitsbasierten Entwicklung von Angriffen Schritt zu halten.

Verteidigungs- und Handlungsempfehlungen: Von punktuellen Kontrollen zu einer umfassenden Verteidigung der Angriffskette

Angesichts der oben genannten Trends sollten Sicherheitsentscheider in Unternehmen folgende Maßnahmen vorrangig umsetzen:1. Exposure-Management stärken: Schließen Sie vorrangig Schwachstellen mit Remote-Codeausführung, die „netzwerkerreichbar“ und „ohne Authentifizierung“ sind, und verlassen Sie sich dabei nicht nur auf den Schweregrad-Score. 2. Governance für Identitäten und Zugangsdaten vorantreiben: Aktivieren Sie MFA für Entwickler, Betriebspersonal und Dritte; verwalten Sie insbesondere Konten, die mit Cloud-Umgebungen und Anmeldeinformationen von Paketmanagern verbunden sind. 3. Verhaltensbasierte Erkennung einsetzen: Richten Sie in SIEM/EDR/XDR Erkennungsregeln für „verdächtiges Verhalten vertrauenswürdiger Tools“ ein, z. B. für die Ausführung von PsExec auf unerwarteten Hosts, ungewöhnliche neue AnyDesk-Verbindungen oder s5cmd-Auflistungen stark frequentierter Objektspeicher. 4. Entwicklungsumgebungen härten: Überprüfen Sie KI-Tool-Erweiterungen, Open-Source-Bibliotheken und Paketabhängigkeiten, führen Sie eine Software-Stückliste (SBOM) ein und überwachen Sie verdächtige Repositorys oder Installationsprogramme. 5. Backup-Resilienz erhöhen: Implementieren Sie unveränderliche Backups und regelmäßige Wiederherstellungstests und stellen Sie sicher, dass Kern-Backups keine Berechtigungen mit der Produktionsumgebung teilen. 6. Mobile-Payment-Sicherheit: Aktivieren Sie Geräte-Compliance-Richtlinien für Unternehmensgeräte, verbieten Sie Jailbreaks, schränken Sie die Berechtigungen von NFC-Apps ein und sorgen Sie für dedizierte Geräte oder Wallet-Kontrollen für Mitarbeiter, die per NFC bezahlen. 7. Verteidigungsautomatisierung im KI-Zeitalter ausbauen: Bauen Sie die Fähigkeit aus, mithilfe von Threat Intelligence Schwachstellen automatisch zu priorisieren und zu beheben, um den Druck durch den Ansturm von Schwachstellenmeldungen zu verringern.

SecurityPost Insight

Der größte Wert dieses Berichts liegt im Hinweis darauf, dass „Normalität“ selbst zu einer Angriffsfläche geworden ist. Wenn sich das Verhalten der Angreifer zunehmend mit alltäglichen Betriebsabläufen verknüpft, werden herkömmliche signaturbasierte Erkennungsmethoden immer weniger in der Lage sein, diese Aufgabe zu bewältigen. Unternehmen müssen gleichzeitig bei Exposure-Management, Identitätsgrenzen, Verhaltensanalyse und Managementprozessen ansetzen und ein Verteidigungssystem aufbauen, das „gelegentliche Fehlalarme“ toleriert, aber „anomale Verhaltensketten“ keinesfalls übersieht. Ein weiteres beachtenswertes Signal ist der Druck, den KI in der Schwachstellenforschung auf die Verteidigungsarbeit ausübt. Mit den früher als erwartet auftretenden Bedrohungsdemonstrationen autonomer Agenten könnten wir bald ein Wettrüsten zwischen „maschinellen Angriffen“ und „maschineller Verteidigung“ erleben. Unternehmen, die weiterhin auf manuelle Prozesse zur Schwachstellenbehebung setzen, dürften in den nächsten sechs Monaten mit einer noch größeren zeitlichen Lücke konfrontiert sein.