Gestohlene Anmeldedaten sind der neue Schlüssel für Ransomware

Was ist passiert

Die Dynamik in der Welt der Cybersicherheit verschiebt sich. Die einst bevorzugte Taktik von Ransomware-Angreifern, die Ausnutzung von Software-Sicherheitslücken, ist einer viel einfacheren, aber ebenso wirksamen Strategie gewichen: gestohlene Benutzeranmeldeinformationen. Ein neuer Bericht, der am 15. Juli 2026 vom Cybersicherheitsunternehmen Sophos veröffentlicht wurde, beziffert diesen alarmierenden Trend. Basierend auf einer Analyse realer Vorfälle geht aus dem Bericht hervor, dass erstaunliche 79 % der Ransomware-Angriffe auf kompromittierte Identitäten und legitime Benutzeranmeldedaten zurückzuführen sind.

Diese Erkenntnis deutet darauf hin, dass Cyberkriminelle nun das schwächste Glied – den Menschen – ins Visier nehmen, anstatt sich mit komplexem Code und Systemschwachstellen auseinanderzusetzen. Das Passwort eines legitimen Benutzers zu erlangen, um in ein Unternehmensnetzwerk einzudringen, ist oft einfacher und kostengünstiger als das Finden eines ungepatchten Servers. Diese Situation macht deutlich, dass die Cybersicherheitsstrategien von Unternehmen neu ausgerichtet werden müssen, um sich auf Identitäts- und Zugriffsmanagement zu konzentrieren. Dieser taktische Wandel bei Cyberangreifern hat im vergangenen Jahr sichtbar zugenommen und zwingt Organisationen dazu, ihre Abwehrmechanismen zu stärken, indem sie menschliche Fehler und Social-Engineering-Taktiken berücksichtigen.

Wie erfolgte der Angriff

Der Sophos-Bericht beschreibt detailliert, wie Angreifer an diese kompromittierten Anmeldeinformationen gelangen und sie als primäres Einbruchswerkzeug verwenden. Angriffe basieren nicht mehr auf einer einzigen Methode, sondern auf einer Kombination von Techniken, die auf den menschlichen Faktor abzielen. Diese Angriffskette der neuen Generation kann traditionelle Verteidigungslinien leicht umgehen.

Identitätsbasierte Angriffe: Die neue Norm (79 %)

Laut dem Bericht war in 79 % der analysierten Ransomware-Fälle der anfängliche Einstiegspunkt der Missbrauch von Anmeldeinformationen. Das bedeutet, dass ein Angreifer einen gültigen Benutzernamen und ein gültiges Passwort verwendet, um auf das Netzwerk zuzugreifen. Diese Anmeldeinformationen werden durch verschiedene Untermethoden erlangt. Sobald sie im Inneren sind, erscheinen Angreifer als legitime Benutzer, was es ihnen oft ermöglicht, sich unentdeckt über längere Zeiträume seitlich im Netzwerk zu bewegen, Aufklärung zu betreiben und ihre Angriffe zu planen. Dies erhöht die Auswirkungen und den potenziellen Schaden des Angriffs dramatisch.

Phishing und bösartige E-Mails: Ausnutzung menschlicher Schwächen

Eine der Hauptquellen für kompromittierte Anmeldeinformationen sind E-Mail-basierte Angriffe. Der Bericht stellt fest, dass in 26 % der Vorfälle der anfängliche Einstiegspunkt bösartige E-Mails waren. Diese Zahl ist ein deutlicher Anstieg gegenüber 19 % im Jahr 2025. Diese E-Mails können Phishing-Links enthalten, die Benutzer auf gefälschte Websites umleiten, um ihre Anmeldeinformationen zu stehlen, oder bösartige Anhänge, die die Ransomware auf das System herunterladen.

Insbesondere Phishing-Angriffe sind die Hauptursache für 24 % aller Vorfälle, ein deutlicher Anstieg gegenüber 18 % im Jahr 2025. Angreifer verwenden jetzt KI-gestützte Tools, um äußerst überzeugende und personalisierte Phishing-E-Mails ohne grammatikalische Fehler zu erstellen. Dies erhöht das Risiko, dass selbst die am besten geschulten Benutzer in die Falle tappen.

Brute-Force-Angriffe: Der Preis schwacher Passwörter

Eine weitere gängige Methode, die von Angreifern angewendet wird, sind Brute-Force-Angriffe. Diese Methode wurde in 23 % der analysierten Vorfälle identifiziert, eine Zahl, die sehr nahe am Vorjahreswert von 22 % liegt. Bei Brute-Force-Angriffen wird Automatisierungssoftware verwendet, um das Passwort eines Benutzers zu erraten, indem Millionen möglicher Kombinationen ausprobiert werden. Passwörter, die schwach, häufig verwendet oder leicht zu erraten sind (z. B. „123456“, „passwort“, „qwertz“), sind extrem anfällig für diese Angriffe.

Sicherheitslücken: Ein abnehmender Vektor

Eine der auffälligsten Erkenntnisse des Berichts ist der dramatische Rückgang bei der Ausnutzung von Software-Sicherheitslücken. Diese Methode, einst die häufigste Ursache für Ransomware-Angriffe, machte 2025 32 % der Fälle aus, fiel aber 2026 auf nur noch 18 %. Dieser Rückgang beweist, dass Angreifer ihren Fokus verlagert haben. Das gestiegene Bewusstsein der Unternehmen für Patch-Management und Schwachstellen-Scans hat die Angreifer zu leichteren Zielen gedrängt: den Benutzern selbst.

Welche Daten wurden kompromittiert

Der Sophos-Bericht ist eine breit angelegte Studie, die globale Trends bei Ransomware-Angriffen analysiert und nicht einen spezifischen Datenleck. Daher enthält der Bericht keine spezifischen Details darüber, welche Arten von Daten bei den Angriffen gestohlen oder verschlüsselt wurden. Aufgrund der allgemeinen Natur von Ransomware-Angriffen ist jedoch bekannt, dass Angreifer alle Arten von kritischen Daten ins Visier nehmen, wie z. B. Finanzunterlagen, Kundeninformationen, personenbezogene Daten und Geschäftsgeheimnisse.

Wer war betroffen

Dieser Bericht zielt nicht auf bestimmte Unternehmen oder Branchen ab. Seine Ergebnisse wurden aus zahlreichen realen Vorfällen aus verschiedenen Sektoren und Regionen zusammengestellt. Folglich stellt dieser Trend, Anmeldeinformationen ins Visier zu nehmen, eine reale Bedrohung für jede mit dem Netzwerk verbundene Organisation dar, von kleinen Unternehmen bis hin zu großen Konzernen und von öffentlichen Einrichtungen bis hin zu Gesundheitsdienstleistern.

Was Sie tun können

In dieser neuen Bedrohungslandschaft müssen sowohl Einzelpersonen als auch Organisationen Maßnahmen ergreifen. Verteidigungsstrategien müssen neben technologischen Kontrollen auch den menschlichen Faktor in den Mittelpunkt stellen.

• Starke und einzigartige Passwörter: Verwenden Sie für jedes Konto unterschiedliche, komplexe und lange Passwörter. Passwort-Manager können dabei helfen.
• Multi-Faktor-Authentifizierung (MFA): Aktivieren Sie MFA, wo immer möglich. Dies bietet eine zusätzliche Sicherheitsebene, die verhindert, dass ein Angreifer auf Ihr Konto zugreift, selbst wenn Ihr Passwort gestohlen wird.
• Benutzerschulung: Schulen Sie Ihre Mitarbeiter regelmäßig zu Phishing-Angriffen und Social-Engineering-Taktiken.
• Zugriffskontrolle: Übernehmen Sie das Prinzip der „geringsten Privilegien“. Stellen Sie sicher, dass jeder Benutzer nur die minimalen Berechtigungen hat, die zur Erledigung seiner Arbeit erforderlich sind.
• Patch-Management: Aktualisieren Sie regelmäßig alle Ihre Systeme und Software, um sich vor bekannten Schwachstellen zu schützen.
• Leck-Überwachung: Sie können eine Datenleck Suche verwenden, um herauszufinden, ob Ihre Informationen bei früheren Datenlecks offengelegt wurden.

Sie können sich über die neuesten Bedrohungen auf dem Laufenden halten, indem Sie unsere Datenleck Nachrichten verfolgen.

Was das Unternehmen sagt

Ross McKerchar, CISO bei Sophos, betonte diesen Wandel bei der Erörterung der Ergebnisse des Berichts gegenüber dem Infosecurity Magazine. „In den letzten 12 Monaten haben wir in der Ransomware-Landschaft gesehen, dass Angreifer auf ‚einfachere‘ Angriffe setzen und kompromittierte Identitäten als primären anfänglichen Zugangsvektor verwenden“, sagte McKerchar.

McKerchar wies auch auf Entwicklungen im Social Engineering hin: „Ganz zu schweigen von den Entwicklungen im Social Engineering, bei denen KI routinemäßig eingesetzt wird, um Phishing-E-Mails aufzupolieren, und ausgeklügelte ClickFix-Kampagnen entwickelt werden, um selbst die am besten geschulten Benutzer dazu zu bringen, MFA zu umgehen. Der diesjährige Trend zeigt, dass sie sich darauf konzentrieren, Menschen anzugreifen.“

Quelle

https://www.infosecurity-magazine.com/news/compromised-logins-ransomware-entry/