CrowdStrike Technology Threat Landscape Report 2026 Chinas Ambitionen befeuern Angriffe auf den Technologiesektor

Anbieter zum Thema

CrowdStrike GmbH

Fujitsu Technology Solutions GmbH

Technologieunternehmen stehen immer häufiger und gezielter im Fokus staatlicher Cyberakteure und von Cyberkriminellen auch China und Nordkorea. Neben Informationsbeschaffung und Industriespionage locken die Angreifer auch große finanzielle Gewinne aus sogenannten Big-Game-Hunting-Aktivitäten.

Der Technologiesektor ist seit mehreren Jahren die am stärksten ins Visier genommene Branche unter eCrime- und staatlich geförderten Angreifergruppen. Die Motive reichen von finanzieller Bereicherung über langfristige Informationsbeschaffung bis hin zu Industrie­spionage. Denn moderne Technologieunternehmen schaffen die wertvollsten und am stärksten angegriffenen Assets der Welt. Die hochmodernen Innovationen, einschließlich KI, stehen daher sowohl für Wettbewerbsvorteile als auch für ein erhöhtes Risiko.

Der CrowdStrike Technology Threat Landscape Report 2026 analysiert, welche Angreifer Technologieunternehmen ins Visier nehmen und welche Methoden sie einsetzen.

Hack-for-Hire

Silk Typhoon: Chinas gefährlichste Hacker-Gruppe enttarnt

Staatliche Akteure richten ihren Fokus auf Technologie

Auf Basis beobachteter Angriffsmustern wurden mehr als 58 Prozent der staatlich geförderten Angriffe China-nahen Akteuren zugeschrieben. Diese stellten damit die größte staatliche Bedrohung für In­for­ma­ti­ons­be­schaf­fung gegen Technologieunternehmen dar. Akteure wie Murky Panda, Mustang Panda, Overcast Panda, Sunrise Panda und Warp Panda nahmen den Technologiesektor stärker ins Visier als jede andere Branche.

Ihre Operationen scheinen vor allem durch Interesse an Technologieentwicklung, geistigem Eigentum und Informationen getrieben zu sein, die mit den Zielen der Informationsbeschaffung der Kommunistischen Partei Chinas übereinstimmen. Laut CrowdStrike Threat Intelligence besteht Chinas strategischer Imperativ darin, technologische Selbstversorgung und Wettbewerbsvorteile in wichtigen aufkommenden Technologiefeldern zu erreichen. KI-Kompetenzen dürften daher ein besonders hochwertiges Ziel darstellen. Zusätzlich zu diesen Daten suchen China-nahe Akteure Zugriff auf nachgelagerte Kundenumgebungen, um so eine Lieferketten-Kompromittierungen zu ermöglichen.

Staatliche Cyberbedrohungen aus Iran, China und Russland eskalieren

Wenn Cyberkriminalität, Hacktivismus und Staatsakteure verschmelzen

Beobachtete Angriffe gegen Technologieunternehmen

Im Zeitraum von April 2025 bis Ende März 2026 beobachtete das CrowdStrike Counter Adversary Operations-Teams verschiedene Angreifergruppen, deren Vorgehen und Maßnahmen die Bedrohungslandschaft geprägt haben. Sunrise Panda nahm beispielsweise konsequent Technologieunternehmen in Ost- und Südostasien ins Visier, insbesondere Mail-Infrastruktur, die potenziell den Zugriff auf Regierungskommunikation ermöglichen kann. Murky Panda führte branchenübergreifend eine Password-Spraying-Kampagne gegen mehr als 340 überwiegend in den USA ansässige Organisationen durch, wobei der Technologiesektor zu den am stärksten betroffenen gehörte. Warp Panda wiederum nahm wiederholt nord­ame­ri­ka­nische Technologieorganisationen ins Visier. Dabei nutzten sie Schwachstellen aus und hielten persistenten Zugriff aufrecht.

Auch Nordkorea nimmt die Tech-Branche ins Visier

China-nahe Akteure sind allerdings nicht die einzigen staatlichen Akteure, die Tech­no­lo­gie­un­ter­neh­men infiltrieren. CrowdStrike beobachtete, dass Bedrohungsakteure mit Verbindungen zur DVRK (Nordkorea), darunter Famous Chollima, Labyrinth Chollima und Stardust Chollima, ebenfalls den Technologiesektor ins Visier nahmen. Aus historischer Sicht ist dieser Sektor ein zentrales Ziel für Insider-Threat-Aktivitäten der DVRK, was insbesondere auf die gut bezahlten Remote-Rollen zurückzuführen ist.

So war Famous Chollima für 47 Prozent aller staatlich unterstützten Hands-on-Keyboard-Operationen gegen den Technologiesektor verantwortlich. Dies bedeutet, dass dieser Akteur bei manuellen Operationen gegenüber traditionellem Malware-Einsatz besonders aktiv war. In ihren betrügerischen IT-Arbeiter-Kampagnen suchten sie Beschäftigung bei Tech­no­lo­gie­un­ter­neh­men in Nordamerika, Europa und Asien. Die Daten deuten darauf hin, dass ihre Haupt­motivation finanzieller Gewinn ist; Einnahmen aus diesen Angriffen fließen dem Regime zu.

Auch Lieferketten wurden von Bedrohungsakteuren mit Verbindungen zur DVRK (Nordkorea) infiltriert: Stardust Chollima kompromittierte das npm-Paket Axios, das wöchentlich 100 Millionen Mal heruntergeladen wird, in Operationen, die wahrscheinlich Millionen nachgelagerter Nutzer exponierten und Open-Source-Lieferketten vergifteten.

Wie Nordkorea Künstliche Intelligenz missbraucht

Mit Deepfakes und KI zum Jobbetrug

Cyberkriminelle beschleunigen den Zugriff für Erpressungszwecke

Technologieunternehmen sind außerdem ein zentrales Ziel für eCrime-Akteure aufgrund der Möglichkeiten, Betriebsabläufe erheblich zu stören, sowie umfangreiche Bestände an mo­ne­ta­ri­sier­baren Informationen. eCrime-Aktivität machte 65 Prozent der Hands-on-Keyboard-Operationen aus, die auf Technologieunternehmen abzielten. Initial Access Broker boten den Zugriff auf 277 Technologieunternehmen an. Dies entspricht einem Anstieg von nahezu 30 Prozent und deutet auf eine erhöhte Nachfrage nach identitätsgetriebenem Zugriff hin.

Die meisten Big-Game-Hunting-Aktivitäten zielten auf in Nordamerika ansässige Tech­no­lo­gie­un­ter­neh­men ab. Zusätzlich nannten auf Big Game Hunting spezialisierte Angreifer 572 Technologieunternehmen auf dedizierten Leak-Seiten für Erpressungszwecke und übertrafen damit andere Brachen bei weitem. Im selben Zeitraum nannten die Akteure beispielsweise nur 16 Strafverfolgungs- und neun Verteidigungsorganisationen auf den Leak-Seiten.

Akteure im gesamten eCrime-Spektrum nutzen beispielsweise die zunehmende Verbreitung von KI aus und setzen gefälschte OpenClaw-Erweiterungen sowie gefälschte Download-Webseiten ein, um Skrawl – einen neuartigen Information Stealer für macOS – zu verbreiten. Die Gruppe Crimson Collective behauptete, auf private Code-Repositories eines Soft­ware­ent­wick­lungs­un­ter­neh­mens zugegriffen und Daten daraus gestohlen zu haben. Nach eigenen Angaben griff die Gruppe auf 570 GB Daten über 28.000 Projekte hinweg zu. Ein unbekannter Bedrohungsakteur, der Glassworm-Malware einsetzte, kompromittierte 350 GitHub-Repositories, um bösartigen Code einzuschleusen.

Der Technologiesektor zählt zu den am stärksten und dauerhaft am intensivsten angegriffenen Branchen der globalen Bedrohungslandschaft. Technologieorganisationen müssen die relevanten Bedrohungsakteure, ihre Zielsetzungen und ihre Vorgehensweisen genau verstehen, um sich wirksam auf entsprechende Angriffe vorzubereiten.

Angriffe über fremde Infrastruktur

Chinas Cyberspione nutzen gekaperte Geräte als Tarnung

(ID:50891917)