European Threat Landscape Report Cyberfront Europa: Deutschland im Visier

Big-Game-Hunting, Social Engineering und Spionagekampagnen führen zu einem erhöhten Cyberrisiko. Der CrowdStrike European Threat Landscape Report zeigt, wie stark Deutschland im Fokus von eCrime-Gruppen und staatlichen Akteuren steht.

Deutschland steht im Fadenkreuz internationaler Cyberakteure. Der neue CrowdStrike 2025 European Threat Landscape Report stuft die Bundesrepublik als eines der am stärksten betroffenen Länder Europas ein.

BSI-Lagebericht 2025

Deutschland bleibt leichtes Ziel für Cyberangriffe

Gemeinsam mit dem Vereinigten Königreich, Frankreich, Italien und Spanien steht Deutschland im Zentrum der europäischen Bedrohungslandschaft und gilt als bevorzugtes Ziel für eCrime-Akteure.

CrowdStrike zufolge entfallen fast 22 Prozent aller weltweiten Datenerpressungsfälle auf Europa. Europäische Unternehmen gelten laut CrowdStrike als besonders attraktive Ziele für Big-Game-Hunting-Akteure.

Gründe dafür sind der rechtliche Druck durch die DSGVO, den Angreifer gezielt zur Er­pres­sung nutzen, die hohe wirtschaftliche Attraktivität der Region mit mehreren der weltweit wertvollsten Unternehmen sowie zunehmend auch politische Motive.

Obwohl Big-Game-Hunting-Akteure überwiegend finanzielle Ziele verfolgen, haben einige von ihnen politische Standpunkte vertreten und politisch motivierte Aktivitäten angedroht.

Wizard Spider beispielsweise unterstützte die russische Invasion in der Ukraine im Jahr 2022, und EU-Or­ga­ni­sa­ti­onen wie Europol haben ebenfalls davor gewarnt, dass Bedrohungsakteure aus den Bereichen eCrime und hybride Bedrohungen zum gegenseitigen Vorteil zusammenarbeiten.

Am stärksten betroffen sind laut Analyse die Branchen Fertigung, Technologie, professionelle Dienstleistungen, Industrie und Einzelhandel.

Diese Sektoren bieten wertvolle Datenbestände und eine hohe Abhängigkeit von stabilen IT-Systemen – ideale Ziele für Angreifer, die auf maximale Erpressungserfolge abzielen.

Security-Insider Podcast – Folge 101

Riskante IT-Fachkräfte aus Nordkorea

Social Engineering nimmt Auffahrt

Deutlich erkennbar ist laut CrowdStrike zudem ein Wandel bei den Angriffstaktiken. Seit 2024 setzen Bedrohungsakteure verstärkt Voice Phishing (Vishing) ein, um sich ersten Zugriff zu verschaffen. Dabei geben sich Angreifer am Telefon als IT-Personal oder Partnerunternehmen aus, um Mitarbeitende zur Preisgabe sensibler Informationen zu bewegen.

Besonders besorgniserregend: Kriminelle setzen zunehmend Muttersprachler ein, um glaubwürdiger zu wirken. Bei einer Kampagne im Februar 2025 wurden vermutlich deutschsprachige Personen eingesetzt, um Vishing-Angriffe gegen Unternehmen in Deutschland durchzuführen. Dabei kamen unter anderem TeamViewer und die Schadsoftware „SH RAT“ zum Einsatz.

Malicious Models im Untergrund

Unit-42 zeigt wachsenden Schwarzmarkt für Dark-LLMs

Auch gefälschte CAPTCHA-Seiten bleiben eine gängige Methode, um Malware zu verbreiten. Diese täuschend echten Sicherheitsabfragen dienen dazu, Schadsoftware einzuschleusen. Bei dieser Social-Engineering-Technik werden Seiten verwendet, die CAPTCHA-Au­then­ti­fi­zie­rungs­tests imitieren, um Opfer dazu zu verleiten, schädlichen Code zu kopieren, einzufügen und im Windows-Ausführungsdialogfeld oder Terminal auszuführen.

Zwischen 2024 und 2025 identifizierte CrowdStrike über 1.000 Zwischenfälle mit Auswirkungen auf Kunden in Europa, bei denen CAPTCHA-Köder zum Einsatz kamen. Gruppen wie „Lightning Spider“ und „Vice Spider“ setzten diese Methode gezielt gegen Unternehmen ein, wie beispielsweise aus der Finanz- und Reisebranche ein.

Kriminelles Ökosystem stabil und professionell

​Trotz globaler Strafverfolgungsaktionen bleibt das kriminelle Ökosystem erstaunlich widerstandsfähig. Das russisch- und englischsprachige Untergrund-Ökosystem bleibt trotz zahlreicher Beschlagnahmungen und Festnahmen widerstandsfähig.

Auf einschlägigen Marktplätzen und Foren floriert der Handel mit gestohlenen Daten, Zugangsinformationen und Malware-as-a-Service-Angeboten. Besonders wichtig sind sogenannte Initial Access Brokers (IABs). Seit Januar 2024 identifizierte CrowdStrike 260 Initial Access Brokers (IABs), die den Zugang zu Netzwerken von über 1.400 europäischen Unternehmen angeboten haben.

Viele dieser Zugänge betreffen deutsche Firmen. Diese Broker kooperieren eng mit Ransomware-Gruppen wie „Bitwise Spider“ und „Brain Spider“, die auf gezielte Erpressungen spezialisiert sind.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2025

Staatliche Angreifer im digitalen Schatten

Neben der organisierten Cyberkriminalität verschärfen auch staatliche Akteure den Druck auf deutsche Ziele. Russland, Iran, China und Nordkorea zählen zu den aktivsten Nationalstaaten in der europäischen Bedrohungslandschaft.

Russische Hackerangriffe

Auch wenn die meisten Russland-nahen Bedrohungsakteure vorrangig die Ukraine ins Visier nehmen, bleibt die strategische Ausrichtung auf andere europäische Staaten – insbesondere NATO Mitgliedsländer – weiterhin eine Priorität. Russische Gruppen wie „Fancy Bear“ attackierten Regierungsstellen über Schwachstellen in E-Mail-Systemen wie „Zimbra“ und „Roundcube“, um Authentifizierungsdaten zu erfassen sowie E-Mails umzuleiten und zu exfiltrieren. „Cozy Bear“ wiederum registrierte über 180 Phishing-Domains, die sich als europäische Verteidigungs- und Forschungsinstitutionen ausgaben.

Iranische Hackerangriffe

Iran-nahe Akteure haben ebenfalls konsequent europäische Regierungsstellen ins Visier genommen, insbesondere solche, die sich gegen die Interessen des iranischen Staates stellen. Ein nicht näher bezeichneter, mit dem Iran in Verbindung stehender Bedrohungsakteur führte wahrscheinlich zwischen Januar 2025 und März 2025 eine Spear-Phishing-Kampagne durch, die sich gegen einen prominenten EU-Parlamentsabgeordneten aus Deutschland richtete, der sich für iranische Oppositionsgruppen einsetzt.

Backdoor MiniJunk und Stealer MiniBrowse

Iranische Gruppe greift Verteidigungs- und Luftfahrtindustrie in Europa an

Chinesische Hackerangriffe

China-nahe Gruppen wie „Cascade Panda“ und „Wicked Panda“ hingegen nahmen deutsche Biotechnologie- und Finanzunternehmen ins Visier. So versuchte beispielsweise im April 2024 „Cascade Panda“, die Malware „WinDealer“ bei einem deutschen Biotechnologieunternehmen mit Niederlassungen in China einzusetzen, was zeigt, dass der Akteur weiterhin Unternehmen mit grenzüberschreitender Präsenz im Fokus hat.

Nuclear Weapons Agency und Health Agency kompromittiert

Staatliche chinesische Hacker nutzen ToolShell-Exploit aus

Und im August 2024 führte „Wicked Panda“ eine groß angelegte Phishing-Kampagne durch, die sich gegen Versicherungsunternehmen in mehreren europäischen Ländern richtete, darunter das Vereinigte Königreich, Frankreich, Italien und Deutschland. Der Akteur nutzte dabei kom­pro­mit­tie­rte E-Mails von Steuerbehörden, um die Malware „Voldemort“ zu verbreiten.

Akademische Einrichtungen und Forschungsinstitutionen sind systematischen Angriffen ausgesetzt, die Teil umfassenderer branchenübergreifender Kampagnen sind. So führte „Vixen Panda“ im April 2024 Aufklärungsmaßnahmen gegen akademische Einrichtungen und EU-Forschungsinstitutionen durch.

Nordkoreanische Hackerangriffe

Und Nordkoreanische Akteure der Gruppe „Velvet Chollima“ nahmen zwischen Mai und mindestens September 2024 vermutlich Mitarbeiter eines deutschen Rüstungsunternehmens mit einer Phishing-Kampagne ins Visier. Dabei kam die Schad­soft­ware „HTTPSpy“ zum Einsatz. Die gezielte Attacke auf die Rüstungsbranche zum Zweck der Spionage geistigen Eigentums und militärischer Informationen entspricht dem bekannten Vorgehen und Motivprofil der Gruppe.

Angriff auf den Rekrutierungsprozess

Ein nordkoreanischer Infiltrationsversuch

Proaktiver Schutz statt Reaktion

CrowdStrike warnt, dass Europa und insbesondere Deutschland ein Schwerpunkt für Bedrohungsakteure bleiben, die sowohl finanzielle als auch strategische Ziele verfolgen. Angesichts der hohen Erfolgsquote und anhaltenden Vorliebe der BGH-Akteure für diese Region, bleiben Datenerpressung und Ransomware mit höchster Wahrscheinlichkeit weiterhin die größte E-Crime Bedrohung in Europa.

„Das Cyber-Kriegsfeld in Europa ist so voll und komplex wie nie zuvor“, sagt Adam Meyers, Head of Counter Adversary Operations bei CrowdStrike. „Wir beobachten eine gefährliche Konvergenz von krimineller Innovation und geopolitischen Ambitionen. Ransomware-Gruppen setzen Tools auf Enterprise-Niveau ein, während staatlich unterstützte Akteure globale Krisen ausnutzen, um Störungen zu verursachen, sich zu behaupten und Spionage zu betreiben. In diesem Hochrisikoumfeld ist eine Intelligence-gestützte Verteidigung, die von KI angetrieben und durch menschliche Expertise geleitet wird, die einzige Kombination, die dafür ausgelegt ist, Cyberbedrohungen zu stoppen.”

Malvertising

Neue Analyse enthüllt die komplexen Strukturen von Vane Viper

(ID:50655571)