Identität als neues Einfallstor Wenn Angreifer sich einfach anmelden

Anbieter zum Thema

Baobab Insurance GmbH

cidaas by Widas ID GmbH

Cyberkriminelle müssen längst nicht mehr einbrechen. Sie kaufen für wenige Euro gültige Zugangsdaten und melden sich damit an. Weil gerade der Mittelstand auf grundlegende Schutzmechanismen verzichtet, wird er zum bevorzugten Ziel. Doch genau hier liegt auch die größte Chance.

Stellen Sie sich einen Einbrecher vor, der vor verschlossenen Türen steht. Er könnte mühsam das Schloss knacken. Oder er kauft sich für ein paar Euro einfach den passenden Schlüssel. In der digitalen Welt ist die zweite Variante längst die Regel. Die romantische Vorstellung vom Hacker, der nächtelang komplexen Code schreibt, um Firewalls zu überwinden, entspricht nicht mehr der wirtschaftlichen Realität der Cyberkriminalität.

82 Prozent aller Netzwerkeinbrüche ohne klassische Malware

Ransomware-Gruppen setzen auf Logins statt auf Exploits

Die internen Analysen von Baobab Risk Solutions für den Data Breach Report zeigen ein klares Muster. 91 Prozent der analysierten Datenleaks enthalten Passwörter im Klartext. Sie sind sofort lesbar und sofort einsatzbereit. Damit wird der initiale Zugriff trivial und kosteneffizient. Wie industrialisiert dieser Handel ist, verdeutlicht ein beobachteter Telegram-Kanal. Gegen ein simples Monatsabonnement von rund 250 Dollar erhalten Käufer täglich Zugriff auf tausende frisch gestohlene Datensätze.

Die unabhängige Datenlage bestätigt diesen Befund. Laut dem Verizon Data Breach Investigations Report 2025 sind gestohlene Zugangsdaten weiterhin der häufigste initiale Angriffsvektor. Sie waren bei 22 Prozent aller untersuchten Sicherheitsverletzungen der Ausgangspunkt. Bei Angriffen auf einfache Webanwendungen wurden sogar in 88 Prozent der Fälle gestohlene Credentials verwendet.

Advens Threat Status Report

Neue Tricks beim Diebstahl von Zugangsdaten

Das Darkweb vergisst nicht

Wer einmal in den einschlägigen Datensammlungen des Darkwebs gelandet ist, bleibt dort über Jahre als Ziel markiert. Unsere Analyse belegt eine Duplikationsrate von rund 88,7 Prozent. Das bedeutet, dieselben gestohlenen Datensätze tauchen immer wieder in neuen Sammlungen auf, werden neu verpackt und automatisiert gegen Netzwerke eingesetzt. Treiber dieser Entwicklung sind sogenannte Info-Stealer, also Schadsoftware, die unbemerkt Zugangsdaten direkt aus dem Browser, aus Passwort-Managern oder aus aktiven Sitzungen extrahiert. Wir beobachten dabei eine deutliche Verschiebung der Angriffsstrategie, weg von singulären, massiven Server-Hacks hin zur Skalierung durch tausende kleine Info-Stealer-Infektionen.

Diese Verschiebung hat eine unbequeme Konsequenz für die Verteidigung. Die Komplexität eines Passworts ist zweitrangig, wenn es im Klartext zum Verkauf steht. Kriminelle Gruppierungen machen sich heute nicht mehr die Mühe, Passwörter mühsam zu knacken. Sie fügen kompromittierte Zugangsdaten direkt in automatisierte Tools ein, ein Vorgehen, das als Credential Stuffing bekannt ist. Ohne einen zusätzlichen Faktor bleibt der initiale Zugang zur Unternehmensarchitektur trivial, völlig ungeachtet der Passwortkomplexität.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

„Wir sind zu klein, um ein Ziel zu sein” ist ein gefährlicher Trugschluss

In den Geschäftsführungen kleinerer Unternehmen hält sich hartnäckig die Annahme, man sei für Angreifer uninteressant. Dieser Irrglaube basiert auf der Vorstellung, Täter würden ihre Ziele manuell auswählen. Laut dem aktuellen Lagebericht des BSI zur IT-Sicherheit in Deutschland 2025 richteten sich hingegen rund 80 Prozent der angezeigten Ransomware-Angriffe gegen kleine und mittlere Unternehmen (KMU), denen häufig die Mittel und das Wissen fehlen, um sich eigenständig zu schützen. KMU erfüllen laut BSI im Schnitt nur etwa 56 Prozent der Basisanforderungen an IT-Sicherheit und überschätzen ihr Schutzniveau regelmäßig.

Entscheidend ist dabei ein Perspektivwechsel. Hacker messen die Attraktivität eines Ziels nicht am Umsatz, sondern an der Menge personenbezogener Daten. Bereits 31 Prozent aller Unternehmen mit weniger als 5 Millionen Euro Jahresumsatz verwalten mehr als 10.000 personenbezogene Datensätze. Elf Prozent der Kleinunternehmen verfügen sogar über Datenbestände zwischen 100.000 und 500.000 Einträgen.

Schaffen Angreifer den Weg ins System, sind die wirtschaftlichen Folgen erheblich: Ein einzelner gestohlener Datensatz kostet das Unternehmen im Durchschnitt rund 134 Euro. Dieser Betrag setzt sich aus einer Vielzahl von Faktoren zusammen. Er umfasst sowohl Eigenschäden – wie Kosten für Incident Response, Forensik, Krisenkommunikation, Bußgelder und Rechtsberatung – als auch Drittschäden, etwa durch Gerichtsverfahren betroffener Parteien. Verliert ein mittelständisches Unternehmen 10.000 Datensätze, summiert sich der theoretische Schaden bereits auf 1,34 Millionen Euro, für viele KMU eine existenzbedrohende Größenordnung.

Redline-Infostealer verbreitet sich extrem schnell

Zunahme von Infostealer-Infektionen um fast 650 Prozent

Der Mensch als Hauptziel: KI verbessert den Angriff

So sehr die technische Angriffsfläche im Fokus steht, die teuersten Schäden entstehen woanders. Die Auswertung unserer realen Schadenfälle zeigt, dass technische Hacks seltener der direkte Grund für finanzielle Verluste sind. In den meisten Fällen spielt der Mensch die entscheidende Rolle. First-Party Losses, etwa durch Phishing, machen mit 39 Prozent den größten Anteil aus, dicht gefolgt von Business Email Compromise mit 37 Prozent. Klassische Ransomware liegt mit neun Prozent deutlich dahinter.

Diese Zahlen gewinnen vor dem Hintergrund einer aktuellen Entwicklung an Brisanz. Laut dem ENISA Threat Landscape 2025 wurden bereits Anfang 2025 mehr als 80 Prozent der weltweit beobachteten Social-Engineering-Aktivität durch Künstliche Intelligenz (KI) unterstützt. Phishing bleibt mit 60 Prozent der dominante Vektor für den initialen Zugriff. KI-generierte Nachrichten sind von echter Korrespondenz kaum noch zu unterscheiden. Nur die Belegschaft zu sensibilisieren reicht daher nicht mehr.

ENISA Threat Landscape 2025

Hacktivismus wird zur Gefahr für Europas Infrastruktur

Drei Hebel, die in der Praxis den Unterschied machen

Die gute Nachricht aus unseren Daten lautet: Die meisten Angriffe sind nicht hochkomplex, sondern opportunistisch. Wer den Weg des geringsten Widerstands versperrt, fällt aus dem Raster der automatisierten Massenangriffe heraus. Es braucht keine digitale Festung, sondern drei konsequent umgesetzte Praktiken.

Der erste und wirkungsvollste Hebel ist die Multi-Faktor-Authentifizierung. Sie stellt sicher, dass ein Login nur dann erfolgreich ist, wenn neben dem Passwort ein zweiter, persönlicher Faktor erbracht wird. Selbst wenn Angreifer ein gestohlenes Passwort besitzen, scheitern sie an dieser Hürde. Genau hier klafft im Mittelstand die größte Lücke. Baobab-Daten zeigen, dass 53 Prozent der Unternehmen mit weniger als fünf Millionen Euro Umsatz vollständig ohne MFA arbeiten. Erst ab 50 Millionen Euro Umsatz gehört MFA zum Standard.

Der zweite Hebel betrifft die Erkennung. Da KI-gestütztes Phishing Täuschungen immer realitätsnäher macht, reicht Bewusstsein allein nicht aus. Entscheidend ist eine kontinuierliche Überwachung internetexponierter Systeme. Hier konzentriert sich die Gefahr, denn rund 75 Prozent der kritischen Bedrohungsaktivität entfallen auf nur zwei Bereiche, nämlich den Netzwerk-Perimeter mit VPNs und Firewalls sowie Kollaborationswerkzeuge wie E-Mail. Veraltete VPN-Gateways oder ungepatchte Server sind dabei wie offene Fenster im Erdgeschoss. Dass kleinere Organisationen mit 12,7 Prozent doppelt so viele kritische Schwachstellen aufweisen wie Großunternehmen mit 6,23 Prozent, ist vor allem eine Frage fehlender Patch-Disziplin.

Der dritte Hebel ist das verifizierte Back-up. Ein ungetestetes Back-up ist keine Sicherheitsmaßnahme, sondern eine vage Hoffnung. Bemerkenswert ist, dass dieser Fehler nicht nur dem Mittelstand unterläuft: 21 Prozent der Großunternehmen testen ihre vollständige Wiederherstellung nicht regelmäßig. Dabei zeigt unsere Analyse von 245 realen Ransomware-Fällen, dass rund 77 Prozent der betroffenen Unternehmen kein Lösegeld zahlten, weil funktionierende Back-ups und professionelle Incident Response griffen. Und selbst wo verhandelt wurde, ist die Erstforderung so gut wie nie der Endpreis. Im Schnitt ließ sich die Forderung um 51 Prozent reduzieren.

Cyberkriminelle greifen nach digitalen Identitäten

Alarmierender Anstieg von gestohlenen Zugangsdaten

Fazit: Aus Hygiene wird Routine

Der entscheidende Befund ist zugleich der ermutigendste. Unternehmen sind dem Risiko nicht hilflos ausgeliefert. Weil die überwältigende Mehrheit der Angriffe opportunistisch ist und auf billig erworbenen Identitäten beruht, lässt sich die Gefahr mit grundlegender Hygiene drastisch senken. Die Frage ist, wie das Wissen in den Alltag übergeht.

Praktisch heißt das: MFA wird flächendeckend ausgerollt, über alle Zugangspunkte hinweg, von der VPN-Anmeldung bis zum E-Mail-Postfach, und zwar nicht als Projekt mit Enddatum, sondern als Standardkonfiguration für jeden neuen Account. Die Überwachung der nach außen exponierten Systeme wird ein fester Posten im Betriebsrhythmus, idealerweise verzahnt mit einem klar dokumentierten Patch-Prozess. Und der jährliche Wiederherstellungstest gehört genauso in den Kalender wie die Steuererklärung. Keine dieser Maßnahmen erfordert ein eigenes Security-Operations-Center. Sie erfordern Verbindlichkeit. Wer die offensichtlichen Türen verriegelt, ist für den automatisierten Angreifer schlicht zu teuer und wird weiterziehen.

Über den Autor: Andrew Saula ist Head of Cybersecurity und Incident Response bei Baobab Risk Solutions, einem auf digitale Risiken spezialisierten Managing General Agent mit Sitz in Deutschland. Er verantwortet die Bewertung technischer Angriffsflächen und die Steuerung von Schadenfällen nach Cybervorfällen.

Infostealer liefern die Token für Entra-ID-Angriffe

So umgehen Angreifer mit gestohlenen Token die MFA

(ID:50925378)