Analyse von Kaspersky Angriffe bleiben oft monatelang unentdeckt

Monate- und manchmal sogar jahrelang bleiben Cyberangriffe der Vorfallsanalyse von Kaspersky nach unentdeckt. Nicht nur Defizite in technischen Maßnahmen, sondern auch interne Organi­sa­tions­schwie­rig­kei­ten würden dazu beitragen.

Cyberangriffe werden in vielen Unternehmen erst mit deutlicher Verzögerung erkannt. Diese Behauptung stellte Kaspersky auf, nachdem der Hersteller Sicherheitsvorfälle von Kunden analysiert hat, die den Compromise Assessment beanspruchen. Dieser kombiniert Be­droh­ungs­ana­ly­sen, darunter auch Darknet-Quellen, toolgestützte Endpunktscans, eine systematische Überprüfung von Sicherheitsereignisprotokollen und Netzwerkverkehr sowie eine erste Reaktion auf einen Sicherheitsvorfall und eine digitale forensische Untersuchung. Die Kunden, deren Daten 2025 untersucht wurden, stammten zu 71 Prozent aus der Meta-Region (Middle East, Turkey, and Africa) und zu 29 Prozent aus der APAC- (Asia-Pacific) und GUS-Region (Gemeinschaft Unabhängiger Staaten). Die Gründe dafür, dass Vorfälle oftmals monatelang unentdeckt bleiben würden, seien reaktiv ausgerichtete Sicherheitsmaßnahmen, nicht konsequent geprüfte Monitoring-Tools sowie Lücken in operativen Abläufen.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

Technische Erkennungstools und interne Organisation versagen

In 31 Prozent der analysierten Fälle seien schädliche Aktivitäten bereits vor der Entdeckung länger als drei Monate aktiv gewesen. Dabei seien oft auch schwerwiegende Vorfälle, zum Beispiel manuell ausgeführte Attacken oder Malware mit Auswirkungen auf Systeme, lange unentdeckt geblieben. Mehr als die Hälfte (52 Prozent) seien erst nach mehr als 90 Tagen aufgespürt worden. Der älteste im Untersuchungszeitraum identifizierte Vorfall sei sogar vier Jahre lang unentdeckt geblieben.

Zudem habe sich gezeigt, dass technische Kontrollmechanismen nicht ausreichen würden, um Kompromittierungen zuverlässig festzustellen. 20 Prozent der Sicherheitsvorfälle seien manuell identifiziert worden. Gleichzeitig seien 60 Prozent der Vorfälle zunächst unentdeckt geblieben, da vorhandene Tools keine vertrauenswürdigen Warnmeldungen ausgaben.

Neben diesem technischen Defiziten habe Kaspersky auch organisatorische Schwachstellen festgestellt. In 32 Prozent der untersuchten Fälle hätten sich interne Kommunikationsprobleme gezeigt, wie etwa unklare Bestätigungen über umgesetzte Maßnahmen oder der Verlust von Know-how durch Personalwechsel.

Threat Intelligence und operative Informationssicherheit

Methodische Individualisierung der Bedrohungsanalyse

Vorfälle schneller erkennen und beheben

Der Hersteller empfiehlt folgende Maßnahmen zur Optimierung der Erkennung und Reaktion auf Sicherheitsvorfälle:

• Regelmäßig einen Health Check der Detection Engines durchführen und dabei insbesondere Telemetriequalität sowie Relevanz der Erkennungsregeln bewerten.

• Low-Confidence-Alerts durch ein dediziertes Tier-1-Team nach einem festen Zeitplan prüfen lassen, um frühe Anzeichen einer Kompromittierung zu erkennen.

• Eine robuste 24/7-Überwachung durch Threat-Hunting-Fähigkeiten ergänzen, die Baselines, schwache Signale und neue Angriffstechniken berücksichtigen.

• Patching-Prozesse und die Aktivierung relevanter Audit Logs für alle kritischen Assets kontinuierlich überprüfen.

• Mitarbeiterschulungen anbieten, die den Abfluss von Zugangsdaten über private Geräte sowie sichere BYOD-Praktiken beinhalten.

• Regelmäßige Tabletop-Übungen helfen, technische Playbooks, Teamfähigkeiten und Kommunikationswege realitätsnah zu testen.

• Operational-Level Agreements und Standardprozesse stellen die Zusammenarbeit zwischen Teams sowie eine saubere Dokumentation sicher.

• Detection-and-Response-Lösungen einsetzen, die komplexe Cyberangriffe erkennen und blockieren können.

• Regelmäßige Assessments durch unabhängige Experten durchführen lassen, die Unternehmen helfen, aktive oder bereits zurückliegende Kompromittierungen aufzudecken, die von bestehenden Sicherheitslösungen und Prozessen nicht erkannt wurden.

• Incident-Response-Playbooks regelmäßig aktualisieren und als „lebende Dokumente“ behandeln, damit neue Erkenntnisse aus Threat Intelligence, aktuelle Angreifertechniken und Artefakte zeitnah in Reaktionsprozesse einfließen.

23 Exploits in „bikini/exploitarium“-Repository

Wenn der Exploit vor dem Advisory kommt

(ID:50894056)