R-tec Cyber Security Lagebericht Externe Admins, interner Kontrollverlust

Anbieter zum Thema

r-tec IT-Security GmbH

cidaas by Widas ID GmbH

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Ein gekündigter IT-Dienstleister, ein leer wirkender Tenant, 50.000 neue Gastkonten – der vielleicht unbequemste Befund aus dem r-tec Lagebericht 2025 ist so simpel wie brisant: Viele Unternehmen schützen sich gegen Angreifer von außen und übersehen Risiken mit Schlüsselgewalt im eigenen Ökosystem.

Wer glaubt, das eigene Unternehmen sei zu unauffällig für echte Angreifer, hat bisher nur Glück gehabt. Cyberkriminelle treffen nicht nach Branche oder Größe, sie treffen nach Gelegenheit. Lead Cybersecurity Expert Rüdiger Trost von WithSecure warnt im R-tec Cyber Security Lagebericht 2025 treffend, „[...] dass Unternehmen in Deutschland weiterhin im Fokus von Cyberkriminellen aus der ganzen Welt stehen. Wie groß ein Unternehmen ist oder in welcher Branche es agiert, spielt keine Rolle – jedes Netzwerk kann ein lohnendes Ziel sein.“ Gleichzeitig wird es operativ enger. Mehr Systeme, mehr Abhängigkeiten, mehr Cloud. Und am Ende oft ein simples Problem: Rechte bleiben zu lange, zu breit, zu unkontrolliert.

In vier Schritten die M365-Tenant-Resilienz stärken

Die vier größten Risiken für den Microsoft-365-Tenant

Ein Tenant, der plötzlich leer wirkt

Denn nicht jeder Sicherheitsvorfall beginnt mit Phishing, Malware oder einer Zero-Day-Sicherheitslücke. Manchmal beginnt er mit einer Kündigung. Genau das zeigt einer der eindrücklichsten Fälle aus dem Lagebericht: Am Tag nach einer konfliktbehafteten Trennung von einem IT-Dienstleister fiel einer Organisation auf, dass ihr Microsoft-Entra-Tenant auffällige Veränderungen zeigte. Produktive Benutzer und Betriebsdaten fehlten. Parallel war die Umgebung mit rund 50.000 Gastbenutzern geflutet. Auf Wunsch der Cyberversicherung wurde R-tec hinzugezogen.

Die Cloud-Forensik ergab einen sauberen Ablauf: Login über ein Konto aus dem Dienstleisterkontext, Registrierung einer Enterprise Application, Anlage eines weiteren Global Admin. Danach folgten Löschungen von Benutzern und Postfächern. Anschließend setzte eine automatisierte Erzeugung zufällig benannter Gastkonten ein. Die aktivierten Entra- und M365-Logging-Einstellungen ermöglichten eine weitgehend lückenlose Rekonstruktion, die Attribution blieb offen. Der Fall zeigt deutlich: Wenn Governance- und Offboarding-Prozesse nicht belastbar sind, können privilegierte Cloud-Berechtigungen schnell zu einem vollständigen Kontrollverlust führen.

IBM X-Force Threat Intelligence Index 2026

Schwachstellen sind Einfallstor Nummer 1

Warum Dienstleisterzugänge ein eigener Risikotyp sind

Damit ist nicht gemeint, dass alle externen Admins böse Absichten haben. Doch sie stellen eine eigene Risikoklasse dar. Dienstleister brauchen weitreichende Rechte, tiefes Umgebungswissen und oft operative Freiheit. Diese Kombination macht sie unverzichtbar und zugleich hoch­kri­tisch. Bei Zeitdruck, Kommunikationslücken oder auch Streit entstehen potenzielle Risiken, die Unternehmen unbedingt auf dem Radar haben sollten. Der r-tec Lagebericht 2025 formuliert es unmissverständlich: "Dienstleisterkonten sind Hochrisiko-Identitäten und müssen, wie eigene Assets behandelt werden. [...] Offboarding muss technisch durchgesetzt werden und darf nicht von Tickets oder Goodwill abhängen."

Für einen Kontrollverlust wie im Beispielfall braucht es kein spektakuläres Angriffswerkzeug. Es reichen wenige privilegierte Aktionen zur falschen Zeit mit den richtigen Rechten. Genau des­halb liegt der Wert dieses Falls nicht allein in seiner Dramatik, sondern in seiner Nüchternheit. Er zeigt, wie schnell Governance-Versäumnisse zu einem operativen Ausnahmezustand wer­den. Multi-Faktor-Authentisierung (MFA) allein genügt hier nicht. Denn erfolgreiche MFA kann auch bedeuten, dass ein legitimer Pfad missbraucht wurde. Was daraus folgt, ist un­be­quem: Kritische Admin-Aktionen sind Hochrisiko Vorgänge und müssen auch als solche betrachtet werden. Dafür braucht es klare Auslöser für Alarmierung, verbindliche Playbooks und eine definierte Reaktion – nicht erst in der Nachbereitung, sondern unmittelbar bei der Ausführung.

Sicherheit in hybriden IT-Landschaften

Zugriff auf Unternehmens­an­wen­dung­en einfacher und sicherer machen

123 kritische Vorfälle zeigen eine angespannte Sicherheitslage

Der Fall mit dem gekündigten Dienstleister ist kein Einzelfall, sondern ein Brennglas für eine insgesamt härtere Lage. R-tec hat im Cyber Security Lagebericht Erkenntnisse aus 123 be­son­ders kritischen Cybersicherheitsvorfällen zusammengeführt. Insgesamt ist die Zahl der Si­cher­heits­vor­fälle gegenüber dem Vorjahr um 53,8 Prozent angestiegen. Parallel dazu wurden fast dreimal so viele Geräte im EDR-Monitoring erfasst wie im Jahr zuvor, von 24.330 auf 60.000. Das tägliche SIEM-Logvolumen wuchs um 97,5 Prozent. Schon diese drei Zahlen erzählen eine klare Geschichte: mehr Fläche, mehr Signale, mehr Druck, mehr Komplexität.

Hinzu kommt der reale Aufwand in der Reaktion. Das R-tec CERT verzeichnete 2.505 Stunden Vorfallsaufwand im Jahr 2025, davon 1.643 Stunden bei Nicht-Servicekunden und 862 Stunden bei Servicekunden. Die längste Bearbeitungsdauer lag bei 450 Stunden für Nicht-Service­kun­den und bei 46 Stunden für Servicekunden. Auch das ist mehr als eine Kennzahlensammlung. Es ist ein Hinweis darauf, wie teuer fehlende Vorbereitung in der Praxis wird. Wer im Ernstfall erst Zuständigkeiten, Kommunikationswege und technische Grundlagen sortieren muss, verliert nicht nur Zeit, sondern vor allem die Chance, einen Vorfall früh klein zu halten.

Der Echtzeit-Blick auf die IT-Security

Wenn Millisekunden über IT-Sicherheit entscheiden

Readiness ist kein Zusatz, sondern die eigentliche Sicherheitsfrage

Der Lagebericht 2025 bündelt Einsätze aus dem Cyber Defense Center, verdichtet sie in kuratierte Fälle und leitet praxisrelevante Learnings ab. Ziel ist, Organisationen zu helfen, Widerstandsfähigkeit aufzubauen, bevor der nächste Vorfall den Alltag übernimmt. Dazu beschreibt der Bericht keine abstrakten Trends, sondern reale Einsatzmuster. Das Spektrum reicht von Ransomware über Malvertising und ClickFix bis zu OT-Vorfällen, Supply-Chain-Fragen und Business-E-Mail-Compromise. Auffällig ist dabei, dass nicht nur technische Schwachstellen eine Rolle spielen. Betriebliche Brüche wie unklare Zuständigkeiten, fehlende Playbooks, lückenhafte Transparenz oder ungenügend gesteuerte Identitäten sind ein grundlegendes Problem.

Gute Sicherheitsarbeit beginnt nicht im Moment des Angriffs. Sie beginnt vorher: bei klaren Rollen, belastbarem Offboarding, sauber getrennten Admin-Konten, regelmäßigen Reviews privilegierter Identitäten, vollständigen Audit-Logs und getesteten Reaktionspfaden. Unternehmen, die diese Grundlagen nicht gesetzt haben, werden im Ernstfall nicht nur langsamer: Sie verlieren zuerst Übersicht und dann Kontrolle. Auch reichen einzelne, siloartig betriebene Security-Lösungen längst nicht mehr aus. Schutz wird erst dann wirksam, wenn mehrere Ebenen als Gesamtsystem zusammenspielen.

202 Milliarden Euro Schaden trotz steigender Security-Budgets

Cyberresilienz ist kein IT-Thema, sondern Chefsache

Praxiswissen aus realen Sicherheitsvorfällen nutzen

Daher steht auch der Vorfall rund um den Missbrauch privilegierter Zugänge exemplarisch für das, was der Bericht in seiner ganzen Breite zeigt: Sicherheitsvorfälle entstehen heute selten nur durch eine einzelne technische Schwäche. Sie entstehen dort, wo Rechte, Prozesse, Transparenz und Reaktionsfähigkeit nicht sauber zusammenspielen.

Darüber hinaus bietet der Lagebericht viele weitere spannende Erkenntnisse zur aktuellen Cybersicherheitslage und einen Mehrwert, der in vielen Diskussionen oft zu kurz kommt: echte Einsatzpraxis, klar verdichtet und direkt anschlussfähig für bessere Entscheidungen in Prävention, Detektion und Reaktion. Denn wer aus realen Vorfällen lernt, muss den nächsten nicht erst erleben, um ins Handeln zu kommen.

Über den Autor: Dr. Stefan Rummenhöller ist Geschäftsführer der R-tec IT Security GmbH.

Beispiele für Datenschutz-Vorfälle

Lernen aus Datenpannen

(ID:50925373)