Microsoft Digital Defense Report 2026 Identitäten sind das Hauptziel, KI beschleunigt Angriffe

Anbieter zum Thema

cidaas by Widas ID GmbH

secunet Security Networks AG

FTAPI Software GmbH

Der Microsoft-Report zeigt einen Angriffswandel: Statt eigener Malware missbrauchen Cyberkriminelle zunehmend vertraute Konten, Cloud-Dienste und Verwaltungswerkzeuge. KI beschleunigt dabei jeden Schritt der Angriffskette.

Microsoft beschreibt in seinem neuen „Digital Defense Report 2026“ Identitäten als zentralen Angriffsweg. Angreifer setzen dem Bericht, der sich auf Microsofts Telemetrie stützt, zufolge seltener auf eigene Schadsoftware und missbrauchen stattdessen legitime Werkzeuge, Cloud-Dienste und Verwaltungsfunktionen. Als am häufigsten genutzt Erstzugänge nennt Microsoft Benutzerausführung, gültige Konten, Social Engineering und Phishing.

Microsoft Digital Defense Report 2025

Deutschland ist das größte Ziel für Cyberangriffe in der EU

KI verkürzt Angriffsketten

Microsoft beschreibt KI als Faktor, der Angriffe schneller und umfangreicher macht. Der Bericht spricht davon, dass KI die Arbeitsabläufe von Angreifern deutlich beschleunigt. Die Zeit von der Entdeckung einer Sicherheitslücke bis zu ihrer Ausnutzung sei auf deutlich unter 24 Stunden gesunken.

Der Bericht nennt außerdem KI-Anwendungen selbst als Angriffsziel. Als Beispiel führt er eine bösartige Browser-Erweiterung an, die Chatverläufe mit KI-Diensten abgriff. Microsoft spricht von mehr als 900.000 Installationen und mehr als 20.000 betroffenen Unternehmensmandanten. Zudem beschreibt Microsoft einen ersten dokumentierten Fall einer weitgehend automatisierten Erpressung mit Ransomware im Juli 2026. Die Fallzahlen bleiben nach Angaben des Herstellers gering.

Jade Puffer

KI‑Ransomware führt eigenständig Angriff durch

Phishing, Vishing und Infostealer

Phishing hat sich nach Microsofts Angaben verändert. Bei den Erstzugängen aus Meldungen des Microsoft-Diestens Defender Experts macht Phishing 10,9 Prozent aus. Davon entfallen 44,6 Prozent auf AiTM-Phishing. Dabei sitzt der Angreifer als Reverse-Proxy zwischen Nutzer und echter Anmeldeseite und kann so Sitzungscookies abgreifen.

Auch bösartige Anrufe über Microsoft Teams nehmen zu. Das wöchentliche Volumen bestätigter Angriffe ist laut Microsoft um 502 Prozent gestiegen. Bei 93 Prozent der Angreifer gelang es mindestens einmal, das Opfer 20 Sekunden oder länger in der Leitung zu halten.

Microsoft beobachtete zwischen Februar und Anfang Mai 2026 bei mehr als 1,1 Millionen Geräten ClickFix-Angriffe. Dabei werden Nutzer über gefälschte Fehlermeldungen oder „Bestätigen Sie, dass Sie ein Mensch sind“-Hinweise dazu gebracht, einen Befehl selbst zu kopieren und in Windows einzufügen, wodurch Schadsoftware nachgeladen wird.

Bei Ransomware-Angriffen verzeichnete Microsoft Defender einen Anstieg von 15,8 Prozent im Jahresvergleich. Laut Daten von Leak-Seiten führte Qilin die Liste der veröffentlichten Opfer an, mit 16,4 Prozent. In Microsofts eigener Telemetrie lag Akira mit 22 Prozent der erkannten Ereignisse vorn.

Voice Cloning trifft Voice Phishing

Hacker vhishen nicht mehr im Trüben

Sicherheitslücken und Identitäten

Die Zeit zwischen Veröffentlichung einer Sicherheitslücke und ihrer Ausnutzung beträgt laut Microsoft oft nur wenige Tage. Der Hersteller empfiehlt, neu erkannte Sicherheitslücken in internetseitig erreichbaren oder identitätsbezogenen Systemen innerhalb von 72 Stunden zu schließen. Für kritische externe Sicherheitslücken nennt Microsoft als typische Behebungsdauer in Unternehmen 30 bis 60 Tage.

Bei Identitäten zeigt sich laut Microsoft ein gegenläufiger Trend. Passwortangriffe sind im Jahresvergleich um 26 Prozent zurückgegangen. Passwortspray-Angriffe machen dagegen über 99 Prozent der beobachteten Erstzugriffsversuche auf Cloud-Konten aus.

Passwort‑Spray‑Kampagne

Hacker starten 81 Millionen Login-Versuche gegen Microsoft 365

Empfehlungen für Unternehmen

Microsoft empfiehlt Unternehmen phishingresistente Mehrfaktor-Authentifizierung und Passkeys, Berechtigungen auf das nötige Maß zu begrenzen und Tokens sowie Sitzungen bei Verdacht sofort zu widerrufen. Für möglicherweise böswillige Teams-Anrufe empfiehlt der Bericht, Warnungen einzustellen, wenn externe Nutzer anrufen, zeitpunktbezogene Linkprüfungen und die Beschränkung von Fernwartungswerkzeugen auf IT-Gruppen umzusetzen. Unternehmen sollten außerdem Cloud-Anmeldungen, Berechtigungsänderungen und bisher unbekannte Anwendungen überwachen. Nach einem Vorfall reicht es laut Microsoft nicht, Systeme wiederherzustellen. Zugänge, Tokens und Schlüssel müssen rotiert, betroffene Konten geprüft und Sitzungen widerrufen werden.

Weitere genannte Maßnahmen sind:

• Ungewöhnliche Zugriffsmuster und bisher unbekannte Anwendungen überwachen

• Konten für nicht-menschliche Identitäten absichern

• Konditionalen Zugriff und MFA für Cloud-Konten verstärken

• Assume-Breach-Übungen durchführen

• Randgeräte wie Firewalls, VPNs und Gateways schnell patchen und zentral protokollieren

• Nicht patchbare Systeme isolieren und Verbindungen einschränken

• Skriptmissbrauch einschränken und Anwendungskontrolle einsetzen

• Geheimnisse in verwalteten Tresoren speichern und Repositories auf Zugangsdaten scannen

• Notfallpläne für Token- und Schlüsselkompromittierungen vorbereiten, etwa Entwicklungsrechner neu aufsetzen

• KI-Tools und Agenten inventarisieren, Agenten-Zugriffe minimal halten und einem Verantwortlichen zuordnen

• KI-Lieferketten absichern und Prompts sowie Chatverläufe als sensible Daten behandeln

Enisa Threat Landscape 2026

Cyberbedrohungen in der EU: geteilte Werkzeuge, andere Ziele

(ID:50996634)