Mobile-Menu

82 Prozent aller Netzwerkeinbrüche ohne klassische Malware Ransomware-Gruppen setzen auf Logins statt auf Exploits

Ein Gastbeitrag von Andrew Saula 5 min Lesedauer

Anbieter zum Thema

Baobab Insurance GmbH
Fujitsu Technology Solutions GmbH
FAST LTA GmbH
SEPPmail - Deutschland GmbH

Ransomware-Gruppen brauchen keine Exploits mehr. Sie kaufen gestohlene Zugangsdaten auf spezialisierten Darknet-Plattformen und loggen sich mit legitimen Credentials ein. Laut Sicherheitsexperten vergehen zwischen Login und Datenexfiltration oft nur noch 72 Minuten. Identitätsschutz muss deshalb den Stellenwert einer Firewall bekommen.

82 Prozent aller Netzwerkeinbrüche erfolgen ohne klassische Malware. Ransomware-Gruppen kaufen gestohlene Logins und sind in 72 Minuten am Ziel.(Bild: © zephyr_p - stock.adobe.com)
82 Prozent aller Netzwerkeinbrüche erfolgen ohne klassische Malware. Ransomware-Gruppen kaufen gestohlene Logins und sind in 72 Minuten am Ziel.
(Bild: © zephyr_p - stock.adobe.com)

Jahrzehntelang folgte die IT-Sicherheit dem Burggraben-Prinzip: Eine starke Firewall, der Perimeter, sollte das vertrauenswürdige interne Netzwerk vor Angriffen und digitalen Risiken schützen. Die Datenlage des Jahres 2026 zwingt die Branche, die Risikomatrix neu zu bewerten. Laut dem Global Threat Report 2026 von CrowdStrike erfolgen mittlerweile 82 Prozent aller verzeichneten Netzwerkeinbrüche vollständig ohne den Einsatz traditioneller, dateibasierter Malware. Angreifer nutzen stattdessen gestohlene Zugangsdaten in Kombination mit nativen Administrationswerkzeugen – eine Taktik, die als „Living off the Land" (LotL) bekannt ist.

Der Verizon Data Breach Investigations Report belegt zudem, dass über das vergangene Jahrzehnt hinweg 31 Prozent aller Vorfälle auf gestohlene oder schwache Passwörter zurückzuführen waren – ein Anteil, der sich durch Automatisierung und die rasante Verbreitung hybrider Cloud-Architekturen seither drastisch erhöht hat.

Wer starr nach der Perimeter-Logik den gesamten Traffic über VPN-Tunnel zu zentralisieren versucht, schafft nicht nur Performance-Flaschenhälse, sondern erhöht das Risiko: Ist die Hürde einmal genommen, können sich Angreifer oft ungehindert lateral im Netz bewegen.

Login statt Exploit: Die neue Strategie der Hacker

Die Forensik bei Baobab Insurance zeichnet ein klares Bild: Das primäre Einfallstor für Ransomware ist heute seltener ein ungepatchter Server, sondern der Handel mit Identitäten. Sogenannte „Infostealer"-Schadsoftware fischt massenhaft Logins ab, die anschließend in Darknet-Foren verkauft werden. Plattformen wie „Lumma Stealer” operieren dabei als vollständige Malware-as-a-Service (MaaS)-Dienste und sind mitverantwortlich für einen Anstieg von 500 Prozent bei Credential Logs in Darknet-Foren.

Das Endprodukt einer solchen Infektion ist ein sogenannter „Stealer Log" – ein strukturiertes Datenpaket, das Klartext-Passwörter, aktive Session-Cookies, Systeminformationen und in vielen Fällen auch Kreditkartendetails enthält. Besonders gefährlich: Die Session-Cookies ermöglichen es Angreifern, Multi-Faktor-Authentifizierung (MFA)-geschützte Systeme durch Session-Hijacking zu übernehmen, ohne jemals ein Passwort eingeben zu müssen.

Der Microsoft Digital Defense Report 2025 belegt, dass 97 Prozent aller Identitätsangriffe weiterhin auf automatisiertes „Password Spraying" zurückzuführen sind — das massenhafte Ausprobieren gängiger oder zuvor geleakter Passwörter gegen eine Vielzahl von Unternehmenskonten.

Da Angreifer sich mit legitimen Credentials anmelden, schlagen klassische Alarmsysteme nicht an. Sie bewegen sich wie reguläre Mitarbeiter durch die Infrastruktur, kundschaften Back-ups aus und exfiltrieren Daten, bevor die eigentliche Verschlüsselung startet. Der 2026 Unit 42 Global Incident Response Report von Palo Alto Networks zeigt, dass Identitätsschwachstellen in nahezu 90 Prozent aller untersuchten Sicherheitsvorfälle eine wesentliche Rolle spielten. Die dann verwendeten Schadcodes lassen sich ohne tiefgreifende technische Expertise mit Hilfe generativer KI-Modelle und automatisierter Tools leicht erstellen. So verzeichnet CrowdStrike einen Anstieg von 89 Prozent bei KI-gestützten gegnerischen Operationen im Vergleich zum Vorjahr. Die Hürde für Angreifer sinkt, während kriminelle Organisationen diese Ertragsmodelle weltweit skalieren.

Ein anschauliches Beispiel für diesen Trend ist „OpenClaw" (ehemals Clawdbot/Moltbot): ein quelloffener, autonomer KI-Agent, der als legitimer persönlicher Assistent konzipiert wurde und mehrstufige Alltagsaufgaben wie E-Mails versenden, Kalender verwalten, Dateiope­ra­ti­o­nen, direkt über WhatsApp, Telegram oder Slack ausführt. Dieselbe Fähigkeit, Aufgaben autonom und lokal zu automatisieren, macht das Tool jedoch auch für Angreifer attraktiv: Einmal auf gestohlene Zugangsdaten angesetzt, kann OpenClaw den Missbrauch kompromittierter Konten erheblich beschleunigen und vereinfachen. Was bisher Handarbeit war, lässt sich so mit minimalem Aufwand auf eine große Zahl betroffener Systeme ausdehnen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Cybercrime als Geschäftsmodell: Der Marktplatz für gestohlene Identitäten

Ein entscheidender Treiber dieser Entwicklung ist die hochgradige Arbeitsteilung im Cybercrime-Untergrund. Im Zentrum steht der „Initial Access Broker" (IAB): hochspezialisierte Kriminelle, deren Geschäftsmodell ausschließlich darin besteht, Zugänge zu kompromittierten Unternehmensnetzwerken zu beschaffen, zu verifizieren und an Ransomware-Gruppen weiterzuverkaufen.

Die Rohdaten für dieses Geschäft liefern sogenannte „Underground Clouds of Logs" (UCL). Dies sind spezialisierte, kriminelle Cloud-Plattformen, auf denen Stealer Logs in industriellem Maßstab gehandelt werden. Für eine monatliche Abonnementgebühr von lediglich 90 bis 150 US-Dollar erhält ein Krimineller Zugriff auf 90.000 bis 300.000 frische, strukturierte Datensätze. Diese Plattformen bieten fortschrittliche Suchfunktionen: Angreifer können gezielt nach spezifischen Unternehmens-Domains suchen und erhalten ein schlüsselfertiges Breach-Kit . Das ist faktisch ein illegitimes Äquivalent zu „Have I Been Pwned", das den Angreifer direkt in die administrativen Dashboards des Zielunternehmens katapultieren kann.

Sobald ein Ransomware-Akteur einen solchen Zugang erwirbt und sich einloggt, kollabiert das verfügbare Zeitfenster für Verteidiger dramatisch. Unit 42 dokumentierte Vorfälle, in denen Angreifer lediglich 72 Minuten benötigten, um von der initialen Authentifizierung bis zur vollständigen Datenexfiltration zu gelangen – eine Vervierfachung der Angriffsgeschwindigkeit im Vergleich zum Vorjahr.

Dark Web Monitoring: Den Dieben einen Schritt voraus

Um dieser Gefahr zu begegnen, ist ein proaktiver Ansatz essenziell. Es reicht nicht mehr, nur auf die eigene Infrastruktur zu schauen. Unternehmen müssen wissen, welche ihrer Daten bereits im „Untergrund“ kursieren. Durch den Abgleich von digitalen Fingerabdrücken mit Leaks in Darknet-Repositories können kompromittierte Konten identifiziert werden, noch bevor der erste unbefugte Login erfolgt. Somit wird das regelmäßige Identifizieren von gestohlenen Unternehmensdaten wesentlicher Bestandteil der IT-Sicherheit.

Wege aus der „Alert Fatigue“

Ein Problem vieler Sicherheitstools ist die Flut an Meldungen. Wenn Systeme bei jeder Kleinigkeit Alarm schlagen, stumpfen IT-Teams ab – die sogenannte Alert Fatigue droht. Um dies zu verhindern, setzen moderne Lösungen wie der Baobab Deep Scan auf intelligente Validierung:

  • Automatisierung: Standard-Alarme werden durch SOAR-Technologien (Security Orchestration, Automation and Response) ohne menschliches Zutun gelöst.
  • Priorisierung: KI-gestützte Analysen filtern „False Positives“ heraus. Komplexe, unternehmensrelevante Passwörter haben Vorrang vor privaten Kurzpasswörtern.
  • Kontextualisierung: Ein Fund wird erst dann zur kritischen Warnung, wenn der „Schlüssel“, alsodas Passwort, zum aktuell aktiven „Schloss“, wie z. B. dem Firmen-VPN oder OWA-Portal, passt.

Eine intelligente Validierung wirkt daher dem Alert Fatigue entgegen und stiftet einen realen Mehrwert.

Zero Trust ist alternativlos

Der Identitätsschutz muss entsprechend den Stellenwert in der IT-Sicherheit bekommen, den die Firewall bereits heute hat. Neben technischem Monitoring bleibt die Vier-Säulen-Strategie aus MFA, Endpoint Detection (EDR), Zero-Trust-Architektur und kontinuierlichen Security-Awareness-Trainings für Mitarbeiter der Goldstandard.

Über den Autor: Andrew Saula, Leiter der Cyber-Sicherheit und Incident Response bei Baobab Insurance, verfügt über mehr als 15 Jahre Erfahrung in der Sicherheitsbranche. Seine berufliche Laufbahn umfasst mehrere Jahre als Managementberater bei E&Y, gefolgt von der Position des stellvertretenden Gesamtverantwortlichen für die globale Informationssicherheit (CISO) bei TUI.

(ID:50827180)

Weiterführende Inhalte