Verizon Data Breach Investigations Report 2026 Exploits lösen Zugangsdaten als Einfallstor ab

Schwachstellen-Exploits sind laut dem neuen Verizon Data Breach Investigations Report (DBIR) 2026 erstmals der häufigste Einstieg in Unternehmensnetze, gestohlene Zugangsdaten verlieren an Boden. Gleichzeitig wachsen Ransomware und Lieferkettenrisiken, während KI bekannte Angriffstechniken industrialisiert. In Europa fallen die Muster anders aus als global.

Der neue Verizon DBIR 2026 analysiert mehr als 22.000 bestätigte Datenschutzverletzungen aus 145 Ländern und markiert eine deutliche Verschiebung. Die Ausnutzung von Schwach­stellen ist mit 31 Prozent erstmals der häufigste initiale Angriffsweg in Unternehmensnetze, gefolgt von gestohlenen Zugangsdaten mit 13 Prozent. Im Vorjahresreport lag der Anteil der Exploits noch bei 20 Prozent, das entspricht einem Zuwachs von 55 Prozent innerhalb eines Jahres.

Wer den Trend allein als Wechsel der Angreifertaktik liest, übersieht eine zweite Entwicklung. Zugangsdaten bleiben in 39 Prozent aller Breaches irgendwo entlang der Angriffskette präsent, sie sind nur seltener der Einstieg. Multi-Faktor-Authentifizierung und Identity-Sicherheit verlieren damit nicht an Bedeutung, sondern müssen flankierend zum Schwachstellenmanagement gedacht werden.

High-Risk-Vulnerabilities betreffen die gesamte IT-Landschaft

Zehn Schwachstellen, die Unternehmen 2026 im Blick haben sollten

Patching kommt der Schlagzahl nicht hinterher

Die Zahlen zur Schwach­stellen­be­he­bung sind ernüchternd. Nur 26 Prozent der kritischen Schwachstellen aus dem CISA-KEV-Katalog (Known Exploited Vulnerabilities) wurden 2025 vollständig gepatcht, im Vorjahr waren es noch 38 Prozent. Die mediane Zeit bis zur Behebung stieg von 32 auf 43 Tage. Gleichzeitig hatten die analysierten Organisationen rund 50 Prozent mehr KEV-Schwachstellen zu beheben als im Vorjahr.

Verizon spricht im DBIR von einem strukturellen Kapazitätsproblem. Selbst die leistungsfähigsten Teams schaffen es in der ersten Woche nach Bekanntwerden nur, 30 bis 40 Prozent der kritischen Schwachstellen zu schließen. Diese Grenze scheint sich trotz mehr Tooling und höherer Priorisierung kaum verschieben zu lassen. Für Security-Teams bedeutet das, die Auswahl muss noch stärker risikobasiert erfolgen, etwa anhand aktueller Exploit-Aktivität statt anhand des reinen KEV-Eintrags.

Rückblick 2025

20 Prozent mehr ausgenutzte Schwach­stellen im KEV-Katalog der CISA

Ransomware bleibt dominant, doch die Zahlungsbereitschaft sinkt

Ransomware war 2025 in 48 Prozent aller Datenschutzverletzungen Teil der Angriffskette, ein leichter Zuwachs gegenüber 44 Prozent im Vorjahr. Bemerkenswerter ist eine andere Zahl. 69 Prozent der Opfer haben kein Lösegeld gezahlt, im Vorjahr lag die Quote bei 65 Prozent. Auch der mediane Zahlungsbetrag sinkt weiter, von 150.000 auf 139.875 US-Dollar.

Verizon interpretiert das als Marktindiz für einen langsamen Niedergang des Ransomware-Geschäftsmodells. Bessere Backups, höhere Resilienz und mehr Verhandlungserfahrung der Opfer scheinen zu wirken. Eine Analyse der Krypto-Wallet-Daten zeigt zudem, dass im Median nur etwa 9 Prozent der von Ransomware-Gruppen öffentlich gelisteten Opfer tatsächlich gezahlt haben. Ein erheblicher Teil der publizierten Opferlisten dürfte erfunden oder doppelt verwertet sein.

Drei RaaS-Gruppen dominieren Deutschlands Bedrohungslandschaft

Ransomware trifft Deutschland in Produktion, Dienstleistung und Handel

Drittparteien werden zum systemischen Risiko

Der wohl beunruhigendste Anstieg im Report betrifft Lieferketten und Cloud-Anbieter. Datenschutzverletzungen mit Beteiligung Dritter haben um 60 Prozent zugelegt und machen inzwischen 48 Prozent aller Vorfälle aus. Im Vorjahresreport lag der Wert noch bei 30 Prozent.

Die Wurzel liegt häufig in Konfigurationsfehlern und schwachen Authentifizierungspraktiken bei Cloud-Diensten der Lieferanten. Nur 23 Prozent der Drittanbieter haben fehlende oder fehlerhaft konfigurierte MFA bei Cloud-Konten vollständig behoben. Bei schwachen Pass­wörtern und übermäßigen Berechtigungen dauert die Behebung der Hälfte aller Befunde fast acht Monate.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

KI verändert die Angriffsökonomie

Erstmals liefert der DBIR belastbare Daten zur Nutzung generativer KI durch Angreifer. Eine Auswertung mit Anthropic zeigt, dass 793 identifizierte böswillige Akteure im Median 15 verschiedene MITRE-ATT&CK-Techniken mit KI-Unterstützung bearbeitet haben, einige sogar 40 oder 50. Die zentrale Erkenntnis ist allerdings nüchtern. Weniger als 2,5 Prozent der KI-assistierten Angriffe nutzen wirklich seltene Techniken. KI senkt vor allem die Einstiegshürde für bekannte Methoden, statt grundlegend neue Angriffsklassen zu schaffen.

Auf der Verteidigerseite wächst dafür ein anderes Problem. 45 Prozent der Beschäftigten gelten inzwischen als reguläre KI-Nutzer auf Firmengeräten, im Vorjahr waren es noch 15 Prozent. 67 Prozent dieser Nutzer greifen mit privaten Accounts auf KI-Dienste zu. Shadow AI ist damit zur dritthäufigsten unbeabsichtigten Insider-Aktion im DLP-Datensatz aufgestiegen. Am häu­fig­sten landet Quellcode in den externen Modellen, gefolgt von Bildern und strukturierten Daten. In 3,2 Prozent der Verstöße fließen sogar Forschungs- und technische Dokumentationen in nicht autorisierte KI-Systeme.

Angriffe, gesponsert von Iran und Russland

Die Lage im Cyberraum nach dem An­griff der USA und Israels auf den Iran

Europa folgt eigenen Bedrohungsmustern

Für DACH-Verantwortliche besonders relevant ist die regionale Auswertung für die EMEA-Region. Sie umfasst 8.245 Vorfälle und 6.060 bestätigte Datenschutzverletzungen. Drei Befunde stechen heraus.

Erstens dominiert Malware in EMEA noch stärker als global. 66 Prozent aller Breaches enthalten eine Malware-Komponente, gegenüber 63 Prozent weltweit. Verizon führt das auf den anhaltenden Druck finanziell motivierter Ransomware-Gruppen zurück.

Zweitens ist Phishing in Europa deutlich häufiger der zentrale Social-Engineering-Vektor. In 84 Prozent der Social-Engineering-Breaches kam Phishing zum Einsatz, weltweit liegt der Anteil bei 69 Prozent. Parallel sind staatlich gesteuerte Akteure in EMEA in 23 Prozent aller Vorfälle beteiligt, gegenüber 14 Prozent global. Auch der Anteil spionagemotivierter Angriffe ist mit 27 Prozent doppelt so hoch wie im weltweiten Durchschnitt von 13 Prozent.

Drittens spielen Fehlhandlungen in EMEA eine größere Rolle. Interne Akteure sind in 20 Prozent der Vorfälle beteiligt, Fehlkonfigurationen erscheinen in 17 Prozent der Fehler-Fälle gegenüber 13 Prozent global. Eine ungesicherte Cloud-Datenbank mit personenbezogenen Daten ist in Europa damit überdurchschnittlich häufig die Ursache eines Vorfalls. Für DSGVO-pflichtige Organisationen ist das ein direkter Compliance-Risikofaktor.

Wie teuer ein einzelner Vorfall in Europa werden kann, illustriert der Cyberangriff auf Jaguar Land Rover im Spätsommer 2025. Die Produktion stand fünf Wochen still, der Schaden wird auf 1,9 Milliarden britische Pfund geschätzt, rund 5.000 zuliefernde Unternehmen waren betroffen. Die britische Regierung intervenierte mit Krediten, das nationale Cyber Security Centre startete daraufhin eine Resilienz-Kampagne.

Update: Milliardenkredigt bewilligt

Politiker mischen sich in Cyberattacke auf Jaguar Land Rover ein

Konsequenzen für Security-Verantwortliche

Aus dem Report lassen sich vier praktische Schwerpunkte für 2026 ableiten. Erstens muss das Schwachstellenmanagement risikobasierter werden. Verizon zeigt, dass Schwachstellen mit aktueller Exploit-Aktivität gegenüber älteren Einträgen ohne Beobachtung priorisiert werden sollten. Zweitens bleibt Identity-Sicherheit Pflicht, auch wenn Exploits den ersten Einstieg dominieren. Drittens müssen Drittparteien-Verträge konkrete Kontrollanforderungen und Nachweispflichten enthalten, insbesondere zu MFA, Berechtigungsmodellen und Token-Schutz. Viertens braucht es klare Richtlinien für KI-Nutzung im Unternehmen, sonst entscheiden Mitarbeitende eigenmächtig, welche Daten in welche Modelle fließen.

In Europa kommt eine fünfte Aufgabe hinzu. Wer mit einer höheren Spionage-Quote, mehr Insider-Fehlern und einer dichteren Regulierungslandschaft umgehen muss, sollte Detection- und Response-Fähigkeiten gezielt auf staatlich gesteuerte Akteure und Konfigurationsrisiken in der Cloud ausrichten.

Destabilisierung statt Datendiebstahl

Statt Cybercrime wird Ransomware zum geopolitischen Instrument

Microsoft Digital Defense Report 2025

Deutschland ist das größte Ziel für Cyberangriffe in der EU

(ID:50851410)