Watchguard Global Threat Report H1 2026 Weniger Angriffe, aber fast jede Malware ist ein Einzelstück

Anbieter zum Thema

WatchGuard Technologies GmbH

secunet Security Networks AG

FAST LTA GmbH

FTAPI Software GmbH

Watchguard verzeichnet deutlich weniger Netzwerkangriffe, aber ein Vielfaches an neuer Malware. Fast jede Schadsoftware taucht nur auf einem einzigen Gerät auf. Angegriffen werden dabei oft Schwachstellen, die über zehn Jahre alt sind.

Die Zahl der Angriffe sinkt, weniger gefährlich wird die Lage dadurch aber nicht. Zu diesem Schluss kommt der Sicherheitsanbieter Watchguard in seinem „Global Threat Report“ für das erste Halbjahr 2026. Dafür hat der Anbieter die Daten seiner Firewall-Appliances, den Fireboxes, ausgewertet, die bei Kunden im Einsatz sind. Im Schnitt habe jede Firebox rund 79 Prozent weniger Netzwerkangriffe erkannt und blockiert als im noch im zweiten Halbjahr 2025. Der Wert sei von 845 auf 181 gesunken, was etwa einem blockierten Angriff pro Tag entspreche statt fast fünf. Gleichzeitig sei die Zahl bisher unbekannter Malware auf Endgeräten im Vergleich zum Vorjahr um 2.065 Prozent gestiegen.

Bitkom Wirtschaftsschutz-Studie 2026

Wachsende Unsicherheit und Angriffe durch ausländische Geheimdienste

Maßgeschneiderte Schadsoftware

Im zweiten Quartal seien 95,72 Prozent der auf Endgeräten blockierten Malware auf genau einem einzigen Gerät aufgetaucht. Watchguard führt das auf Malware-as-a-Service und KI-gestützte Werkzeuge zurück. Denn dadurch seien individuell angepasste Payloads kostengünstig geworden, mit denen Angreifer daher zunehmend für jeden Zielrechner eine eigene Datei erstellen würden, anstatt ein und denselben Payload massenhaft auf Tausende von Systemen loszulassen.

Deshalb hätten sich auch die Erkennungsmethoden angepasst. Der Anteil erhaltensbasierter und auf maschinellem Lernen beruhender Erkennungssysteme sei von rund 40 Prozent aller Endpoint-Erkennungen im ersten Quartal auf über 67 Prozent im zweiten Quartal gestiegen. Dies bedeute, dass etwa zwei Drittel der im zweiten Quartal gestoppten Bedrohungen durch KI-basierte Schutzmechanismen erkannt worden seien und nicht durch Verfahren, die die Datei selbst identifiziert hätten.

„Angreifer sind nicht weniger gefährlich, nur weil es weniger Warnmeldungen gibt. Sie nutzen jedes verfügbare Werkzeug, um selektiver und präziser vorzugehen“, sagt Corey Nachreiner, Chief Information Security Officer bei Watchguard. „Die jüngsten Erkenntnisse zeigen einen klaren Wandel. Wiederverwendbare Schadsoftware und aufmerksamkeitsheischende Scans großer Datenmengen treten in den Hintergrund. An ihre Stelle rücken maßgeschneiderte Malware für einzelne Systeme, unauffällige und individuell gestreute Scans sowie Zugriffe über gestohlene Zugangsdaten, mit denen sich die klassische Perimeterabwehr ganz unbemerkt umgehen lässt. Für Unternehmen und Managed Service Provider werden daher einheitliche Transparenz, TLS-Inspektion, KI-gestützte Erkennung, strenge Identitätskontrollen und eine durchgängige Reaktionsfähigkeit unverzichtbar.“

Acronis Cyberthreats Update

Web-Bedrohungen legen um 82 Prozent zu

Alte Sicherheitslücken und verschlüsselte Malware

Neben dieser wachsenden Kluft zwischen dem Angriffsvolumen und der Vielfalt der Schadsoftware, identifizierte Watchguard weitere Cybercrime-Trends. Angreifer würden zunehmend legitime Konten und Systemwerkzeuge nutzen, um an bestehenden Sicherheitsvorkehrungen vorbeizukommen. Die Anzahl der mit PowerShell in Verbindung stehenden Vorfälle sei stark zurück gegangen, während sich der Diebstahl von Zugangsdaten, das dauerhafte Einnisten im System, der Fernzugriff und das Umgehen von Schutzmechanismen als Leitthemen im Threat Hunting herauskristallisiert hätten.

Außerdem habe eine Vielzahl der beobachteten Netzwerkangriffe auf Sicherheitslücken gezielt, die bereits seit über einem Jahrzehnt bekannt seien. Allein der Anteil von SQL-Injection liege bei über 17 Prozent. Eine weitere Schwachstelle in der Verteidigung: Fast alle Malware komme verschlüsselt an, doch die wenigsten Firewalls würden in den verschlüsselten Datenverkehr schauen. Konkret würden 95 Prozent der Malware über TLS-Verbindungen ankommen, doch nur 20 Prozent der im Einsatz befindlichen Geräte hätten verschlüsselten Datenverkehr untersucht. Evasive Malware hätte knapp ein Drittel aller Erkennungen aus ausgemacht und 36 Prozent auf jenen Geräten, die verschlüsselten Verkehr inspizieren und fortschrittliche Malware-Abwehr eingesetzt hätten.

Zugleich konsolidiere sich das Ransomware-Ökosystem und ziehe gleichzeitig neue Akteure an. Gegenüber dem Vorjahreszeitraum hätten die Watchguard-Analysten 68 Prozent weniger Ransomware-basierte Vorfälle auf Endgeräten identifiziert, obwohl die öffentlich dokumentierten Erpressungsfälle Rekordniveau erreichten. Im ersten Halbjahr 2026 habe Watchguard 41 neue Ransomware-Gruppen verzeichnet. Auf die acht größten seien mehr als die Hälfte der knapp 5.000 öffentlichen Erpressungsfälle entfallen.

Das Fazit von Watchguard lautet, dass die Notwendigkeit mehrschichtiger Abwehrkonzepte steige. Dafür müssten Intrusion Prevention, fortschrittlicher Endpoint-Schutz, Identitätssicherheit und kontinuierliches Monitoring miteinabder verbunden werden. Sicherheitsteams und MSP sollten sich dem Sicherheitsexperten nach zudem dringend alten Schwachstellen und nicht mehr unterstützten Edge-Geräten widmen, Multifaktor-Authentifizierung und Zero-Trust-Zugriffskontrollen durchsetzen und neben dem reinen Alarmvolumen auch Reichweite und Vielfalt der Angriffe im Blick behalten.

Den Report können Sie hier herunterladen.

WatchGuard Internet Security Report 2HJ. 2025

Deutschland Platz drei bei Office-Exploits weltweit

(ID:50975055)