Das ist nicht unser Administrator: Die blinden Flecken, die Angreifern Türen öffnen

Lehren aus rund 600.000 Sicherheitswarnungen, die von Barracuda Managed XDR analysiert wurden

Die wichtigsten Erkenntnisse

• Im Jahr 2025 wurden bei 90 % aller Ransomware-Angriffe Firewalls ausgenutzt – der schnellste bekannte Ransomware-Fall dauerte von der Sicherheitslücke bis zur Verschlüsselung nur drei Stunden.
• Die am häufigsten erkannte CVE-Schwachstelle stammt aus dem Jahr 2013, und 11 % der erkannten Schwachstellen verfügen über einen bekannten Exploit.
• Barracuda veröffentlicht den Managed XDR Global Threat Report.

Cyberangriffe erfolgen heimlich. Sie schleichen sich in Netzwerke ein und suchen nach Lücken, Fehlern und Versäumnissen: ein einzelnes unbefugtes Gerät, ein Konto, das beim Ausscheiden eines Mitarbeiters nicht deaktiviert wurde, eine inaktive Anwendung, die nicht aktualisiert wurde oder eine versehentlich deaktivierte Sicherheitsfunktion. Sie versuchen, Mitarbeiter zu täuschen und ihre Identität zu stehlen, legitime IT-Tools auszunutzen und privilegierten Zugriffsgruppen beizutreten. Ein Großteil davon sieht wie alltägliche IT-Aktivitäten aus.

Für Unternehmen und ihre Sicherheitsteams – insbesondere, wenn diese „Teams“ nur aus einem einzigen IT-Experten bestehen – stellt dies eine immense Sicherheitsherausforderung dar. Mit begrenzten Ressourcen und einem Stack fragmentierter Security-Tools müssen sie Identitäten, Assets und Daten vor Angriffen schützen, die sich innerhalb weniger Stunden entfalten oder monatelang im Netzwerk lauern können.

Wie Angreifer Unternehmen ins Visier nehmen und welche Sicherheitslücken das Risiko erhöhen

Der neue Barracuda Managed XDR Global Threat Report hebt die Taktiken hervor, die Angreifer in den letzten 12 Monaten angewandt haben – und die Sicherheitslücken, die Unternehmen Risiken aussetzen.

Die Bedrohungen sind real, nicht theoretisch. Sie stammen aus einem einzigartigen, realen Datensatz von mehr als zwei Billionen IT-Ereignissen, die im Jahr 2025 erfasst wurden, darunter rund 600.000 Sicherheitswarnungen und etwa 300.000 geschützte Endpunkte, Firewalls, Server, Cloud-Ressourcen und mehr. Die Daten werden durch Zusammenfassungen von Vorfällen und praktische Schritte ergänzt, wie man sicher und cyberresilient bleibt. 

Der Bericht soll IT- und Sicherheitsexperten in ressourcenbeschränkten Unternehmen dabei helfen, besser zu verstehen, wie Angreifer potenzielle Opfer ins Visier nehmen und welche Sicherheitslücken sie auszunutzen versuchen.

Wer loggt sich wirklich ein, nutzt ein Tool, tritt einer Gruppe bei?

Die Ergebnisse zeigen, wie Angreifer legitime IT-Tools wie Fernzugriffssoftware ausnutzen und ungeschützte oder bösartige Geräte nutzen. Sie weisen auch auf die Risiken veralteter Verschlüsselung, deaktivierter Endpunkt-Security und mehr hin und warnen vor ungewöhnlichem Anmelde- oder privilegiertem Zugriffsverhalten.

Zentrale Ergebnisse

• 90 % der Ransomware-Angriffe nutzten Firewalls über eine CVE (eine klassifizierte Software-Schwachstelle) oder ein anfälliges Konto aus. Angreifer können dies nutzen, um Zugang und Kontrolle über das Netzwerk zu erlangen und seinen Schutz zu umgehen, indem sie bösartigen Datenverkehr und Aktivitäten verbergen.
• Der schnellste beobachtete Ransomware-Fall betraf Akira-Ransomware und dauerte nur drei Stunden von der Verletzung bis zur Verschlüsselung. Bei solch knappen Zeitvorgaben haben die Verteidiger nur wenig Gelegenheit, den Angriff zu entdecken und darauf zu reagieren.
• Eine von zehn erkannten Schwachstellen hatte einen bekannten Exploit. Angreifer nutzen aktiv Softwarefehler aus, oft in der Lieferkette – und die Bedeutung der Identifizierung und Behebung ungepatchter Software kann nicht genug betont werden.
• Die am weitesten verbreitete Schwachstelle stammt aus dem Jahr 2013. CVE-2013-2566 ist ein Fehler in einem veralteten Verschlüsselungsalgorithmus, der in Altsystemen wie alten Servern oder eingebetteten Geräten oder Anwendungen zu finden ist.
• 96 % der Vorfälle, die laterale Bewegungen beinhalteten, endeten mit der Freisetzung von Ransomware. Laterale Bewegung ist der Moment, in dem Angreifer, die auf einem ungeschützten Endpunkt lauern, aus der Deckung kommen, und stellt das größte Warnsignal eines sich entwickelnden Ransomware-Angriffs dar.
• 66 % der Vorfälle betrafen die Lieferkette oder Dritte (gegenüber 45 % im Jahr 2024), da Angreifer Schwachstellen in Drittanbietersoftware ausnutzen, um Abwehrmechanismen zu durchbrechen und ihre Reichweite zu vergrößern.

Erwarten Sie das Unerwartete

Der Bericht zeigt, dass es bei Cyberangriffen keine allgemeingültige Lösung gibt.  Angreifer sind opportunistisch, und „Kill Chains“ verlaufen selten, wenn überhaupt, linear und ordentlich.

Ransomware-Angriffe sind ein hervorragendes Beispiel. Laut den Erkennungs- und Vorfalldaten von Barracuda Managed XDR dauerten die schnellsten Ransomware-Angriffe im Jahr 2025 nur wenige Stunden, während die längsten Monate dauerten. Langwierige Eindringversuche ermöglichen maximalen Schaden, und Vorfälle, die sich blitzschnell bewegen, können schwieriger zu erkennen und einzudämmen sein, bevor sie ausgeführt werden.

Integrierter Schutz

Wenn nicht gehandelt wird, kann ein einzelnes Warnsignal schnell zu einem großflächigen Vorfall werden, der den Betrieb stört, die Produktivität verringert, sensible Daten gefährdet und die finanzielle Stabilität und den Ruf der Marke schädigt.

Unternehmen benötigen eine einheitliche Security-Strategie, die fortschrittliche, KI-gestützte Erkennungstechnologien mit einem vollständig autonomen SOC integriert und durch Nutzer-Schulung, automatisierte Reaktion auf Bedrohungen und eine widerstandsfähige Security-Kultur ergänzt wird.

Schnelle Gewinne zur Stärkung des Schutzes werden im gesamten Bericht beschrieben. Sie umfassen eine konsistente Multifaktor-Authentifizierung und Zugriffskontrollen, einen robusten Ansatz für Patch-Management und Datenschutz sowie regelmäßige Schulungen zur Cybersicherheitsaufklärung für Mitarbeitende. 

Dies sollte durch eine umfassende, verwaltete Security-Plattform und eine 24/7 verwaltete XDR-Lösung unterstützt werden, die Netzwerk-, Endpunkt-, Server-, Cloud- und E-Mail-Sicherheit integriert – und so vollständige End-to-End-Transparenz und Managementkontrolle bietet, unterstützt durch ein vollständig autonomes SOC.

Für weitere Ergebnisse und Einblicke lesen Sie hier den Bericht.