Die Zahlen werden nicht freundlicher
IBMs Bericht über die Kosten von Datenverletzungen 2026 beziffert die durchschnittlichen globalen Kosten auf 4,88 Millionen US-Dollar — ein Anstieg von 10 % gegenüber vor zwei Jahren und der höchste jemals gemessene Wert. Der ENISA-Bedrohungslagebericht dokumentierte in einem Zwölf-Monats-Zeitraum über 700 bedeutende Cybervorfälle in EU-Mitgliedstaaten. Mandiants M-Trends 2026 gibt die mittlere Verweildauer von Angreifern bei intern entdeckten Einbrüchen mit 11 Tagen an — aber ernüchternde 23 Tage, wenn das Opfer von einem Dritten informiert werden musste.
Diese Zahlen sind keine abstrakten Statistiken. Sie spiegeln ein grundlegend anderes Betriebsumfeld wider, als die meisten Sicherheitsprogramme ursprünglich für ausgelegt wurden. Die Cyber-Bedrohungslandschaft hat sich von opportunistischen Massenangriffe hin zu gezielten, mehrstufigen Kampagnen verschoben, die spezifische Kronjuwelen angreifen.
Was bedeutet 'Bedrohungslandschaft' eigentlich?
Der Begriff Bedrohungslandschaft wird je nach Kontext unterschiedlich verwendet. In der Praxis bezeichnet er die Gesamtheit der Bedrohungen, Bedrohungsakteure und Angriffstechniken, die zu einem bestimmten Zeitpunkt für eine spezifische Umgebung aktiv und relevant sind. Die Bedrohungslandschaft eines europäischen Finanzdienstleisters mit hybridem Cloud-Betrieb sieht 2026 ganz anders aus als die eines mittelständischen US-Herstellers.
Das ENISA-Framework analysiert Bedrohungen entlang drei Achsen: Bedrohungsakteure (staatliche Gruppen, kriminelle Organisationen, Hacktivisten, Insider), Angriffstechniken (nach MITRE ATT&CK) und betroffene Sektoren (Energie, Finanzen, Gesundheit, Transport, öffentliche Verwaltung).
Dominante Bedrohungen 2026
Ransomware entwickelt sich weiter
Ransomware machte 32 % aller finanziell motivierten Angriffe im aktuellen ENISA-Bericht aus. Das Ransomware-as-a-Service-Modell hat die Angriffs-Infrastruktur so weit standardisiert, dass Angreifer fast kein technisches Fachwissen benötigen. Doppelte und dreifache Erpressung ist mittlerweile Standard: Daten verschlüsseln, mit Veröffentlichung drohen, dann Kunden oder Partner des Opfers direkt angreifen. Die durchschnittliche Lösegeldforderung für Unternehmensangriffe überstieg 2026 laut Covewares Q2-Bericht 3,2 Millionen US-Dollar.
KI-gestützte Angriffe: Realität, kein Hype
2026 ist das erste Jahr, in dem KI-unterstützte Angriffswerkzeuge nachweislich im großen Maßstab eingesetzt werden. Mit LLMs erstellte Phishing-E-Mails erzielen in Red-Team-Übungen regelmäßig Klickraten über 85 %. Stimmklonen kombiniert mit Caller-ID-Spoofing hat zu mehreren hochkarätigen Business-Email-Compromise-Vorfällen geführt.
Supply-Chain-Angriffe
Seit dem XZ Utils Backdoor-Vorfall 2024 gehört Supply-Chain-Kompromittierung zu den drei häufigsten initialen Zugangsvektoren laut Mandiant. Angreifer, die auf Software-Build-Pipelines und CI/CD-Systeme abzielen, erreichen außerordentliche Hebelwirkung. Deshalb sind statische Anwendungssicherheitstests und automatisiertes Container-Image-Scanning keine Option mehr, sondern Pflicht.
Cloud-Fehlkonfigurationen: Weiterhin der häufigste Angriffsvektor
Zum vierten Mal in Folge waren falsch konfigurierte Cloud-Ressourcen die häufigste Ursache cloud-bezogener Datenverletzungen. Effektive Cloud-Sicherheit erfordert kontinuierliches Posture-Management. Cloud Security Posture Management (CSPM) bietet genau das: kontinuierliche, richtliniengesteuerte Sichtbarkeit über Multi-Cloud-Umgebungen.
Der ENISA-Bedrohungslagebericht 2026: Kernaussagen
Der ENISA-Bericht 2026 identifiziert acht prioritäre Bedrohungskategorien: Ransomware, Malware, Social Engineering, Datenbedrohen, Verfügbarkeitsbedrohen (DDoS), Supply-Chain-Angriffe, Informationsmanipulation und Bedrohungen gegen KI-Systeme. Die letzte Kategorie ist neu und spiegelt den Aufstieg adversarieller Angriffe auf maschinelle Lernmodelle wider — Datenvergiftung, Model Inversion, Prompt-Injection.
Für Teams, die ihre KI-Exposition verstehen wollen, bietet KI-Sicherheitsposture-Management (AI-SPM) die notwendige Transparenzschicht.
Angriffstechniken: MITRE ATT&CK in der Praxis
Die häufigsten initialen Zugriffstechniken 2026: Missbrauch gültiger Konten (T1078), Phishing (T1566), Ausnutzung öffentlich zugänglicher Anwendungen (T1190) und Supply-Chain-Kompromittierung (T1195). Hartcodierte Anmeldeinformationen in Quellcode und CI/CD-Pipelines sind eine besonders unterschätzte Angriffsfläche; Secret-Detection-Werkzeuge sollten jeden Commit scannen.
Schwachstellenausbeutung: EPSS-Scores sind wichtiger als CVSS
Jährlich werden mehr als 30.000 neue CVEs veröffentlicht. Teams, die Schwachstellen effektiv priorisieren, nutzen EPSS-Scores in Kombination mit CVSS und der Geschäftskritikalität ihrer Assets. Vulnerability-Management-Programme, die EPSS noch nicht integriert haben, verschenken wertvolle Signale.
Was Sicherheitsteams jetzt tun sollten
Die Bedrohungslandschaft 2026 ist komplexer, auf Angreiferseite besser finanziert und stärker an geopolitische Dynamiken gekoppelt als je zuvor. Ransomware hat sich professionalisiert. KI ist nachweisbar in das offensive Toolkit eingeflossen. Supply-Chain-Risiken sind struktureller Natur. Cloud-Fehlkonfigurationen bleiben der einfachste Angriffspunkt für Angreifer. Organisationen, die damit gut umgehen, geben nicht unbedingt mehr aus — sie geben klüger aus: kontinuierliches Posture-Management, automatisierte Richtliniendurchsetzung, EPSS-gesteuerte Triage und Identity-first-Sicherheit.