Staatlich unterstützte Hacker teilen systematisch gehackte Netzwerkzugänge. Cyberangriffe erreichen durch die neue Arbeitsteilung „Maschinengeschwindigkeit“. Das belegt der Jahresbericht zu staatlich unterstützten Cyberangriffen (Advanced Persistent Threats / APTs). Eine fundamentale Veränderung in der Bedrohungslandschaft: Angreifergruppen aus China, Russland und Nordkoreateilen teilen systematisch Zugänge zu kompromittierten Infrastrukturen, setzen KI-gestützte Malware ein und dringend immer häufiger über Edge-Geräte in die Netzwerke ihrer Opfer ein.
Der Report „Nation-Aligned APTs in 2025” analysiert die Aktivitäten staatlich unterstützter Hackergruppen aus China, Russland und Nordkorea im Jahr 2025 und identifiziert vier zentrale Entwicklungen, die das strategische Umfeld für Unternehmen und Behörden grundlegend verändern.
Premier Pass-as-a-Service: Arbeitsteilung unter staatlichen Hackern
TrendAI beobachtet erstmals systematisch ein Modell, bei dem APT-Gruppen Zugänge zu kompromittierten Netzwerken wie einen „Priority Pass” untereinander weitergeben. Eine spezialisierte Gruppe verschafft sich initialen Zugang, andere übernehmen anschließend Spionage, Datendiebstahl oder Sabotage, ohne den Einbruch selbst durchführen zu müssen. Diese Arbeitsteilung beschleunigt Angriffe erheblich und erschwert die Zuordnung zu einzelnen Akteuren. So wurden etwa die China-verbundenen Gruppen Earth Estries (auch bekannt als Salt Typhoon) und Earth Naga in denselben Netzwerksitzungen aktiv, was ein klarer Hinweis auf koordinierte Zusammenarbeit ist.
KI-gestützte Angriffsketten: Von Hilfswerkzeug zu autonomen Agenten
2025 markiert den ersten praktischen Einsatz großer Sprachmodelle (LLMs) in aktiver Malware. Die Russland-verbundene Gruppe Pawn Storm (APT28) setzte die Malware LAMEHUG ein, die Befehle dynamisch über LLMs generiert. Weitere Gruppen nutzen KI für automatisierte Aufklärung und Zielerkennung. Angreifer setzen KI nicht länger nur als Unterstützung ein, sondern entwickeln autonome „AI Agents“, die sich in Echtzeit an Verteidigungsmaßnahmen anpassen können. TrendAI erwartet, dass die nächsten 24 Monate zu einem „Wettlauf um Resilienz auf Maschinengeschwindigkeit“ werden.
„Staatlich unterstützte Cyberaktivitäten werden zunehmend industrialisiert”, sagt Feike Hacquebord, Principal Threat Researcher bei TrendAI. „Bedrohungsgruppen spezialisieren sich auf einzelne Phasen der Angriffskette und teilen anschließend den Zugang zu kompromittierten Netzwerken, sodass andere Akteure direkt mit Spionage oder Sabotage beginnen können. Wird dieses Modell zusätzlich mit KI-gestützter Aufklärung und der automatisierten Suche nach Schwachstellen kombiniert, verkürzt sich die Zeit für die Durchführung komplexer Kampagnen drastisch.“
Supply Chain und Edge-Dominanz: Angriffe auf Lieferketten und Randinfrastruktur
Die Ausnutzung von Schwachstellen in Edge-Infrastruktur und Angriffe über Entwickler-Ökosysteme (z. B. gefälschte Job-Angebote der nordkoreanischen Gruppe Void Dokkaebi) hat sich zur bevorzugten Route für langfristige, schwer erkennbare Persistenz entwickelt. Ein Beispiel: Angreifer versuchten, den Server eines taiwanesischen Softwareanbieters, mit potenziellem Zugriff auf die gesamte Lieferkette der Hightech-Fertigung, als Malware-Verteilpunkt zu nutzen.
Geopolitische Kopplung: Cyberangriffe als Begleitung militärischer Konflikte
Cyberoperationen sind heute eng mit geopolitischen Ereignissen und militärischen Operationen verzahnt. Der Report dokumentiert Angriffe auf Logistik- und Infrastrukturketten im Kontext der Unterstützung der Ukraine, Sabotage-Attacken auf Energie- und Verkehrsnetze sowie Spionagekampagnen, die zeitgleich mit diplomatischen Verhandlungen stattfinden. Nordkoreas Drohnenaufklärung in der Ukraine erfolgte parallel zu Cyberkampagnen. Diese Synchronisierung zeigt, dass Cyberraum und physische Kriegsführung zunehmend verschmelzen.
Handlungsempfehlungen für Unternehmen
Der Report zeigt, dass das größte Risiko nicht in einem sprunghaften Anstieg der Angreifer-Fähigkeiten liegt, sondern in der Normalisierung KI-gestützter Cyberattacken. TrendAI empfiehlt Unternehmen deswegen, APT-Angriffe in ihre Sicherheitsstrategien fest einzubeziehen. Zentral sind:
- Integration von Supply-Chain-Risikomanagement und kontinuierliche Überprüfung von Zulieferern und Dienstleistern
- Etablierung schneller Erkennungs- und Eindämmungsmechanismen für KI-beschleunigte Angriffe
- Verstärkter Informationsaustausch mit Behörden und Branchenpartnern
- Einsatz von „Defensive AI´“ zur Antizipation und Neutralisierung autonomer Bedrohungen
- Regelmäßige Incident-Response-Übungen und Red-Team-Tests unter Einbeziehung von APT-Szenarien
Betroffene Branchen
Die häufigsten Ziele staatlich unterstützter Angriffe waren 2025 Regierungsbehörden und Technologieunternehmen, gefolgt von kritischer Infrastruktur (Energie, Transport, Logistik), Fertigung und Finanzdienstleistern.
Mehr bei TrendMicro.com
Über TrendAI TrendAI, ein Geschäftsbereich von Trend Micro und einer der weltweit führenden Anbieter von KI-Sicherheit, unterstützt Unternehmen dabei, Innovationen mutig voranzutreiben, indem er KI, Cloud-Umgebungen, Netzwerke, Endpunkte und Daten über die moderne Angriffsfläche hinweg absichert. Im Zentrum steht TrendAI Vision One™, eine einheitliche Cybersicherheitsplattform, die das Management von Cyberrisiken und Sicherheitsoperationen zentralisiert, um den gesamten KI-Lebenszyklus von der Infrastruktur über Modelle bis hin zu den Nutzern zu schützen. In diese Plattform fließen weltweit einzigartige Threat Intelligence und Forschungsergebnisse ein, die dabei helfen, Unternehmen vor Hunderten Millionen von Bedrohungen täglich zu schützen. Mit 6.000 TrendAI™ Experten in 75 Ländern versetzt TrendAI™ Sicherheitsverantwortliche in die Lage, Bedrohungen voraus zu sein und proaktive Sicherheit über die gesamte Angriffsoberfläche voranzutreiben. Dazu zählen kritische Umgebungen wie AWS, Google, Microsoft und NVIDIA. AI Fearlessly.
Passende Artikel zum Thema
Headline: Industrialisierte Spionage – APT-Allianz aus China, Russland und Nordkorea teilt gehackte Zugänge
Fachliche Einordnung: Die Plattform B2BCS analysiert den Jahresbericht „Nation-Aligned APTs in 2025“ von Trend Micro (TrendAI), der eine fundamentale Verschiebung in der staatlich gelenkten Cyberkriminalität dokumentiert. Angreifergruppen agieren nicht mehr als isolierte Akteure, sondern in einer hochgradig arbeitsteiligen „Industrialisierung“. Laut der bei B2BCS zitierten Expertise von Feike Hacquebord (Trend Micro) hat sich ein Modell etabliert, bei dem spezialisierte Gruppen den Erstzugang (Initial Access) schaffen und diesen wie einen „Priority Pass“ an andere staatliche Akteure für Spionage oder Sabotage weiterreichen.
Key-Takeaways:
- Premier Pass-as-a-Service: Erstmals wird eine systematische Kooperation zwischen Gruppen wie Salt Typhoon (China) und russischen oder nordkoreanischen Akteuren beobachtet, die kompromittierte Infrastrukturen untereinander teilen.
- KI-Autonomie (LAMEHUG): Die Gruppe Pawn Storm (APT28) setzt mit der Malware LAMEHUG erstmals LLMs ein, um Angriffsbefehle dynamisch und in Echtzeit zu generieren – ein Schritt hin zu autonomen „AI Agents“.
- Fokus auf Edge & Supply Chain: Angriffe auf Randinfrastrukturen (Edge-Gateways) und Entwickler-Ökosysteme (z. B. via Fake-Jobs durch Void Dokkaebi) dienen als unauffällige Eintrittspforten für langfristige Persistenz.
- Geopolitische Synchronisation: Cyberangriffe werden 2026 unmittelbar mit militärischen Bewegungen oder diplomatischen Verhandlungen koordiniert, insbesondere im Kontext des Ukraine-Konflikts und der Hightech-Fertigung in Taiwan.
- Maschinengeschwindigkeit: Die Kombination aus geteilten Zugängen und KI-gestützter Aufklärung verkürzt die Zeitspanne zwischen Einbruch und Datenexfiltration massiv.
Strategische Analyse: Die Ära der „einsamen Hacker-Wölfe“ ist endgültig vorbei. Wir erleben die Entstehung eines staatlich gestützten Ökosystems, das Synergien nutzt, um die Verteidigung bei „Maschinengeschwindigkeit“ zu überrennen. Für Unternehmen bedeutet dies, dass APT-Szenarien kein Randthema mehr sind, sondern fester Bestandteil des Risikomanagements sein müssen. Defensive KI ist künftig die einzige Antwort auf autonome, KI-gesteuerte Angriffsketten. Nur wer die eigene Lieferkette und Edge-Infrastruktur so streng überwacht wie das Kernnetzwerk, kann in diesem Umfeld bestehen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200