Eine Analyse zeigt, dass viele Unternehmen Cybervorfälle oft erst viel zu spät entdecken. Schädliche Aktivitäten bleiben teilweise monatelang unbemerkt. Besonders schwerwiegende Cybervorfälle werden erst nach mehr als einem Vierteljahr erkannt. Unzuverlässige Warnmeldungen, kompromittierte Backups und interne Kommunikationsprobleme erschweren die Erkennung.
Sicherheitsmaßnahmen sind häufig reaktiv ausgerichtet, Monitoring-Tools werden nicht konsequent geprüft und operative Abläufe weisen Lücken auf. Das führt dazu, dass Unternehmen Cybervorfälle häufig viel zu spät erkennen. Eine aktuelle Kaspersky-Analyse untersuchter Sicherheitsvorfälle zeigt, dass schädliche Aktivitäten in 31 Prozent der analysierten Fälle bereits vor der Entdeckung länger als drei Monate aktiv waren. Dabei blieben oft auch schwerwiegende Vorfälle – worunter zum Beispiel auch manuell ausgeführte Attacken oder Malware mit Auswirkungen auf Systeme fallen – lange unentdeckt: Mehr als die Hälfte (52 Prozent) wurde erst nach mehr als 90 Tagen aufgespürt; der älteste im Untersuchungszeitraum identifizierte Vorfall blieb sogar vier Jahre lang unentdeckt.
Sicherheits-Tools warnen bei Cybervorfällen nicht immer zuverlässig
Technische Kontrollmechanismen allein reichen dabei nicht aus, um Kompromittierungen zuverlässig festzustellen. So wurden 20 Prozent der Cybervorfälle manuell identifiziert. Gleichzeitig blieben 60 Prozent der Vorfälle zunächst unentdeckt, weil vorhandene Tools keine Warnmeldungen mit hoher Vertrauenswürdigkeit ausgaben.
Ein weiteres Risiko stellen Backup-Systeme dar. Laut Analyse befanden sich 40 Prozent der Webshells, schädlichen Skripte oder Programme, die Angreifern Fernzugriff ermöglichen, unentdeckt in Backups. In solchen Szenarien besteht die Gefahr, dass Schadcode nach ersten Incident-Response-Maßnahmen unbeabsichtigt wieder erneut hergestellt wird.
Auch Kommunikationsmängel tragen zum Risiko bei
Neben technischen Defiziten stellten die Kaspersky-Experten auch organisatorische Schwachstellen fest. In 32 Prozent der untersuchten Fälle zeigten sich interne Kommunikationsprobleme, wie etwa unklare Bestätigungen über umgesetzte Maßnahmen oder Wissensverluste durch Personalwechsel.
„Unternehmen sind nicht nur externen Risiken ausgesetzt, sondern auch Herausforderungen innerhalb ihrer eigenen Infrastruktur“, fasst Amged Wageh, Experte bei Kaspersky Compromise Assessment, die Ergebnisse der Analyse zusammen. „Anzeichen von Cybervorfällen sind nicht immer offensichtlich. Proaktive Sicherheitsaudits erhöhen die Wahrscheinlichkeit, solche Vorfälle aufzudecken. Regelmäßige, unabhängige Compromise Assessments können die Wahrscheinlichkeit unerwarteter schwerwiegender Sicherheitsvorfälle reduzieren und die gesamte Risikosituation verbessern.“
Kaspersky-Empfehlungen zur Optimierung der Erkennung und Reaktion auf Cybervorfälle
- Regelmäßig einen Health Check der Detection Engines durchführen und dabei insbesondere Telemetriequalität sowie Relevanz der Erkennungsregeln bewerten.
- Low-Confidence-Alerts durch ein dediziertes Tier-1-Team nach einem festen Zeitplan prüfen lassen, um frühe Anzeichen einer Kompromittierung zu erkennen.
- Eine robuste 24/7-Überwachung durch Threat-Hunting-Fähigkeiten ergänzen, die Baselines, schwache Signale und neue Angriffstechniken berücksichtigen.
- Patching-Prozesse und die Aktivierung relevanter Audit Logs für alle kritischen Assets kontinuierlich überprüfen.
- Mitarbeiterschulungen, beispielsweise über die Kaspersky Automaten Security Awareness Platform, anbieten, die den Abfluss von Zugangsdaten über private Geräte sowie sichere BYOD-Praktiken beinhalten.
- Regelmäßige Tabletop-Übungen helfen, technische Playbooks, Teamfähigkeiten und Kommunikationswege realitätsnah zu testen.
Über Kaspersky Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Cybervorfälle: Sicherheitslücken bleiben zu lange unentdeckt
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die aktuelle Incident-Response-Analyse von Kaspersky als alarmierenden Lagebericht für die IT-Sicherheit im September 2026 ein. Die Untersuchung zeigt gravierende Schwachstellen in der Verweildauer (Dwell Time) von Angreifern auf: In fast einem Drittel aller analysierten Fälle bleiben schädliche Aktivitäten länger als drei Monate unbemerkt, bei schwerwiegenden Zwischenfällen sogar in 52 Prozent der Fälle. Wie Amged Wageh (Experte bei Kaspersky Compromise Assessment) herausstellt, sind reaktive Sicherheitsansätze und mangelnde Warnqualität der Hauptgrund dafür, dass Cyberkriminelle über Monate oder gar Jahre ungestört in Infrastrukturen agieren können.
Key-Takeaways
- Extrem lange Dwell Time: In 31 % der Fälle waren Angreifer vor der Entdeckung mehr als 90 Tage im Netz; bei schwerwiegenden Vorfällen liegt dieser Wert sogar bei 52 %. Der Extremwert lag bei vier Jahren.
- Mangelhafte Alert-Qualität: 60 % der Vorfälle blieben zunächst unentdeckt, weil bestehende Security-Tools keine High-Confidence-Alerts ausgaben. 20 % wurden erst rein manuell identifiziert.
- Gefährliche Backup-Kontamination: In 40 % der Fälle befanden sich Webshells oder schädliche Skripte in den Backups, was ein hohes Risiko für die Re-Infektion nach Wiederherstellungsmaßnahmen darstellt.
- Organisatorische Kommunikationsdefizite: Bei 32 % der Zwischenfälle führten interne Abstimmungsprobleme, unklare Maßnahmenbestätigungen oder Wissensverluste durch Personalfluktuation zu Verzögerungen.
- Notwendigkeit proaktiver Assessments: Kaspersky empfiehlt den Übergang von rein reaktiver Überwachung zu regelmäßigen Compromise Assessments und proaktivem Threat Hunting.
Strategische Analyse
Die Kaspersky-Studie bringt die Schwachpunkte moderner Security Operations Center (SOC) im Jahr 2026 auf den Punkt: Unternehmen ersticken oft in Low-Confidence-Alerts, während echte Kompromittierungen im Hintergrund unangetastet bleiben. Besonders brisant ist die hohe Verseuchungsquote von Backup-Systemen mit Webshells. Stellen Unternehmen Systeme nach einer Attacke aus infizierten Backups wieder her, hebeln sie ihre eigenen Incident-Response-Erfolge sofort wieder aus. Für CISOs wird es daher zur Überlebensfrage, Backup-Infrastrukturen isoliert auf Persistenzmechanismen zu scannen und das SOC durch Threat-Hunting-Kapazitäten zu erweitern.
Handlungsempfehlung:
Sicherheitsverantwortliche und SOC-Leiter sollten folgende Schritte ergreifen, um die Verweildauer von Angreifern drastisch zu reduzieren:
- Detection-Engine Health Checks durchführen: Überprüfen Sie regelmäßig die Telemetriequalität und Relevanz Ihrer SIEM/EDR-Regeln, um den Anteil verlässlicher Warnmeldungen zu erhöhen.
- Proaktives Threat Hunting etablieren: Suchen Sie aktiv nach schwachen Signalen, verhaltensbasierten Anomalien und unentdeckten Webshells, anstatt sich rein auf automatisierte Alarmierungen zu verlassen.
- Backups auf Persistenzmechanismen scannen: Unterziehen Sie Sicherungsdateien vor und während der Wiederherstellung gründlichen Audits, um versteckte Webshells und Backdoors zu eliminieren.
- Alert-Triage & Kommunikationsprozesse strukturieren: Etablieren Sie dedizierte Tier-1-Prozesse zur Bearbeitung von Low-Confidence-Alerts und testen Sie Notfall-Kommunikationswege im Rahmen von Tabletop-Übungen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200