Die verheerendsten Ransomware-Angriffe der letzten Monate folgten einem besorgniserregend ähnlichen Muster. Dabei brauchte es weder Zero-Day-Exploits noch neuartige Schadsoftware-Varianten. Stattdessen verschafften sich die Täter mit erbeuteten Anmeldedaten und unkontrollierten Identitäten Zugang zu kritischen Systemen.
Eines der prominentesten aktuellen Beispiele dafür, wie verheerend Ransomware-Attacken enden können, kommt aus Großbritannien. Im September 2025 erlitt Jaguar Land Rover (JLR) den wirtschaftlich schädlichsten Cyberangriff in der britischen Geschichte. Der Schaden: fast vier Wochen Produktionsausfall in Werken weltweit, geschätzte Kosten von 1,9 Milliarden Pfund und Auswirkungen auf über 5.000 Unternehmen in der Lieferkette. Der Weg ins Netzwerk war dabei fast banal. Mithilfe von Infostealer-Malware erbeuteten die Täter Anmeldedaten. Darunter waren auch die eines Drittanbieters mit Zugriff auf das Jira-System von JLR. Einmal im System, bewegten sich die Hintermänner dann mit gültigen Konten lateral durch die gesamte IT-Landschaft und verteilten schließlich die Ransomware. So Thomas Müller-Martin, Field Strategist DACH bei Omada Identity.
Wenn Benutzername und Passwort zur Waffe werden
Nur wenige Monate zuvor traf es den britischen Einzelhandelskonzern Marks & Spencer, eines der bekanntesten Handelsunternehmen des Landes. Der Vorfall wird der Gruppe Scattered Spider zugeschrieben und begann mit Social Engineering beim IT-Service-Desk eines Drittanbieters. Die Täter gaben sich als Mitarbeiter aus, erhielten eine Passwortzurücksetzung und hatten innerhalb weniger Stunden hatten sie uneingeschränkten Zugang zu Unternehmensdaten. Infolgedessen gab es bei Marks & Spencer 46 Tage lang keine Möglichkeit, online zu bestellen. Dazu kamen rund 300 Millionen Pfund entgangener Gewinn und über eine Milliarde Pfund Marktwertverlust.
Dass dies keine Einzelfälle sind, bestätigt der 2025 Verizon Data Breach Investigations Report: Der Missbrauch von Anmeldedaten bleibt demnach der dominierende Angriffsvektor und tritt in 22 Prozent aller Sicherheitsverletzungen auf. Noch alarmierender: Die Beteiligung Dritter an solchen Vorfällen ist im Jahresvergleich von 15 auf 30 Prozent gestiegen.
Nicht-menschliche Identitäten fliegen oft unter dem Radar
Während Unternehmen ihre Governance-Frameworks überwiegend auf menschliche Nutzer ausrichten, bleiben nicht-menschliche Identitäten oft außen vor. Oft vergessen werden nämlich Dienstkonten, Synchronisierungskonten und automatisierte Credentials, die Systeme miteinander verbinden. Diese Konten verfügen häufig über weitreichende Privilegien, werden selten überprüft und funktionieren ohne Multi-Faktor-Authentifizierung.
Ein weiteres düsteres Beispiel liefert die von Microsoft entdeckte Ransomware-Gruppe Storm-0501. Nachdem die Täter in lokale Umgebungen eingedrungen waren, entdeckten sie ein Dienstkonto, das Identitäten zwischen On-Premises-Systemen und der Cloud synchronisierte. Das Konto hatte keinen menschlichen Eigentümer, verfügte über vollständige Administratorrechte für die gesamte Cloud-Umgebung und war nicht durch MFA geschützt. Mit legitimen Cloud-Verwaltungstools erbeuteten die Täter sensible Daten, löschten virtuelle Maschinen, Backups und Snapshots. Dann nahmen sie das gesamte Unternehmen als Geisel, indem sie dessen Cloud-Infrastruktur zerstörten.
Im Notfall kann fehlende Transparenz teuer sein
Allen diesen Vorfällen liegt ein strukturelles Problem zugrunde: Zugriff wird schneller gewährt als er geprüft wird. Wie schnell sich Berechtigungen unkontrolliert ansammeln, zeigt ein typisches Szenario: Ein Mitarbeiter startet im Marketingteam und erhält Zugriffsrechte für das Content-Management-System und Collaboration-Tools. Ein Jahr später wechselt er ins Produktmanagement, dann zum Vertrieb. All das ist nicht mal ein untypisches Beispiel für interne Jobrotation. Mit jedem Wechsel kommen neue Rechte hinzu und die alten bleiben bestehen. Die Marketing-Berechtigungen liegen in einem System, die Produktrechte in einem anderen, die Cloud-Rechte wiederum verteilen sich auf AWS, Azure und Google Cloud. Unterwegs haben alle Verantwortlichen den Überblick verloren, welche Rechte nun überhaupt vergeben worden sind. Wird ein solches Konto gekapert, erstreckt sich der Schaden über alle diese Systeme. Niemand kann dann schnell genug einschätzen, wie weit der Explosionsradius reicht.
Genau das machte allein die Reaktionszeit beim JLR-Beispiel so kostspielig. Ohne Einblick in die betroffenen Identitäten und deren Zugriffsbereiche war die einzige sichere Option, alles offline zu nehmen. Vier Wochen Stillstand, weil die zentrale Frage nicht beantwortet werden konnte: Wer hat Zugriff auf was?
Prävention durch Identity Governance
Identity Security setzt genau an dieser Stelle an. Sie aggregiert Identitätsdaten aus der gesamten Umgebung, von Verzeichnissen, über Cloud-Identitätsanbietern, HR-Systemen, bis hin zu SaaS-Anwendungen. Daraus kann sie dann eine einheitliche Ansicht erstellen und im Ernstfall die obige entscheidende Frage zu beantworten, wer gerade worauf Zugriff hat.
Auf dieser Transparenz bauen konkrete Schutzmaßnahmen auf. Automatisiertes Lebenszyklusmanagement schließt verwaiste Konten, sprich inaktive Konten mit (schlimmstenfalls) vielen Zugriffsrechten oder Privilegien, innerhalb von Minuten nach dem Ausscheiden eines Mitarbeiters. Der Anspruch von Sicherheitsverantwortlichen muss sein, dass sich diese Zeit in Minuten berechnet und nicht in Wochen. Zudem sollten Zugriffszertifizierungen angesammelte Rechte regelmäßig zur Überprüfung bringen. Besonders risikoreiche Kombinationen sollten in automatisierten Analysen hervorgehoben werden und die Aufmerksamkeit auf Konten lenken, die sofortige Limitierung erfordern.
Oft vergessene Governance-Regeln
Obendrein darf man einen Umstand nicht vergessen: Identitäten von Drittanbietern unterliegen denselben Governance-Regeln wie die von internen Mitarbeitern. Sie brauchen zeitlich begrenzten Zugriff mit klarer Zuständigkeit, minimale Rechte und den automatisierten Entzug selbiger nach Auftragsende. Hätte ein solches Framework bei JLR oder M&S bestanden, wäre womöglich der übernommene Drittanbieter-Zugang weder zeitlich unbegrenzt noch mit übermäßigen Privilegien ausgestattet gewesen.
Auch nicht-menschliche Identitäten gehören durch richtlinienbasierte Governance geregelt. Dazu gehören Maßnahmen wie die automatisierte Rotation von Credentials, Anomalieerkennung und klare Eigentümerschaft. In einer ordnungsgemäß verwalteten Umgebung wäre das Dienstkonto, das die Storm-0501-Angriffe ermöglichte, sofort als Hochrisiko-Berechtigung aufgefallen.
Weniger Angriffsfläche, weniger Schaden
Die Verringerung der Angriffsfläche für Identitäten ist die wirksamste Verteidigungslinie gegen Ransomware. Je weniger zu erbeutende Anmeldedaten es gibt, desto weniger Privilegien können missbraucht werden und desto geringer ist der Spielraum für laterale Bewegung durch die Netzwerkumgebung. Selbst ein erfolgreicher Diebstahl von Zugangsdaten führt dann nur zu begrenztem Schaden statt zu einer Katastrophe.
Doch Identity Security wirkt nicht nur präventiv. Wenn Angriffe dennoch stattfinden, bildet sie die Grundlage für schnelle Durchdringung der Situation und gezielte Reaktion. Dann braucht es auch keine wochenlange Notabschaltung. Unternehmen, die heute in umfassende Identity Security investieren, kennen ihre Angriffsfläche, wissen, wie weit sich eine Kompromittierung ausbreiten kann, und verfügen über die Kontrollen, um den Schaden zu begrenzen, bevor die ersten Anmeldedaten gestohlen werden.
Mehr bei OmadaIdentity.com
Über Omada Identity
Omada Identity ist ein führender Anbieter im Bereich Identity Security und Governance und unterstützt Unternehmen dabei, Risiken zu reduzieren, indem es den Zugriff für jede Identität, ob menschlich oder nicht-menschlich, sichert. Die Plattform von Omada Identity nutzt KI-gestützte Erkenntnisse und intelligente Automatisierung, um Effizienz, Compliance und Sicherheit zu verbessern. Mit einheitlicher Transparenz und kontinuierlicher Risikobewertung ermöglicht Omada Identity allen Sicherheitsteams, Bedrohungen schneller zu erkennen, Kontrollen zu stärken und Identitätssicherheit ohne zusätzliche Komplexität zu skalieren.
Passende Artikel zum Thema
Angriffsvektor Identität: Warum die verheerendsten Ransomware-Wellen 2026 ganz ohne Schadsoftware auskommen
Fachliche Einordnung Die Fachplattform B2BCS ordnet die aktuellen Analysen von Omada Identity als Beleg für einen fundamentalen Sicherheitsnotstand im Bereich des Identity and Access Management (IAM) ein. Cyberkriminelle verzichten bei modernen Infiltrationen zunehmend auf komplexe Schadsoftware oder Zero-Day-Exploits. Stattdessen nutzen sie die unkontrollierte Anhäufung von Berechtigungen (Privilege Creep) sowie ungesicherte Drittanbieter- und Service-Schnittstellen, um schlicht über legitime Logins einzusteigen. Identitäten sind damit zur primären Angriffsfläche im Enterprise-Sektor geworden.
Key-Takeaways
- Milliardenverlust durch banale Logins: Der verheerende Ransomware-Angriff auf Jaguar Land Rover im September 2025 legte weltweite Werke für vier Wochen lahm, betraf 5.000 Lieferketten-Partner und verursachte 1,9 Milliarden Pfund Schaden – initiiert rein über gestohlene Drittanbieter-Zugangsdaten für das interne Jira-System.
- Der Faktor Lieferkette explodiert: Laut dem Verizon Data Breach Investigations Report ist der Missbrauch von Anmeldedaten für 22 % aller Sicherheitsverletzungen verantwortlich. Drastisch verschärft hat sich dabei die Verwicklung von externen Dienstleistern, deren Anteil an Vorfällen sich im Jahresvergleich von 15 % auf 30 % verdoppelt hat.
- Der blinde Fleck „Nicht-menschliche Identitäten“: Automatisierte Dienstkonten, API-Verbindungen und Synchronisierungskonten fliegen oft unter dem Radar der IT-Governance. Die Gruppe Storm-0501 kapuerte ein solches, nicht per MFA geschütztes Cloud-Synchronisierungskonto mit vollen Admin-Rechten, um Backups, VMs und Snapshots eines Opfers komplett zu vernichten.
- Social Engineering hebelt Service-Desks aus: Der Fall des Einzelhändlers Marks & Spencer (Scattered Spider zugeschrieben) zeigt, wie Angreifer über Täuschung beim IT-Support eines Drittanbieters eine Passwortzurücksetzung erzwangen. Die Folge waren 46 Tage Online-Bestellausfall und über eine Milliarde Pfund Marktwertverlust.
- Explosionsradius durch mangelnde Transparenz: Interne Jobrotation führt dazu, dass Mitarbeiter alte Rechte bei Abteilungswechseln behalten. Das Fehlen einer zentralen Übersicht („Wer hat Zugriff auf was?“) zwingt Unternehmen im Ernstfall zu wochenlangen, pauschalen Notabschaltungen der gesamten Infrastruktur.
Strategische Analyse Für CISOs und IT-Leiter liefert diese Analyse die Erkenntnis, dass klassische Endpoint-Protection- und Antiviren-Programme machtlos sind, wenn der Angreifer den Vordereingang mit einem gültigen Schlüssel benutzt. Wie Thomas Müller-Martin von Omada Identity betont, liegt die eigentliche Verwundbarkeit moderner Hybrid-Cloud-Architekturen in der mangelnden Berechtigungshygiene. Wenn ein kompromittiertes Konto Zugriff auf AWS, Azure, Google Cloud und lokale Legacy-Systeme gleichzeitig besitzt, ist der Explosionsradius im Falle eines Identitätsdiebstahls unkontrollierbar. Identity Governance darf daher nicht mehr als reines Compliance-Abhaktool verstanden werden, sondern muss als Kernbestandteil der aktiven Cyber-Abwehr operieren.
Handlungsempfehlung: Unternehmen müssen ihre Identitäts-Infrastruktur umgehend nach den Prinzipien einer modernen Identity Governance and Administration (IGA) restrukturieren.
- Einbindung nicht-menschlicher Identitäten in die Governance: Dienstkonten (Service Accounts) und automatisierte Systemverbindungen dürfen nicht länger ohne menschlichen Eigentümer existieren. Sie müssen zwingend einer regelmäßigen, automatisierten Rotation von Credentials unterzogen und mittels Anomalieerkennung auf ungewöhnliche Zugriffszeiten oder -orte überwacht werden.
- Strikte Zero-Trust-Richtlinien für Drittanbieter: Externe Dienstleister, Zulieferer und Partner dürfen niemals dauerhafte oder unbeschränkte Zugangsrechte erhalten. Berechtigungen für Dritte müssen auf das absolute Minimum reduziert (Least Privilege), zeitlich strikt befristet (Just-in-Time Access) und nach Auftragsende vollautomatisiert entzogen werden.
- Automatisierung des Identitäts-Lebenszyklus: Führen Sie automatisierte Prozesse ein, die bei internen Jobwechseln oder dem Ausscheiden von Mitarbeitern verwaiste Rechte und Konten innerhalb von Minuten – statt Wochen – bereinigen. Durch regelmäßige, automatisierte Zugriffszertifizierungen muss der „Privilege Creep“ im Keim unterbunden werden.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200