Cyberkriminelle verändern ihre Vorgehensweise grundlegend: Statt Sicherheitslücken auszunutzen, setzen viele Angreifer inzwischen auf gestohlene Zugangsdaten und kompromittierte Identitäten. Infostealer-Malware, Phishing und Angriffe auf Cloud-Integrationen treiben diese Entwicklung voran und ermöglichen es selbst wenig erfahrenen Tätern, Unternehmensnetzwerke unbemerkt zu kompromittieren.
Der Threat Intelligence Report des ATO (Advanced Threat Operations)-Teams von Ontinue zeigt, dass Angriffe auf digitale Identitäten bei Sicherheitsuntersuchungen mittlerweile dominieren. Zu den typischen Arten von Cyberattacken gehören AiTM (Adversary in the Middle)-Angriffe, Passwort-Spraying sowie das Suchen und anschließende Ausnutzen von unbeabsichtigt veröffentlichten Secrets wie Client-Passwörter. Cyberkriminelle nutzen die auf diese Weise gekaperten Zugangsdaten, um direkt auf Cloud-Umgebungen und interne Unternehmenssysteme zuzugreifen, anstatt Schwachstellen in Software auszunutzen. In diesem Zusammenhang spielen Infostealer eine zentrale Rolle: Malware-Familien wie LummaC2 sammeln Passwörter im Browser, Cookies und Authentifizierungs-Tokens von infizierten Systemen.
Die gestohlenen Zugangsdaten fassen die Tools überdies zu „Logs“ zusammen, die dann den Weg auf Verkaufsplattformen im Darknet finden. Auf diese Weise erhalten auch Cyberkriminelle ohne Hacking-Erfahrung auf einfachste Weise Zugangsdaten zu Unternehmensumgebungen. Laut dem aktuellem Threat Intelligence Report ist die Anzahl von Listen gestohlener Zugangsdaten, die sich auf einen Missbrauch durch LummaC2-Malware zurückführen lassen, um 72 % gestiegen. Schon ein einziger gestohlener Zugang zu internen Unternehmensumgebungen kann pro Konto Tausende von Euro einbringen. Somit ist der Diebstahl von Zugangsdaten derzeit einer der profitabelsten Hacks.
Ransomware bleibt eine erhebliche Bedrohung, GenAI-Einsatz steigt
Trotz eines moderaten Rückgangs nachweisbarer Ransomware-Zahlungen von rund 770 Mio. Euro in 2024 auf 708 Mio. Euro in 2025, steigt die Anzahl der Angriffe weiter. Das ATO-Team von Ontinue zählt über 7.000 weltweit gemeldete Ransomware-Vorfälle in 2025, die mehr als 120 aktive Ransomware-Gruppen in unterschiedlichen Branchen lancierten. Für ihre aktuellen Ransomware-Kampagnen kombinieren Cyberkriminelle zunehmend mehrere Druckmittel, wie die Analysten herausfanden. Zum Repertoire der Hacker gehören Datendiebstahl, Betriebsstörungen, DDoS (Distributed Denial of Service)-Angriffe wie auch die direkte Einschüchterung von Mitarbeitenden oder Kunden von Zielunternehmen. Diese Taktiken bezeichnen Experten als Double-, Triple- oder sogar Quadruple-Extortion.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenDer neue Threat Intelligence Report zeigt überdies erste Anzeichen dafür, dass Bedrohungsakteure generative KI (GenAI) nutzen, um die Entwicklung bösartiger Tools zu beschleunigen. Die Analyse mehrerer wiederhergestellter Webshells und Commodity-Malware-Samples zeigte Programmiermuster, die auf LLM-unterstützte Entwicklung hinweisen. Die Analysten fanden beispielsweise ausführliche erläuternde Kommentare, duplizierte Funktionen durch iteratives Prompting und visuell aufbereitete Oberflächen bei unsicheren Implementierungen. Obwohl adversariale KI derzeit noch in den Kinderschuhen steckt und kein dominanter Angriffsvektor ist, weist das ATO-Team von Ontinue darauf hin, dass GenAI die technische Barriere für die Entwicklung funktionaler Malware und Angriffsinfrastruktur deutlich senken wird.
Ausweitung von Angriffen auf Lieferketten, SaaS und Infrastrukturen
Die Risiken im Zusammenhang mit Software-Lieferketten und Cloud-Integrationen nehmen ebenfalls zu. Hacker versuchen zunehmend über Entwicklungspipelines, SaaS-Plattformen und Drittanbieter, indirekten Zugang zu Unternehmensumgebungen zu erlangen. Solche Angriffe können sich schnell über vertrauenswürdige Ökosysteme ausbreiten und es Angreifern ermöglichen, mehrere Organisationen gleichzeitig zu kompromittieren. Neben identitätsgetriebenen Angriffen dokumentiert der aktuelle Threat Intelligence Report zu guter Letzt auch einen dramatischen Anstieg infrastruktureller Bedrohungen. DDoS-Kampagnen erreichten Spitzenwerte von 31,4 Tbps, angetrieben durch Botnets mit über 500.000 kompromittierten Systemen. Diese Angriffe zeigen die wachsende Größe und Automatisierungskapazität heutiger Bedrohungsakteure.
„Angreifer versuchen nicht mehr, Sicherheitsbarrieren zu durchbrechen. Sie loggen sich schlicht mit gestohlenen Zugangsdaten ein“, erklärt Balazs Greksza, Director of Advanced Threat Operations bei Ontinue. „Infostealer versorgen einen wachsenden Untergrundmarkt für Credentials. Sobald Angreifer gültige Identitäten erlangen, können sie traditionelle Sicherheitskontrollen umgehen und sich als legitime Benutzer bewegen. Das geschieht oft, ohne dass innerhalb des Unternehmens irgendwelche Alarme ausgelöst werden.“
Craig Jones, Chief Security Officer bei Ontinue, ergänzt: „Cyberresilienz bedeutet für Unternehmen heute nicht nur, Sicherheitsverletzungen zu verhindern. Wichtig ist auch, Risiken zu reduzieren, indem sie Bedrohungen schnell erkennen, entschlossen reagieren und die betriebliche Kontinuität im Falle eines Security Incident aufrechterhalten. Die Zusammenarbeit mit dem richtigen Managed Security Provider ermöglicht es Unternehmen, fortschrittliche Technologie, Echtzeit-Bedrohungsinformationen und erfahrene Analysten zu kombinieren, um Angreifern einen Schritt voraus zu sein und die Fähigkeit zur Abwehr und Wiederherstellung gegen moderne Cyberbedrohungen zu stärken.“
Mehr bei Ontinue.com
Über Ontinue Ontinue, der Experte für KI-gestützte Managed Extended Detection and Response (MXDR), ist ein rund um die Uhr verfügbarer Sicherheitspartner mit Hauptsitz in Zürich. Um die IT-Umgebungen seiner Kunden durchgehend zu schützen, ihren Sicherheitsstatus zu bewerten und kontinuierlich zu verbessern, kombiniert Ontinue KI-gesteuerte Automatisierung und menschliches Fachwissen mit dem Microsoft-Sicherheits-Produktportfolio. Durch die intelligente, Cloud-basierte Nonstop SecOps-Plattform reicht Ontinues Schutz vor Cyberattacken weit über die grundlegenden Detection- und Response-Services hinaus.
Passende Artikel zum Thema
Identitätskrise in der Cloud: Ontinue-Report belegt 72-prozentigen Anstieg von LummaC2-Logs und den Wandel zur Quadruple-Extortion
Fachliche Einordnung Die Fachplattform B2BCS ordnet den aktuellen Threat Intelligence Report des Advanced Threat Operations (ATO)-Teams von Ontinue als Bestätigung für einen fundamentalen Paradigmenwechsel in der Angreifer-Taktik ein. Cyberkriminelle investieren immer seltener Zeit in das Aufspüren und Ausnutzen komplexer Software-Schwachstellen. Stattdessen fokussieren sie sich auf den systematischen Diebstahl digitaler Identitäten. Balazs Greksza, Director of Advanced Threat Operations bei Ontinue, bringt die Bedrohungslage auf den Punkt: Angreifer brechen nicht mehr in Systeme ein – sie loggen sich einfach mit gültigen, gestohlenen Zugangsdaten ein, wodurch sie von klassischen Perimeter-Kontrollen gänzlich unbemerkt bleiben.
Key-Takeaways
- Explosion der Infostealer-Logs: Die Anzahl im Darknet gehandelter Zugangsdaten-Listen, die auf die Schadsoftware LummaC2 zurückzuführen sind, ist um 72 % in die Höhe geschnellt. Die im Browser abgegriffenen Passwörter, Session-Cookies und Authentifizierungs-Tokens erlauben es selbst technisch unerfahrenen Tätern, MFA-Hürden zu umgehen. (Quelle: Ontinue)
- Identität im Visier: Zu den dominierenden Angriffsmethoden gehören Adversary-in-the-Middle (AiTM)-Attacken, Passwort-Spraying und das systematische Scannen von Repositories nach versehentlich offengelegten Client-Secrets und API-Schlüsseln. (Quelle: Ontinue)
- Evolution der Erpressung (Quadruple-Extortion): Obwohl das weltweite Lösegeldvolumen von ca. 770 Mio. Euro (2024) leicht auf 708 Mio. Euro (2025) sank, steigt die Aggressivität. Bei über 7.000 registrierten Ransomware-Vorfällen kombinieren die Akteure Datendiebstahl, Systemverschlüsselung, massive DDoS-Wellen und die direkte Einschüchterung von Mitarbeitern oder Kunden. (Quelle: Ontinue)
- LLM-Spuren im Schadcode: Die Analyse sichergestellter Webshells zeigt eindeutige Programmiermuster, die auf eine LLM-unterstützte Entwicklung hinweisen (z. B. typische iterative Code-Duplikate und ausführliche erklärende KI-Kommentare). Generative KI senkt damit nachweislich die technische Barriere für den Malware-Bau. (Quelle: Ontinue)
- Infrastruktur-Angriffe in Rekorddimensionen: Das ATO-Team dokumentiert DDoS-Kampagnen mit historischen Spitzenwerten von 31,4 Tbps, orchestriert durch Botnetze aus mehr als 500.000 kompromittierten Systemen. (Quelle: Ontinue)
Strategische Analyse Für CISOs und IT-Sicherheitsverantwortliche im DACH-Raum entlarvt dieser Report eine gefährliche Schwachstelle in klassischen Abwehrarchitekturen. Viele Unternehmen vertrauen blind auf ihre Multi-Faktor-Authentifizierung (MFA). Da Infostealer wie LummaC2 jedoch nicht nur Passwörter, sondern bereits verifizierte Session-Cookies und Authentifizierungs-Tokens direkt aus dem Arbeitsspeicher des infizierten Client-Browsers stehlen, können Angreifer diese Sessions exakt replizieren (Session Hijacking). Für die Cloud-Infrastruktur (AWS, Azure, SaaS) sieht der Angreifer aus wie ein legitimer Mitarbeiter, der sich regulär anmeldet. Wenn zudem GenAI-Tools die Erstellung funktionaler Malware industrialisieren, geraten traditionelle Erkennungsmuster im SOC ins Hintertreffen.
Handlungsempfehlung: Sicherheitsverantwortliche müssen ihre IAM-Strategie (Identity and Access Management) dringend auf ein kontext- und verhaltensbasiertes Risikomodell umstellen. Da gestohlene Session-Cookies herkömmliche MFA aushebeln, müssen Bedingungen für den bedingten Zugriff (Conditional Access) verschärft werden. Anmeldeversuche müssen kontinuierlich auf Anomalien überprüft werden – beispielsweise durch den Abgleich von Geräte-Compliance-Status, unmöglichen Standortwechseln (Impossible Travel) und dem abrupten Wechsel des Browser-Fingerprints. Zudem wird empfohlen, im SOC spezifische Erkennungsregeln für das Erneuern von Cloud-Tokens einzurichten und die Gültigkeitsdauer aktiver Sessions (Session Lifetime) drastisch zu verkürzen, um das Zeitfenster für den Missbrauch gestohlener Logs zu minimieren.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200