Cyberangriffe werden zunehmend professioneller, schneller und arbeitsteiliger organisiert. Ein aktueller Report zeigt, dass KI Angreifern hilft, ihre Operationen zu skalieren, während sprachbasierte Social-Engineering-Methoden wie Vishing stark zunehmen. Gleichzeitig geraten Backup-Infrastrukturen und Identitätssysteme verstärkt ins Visier von Ransomware-Gruppen.
Mandiant hat seinen jährlichen M-Trends Report veröffentlicht: Er fasst die Erkenntnisse aus über 500.000 Stunden, die Mandiant und die Google Threat Intelligence Group (GTIG) im Jahr 2025 auf die Untersuchung von Sicherheitsvorfällen verwendet haben, zusammen und bietet einen umfassenden Überblick über die aktuelle Bedrohungslage. Der Report zeigt auf: Dank KI konnten Angreifer ihre Operationen ausweiten. Dennoch lässt sich der Großteil der Angriffe weiterhin auf Sicherheitslücken bei Menschen, Prozessen und Systemkontrollen zurückführen.
Aufstieg des sprachbasierten Social Engineering
Voice-Phishing (Vishing) hat sich mit 11 Prozent rasant zum zweithäufigsten Vektor für Erstinfektionen entwickelt. Sicherheitslücken sind mit 32 Prozent bereits das sechste Jahr in Folge der häufigste Angriffsvektor. Sicherheitsteams sollten sich auf diesen Trend einstellen. Zum Vergleich: E-Mail-Phishing nutzt nicht-interaktive technischen Köder und setzt auf Masse sowie eine breit gestreute Zustellung ohne besonderen Anlass. Bei interaktiven Methoden wie dem Vishing dagegen lenkt eine reale Person das Gespräch in Echtzeit. Daher sind diese Angriffe deutlich widerstandsfähiger gegenüber automatisierten technischen Kontrollen und erfordern andere Erkennungsstrategien. Speziell in EMEA blieb jedoch E-Mail-Phishing im Vergleich zum globalen Trend, wo dessen Gesamtanteil weiter sinkt, weiterhin präsenter.
Technologiebranche im Fokus der Angreifer
Im Jahr 2025 geriet laut den Untersuchungen von Mandiant die Tech-Branche am häufigsten ins Visier von Bedrohungsakteuren. Sie überholt damit den Finanzdienstleistungssektor, der in den Jahren 2023 und 2024 an erster Stelle stand.
Schnelle Übergabe zwischen Angreifern
Der Report zeigt einen wachsenden Trend, bei dem ein Angreifer sich zunächst Zugang verschafft, diesen dann aber schnell an einen anderen weitergibt, der Angriffe mit größerer Wirkung wie Ransomware durchführt. Cyberkriminelle agieren zunehmend wie hocheffiziente Unternehmen und gehen Partnerschaften ein. Damit können sie das Zeitfenster, innerhalb dessen Verteidiger eingreifen können, von mehreren Stunden auf Sekunden verkürzen. Die Zugangsübergabe zwischen Angreifern erfolgt so schnell – manchmal in weniger als 30 Sekunden –, dass Warnmeldungen, die traditionell als „weniger wichtig“ eingestuft werden, sehr schnell zu schwerwiegenden Sicherheitsverletzungen führen können.
Der Report zeigt auch, dass sich Ransomware-Gruppen zunehmend darauf konzentrieren, die Wiederherstellung von Daten absichtlich zu verhindern, anstatt nur Daten zu stehlen. Sie greifen systematisch Backup-Infrastrukturen, Identitätsdienste und die Verwaltungsebene der Virtualisierung an. Indem sie die Möglichkeit der Datenwiederherstellung zunichtemachen, üben die Angreifer enormen Druck auf die Unternehmen aus, das geforderte Lösegeld zu zahlen.
Die Verweildauer steigt
Im Jahr 2025 stieg die globale mittlere Verweildauer von Angreifern im System im Durchschnitt auf 14 Tage an. Dieser Wert ist vor allem auf Cyberspionage zurückzuführen sowie auf Vorfälle mit nordkoreanischen IT-Mitarbeitenden: Diese lassen sich mit gefälschten oder gestohlenen Identitäten in westlichen Unternehmen anstellen, um zusätzliches Kapital für das nordkoreanische Regime zu generieren. Bei diesen Fällen betrug die mittlere Verweildauer jeweils 122 Tage. Die mittlere Verweildauer in der EMEA-Region liegt über dem globalen Durchschnitt von 14 Tagen mit hier 20 Tagen im Jahr 2025 – wobei dies immer noch einen Rückgang um sieben Tage gegenüber 2024 bedeutet.
Unternehmen erkennen mehr Angriffe intern
Im Jahr 2025 wurden 60 Prozent der Vorfälle in der EMEA-Region zuerst intern durch eigene Mitarbeitende, eigene Sicherheitslösungen oder verdächtige Aktivitäten identifiziert. 40 Prozent der Vorfälle wurden durch externe Benachrichtigung erkannt, etwa von Strafverfolgungsbehörden, CERTs oder Cybersicherheitsunternehmen oder auch durch Angreifer in Form einer Lösegeldforderung. Dies stellt eine Umkehrung der Trends von 2024 dar. Im weltweiten Vergleich (52 Prozent der Vorfälle intern erkannt, 48 Prozent extern) liegen Unternehmen der EMEA-Region damit vorn, was die interne Erkennung von Vorfällen angeht.
Mehr bei Cloud.Google.com
Über Google Cloud Google Cloud ist der neue Weg in die Cloud und bietet KI-, Infrastruktur-, Entwickler-, Daten-, Sicherheits- und Kollaborationstools, die für heute und die Zukunft entwickelt wurden. Google Cloud liefert einen leistungsstarken, vollständig integrierten und optimierten KI-Stack mit einer eigenen weltweiten Infrastruktur, maßgeschneiderten Chips, generativen KI-Modellen und einer Entwicklungsplattform sowie KI-gestützten Anwendungen, die Unternehmen bei der Transformation unterstützen. Kunden in mehr als 200 Ländern und Regionen setzen auf Google Cloud als ihren Technologiepartner des Vertrauens.
Passende Artikel zum Thema
Skalierung durch Arbeitsteilung: Mandiant-Report M-Trends belegt den Aufstieg von Vishing und 30-Sekunden-Übergaben im Cyber-Unternehmertum
Fachliche Einordnung Die Fachplattform B2BCS ordnet die Erkenntnisse des neuesten, globalen M-Trends Reports von Mandiant und der Google Threat Intelligence Group (GTIG) als Beleg für eine tiefgreifende Industrialisierung der Cyberkriminalität ein. Basierend auf über 500.000 Stunden forensischer Ermittlungsarbeit im Jahr 2025 zeigt der Report, dass Angreifer generative KI-Werkzeuge nicht primär für völlig neuartige Angriffe nutzen, sondern um bestehende Operationen massiv zu skalieren. Die Bedrohungslandschaft wandelt sich hin zu einem hochgradig arbeitsteiligen B2B-Ökosystem, in dem Erstzugriffe in Sekundenschnelle an Ransomware-Spezialisten durchgereicht werden.
Key-Takeaways
- Vishing bricht Rekorde: Sprachbasiertes Social Engineering (Voice-Phishing) ist mit einem Anteil von 11 % zum zweithäufigsten Erstinfektionsvektor aufgestiegen, da interaktive, menschliche Gespräche in Echtzeit automatisierte technische Filter wirkungslos umgehen. (Quelle: Mandiant / GTIG)
- Exploits bleiben Spitzenreiter: Das Ausnutzen von Software-Sicherheitslücken ist mit 32 % das sechste Jahr in Folge die weltweit häufigste Methode für den initialen Systemzugriff. (Quelle: Mandiant / GTIG)
- Die 30-Sekunden-Übergabe: Sogenannte Initial Access Broker (IABs) übergeben erlangte Zugriffe teils in unter 30 Sekunden an Ransomware-Affiliates. Zeitfenster für administrative Abwehrreaktionen schrumpfen damit von Stunden auf Sekunden. (Quelle: Mandiant / GTIG)
- Sabotage von Backup und Identität: Um Lösegeldzahlungen zu erzwingen, fokussieren sich Erpresserbanden strategisch auf die Zerstörung von Backup-Infrastrukturen, Identitätsdiensten (IAM) und Virtualisierungs-Hypervisoren, um jede autonome Datenwiederherstellung unmöglich zu machen. (Quelle: Mandiant / GTIG)
- Fokusverschiebung auf Tech-Konzerne: Die Technologiebranche war 2025 das weltweit am häufigsten attackierte Ziel und löste damit den Finanzsektor ab, der in den Vorjahren die Rangliste anführte. (Quelle: Mandiant / GTIG)
- Anstieg der Verweildauer (Dwell Time): Die globale mittlere Verweildauer stieg auf 14 Tage (EMEA: 20 Tage). Massive Treiber sind staatliche Cyberspionage und nordkoreanische IT-Infiltranten, die sich mit gefälschten Identitäten anstellen lassen und im Schnitt 122 Tage unentdeckt im Netz agieren. (Quelle: Mandiant / GTIG)
Strategische Analyse Für CISOs in der EMEA-Region liefert der Report eine ambivalente Nachricht: Einerseits verbessert sich die eigene Abwehrreife, da mittlerweile 60 % der Vorfälle intern durch eigene Tools oder Mitarbeiter entdeckt werden – ein Spitzenwert im globalen Vergleich. Andererseits hebelt die extreme Professionalisierung der Angreifer klassische SIEM-Triage-Prozesse aus. Wenn die Stafettenübergabe zwischen Erstzugriff und der finalen Ransomware-Verschlüsselung in weniger als einer halben Minute erfolgt, führt die traditionelle Priorisierung von Alarmen in „kritisch“ und „niedrig“ ins Verderben. Eine vermeintlich harmlose Anomalie bei einem Benutzerkonto kann binnen Sekunden die vollständige Kompromittierung des Active Directory einleiten.
Handlungsempfehlung: Sicherheitsverantwortliche müssen ihre Incident-Response-Abläufe radikal auf automatisierte Isolation (SOAR) umstellen, da menschliche Analysten die 30-Sekunden-Übergabe der Angreifer nicht manuell stoppen können. Da Backup-Systeme das primäre Ziel von Ransomware-Akteuren sind, muss die Backup-Architektur zwingend nach dem Prinzip des Air-Gapping physisch oder logisch unbrennbar (immutable) vom restlichen Unternehmensnetzwerk und der primären Virtualisierungsebene isoliert werden. Zudem sollten HR- und IT-Onboarding-Prozesse um strikte Identitäts- und Hintergrundüberprüfungen (Background Checks) erweitert werden, um das spezifische Risiko eingeschleuster, verdeckt agierender Remote-Mitarbeiter effektiv zu minimieren.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200