Der Report State of Identity Security 2026 kommt zu dem Ergebnis, dass 71 Prozent der Unternehmen im vergangenen Jahr von mindestens einem Identitätsdiebstahl betroffen waren. Zwei von drei Ransomware-Angriffe nutzen gestohlene Identitären aus. Hintergrund ist menschliches Versagen und mangelhaftes Identitätsmanagement. Autonome KI erhöht das Risiko weiter. Ein Report von Security-Spezialisten Sophos.
Sophos hat heute seinen „State of Identity Security 2026“ Report veröffentlicht. Dabei handelt es sich um eine herstellerunabhängige Umfrage unter 5.000 IT- und Cybersicherheitsverantwortlichen aus 17 Ländern. Die Umfrage ergibt, dass 71 Prozent der Unternehmen (Deutschland: 62 Prozent) im vergangenen Jahr mindestens einen identitätsbezogenen Sicherheitsvorfall erlitten haben, wobei die Organisationen im Durchschnitt drei separate Vorfälle meldeten. Besonders auffällig war die hohe Zahl mehrfach betroffener Unternehmen: 5 Prozent berichten sogar von sechs oder mehr Sicherheitsverletzungen. Diese Angriffe werden hauptsächlich durch menschliche Fehler und ein schwaches Management nicht-menschlicher Identitäten (Non-Human Identities, NHIs) begünstigt – eine Herausforderung, die sich durch agentische KI und die dadurch beschleunigten Angriffsprozesse rasant verschärft.
Über 60 %: Ransomware-Angriff basiert auf Identitätsdiebstahl
Zwei Drittel der von Ransomware betroffenen Unternehmen (67 Prozent), die an der Umfrage teilnahmen, bestätigen, dass ihr Ransomware-Vorfall auf einen identitätsbasierten Angriff zurückzuführen war. Damit etabliert sich die Kompromittierung von Identitäten als primärer Angriffsvektor für Ransomware. Forscher von Sophos X-Ops beobachten dieses Muster bereits seit dem vergangenen Jahr kontinuierlich. Die finanziellen Folgen sind erheblich: Die durchschnittlichen Wiederherstellungskosten beliefen sich im vergangenen Jahr auf 1,64 Millionen US-Dollar, der Median lag bei 750.000 US-Dollar, und 73 Prozent der Betroffenen hatten Kosten von mindestens 250.000 US-Dollar zu tragen.
„Identitäten sind zur wichtigsten Angriffsfläche in der modernen Cybersicherheit geworden, und diese Daten zeigen, dass die meisten Unternehmen zunehmend an Boden verlieren“, sagte Ross McKerchar, Chief Information Security Officer bei Sophos. „Besonders dringlich ist das Problem der nicht-menschlichen Identitäten. KI-Agenten erhalten schneller Berechtigungen, als Sicherheitsteams sie nachverfolgen können. Unternehmen, die diesem Problem nicht proaktiv begegnen, werden feststellen, dass diese Sicherheitslücke zunehmend kostspieliger zu schließen ist.“
Zentrale Erkenntnisse des Reports „State of Identity Security 2026“
- Daten- und Finanzdiebstahl dominieren die Folgen von Sicherheitsverletzungen: Insgesamt berichten 10 Prozent der Unternehmen von einer identitätsbezogenen Sicherheitsverletzung mit geschäftlichen Auswirkungen im vergangenen Jahr. Die wichtigsten Folgen sind Datendiebstahl (49 Prozent), Ransomware (48 Prozent) und finanzieller Diebstahl (47 Prozent).
- Mangelnde Transparenz bleibt eine kritische Schwachstelle: Nur 24 Prozent der Unternehmen überwachen kontinuierlich ungewöhnliche Anmeldeversuche, während mehr als die Hälfte entsprechende Prüfungen nur vierteljährlich oder noch seltener durchführen.
- Erkennungslücken bestehen weiterhin: 14 Prozent der betroffenen Unternehmen (Deutschland: 17,4 Prozent) können ihren schwerwiegendsten identitätsbasierten Angriff nicht erkennen und stoppen, bevor Schaden entsteht. Kleinere Unternehmen (100–250 Mitarbeitende) versagen bei der Angriffserkennung nahezu doppelt so häufig wie mittelgroße Unternehmen.
- Kritische Infrastrukturen sind besonders gefährdet: Unternehmen aus den Bereichen Energie, Öl/Gas und Versorgungswirtschaft (80 Prozent) sowie Bundes- und Zentralbehörden (78 Prozent) melden die höchsten Sicherheitsverletzungsraten aller untersuchten Branchen.
- Compliance-Probleme deuten auf ein erhöhtes Gesamtrisiko hin: Unternehmen, die Compliance-Anforderungen als sehr herausfordernd empfinden, verzeichnen eine Sicherheitsverletzungsrate von 82,4 Prozent. Das sind 14 Prozentpunkte mehr als bei Unternehmen mit geringeren Compliance-Schwierigkeiten (68,3 Prozent).
Menschliches Versagen – etwa Mitarbeitende, die zur Preisgabe von Zugangsdaten verleitet wurden – werden in nahezu 43 Prozent der Vorfälle als Ursache genannt. Schwaches Management nicht-menschlicher Identitäten, darunter im Code gespeicherte API-Schlüssel, statische Zugangsdaten und verwaiste Servicekonten, werden in 41 Prozent der Fälle genannt. Unternehmen mit unzureichendem NHI-Management haben ein um 22 Prozent höheres Risiko für finanziellen Diebstahl und zahlen durchschnittlich rund 150.000 US-Dollar mehr für die Wiederherstellung als andere Unternehmen.
Das Problem des NHI-Managements verschärft sich weiter. KI-Agenten können autonom Unteragenten erstellen, die jeweils neue Zugangsdaten mit weitreichenden, dauerhaften Zugriffsrechten generieren – häufig ohne konsistente menschliche Kontrolle. Bestehende Identitätsframeworks wurden für dieses Szenario nicht entwickelt, und viele Unternehmen liegen bereits zurück: Nur jedes dritte Unternehmen rotiert oder überprüft regelmäßig Servicekonten und nicht-menschliche Identitäten, und lediglich 11 Prozent tun dies kontinuierlich.
Empfehlungen zur Reduzierung identitätsbasierter Risiken
Um die Gefährdung durch identitätsbezogene Angriffe zu reduzieren, sollten Unternehmen einen mehrschichtigen Ansatz implementieren, der sowohl menschliche als auch nicht-menschliche Identitäten umfasst. Zu den wesentlichen Maßnahmen zählen die verpflichtende Einführung von Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten, die Anwendung des Least-Privilege-Prinzips sowie die zeitnahe Deaktivierung oder Entfernung inaktiver Identitäten.
Speziell für nicht-menschliche Identitäten sollten Unternehmen alle NHIs inventarisieren und klassifizieren, langlebige Zugangsdaten durch kurzlebige Alternativen ersetzen und Plattformen für das Secrets Management einsetzen, um NHI-Zugangsdaten in großem Maßstab zu verwalten. Da agentische KI die Verbreitung von NHIs beschleunigt, werden Funktionen zur Identity Threat Detection and Response (ITDR) sowie die Einführung eines Zero-Trust-Sicherheitsmodells zu immer wichtigeren Verteidigungsebenen.
Hintergrund zum Report
Der Report „State of Identity Security 2026“ basiert auf einer herstellerunabhängigen Umfrage, die im ersten Quartal 2026 unter 5.000 IT- und Cybersicherheitsverantwortlichen in 17 Ländern durchgeführt wurde, darunter die USA, das Vereinigte Königreich, Deutschland, Frankreich, Australien, Japan, Indien und Brasilien. Befragt wurden Unternehmen mit 100 bis 5.000 Mitarbeitenden aus 14 verschiedenen Branchen.
Mehr bei Sophos.com
Über Sophos Mehr als 100 Millionen Anwender in 150 Ländern vertrauen auf Sophos. Wir bieten den besten Schutz vor komplexen IT-Bedrohungen und Datenverlusten. Unsere umfassenden Sicherheitslösungen sind einfach bereitzustellen, zu bedienen und zu verwalten. Dabei bieten sie die branchenweit niedrigste Total Cost of Ownership. Das Angebot von Sophos umfasst preisgekrönte Verschlüsselungslösungen, Sicherheitslösungen für Endpoints, Netzwerke, mobile Geräte, E-Mails und Web. Dazu kommt Unterstützung aus den SophosLabs, unserem weltweiten Netzwerk eigener Analysezentren. Die Sophos Hauptsitze sind in Boston, USA, und Oxford, UK.
Passende Artikel zum Thema
Hier ist die Analyse der Studienergebnisse gemäß dem B2BCS-Muster:
Identitäten im Fadenkreuz: Sophos-Report entlarvt schwaches Identitätsmanagement als Haupttreiber für Ransomware-Katastrophen
Fachliche Einordnung Die Fachplattform B2BCS analysiert den neu erschienenen „State of Identity Security 2026“ Report von Sophos als dringendes Alarmsignal für die DACH-Region. Die herstellerunabhängige globale Studie unter 5.000 IT-Sicherheitsentscheidern belegt, dass Identitäten die primäre und zugleich verwundbarste Angriffsfläche moderner Unternehmensnetzwerke darstellen. Ross McKerchar, Chief Information Security Officer bei Sophos, warnt eindringlich vor einem Kontrollverlust: Während IT-Abteilungen noch mit menschlichen Fehlern kämpfen, erzeugen autonome KI-Agenten im Hintergrund unbemerkt neue, weitreichende Maschinenidentitäten (Non-Human Identities, NHIs), für die herkömmliche Sicherheitsframeworks schlicht nicht ausgelegt sind.
Key-Takeaways
- Massenhaftes Kompromittierungsrisiko: 71 % der Unternehmen weltweit (62 % in Deutschland) erlitten im vergangenen Jahr mindestens einen identitätsbasierten Sicherheitsvorfall; der Durchschnitt liegt bei drei separaten Vorfällen pro Organisation.
- Das Einfallstor für Erpresser: Zwei Drittel (67 %) aller erfolgreichen Ransomware-Angriffe basieren auf gestohlenen oder missbrauchten Identitäten. Die durchschnittlichen Wiederherstellungskosten nach einem solchen Vorfall schlagen mit immensen 1,64 Millionen US-Dollar zu Buche.
- Die Schattenseite der Automation: In 41 % der Fälle sind unzureichend verwaltete, nicht-menschliche Identitäten (NHIs) wie im Code hinterlegte API-Schlüssel oder verwaiste Servicekonten die Ursache. Agentische KI verschärft dies, da autonome Systeme eigenständig Unteragenten mit dauerhaften Zugriffsrechten erstellen.
- Blinde Flecken bei der Erkennung: Nur magere 24 % der Unternehmen überwachen ungewöhnliche Anmeldeversuche kontinuierlich. Fast ein Drittel prüft diese Indikatoren lediglich vierteljährlich oder seltener.
- Kritische Infrastrukturen im Visier: Die höchsten Sicherheitsverletzungsraten verzeichnen die Branchen Energie und Versorgung (80 %) sowie Bundes- und Zentralbehörden (78 %).
Strategische Analyse Für CISOs untermauern diese Zahlen einen schmerzhaften Paradigmenwechsel: Angreifer hacken sich nicht mehr primär über technische Software-Schachstellen in Systeme ein – sie melden sich ganz regulär mit gültigen Benutzerdaten an. Das größte Risiko liegt dabei in der mangelnden Sichtbarkeit von Servicekonten und Machine-to-Machine-Schnittstellen. Da nur jedes elfte Unternehmen (11 %) nicht-menschliche Identitäten kontinuierlich überprüft oder rotiert, entstehen im Zuge der fortschreitenden KI-Automatisierung gigantische Schatten-Infrastrukturen. Wer hier blind vertraut, riskiert nicht nur Datenexfiltration, sondern auch empfindliche Compliance-Strafen.
Handlungsempfehlung: Sicherheitsverantwortliche müssen ihre Identitätsarchitektur umgehend auf ein dediziertes ITDR-Modell (Identity Threat Detection and Response) umstellen. Neben der flächendeckenden Durchsetzung von phishing-resistentem MFA und dem Least-Privilege-Prinzip für menschliche Nutzer müssen Unternehmen alle nicht-menschlichen Identitäten (NHIs) lückenlos inventarisieren und klassifizieren. Statische, langlebige Passwörter und API-Keys in Skripten sind durch ein zentralisiertes Secrets Management und kurzlebige, dynamische Tokens (Ephemerality) zu ersetzen. Nur eine kontinuierliche, automatisierte Verhaltensanalyse von Identitäten kann anomale Zugriffe in der Geschwindigkeit moderner KI-gestützter Angriffe rechtzeitig stoppen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200