Ransomwares neue Eingangstür: Ihr Login, kein Softwarefehler

Jahrelang drehte sich die Cybersicherheitsberatung darum, Software zu patchen, bevor Angreifer eine bekannte Schwachstelle ausnutzen konnten. Dieser Rat ist weiterhin wichtig, doch eine Analyse von Ransomware-Vorfällen aus dem Jahr 2026 zeigt, dass die meisten Angriffe nicht mehr dort beginnen. Laut den Erkenntnissen gehen 79 % der Ransomware-Angriffe mittlerweile auf kompromittierte Identitäten zurück: gestohlene Benutzernamen und Passwörter, die durch Phishing-E-Mails, Social-Engineering-Anrufe und Credential-Stuffing-Kampagnen erbeutet wurden, bei denen geleakte Zugangsdaten auf mehreren Websites wiederverwendet werden.

In der Praxis bedeutet das, dass Ransomware-Banden zunehmend auf die technische Arbeit verzichten, einen ungepatchten Server zu finden und auszunutzen. Stattdessen melden sie sich einfach mit Zugangsdaten an, die Mitarbeiter unwissentlich preisgegeben haben – sei es über eine überzeugende gefälschte Login-Seite, einen Anruf von jemandem, der sich als IT-Support ausgibt, oder ein Passwort, das von einem alten, unzusammenhängenden Datenleck wiederverwendet wurde. Das Ergebnis ist dasselbe verheerende Ausmaß – verschlüsselte Dateien, gestoppte Abläufe und eine Lösegeldforderung –, doch der Einstiegspunkt hat sich von Code auf Menschen verlagert.

Warum Identität zum bevorzugten Angriffsweg geworden ist

Aus Sicht der Angreifer ist diese Entwicklung sinnvoll. Das Ausnutzen einer Software-Schwachstelle erfordert Recherche, Timing und oft ein Wettrennen gegen Sicherheitspatches. Das Stehlen einer Zugangsberechtigung hingegen kann massenhaft mit billigen Phishing-Kits oder automatisierten Tools erfolgen, die geleakte Benutzername-Passwort-Paare gleichzeitig gegen dutzende Dienste testen. Wenn auch nur ein kleiner Teil der Mitarbeiter Passwörter wiederverwendet oder auf eine gut gemachte Phishing-Nachricht hereinfällt, erhalten Angreifer einen Fuß in der Tür, der wie legitimer Zugriff aussieht. Es gibt keinen Alarm für ein gestohlenes Passwort, das korrekt verwendet wird – genau das ist der Grund, warum es zur dominierenden Methode geworden ist. Wie in Sophos: 79 % der Ransomware beginnt mit gestohlenen Zugangsdaten berichtet, haben Sicherheitsforscher diesen Trend genau verfolgt, und die neuesten Daten von 2026 bestätigen, dass es kein Zufall ist, sondern ein anhaltendes Muster in der Ransomware-Landschaft.

Einmal drinnen, bewegen sich Angreifer mit gestohlenen Zugangsdaten oft leise. Sie können sich mit demselben Zugang, den ein Mitarbeiter täglich nutzt, in E-Mail-Systeme, Cloud-Speicher und interne Netzwerke einloggen, was die Früherkennung erschwert. Dies ist eine bedeutende Abweichung von schwachstellenbasierten Angriffen, die typischerweise besser identifizierbare technische Fingerabdrücke hinterlassen, die Sicherheitsteams aufdecken können.

Der Datenschutz-Aspekt: Was gestohlene Zugangsdaten wirklich offenlegen

Die Datenschutzimplikationen gehen hier über die Ausfallzeit eines einzelnen Unternehmens hinaus. Wenn Ransomware-Gruppen über kompromittierte Identitäten Zugang erhalten, greifen sie häufig auf weit mehr zu als nur auf die Systeme, die für die Verschlüsselung benötigt werden. E-Mail-Konten, Kundendatensätze, Personalakten und interne Kommunikation liegen oft hinter demselben Login. Eine gestohlene Zugangsberechtigung öffnet nicht nur die Tür zu Ransomware – sie kann persönliche Daten von Mitarbeitern, Kunden und Geschäftspartnern offenlegen, die kein Mitspracherecht dabei hatten, wie dieses Passwort geschützt wurde.

Dies zeigt auch, warum Passworthygiene und der Schutz von Zugangsdaten persönliche Datenschutzfragen sind, nicht nur interne IT-Angelegenheiten des Unternehmens. Jeder Mitarbeiter, der ein Passwort zwischen einem Arbeitskonto und einer privaten Shopping-Seite wiederverwendet oder Zugangsdaten in eine gefälschte Login-Seite eingibt, gibt Angreifern möglicherweise einen Generalschlüssel in die Hand. Die Erkenntnisse von Sophos: 79 % der Ransomware beginnt mit gestohlenen Zugangsdaten bestätigen, dass dies kein seltener Einzelfall ist; es ist inzwischen der häufigste Weg, auf den Ransomware-Gruppen sich stützen.

Was das für Sie bedeutet

Wenn Sie Angestellter in einer Organisation sind, bedeuten diese Daten, dass Ihre individuellen Gewohnheiten mehr Gewicht haben, als Sie vielleicht denken. Ein einziges wiederverwendetes Passwort oder ein hastiger Klick auf einen Phishing-Link kann den Unterschied zwischen einem begrenzten Vorfall und einer unternehmensweiten Sicherheitsverletzung ausmachen. Wenn Sie IT oder Sicherheit für ein Unternehmen verwalten, ist die Schlussfolgerung ebenso klar: Das Patchen von Systemen bleibt wichtig, aber der Identitätsschutz verdient jetzt gleichwertige, wenn nicht sogar höhere Priorität. Multi-Faktor-Authentifizierung, phishing-resistente Anmeldeverfahren und die Überwachung auf Credential-Stuffing-Versuche sind keine optionalen Extras mehr, sondern zentrale Verteidigungsmaßnahmen.

Für normale Nutzer unterstreicht dies auch eine breitere Datenschutzlektion: Die Passwörter, die Sie wählen und wiederverwenden, haben Konsequenzen, die weit über Ihre eigenen Konten hinausgehen. Eine geleakte Zugangsberechtigung von einer unzusammenhängenden Website kann schließlich zum Einstiegspunkt für einen Angriff auf das Netzwerk Ihres Arbeitgebers werden.

Umsetzbare Erkenntnisse

  • Verwenden Sie für jedes Konto eindeutige, starke Passwörter, insbesondere für arbeitsbezogene Logins, und ziehen Sie einen Passwort-Manager in Betracht, um dies praktikabel zu machen.
  • Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, besonders bei E-Mail- und Fernzugriffssystemen.
  • Behandeln Sie unerwartete Login-Anfragen, dringende Passwort-Reset-E-Mails oder unbekannte IT-Anrufe mit Skepsis und verifizieren Sie über einen separaten Kanal, bevor Sie reagieren.
  • Wenn Ihre Organisation Schulungen zur Phishing-Sensibilisierung anbietet, nehmen Sie diese ernst; das Erkennen einer gefälschten Login-Seite oder verdächtigen E-Mail ist inzwischen eine der effektivsten Ransomware-Abwehrmaßnahmen.
  • Überprüfen Sie regelmäßig, ob Ihre Zugangsdaten in bekannten Datenlecks aufgetaucht sind, und ändern Sie wiederverwendete Passwörter sofort.

Die Verlagerung von Ransomware hin zu kompromittierten Identitäten bedeutet nicht, dass Schwachstellen keine Rolle mehr spielen, aber es bedeutet, dass das menschliche Element zum primären Schlachtfeld geworden ist. Wachsam gegenüber Phishing-Versuchen zu bleiben und eine strenge Passworthygiene zu praktizieren, ist inzwischen eine der praktischsten Möglichkeiten für Einzelpersonen und Organisationen gleichermaßen, ihr Risiko zu reduzieren.