Ransomware-Angriffe beginnen selten mit der Verschlüsselung. Lange bevor Systeme gesperrt werden und eine Lösegeldforderung auftaucht, verfügen Angreifer möglicherweise bereits über die Anmeldedaten, die sie benötigen, um in das Netzwerk einer Organisation einzudringen. Das ist die Kernaussage eines aktuellen Beitrags von Security Boulevard, der sich auf den Verizon Data Breach Investigations Report (DBIR) 2026 stützt, und er stellt unsere Sichtweise auf Ransomware-Angriffe mit gestohlenen Anmeldedaten neu ein: Die Sperrung ist der letzte Akt, nicht der erste Zug.

Der verfügbare Auszug aus der Berichterstattung über diesen Report ist kurz, daher beschränkt sich dieser Beitrag auf das, was darin steht, und auf das, was vpn.social bereits berichtet hat. Die Erkenntnis ist dennoch klar und praktisch – sowohl für Einzelpersonen als auch für Organisationen.

Wie gestohlene Anmeldedaten zum Einstiegspunkt für Ransomware werden

Es hilft, sich Ransomware als Lieferkette vorzustellen und nicht als einzelnes Ereignis. Verschiedene Akteure übernehmen verschiedene Phasen. Eine Gruppe beschafft Logins, eine andere kauft oder nutzt sie, um in ein Netzwerk zu gelangen, und die Ransomware selbst kommt später, sobald der Zugang gesichert ist.

Das ist wichtig, weil ein gültiger Benutzername und ein gültiges Passwort wie normale Aktivität aussehen. Ein Angreifer, der sich mit echten Anmeldedaten einloggt, muss weder eine Firewall durchbrechen noch eine Software-Schwachstelle ausnutzen. Er meldet sich einfach an, und Sicherheitstools schlagen möglicherweise zunächst nichts Ungewöhnliches an.

Wenn die Verschlüsselung beginnt, ist der Angreifer möglicherweise schon seit einiger Zeit im System. Die Lösegeldforderung ist der Moment, in dem das Opfer davon erfährt – nicht der Moment, in dem der Angriff begann.

Wo die Lieferkette der Anmeldedaten beginnt: Infostealer und geleakte Logins

Woher kommen also die Anmeldedaten? Eine wichtige Quelle ist Infostealer-Malware, die still und leise gespeicherte Logins, Sitzungsdaten und andere Geheimnisse von infizierten Geräten sammelt. Die gestohlenen Daten werden typischerweise in „Logs" gebündelt, mit denen Kriminelle handeln oder die sie verkaufen können.

vpn.social hat diesen Wandel ausführlich behandelt. Wie wir berichteten, haben Infostealer-Logs Phishing als häufigste Ursache für Datenschutzverletzungen überholt, wobei Forscher Infostealer-Malware als einen zunehmend verbreiteten Weg nennen, über den Angreifer in Unternehmensnetzwerke gelangen. Das passt zum Bild der Lieferkette: Das Sammeln von Anmeldedaten ist ein eigener Schritt, der den nächsten Angriff befeuert – einschließlich Ransomware.

Ein einziger infizierter privater Laptop kann ausreichen. Wenn ein Mitarbeiter ein Arbeits-Login in einem Browser auf einem kompromittierten Gerät speichert, kann diese Anmeldedaten auf einem kriminellen Marktplatz landen, ohne dass der Arbeitgeber jemals davon erfährt.

Was der DBIR 2026 über den Ransomware-Zugang sagt

Der Verizon DBIR ist eine der am häufigsten zitierten jährlichen Studien darüber, wie Sicherheitsverletzungen passieren. Laut der Berichterstattung über die Ausgabe 2026 verfügen Angreifer möglicherweise bereits über die Anmeldedaten, die sie benötigen, bevor ein Ransomware-Angriff sichtbar wird. Die Darstellung rückt Anmeldedaten an den Anfang der Angriffskette, statt die Verschlüsselung als Ausgangspunkt zu behandeln.

Wir nennen hier keine Zahlen zu dieser Erkenntnis, da der Quellenauszug keine liefert. Leser, die genaue Zahlen wünschen, sollten den Bericht selbst konsultieren. Die Richtung entspricht jedoch dem breiteren Trend, dass Credential-Diebstahl den Erstzugang antreibt.

Die praktische Konsequenz ist eine Verschiebung des Fokus. Die Verteidigung gegen Ransomware betrifft nicht nur Backups und Endpoint-Schutz am Ende der Kette. Sie bedeutet auch, die Zahl gültiger, exponierter Logins zu reduzieren, die Kriminelle am Anfang abgreifen können.

Was das für Sie bedeutet: Praktische Schritte zur Reduzierung exponierter Logins

Sie können nicht jeden Infostealer stoppen, aber Sie können gestohlene Logins deutlich weniger nützlich machen. Erwägen Sie diese Schritte:

  • Verwenden Sie für jedes Konto ein eindeutiges Passwort. Wenn eine Anmeldedaten durchsickert, sollte sie nichts anderes entsperren.
  • Nutzen Sie einen Passwort-Manager. Er macht eindeutige, lange Passwörter realistisch und verhindert, dass Logins lose in einem Browser auf einem Gerät gespeichert werden, dem Sie nicht vollständig vertrauen.
  • Aktivieren Sie Multi-Faktor-Authentifizierung (MFA). Ein gestohlenes Passwort allein reicht dann nicht mehr zum Anmelden. Bevorzugen Sie wo verfügbar app-basierte oder Hardware-Methoden.
  • Halten Sie Geräte sauber. Installieren Sie Updates, vermeiden Sie inoffizielle Software-Downloads und entfernen Sie Programme, die Sie nicht erkennen, da Infostealer oft auf diesem Weg eindringen.
  • Trennen Sie berufliche und private Nutzung. Vermeiden Sie die Anmeldung bei Arbeitskonten auf privaten oder gemeinsam genutzten Geräten.
  • Ändern Sie Passwörter nach einer vermuteten Infektion oder einer Sicherheitsverletzungsmeldung. Tun Sie dies von einem bekanntermaßen sauberen Gerät aus und melden Sie sich aus aktiven Sitzungen ab.

Wenn Sie ein Team leiten, gilt dieselbe Logik im größeren Maßstab: Erzwingen Sie MFA, begrenzen Sie, wer privilegierten Zugang hat, und überprüfen Sie, welche Konten noch Zugriff haben, den sie nicht mehr benötigen.

Kappen Sie die Versorgungslinie

Die zentrale Lehre aus der Berichterstattung über den Verizon DBIR 2026 ist, dass Ransomware-Angriffe mit gestohlenen Anmeldedaten lange beginnen, bevor jemand eine Lösegeldforderung sieht. Die wirksamste Verteidigung besteht darin, Ihre Logins schwer stehlbar und – falls sie gestohlen werden – weniger wertvoll zu machen.

Beginnen Sie heute mit einem einfachen Audit: Listen Sie Ihre wichtigen Konten auf, prüfen Sie auf wiederverwendete Passwörter und aktivieren Sie MFA, wo immer sie angeboten wird. Überführen Sie dann Ihre Logins in einen Passwort-Manager mit eindeutigen Anmeldedaten für jeden Dienst. Für einen tieferen Einblick, wie Anmeldedaten überhaupt gesammelt werden, lesen Sie unseren Bericht darüber, dass Infostealer-Logs Phishing als häufigste Ursache für Datenschutzverletzungen überholen. Ein wenig Hygiene jetzt kann das erste Glied in der Kette brechen.