Phishing verursacht jetzt die Hälfte aller Ransomware-Angriffe

Identitätsangriffe überholen Exploits als Hauptursache für Ransomware

Jahrelang waren Ransomware-Banden vor allem für das Ausnutzen ungepatchter Software bekannt – genau die Art von Schwachstelle, die IT-Teams dazu zwingt, fieberhaft Sicherheitsupdates einzuspielen. Das ist nicht mehr der primäre Weg, wie diese Angriffe beginnen. Laut neuen Erkenntnissen, über die Dark Reading berichtet, machen Phishing und bösartige E-Mails inzwischen die Hälfte aller Ransomware-Angriffe aus und haben Softwareschwachstellen damit offiziell als häufigsten Einstiegspunkt überholt.

Noch bemerkenswerter: Multi-Faktor-Authentifizierung (MFA), die lange als eine der stärksten Abwehrmaßnahmen gegen gestohlene Zugangsdaten galt, war bei 97 % der untersuchten credentialgestützten Angriffe bereits eingesetzt. Mit anderen Worten: Die Angreifer haben nicht deshalb Erfolg, weil Unternehmen grundlegende Sicherheitshygiene vernachlässigt hätten. Sie haben Erfolg, weil sie Wege gefunden haben, diese zu umgehen.

Diese Verschiebung ist bedeutsam, weil sie den Ort des tatsächlichen Risikos verändert. Das Patchen von Servern und das Schließen von Softwarelücken bleibt wichtig, aber die Daten deuten darauf hin, dass Angreifer ihre Energie darauf verlagert haben, Menschen zu täuschen, anstatt Code zu knacken. Eine überzeugende E-Mail, eine gefälschte Anmeldeseite oder ein gut getimter Anruf können heute das bewirken, wofür früher ein Zero-Day-Exploit nötig war.

Warum MFA allein die Angreifer nicht aufhält

MFA wird seit Jahren als nahezu narrensicherer Schutz vor dem Diebstahl von Zugangsdaten vermarktet. Die Idee ist einfach: Selbst wenn ein Passwort gestohlen wird, benötigt ein Angreifer immer noch einen zweiten Faktor, etwa einen Code, der an ein Telefon oder eine Authentifizierungs-App gesendet wird, um Zugang zu erhalten. Diese Logik funktioniert bei einfachen Passwort-Rate-Angriffen. Gegen moderne Phishing-Kits greift sie deutlich schlechter.

Angreifer haben sich mit Techniken angepasst, die speziell darauf ausgelegt sind, MFA zu umgehen. Echtzeit-Phishing-Proxys können sowohl das Passwort als auch einen Einmalcode abfangen, sobald das Opfer sie eingibt, und diese Informationen dann an das echte Anmeldesystem weiterleiten, bevor der Code abläuft. Andere Methoden zielen direkt auf Sitzungstoken ab und ermöglichen es Angreifern, eine bereits authentifizierte Sitzung zu kapern, ohne jemals den zweiten Faktor zu benötigen. Die Tatsache, dass MFA in 97 % der credentialbasierten Ransomware-Angriffe in diesem Datensatz vorhanden war, zeigt, dass die bloße Aktivierung von MFA allein nicht mehr ausreicht. Wie sie implementiert ist und ob sie speziell gegen Phishing resistent ist, ist ebenso wichtig wie ihre Existenz.

Das bedeutet nicht, dass MFA wertlos ist. Sie blockiert immer noch eine große Anzahl automatisierter und wenig aufwändiger Angriffe. Aber Organisationen und Einzelpersonen, die sich auf sie als alleinige Wunderwaffe verlassen, gehen von einem veralteten Bedrohungsmodell aus.

Wie sich das in das Gesamtbild der Sicherheitsverletzungen einfügt

Dieser ransomware-spezifische Trend geht einher mit einer verwandten, aber anders gelagerten Verschiebung, die an anderer Stelle in der Branche dokumentiert ist. Wie in vpn.socials Analyse des Verizon 2026 Data Breach Investigations Report berichtet, haben Software-Schwachstellen gestohlene oder schwache Passwörter als häufigsten Einstiegspunkt für Sicherheitsverletzungen insgesamt abgelöst. Auf den ersten Blick scheint das den Ransomware-Ergebnissen zu widersprechen, aber die beiden Datensätze messen unterschiedliche Dinge. Der DBIR betrachtet Sicherheitsverletzungen über alle Kategorien und Branchen hinweg, während sich diese Ransomware-Untersuchung speziell darauf konzentriert, wie Ransomware-Akteure ihren ersten Zugang erhalten.

Zusammengenommen ergibt sich ein Bild der Spezialisierung. Einige Angreifer verfeinern die automatisierte Ausnutzung von Software-Schwachstellen in großem Maßstab, während sich Ransomware-Gruppen verstärkt auf Social Engineering gegenüber Menschen konzentrieren, wahrscheinlich weil dies einen schnelleren und zuverlässigeren Weg zu den privilegierten Zugriffsrechten bietet, die für die Verbreitung von Ransomware in einem Netzwerk erforderlich sind. Beide Trends können gleichzeitig zutreffen, und beide deuten auf dieselbe zugrunde liegende Realität hin: Angreifer gehen dorthin, wo der Weg des geringsten Widerstands führt, und dieser Weg ändert sich ständig.

Was das für Sie bedeutet

Wenn Sie E-Mails nutzen, sei es beruflich oder privat, betrifft Sie dieser Trend unmittelbar. Ransomware richtet sich nicht nur gegen große Unternehmen mit eigenen IT-Abteilungen; auch kleine Betriebe, Gesundheitseinrichtungen, Schulen und einzelne Fachkräfte geraten regelmäßig durch dieselben Phishing-Methoden ins Visier. Eine einzige überzeugende E-Mail, die im falschen Moment geöffnet wird, kann der Einstiegspunkt für einen Angriff sein, der die gesamten Dateien einer Organisation verschlüsselt.

Die praktische Konsequenz ist nicht, MFA aufzugeben. Es geht vielmehr darum zu erkennen, dass MFA eine Schicht in einer umfassenderen Verteidigung ist und nicht die Ziellinie. Phishing-resistente Authentifizierungsmethoden, die sorgfältige Prüfung unerwarteter Anmeldeaufforderungen und eine grundsätzliche Skepsis gegenüber dringlich klingenden E-Mails bleiben unerlässlich, selbst bei Konten, die bereits durch MFA geschützt sind.

Konkrete Handlungsempfehlungen

• Behandeln Sie MFA-Aufforderungen, die Sie nicht angefordert haben, als Warnsignal und nicht als Routinebenachrichtigung, und genehmigen Sie niemals eine, die Sie nicht selbst ausgelöst haben.
• Verwenden Sie, wo möglich, Phishing-resistente Authentifizierungsmethoden wie Hardware-Sicherheitsschlüssel, anstatt sich nur auf SMS- oder App-basierte Codes zu verlassen.
• Seien Sie misstrauisch bei dringenden E-Mails, die Sie auffordern, sich anzumelden, ein Passwort zurückzusetzen oder ein Konto zu bestätigen – das sind klassische Einstiegstaktiken von Ransomware.
• Halten Sie Ihre Software auf dem neuesten Stand, auch wenn Identitätsangriffe jetzt die Hauptursache für Ransomware sind; exploit-basierte Angriffe sind nicht verschwunden, sie wurden nur in der Häufigkeit überholt.
• Wenn Sie ein Team oder eine Organisation leiten, investieren Sie in Schulungen zur Phishing-Sensibilisierung ergänzend zu den technischen Abwehrmaßnahmen, denn die Daten zeigen, dass Menschen – nicht nur Systeme – heute das Hauptziel sind.

Da sich Ransomware-Taktiken zunehmend auf Identitätsdiebstahl und Social Engineering verlagern, ist es eine der wirksamsten verfügbaren Verteidigungsmaßnahmen, darüber informiert zu bleiben, wie diese Angriffe tatsächlich ablaufen. Zu verstehen, wo heute das tatsächliche Risiko liegt, ist der erste Schritt, um diese Lücke zu schließen, bevor Angreifer sie ausnutzen können.