Vier von fünf Ransomware-Angriffen beginnen heute auf dieselbe Weise: mit der Identität eines Menschen, nicht mit seinen Servern. Diese einzelne, von The Manila Times gemeldete Kennzahl fängt eine Entwicklung ein, die sich seit Jahren anbahnt, aber jetzt nicht mehr zu übersehen ist. Angreifer jagen nicht mehr nach einem ungepatchten Server oder einem Zero-Day-Exploit. Sie loggen sich einfach ein, mit Anmeldedaten, die durch Phishing erbeutet, gekauft oder geleakt wurden, und gehen durch die Vordertür hinein wie jeder andere autorisierte Benutzer.

Diese Verlagerung ist bedeutsam, weil sie verändert, was „Sicherheit“ für die meisten Organisationen und Einzelpersonen tatsächlich bedeutet. Eine Firewall kann niemanden aufhalten, der einen gültigen Benutzernamen und ein gültiges Passwort besitzt. Ein gepatchter Server hilft nicht, wenn der Angreifer ihn nie ausnutzen musste. Ransomware-Angriffe auf Basis von Anmeldedaten haben das Schlachtfeld von der Netzwerkinfrastruktur auf die menschliche Identität verlegt, und das bedeutet, dass sich auch die Abwehrmittel, die am meisten zählen, verändert haben.

Warum Identität, nicht Infrastruktur, das neue Einfallstor für Ransomware ist

Jahrelang drehte sich die Ransomware-Abwehr um die Infrastruktur: Server patchen, Netzwerke segmentieren, auf Eindringlinge achten. Diese Schutzmaßnahmen sind weiterhin wichtig, aber sie sprechen ein Bedrohungsmodell an, das zunehmend veraltet ist. Wenn vier von fünf Angriffen mit einem Login statt einem Einbruch beginnen, ändert sich die Rechnung. Angreifer haben erkannt, dass Anmeldedaten billiger, schneller und weitaus weniger wahrscheinlich Alarm schlagen als ein technischer Exploit.

Phishing-Kits, Credential-Stuffing-Tools und Infostealer-Malware haben das Ernten von Login-Daten zu einem Geschäft mit geringem Aufwand und hohem Ertrag gemacht. Nimmt man die schiere Anzahl an Passwörtern hinzu, die für private und berufliche Konten wiederverwendet werden, verfügen Angreifer über einen ständigen Nachschub funktionierender Anmeldedaten, ohne jemals eine Firewall zu berühren. Einmal drinnen, sehen sie nicht wie Eindringlinge aus. Sie sehen aus wie Mitarbeiter, Auftragnehmer oder Administratoren, die ihrer Arbeit nachgehen – genau das macht dieses Vorgehen so effektiv.

Wie gestohlene Anmeldedaten traditionelle Sicherheitsmaßnahmen umgehen

Herkömmliche Sicherheitswerkzeuge sind darauf ausgelegt, Anomalien zu erkennen: ungewöhnliche Verkehrsmuster, nicht autorisierte Zugriffsversuche, Malware-Signaturen. Ein gültiger Login mit echten Anmeldedaten löst die meisten dieser Alarme nicht aus. Endpoint-Detection-Systeme, Intrusion-Prevention-Tools und selbst gut konfigurierte Firewalls sind dazu gedacht, Angreifer zu stoppen, die versuchen, etwas zu knacken. Gegenüber jemandem, der einfach einen Schlüssel benutzt, der ihm ausgehändigt wurde – auch wenn dieser Schlüssel gestohlen ist – sind sie weitaus weniger wirksam.

Das ist einer der Gründe, warum Ransomware-Operationen so schnell ablaufen, sobald der Zugriff gelungen ist. Berichte über die Spirals-Ransomware-Operation zeigten, dass Angreifer eine gesamte Opferumgebung in weniger als 24 Stunden nach dem Erstzugriff verschlüsselten. Wenn der Einstieg keine Schwachstelle ausnutzen muss, fließen mehr Zeit und Ressourcen direkt in die Schadensphase. Dasselbe Muster zeigt sich bei Angriffen im Zusammenhang mit CVE-2026-0257, einer Authentifizierungsumgehung in Palo-Alto-Firewalls, die von Qilin-Ransomware-Akteuren ausgenutzt wurde, bei denen kompromittierte Authentifizierung – nicht rohes Hacken – den Angreifern den nötigen Halt verschaffte.

Multi-Faktor-Authentifizierung und Passwortmanager als erste Verteidigungslinie

Da gestohlene Anmeldedaten das Haupteinfallstor sind, sind die wirksamsten Abwehrmaßnahmen diejenigen, die ein gestohlenes Passwort für sich genommen weniger wertvoll machen. Multi-Faktor-Authentifizierung (MFA) ist das deutlichste Beispiel. Selbst wenn ein Passwort durch Phishing oder ein Datenleck kompromittiert wurde, verlangt MFA einen zweiten Bestätigungsschritt – etwa einen Code aus einer Authenticator-App oder einen Hardware-Schlüssel – bevor der Zugriff gewährt wird. Das schließt das Risiko nicht vollständig aus, versperrt aber den einfachsten Weg für Angreifer, die sich allein auf Anmeldedaten stützen.

Passwortmanager adressieren ein verwandtes Problem: die Wiederverwendung von Passwörtern. Wenn Menschen dasselbe Passwort für mehrere Konten verwenden, kann ein einziges geleaktes Anmeldedaten-Set mehrere nicht zusammenhängende Systeme öffnen. Ein Passwortmanager macht es praktikabel, für jedes Konto ein einzigartiges, komplexes Passwort zu nutzen, wodurch der Explosionsradius begrenzt wird, wenn ein Satz Anmeldedaten offengelegt wird. Keines der beiden Werkzeuge ist kompliziert einzurichten, und beide zielen direkt auf die Schwachstelle ab, die Ransomware-Angriffe auf Anmeldedatenbasis ausnutzen.

Welche Rolle VPNs beim Schutz von Admin- und sensiblen Kontozugriffen spielen

VPNs sind kein Allheilmittel gegen den Diebstahl von Anmeldedaten, aber sie spielen eine spezifische und nützliche Rolle, insbesondere für Administratoren und alle, die aus der Ferne auf sensible Systeme zugreifen. Ein VPN verschlüsselt die Verbindung zwischen einem Nutzer und dem Netzwerk, auf das er zugreift, und hilft so zu verhindern, dass Anmeldedaten auf dem Transportweg abgefangen werden, vor allem in ungesicherten oder öffentlichen Netzwerken. Für Remote-Administratoren, die kritische Infrastrukturen verwalten, fügt die Kombination aus VPN-Zugang und MFA eine bedeutsame Hürde für Angreifer hinzu, die nur über ein gestohlenes Passwort verfügen.

Es ist wichtig, klarzustellen, was ein VPN nicht tut: Es hindert niemanden daran, gültige, gestohlene Anmeldedaten zu benutzen, um sich über einen legitimen Zugangspunkt einzuloggen. Deshalb sollte die VPN-Nutzung als eine von mehreren Ebenen betrachtet werden, die mit MFA, Passworthygiene und Zugriffsüberwachung zusammenwirkt, und nicht als eigenständige Lösung.

Was das für Sie bedeutet

Wenn Sie sensible Konten verwalten – ob geschäftlich oder privat –, ist die Botschaft einfach: Ihr Passwort allein reicht nicht mehr aus, und das ist wahrscheinlich schon seit einiger Zeit so. Ransomware-Angriffe auf Anmeldedatenbasis haben Erfolg, weil sie vorhersehbare menschliche Gewohnheiten ausnutzen: wiederverwendete Passwörter, ungeschützte Logins und Konten ohne zweiten Bestätigungsschritt. Diese Lücken zu schließen, erfordert weder Budgets auf Unternehmensniveau noch technisches Expertenwissen. Es erfordert konsequente Gewohnheiten, die auf jedes relevante Konto angewendet werden.

Umsetzbare Handlungsempfehlungen

  • Aktivieren Sie Multi-Faktor-Authentifizierung für jedes Konto, das sie unterstützt, beginnend mit E-Mail, Finanzdiensten und jeglichem administrativen Zugang.
  • Nutzen Sie einen Passwortmanager, um einzigartige Passwörter zu generieren und zu speichern, und schalten Sie so das Risiko aus, dass wiederverwendete Anmeldedaten über mehrere Konten hinweg ausgenutzt werden.
  • Kombinieren Sie VPN-Nutzung mit MFA für den administrativen Fernzugriff, insbesondere wenn Systeme über öffentliche oder nicht vertrauenswürdige Netzwerke verwaltet werden.
  • Betrachten Sie Anmeldedaten-Hygiene als kontinuierliche Praxis, nicht als einmalige Einrichtung, da regelmäßig neue Konten und Dienste hinzukommen.

Ransomware-Gruppen haben ihre Strategie angepasst, weil sie funktioniert. Die gute Nachricht ist, dass die Gegenmaßnahmen – MFA, Passwortmanager und mehrschichtige Zugriffskontrollen – gut verstanden und für fast jeden erreichbar sind. Die Verschiebung vom Einbrechen zum Einloggen bedeutet, dass sich auch die Verantwortung für die Abwehr verschoben hat: Sie liegt nun ebenso sehr bei der individuellen Identitäts-Hygiene wie bei den Netzwerksicherheits-Teams.