Was der Sophos-Bericht über kompromittierte Identitäten festgestellt hat

Ein neu veröffentlichter Sophos-Bericht beziffert, was Sicherheitsteams seit Jahren vermuten: Ransomware-Banden brechen nicht mehr die Eingangstür auf, sondern spazieren mit einem gestohlenen Schlüssel herein. Den Ergebnissen zufolge gehen 79 % aller Ransomware-Angriffe inzwischen auf kompromittierte Identitäten zurück. Das bedeutet: Der erste Zugriff erfolgt in den meisten Fällen über einen gültigen Benutzernamen und ein gültiges Passwort – nicht über eine Software-Schwachstelle oder einen bösartigen Anhang.

Der Bericht zeigt auch eine deutliche Kluft darin, wie unterschiedlich große Organisationen reagieren, sobald ein Angriff läuft. Nur 34 % der kleinen Unternehmen konnten einen Angriff stoppen, bevor es zu Verschlüsselung oder Erpressung kam. Bei Organisationen mit 3.001 bis 5.000 Beschäftigten lag dieser Wert bei 46 %. Dieser Unterschied macht deutlich, dass Ressourcen, Personalausstattung und Erkennungsreife nach wie vor eine große Rolle spielen – selbst wenn der Einfallsweg des Angreifers über alle Unternehmensgrößen hinweg ähnlich aussieht.

Geografisch hebt der Bericht hervor, dass in Großbritannien die höchste mittlere Lösegeldforderung aller untersuchten Regionen verzeichnet wurde. Zwar wurde die vollständige Aufschlüsselung der Zahlen nicht näher ausgeführt, doch das Muster bestärkt einen breiteren Trend: Lösegeldforderungen werden zunehmend auf die wahrgenommene Zahlungsfähigkeit abgestimmt und nicht nur auf den Wert der Daten an sich.

Warum MFA allein Ransomware nicht aufhält

Hier ist die Erkenntnis, die viele Sicherheitsbudgets umschichten sollte: In 97 % der Vorfälle, bei denen kompromittierte Zugangsdaten die Ursache waren, kam Multi-Faktor-Authentifizierung in irgendeiner Form zum Einsatz. Anders gesagt: Nahezu jedes Unternehmen, das über gestohlene Zugangsdaten kompromittiert wurde, hatte MFA bereits in seiner Umgebung aktiviert.

Das bedeutet nicht, dass MFA nutzlos ist. Es bedeutet, dass MFA keine vollständige Lösung ist, wenn sie nur lückenhaft angewendet wird. Deckungslücken – etwa Altsysteme ohne moderne Authentifizierung, von MFA-Richtlinien ausgeschlossene Service-Konten oder Fernzugriffstools mit schwächerer Verifizierung – bieten Angreifern genau den Zugang, den sie brauchen. Ein entschlossener Angreifer muss MFA nicht überall überwinden; er muss nur den einen Anmeldepfad finden, in dem MFA nie durchgesetzt wurde.

Genau diese Spannung offenbaren die Sophos-Daten. Sicherheitsteams haben MFA jahrelang wie eine abzuhakende Checkliste behandelt, doch die Ransomware-Akteure haben sich angepasst und jagen jetzt den Konten, Systemen und Integrationen hinterher, die durch dieses Raster fallen. Das Ergebnis ist eine Verteidigungsstrategie, die auf dem Papier stark aussieht, in der Praxis aber echte Lücken aufweist.

Praktische Schritte zur Identitätshygiene jenseits von MFA

Wenn die Kompromittierung von Zugangsdaten das dominierende Einfallstor ist, verdient Identitätshygiene dieselbe operative Aufmerksamkeit wie Patch-Management oder Endpoint-Erkennung. Aus den Implikationen des Berichts ergeben sich einige praxisnahe Schritte:

  • MFA-Abdeckung prüfen, nicht nur das Vorhandensein von MFA. Sicherstellen, dass jeder Fernzugriff, jedes Administratorkonto und jede Drittanbieter-Integration MFA tatsächlich erzwingt – und nicht nur der primäre Anmeldebildschirm.
  • Phishing-resistente Authentifizierung bevorzugen, wo immer möglich, denn klassische Einmalcodes können weiterhin abgefangen oder sozial manipuliert werden.
  • Auf die Wiederverwendung von Zugangsdaten und verwaiste Konten achten. Inaktive Konten und gemeinsam genutzte Logins sind häufige blinde Flecken, die Angreifer lange ausnutzen, nachdem Mitarbeitende das Unternehmen verlassen oder die Rolle gewechselt haben.
  • Zugriff nach Rolle und Notwendigkeit segmentieren. Selbst ein kompromittiertes Konto ist für einen Angreifer weit weniger wertvoll, wenn es keine weitreichende Querbewegung im Netzwerk erlaubt.
  • Schnellere Erkennung und Reaktion aufbauen, besonders in kleineren Organisationen. Der Unterschied zwischen 34 % und 46 % Eindämmungsrate legt nahe, dass ressourcenschwache Teams vor allem bei der Erkennungsgeschwindigkeit – nicht nur bei der Prävention – Boden verlieren.

Keiner dieser Schritte erfordert exotische Tools. Sie erfordern Disziplin, Transparenz und die Bereitschaft, Identität als lebendes System zu behandeln, das regelmäßige Prüfungen braucht – und nicht als eine einmalige Einrichtungsaufgabe.

Wie verschlüsselte Tools und VPNs in eine mehrschichtige Verteidigung passen

VPNs und verschlüsselte Zugriffslösungen bleiben eine nützliche Schicht in einer breiteren Identitätsschutzstrategie, besonders um Fernzugriffe zu sichern und die Angriffsfläche in nicht vertrauenswürdigen Netzen zu verringern. Die Sophos-Ergebnisse erinnern jedoch daran, dass kein einzelnes Werkzeug – sei es ein VPN, MFA oder Endpoint-Schutz – eine konsistente Identity Governance über die gesamte Organisation ersetzen kann. Angreifer suchen die Lücke zwischen den Werkzeugen, nicht die Werkzeuge selbst.

Dies ist auch ein guter Zeitpunkt, um grundsätzlich darüber nachzudenken, wie Zugriffskontrollen und Internetrichtlinien ineinandergreifen. Genauso wie Regierungen zunehmend prüfen, wie VPN-Anbieter mit Zugangsbeschränkungen umgehen, werden auch Unternehmen aufgefordert zu prüfen, wie ihre eigenen Zugriffstools konfiguriert und überwacht werden. Ein Verständnis dafür, wie gestaffelte Sperrsysteme funktionieren – ähnlich wie nationale Internet-Zensursysteme mit mehreren Durchsetzungsschichten statt einem einzigen Tor aufgebaut sind –, bietet eine hilfreiche Analogie dafür, warum auch die Ransomware-Abwehr mehrere, überlappende Kontrollen benötigt, statt sich nur auf eine einzige Sicherheitsmaßnahme zu verlassen.

Was das für Sie bedeutet

Wenn Sie IT-Sicherheit in einer Organisation jeglicher Größe verantworten, ist dieser Bericht ein Signal, die eigenen Annahmen zu überprüfen. MFA aktiviert zu haben, ist nicht dasselbe wie MFA überall dort durchzusetzen, wo es darauf ankommt. Die Abwehr von Ransomware durch gestohlene Zugangsdaten erfordert 2026, Identität als dauerhafte operative Disziplin zu begreifen – und nicht als Projekt, das abgeschlossen ist, sobald die MFA-Einführung als erledigt markiert wurde.

Besonders für kleinere Organisationen ist der Unterschied bei der Eindämmungsquote ernst zu nehmen. Er deutet darauf hin, dass Investitionen in Erkennungs- und Reaktionsfähigkeit – selbst moderate Verbesserungen – den Ausgang eines bereits eingedrungenen Angriffs entscheidend verändern können.

Kernaussagen

  • 79 % aller Ransomware-Angriffe beginnen laut Sophos inzwischen mit kompromittierten Zugangsdaten.
  • In 97 % der Fälle von Ransomware durch gestohlene Zugangsdaten war MFA vorhanden – das eigentliche Problem sind also Abdeckungslücken, nicht das Fehlen von MFA.
  • Kleine Unternehmen stoppten Angriffe nur in 34 % der Fälle, verglichen mit 46 % bei größeren Organisationen mit 3.001 bis 5.000 Beschäftigten.
  • Großbritannien verzeichnete im Bericht die höchste mittlere Lösegeldforderung.
  • Wirksame Abwehr gegen Ransomware durch gestohlene Zugangsdaten erfordert eine Prüfung der MFA-Abdeckung, Überwachung auf veraltete oder wiederverwendete Zugangsdaten, Zugriffssegmentierung und den Aufbau schnellerer Erkennungsfähigkeiten – statt sich auf ein einzelnes Sicherheitswerkzeug zu verlassen.