Cisco Talos hat seinen Bericht zu den Incident-Response-(IR-)Trends für Q3 2026 veröffentlicht, und die zentralen Ergebnisse lohnen sich zu verstehen, selbst wenn man nie in einem Sicherheitsteam arbeitet. Phishing blieb die führende Technik für den Erstzugriff, der Anteil von Ransomware- und Pre-Ransomware-Fällen nahm zu, und Finanzwesen und öffentliche Verwaltung teilten sich den Platz der am häufigsten angegriffenen Branchen. Der Bericht hebt außerdem hervor, dass Angreifer in Vishing-Angriffen (Voice-Phishing) IT-Helpdesks impersonieren. Dieser Beitrag erklärt in klaren Worten, was das bedeutet und wie man sich vor den Talos-Q3-2026-IR-Trends schützt, die mit einem Telefonanruf beginnen.

Was der Talos-Q3-2026-Bericht ergab

Das Quellmaterial liefert eine knappe Zusammenfassung des Quartals:

  • Phishing blieb an der Spitze. Es blieb der führende Weg, über den Angreifer ihren ersten Fuß fassen.
  • Der Ransomware-Anteil wuchs. Der Prozentsatz der Ransomware- und Pre-Ransomware-Fälle nahm im Vergleich zum vorherigen, vom Bericht abgedeckten Zeitraum zu.
  • Zwei Sektoren teilten sich den Spitzenplatz. Finanzwesen und öffentliche Verwaltung waren die am häufigsten angegriffenen Branchen.
  • Help-Desk-Impersonation. Akteure gaben sich in Vishing-Angriffen als IT-Helpdesks aus.

„Pre-Ransomware" ist hier wichtig. Das sind Fälle, in denen Responder Angreifer in einem Netzwerk fanden, bevor die Ransomware selbst eingesetzt wurde. Das deutet darauf hin, dass viele Eindringversuche während der Vorbereitungsphase erkannt – oder zumindest bemerkt – werden, wenn schnelles Handeln den Schaden noch begrenzen kann.

Wie Help-Desk-Impersonation-Vishing funktioniert

Vishing ist Phishing per Stimme. Statt eines verdächtigen Links in einer E-Mail ruft der Angreifer an (oder schreibt manchmal) und behauptet, vom IT-Support zu sein. Der Köder baut meist auf Dringlichkeit und Routine: ein Problem mit Ihrem Konto, ein Sicherheitsalarm, ein Passwort, das zurückgesetzt werden muss, oder ein Software-Update, das installiert werden muss.

Das funktioniert, weil Menschen darauf konditioniert sind, mit Support-Mitarbeitern zu kooperieren. Ein freundlicher, selbstbewusster Anrufer, der einen Namen oder eine Jobbezeichnung kennt, kann glaubwürdig klingen. Das Ziel ist typischerweise, Sie zu einem von wenigen Dingen zu bewegen:

  • Ein Passwort oder einen Einmal-Multifaktor-Code preiszugeben.
  • Eine Anmeldeaufforderung zu bestätigen, die Sie nicht ausgelöst haben.
  • Fernzugriffssoftware zu installieren, damit der „Techniker" das Problem beheben kann.
  • Eine überzeugende, aber gefälschte Anmeldeseite zu besuchen.

Sobald ein Angreifer eine legitim wirkende Sitzung oder Zugangsdaten hat, kann er sich leise durch Systeme bewegen. Genau das ist die Art von Fußfassung, aus der später ein Ransomware-Vorfall werden kann. Die Talos-Zusammenfassung beschreibt nicht jeden Schritt dieser Angriffe, daher geht es bei der praktischen Lehre um den ersten Moment: den Anruf selbst.

Wie man einen IT-Anrufer verifiziert

Die sicherste Gewohnheit ist, jede unerwartete Anfrage nach Zugangsdaten, Codes oder Fernzugriff als unbestätigt zu behandeln, bis man das Gegenteil bewiesen hat. Ein paar einfache Schritte helfen:

  1. Auflegen und zurückrufen. Verwenden Sie eine Nummer aus Ihrem Firmenverzeichnis, von einer offiziellen Website oder von einer früheren Rechnung – niemals eine, die der Anrufer Ihnen nennt.
  2. Niemals Codes weitergeben. Legitimes Support-Personal braucht weder Ihr Passwort noch Ihren Multifaktor-Code.
  3. Keine Software auf Anfrage installieren. Fernzugriffstools sollten nur verwendet werden, wenn Sie die Support-Anfrage selbst gestartet haben.
  4. Tempo herausnehmen. Druck und Dringlichkeit sind die Hauptwerkzeuge des Social Engineering. Ein echtes Problem besteht auch noch, nachdem Sie es verifiziert haben.
  5. Melden. Informieren Sie Ihr tatsächliches IT-Team oder Ihren Sicherheitskontakt über den Versuch, selbst wenn Sie nicht darauf hereingefallen sind. Andere erhalten möglicherweise denselben Anruf.

Wenn Sie an einem Ort mit internem Ticketsystem arbeiten, gilt als gute Regel, dass echter Help-Desk-Kontakt auf ein Ticket zurückführbar sein sollte, das Sie eröffnet haben oder von dem Sie wissen.

Was das für Sie bedeutet

Der Bericht basiert auf Incident-Response-Einsätzen bei Organisationen, aber die Taktiken gelten weit über das Büro hinaus. Viele Menschen nutzen Arbeitsgeräte zu Hause, führen kleine Unternehmen über ein Heimnetzwerk oder verwenden dieselben Konten im persönlichen und beruflichen Leben wieder. Ein kompromittiertes Konto bei der Arbeit kann persönliche Daten offenlegen, und ein erfolgreicher Telefonbetrug zu Hause kann dieselben Arten von Zugangsdaten preisgeben.

Der steigende Ransomware-Anteil ist eine Erinnerung daran, dass Kompromittierungen in frühen Phasen Aufmerksamkeit verdienen. Wenn sich nach einem Anruf etwas falsch anfühlt – etwa eine Aufforderung, die Sie nicht erwartet haben, oder Software, die Sie nicht installieren wollten – handeln Sie schnell. Ändern Sie betroffene Passwörter von einem sauberen Gerät, melden Sie sich aus aktiven Sitzungen ab und benachrichtigen Sie Ihren IT-Kontakt.

Telefon- und Netzsicherheit hängen auch mit breiteren Privatsphäre-Gewohnheiten zusammen. Für Kontext dazu, wie fragil Konnektivität und Überwachung im nationalen Maßstab werden können, siehe unsere Berichterstattung über Irans rekordverdächtige 1.000-stündige Internetabschaltung. Es ist eine andere Art von Ereignis, aber es zeigt, warum es wichtig ist zu verstehen, wer Ihre Verbindungen kontrolliert und beobachten kann.

Umsetzbare Erkenntnisse

  • Behandeln Sie unerwartete IT-Anrufe als unbestätigt und rufen Sie über eine vertrauenswürdige Nummer zurück.
  • Lesen Sie niemals Passwörter oder Multifaktor-Codes vor und bestätigen Sie niemals Aufforderungen, die Sie nicht ausgelöst haben.
  • Installieren Sie Fernsupport-Tools nur, wenn Sie die Anfrage selbst gestartet haben.
  • Aktivieren Sie Multifaktor-Authentifizierung und halten Sie Software und Backups aktuell, da Ransomware-Fälle einen wachsenden Anteil der Vorfälle ausmachen.
  • Melden Sie verdächtige Anrufe umgehend, damit Verteidiger Pre-Ransomware-Aktivitäten frühzeitig erkennen können.

Die Talos-Q3-2026-IR-Trends sind ein klares Signal: Angreifer verlassen sich weiterhin mehr auf Menschen als auf exotische Exploits. Eine kurze Pause und ein Rückruf bei einer verifizierten Nummer bleiben unter den wirksamsten Verteidigungen gegen Help-Desk-Vishing.