Report: Nur drei Tage Zeit für die Cyberabwehr

Angriffe bleiben menschengesteuert – Verteidigern bleiben drei Tage für die Cyberabwehr.

Angreifer nutzen Agentic AI langsamer, als es die Technologie bereits zuließe. Gleichzeitig nutzen sie Schwachstellen mit hohem Schweregrad im Schnitt bereits nach drei Tagen aus. Verteidigern bleibt damit nur ein schmales Zeitfenster, um ihre Angriffsfläche zu verringern.

Zusammenfassung (TL; DR):

• Ein neuer Cybersicherheits-Report zeigt, dass moderne Angriffe weiterhin primär menschengesteuert sind und KI bislang nur in acht Prozent der Vorfälle operativ genutzt wird.
• Gleichzeitig verkürzt sich das Zeitfenster für die Cyberabwehr drastisch, da Angreifer kritische Schwachstellen im Schnitt bereits nach drei Tagen ausnutzen. Neben den USA gehört vor allem Deutschland zu den am stärksten von Ransomware-Attacken betroffenen Ländern, wobei besonders Dienstleister und das produzierende Gewerbe im Visier stehen.

Mensch treibt Cyberangriff und Cyberabwehr

Rapid7, Anbieter von Künstlicher Intelligenz (KI)-gestützten Managed-Cybersecurity-Operationen, veröffentlicht seinen Quarterly Threat Landscape Report. Der Report zeigt: Trotz verbreiteter Warnungen vor autonomen KI-Angriffen bleiben menschliche Akteure die treibende Kraft hinter modernen Cyberbedrohungen.

Dem Report zufolge ist KI nur in acht Prozent der erfassten Vorfälle operativer Bestandteil des Angriffs. Zwar übernimmt Automatisierung zunehmend die taktische Ausführung, die Auswahl der Ziele und die Absicht hinter einem Angriff bestimmen jedoch weiterhin Menschen. Die neu vorgestellte Einheit Rapid7 Intelligence greift auf Schwachstellenforschung, Incident Response an vorderster Front und die Beobachtung von Untergrundforen zurück und setzt die Erkenntnisse zu einem umfassenden Bild der Angreiferoperationen zusammen.

„In Präsentationen für Vorstände und Aufsichtsräte wird die tatsächliche Explosion KI-gestützter Schwachstellenfunde regelmäßig mit der Ausnutzung dieser Schwachstellen verwechselt und die ist bislang ausgeblieben. Nur acht Prozent der von uns ausgewerteten Meldungen nennen KI als operativen Bestandteil“, sagt Christiaan Beek, Vice President of Rapid7 Intelligence. „Das ist allerdings eine Momentaufnahme der Verbreitung, keine Obergrenze. Agentenbasierte Fähigkeiten entwickeln sich schneller, als irgendeine Organisation ihre Prozesse darauf umstellen kann; Angreifer eingeschlossen. Die Frage ist nicht ob, sondern wann agentenbasierte Ausnutzung in die Breite geht. Verteidiger müssen über reaktives Patchen hinauskommen und ihre Risikobereitschaft in konkreten Tagen der Exponierung bemessen.“

Die wichtigsten Ergebnisse

• Die Ausnutzung von Schwachstellen beschleunigt sich weiter: Angreifer nutzen Schwachstellen mit hohem Schweregrad im Schnitt nach nur drei Tagen aus, 71 Prozent der Ausnutzung entfallen auf die erste Woche. Kritische Exponierungen müssen damit deutlich schneller behoben werden, als es klassische Patch-Zyklen zulassen.
• Deutschland ist nach den USA das am zweitstärksten betroffene Land: 7,3 Prozent aller gelisteten Ransomware-Vorfälle entfielen im dritten Quartal auf Deutschland, vor Italien und Kanada (je 5,3 Prozent) sowie dem Vereinigten Königreich (4,7 Prozent). Auf die USA entfielen 60,4 Prozent.
• Auf US-Organisationen entfiel das größte Volumen an Ransomware-Einträgen: Rapid7 erfasste 1.112 Einträge auf Leak-Seiten in den USA, rund achtmal so viele wie in Deutschland. Die aktivsten Gruppen waren The Gentlemen (342), Qilin (339) und INC Ransom (99).
• „Holy Grail“-Schwachstellen treiben die Angriffe: 79 Prozent der ausgenutzten Schwachstellen erforderten weder eine Authentifizierung noch eine Nutzerinteraktion und gaben Angreifern damit direkten Fernzugriff auf Unternehmensumgebungen.
• Der Handel mit gekaperten Zugängen prägte das Geschehen im Darknet: Von 63 beobachteten Beiträgen boten 41 Zugänge über das Remote Desktop Protocol (RDP) oder Netzwerkzugänge an.
• Das produzierende Gewerbe war mit 16,1 Prozent der am zweithäufigsten von Ransomware betroffene Sektor – nach Business Services (17 Prozent) und vor Gesundheitswesen (14,9 Prozent), Technologie (10,8 Prozent) und Bau (9,8 Prozent).
• Zu den im Quartal verfolgten Akteuren zählt Void Blizzard: ein russlandnaher Spionageakteur, dessen öffentlich dokumentierte Ziele durchgängig Behörden und Strafverfolgungsbehörden sind, daneben Verteidigung, Transport, Medien und Gesundheitswesen; vorrangig in Mitgliedstaaten der NATO und in der Ukraine. Behörden sind dort Kernziel, nicht Beifang.

Die Gruppen wechseln, die Kerntaktiken bleiben bestehen

Über Spionage- und Cybercrime-Kampagnen hinweg wechseln zwar die Gruppen, die Kerntaktiken bleiben jedoch bestehen: Command-and-Scripting-Interpreter, Diebstahl von Zugangsdaten und die Ausnutzung von Fernzugriffen. Entscheidend ist deshalb nicht, welche Gruppe gerade einen Namen hat, sondern ob Sicherheitsteams auffälliges Verhalten erkennen und darauf reagieren können. Statische Listen bekannter Akteure helfen dabei nicht weiter.

Was das für den Sicherheitsbetrieb bedeutet

Die Ergebnisse aus dem dritten Quartal 2026 ergeben klare Prioritäten für die Cyberabwehr der Sicherheitsteams: exponierte Assets identifizieren, bewerten, was Angreifer tatsächlich ausnutzen können und Maßnahmen nach ihrer Auswirkung auf das Geschäft priorisieren. Auch wenn die Bedrohungslage dem Report zufolge weiterhin vom Menschen gesteuert wird, setzen Angreifer KI bereits ein, um ihre Kampagnen zu beschleunigen. Umso wichtiger ist es, aus der Ferne ausnutzbare Schwachstellen umgehend zu schließen, statt auf den nächsten geplanten Wartungstermin zu warten.

Häufige Fragen (FAQ)