Vishing-Angriffe haben sich verdoppelt, Cloud-Attacken finanziell motivierter Akteure sind um 171 Prozent gestiegen, und Schwachstellen werden innerhalb von 48 Stunden nach Bekanntwerden ausgenutzt – der neue Threat Hunting Report von CrowdStrike zeigt, wie Angreifer schneller agieren, als Verteidiger reagieren können.
Cyberkriminelle und staatlich gesteuerte Hacker erzwingen sich immer seltener gewaltsam Zugang – sie nutzen lieber Türen, die Verteidiger offen lassen. Laut dem CrowdStrike 2026 Threat Hunting Report, der Angriffsaktivitäten von Juli 2025 bis Juni 2026 abdeckt, missbrauchen Angreifer zunehmend gültige Zugangsdaten, Cloud-Authentifizierungsabläufe, SaaS-Plattformen und Software-Lieferketten für unentdeckten Zugriff, während künstliche Intelligenz sowohl Aufklärung als auch Ausnutzungszeiträume beschleunigt.
Der von CrowdStrike OverWatch und CrowdStrike Intelligence erstellte Bericht analysiert täglich sieben Billionen Telemetrie-Ereignisse und dokumentiert mehr als 36.000 Kundenbenachrichtigungen im vergangenen Jahr. Erstmals wurde der Berichtsumfang über interaktive, manuell gesteuerte Angriffe hinaus auf automatisierte Attacken erweitert – ein Hinweis auf eine reifende Bedrohungslandschaft, in der ausgefeilte Akteure skalierbare Automatisierung mit klassischem Handwerk kombinieren, so das Unternehmen.
Die gesamte Angriffsaktivität wuchs im Jahresvergleich um rund 4 Prozent – ein deutlicher Rückgang gegenüber dem Anstieg von 27 Prozent im Vorjahr. CrowdStrike führt dieses Plateau nicht auf nachlassende Angriffsabsichten zurück, sondern auf eine Verschiebung hin zu komplexeren, ressourcenintensiveren Kampagnen statt opportunistischer Massenangriffe. Der Technologiesektor blieb im neunten Jahr in Folge das häufigste Ziel, während Finanzdienstleister und Bildungseinrichtungen mit 11 beziehungsweise 17 Prozent den stärksten Anstieg beim Targeting verzeichneten.
Schwachstellen werden binnen Stunden ausgenutzt
Laut Bericht erfolgten zwischen Januar und Juni 2026 88 Prozent der beobachteten Ausnutzungen von Schwachstellen mit öffentlichem Proof-of-Concept innerhalb von 48 Stunden nach Veröffentlichung. Die China-nahen Akteure VAULT PANDA und GENESIS PANDA waren noch schneller und starteten Angriffe innerhalb von 24 Stunden nach Bekanntwerden der kritischen Schwachstelle React2Shell im Dezember 2025 – eine Kampagne, die in nur vier Tagen mehr als 800 Hunting-Leads bei über 80 betroffenen Organisationen auslöste. CrowdStrike erwartet, dass Frontier-KI-Systeme diese Zeitfenster künftig weiter verkürzen werden.
Software-Lieferketten systematisch angegriffen
Angriffe auf Lieferketten nahmen deutlich zu: Bösartige npm-Pakete machten im ersten Halbjahr 2026 87 Prozent aller identifizierten bösartigen Software-Registry-Bedrohungen aus. Der eCrime-Akteur ALTERED SPIDER kompromittierte mit selbstverbreitender Malware mehr als 300 Software-Abhängigkeiten an einem einzigen Tag, während der nordkoreanische Akteur STARDUST CHOLLIMA Entwickler-Ökosysteme durch Social Engineering infiltrierte – in einem Fall wurde ein Mitarbeiter über einen betrügerischen LinkedIn-Videoanruf getäuscht. CrowdStrike warnt, dass KI-Entwicklungstools – SDKs, Modell-Frameworks und MCP-Integrationen – zum nächsten großen Schauplatz für Lieferkettenangriffe werden.
Vishing als bevorzugter Einstiegspunkt
Voice-Phishing (Vishing) hat sich zu einem der am schnellsten wachsenden Erstzugangsvektoren entwickelt: CrowdStrike OverWatch verzeichnete im ersten Halbjahr 2026 eine Verdopplung der Vishing-Angriffe gegenüber dem zweiten Halbjahr 2025. Akteure wie CORDIAL SPIDER und SNARKY SPIDER geben sich als IT-Personal aus, um Mitarbeitende zur Authentifizierung auf gefälschten Single-Sign-on-Seiten zu bewegen, und exfiltrieren anschließend rasch Daten aus SaaS-Anwendungen – in einem Fall gelangte SNARKY SPIDER innerhalb von weniger als fünf Minuten von der Kontoübernahme zum Datendiebstahl.
Cloud-Umgebungen als neue Frontlinie
Finanziell motivierte Cloud-Angriffe stiegen im Berichtszeitraum um 171 Prozent, getrieben durch Credential-Diebstahl, Cryptomining und den Missbrauch von Zugangsdaten für KI, bekannt als LLMJacking. Device-Code-Phishing-Versuche vervielfachten sich um den Faktor 15 binnen sechs Monaten, da Angreifer vertrauenswürdige OAuth-2.0-Authentifizierungsabläufe ausnutzen, um Multi-Faktor-Authentifizierung vollständig zu umgehen. In einem dokumentierten Fall sendete ein Angreifer innerhalb von zwei Minuten fast 200.000 API-Anfragen an einen Cloud-KI-Dienst.
Spionage auf Geschäftsreisen in China
Der China-nahe Akteur OVERCAST PANDA verfolgte einen völlig anderen Ansatz und kompromittierte physisch Geräte von Geschäftsreisenden in China – häufig während des Abendessens bei Konferenzen –, indem Laptops per USB-Stick gebootet wurden, um die Backdoor FlowCloud zu installieren und dabei netzwerkbasierte Verteidigungsmaßnahmen vollständig zu umgehen.
Empfehlungen
CrowdStrike rät Unternehmen, KI-Systeme, Identitätsinfrastruktur und Entwicklungsumgebungen als primäre Angriffsflächen zu betrachten, die kontinuierliches, geheimdienstlich gestütztes Monitoring statt statischer Kontrollen erfordern – nur verhaltensbasiertes, domänenübergreifendes Threat Hunting könne mit Angreifern Schritt halten, die inzwischen gleichzeitig über Endpunkte, Cloud, Identität und KI hinweg operieren.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de