Ein Bedrohungsbericht von Fortinet zeigt: Cyberkriminelle haben Cloud-Angriffe industrialisiert und wandeln gestohlene Zugangsdaten mittels automatisierter Workflows in vollständige Kompromittierungen um – schneller, als menschliche Verteidiger reagieren können.
Cyberkriminelle behandeln Schwachstellen in der Cloud nicht mehr als Probleme, die über Tage oder Wochen bewertet werden – sie speisen sie in automatisierte Pipelines ein, die Angriffsflächen innerhalb weniger Stunden in Kompromittierungen verwandeln. Das ist das zentrale Ergebnis des neu veröffentlichten Berichts „2026 Cloud-Native Threat Landscape Report“ von Fortinet, der auf Telemetriedaten der unternehmenseigenen Cloud-Sicherheitsplattform FortiCNAPP basiert.
Laut Unternehmensangaben ist die Zeitspanne zwischen der öffentlichen Bekanntgabe einer Schwachstelle und ihrer ersten beobachteten Ausnutzung – die sogenannte Time-to-Exploit (TTE) – von rund einer Woche auf durchgängig 24 bis 48 Stunden gesunken, in manchen Fällen sogar auf unter 24 Stunden. Fortinet führt diese Entwicklung vor allem auf KI-gestützte Aufklärung, Exploit-Entwicklung und Automatisierung zurück, die heute das großmaßstäbliche Vorgehen von Angreifern prägen statt manuell gesteuerter Einzelkampagnen.
Aufklärung im Maschinentempo, global
Die Telemetriedaten von Fortinet verzeichneten nach Unternehmensangaben 150 Millionen Aufklärungsversuche, 2,3 Milliarden Brute-Force-Angriffe und 1,7 Milliarden Verbindungen aus bekannten schädlichen Quellen in überwachten Cloud-Umgebungen. Das Unternehmen wertet dies als Beleg für eine kontinuierliche, im Maschinentempo ablaufende Kartierung von Angriffsflächen, unabhängig von klassischen Kampagnenzyklen.
Der Bericht identifiziert die Kompromittierung von Identitäten als dominanten Angriffsvektor in allen untersuchten Regionen. Angreifer verschaffen sich zunehmend über gestohlene, offengelegte oder missbrauchte Zugangsdaten Zugang statt über Malware oder Exploits – eine Technik, die laut Unternehmensangaben häufig netzwerkzentrierte Sicherheitskontrollen umgeht, da die resultierende Aktivität sich kaum von legitimer Cloud-Nutzung unterscheidet.
Fortinet veranschaulicht dies anhand des nach eigenen Angaben am häufigsten beobachteten Angriffsmusters: von Zugangsdaten zum Ressourcen-Hijacking, exemplarisch dargestellt an der sogenannten TruffleNet-Kampagne. Dabei spüren Angreifer zunächst über automatisiertes Scannen von Code-Repositorys geleakte Zugangsschlüssel auf, validieren die Zugangsdaten über API-Aufrufe wie GetCallerIdentity, kartieren Cloud-Infrastruktur und -Dienste, eskalieren Rechte über Techniken wie AttachUserPolicy und CreateUser und monetarisieren den Zugang schließlich häufig durch den Missbrauch von Cloud-E-Mail-Diensten für Business-E-Mail-Compromise-Betrug.
Ein zweites häufig beobachtetes Muster führt direkt von der Ausnutzung einer Schwachstelle zum Cryptomining: Angreifer nutzen eine öffentlich zugängliche Anwendung aus, verschaffen sich Zugriff auf einen Container, deaktivieren Sicherheits-Agents, installieren Persistenzmechanismen wie Cron-Jobs und setzen Cryptomining-Payloads wie XMRig und H2Miner ein, so der Bericht.
Fehlkonfigurationen beschleunigen, verursachen aber selten den Erstzugriff
Fehlkonfigurationen allein lösen laut Bericht meist keinen Sicherheitsvorfall aus, erhöhen aber die Angriffsgeschwindigkeit erheblich, sobald eine Identität kompromittiert wurde. Fortinet listet zehn Sicherheitskontrollen auf, die nach eigenen Angaben am häufigsten fehlen – darunter selten rotierte Zugangsschlüssel, unbeschränkte Netzwerkzugriffslisten, öffentlich zugänglicher Speicher und Root-Konten ohne Multi-Faktor-Authentifizierung.
Unter den aktiv ausgenutzten Schwachstellen nennt der Bericht drei mit besonders hoher Schwere: eine Remote-Code-Execution-Lücke in React- und Next.js-Anwendungen, eine Redis-Lua-Sandbox-Escape-Schwachstelle mit der maximalen CVSS-Bewertung von 10,0 sowie eine nicht authentifizierte Remote-Code-Execution-Schwachstelle im Kubernetes-NGINX-Ingress-Controller, bekannt als IngressNightmare.
Aufklärungsaktivität als Frühwarnsignal
Der Bericht beschreibt automatisierte Aufklärung – die Kartierung von Cloud-Ressourcen, Identitätsberechtigungen und Rechteeskalationspfaden – als letztes wirksames Zeitfenster für Verteidiger, um einen Angriff vor Rechteausweitung und Monetarisierung zu unterbrechen. Ist diese Phase abgeschlossen, werde die Untersuchung laut Fortinet meist retrospektiv statt präventiv, während sich Eindämmungsfenster von Stunden auf Minuten verkürzten.
Regional zeigte sich die höchste Kompromittierungsrate bei Identitäten im asiatisch-pazifischen Raum, dicht gefolgt von Nord-, Mittel- und Südamerika, während host-basierte Kompromittierungen weltweit vergleichsweise konstant blieben und 11 bis 13 Prozent der überwachten Umgebungen betrafen. Zudem beobachtete das Unternehmen einen umgekehrten Zusammenhang zwischen der Häufigkeit proaktiver Penetrationstests und erfolgreichen Identitätskompromittierungen – Organisationen mit regelmäßigen Red-Team-Übungen wiesen demnach messbar niedrigere Kompromittierungsraten auf. Amerika verzeichnete die höchste relative Verbreitung solcher Tests, gefolgt von EMEA.
Empfehlungen: Wandel zu kontinuierlicher, KI-gestützter Verteidigung
Fortinet argumentiert, dass die Abwehr eines industrialisierten Angriffsmodells eine ebenso systematische Verteidigungshaltung erfordere. Zu den Empfehlungen zählen der Einsatz von Continuous Threat Exposure Management zur Priorisierung von Behebungsmaßnahmen, die Integration von Sicherheitsprüfungen direkt in den Code während der Entwicklung, die konsequente Durchsetzung des Least-Privilege-Prinzips für menschliche wie nicht-menschliche Identitäten sowie der Einsatz KI-gestützter Verhaltenserkennung, die schwache Signale zu belastbaren Warnmeldungen korreliert, statt sich allein auf statische Regeln und Signaturen zu verlassen.
Das Unternehmen verweist zudem auf Deception-Technologie zur frühzeitigen Erkennung von Eindringlingen vor der Monetarisierungsphase sowie auf Egress-Filterung zur Eindämmung von Datenexfiltration und regelmäßige Incident-Response-Übungen unter Einbeziehung KI-gestützten Red-Teamings.
„Kompromittierung ist kein Ereignis. Sie ist ein Betriebszustand“, heißt es im Fazit des Berichts, der argumentiert, dass nicht allein die Raffinesse der eingesetzten Werkzeuge, sondern die Verteidigungsgeschwindigkeit heute der entscheidende Risikofaktor für Organisationen in der Cloud sei.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de