Prompt Injection: Warum die größte Schwachstelle der KI nicht im Code liegt, sondern in der Sprache
Prompt Injection beschreibt genau das. Angreifer nutzen Sprache, um KI-Systeme gezielt zu manipulieren. Sie formulieren Anweisungen so, dass die KI ihre eigentlichen Regeln ignoriert und Dinge tut, die sie nicht tun sollte. Das kann harmlos beginnen, etwa mit dem Umgehen von Sicherheitsvorgaben. Es kann aber auch dazu führen, dass sensible Informationen offengelegt oder Aktionen ausgelöst werden, die nie vorgesehen waren.
Was dabei oft unterschätzt wird: Diese Angriffe sehen nicht wie Angriffe aus. Sie wirken wie normale Kommunikation.
Vom Code zur Sprache als Angriffsfläche
Nicht selten wird Prompt Injection mit SQL Injection verglichen. Und der Vergleich geht auf. Ging es damals darum, Datenbanken über manipulierte Eingaben auszutricksen, geht es heute darum, KI-Systeme über Sprache umzuprogrammieren.
Der entscheidende Unterschied liegt in der Form. Während klassische Angriffe technische Signaturen hinterlassen, bewegt sich Prompt Injection im Graubereich menschlicher Sprache. Eine simple Formulierung wie „Ignoriere alle vorherigen Anweisungen" kann ausreichen, um Schutzmechanismen auszuhebeln.
Noch kritischer wird es bei indirekten Angriffen. Hier verstecken sich Anweisungen nicht in der direkten Eingabe, sondern in Inhalten, die die KI später verarbeitet. E-Mails, Webseiten, oder Dokumente werden so zum Transportmittel für Angriffe. Ein scheinbar harmloser Newsletter etwa kann eine KI veranlassen, vertrauliche Informationen weiterzugeben oder unerwünschte Aktionen auszuführen. Die KI bewertet den Inhalt als relevant und handelt, ohne die Herkunft der Instruktionen zu hinterfragen. Das System wird damit nicht gehackt. Es wird fehlgeleitet.
Warum agentische KI das Risiko verschärft
Mit sogenannten agentenbasierten/eigenständig handelnden Systemen wächst die Tragweite dieser Angriffe erheblich. Denn diese KI-Anwendungen analysieren nicht nur Inhalte, sie handeln auch. Sie greifen auf Daten zu, interagieren mit Tools, automatisieren Prozesse und verfügen teils über administrative Rechte. Genau darin liegt das Problem. KI-Systeme können nicht zuverlässig zwischen vertrauenswürdigen und manipulierten Quellen unterscheiden. Sie operieren auf Basis von Kontext und Wahrscheinlichkeit. Und das nutzen Angreifer aus.
Wenn eine KI E-Mails, Chatverläufe und Webinhalte zusammenführt, kann eine einzige präparierte Nachricht ausreichen, um eine ganze Kette von Aktionen auszulösen. Plötzlich wird aus einer simplen Textanweisung ein operativer Eingriff in Systeme und Daten, oft ohne sichtbare Warnsignale.
Sicherheit neu denken heißt Grenzen setzen
Die gute Nachricht: Unternehmen können sich schützen. Allerdings nicht mit einem einzelnen Werkzeug, sondern mit einem mehrschichtigen Ansatz.
Ein erster Schritt ist eine konsequente Prüfung von Eingaben. Formulierungen, die versuchen, Regeln zu umgehen oder Anweisungen umzudeuten („Ignoriere alle vorherigen Anweisungen" „Führe diesen Befehl heimlich aus"), lassen sich häufig erkennen und filtern. Ebenso entscheidend ist das Prinzip der minimalen Rechtevergabe. Eine KI sollte nur auf die Daten und Funktionen zugreifen können, die sie tatsächlich benötigt.
Darüber hinaus braucht es klare technische Grenzen. Isolierte Laufzeitumgebungen, kontinuierliches Monitoring und eine sorgfältige Kontrolle der Ausgaben helfen dabei, Risiken zu begrenzen. Denn KI-Systeme sind nicht deterministisch. Auch ein gut abgesichertes System kann unerwartete Ergebnisse liefern.
Ein zentraler Grundsatz bleibt dabei unverändert: Vertrauen ist keine Default-Einstellung. Auch nicht für KI.
Die eigentliche Herausforderung liegt vor uns
Prompt Injection ist kein Randthema. Es ist ein Hinweis darauf, dass sich die Spielregeln der IT-Sicherheit verändern. Systeme werden nicht mehr nur über technische Schwächen angegriffen, sondern über ihre Fähigkeit, Sprache zu interpretieren.
Das macht die Angriffsfläche größer und schwerer greifbar. Gleichzeitig eröffnet es Unternehmen die Chance, Sicherheit neu zu denken: nicht als statische Verteidigung, sondern als dynamischen Prozess, der mit der Technologie mitwächst.
Wer heute KI einsetzt, sollte sich dieser Verantwortung bewusst sein. Denn die Frage ist längst nicht mehr nur, was ein System kann. Sondern auch, wozu es befähigt werden kann.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Sophos-Recherche: macOS-Nutzer verstärkt im Visier von Social-Engineering-Attacken
ClickFix ist eine zunehmend verbreitete Social-Engineering-Technik, mit der Angreifer die Anwender dazu verleiten, schädliche Software auf ihren Geräten zu installieren. Im Gegensatz zu herkömmlichen, Exploit-basierten Angriffen basiert diese Methode vollständig auf der Interaktion des Benutzers – in der Regel in Form von Kopieren und Ausführen von Befehlen. Die Methode hat sich als besonders effektiv erwiesen, da sich Anwender der Auswirkungen bei der Ausführung unbekannter und verschleierter Terminalbefehle potenziell gar nicht bewusst ist. Im Gegensatz zu vielen anderen Phishing-Techniken ist eine Authentifizierung wie zum Beispiel FIDO2 kein wirksamer Schutz gegen ClickFix-Angriffe.
Drei neue ClickFix-Kampagnen für macOS gesichtet
In der Vergangenheit richteten sich ClickFix-Kampagnen hauptsächlich gegen Windows-Nutzer. Die Strategie scheint sich zu ändern, bereits im Juni 2025 beschrieben Forscher eine Malware-Kampagne, bei der eine Variante des Infostealers Atomic macOS (AMOS) zum Einsatz kam und macOS-spezifische Köder auf Basis von User-Agent-Strings verwendet wurden.
In den letzten drei Monaten tauchten bei den Sophos-Analysten drei weitere ClickFix-Kampagnen auf dem Radar auf, die mit dem Infostealer MacSync ganz gezielt auf macOS-Nutzer abzielten. Eine Zuordnung zu ein und demselben Angreifer ist nicht gesichert, aber etwas anderes fällt auf: eine deutliche Weiterentwicklung und Veränderung der Vorgehensweisen und Taktiken – möglicherweise als Reaktion auf Ermittlungs- und Abwehrmaßnahmen, aber vielleicht auch als Reaktion auf technologische Trends.
Evolution oder Revolution?
Die drei analysierten Kampagnen zeigen eine Vielzahl neuer Taktiken und einige Änderungen gegenüber dem traditionellen ClickFix-Modell. Während alle drei Operationen in gewisser Weise den Einsatz von GenAI-bezogenen Ködern nutzten, stellt die Verlagerung von bösartigen Websites, die sich als bekannte legitime Unternehmen ausgeben, hin zu ChatGPT-Konversationen eine interessante Veränderung im Bereich Social Engineering dar und führt so einen neuen Angriffswinkel ein.
Mehr Risiken durch ChatGPT-Kommunikation
Während Warnungen über die Risiken bösartiger Websites mit scheinbar legitimem Anstrich mittlerweile eine hohe Präsenz haben, bringt der durchschnittliche Nutzer Kommunikationsplattformen wie ChatGPT oftmals noch nicht mit potenziellen Cybergefahren in Verbindung. Gerade deshalb eröffnet die Veränderung der technologischen Landschaft hin zur Nutzung von LLMs und agentenbasierter KI ein neues Spielfeld für Bedrohungsakteure, wie die aktuellen ClickFix-Kampagnen deutlich machen.
Die bei einer der untersuchten Kampagnen festgestellte Payload-Attacke ist ein weiteres Beispiel für eine signifikante Änderung der Angriffstaktiken. Enthielten frühere MacSync-Builds von ClickFix native MachO-Binärdateien, zeichnet sich die jüngste Variante durch ein mehrstufiges Loader-as-a-Service-Modell, dynamische AppleScript-Payloads und eine aggressive In-Memory-Ausführung aus – einschließlich der Fähigkeit, legitime Binärdateien zu patchen, anstatt einfach nur Anmeldedaten und Schlüssel abzugreifen. Diese Veränderung deutet darauf hin, dass sich die Malware-Entwickler an das Betriebssystem und seine Sicherheitsmaßnahmen angepasst haben, und sich das Risiko eines Angriffs für macOS-Benutzer somit weiter erhöht.
Sicherheitsmythos bei macOS bröckelt weiter
„Früher galt die vorherrschende Meinung, dass macOS-Systeme im Vergleich zu Windows-Systemen einem geringeren Risiko für Malware-Infektionen ausgesetzt seien, da es über eine Reihe nativer Sicherheitsfunktionen verfügt, die Angreifer dazu zwangen, technisch anspruchsvolle Techniken anzuwenden“, so Michael Veit, Cybersecurtiy-Experte bei Sophos. „Das ist heute nicht mehr der Fall. Mainstream-Malware betrifft mittlerweile regelmäßig macOS-Nutzer – insbesondere Infostealer, die einen erheblichen Teil aller macOS-Angriffe ausmachen. Aktuelle Kampagnen wie die immer raffinierteren Payload- und ClickFix-Attacken machen deutlich, dass sich dieser Bereich rasant weiterentwickelt.“
Der komplette, technisch vertiefende und mit Screenshots ausgestatte Beitrag ist im englischsprachigen Sophos Blog zu finden.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Angriff auf die digitale Lebensader: Telekommunikation ist die Königsklasse für die Cyberkriminalität
Sprungbrett Telekommunikation
Telekommunikationsunternehmen sind für Cyberkriminelle und staatlich gesteuerte Angreifer besonders attraktiv, da diese nicht nur große Mengen an sensiblen Kundendaten speichern, sondern auch als Einfallstor für weiterführende Angriffe auf andere kritische Infrastrukturen und Organisationen dienen. Der Zugriff auf Kommunikationsdaten ermöglicht es Angreifern, persönliche Netzwerke zu analysieren, etwa von Politikern, Militärs oder Geschäftsleuten, und gezielt Spionage oder Erpressung zu betreiben. Ein kompromittierter Telekommunikationsanbieter ist zudem der Türöffner für Angriffe auf Banken, Krankenhäuser oder Regierungsnetzwerke, was sie zu einem „Single Point of Failure“ mit systemischen Risiken für alle Industriesektoren macht. Fällt ein solches Netzwerk aus, sind die Adern der Wirtschaft und Gesellschaft betroffen – von Finanztransaktionen bis zu Notfalldiensten.
In Krisenzeiten können Angreifer Telekommunikationsnetzwerke gezielt lahmlegen oder manipulieren, um Chaos zu stiften. Beispiele wie der Angriff auf Viasat KA-SAT (Februar 2022), der während der russischen Invasion die Satellitenkommunikation in der Ukraine und Europa unterbrach und sogar die Fernwartung von 5.800 deutschen Windkraftanlagen lahmlegte. Diese Vorfälle verdeutlichen die Kaskadeneffekte, die von Angriffen auf Telekommunikationsnetzwerke ausgehen können. Doch längst nicht alle Angriffe zielen auf sofortige Zerstörung oder Erpressung ab. Gruppen wie Bronze Tiger (China) infiltrieren Telekommunikationsinfrastrukturen, um langfristig Daten zu sammeln – etwa für politische oder wirtschaftliche Spionage. Solche Angriffe bleiben oft jahrelang unentdeckt, untergraben aber das Vertrauen in digitale Kommunikation und können strategische Vorteile für die Angreifer schaffen. Die Bedrohung ist dabei nicht nur technischer Natur, sondern betrifft auch die Glaubwürdigkeit ganzer Gesellschaftssysteme, etwa wenn Bankdaten oder Regierungsinformationen kompromittiert werden.
Überwachung, Erkennung und frühe Reaktion
Angesichts dieser Bedrohungen müssen Telekommunikationsunternehmen und andere Betreiber kritischer Infrastrukturen proaktiv handeln. Ein zentraler Schritt ist eine risikobasierte Sicherheitsstrategie, die mit einer vollständigen Bestandsaufnahme aller IT-Assets beginnt. Nur wer weiß, welche Daten und Systeme geschützt werden müssen, kann gezielt handeln. Entscheidend aber ist eine umfassende Überwachung, um Angriffe mit Hilfe von KI und menschlichen Security-Experten frühzeitig zu erkennen. Wer mit kontinuierlicher Überwachung eine Bedrohung im Anfangsstadium erkennt, ist in der Lage, einen Angriff und gravierende Schäden für den Kritis-Anbieter und die gesamte Kommunikationskette abzuwenden.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Einzelhandel unter Druck
Für IT-Reseller, Systemhäuser und Managed Service Provider bedeutet das: Die Nachfrage nach echter Beratungskompetenz war selten größer. Wer jetzt die Rolle des vertrauenswürdigen Partners einnimmt, positioniert sich langfristig – und schützt gleichzeitig eine Branche, die sich selbst kaum helfen kann.
Die Lage: ernst, aber lösbar
Die Zahlen sprechen eine deutliche Sprache: Die durchschnittliche Lösegeldforderung gegenüber Einzelhandelsunternehmen hat sich binnen eines Jahres auf 2 Millionen US-Dollar verdoppelt. Hinzu kommen durchschnittliche Wiederherstellungskosten von 1,65 Millionen Dollar. Gleichzeitig lag die Rate bei grundlegenden Schutzmaßnahmen wie regelmäßigen Backups auf dem niedrigsten Stand seit vier Jahren. Fast die Hälfte aller Angriffe führte zu Datenverschlüsselung, mehr als ein Viertel zu Datendiebstahl.
Das eigentliche Problem ist dabei weniger technischer Natur. Es ist ein Wissensproblem. Einzelhändler investieren zwar in Sicherheitslösungen, treffen dabei aber oft die falschen Entscheidungen, weil das nötige Fachwissen fehlt.
„Viele Handelsunternehmen haben keinen vollständigen Überblick über ihre eigene Sicherheitslage. Angreifer nutzen genau diese blinden Flecken aus“, sagt Stefan Fritz, Director Channel Sales EMEA Central bei Sophos. „Im Handel stehen naturgemäß Sortiment, Kundenerlebnis und operative Abläufe im Mittelpunkt. Umso wichtiger sind Partner, die Cyberrisiken kontinuierlich im Blick behalten.“
Eine weitere Zahl aus der Studie unterstreicht dieses Problem: mangelnde Fachkenntnisspielte hier in 45 Prozent der Angriffe eine Rolle – was dem höchsten Wert entspricht, der in irgendeiner der im State of Ransomware untersuchten Branchen festgestellt wurde.
Die Chance: Orientierung in einer komplexen Bedrohungslage
Genau hier liegt die Chance für den IT-Channel. Neben der Auswahl passender Sicherheitslösungen gewinnt für den Channel vor allem eines an Bedeutung: Orientierung. Dazu gehören individuelle Bedrohungsanalysen, das Sichtbarmachen von Sicherheitslücken und Empfehlungen für geeignete Schutzmaßnahmen – untermauert durch Daten und Erkenntnisse aus realen Angriffsszenarien.
Besonders vielversprechend sind dabei Managed Detection and Response (MDR)-Dienste. Sie schließen Sicherheitslücken, ohne dass Einzelhändler ihre IT-Strukturen grundlegend umbauen müssen. „Der Channel hat heute die Möglichkeit, über klassische Produktverkäufe hinauszugehen“, sagt Stefan Fritz. „Channel-Partner, die Händler mit fundierten Bedrohungsanalysen und Managed Security Services unterstützen, entwickeln sich vom Lieferanten zum strategischen Sicherheitsberater.“
Gerade im Einzelhandel, wo IT-Sicherheit häufig nicht zum Kerngeschäft gehört, wächst der Bedarf nach solchen Partnern, die Risiken einordnen und Sicherheitsstrategien mit Blick auf das jeweilige Geschäftsmodell entwickeln.
„Die Nachfrage ist da. Das Wissen ebenfalls. Jetzt geht es darum, beides zusammenzubringen.“
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Ransomware auf Speed ist die große Herausforderung für CISOs
Künstliche Intelligenz (KI) verändert die Cyberbedrohungslandschaft nicht durch völlig neue Angriffsarten, sondern durch Skalierung, Geschwindigkeit und Präzision. Das bestätigen die Ergebnisse unseres neuen Sophos Active Adversary Report 2026. Angreifer nutzen KI als „Turbo“. Sie automatisieren bekannte Methoden wie Phishing oder Social Engineering und passen sie in Echtzeit an. In Folge stehen Unternehmen vor einer neuen Realität, in der Angriffe komplizierter zu erkennen sind und gleichzeitig schneller erkannt werden müssen.
KI ist Beschleuniger und kein Revolutionär
KI hat Cyberangriffe nicht neu erfunden, sondern ihre Ausführung optimiert. Statt handgefertigter Intrusionen dominieren heute automatisierte, adaptive Kampagnen, die auf bekannten Schwachstellen abzielen, darunter Identitäten, Zugriffslücken und Fehlkonfigurationen.
Der Active Adversary Report zeigt, dass beispielsweise die mittlere Verweildauer von Angreifern in Netzwerken bei nur noch drei Tagen liegt und Versuche, kritische Systeme wie Active Directory zu kompromittieren, oft innerhalb von Stunden erfolgen. KI verkürzt die Aufenthaltszeit der Cyberkriminellen, und damit auch die Reaktionszeit der Verteidiger, maßgeblich. Entscheidend ist also, wie gut Unternehmen auf diese schnellen Attacken vorbereitet sind. Zwei blinde Flecken bei Risiken durch KI-unterstütze Attacken werden von Unternehmen gerne unterschätzt.
An erster Stelle stehen die Gefahren durch eine fehlende Governance für nicht-menschliche Identitäten. Maschinenidentitäten – wie Service-Accounts oder API-Schlüssel – agieren rund um die Uhr, oft mit privilegiertem Zugriff, aber ohne klare Richtlinien. Wenn Zero Trust zwar für Nutzer und Geräte gilt, jedoch nicht für nicht-menschliche Identitäten, bleibt diese Angriffsfläche offen.
Die zweite große Gefahr liegt in den KI-Systemen selbst. Sie bieten eine zusätzliche Angriffsfläche. Zwar werden die KI-Plattformen wie andere Anwendungen auch gesichert und geschützt, jedoch werden oftmals die KI-spezifischen Risiken wie Prompt-Injection oder Datenmanipulation ignoriert.
Drei Strategien für CISOs im KI-Zeitalter
- Identitätsbasierte Erkennung: Anmeldeinformations- und Token-Missbrauch sind bereits Angriffe und nicht nur Indikatoren für eine bevorstehende Attacke. Unternehmen sollten die Transparenz und Sicherheit aller Arten von Identitäten priorisieren.
- Tiefere Telemetrie statt Tool-Vielfalt: Mehr Tools bedeuten nicht schnellere Reaktion. Ausschlaggebend ist die Korrelation und Anreicherung von Daten, um Angriffe in Echtzeit zu erkennen.
- Automatisierung mit klaren Grenzen: Reversible Maßnahmen – wie Token-Sperrung oder Geräteisolation – sollten automatisiert werden. Bei irreversiblen Entscheidungen bleibt der Mensch im Loop.
Die Geschwindigkeit ist entscheidet. Denn die größte Gefahr ist aktuell nicht die kreative Kraft der künstlichen Intelligenz in Händen der Bedrohungsakteure, sondern die Lücke zwischen Angriffs- und Abwehrgeschwindigkeit. Während Angreifer die KI nutzen, um die erste Phase ihres Angriffs – die Reconnaissancen – in Minuten durchzuführen und Angriffe zu optimieren, hinken viele Unternehmen aufgrund der fehlenden Vernetzung und Automatisierung ihrer Abwehrmechanismen hinterher. Die Bündelung in einem synchronisierten Cybersecurity-Ökosystem inklusive der effektiven KI-Nutzung auf Unternehmensseite kann „Ransomware auf Speed“ in die Grenzen weisen.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Sophos Active Adversary Report 2026: Identitätsangriffe dominieren, KI sucht ihren Weg und Bedrohungsgruppen reiben sich gegenseitig auf
Zentrale Ergebnisse aus dem aktuellen Active Adversary Report:
- Eine Verlagerung von ausgenutzten Schwachstellen hin zu kompromittierten Anmeldedaten, wobei Brute-Force-Angriffe mit 15,6 Prozent als initiale Zugangsmethode fast gleichauf mit Exploits mit 16 Prozent liegen.
- Die durchschnittliche Verweildauer sank auf drei Tage. Dies ist auf mehr Effizienz der Angreifer, aber auch die schnellere Reaktion der Verteidiger zurückzuführen. Der Rückgang ist in MDR-Umgebungen besonders auffällig.
- Angreifer gelangen immer schneller zum Active Directory (AD). Hat es der feindliche Akteur ins Innere der Organisation geschafft, braucht er nur 3,4 Stunden, um den AD-Server zu erreichen.
- Ransomware-Angriffe finden hauptsächlich außerhalb der Geschäftszeiten statt. 88 Prozent der Attacken fanden zu den Schließzeiten der Unternehmen statt, ebenso wie 79 Prozent der Datenexfiltration.
- Ein Mangel an Telemetrie untergräbt die Verteidigung zusätzlich. Die Anzahl fehlender Protokolle aufgrund von Problemen bei der Datenspeicherung hat sich im Vergleich zum Vorjahr verdoppelt. Dieser Anstieg ist vor allem auf Firewalls zurückzuführen, bei denen die Standardeinstellung für die Log-Dateien nur sieben Tage und in einigen Fällen sogar nur 24 Stunden betrug.
- Die Multifaktor-Authentifizierung ist bei vielen Unternehmen immer noch nicht als wichtiges Sicherheitselement angekommen. In 59 Prozent der Fälle mangelte es an MFA und erleichtert so den Missbrauch gestohlener und kompromittierter Zugangsdaten.
„Die beunruhigendste Erkenntnis des Reports hat sich bereits über Jahre hinweg entwickelt: Die Dominanz identitätsbezogener Ursachen für einen erfolgreichen ersten Zugriff. Kompromittierte Anmeldedaten, Brute-Force-Angriffe, Phishing und andere Taktiken nutzen Schwächen aus, die sich nicht einfach durch Patch-Hygiene lösen lassen. Organisationen müssen einen proaktiven Ansatz zur Identitätssicherung verfolgen“, mahnt John Shier, Field CISO und Hauptautor des Berichts.
Mehr Bedrohungsgruppen, größere Risiken
Die Sophos-Analysten beobachteten die höchste Anzahl an aktiven Bedrohungsgruppen, die jemals in der Geschichte des Active Adversary Reports aufgezeichnet wurde. Damit weitet sich die Bedrohungslandschaft insgesamt aus und es wird immer schwieriger, die kriminellen Aktivitäten zuzuordnen. Akira (GOLD SAHARA) und Qilin (GOLD FEATHER) waren die aktivsten observierten Ransomware-Gruppen, wobei Akira mit 22 Prozent der zugeordneten Vorfälle dominierte. Insgesamt tauchten 51 verschiedene Ransomware-Gruppen in allen Fällen auf, inklusive 27 wiederkehrende und 24 neue Gruppen. Nur vier Gruppen beziehungsweise Techniken bestehen dauerhaft seit 2020, dem ersten Jahr seit dem diese Daten im Active Adversary Report erhoben werden: LockBit, MedusaLocker, Phobos und der Missbrauch von BitLocker.
„Die Strafverfolgung sorgt weiterhin für Störungen im Ransomware-Ökosystem. Auch wenn wir immer noch Aktivitäten von LockBit sehen, sind dessen einstige Dominanz und Reputation eindeutig beeinträchtigt. Das bedeutet jedoch auch, dass eine Vielzahl an Gruppen um die Vorherrschaft wetteifern und dass wir viele neue aufstrebenden Gruppen sehen. Für die Verteidiger ist es wichtig, diese Dynamik und ihre TTPs zu verstehen, um die eigene Organisation bestmöglich zu schützen“, so Shier.
KI-Hype trifft auf Realität
Trotz weitverbreiteter Prognosen hat Sophos im vergangenen Jahr noch keinen Beweis für eine bedeutende, KI-getriebene Veränderung im Angreiferverhalten finden können. Während generative KI die Geschwindigkeit und Raffinesse von Phishing und Social Engineering ansteigen ließ, hat sie bislang noch keine grundlegend neue Angriffstechnik hervorgebracht.
„KI sorgt für mehr Umfang und Lärm, ersetzt aber noch keine Angreifer. Während generative KI in Zukunft der nächste Turbo sowohl für Angreifer als auch Verteidiger sein könnte, geht es heute noch immer um die Grundlagen: starker Identitätsschutz, zuverlässige Telemetrie und die Fähigkeit, schnell zu reagieren, wenn etwas schiefgeht“, so Shier.
Wichtige Erkenntnisse zur Verteidigung
Basierend auf den Ergebnissen des Active Adversary Reports 2026 empfiehlt Sophos Unternehmen fünf wichtige Schutzmaßnahmen:
- Phishing-resistente MFA bereitstellen und deren Konfiguration überprüfen
- Gefahr für die Identitätsinfrastruktur und der mit dem Internet verbundenen Dienste im Betrieb reduzieren
- Bekannte Schwachstellen unmittelbar patchen, besonders auf Edge-Geräten
- Mit MDR oder vergleichbaren Fähigkeiten für 24/7-Monitoring sorgen
- Sicherheitsprotokolle sichern und aufbewahren, um eine schnelle Entdeckung und Untersuchung zu unterstützen.
Für den Active Adversary Report 2026 wurden 661 IR- und MDR-Fälle zwischen 1. November 2024 und 31. Oktober 2025 analysiert. Die Angriffe betrafen Organisationen aus 70 Ländern und in 34 Branchen.
Den kompletten Active Adversary Report 2026 gibt es hier.
Sophos ist ein führender Anbieter im Bereich Cybersicherheit und schützt weltweit über 600.000 Unternehmen und Organisationen mit einer KI-gestützten Plattform und von Experten bereitgestellten Services. Sophos unterstützt Unternehmen und Organisationen unabhängig von ihrem aktuellen Sicherheitsniveau und entwickelt sich mit ihnen weiter, um Cyberangriffe erfolgreich abzuwehren. Die Lösungen von Sophos kombinieren maschinelles Lernen, Automatisierung und Echtzeit-Bedrohungsinformationen mit der menschlichen Expertise der Sophos X-Ops. So entsteht modernster Schutz mit einer 24/7 aktiven Erkennung, Analyse und Abwehr von Bedrohungen. Das Sophos-Portfolio beinhaltet branchenführende Managed Detection and Response Services (MDR) sowie umfassende Cybersecurity-Technologien – darunter Schutz für Endpoints, Netzwerke, E-Mails und Cloud-Umgebungen, XDR (Extended Detection and Response), ITDR (Identity Threat Detection and Response) und Next-Gen-SIEM. Ergänzt wird das Angebot durch Beratungs-Services, die Unternehmen und Organisationen helfen, Risiken proaktiv zu reduzieren und schneller zu reagieren – mit umfassender Transparenz und Skalierbarkeit, um Bedrohungen immer einen Schritt voraus zu sein. Der Vertrieb der Sophos-Lösungen erfolgt über ein globales Partner-Netzwerk, das Managed Service Provider (MSPs), Managed Security Service Provider (MSSPs), Reseller und Distributoren, Marketplace-Integrationen und Cyber Risk Partner umfasst. So können Unternehmen und Organisationen flexibel auf vertrauensvolle Partnerschaften setzen, wenn es um die Sicherheit ihres Geschäfts geht. Der Hauptsitz von Sophos befindet sich in Oxford, Großbritannien. Weitere Informationen finden Sie unter www.sophos.de.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Ransomware in Großunternehmen: Bessere Abwehr, sinkende Kosten und konstanter Druck auf die IT
Der Report basiert auf den Erfahrungen von 1.733 Unternehmen, die 2025 Opfer von Ransomware wurden. Dabei wird deutlich, dass nicht nur technische Lücken, sondern auch menschliche Faktoren eine zentrale Rolle spielen. So nennen fast vier von zehn Betroffenen fehlendes Personal oder Know-how als entscheidenden Grund für ihre Verwundbarkeit. Das ist ein ähnliches Bild wie bei kleineren und mittleren Unternehmen, die deutlich unter Ressourcenmangel leiden – 42 Prozent der kleinen und mittelständischen Unternehmen sehen darin den Schlüssel für ihre Anfälligkeit.
Erfolgreiche Abwehr: Weniger Verschlüsselung, mehr Frühwarnsysteme
Eine gute Entwicklung: Immer mehr Unternehmen schaffen es, Angriffe zu stoppen, bevor Daten verschlüsselt werden. Während 2024 noch 66 Prozent der Attacken erfolgreich waren, lag die Quote 2025 bei unter fünfzig Prozent. Gleichzeitig gelang es fast jedem zweiten Unternehmen, die Angriffe frühzeitig abzuwehren – doppelt so viele wie noch zwei Jahre zuvor. Das deutet darauf hin, dass Investitionen in Früherkennung und Notfallpläne langsam Wirkung zeigen.
Lösegeld und Backups: Ein ambivalentes Bild
Die Bereitschaft, Lösegeld zu zahlen, hat sich 2025 kaum verändert. Knapp die Hälfte der betroffenen Unternehmen (48 Prozent) entschied sich weiterhin für diesen Schritt. Auffällig ist hingegen der rückläufige Einsatz von Backups zur Wiederherstellung: die Nutzung von Backups sank auf 53 Prozent und damit auf den niedrigsten Stand seit vier Jahren. Viele Organisationen zweifeln offenbar an der Zuverlässigkeit ihrer Sicherungen oder sehen sich unter Zeitdruck gezwungen, andere Wege zu gehen.
Die Kosten: Finanziell entspannt, menschlich belastend
Die finanziellen Folgen von Ransomware-Angriffen haben sich 2025 spürbar verringert. Die durchschnittlichen Lösegeldzahlungen fielen um deutliche 56 Prozent, und zwar von rund 2,3 Millionen Euro auf weniger als eine Million. Auch die Kosten für die Wiederherstellung sanken erheblich.
Doch während die Rechnungen schrumpfen, wächst der Druck auf die Teams. Vier von zehn IT- und Sicherheitsverantwortlichen berichten von höheren Erwartungen ihrer Vorgesetzten, fast genauso viele von chronischer Überlastung. Besonders schwer wiegt für viele neben der Sorge, künftige Angriffe nicht verhindern zu können auch das Gefühl, bei bereits erfolgten erfolgreichen Attacken versagt zu haben – und das, obwohl Ransomware oft systematische Schwächen ausnutzt, die nicht allein in der Verantwortung Einzelner liegen.
Fazit: Besser vorbereitet, aber nicht entwarnt
Die Zahlen zeigen, dass Unternehmen lernen, sich zu wehren. Doch Ransomware bleibt eine komplexe Herausforderung – technisch, organisatorisch und menschlich. Wirksame Ransomware-Abwehr erfordert ein konsequentes Schwachstellenmanagement, belastbare und regelmäßig getestete Backups sowie klare Prozesse für den Ernstfall. Ebenso wichtig ist es, IT- und Sicherheitsteams strukturell zu stärken, realistische Erwartungen zu formulieren und sie auch auf organisatorischer Ebene zu unterstützen.
Über die Studie
Die Ergebnisse basieren auf einer unabhängigen Umfrage unter 3.400 IT- und Cybersicherheitsverantwortlichen in 17 Ländern, durchgeführt 2025 vom Forschungsinstitut Vanson Bourne im Auftrag von Sophos. Befragt wurden Unternehmen mit 100 bis 5.000 Mitarbeitenden, darunter 1.733 Großunternehmen mit mehr als 1.000 Mitarbeitenden.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
ChatGPT hat die Welt verändert, OpenClaw krempelt sie um
Wer hätte gedacht, dass wir nur ein Open-Source-Projekt vom bedeutendsten Paradigmenwechsel in der künstlichen Intelligenz (KI) seit ChatGPT entfernt sind? OpenClaw wurde bereits als „das, was Siri und Alexa hätten sein sollen“ beschrieben, aber das ist eine gewaltige Untertreibung und wird seinem Schöpfer Peter Steinberger nicht gerecht. Mich erinnert es viel eher an Jarvis aus dem Blockbuster „Iron Man“ oder, vielleicht noch beunruhigender, an Samantha aus dem Science-Fiction-Film „Her“.
Und tatsächlich ist das Ganze auf den ersten Blick fast zu schön, um wahr zu sein: Sobald OpenClaw läuft, liegt etwas Magisches in der Luft. Man kann all die lästigen Routineaufgaben abgeben – Erinnerungen einrichten, tägliche Briefings erstellen, Informationen aus dem Kalender abrufen, E-Mail-Antworten entwerfen, neue Dienste entwickeln lassen…das Programm merkt sich alles, was einem wichtig ist, und speichert diese Informationen auf einem Gerät der Wahl.
Die tödliche Dreifaltigkeit
Jetz kommt das „Aber“. Mit jeder großen KI-Superkraft geht ein noch größeres Sicherheitsrisiko einher. Vor sechs Monaten prägte Simon Willison den Begriff „tödliche Dreifaltigkeit“ für KI-Agenten, und OpenClaw erfüllt sie in vollem Umfang. Wenn ein KI-Assistent oder -Agent über alle drei dieser Attribute verfügt – Zugriff auf private Daten, Zugang zu nicht vertrauenswürdigen Inhalten und die Fähigkeit zur externen Kommunikation –, kann ein Angreifer ihn durch manipulierte Eingabeaufforderungen dazu verleiten, sensible Informationen preiszugeben. Zwar lässt sich diesem Problem durch Schutzmaßnahmen entgegenwirken, es ist aber noch lange nicht gelöst. Werden die Anweisungen (Eingabeaufforderung) und die Daten (Kontext) letztendlich über denselben Kanal an das LLM übermittelt, kann dieses nicht zwischen beiden unterscheiden, und die Daten können wie Anweisungen wirken. OpenClaw vereint derart viele dieser drei gefährlichen Eigenschaften, dass jeder Nutzer sehr genau überlegen sollte, ob er es mit wichtigen Systemen verbindet. Meine Empfehlung: Nutzer, die OpenClaw ausprobieren wollen, sollten zumindest den verwendeten Rechner isolieren und die Kommunikationswege so weit wie möglich kontrollieren, um zu verhindern, dass ein Angreifer schädliche Eingabeaufforderungen einschleust. Ich weiß, dass Peter Steinberger intensiv an der Absicherung von OpenClaw arbeitet, aber die Wahrscheinlichkeit ist hoch, dass sich eine manipulierte Fähigkeit, die sensible Informationen exfiltriert, unbemerkt verbreitet.
Um es klarzustellen: Anwender sollten OpenClaw auf keinen Fall in einem Unternehmensnetzwerk nutzen oder mit Unternehmenssystemen verbinden. Das Tool verfügt aktuell über keine unternehmensweiten Zugriffskontrollen, keine rollenbasierte Zugriffskontrolle, keinen formalen Prüfpfad und keine Möglichkeit zur Verhinderung von Datenverlust. Ohne Freigabe des zuständigen Sicherheitsteams sollte es keinerlei Kundendaten, personenbezogene Daten oder geistiges Eigentum verarbeiten. Das macht die Sicherheitsdokumentation des Projekts selbst deutlich: „OpenClaw is both a product and an experiment: you’re wiring frontier-model behavior into real messaging surfaces and real tools. There is no ‘perfectly secure’ setup.“
Kontinuierliches Lernen und integrierte Programmierung
Eine der wichtigsten Aspekte von OpenClaw ist das kontinuierliche Lernen. Ansätze dazu gibt es bei verschiedenen großen Modellanbietern, aber meiner Meinung nach aktuell nichts Vergleichbares.
OpenClaw verwendet eine Reihe von Markdown-Dateien, um einen persistenten Speicher über Sitzungen hinweg aufzubauen. USER.md speichert alles über den Nutzer: persönliche Präferenzen, Hintergrundinfos und Kommunikationsstil. SOUL.md definiert die Persönlichkeit und die Verhaltensrichtlinien des Agenten. MEMORY.md dient als langfristiger, vom Agenten selbst verwalteter Speicher. Tägliche Speicherdateien dienen als Rohprotokolle der Sitzungen. Der Agent liest diese Daten zu Beginn jeder Sitzung und aktualisiert sie fortlaufend. Es ist verblüffend einfach. Doch kombiniert man persistenten Speicher mit reibungsloser Kommunikation (z. B. Signal, WhatsApp, iMessage), erhält man das Rezept für eine herausragende KI-Anwendung.
Das Ergebnis ist ein System, das sich tatsächlich so anfühlt, als hätte es unendlichen Speicher. Es scheint sich alles zu merken, was man ihm mitteilt, und nutzt dies als Kontext für die jeweils nächste Aufgabe.
Die Ausführung von OpenClaw auf eigener Hardware oder in der Cloud vermittelt dabei das (vielleicht fälschliche) Gefühl, Kontrolle über Ihre Daten zu haben, und ermöglicht es zudem, den Modellanbieter so einfach wie eine SMS zu wechseln. Obwohl es sich größtenteils um Middleware handelt und der Modellanbieter die rechenintensiven Aufgaben übernimmt und alle Ihre Eingaben und Antworten einsehen kann, ist es überraschend befreiend, die Kontrolle über die Daten zu behalten.
Ein weiterer großer Vorteil von OpenClaw, wenn uneingeschränkter Zugriff auf einen Computer gewährt wird, ist, dass es sich mithilfe von KI-Programmierassistenten unbegrenzt selbst verbessern kann. Wenn eine Funktion benötigt wird, die eine neue Anwendung erfordert, die es nicht gibt oder für die der Nutzer nicht bezahlen möchte, bietet OpenClaw an, diese zu erstellen. Ist die Funktion ausreichend einfach (wie bei vielen SaaS-Anwendungen), können Claude Code oder Codex sie oft mit nur einem Klick implementieren und mit einer einzigen Eingabe ein funktionierendes Ergebnis erzielen.
ChatGPT hat die Welt verändert, OpenClaw krempelt sie um
Ich habe das Wochenende damit verbracht, OpenClaw auf einem Mac mini einzurichten und es mit Signal, einem Kalender und einem E-Mail-Programm zu verbinden. Schon bald erfasste es Aufgaben, erstellte tägliche Zusammenfassungen der neuesten OpenClaw-Kenntnisse und erinnerte mich daran, ins Bett zu gehen, da ich morgen einen Flug erwischen muss. Ich schreibe dies gerade um Mitternacht mit seiner Hilfe. ChatGPT hat die Welt verändert, aber OpenClaw wird sie komplett umkrempeln.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
Sophos modernisiert Partnerportal und startet neuen Partner-Blog
Im Mittelpunkt steht eine vollständig überarbeitete Benutzeroberfläche, die den Zugriff auf Tools und Inhalte vereinfacht. Ergänzt wird dies durch smart geführte Demand-Generation-Kampagnen mit automatisiertem Co-Branding, mit denen Partner Marketingkampagnen schneller umsetzen können. Auch die Asset-Bibliothek wurde optimiert und bietet nun eine verbesserte Navigation sowie erweiterte Suchfunktionen.
Parallel dazu startet Sophos den neuen Partner Blog. Dieser dient als zentrale Informations- und Kommunikationsplattform für den IT-Channel und bündelt Partner-News, Portal-Updates, Produktinformationen und strategische Ankündigungen an einem Ort.
„Unser Partner-Portal ist neben der persönlichen Betreuung die wichtigste Schnittstelle zwischen Sophos und unseren Partnern“, sagt Stefan Fritz, Senior Director Channel Sales EMEA Central. „Als rein Channel-orientierter Security-Anbieter ist es uns schon immer besonders wichtig, unseren Partnern die bestmögliche Unterstützung für ihre Effizienz und ihren Geschäftserfolg anzubieten. Dies spiegelt sich in der neuen Gestaltung und der neuen Nutzerführung des Partner Portals auf moderne Art und Weise wider. Zudem schaffen wir mit dem neuen Partner-Blog eine zusätzliche Informations- und Kommunikationsebene, die es unseren Partnern noch einfacher macht, mit den vielfältigen Möglichkeiten und Informationen auf dem Laufenden zu bleiben.“
Alle Geschäftsprozesse wie die Deal-Registrierung, das Opportunity Management und die Angebotsprozesse bleiben unverändert. Auch am Login-Verfahren ändert sich nichts. Beim ersten Login nach dem Update sind lediglich die Zustimmung zu den aktualisierten Nutzungsbedingungen sowie die Festlegung der Sprache erforderlich.
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Ene, mene, muh? Wie Ransomware-Gruppen ihre Opfer auswählen
Obwohl einige Gruppen gezielt versuchen, über den Zugang zu umsatzstarken Unternehmen höhere Lösegeldforderungen durchzusetzen, zeigen die Untersuchungsergebnisse, dass die Mehrheit der Ransomware-Angriffe kleine Unternehmen trifft. Die Gründe hierfür liegen auf der Hand: Begrenzte Budgets und fehlende eigene Ressourcen für Cybersicherheit erhöhen die Verwundbarkeit dieser Betriebe. Sie werden von Angreifern als besonders leicht erreichbare Ziele wahrgenommen.
Opportunismus anstelle von gezielter Auswahl
Ausgangspunkt der Untersuchung war die wiederkehrende Frage an die Sophos-Forscher, ob bestimmte Ransomware-Gruppen gezielt einzelne Branchen oder Regionen ins Visier nehmen. Auch wenn diese Sorge nachvollziehbar ist, greift eine rein gruppen- oder täterbezogene Abwehr zu kurz. Entscheidend ist vielmehr zu verstehen, dass die meisten Ransomware-Angriffe opportunistisch erfolgen.
Organisationen sollten ihren Fokus daher weniger auf einzelne Akteure richten, sondern darauf, wie sie sich grundsätzlich und wirksam gegen Ransomware- und Datendiebstahlangriffe wappnen können, und zwar unabhängig davon, wer dahintersteht. Zuverlässige Sicherheitsupdates, phishing-resistente Multi-Faktor-Authentifizierung (MFA), Endpoint Detection and Response (EDR) sowie unveränderliche Backups machen Ransomware-Angriffe weiterhin gut vermeidbar. In der Praxis zeigt sich jedoch, dass viele betroffene Unternehmen diese Maßnahmen nicht konsequent umsetzen.
Regulierte Branchen sind schwierigere Ziele
Ein anschauliches Beispiel für den opportunistischen Charakter von Ransomware-Angriffen ist der Bankensektor. Banken sind umsatzstarke Unternehmen, und eine durch Ransomware verursachte Betriebsstörung könnte grundsätzlich einen starken Anreiz zur Lösegeldzahlung darstellen. Dennoch beobachten die CTU-Forscher nur sehr wenige Finanzinstitute, die tatsächlich Opfer solcher Angriffe werden.
Grund hierfür ist vermutlich vor allem der hohe Regulierungsgrad der Branche. Verbindliche Cybersicherheitsstandards sorgen dafür, dass Investitionen in Sicherheitsmaßnahmen wettbewerbsneutral erfolgen. Entsprechend sind Kontrollrahmen etabliert, Perimeter gut geschützt und Netzwerke so gestaltet, dass Angriffsflächen minimiert werden.
Organisationen in unregulierten Sektoren sind anfälliger für opportunistische Angriffe, da der Einsatz robuster Cybersicherheitspraktiken nicht in gleicher Weise gefördert wird. So erhöht die Verbesserung der Sicherheitsmaßnahmen im Fertigungssektor etwa die Kostenbasis eines Unternehmens und macht die Produkte der Konkurrenz damit vergleichsweise günstiger.
Gezielte Angriffe auf bestimmte Branchen sind eher die Ausnahme
Werden Organisationen eines bestimmten Sektors Opfer einer spezifischen Gruppe, liegt dies wahrscheinlich daran, dass diese Gruppe eine Schwachstelle in einem in diesem Sektor weit verbreiteten Dienst ausnutzt. Organisationen desselben Sektors weisen tendenziell ähnliche Sicherheitskonzepte auf. Es gibt jedoch Ausnahmen. Manche Gruppen greifen Organisationen in Sektoren an, von denen sie annehmen, dass diese eher bereit sind, Lösegeld zu zahlen.
Zwei Beispiele: Mitglieder der Conti-Ransomware-Bande attackierten während der COVID-19-Pandemie gezielt Krankenhäuser, in der Annahme, dadurch die Wahrscheinlichkeit einer Lösegeldzahlung zu erhöhen. GOLD VICTOR, der Initiator der Ransomware-Angriffe von Vice Society und Rhysida, hat eine klare Vorliebe für Angriffe auf Organisationen im Gesundheits- und Bildungswesen, vermutlich aus demselben Grund (siehe Abbildung 1). Im zweiten Halbjahr 2025 machte Rhysida jedoch weniger als 1 Prozent aller auf den Leak-Websites aufgeführten Opfer aus. Ransomware-Opfer sind also weiterhin überwiegend zufällig verteilt.
Detaillierte Informationen zu der Untersuchung inklusive der Betrachtung verschiedener Motivationen für Ransomware-Gruppen von Lieferkettenangriffen über staatliche Operationen bis hin „Revierkämpfen“ in der Szene gibt es im englischsprachigen CTU-Blogbeitrag „How Ransomware Operators Choose Victims“
Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
TC Communications
Telefon: +49 (172) 4536839
E-Mail: sophos@tc-communications.de
