Cyber Threat Intelligence Insights: Die Analyse zum 1. Halbjahr 2026

Zwischen neuen Angriffstechniken und bekannten Einfallstoren zeigt sich im ersten Halbjahr 2026 eine Cyberbedrohungslage in Bewegung. Welche Angriffsmuster sich in der Praxis durchgesetzt haben, belegt die Auswertung von rund 150 Cybervorfällen durch das InfoGuard CSIRT. Die Cyber-Threat-Intelligence-Analyse verdichtet die wichtigsten Erkenntnisse und leitet daraus konkrete Prioritäten für Ihre Cyberabwehr ab.

Zu den häufigsten Einfallsvektoren der fast 150 Vorfälle zählen Phishing mit 34 Prozent, fehlende Multifaktor-Authentifizierung (MFA) mit 16 Prozent sowie Schwachstellen mit 11 Prozent.

Bei den 24 untersuchten Ransomware-Vorfällen fällt insbesondere die fehlende Multifaktor-Authentifizierung ins Gewicht: In sechs von zehn Fällen wurde sie zum entscheidenden Faktor für den erfolgreichen Angriff.

Übrigens ordnet einer unserer früheren Artikel rund 350 Vorfälle des vergangenen Jahres ein. Ihr Vergleich schafft Kontext, entscheidend für die aktuelle Cyberabwehr ist jedoch, über welche Wege Angreifende 2026 tatsächlich in Unternehmensumgebungen gelangen.

Einfallsvektoren 2026: So gelangen Cyberkriminelle in die Unternehmen

Die Auswertung der Initialvektoren zeigt, über welche Wege Angreifende im ersten Halbjahr 2026 in Unternehmensumgebungen gelangten. Dabei reicht das Spektrum von Phishing und fehlender Multifaktor-Authentifizierung über ausgenutzte Schwachstellen und Fehlkonfigurationen bis zu Angriffen über die Supply Chain. Mit 23 Prozent entfällt zudem ein relevanter Anteil auf False-Positives. Dabei handelt es sich um Verdachtsfälle, die sich nach unserer Analyse nicht als tatsächliche Sicherheitsvorfälle bestätigen. Die Verteilung macht sichtbar, wo Cyberangriffe in der Praxis ihren Anfang nehmen – und damit auch, an welchen Stellen präventive Sicherheitsmassnahmen besonders wirksam ansetzen.

Abbildung 1: Initialvektoren der im ersten Halbjahr 2026 bearbeiteten Cybervorfälle (eigenes Bildarchiv)

34 % Phishing: Jeder dritte Einfallsvektor beginnt mit Social Engineering

Die meisten Phishingangriffe, die wir untersucht haben, zielen auf die Übernahme einer bestehenden Session. Dabei kommen insbesondere Adversary-in-the-Middle (AiTM) und Device Code Phishing zum Einsatz. Um Vertrauen zu schaffen, nutzen Angreifende häufig kompromittierte E-Mail-Konten von Geschäftspartnern oder registrieren täuschend ähnliche Domänen. So wirken Phishingmails auf den ersten Blick legitim, wodurch Links eher angeklickt und Authentifizierungsvorgänge ausgelöst werden. Je nach kompromittierter Identität nutzen Angreifende den übernommenen Account anschliessend für weitere Phishingangriffe, zur Datenexfiltration oder für gezieltes internes Phishing. Ziel ist es häufig, die eigene Präsenz im Unternehmen auszubauen und die Grundlage für komplexere Folgeangriffe zu schaffen.

So geschehen: In einem eher aufwändigen Angriff, welche mit der Kompromittierung des privaten E-Mail Accounts eines Mitarbeiters startete, konnte der Angreifer eine E-Mail mit dem MFA-Registrierungs-QR-Code identifizieren. Diesen QR-Code nutzte der Angreifer um den MFA selbst zu registrieren. Da privat wie auch geschäftlich das gleiche Passwort verwendet wurde und der QR-Code von der Geschäfts-E-Mail Adresse kam, war es für den Angreifer ein leichtes damit ungehindert den Geschäftsaccount des Mitarbeitenden zu übernehmen.

Weiter sind im InfoGuard CSIRT auch Vorfälle mittels bösartigen LNK-Dateien aufgeschlagen, welche dem Opfer per Zip-Datei zugestellt wurden. In einem konkreten Fall gab sich der Angreifer als Recruiting-Unternehmen aus und brachte das Opfer dazu, die zugestellten Dateien zu öffnen. Dadurch wurde zunächst das Endgerät kompromittiert. In der Folge weitete sich der Angriff zu einer vollständigen Kompromittierung des Unternehmens mittels Ransomware.

16 % fehlende MFA: Leicht vermeidbares Risiko mit hohem Schadenspotenzial

Fehlende Multifaktor-Authentifizierung bleibt ein besonders kritischer Faktor bei Ransomware-Vorfällen. Gemäss unseren Statistiken war sie in sechs von zehn untersuchten Fällen ein entscheidender Faktor – mit entsprechend hohem Schadenspotenzial für die betroffenen Unternehmen.

Kritisch hierbei sind vor allem ungeschützte VPN-Zugänge, exponierte FW-Management-Interfaces, exponierte Remote-Desktop-Protokolle und Logins zu Datenaustausch-Plattformen, wo auch sensitive Informationen gehostet werden.

Eine schwer zu kontrollierende Gefahr sind hierbei auch InfoStealer, die häufig auf privaten Geräten ausgeführt werden. Fehlen geeignete Detection- bzw. Mitigation-Technologien, können sie oft unbemerkt Zugangsdaten zu geschäftlichen Accounts abgreifen. Wir beobachteten entsprechende Fälle unter anderem bei kompromittierter Business-Software, Open-Source-Software, gecrackter kommerzieller Software, Game Mods, kompromittierter NPM-Pakete und ClickFix.

Bei den bearbeiteten Vorfällen identifizierten wir zudem immer wieder kompromittierte technische Benutzerkonten, etwa von Scannern oder Druckern. Häufig sind diese nur mit schwachen Passwörtern geschützt und werden durch Brute-Force-Angriffe kompromittiert.

Für solche Accounts ist zudem oft keine Multifaktor-Authentifizierung eingerichtet. In Verbindung mit unzureichenden Berechtigungskonzepten können sie dennoch für Remote-Zugriffe oder den Zugriff auf exponierte Unternehmensportale missbraucht werden. Ein weiterer Gap betrifft fehlende Logs von Edge Devices. Ohne deren zentrale Korrelation mit anderen Infrastruktur- und Security-Logs lassen sich Brute-Force-Angriffe nur eingeschränkt erkennen.

11 % exponierte Sicherheitslücken: Der Wettlauf zwischen Patch und Exploit

Produkthersteller, Security Researcher und Threat-Akteure nutzen zunehmend KI bei der Suche nach Schwachstellen. Für Unternehmen verschärft sich damit das Spannungsverhältnis zwischen schneller Implementierung und sorgfältigem Testing kritischer Security Patches. Das Patchmanagement gerät dadurch unter Druck: Kritische Einfallstore müssen rasch geschlossen werden, während gleichzeitig das Risiko betrieblicher Auswirkungen möglichst gering bleiben soll.

Im Fokus stehen Edge Devices wie Firewalls, VPN-Appliances und MDM-Lösungen. Daneben nutzen Cyberkriminelle Schwachstellen in nach aussen exponierten Anwendungen aus, etwa in Datenaustauschplattformen oder Content-Management-Systemen (CMS), mit dem Ziel in Unternehmensumgebungen einzudringen.

8% Fehlkonfigurationen: Wie kleine Konfigurationsfehler grosse Wirkung entfalten

IT-Infrastrukturen verändern sich laufend: neue Anforderungen, Updates, Redesigns, Cloud-Migrationen und hybride Architekturen erhöhen die Komplexität. Je komplexer eine Infrastruktur wird, desto anfälliger ist sie für mögliche Fehlkonfigurationen.

Solche Fehlkonfigurationen sind oft schwer zu identifizieren. Regelmässige Konfigurationsreviews, kontinuierliches Konfigurationsmonitoring sowie wiederkehrende Produktschulungen zur Auffrischung des Know-hows sind jedoch nicht in allen Unternehmen üblich oder ohne Weiteres umsetzbar.

Zunehmend verbreitet ist deshalb ein etabliertes Risk Exposure Management, das mit unterschiedlichen Vorgehensweisen die Exponierung eines Unternehmens erfasst und dabei hilft, Fehlkonfigurationen zu identifizieren, bevor Angreifende sie ausnutzen.

5% Supply Chain: Wenn der Angriff mit der Installation beginnt

Supply-Chain-Incidents bergen ein erhebliches Schadenspotenzial. Häufig wird dabei Schadsoftware mit Administratorenberechtigungen installiert, wodurch Angreifende im Fall einer erfolgreichen Kompromittierung direkt einen lokal hochprivilegierten Zugang erhalten können.

Die meisten Supply-Chain-Incidents liessen sich entweder auf kompromittierte Softwareanbieter oder auf Software aus nicht vertrauenswürdigen Quellen zurückführen. Threat Actors bündelten dabei legitime Software mit zusätzlicher Malware und brachten diese anschliessend in Umlauf.

Im Zusammenhang mit kompromittierten Softwareanbietern behandelte das InfoGuard CSIRT unter anderem Incidents mit Axios und dem Trivy Network Scanner. In einem dieser Fälle nutzte der Angreifer einen Remote Access, um sich lateral in der Kundeninfrastruktur zu bewegen, bevor er detektiert und gestoppt werden konnte.

Bei Software aus nicht vertrauenswürdigen Quellen registrierten wir zudem einen Fall mit einem kompromittierten Windows-11-Image. Dieses wurde über einen Link beworben, der auf GitHub platziert war, und konnte anschliessend über gängige Filesharing-Plattformen heruntergeladen werden.

Bereits im vergangenen Jahr behandelten wir einen Vorfall mit der Software RVTools. Auch in diesem Jahr wurde dieselbe Software auf einer Filesharing-Plattform zum Download angeboten und installierte bei der Ausführung eine Python-Backdoor als Windows-Service.

In einem weiteren Vorfall wurde zusammen mit der Software K-Lite Codec zusätzlich ein Residential Proxy installiert. Entdeckt wurde dies erst, als über diesen Proxy kriminelle Aktivitäten ausgeführt wurden und sich daraufhin die lokalen Behörden beim betroffenen Unternehmen meldeten.

2% Insider Threat: Neue Datenrisiken durch Public LLMs

Public LLMs wie ChatGPT, Claude oder DeepSeek gehören zunehmend zum Arbeitsalltag. Gleichzeitig ist die Governance für deren Nutzung in vielen Unternehmen noch nicht ausreichend etabliert. Damit steigt auch das Risiko, dass Geschäfts-, Kunden- oder Personendaten unbeabsichtigt in Public LLMs gelangen.

Erkennt ein Unternehmen Hinweise auf einen möglichen Datenabfluss, muss es den Impact gezielt abklären und prüfen, ob daraus datenschutzrechtliche Melde- oder Informationspflichten entstehen. Das gilt auch bei ungewöhnlich hohen Upload-Volumen: Dann stellt sich insbesondere die Frage, welche Informationen übertragen wurden und ob sensible Geschäfts- oder Kundendaten betroffen sind.

Für die Schweiz konkretisiert der EDÖB den Umgang mit Data Breaches und die damit verbundenen Meldepflichten; in der EU regelt die DSGVO den Umgang mit Verletzungen des Schutzes personenbezogener Daten. 

Wo wirksame Cyberabwehr jetzt ansetzen muss

Aus den analysierten Cybervorfällen lassen sich klare Handlungsfelder ableiten, um Risiken gezielter zu reduzieren und die eigene Cyberabwehr wirksam auszurichten.

8 Massnahmen aus der Incident-Response-Praxis

Die folgenden acht Empfehlungen greifen die häufigsten Angriffsmuster und Schwachstellen der Halbjahresanalyse auf und übersetzen sie in konkrete Sicherheitsmassnahmen.

1. MFA konsequent implementieren

Multifaktor-Authentisierung (MFA) sollte für sämtliche extern erreichbaren Zugänge, Cloud-Dienste, Administrationskonten und kritischen Anwendungen verpflichtend sein. Ausnahmen, veraltete Authentifizierungsverfahren und ungeschützte Servicekonten schwächen die gesamte Sicherheitsarchitektur.

2. Phishingresistente MFA einsetzen

Klassische Push-Benachrichtigungen oder SMS bieten nur begrenzten Schutz gegen moderne Phishing- und Social-Engineering-Angriffe. Für privilegierte und besonders gefährdete Benutzerkonten sollten phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel, Passkeys oder zertifikatsbasierte Authentifizierung eingesetzt werden. 

3. Patchmanagement risikobasiert ausrichten

Ein funktionierendes Patchmanagement benötigt klare Verantwortlichkeiten, vollständige Asset-Übersicht und verbindliche Fristen. Besonders internetexponierte Systeme, VPN-Gateways, Firewalls, Hypervisor und zentrale Management-Plattformen müssen priorisiert und bei Bedarf ausserhalb regulärer Zyklen aktualisiert werden können.

4. Risk Exposure Management gezielt etablieren

Unternehmen müssen neben bekannten Schwachstellen ihre tatsächliche Angriffsfläche kontinuierlich bewerten. Dazu gehören exponierte Systeme, Cloud-Ressourcen, Identitäten, Fehlkonfigurationen, Drittparteien und unbekannte Assets. Entscheidend ist die Priorisierung nach realem Geschäftsrisiko statt allein nach technischen Scores. 

5. Privilegierte Zugriffe durch technische Awareness absichern

Administrator:innen, Entwickler:innen und Support-Mitarbeitende sind attraktive Ziele, da ihre Konten weitreichende Zugriffe ermöglichen. Awareness-Massnahmen sollten deshalb technisch, rollenbezogen und praxisnah sein. Themen wie gefälschte Support-Anfragen, manipulierte Softwarepakete, OAuth-Freigaben, InfoStealer und der Missbrauch administrativer Werkzeuge müssen gezielt behandelt werden. 

6. Supply-Chain-Risiken gezielt reduzieren

Softwarelieferanten, externe Dienstleister und Open-Source-Komponenten erweitern die eigene Angriffsfläche. Unternehmen sollten Zugriffe von Drittparteien minimieren, Softwarequellen überprüfen, Abhängigkeiten inventarisieren und privilegierte Installationen kontrollieren. Vertrauen allein ist keine Sicherheitskontrolle. 

7. Detektionstechnologien flächendeckend einsetzen

EDR, NDR und weitere Detektionstechnologien entfalten nur dann Wirkung, wenn sie alle relevanten Systeme abdecken. Server, Clients, Cloud-Workloads, Container-Hosts, Build-Systeme, Hypervisor und kritische Management-Plattformen dürfen keine blinden Flecken bleiben. Die tatsächliche Abdeckung sollte regelmässig überprüft und technisch getestet werden.

8. Logs aus On-Premises- und Cloud-Infrastrukturen zentral korrelieren

Angriffe überschreiten heute regelmässig die Grenzen zwischen lokalen Systemen, Cloud-Diensten und Identitäten. Deshalb müssen relevante Logs zentral gesammelt und miteinander korreliert werden. Erst die Verbindung von Endpoint-, Netzwerk-, Identity-, Cloud- und Applikationsdaten ermöglicht es, vollständige Angriffsketten anstelle isolierter Einzelereignisse zu erkennen.

Nutzen Sie das Whitepaper «InfoGuard Threat Intelligence Insights», um die Erkenntnisse der Halbjahresanalyse mit Ihrer eigenen Bedrohungslage abzugleichen und relevante Cyberrisiken sowie Schutzmassnahmen gezielt zu priorisieren.

Cyberresilienz beginnt mit den richtigen Prioritäten

Die knapp 150 untersuchten Cybervorfälle im ersten Halbjahr 2026 zeigen, wie dynamisch sich Angriffstechniken entwickeln – und wie entscheidend zugleich die konsequente Absicherung bekannter Einfallstore bleibt.

Aus den analysierten Cybervorfällen lassen sich vier zentrale Handlungsfelder ableiten:

• Identitäten wirksam schützen.

• Exponierte Systeme und Fehlkonfigurationen frühzeitig erkennen.

• Software-Lieferketten kontrollieren.

• Relevante Signale über die gesamte Infrastruktur hinweg korrelieren.

Von Bedeutung ist dabei weniger die Anzahl einzelner Sicherheitsmassnahmen als deren Priorisierung nach dem tatsächlichen Risiko. Erkenntnisse aus realen Cybervorfällen helfen, blinde Flecken sichtbar zu machen und vorhandene Ressourcen dort einzusetzen, wo sie den grössten Sicherheitsgewinn erzielen.

Für eine wirksame Cyberabwehr sollten Sie wissen, welche Risiken für Ihr Unternehmen tatsächlich relevant sind. Eine 24/7-Überwachung und Incident Response schaffen dafür die notwendige Sichtbarkeit und liefern Erkenntnisse, um Sicherheitsmassnahmen risikobasiert zu priorisieren und gezielt weiterzuentwickeln.

Verpassen Sie keine relevanten Entwicklungen in der Cyber Security. Mit unseren Blog-Updates erhalten Sie regelmässig fundierte Einordnungen zu neuen Cyberbedrohungen, aktuellen Sicherheitsrisiken und wichtigen Trends.

Bildlegende: mit KI generiertes Bild