Sophos: Kompromittierte Identitäten waren die Ursache für 79 % der diesjährigen Ransomware-Angriffe.

Der neueste Bericht von Sophos zeigt, dass kompromittierte Identitäten mittlerweile der häufigste Einfallstor für Ransomware-Angriffe sind. Gleichzeitig steigt der Anteil der Angriffe, bei denen Daten verschlüsselt werden, obwohl sowohl die Lösegeldforderungen als auch die Lösegeldsummen weiter sinken.

Sophos hat die siebte Ausgabe seines Jahresberichts veröffentlicht. Zustand der Ransomware, Basierend auf einer Umfrage unter IT- und Cybersicherheitsverantwortlichen in 17 Ländern zeigt der Bericht, dass vier von fünf Ransomware-Angriffen im vergangenen Jahr, also 79 Prozent, mit kompromittierten Identitäten begannen. Damit sind Identitätsdiebstähle der häufigste erste Angriffsvektor für Ransomware.

Entsprechend Sophos Diese Entwicklung spiegelt einen deutlichen Wandel in den Methoden der Angreifer wider. Erstmals seit vier Jahren sind ausgenutzte Sicherheitslücken nicht mehr die häufigste Ursache für Ransomware-Angriffe. Stattdessen dominieren bösartige E-Mails (26 Prozent) und Phishing (24 Prozent), was darauf hindeutet, dass Cyberkriminelle sich zunehmend auf den Erwerb von Benutzeranmeldedaten konzentrieren, anstatt technische Sicherheitslücken auszunutzen.

Gleichzeitig zeigt der Bericht, dass Angriffe, die beispielsweise Schwachstellen in Firewalls ausnutzen, weiterhin besonders kostspielig sind. In 59 Prozent dieser Fälle betrug die Lösegeldforderung mindestens eine Million US-Dollar, verglichen mit 48 Prozent bei allen Ransomware-Angriffen.

Der Bericht zeigt auch, dass bei 56 Prozent der von Ransomware betroffenen Organisationen die Daten verschlüsselt wurden. Dies ist ein Anstieg gegenüber dem Vorjahr und bricht den Abwärtstrend der letzten zwei Jahre.

Wichtigste Erkenntnisse des Berichts

• Zwei Drittel der Ransomware-Opfer (67 Prozent) geben an, dass der Ransomware-Angriff auch ihr schwerwiegendster Identitätsvorfall war, was weiter unterstreicht, dass kompromittierte Identitäten zu einer wichtigen Angriffsmethode geworden sind.
• Bei 56 Prozent der Ransomware-Angriffe gelang es den Angreifern, die Daten eines Unternehmens zu verschlüsseln. In 16 Prozent dieser Fälle kam es sowohl zu Datenverschlüsselung als auch zu Datendiebstahl. Dies ist ein Anstieg gegenüber 50 Prozent im Jahr 2025, liegt aber immer noch unter dem Höchstwert von 75 Prozent aus dem Jahr 2023.
• Bei verschlüsselten Daten entschieden sich 48 Prozent der Organisationen für die Zahlung des Lösegelds, wodurch die durchschnittliche Zahlungsquote in den letzten vier Jahren bei rund 50 Prozent lag.
• Lediglich 34 Prozent der Organisationen mit 100 bis 250 Mitarbeitern konnten den Angriff stoppen, bevor es zur Verschlüsselung oder Erpressung kam, verglichen mit 46 Prozent der Organisationen mit 3.001 bis 5.000 Mitarbeitern.
• Bei 97 Prozent der Ransomware-Angriffe, die mit kompromittierten Anmeldedaten begannen, war irgendeine Form der Multi-Faktor-Authentifizierung (MFA) aktiviert. Sophos Dies zeigt, dass MFA nach wie vor eine wichtige Sicherheitsmaßnahme ist, aber allein nicht ausreicht, wenn sie nicht ordnungsgemäß implementiert wird und nicht alle Zugriffspunkte abdeckt.
• Großbritannien wies in der Umfrage mit durchschnittlich 2,5 Millionen US-Dollar den höchsten Wert der Lösegeldforderung auf.

Schnellere Erholung trotz gestiegener Kosten

Der Bericht zeigt außerdem, dass Unternehmen ihre Fähigkeit zur Wiederherstellung nach Ransomware-Angriffen verbessert haben. Dank optimierter Datensicherungen und effizienterer Wiederherstellungsverfahren konnten 55 Prozent der Unternehmen ihre Systeme innerhalb einer Woche wiederherstellen, 16 Prozent sogar in weniger als 24 Stunden.

Währenddessen verhandeln viele Organisationen weiterhin mit den Angreifern. Von denjenigen, die sich für die Zahlung des Lösegelds entschieden, konnten 51 Prozent die Summe unter die ursprünglichen Forderungen der Angreifer drücken. Die durchschnittliche Lösegeldforderung ist in den letzten zwei Jahren um 65 Prozent gesunken. Der Anteil der Organisationen, die Lösegeld zahlen, ist auf 48 Prozent gefallen – der zweitniedrigste Wert seit Beginn der Aufzeichnungen durch Sophos.

Trotzdem steigen die Gesamtkosten für die Wiederherstellung weiter an; die durchschnittlichen Kosten für die Bewältigung eines Ransomware-Angriffs belaufen sich mittlerweile auf 1,7 Millionen US-Dollar pro Vorfall.

Sophos empfiehlt

Um das Risiko von Ransomware zu verringern, empfiehlt Sophos Unternehmen Folgendes:

• Behandeln Sie Identität als zentralen Bestandteil der Sicherheitsbemühungen, indem Sie fortschrittliche Überwachung von Identitätsbedrohungen implementieren, phishingresistente Multi-Faktor-Authentifizierung verwenden und regelmäßig sowohl menschliche als auch maschinelle Identitäten überprüfen.,
• Verbessern Sie die Datensicherung und -wiederherstellung, indem Sie die Backups regelmäßig testen, sie offline oder in unveränderlichen Formaten speichern und sie in den Notfallplan der Organisation integrieren.,
• systematisches Arbeiten am Expositionsmanagement durch kontinuierliches Patching, Priorisierung von Systemen mit Internetanbindung und Einsatz KI-gestützter Tools zur schnelleren Identifizierung und Behebung von Schwachstellen,
• Verringert die Gefährdung der Firewall durch die Gewährleistung zeitnaher Sicherheitsupdates, die Begrenzung von mit dem Internet verbundenen Verwaltungsschnittstellen und die Anbindung von Firewalls an XDR- und MDR-Plattformen für eine schnellere Erkennung und Reaktion auf Angriffe.