X-Force Threat Intelligence Index 2026

In den letzten zwei Jahren hat X-Force über den Missbrauch gültiger Anmeldedaten als wichtigsten Erstzugriffsvektor berichtet, der von Angreifern branchen- und regionenübergreifend genutzt wird.

Die Verwendung legitimierter Anmeldedaten für den Zugriff auf Infrastrukturen ist aufgrund ihrer relativen Einfachheit und hohen Erfolgsquote für Angreifer attraktiv. Im Jahr 2025 beobachtete X-Force jedoch eine dramatische Veränderung dieses Trends. Wir haben einen Anstieg von 44 % bei Vorfällen festgestellt, die durch die Ausnutzung öffentlich zugänglicher Anwendungen verursacht wurden. Dieser Anstieg machte 40 % der Fälle aus, während die Verwendung gültiger Anmeldedaten nur 32 % der Fälle ausmachte. Öffentlich zugängliche Anwendungen sind anfällig für Angriffe durch Sicherheitslücken oder Fehlkonfigurationen im Zusammenhang mit der Bereitstellung, Konfiguration oder beidem.

Dieser Trend wurde durch eine Zunahme von Angriffen auf die Lieferkette verstärkt, die zunehmend Entwicklungsumgebungen und vertrauenswürdige Infrastrukturen targeten – was bedeutet, dass Sicherheitslücken früher im Software-Lebenszyklus und in viel größerem Umfang ausgenutzt wurden. Diese Verschiebung könnte auch mit Schwachstellen in Client-Umgebungen zusammenhängen, die von X-Force Red beobachtet wurden (weiter unten in diesem Bericht beschrieben), wo Fehlkonfigurationen, schwache Authentifizierung und unsicherer Code – identifiziert durch Common Attack Pattern Enumeration and Classification CAPEC-180, CAPEC-49 und CAPEC-242 – durchweg einfache Einstiegspunkte boten. Zusammen haben die systemische Fragilität der Lieferketten-Ökosysteme und die Verbreitung dieser grundlegenden CAPEC-Schwachstellen die Ausnutzung von Sicherheitslücken im Laufe des Jahres 2025 erheblich beschleunigt.

Darüber hinaus haben wir im Jahr 2025 verstärkte Bemühungen im Bereich der Aufdeckung und Meldung beobachtet. X-Force unterhält eine Datenbank, in der Sicherheitslücken im Zeitverlauf erfasst werden, und unsere Daten zeigen einen deutlichen Aufwärtstrend bei neuen Sicherheitslücken im Vergleich zum Vorjahr. Dieser Trend verdeutlicht die zunehmende Komplexität von Software-Ökosystemen und die verfügbare Angriffsfläche, die auch KI-Systeme umfasst. Es ist auch denkbar, dass dieser Anstieg der gemeldeten Sicherheitslücken zum Teil darauf zurückzuführen ist, dass sowohl Forscher als auch Angreifer KI- und Machine-Learning-Tools einsetzen, um Sicherheitslücken zu identifizieren.

Darüber hinaus können die erfassten Sicherheitslücken in zwei Kategorien eingeteilt werden, je nachdem, ob für die Ausnutzung eine Authentifizierung erforderlich war. Die Daten zeigen, dass die meisten Sicherheitslücken (56 %) ohne Authentifizierung ausgenutzt werden konnten, was die potenzielle Angriffsfläche erheblich vergrößert. Dieser Trend verdeutlicht ein kritisches Sicherheitsproblem. Systeme ohne Authentifizierungskontrollen sind anfälliger für unbefugten Zugriff und Missbrauch. Daher ist es für Unternehmen unerlässlich, robuste Authentifizierungsmechanismen zu implementieren und strenge Zugriffsrichtlinien durchzusetzen.

Obwohl dies nicht mehr der häufigste Erstzugriffsvektor ist, machte der Missbrauch gültiger Benutzerkonten fast ein Drittel der Fälle aus, was auf eine anhaltende Abhängigkeit von legitimierten Anmeldedaten hindeutet. Legitime Anmeldedaten bleiben einer der bevorzugten Einstiegspunkte für Angreifer, da sie Exploits überflüssig machen und es Angreifern ermöglichen, sich nahtlos in den normalen Authentifizierungsprozess einzufügen. Dieses Thema zieht sich durch mehrere Untersuchungen von IBM X-Force.

Kampagnen, die auf dem Diebstahl von Zugangsdaten als erstem Schritt basieren, weisen das gleiche Muster auf:

• Die Operation von Hive0145 gegen deutsche Unternehmen im Jahr 2025 lieferte den Strela Stealer speziell zum Abgreifen von Anmeldedaten für Microsoft Outlook und Mozilla Thunderbird. Mit diesen echten Anmeldedaten konnten die Angreifer auf Postfächer zugreifen und sich als Benutzer ausgeben.
  
  
• In ähnlicher Weise nutzte die auf Frankreich ausgerichtete Spear-Phishing-Welle durchgesickerte ISP-Kundendaten, um Opfer dazu zu verleiten, ihre Amazon-Anmeldedaten auf einer gefälschten Anmeldeseite einzugeben, wodurch eine sofortige Kontoübernahme ohne technische Ausnutzung ermöglicht wurde.

Neben Phishing-Kampagnen zum Diebstahl von Anmeldedaten zielen Angreifer auch auf Systeme ab, die hochwertige Anmeldedaten speichern oder verwalten. Unser X-Force Red Adversary Services-Team hat einen Forschungsbericht zur Entschlüsselung von SCCM-Anmeldedaten (Microsoft System Center Configuration Manager) veröffentlicht. Analysten zeigten, dass Angreifer, sobald sie sich Zugang zu einem Configuration Manager-Standortserver verschafft haben, die in der SCCM-Datenbank gespeicherten Passwörter für Dienstkonten extrahieren und entschlüsseln können. Anschließend können sie diese gültigen Anmeldedaten verwenden, um sich mit derselben Vertrauenswürdigkeit und Reichweite wie die eigene Verwaltungsinfrastruktur des Unternehmens in der Umgebung zu bewegen. Der Angreifer benötigt in dieser Phase keinen Exploit – er meldet sich einfach mit SCCM-Konten an, die die Softwarebereitstellung automatisieren und über umfassende Netzwerkberechtigungen verfügen, wodurch ein einzelner kompromittierter Server zu einem unternehmensweiten Zugriff wird.

Die Verwendung legitimer Anmeldedaten – sei es durch Phishing oder Diebstahl – ermöglicht es Angreifern, sich von Außenstehenden zu autorisierten Benutzern zu entwickeln, Kontrollen zu umgehen und sich dauerhaften, kaum erkennbaren Zugriff zu verschaffen.

Da Zugangsdaten für Angreifer von hohem Wert sind, ist es nicht überraschend, dass diese zu den begehrtesten Artikeln auf Cyberkriminellen-Plattformen gehören. Unsere Analyse ergab, dass das Sammeln von Anmeldedaten im Jahr 2025 an erster Stelle der Auswirkungen stand, von denen betroffene Unternehmen betroffen waren.

Die zunehmende Verbreitung von intelligenten Chatbots in Geschäftsprozessen hat einen neuen Angriffsvektor für Cyberkriminelle geschaffen, die Infostealer-Malware einsetzen. Da Unternehmen intelligente Chatbot-Technologien zunehmend in ihre Workflows integrieren, besteht nun das Risiko, dass Systeme mit gespeicherten Anmeldedaten für diese Plattformen infiziert werden. Darüber hinaus zeigt der Diebstahl von KI-Chatbot-Anmeldedaten, die den Zugriff auf andere Systeme ermöglichen – wie im Fall des Salesloft/Drift-Vorfalls, bei dem Angreifer Drift-OAuth-Token gestohlen und damit in mehrere Salesforce-Umgebungen eingedrungen sind –, dass der Zugriff auf andere Systeme über Chatbot-Token bereits stattfindet und möglicherweise noch weiter verbreitet ist.

Die fünf führenden Plattformen – ChatGPT (OpenAI), Microsoft Copilot, Google Gemini, Perplexity und Claude AI (Anthropic) – wurden auf Konten überprüft, die im Dark Web zum Verkauf angeboten werden und Anmeldedaten für diese Plattformen enthalten.  Die Sichtbarkeit variiert erheblich zwischen den verschiedenen Plattformen, die im Datensatz enthalten sind. Diejenigen, die Drittanbieter wie SSO, Apple, Google oder Microsoft verwenden, haben keine plattformspezifischen Anmeldedaten gespeichert und können in den Anmeldedaten nicht identifiziert werden. Im Jahr 2025 wurden über 300.000 ChatGPT-Anmeldedaten zum Verkauf angeboten.

Darüber hinaus veröffentlichte ein Bedrohungsakteur im Februar 2025 Beispiel-Anmeldedaten für ChatGPT auf BreachForums und behauptete, über 20 Millionen Konten gestohlen zu haben.  Zwar war keine der veröffentlichten Anmeldedaten noch gültig, jedoch stimmten die Anmeldedaten durchgehend mit Infostealer-Infektionen und gesammelten geleakten Anmeldedaten aus dem Jahr 2024 und früheren Jahren überein. Dies verdeutlicht, wie groß angelegter Diebstahl von Anmeldedaten aus früheren Infostealer-Aktivitäten als erneute kriminelle Hebelwirkung wiederaufleben kann, wodurch zuvor kompromittierte Daten zu neuen Möglichkeiten für Missbrauch werden.

Obwohl im Jahr 2025 zahlreiche Infostealer-Malware-Infrastrukturen – wie beispielsweise Lumma und Rhadamanthys – abgeschaltet wurden, stellt der Einsatz von Infostealer-Malware für Bedrohungsakteure nach wie vor eine einfache Methode dar, um sich Zugriff zu verschaffen.

Wie bei der Einführung anderer neuer Technologien sollten Unternehmen zunächst die Richtlinien und die Einführung von KI-Chatbots innerhalb ihrer Organisation bewerten.  Anschließend sollten sie der Sensibilisierung für Cybersicherheit und der Verbesserung des Schutzes von Anmeldedaten Priorität einräumen – beispielsweise durch die Verwendung von Multi-Faktor-Authentifizierung und Passkeys, die Erkennung abnormaler Anmeldemuster und die Überwachung der Offenlegung von Anmeldedaten.