X-Force Threat Intelligence Index 2026

Aktionen zur Erreichung von Zielen sind Schritte oder Aktivitäten, die unternommen werden, um ein definiertes Ziel zu erreichen. Im Kontext der Cybersicherheit sind diese messbaren und umsetzbaren Schritte Teil eines größeren Plans, der direkt mit den Zielen des Bedrohungsakteurs verbunden ist.

Laut den Incident-Response-Daten von X-Force war die Bereitstellung von Malware mit 41 % der Fälle die am häufigsten beobachtete Aktion bei den Zielen. Von allen Malware-Fällen umfassten 18 % die Bereitstellung von Ransomware, während in weiteren 18 % Webshells bereitgestellt wurden. Infostealer und Backdoors machten jeweils 10 % der Malware-Fälle aus.

Die am zweithäufigsten beobachtete Handlung in Bezug auf das Ziel war die Verwendung legitimer Tools für böswillige Zwecke, die 28 % der Fälle ausmachte. Dieses Ergebnis spiegelt die Nutzung von manuellen Post-Exploitation-Maßnahmen und die Bereitstellung von Dienstprogrammen wider, die Folgeaktivitäten wie laterale Bewegungen und die Ausweitung von Berechtigungen ermöglichen.

Die Analyse der Aktivitäten im Dark Web durch das X-Force-Team ergab, dass Qilin, Clop, KillSecurity, IncRansom und Play zu den aktivsten Ransomware-Familien des vergangenen Jahres gehörten. Im Jahr 2025 war Qilin mit dem größten Anteil an diskutierten Ransomware-Vorfällen verbunden, gefolgt von Clop. Ein Ransomware-Vorfall im Dark Web bezieht sich auf einen Fall, in dem ein Bedrohungsakteur behauptet, ein Unternehmen angegriffen zu haben.

Das Ransomware-Ökosystem des Jahres 2025 ist stark fragmentiert und dezentralisiert. Wir haben 109 aktive Ransomware- oder Erpressergruppen identifiziert, die sich durch einen raschen Umsatzwechsel auszeichnen, wobei ein zunehmend kleinerer Anteil der Opfer auf die zehn führenden Gruppen entfällt. Diese Fragmentierung spiegelt eine geringere Eintrittsbarriere wider: Die Akteure verwenden häufig wiederverwendete Tools, folgen etablierten Playbooks oder wechseln zwischen Gruppenidentitäten, was es vielen kleinen Betreibern ermöglicht, opportunistische Angriffe mit geringem Umfang durchzuführen. Die Zahl der Opfer auf Ransomware-Leak-Seiten stieg im Jahresvergleich um etwa 12 %.

Taktisch gesehen hat sich die Datenerpressung zu einem zentralen Thema entwickelt, wobei Gruppen sensible Informationen exfiltrieren und neben der Dateiverschlüsselung auch mit deren Veröffentlichung drohen. Auch Angriffe auf die Lieferkette nehmen zu, wobei kompromittierte Anbieter weitreichende Auswirkungen auf nachgelagerte Bereiche haben. Kleine und mittelständische Unternehmen werden aufgrund ihrer schwächeren Abwehrmechanismen und der höheren Wahrscheinlichkeit von Betriebsstörungen zunehmend zum Ziel des Targetings. Obwohl Strafverfolgungsbehörden große Operationen unterbinden, haben sie die Gesamtaktivität nicht verringert. Kleinere Gruppen schließen die Lücken schnell, und mehrere Akteure haben sich zu größeren Konglomeraten zusammengeschlossen – was auf eine vorübergehende Verlagerung von Wettbewerb zu Zusammenarbeit innerhalb des Ransomware-Ökosystems hindeutet.

Das X-Force-Team beobachtete auch im Jahr 2025 weiterhin erhebliche Aktivitäten sowohl bei etablierten als auch bei neu auftretenden Infostealer-Familien. Bekannte Stealer wie Lumma, RisePro, Vidar, Stealc und Rhadamanthys waren weiterhin weit verbreitet, während neuere Familien wie Acreed ihre Präsenz auf den Untergrundmärkten ausbauten.

Obwohl wir insgesamt einen Rückgang der Anzahl von Infostealer-Vorfällen beobachtet haben, scheint dieser Rückgang in erster Linie auf Veränderungen innerhalb des russischen Marktes zurückzuführen zu sein – einem wichtigen Forum für den Verkauf und Vertrieb gestohlener Zugangsdaten. Seit November 2024 sind die Aktivitäten im Zusammenhang mit dem Russian Market von 20.000 bis 50.000 täglichen Beiträgen auf etwa 9.000 zurückgegangen. Dieser Rückgang spiegelt eher Veränderungen in der Funktionsweise des Marktes wider als einen tatsächlichen Rückgang der Infostealer-Aktivitäten. Seit Februar 2024 gab es zeitweise Spitzenwerte von bis zu 30.000 Beiträgen pro Tag, jedoch bestehen weiterhin Lücken in der Erfassung.

2025 haben wir mehrere bemerkenswerte Verschiebungen bei den Marktanteilen von Infostealern beobachtet:

• Lumma dominierte weiterhin das Ökosystem und behielt etwa 50 % aller beobachteten Aktivitäten bei.
  
  
• Acreed und Rhadamanthys verzeichneten ein deutliches Wachstum und stiegen auf einen Marktanteil von etwa 16 % bzw. 11 %.
  
  
• Im Gegensatz dazu ging der Anteil von Stealc im Vergleich zu 2024 zurück. Dieser Rückgang ist wahrscheinlich mit dem Zeitpunkt der raschen Expansion von Acreed verbunden – Acreed gewann gerade zu dem Zeitpunkt an Sichtbarkeit in den wichtigsten Telegram-Kanälen für „Malware-as-a-Service“ und die Rekrutierung von Traffern, als die Vertriebsnetze von Stealc schwächer wurden.
  
  
• Die Instabilität auf dem russischen Markt begünstigte Stealer mit diversifizierten Kanälen für den Weiterverkauf von Holz. Unternehmen wie Acreed, die sich direkt in kleinere Marktplätze für Zugangsdaten und private Telegram-Wiederverkaufsgruppen integrierten, waren besser positioniert, um inmitten dieser Turbulenzen Marktanteile zu gewinnen.