Phishing ist häufigster Einfallsvektor bei Cybervorfällen

(Source: Vladyslav Tykhonov / Stock.Adobe.com)

(Source: Vladyslav Tykhonov / Stock.Adobe.com)

Für seine Analyse der Cyberbedrohungslage im ersten Halbjahr 2026 hat Infoguards Computer Security Incident Response Team (CSIRT) rund 150 Cybervorfälle ausgewertet. Aus den Erkenntnissen leitet der Cybersecurity-Dienstleister konkrete Massnahmen für Organisationen ab, wie das Unternehmen mitteilt.

Als häufigste Einfallsvektoren identifizierte Infoguard Phishing (34 Prozent), fehlende MFA (16 Prozent) und Schwachstellen (11 Prozent). Weitere Einfallswege waren laut Analyse Fehlkonfigurationen und Angriffe über die Supply Chain.

Phishing bei jedem dritten untersuchten Vorfall

Laut Infoguard setzen Angreifer bei den meisten untersuchten Phishing-Angriffen auf Adversary-in-the-Middle-Phishing (AiTM) und Device-Code-Phishing. Dabei nutzen sie häufig kompromittierte E-Mail-Konten von Geschäftspartnern oder registrieren täuschend ähnliche Domains, um Vertrauen zu schaffen. So können Angreifer ihre Präsenz in Unternehmen ausbauen und die Grundlage für komplexere Folgeangriffe schaffen.

Fehlende MFA - ein vermeidbares Risiko

Infoguard bezeichnet fehlende Multifaktor-Authentifizierung (MFA) als "leicht vermeidbares Risiko mit hohem Schadenspotenzial". Besonders bei Ransomware-Vorfällen bewertet das Unternehmen diesen Mangel als kritisch. Ein erhöhtes Risiko sieht Infoguard bei ungeschützten VPN-Zugängen, exponierten Firewall-Management-Schnittstellen, offen erreichbaren RDP-Diensten sowie Logins zu Datenaustauschplattformen. Auch Infostealer stellen laut Unternehmen eine schwer zu kontrollierende Gefahr dar.

Weitere Risikofaktoren sind gemäss Infoguard exponierte Sicherheitslücken (11 Prozent), Fehlkonfigurationen (8 Prozent), Supply-Chain-Vorfälle (5 Prozent) sowie Insider Threats im Zusammenhang mit öffentlichen Large Language Models (Public LLMs; 2 Prozent). Als Beispiele für Public LLMs nennt Infoguard ChatGPT, Claude oder DeepSeek. Viele Unternehmen hätten für deren Nutzung noch keine ausreichende Governance etabliert, schreibt Infoguard. Dadurch steige das Risiko, dass Geschäfts-, Kunden- oder Personendaten unbeabsichtigt in öffentliche LLMs gelangen.

Acht Prioritäten für die Cyberabwehr

Aus den untersuchten Cybervorfällen leiten die Analysten von Infoguard acht Massnahmen ab, mit denen Unternehmen und Organisationen Risiken reduzieren und ihre Cyberabwehr stärken können.

1. MFA konsequent implementieren: Unternehmen sollten MFA für alle extern erreichbaren Zugänge, Cloud-Dienste, Administrationskonten und kritischen Anwendungen verpflichtend vorsehen.
2. Phishingresistente MFA einsetzen: Unternehmen sollten phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel, Passkeys oder zertifikatsbasierte Authentifizierung einsetzen.
3. Patchmanagement risikobasiert ausrichten: Ein solches Patchmanagement braucht klare Verantwortlichkeiten, eine vollständige Asset-Übersicht und verbindliche Fristen. Unternehmen sollten besonders internetexponierte Systeme priorisieren und sie bei Bedarf ausserhalb regulärer Zyklen aktualisieren.
4. Risk Exposure Management gezielt etablieren: Unternehmen sollten neben bekannten Schwachstellen ihre tatsächliche Angriffsfläche fortlaufend bewerten. 
5. Privilegierte Zugriffe durch technische Awareness absichern: Unternehmen sollten Konten von Personen mit weitreichenden Zugriffsrechten - etwa Administratoren, Entwicklern oder Support-Mitarbeitenden - besonders absichern, da solche Konten für Angreifer attraktive Ziele darstellen.
6. Supply-Chain-Risiken gezielt reduzieren: Unternehmen sollten Zugriffe von Drittparteien minimieren, Softwarequellen überprüfen, Abhängigkeiten inventarisieren und privilegierte Installationen kontrollieren
7. Detektionstechnologien flächendeckend einsetzen: Unternehmen sollten regelmässig überprüfen und testen, ob die Technologien alle relevanten Systeme abdecken. 
8. Logs aus On-Premises- und Cloud-Infrastrukturen zentral korrelieren: Unternehmen sollten relevante Logs zentral sammeln und miteinander korrelieren. Erst die Verbindung von Endpoint-, Netzwerk-, Identity-, Cloud- und Applikationsdaten ermöglicht es, vollständige Angriffsketten statt isolierter Einzelereignisse zu erkennen. 

Übrigens: Bei der 16. Infoguard Security Lounge standen künstliche Intelligenz, reale Angriffsmuster und die Frage, wie Unternehmen ihre Cyberresilienz gezielt stärken können, im Fokus. Lesen Sie hier, wie die Veranstaltung ablief. 

Und wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.