90 Prozent der Ransomware-Angriffe umgehen Firewalls

(Source: Kevin Horvat / Unsplash.ch)

(Source: Kevin Horvat / Unsplash.ch)

Der Cybersecurity-Anbieter Barracuda veröffentlicht die Ergebnisse des "Managed XDR Global Threat Report (PDF)". Die Analyse basieret auf einem Datensatz mit mehr als zwei Billionen im Jahr 2025 beobachteten IT-Ereignissen, 600'000 Sicherheitswarnungen und mehr als 300'000 geschützten Endpunkten, Firewalls, Servern und Cloud-Assets, wie Barracuda mitteilt.  

Der Report deckt auf, wie Cyberangreifer legitime IT-Tools ausnutzen und ungeschützte Endgeräte für ihre Zwecke einsetzen können. Die Ergebnisse unterstreichen zudem die Risiken, die von veralteter Verschlüsselung, deaktivierter Sicherheit auf Endgeräten und anderen Schwachstellen ausgehen. 

Firewalls als schwächstes Glied

Die meisten Bedrohungen für Unternehmen im Jahr 2025 zielten auf die Identität von Usern ab, beispielsweise durch ungewöhnliche Anmeldungen bei einem Benutzerkonto.

Die häufigsten Angriffe auf Unternehmen. (Source: zVg)

Besonders alarmierend: In 90 Prozent der untersuchten Ransomware-Angriffe durchbrachen die Täter die Firewalls der Unternehmen. Sie nutzten dafür entweder eine bekannte Software-Sicherheitslücke (CVE) oder ein bereits kompromittiertes Benutzerkonto. Auf diesem Weg verschaffen sich Cyberkriminelle Zugang zum Netzwerk, übernehmen die Kontrolle und umgehen Schutzmechanismen, indem sie schädliche Aktivitäten gezielt verbergen.

Der schnellste dokumentierte Ransomware-Angriff gelang der Gruppe "Akira": Zwischen der ersten Kompromittierung und der Verschlüsselung der Daten lagen nur drei Stunden. Solch enge Zeitfenster lassen Verteidigern kaum Spielraum, um rechtzeitig Gegenmassnahmen einzuleiten.

So lange brauchen Akira, Cactus und Ransomhub für einen Ransomware-Angriff. (Source. zVg)

Der Report stellt zudem fest, dass für jede zehnte identifizierte Schwachstelle bereits ein bekannter Exploit existierte. Angreifer nutzen solche Softwarefehler, oft innerhalb der Lieferkette, aktiv aus, was die enorme Bedeutung von schnellen Software-Updates verdeutlicht.

Die am häufigsten registrierte Schwachstelle geht auf das Jahr 2013 zurück. Dabei handelt es sich um einen Fehler (CVE-2013-2566) in einem veralteten Verschlüsselungsalgorithmus, der oft noch in alten Servern oder eingebetteten Geräten aktiv ist.

Bewegen sich Angreifer erst einmal im Netzwerk (laterale Bewegung), ist die Gefahr akut: In 96 Prozent dieser Fälle folgte ein Ransomware-Angriff. Diese Bewegung gilt daher als eindeutiges Warnsignal, da sie den Moment markiert, in dem die Angreifer ihre Deckung aufgeben.

Einen massiven Anstieg verzeichnet der Report bei Angriffen auf die Lieferkette: Betrafen diese 2024 noch 45 Prozent der Vorfälle, waren es 2025 bereits 66 Prozent. Cyberkriminelle nutzen gezielt Schwachstellen in Drittanbieter-Software, um Abwehrmechanismen zu umgehen.

"Unternehmen und ihre Sicherheitsteams - insbesondere 'Teams', die nur aus einem einzelnen IT-Experten bestehen - stehen vor einer signifikanten Herausforderung: Sie müssen mit begrenzten Ressourcen und fragmentierten Sicherheitstools digitale Identitäten, Assets und Daten vor einer sich kontinuierlich weiterentwickelnden Bedrohungslandschaft und Angriffen schützen, die innerhalb weniger Stunden durchgeführt werden können", sagt Merium Khalid, Director SOC Offensive Security bei Barracuda.

Merium Khalid, Director SOC Offensive Security bei Barracuda (Source: zVg)

"Was Ziele verwundbar macht, ist oftmals leicht zu übersehen: Ein einzelnes, nicht autorisiertes Gerät, eine nicht aktualisierte, inaktive Anwendung, eine falsch konfigurierte Sicherheitsfunktion oder ein Konto, das nach dem Ausscheiden eines Mitarbeiters nicht deaktiviert wurde: Angreifer müssen nur eine einzige Schwachstelle finden, damit ihr Angriff erfolgreich ist." 

Das könnte Sie auch interessieren: Das Analyseunternehmen Gartner prognostiziert, dass operative KI-Fehler bis 2028 zu einem kritischen Ausfall nationaler Infrastrukturen führen wird. Lesen Sie hier mehr dazu.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.