Threat Report 2026

Jedes Jahr scheint das Monitoring der Cyberbedrohung einen neuen Rekord zu erreichen. Doch 2025 war weit mehr als nur ein weiterer Anstieg von Vorfällen: Es war ein Wendepunkt, ein Jahr, in dem sich Art, Tempo und Auswirkungen der Bedrohung grundlegend verändert haben.

Um diese Entwicklungen einzuordnen, veröffentlicht das CERT aDvens, in Zusammenarbeit mit unseren SOC‑ und Audit‑Teams, den Bericht zur aktuellen Bedrohungslage 2025‑2026. Eine einzigartige Analyse – basierend auf realen Einsätzen, technischer Beobachtung und Hunderten von Untersuchungen, die so nah wie möglich an den Angriffen durchgeführt wurden.

2025: Die Bedrohung erreicht eine neue Dimension

Neben der Ausbreitung von Ransomware und der zunehmenden Anzahl von Schwachstellen zeigt der Bericht einige tiefgreifende Dynamiken auf, die die Cyberlandschaft neu definieren:

1. Einsatz von KI durch Angreifer: eine operative Realität

Unsere Expert:innen beobachten den Einsatz von generativer KI unter anderem für:

• die Industrialisierung von Phishing mit Inhalten, die kaum noch von legitimer Kommunikation zu unterscheiden sind

• die Entwicklung von Malware, die sich in Echtzeit anpasst

• die Automatisierung von Erkundung, Ausnutzung und lateralen Bewegungen

• das immer leichtere Umgehen bestehender Sicherheitskontrollen

Wir befinden uns nicht mehr in der Phase der Vorhersage: Es handelt sich bereits um eine operative Realität.

2. Supply‑Chain‑Angriffe: Wenn ein kompromittierter Dienstleister ein ganzes Ökosystem gefährdet

Angriffe zielen nicht mehr nur auf einzelne Unternehmen ab, sondern auf deren gesamtes Ökosystem.

Das Jahr 2025 war geprägt von:

• kritischen Schwachstellen in weit verbreiteten Komponenten

• Kompromittierungen von Dienstleistern, die zu Kaskadeneffekten führten

• einem Wendepunkt, bei dem bereits ein einzelner Konfigurationsfehler tausende Umgebungen exponieren kann

Audit‑ und CERT‑Teams beobachten dieselbe Entwicklung: Das schwächste Glied ist nicht mehr intern, sondern häufig ausgelagert.

3. OT: Wenn ein IT‑Vorfall ausreicht, um die Produktion zum Stillstand zu bringen

Anhand mehrerer analysierter Vorfälle zeigt der Report, dass OT‑Systeme selten direkt angegriffen werden. Ziel sind vielmehr die IT‑Systeme, die OT steuern, überwachen oder konfigurieren. Ihre Kompromittierung reicht aus, um die gesamte Produktion lahmzulegen.

Für Industrieunternehmen bedeutet das einen grundlegenden Strategiewechsel: Die OT‑Security beginnt mit der Reife der IT‑Security.

2025: Das Jahr, in dem die Geopolitik überall präsent ist

Der Bericht beleuchtet zudem eine oft unterschätzte Dimension:

• die zunehmende Nutzung von Cyberangriffen als Mittel zur Einflussnahme, Druckausübung oder Destabilisierung,

• die Weiterentwicklung staatlicher Cyber‑Spionage (Pre‑Positionierung, mehrsprachige Kampagnen, Cloud‑Kompromittierungen),

• die Zunahme von Operationen gegen kritische Infrastrukturen in Europa.

Die Grenzen zwischen Cyberkriminalität, Spionage und Sabotage waren nie fließender als heute.

2026: Was unsere Expert:innen als unverzichtbar ansehen

1. Die permanente Beschleunigung akzeptieren

Angreifer nutzen bestimmte Schwachstellen innerhalb weniger Stunden aus. Die klassischen Patch‑Zyklen reichen nicht mehr aus: Erforderlich sind eine risikobasierte Priorisierung, Automatisierung und eine neu gedachte Reaktionsfähigkeit.

2. Sicherheit als grenzenlosen Raum begreifen

Cloud, KI, Identitäten, CI/CD, IoT, Supply Chain… Alles muss erfasst, überwacht und segmentiert werden. Zero Trust wird zur Notwendigkeit – nicht zum Konzept.

3. KI in die Verteidigung integrieren

Der Bericht zeigt, wie KI zum Hebel wird, um:

• die Erkennung zu beschleunigen

• schwache Signale miteinander zu korrelieren

• Alarmrauschen zu reduzieren

• Untersuchungen effizienter zu gestalten

4. Fokus wieder auf die Grundlagen legen

Die gravierendsten Vorfälle 2025 hatten eines gemeinsam:

• bekannte Schwachstellen

• kompromittierte Zugangsdaten

• unzureichende Segmentierung

• zu weitreichende Berechtigungen

Die Angriffe entwickeln sich weiter – die wirksamsten Gegenmaßnahmen bleiben oft dieselben.

Warum dieser Report so wertvoll ist

Weil er nicht nur analysiert:

• Er dokumentiert, wie Angriffe tatsächlich durchgeführt wurden

• Er zeigt die häufigsten Fehler aus der Praxis auf

• Er liefert konkrete Handlungspläne, basierend auf Hunderten von CERT‑Einsätzen

• Er vereint eine kombinierte Sicht aus CERT – SOC – Audit, die selten in einer einzigen Veröffentlichung verfügbar ist

„