Phishing-Angriffe nehmen rasant zu, neue Schwachstellen untergraben selbst Passwort-Resets – und Microsoft setzt auf passwortlose Zukunft. Ein Überblick über die wichtigsten Entwicklungen.
Die Bedrohungslage im Netz hat sich dramatisch verschärft. Sicherheitsexperten schlagen Alarm: Herkömmliche Passwort-Richtlinien gelten zunehmend als unzureichend, um digitale Identitäten zu schützen. Grund dafür sind ausgeklügelte Phishing-Kampagnen und Schwachstellen, die selbst etablierte Authentifizierungsmethoden aushebeln. Für Unternehmen und Privatnutzer in Deutschland und Europa heißt das: Jetzt ist der richtige Zeitpunkt, die eigenen Sicherheitsvorkehrungen zu überdenken.
Microsoft treibt passwortlose Authentifizierung voran
Mit der Veröffentlichung von Edge Version 151.0.4129.59 Ende Juli setzt Microsoft ein klares Zeichen. Im Zentrum des Updates steht die Passkey-Synchronisierung für Unternehmenskunden. Damit können professionelle Nutzer hardwaregebundene Anmeldedaten komfortabel über mehrere Geräte hinweg verwalten – ein wichtiger Schritt weg von statischen Passwörtern, die für Cyberkriminelle nach wie vor das bevorzugte Angriffsziel darstellen.
Apple-Nutzer benötigen für das Update mindestens macOS 13. Darüber hinaus enthält die neue Version mehrere Sicherheitskorrekturen und entfernt die Drop-Funktion. Eine Neuerung: Der Browser schlägt nun Adressleisten-Vorschläge für die Zwischenablage vor – diese Funktion lässt sich jedoch über administrative Richtlinien deaktivieren.
Phishing: Mehr als die Hälfte aller Sicherheitsvorfälle
Die aktuellen Zahlen von Cisco Talos für das zweite Quartal 2026 zeichnen ein alarmierendes Bild. Phishing macht inzwischen über 50 Prozent aller registrierten Sicherheitsvorfälle aus – im Vorquartal waren es noch rund 33 Prozent. Besonders perfide: das sogenannte Device-Code-Phishing. Allein in einem Vier-Wochen-Zeitraum wurden sieben Millionen solcher Angriffe registriert, wobei 99 Prozent auf Microsoft-Umgebungen abzielten.
Diese Angriffsmethode ist besonders tückisch, da sie sogar die Mehrfaktor-Authentifizierung (MFA) umgehen kann. Auch beim Vishing, also Phishing per Telefonanruf, steigt die Effizienz der Täter: In weniger als 17 Stunden nach dem Erstkontakt installieren Angreifer nach Erkenntnissen von Forschern Ransomware auf den kompromittierten Systemen.
Angesichts von Millionen gehackten Konten pro Quartal wird die herkömmliche Anmeldung mit Passwort zum Sicherheitsrisiko. Erfahren Sie in diesem kostenlosen Report, wie Sie die neue Passkey-Technologie bei Amazon, Microsoft oder WhatsApp sofort einrichten und sich so effektiv vor Datenklau schützen. Passkey-Ratgeber jetzt kostenlos herunterladen
Kritische Schwachstellen: Passwort-Reset reicht nicht mehr
Dass herkömmliche Sicherheitsmaßnahmen an ihre Grenzen stoßen, zeigen zwei aktuelle Schwachstellen. Eine kritische Cross-Site-Scripting-Lücke in Outlook Web Access (CVE-2026-42897) wird derzeit von der Gruppe Laundry Bear (TA488) aktiv ausgenutzt. Die damit verbundene Schadsoftware OWAReaper soll in der Lage sein, selbst nach einem Passwort-Reset weiterhin Zugriff auf das System zu behalten.
Zwar wurde bereits Anfang Juni ein Patch veröffentlicht, doch seit dem 22. Juli beobachten Sicherheitsexperten aktive Angriffe auf Regierungs-, Telekommunikations- und Finanzsektoren in den USA und Europa. Betroffen sind auch deutsche Unternehmen, die Outlook Web Access in ihren Infrastrukturen einsetzen.
Parallel dazu gefährdet eine kritische Lücke im Ruby-on-Rails-Framework (CVE-2026-66066) die Sicherheit von Master-Keys. Die Schwachstelle in der Active-Storage-Komponente erlaubt Angreifern, über manipulierte Bild-Uploads interne Dateien auszulesen. Mit einem Schweregrad von 9,5 von 10 möglichen Punkten bewerten Forscher das Risiko als extrem hoch. Betroffene Administratoren sollten nach dem Einspielen der Updates ihre geheimen Schlüssel umgehend rotieren.
Künstliche Intelligenz: Neuer Komfort, neue Risiken
Die Integration von KI in Browser-Umgebungen schafft zusätzliche Angriffsflächen. Google hat damit begonnen, seine KI Gemini Spark mit lokalen Chrome-Installationen in den USA zu verbinden – eine Ausweitung auf 160 Länder ist geplant. Die KI kann gespeicherte Passwörter nutzen, um Browser-Aufgaben zu automatisieren. Experten warnen jedoch vor Risiken wie Prompt-Injection-Angriffen. Empfehlung der Sicherheitsforscher: separate Browser-Profile verwenden und automatisierte Aktionen streng überwachen.
Wer sich gegen die steigende Zahl von Cyberangriffen und komplexen Phishing-Methoden wappnen möchte, findet in diesem Leitfaden eine klare Strategie zur Absicherung. Der kostenlose Report zeigt in vier einfachen Schritten, wie man Manipulationstaktiken entlarvt und die IT-Sicherheit nachhaltig stärkt. Anti-Phishing-Paket für Unternehmen gratis sichern
Mobile Bedrohungen: Malware übersteht sogar Werksresets
Auch auf dem Mobilsektor kämpfen Hersteller und Sicherheitsbehörden mit hartnäckigen Bedrohungen. Bei bestimmten Smartphone-Modellen wurde vorinstallierte Malware entdeckt, die sogar einen Werksreset übersteht. Zudem bleibt eine Hardware-Schwachstelle namens „usbliter8″ in älteren Mobilprozessoren dauerhaft unbefestigbar – sie kann nicht durch Software-Updates geschlossen werden.
Für Unternehmen und Verbraucher bedeutet dies: Die Umstellung auf sicherere Authentifizierungsstandards wie Passkeys wird immer dringlicher. Wer weiterhin allein auf klassische Passwörter setzt, spielt den Angreifern in die Hände.
