Mehr als die Hälfte aller Sicherheitsvorfälle beginnt inzwischen mit Phishing-Angriffen. Besonders besorgniserregend: Kriminelle nutzen zunehmend legitime Fernwartungssoftware für ihre Attacken – auch deutsche Unternehmen sind gefährdet.
Die Bedrohungslage in der Cybersicherheit hat sich im zweiten Quartal 2026 deutlich verschärft. Wie aktuelle Analysen von Cisco Talos Incident Response zeigen, ist Phishing inzwischen der dominierende Einstiegsweg für Angreifer: Mehr als 50 Prozent aller untersuchten Sicherheitsvorfälle begannen mit einer Phishing-Attacke. Im ersten Quartal lag dieser Anteil noch bei etwa einem Drittel. Für Unternehmen in Deutschland und Europa bedeutet das: Der menschliche Faktor bleibt das größte Einfallstor – und die Angriffsmethoden werden immer raffinierter.
Betrug über Microsoft Teams: Angreifer geben sich als IT-Support aus
Eine besonders perfide Masche hat der Bedrohungsakteur STAC4749 zwischen Februar und Juni 2026 eingesetzt. Die Gruppe zielte auf Organisationen in Nordamerika ab und nutzte dabei sogenanntes Vishing – also Phishing per Telefonanruf – über Microsoft Teams. Die Angreifer gaben sich als IT-Support-Mitarbeiter aus und verschafften sich so Zugang zu den Systemen ihrer Opfer.
Anschließend kamen legitime Fernzugriffstools wie Microsoft Quick Assist, AnyDesk und RemSupp zum Einsatz. In mehreren bestätigten Fällen führten diese Angriffe zur Installation von Chaos-Ransomware. Besonders alarmierend: In mindestens einem Fall vergingen weniger als 17 Stunden zwischen dem ersten Eindringen und der vollständigen Verschlüsselung der Dateien. Betroffen waren vor allem Unternehmen aus den Bereichen Fertigung, Energie und Bauwesen in Kanada und den USA – Branchen, die auch in Deutschland stark vertreten sind.
Rekord-Schäden durch Phishing zeigen, warum Unternehmen jetzt verstärkt auf Prävention setzen müssen. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie Sie Ihre Firma wirksam vor modernen Cyber-Angriffen schützen können. Kostenloses Anti-Phishing-Paket jetzt herunterladen
„Skeleton Key“ und „VENOMOUS#HELPER“: Zwei Kampagnen, ein Muster
Am 31. Juli 2026 wurden zwei weitere Kampagnen bekannt, die Fernwartungssoftware für dauerhaften Netzwerkzugriff missbrauchen. Die erste Operation mit dem Namen „Skeleton Key“ wurde von Sicherheitsforschern bei KnowBe4 dokumentiert. Die Angriffskette beginnt mit einer Phishing-Mail, die Opfer auf eine gefälschte Website lockt, um Zugangsdaten von Microsoft Outlook, Yahoo oder AOL zu stehlen. Im nächsten Schritt installieren die Angreifer eine signierte Datei, die LogMeIn Resolve als dauerhaften Windows-Dienst einrichtet – ein klassischer Fall von Missbrauch vertrauenswürdiger Software.
Die zweite Kampagne namens VENOMOUS#HELPER hat bereits mehr als 80 Organisationen infiziert, überwiegend in den USA. Die Angreifer tarnen ihre Phishing-Mails als offizielle Kommunikation der US-Sozialversicherungsbehörde. Sobald ein Opfer die schadhafte Datei ausführt, installieren die Kriminellen die Fernwartungstools SimpleHelp und ScreenConnect. Diese verschaffen ihnen nicht nur redundante Zugriffsmöglichkeiten, sondern auch Systemrechte auf höchster Ebene.
Gemeinsame Infrastruktur: Über 100 Domains enttarnt
Die Sicherheitsforscher des BCON Collective haben zudem ein weitverzweigtes Phishing-Netzwerk mit mehr als 100 Domains aufgedeckt. Diese gaben sich als Authentifizierungsdienste wie Okta oder Microsoft Entra ID aus. Die Ermittler bringen die Infrastruktur mit der berüchtigten Gruppe ShinyHunters in Verbindung. Auffällig: Betroffene Organisationen tauchten im Schnitt bereits zwei Wochen nach einem erfolgreichen Phishing-Angriff auf Erpressungsseiten auf.
Wer die Sicherheit im eigenen Unternehmen nachhaltig stärken will, sollte die neuesten technologischen Entwicklungen kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer im Zuge neuer KI-Gesetze jetzt kennen müssen. Kostenloses Cyber-Security E-Book sichern
Die Infrastruktur steht vermutlich auch mit einem bestätigten Einbruch beim US-Sicherheitsunternehmen Brinks Home in Zusammenhang. Der Vorfall wurde am 20. Juli 2026 entdeckt – eine Woche nach einem Vishing-Angriff auf die Microsoft-Entra-ID-Umgebung des Unternehmens. ShinyHunters reklamiert den Diebstahl von 4,9 Millionen Salesforce-Datensätzen, 1,1 Millionen Kundendatensätzen und mehreren Millionen Support-Chat-Protokollen für sich.
Phishing-as-a-Service: Angriffswerkzeuge werden professioneller
Parallel dazu beobachten Branchenanalysten eine zunehmende Professionalisierung der Angriffswerkzeuge. Die Plattform Logokit hat sich zu einem Echtzeit-Täuschungssystem entwickelt: Sie erstellt maßgeschneiderte Phishing-Seiten, die automatisch Logos und Screenshots von der legitimen Unternehmensdomain des Opfers übernehmen. Das macht gefälschte Seiten für Nutzer kaum noch von echten unterscheidbar.
Noch beunruhigender ist die Plattform ARToken: Sie bietet über 80 API-Schnittstellen, die speziell darauf ausgelegt sind, die Mehrfaktor-Authentifizierung (MFA) durch sogenanntes Device-Code-Phishing zu umgehen. Dieser Trend deckt sich mit den Erkenntnissen von Cisco Talos: In 65 Prozent der untersuchten Incident-Response-Fälle im zweiten Quartal 2026 war Missbrauch von Authentifizierungsmechanismen im Spiel.
Experten empfehlen Unternehmen daher dringend, auf phishing-resistente MFA-Verfahren wie FIDO2-Sicherheitsschlüssel umzusteigen. Herkömmliche Methoden wie SMS-Codes oder Authenticator-Apps bieten angesichts dieser Entwicklungen keinen ausreichenden Schutz mehr. Angesichts der Tatsache, dass Angreifer zunehmend auf legitime Tools setzen, sollten Unternehmen zudem ihre Fernwartungszugänge streng überwachen und den Einsatz solcher Software restriktiv regeln.
