Erstmals haben Software-Schwachstellen den Diebstahl von Zugangsdaten als häufigste Ursache für Sicherheitsverletzungen abgelöst. Das zeigt der aktuelle Verizon 2026 Data Breach Investigations Report (DBIR).
Die Angreifer setzen dabei auf eine perfide neue Masche: Malware-Spam mit verschlüsselten Anhängen. Das Passwort dafür kommt separat – per SMS oder Messenger.
Banking, PayPal und privater Chat – wer sein Android-Smartphone für sensible Erledigungen nutzt, wird zunehmend zum Ziel professioneller Hacker-Banden. Dieser kostenlose Ratgeber zeigt Ihnen in 5 einfachen Schritten, wie Sie Ihr Gerät effektiv gegen Malware und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Multi-Channel-Phishing umgeht Sicherheitsgateways
Sicherheitsanalysten beobachten eine deutliche Professionalisierung. Früher stand das Passwort für einen verschlüsselten ZIP-Anhang meist direkt in der E-Mail. Heute nutzen Kriminelle einen Multi-Kanal-Ansatz.
Das Opfer erhält zunächst eine E-Mail mit einem passwortgeschützten Archiv. Das Passwort folgt zeitversetzt über einen völlig anderen Weg – etwa per Kurznachricht oder Messaging-App.
Für herkömmliche Sicherheitslösungen wird das zum Problem. E-Mail-Gateways und automatisierte Sandboxes haben keinen Zugriff auf den zweiten Kommunikationskanal. Sie können den verschlüsselten Anhang nicht öffnen und auf Schadcode prüfen. Der Anhang gilt als harmlos und wird zugestellt.
Besonders auf Smartphones wird diese Taktik gefährlich. Nutzer empfangen dort sowohl E-Mails als auch Nachrichten. Die Hürde ist gering, das Passwort aus einer SMS zu kopieren und den Anhang direkt auf dem Mobilgerät zu öffnen.
Anubis und Pikabot: Bekannte Schädlinge mit neuen Tricks
Mehrere Malware-Familien sind durch besonders kreative Verschlüsselungstaktiken aufgefallen. Die Anubis-Ransomware verbreitet sich verstärkt über gezielte Phishing-Kampagnen mit passwortgeschützten ZIP-Ordnern.
Parallel dazu feiert die Pikabot-Malware ein Comeback. Sie gilt als Nachfolger des berüchtigten Qakbot-Trojaners, dessen Infrastruktur vor einiger Zeit zerschlagen wurde. Die aktuelle Version nutzt hochkomplexe Obfuskierungsmethoden, um Antiviren-Software zu umgehen.
Die Hintermänner setzen zudem auf E-Mail-Thread-Hijacking. Sie klinken sich in bestehende, legitime Konversationen ein. Mit echten Betreffzeilen und Nachrichtenverläufen wirkt der schädliche Anhang besonders glaubwürdig. KI-generierte Nachrichten erreichen dabei ein Niveau, das selbst für erfahrene Nutzer kaum noch von echter Korrespondenz zu unterscheiden ist.
Ein veraltetes Betriebssystem auf dem Smartphone ist wie eine offene Haustür für moderne Trojaner wie Anubis oder Pikabot. Erfahren Sie in diesem gratis PDF-Report, wie Sie durch die richtigen Android-Updates Sicherheitslücken schließen und Ihre Daten dauerhaft vor Hackern schützen. Kostenlosen Sicherheits-Report jetzt herunterladen
Detektion ohne Passwort: KI gegen verschlüsselte Malware
Die Verteidigungsindustrie reagiert mit neuen Analysewerkzeugen. Da das manuelle Scannen verschlüsselter Dateien ohne Passwort technisch unmöglich ist, setzen moderne Lösungen auf Verhaltensanalyse.
KI-gestützte Systeme identifizieren strukturelle Muster in verschlüsselten Archiven, die für Malware typisch sind. Sie vergleichen Dateimerkmale mit Datenbanken bekannter Bedrohungen. Auch der Zustellungskontext und die Reputation des Absenders spielen eine Rolle.
Trotz dieser Fortschritte bleibt der Mensch die größte Schwachstelle. Die Zeitspanne zwischen der Entdeckung einer neuen Kampagne und der Bereitstellung von Schutzfiltern reicht oft aus, um tausende Geräte zu infizieren. In Deutschland blieb die Bedrohungslage im Frühjahr stabil hoch. Botnetze wie Androxgh0st und FormBook waren für einen erheblichen Anteil der Angriffe verantwortlich.
Regulierung und Privatsphäre: Ein schwieriger Balanceakt
Mitte Mai 2026 trat eine neue Meldewebsite im Rahmen internationaler Datenschutzbemühungen in Kraft. Sie zielt auf die Entfernung missbräuchlich verwendeter Inhalte ab.
Der Verizon-Bericht zeigt zudem: Die durchschnittliche Zeit für das Einspielen von Sicherheitspatches ist auf 43 Tage gestiegen. Dieses lange Zeitfenster bietet Angreifern reichlich Gelegenheit, bekannte Schwachstellen auszunutzen.
Kritiker warnen jedoch: Eine zu tiefgreifende automatisierte Überprüfung verschlüsselter Anhänge wirft Fragen des Fernmeldegeheimnisses auf. Der Balanceakt zwischen Malware-Abwehr und Privatsphäre bleibt eines der zentralen Themen der kommenden Jahre.
Ausblick: Mobile Sicherheit wird zur Schlüsselaufgabe
Experten sind sich einig: Der Trend zu verschlüsselten Anhängen und Multi-Kanal-Angriffen hält an. Mit der zunehmenden Vernetzung von IoT-Geräten – Schätzungen gehen von bis zu 28 Milliarden Einheiten bis 2028 aus – wächst die Angriffsfläche weiter.
Für Verbraucher bedeutet das: Wachsamkeit gegenüber unerwarteten Anhängen bleibt oberste Priorität – selbst wenn das Passwort scheinbar sicher per SMS kommt. Die Sicherheitsbranche muss ihre Abwehrstrategien proaktiv anpassen. Die Lücke zwischen KI-gestützten Angriffen und klassischer Verteidigung droht sonst weiter auseinanderzuklaffen.
