“Make Bad People Sad”

Warum Identitäten zum neuen Schlachtfeld der Cybersicherheit werden und die Sicherheitsmodelle der vergangenen Jahre unter Druck geraten

Multifaktor-Authentifizierung (MFA), VPNs, Firewalls und klassische Bedrohungsinformationen galten lange als Grundpfeiler moderner Unternehmenssicherheit. Doch laut Trevor Hilligoss, Chief Intelligence Officer von SpyCloud, reicht dieses Denken nicht mehr aus. Angreifer hätten ihre Methoden bereits angepasst und konzentrierten sich zunehmend auf das, was nach der Anmeldung geschieht: die aktive Sitzung, die Identität und die Maschinenkonten, die digitale Prozesse steuern.

Im Gespräch zeichnet Hilligoss das Bild einer Bedrohungslandschaft, in der künstliche Intelligenz Cyberkriminellen bislang unerreichte Fähigkeiten verleiht, während gestohlene Sitzungen, OAuth-Tokens und nicht-menschliche Identitäten zu den zentralen Angriffszielen werden.

Warum MFA allein nicht mehr genügt

Viele Unternehmen betrachten MFA noch immer als eine Art Allheilmittel gegen Kontoübernahmen. Hilligoss widerspricht dieser Sichtweise deutlich. MFA sichere lediglich den Login-Prozess ab, nicht jedoch die Sitzung.

„MFA dient lediglich der Authentifizierung bei der Anmeldung. Für die anschließende Sitzung hat dies keinerlei Funktion“, sagt Hilligoss. Der Angreifer verfüge jedoch anschließend über eine gültige, bereits authentifizierte Sitzung und müsse den zweiten Faktor nie selbst überwinden.

Angreifer hätten längst gelernt, diese Schwachstelle auszunutzen. Infostealer-Malware wie LummaC2 oder Rhadamanthys extrahiere aktive Session-Cookies direkt aus Browsern. Gleichzeitig würden Adversary-in-the-Middle-Kits (AiTM) wie Tycoon 2FA legitime Login-Seiten zwischenschalten. Das Opfer führe die MFA-Authentifizierung dabei selbst aus – letztlich aber im Interesse des Angreifers.

Um solche Angriffe rechtzeitig zu erkennen, seien zwei Dinge notwendig: Erstens Transparenz über gestohlene Session-Cookies, Refresh-Tokens und Gerätekennungen, die aus kriminellen Infrastrukturen zurückgewonnen werden. Zweitens müsse diese Transparenz automatisiert in Gegenmaßnahmen umgesetzt werden. Unternehmen müssten exponierte Sitzungen mit aktiven Sessions abgleichen und betroffene Tokens unmittelbar beim Identity Provider widerrufen lassen. Ein bloßer Passwortwechsel sei oft wirkungslos, weil der Angreifer das Passwort möglicherweise gar nicht benötigt.

Sicherheitsanalyse versus Datenschutz

Ein zentrales Element der SpyCloud-Plattform ist die Verknüpfung geschäftlicher Identitäten mit digitalen Spuren aus kompromittierten Datenbeständen. Das wirft zwangsläufig Datenschutzfragen auf.

Hilligoss betont jedoch, dass es nicht um das Sammeln neuer privater Informationen gehe. Die betroffenen Daten seien bereits kompromittiert und in kriminellen Kreisläufen verfügbar. Die eigentliche Frage sei daher nicht, ob Unternehmen diese Informationen ignorieren sollten, sondern ob Verteidiger sie kontrolliert nutzen dürfen, um daraus resultierende Sicherheitsrisiken zu reduzieren.

Das Prinzip sei eine strikte Zweckbindung. Die Korrelation erfolge ausschließlich mit den eigenen Belegschaften oder Kundenbeständen eines Unternehmens und diene der Behebung konkreter Sicherheitsrisiken. Wenn Verteidiger kompromittierte Informationen nicht sehen könnten, profitierten ausschließlich die Angreifer von dieser Asymmetrie.

KI senkt die Einstiegshürden für Cyberkriminalität drastisch

Besonders besorgt zeigt sich Hilligoss über die Auswirkungen agentischer KI auf die Bedrohungslandschaft. Die Entwicklung sei längst keine theoretische Zukunftsfrage mehr.

Anhand der sogenannten FortiBleed-Operation beschreibt er, wie eine russischsprachige Gruppe einen KI-gestützten Code-Editor zur Entwicklung ihrer Angriffswerkzeuge nutzte. Ergänzt worden sei dies durch ein agentisches Penetrationstest-Framework, das die Angriffe automatisiert habe. Die Kampagne richtete sich gegen Hunderttausende Endpunkte.

Die Folge: Die Mindestanforderungen an technisches Können sinken, während die Geschwindigkeit von Angriffen steigt. Klassische, rein menschlich getriebene Incident-Response-Prozesse könnten mit einer durchgehend automatisierten Angreiferseite kaum mithalten.

Hilligoss sieht die Zukunft daher in einer Arbeitsteilung zwischen Mensch und Maschine. Automatisiert werden sollten die mechanischen Prozesse – etwa das Identifizieren kompromittierter Konten, das Widerrufen von Sitzungen oder das Zurücksetzen von Zugangsdaten. Menschen müssten sich auf diejenigen Aufgaben konzentrieren, die Urteilsvermögen erfordern: Bewertung, Attribution, Kontextanalyse und strategische Entscheidungen.

Die Firewall ist nicht das eigentliche Problem

Kritische Schwachstellen in Produkten von Fortinet, Cisco, Sophos und anderen Anbietern dominieren regelmäßig die Schlagzeilen. Dennoch sieht Hilligoss das Problem nicht primär in einzelnen Herstellern.

Das strukturelle Risiko entstehe durch die Architektur. Internetseitig erreichbare Geräte, die Administrator-Zugangsdaten speichern, VPN-Verbindungen terminieren und gleichzeitig Einblick in interne Netzwerke gewähren, stellten naturgemäß hochwertige Ziele dar.

Die Analyse der FortiBleed-Kampagne habe gezeigt, dass viele erfolgreiche Angriffe gar keine neuen Zero-Day-Schwachstellen erforderten. Stattdessen setzten die Angreifer auf wiederverwendete oder per Brute Force ermittelte Zugangsdaten. Vielfach seien die Geräte gepatcht gewesen, allerdings durch schwache Passwörter, öffentlich erreichbare Management-Schnittstellen oder fehlende MFA abgesichert worden.

Daraus leitet Hilligoss eine grundlegende Empfehlung ab: Unternehmen sollten Netzwerkgeräte nicht länger als uneinnehmbare Vertrauensanker betrachten. Stattdessen müsse angenommen werden, dass Zugangsdaten irgendwann kompromittiert werden. Architekturen sollten so ausgelegt sein, dass ein einzelnes geleaktes Konto nicht automatisch die Kontrolle über das gesamte Netzwerk ermöglicht.

Wenn das Vertrauen in klassische Perimeter-Technologien schwindet

Als Konsequenz fordert Hilligoss einen Übergang zu identitätszentrierten Sicherheitsmodellen.

Ein bloßer Austausch eines Firewall- oder VPN-Herstellers löse das Grundproblem nicht. Unternehmen müssten Management-Schnittstellen vollständig aus dem öffentlichen Internet entfernen, phishing-resistente MFA für alle Administratoren und Remote-Zugänge verpflichtend machen und jede Zugriffsanfrage individuell bewerten, statt implizit auf VPN-Verbindungen zu vertrauen.

Gleichzeitig sollten Organisationen davon ausgehen, dass Zugangsdaten bereits irgendwo gehandelt werden. Administrator-Konten, Service-Accounts, Session-Tokens und API-Schlüssel müssten kontinuierlich auf Kompromittierungen überwacht werden.

Entscheidend sei künftig eine andere Frage an Anbieter: Nicht mehr „Wie sicher ist Ihre Appliance?“, sondern „Was passiert, wenn die Zugangsdaten eines Administrators kompromittiert werden?“

Das unterschätzte Risiko nicht-menschlicher Identitäten

Ein besonders kritischer Befund aus der FortiBleed-Analyse betrifft generische Administratorkonten. Rund 63 Prozent der kompromittierten Konten seien auf Standard- oder Sammelkonten zurückzuführen.

Hilligoss sieht darin weniger ein Passwortproblem als vielmehr ein Identitätsproblem. Solche Konten würden häufig während der Einführung von Systemen angelegt, in Automatisierungsskripten verankert und anschließend vergessen. Da keine Einzelperson verantwortlich sei, würden Passwörter selten geändert.

Zudem fallen diese Konten oft nicht unter etablierte Identity-Management-Programme, weil sie keine menschlichen Benutzer repräsentieren. Viele Organisationen verfügten nicht einmal über vollständige Inventare ihrer nicht-menschlichen Identitäten.

Secure by Design statt Sicherheitsappelle

Sollten grundlegende Schutzmaßnahmen gesetzlich vorgeschrieben werden?

Hilligoss bejaht dies weitgehend. Der Vergleich mit Sicherheitsgurten oder ABS-Systemen im Automobilbereich sei treffend. Zwei Jahrzehnte lang habe die Branche versucht, Nutzer zu sicherem Verhalten zu bewegen. Die Daten zeigten jedoch, dass dieser Ansatz nicht skaliere.

Er hält verpflichtende MFA, das Blockieren standardisierter Administratorkonten und moderne Verfahren zur Passwortspeicherung für sinnvolle Mindestanforderungen. Positiv hebt er hervor, dass Fortinet die Passwortspeicherung inzwischen auf PBKDF2 umgestellt habe. Allerdings seien ältere, schwächere Hashes weiterhin auf zahlreichen Geräten vorhanden – genau jene Schwachstelle, die FortiBleed ausgenutzt habe.

Gleichzeitig warnt er davor, Secure by Design als Allheilmittel zu betrachten. Vorschriften müssten durchgesetzt werden und Haftungsfolgen haben, um Wirkung zu entfalten. Zudem entbinde keine sichere Voreinstellung Betreiber von der Pflicht, kompromittierte Zugangsdaten frühzeitig zu erkennen.

Die Zukunft gehört Tokens, Sitzungen und Maschinenidentitäten

Mit der Verbreitung von Passkeys und biometrischen Verfahren verschiebt sich nach Einschätzung von Hilligoss der Angriffsschwerpunkt erneut.

Während klassische Passwort-Phishing-Kampagnen an Bedeutung verlieren könnten, gewinnen Session-Hijacking, OAuth-Missbrauch und Gerätecode-Phishing an Relevanz.

Im aktuellen Phishing Pulse Report 2026 beobachtet SpyCloud eine wachsende Verbreitung von AiTM-Angriffen sowie Device-Code-Phishing. Bei Letzterem missbrauchen Angreifer reguläre OAuth-Prozesse, sodass Nutzer unfreiwillig ein fremdes Gerät autorisieren.

Hinzu kommen Browser-in-the-Middle-Techniken, bei denen die echte Website über eine vom Angreifer kontrollierte Infrastruktur bereitgestellt wird. Eine Analyse von durch das Kali365-Phishing-as-a-Service-Kit erbeuteten Daten habe gezeigt, dass knapp die Hälfte erfolgreicher Angriffe Microsofts Device Code Grant ins Visier nahm, statt klassische Relay-Angriffe einzusetzen.

„All dies spielt keine Rolle, gleichgültig, ob Sie sich mit einem Passwort, einem Passkey oder Ihrem Gesicht angemeldet haben“, betont Hilligoss. Entscheidend sei die Authentifizierungssitzung – nicht die ursprüngliche Anmeldemethode.

Parallel dazu erwartet er eine verstärkte Fokussierung auf nicht-menschliche Identitäten wie API-Schlüssel, OAuth-Berechtigungen, Refresh-Tokens und Service-Accounts. Diese verfügten häufig über weitreichende Rechte, keine MFA und nur geringe Überwachung.

Das Ende des Netzwerkperimeters

Auch der klassische Unternehmensperimeter verliert laut Hilligoss weiter an Bedeutung.

Wenn der private Rechner eines Mitarbeiters oder Contractors kompromittiert werde, sei nicht das Gerät selbst das eigentliche Problem. Gefährlich seien die darauf gespeicherten Session-Cookies, Unternehmenszugänge und wiederverwendeten Passwörter.

Infostealer-Malware könne all diese Informationen in einem einzigen Vorgang exfiltrieren. Zusammen mit kommerziell verfügbaren Residential-Proxies sei es Angreifern anschließend möglich, äußerst glaubwürdig aufzutreten und selbst einfache Geräteerkennung zu umgehen.

Unternehmen könnten solche privaten Systeme weder vollständig verwalten noch kontrollieren. Gleiches gelte zunehmend für KI-Agenten, die im Auftrag von Mitarbeitern handeln. Die Vertrauensgrenze müsse deshalb von Geräten auf Identitäten verlagert werden.

Die nächste Bedrohungswelle: KI demokratisiert Cyberangriffe

Für die kommenden Monate sieht Hilligoss vor allem eine Entwicklung als kritisch an: KI beseitigt die letzten verbleibenden Eintrittsbarrieren in der Cyberkriminalität.

Bereits die Infostealer-Welle zwischen 2020 und 2022 habe Diebstahl digitaler Identitäten in eine industrielle Lieferkette verwandelt. Malware-as-a-Service-Anbieter lieferten Daten an Access Broker, die wiederum Ransomware-Gruppen mit fertigen Zugängen versorgten.

Nun übernehme KI zusätzlich die Entwicklung und den Betrieb der Werkzeuge selbst. In der FortiBleed-Kampagne habe eine kleine Gruppe mit Hilfe von KI mehr als eine Milliarde Zugangsdaten-Kombinationen über einen Telegram-Bot getestet. In der Analyse des Kali365-Kits wiederum habe KI sowohl die Social-Engineering-Inhalte als auch Teile der Business-Email-Compromise-Angriffe erstellt.

Die Konsequenz: Der Abstand zwischen unerfahrenen Tätern und professionellen Angreifern schrumpft.

Daraus folgt für Sicherheitsverantwortliche eine klare Botschaft. Laut Hilligoss reicht es nicht aus, Millionenbeträge in KI zu investieren und damit das Problem für gelöst zu erklären. Gleichzeitig könne eine rein manuelle Verteidigung gegen automatisierte Gegner nicht mehr bestehen. KI-Agenten müssten daher auch Teil der Verteidigungsstrategie sein.

Von Daten zu Aktionen

Ein weiterer Schwerpunkt seiner Argumentation lautet: Sicherheitsverantwortliche hätten kein Datenproblem, sondern ein Aktionsproblem.

Klassische Threat-Intelligence-Feeds lieferten meist lediglich Indikatoren für Kompromittierungen und erzeugten zusätzliche Tickets. Wirtschaftlich relevant sei jedoch das Zeitfenster zwischen Kompromittierung und Gegenmaßnahme.

Automatisierte Reaktionen könnten dieses Fenster drastisch verkürzen. Werden kompromittierte Konten oder Sitzungen innerhalb weniger Minuten deaktiviert, verlieren gestohlene Zugangsdaten ihren Marktwert, bevor sie verkauft oder missbraucht werden können.

Für Cyberkriminelle verschlechtert sich dadurch die Wirtschaftlichkeit ihrer Aktivitäten spürbar. Genau darin sieht Hilligoss den entscheidenden Hebel moderner Verteidigungsstrategien.

Blick in den Untergrund

SpyCloud verwaltet nach eigenen Angaben mittlerweile fast eine Billion zurückgewonnener digitaler Artefakte aus Cybercrime-Ökosystemen. Wie diese Daten konkret beschafft werden, lässt Hilligoss bewusst offen.

Er erläutert lediglich das Grundprinzip: Sein Team sammle Informationen aus kriminellen Distributionskanälen, validiere diese und spiele sie möglichst schnell an Verteidiger zurück. Die operative Expertise stamme häufig aus früheren Tätigkeiten in Regierungs- und Militärorganisationen, kombiniert mit umfangreicher Automatisierung.

Wichtig sei dabei, keine neuen Opfer zu erzeugen und stets innerhalb rechtlicher und ethischer Grenzen zu agieren.

Nordkoreanische Scheinbewerber als reale Bedrohung

Besonders aufmerksam verfolgt SpyCloud sogenannte Fake-IT-Worker-Kampagnen aus Nordkorea.

Hilligoss beschreibt diese Aktivitäten als staatliches Einnahmeprogramm, das gestohlene und synthetische Identitäten, Laptop-Farmen in den USA, Geldwäsche-Infrastrukturen sowie zunehmend KI für Bewerbungsgespräche und Arbeitsprozesse kombiniert.

Auffällig seien wiederkehrende Muster: E-Mail-Adressen, Telefonnummern oder digitale Identitäten tauchten in unterschiedlichen Bewerbungen auf. Zudem zeigten sich häufig Widersprüche zwischen behaupteten Lebensläufen und vorhandenen digitalen Spuren.

Bei erfahrenen Bewerbern müsse normalerweise ein plausibler digitaler Fußabdruck existieren. Fehle dieser vollständig oder lasse er sich mit bekannten Betrugsinfrastrukturen verbinden, häuften sich die Warnsignale schnell.

Gemeinsame Verantwortung

Zum Abschluss formuliert Hilligoss eine übergeordnete Botschaft: Der Kampf gegen Cyberkriminalität sei keine Aufgabe einzelner Unternehmen oder Regierungen.

Internationale Kooperationen, die Zerschlagung krimineller Netzwerke und strafrechtliche Verfolgung erschwerten Angreifern bereits heute ihre Arbeit. Dennoch sei der Konflikt längst nicht entschieden.

Echte Fortschritte entstünden dort, wo Verteidiger nicht mehr ausschließlich die Eingangstür bewachen, sondern aktiv auf bereits gestohlene Daten reagieren. Und dort, wo Sicherheitsverantwortliche enger zusammenarbeiten, um den Angreifern ihre Geschäftsgrundlage zu entziehen.

Oder, wie Hilligoss es formuliert: Die guten Akteure müssten gemeinsam daran arbeiten und „Make Bad People Sad“.

Trevor Hilligoss ist Chief Intelligence Officer bei SpyCloud, einem Cybersecurity-Unternehmen im Bereich Identity-Threat-Intelligence. Er leitet die Forschungsabteilung „SpyCloud Labs“ und überwacht die globale Geheimdienstarbeit zur Bekämpfung von Cyberkriminalität, einschließlich der Erforschung von Bedrohungsakteuren, Malware und Darknet-Daten. Vor seiner Zeit in der Privatwirtschaft diente Hilligoss neun Jahre in der US-Armee und arbeitete als Cyber-Spezialagent für das US-Verteidigungsministerium (DoD) sowie für das FBI, wo er gezielt Bedrohungsakteure verfolgte.