Identitätsdiebstahl 2026: Die wachsende Gefahr durch Maschinenkonten und neue Phishing-Methoden
Der aktuelle SpyCloud-Report belegt die wachsende Angriffsfläche rund um menschliche und nichtmenschliche Identitäten. Im Interview erläutert SpyCloud-CIO Trevor Hilligoss, wo Unternehmen bei Governance, MFA und Angriffserkennung nachsteuern müssen – und was ihn selbst derzeit umtreibt.
Laut dem „2026 SpyCloud Identity Threat Report“ verschiebt sich die Angriffsfläche in der IT-Sicherheit merklich hin zu Identitäten. 68 Prozent der befragten Unternehmen verzeichneten in den vergangenen zwölf Monaten identitätsbasierte Sicherheitsvorfälle. Die SpyCloud-Analysten vertreten die These, dass traditionelle Sicherheitsvorkehrungen den aktuellen Bedrohungen durch kompromittierte Maschinenkonten und Lieferketten oft hinterherhinken. Im Gespräch mit Computing Deutschland äußert sich Trevor Hilligoss, Chief Intelligence Officer bei SpyCloud, zu den Ergebnissen des Reports und dazu, was ihm derzeit die größten Sorgen bereitet. Außerdem hat er Tipps für CIOs in Organisationen.
Die Diskrepanz zwischen Vertrauen und Realität
Vergleicht man den Anteil der Befragten, die sehr großes Vertrauen in ihre Netzwerksichtbarkeit haben, mit der Rate derer, die tatsächlich einen identitätsbasierten Vorfall erlitten haben, scheint das Vertrauen von IT-Entscheidern in ihre eigenen Sicherheitsmaßnahmen oft nicht mit der tatsächlichen Bedrohungslage zu korrelieren. Für das Vereinigte Königreich ergibt sich die größte Lücke von 23,4 Prozentpunkten: 53,3 Prozent äußerten hohes Vertrauen, während 76,7 Prozent einen Vorfall meldeten. In Nordamerika (USA und Kanada) liegt diese Differenz bei 22,0 Punkten. In Deutschland beträgt die Lücke 21,6 Punkte. Hier stehen 41,2 Prozent Vertrauen einer Vorfallrate von 62,8 Prozent gegenüber.
NHIs im Fokus
Non-Human Identities (NHIs) wie KI-Agenten, Service-Accounts, API-Schlüssel und Authentifizierungstoken sind immer häufiger Mittel zum Zweck initialer Zugriffe. Mehr als zwei Drittel (68 %) der Organisationen waren im vergangenen Jahr von einem identitätsbezogenen Vorfall betroffen; der Missbrauch im Zusammenhang mit NHI war die am häufigsten gemeldete Art identitätsbezogener Vorfälle (42 %). In Europa nannten 34 Prozent der betroffenen Unternehmen exponierte, kompromittierte oder überprivilegierte NHIs als ihren häufigsten anfänglichen Angriffsvektor.
Mit Blick auf Europa mahnt Trevor Hilligoss, die Zahlen nicht überzubewerten. Angreifer seien vorrangig finanziell motiviert und suchten den Weg des geringsten Widerstands. Die mathematische Abwägung von Aufwand und Ertrag sei in Frankfurt identisch mit der in Dallas. Die Ursache für diese Entwicklung sieht Hilligoss in den technologischen Erfolgen der Vergangenheit: Sicherheitsteams haben in den letzten Jahren erfolgreich Multifaktor-Authentifizierung (MFA) und phishingresistente Verfahren für menschliche Konten erzwungen. Die logische Konsequenz für Angreifer bestand darin, auf Maschinenkonten auszuweichen. Diese lassen sich nicht auf dieselbe Weise absichern, da man bei einem API-Schlüssel keinen zweiten Faktor abfragen kann oder ein Service-Account beim Ausscheiden eines Mitarbeiters oft nicht deaktiviert wird. Das Resultat sind Konten mit weitreichenden Privilegien, die niemals ablaufen bzw. keinem klaren Besitzer zugeordnet sind.
Dieser Umstand spiegelt sich auch in der Adaption von Künstlicher Intelligenz wider. Zwar nutzen 91 Prozent der befragten Organisationen KI-Tools oder Agenten mit Zugriff auf interne Systeme, aber lediglich 56 Prozent verfügen über formelle Governance-Richtlinien und klare Verantwortlichkeiten in diesem Bereich. “Die Bereitstellung ist mittlerweile einfacher geworden als die Nachverfolgung dessen, was bereitgestellt wird”, sagt der CIO. “In der Begeisterung für den Einsatz von KI haben viele Unternehmen die Regeln dafür gelockert, wer Zugriff auf welches neue Tool erhalten darf. Dies bedeutet, dass viele neue Bereitstellungen nicht mehr denselben internen Prozessen unterliegen wie früher beim Kauf von Software.”
Hilligoss erklärt, dass Governance oft fälschlicherweise dafür verantwortlich gemacht wird, Teams zu verlangsamen. Die wahre Verzögerung entstehe im Rahmen der Incident Response, wenn unter hohem Druck rekonstruiert werden muss, auf welche Systeme ein bestimmter KI-Agent überhaupt Zugriff hat. Ein präventiver und kostengünstiger Ansatz bestehe darin, bereits bei der Bereitstellung einen menschlichen Verantwortlichen namentlich festzuhalten: “Es handelt sich um ein Formularfeld, das niemanden behindert, und es macht den Unterschied zwischen einem zweistündigen und einem zweiwöchigen Beratungsgespräch aus. Bestandsaufnahme, Lebenszykluskontrollen und die Überwachung offengelegter Zugangsdaten sind allesamt wichtig und lassen sich nur schwer nachträglich einführen. Die meisten Unternehmen werden dies jedoch erst tun, wenn sie dazu gezwungen werden.”
Deutschland als Benchmark bei Lieferketten
Ein weiteres kritisches Themenfeld sind die Risiken der Lieferkette. Malware-Infektionen bei Drittanbietern (23 Prozent) und exponierte API-Schlüssel oder App-Zugänge (22 Prozent) sind die Hauptursachen für Vorfälle im Supply-Chain-Umfeld.
Deutschland sticht bei der Kontrolle von Lieferkettenrisiken positiv hervor: 76 Prozent der befragten deutschen Organisationen gaben an, aktiv zu überprüfen, ob identitätsbezogene Schwachstellen bei Dienstleistern tatsächlich behoben wurden. Damit liegt Deutschland deutlich über den im Report ausgewiesenen Branchenwerten, die zwischen 38 Prozent in Technologie und Software und 68 Prozent in der Telekommunikation liegen. Der Wert ist allerdings nur als Hinweis auf vergleichsweise reife Prozesse zu verstehen – und keinesfalls als Beleg dafür, dass deutsche Unternehmen generell besser gegen Lieferkettenangriffe geschützt sind.
Blinde Flecken und neue Phishing-Methoden
Laut dem Report korreliert fehlende Sichtbarkeit direkt mit höheren Vorfallraten. Organisationen mit identitätsbasierten Vorfällen wiesen deutlich seltener eine Sichtbarkeit für gestohlene Session-Cookies (37 Prozent im Vergleich zu 50 Prozent bei Unternehmen ohne Vorfall) und private Endgeräte (40 Prozent gegenüber 52 Prozent) auf. Hilligoss erläutert diesen Umstand logisch: Ein gestohlenes Cookie erlaube es Angreifern, Schutzmaßnahmen wie MFA vollständig zu umgehen, da die Sitzung bereits authentifiziert sei. Ebenso operieren private Geräte oft außerhalb der klassischen Unternehmenskontrollen.
Der Chief Intelligence Officer weist zugleich auf neuartige Phishing-Methoden hin, die klassische MFA-Konzepte aushebeln. Beim Device Code Phishing missbrauchen Angreifer vor allem in Microsoft-365-Umgebungen häufig den Device Code Grant – ein Autorisierungsverfahren, mit dem sich Nutzer auf Geräten mit eingeschränkten Eingabemöglichkeiten wie Kommandozeilen-Tools anmelden können; dazu muss ein kurzer Code in einem Browser oder Authentifizierungs-App eingegeben werden. Der Nutzer interagiert mit der legitimen Microsoft-URL und die Sitzungstokens gehen an den Angreifer. Noch neuartiger ist der Ansatz „Browser-in-the-middle“, beobachtet in Toolkits wie BlueKit. Hierbei interagiert das Opfer mit der legitimen Login-Seite, die jedoch über den Browser des Angreifers gestreamt wird. Nach der Authentifizierung verbleibt die Sitzung direkt beim Angreifer.
Hilligoss betrachtet die Weiterentwicklung des Phishings als hochgradig kritisch. Ein wesentliches Problem sei die Lücke zwischen den eingekauften und den tatsächlich implementierten Sicherheitslösungen. Ein Hardware-Schlüssel mit korrekter Ursprungsbindung halte diesen Angriffen stand. Ein Großteil der als Phishing-resistent deklarierten Implementierungen basiere jedoch auf fehleranfälligeren Konzepten wie cloud-synchronisierten Passkeys oder FIDO2-Bereitstellungen, bei denen ein OTP-Fallback (One-Time Password) für den Helpdesk aktiviert bleibt. Täter nutzen solche Schwachstellen und halten Sitzungen oft wochenlang stillschweigend aufrecht, bevor sie aktiv werden.
Operative Handlungsfähigkeit im SOC
Angesichts dieser komplexen Bedrohungen stellt sich die Frage nach der operativen Bewältigung im Security Operations Center (SOC). Hilligoss formuliert einen klaren strategischen Ansatz: Eine reine Steigerung der Threat-Intelligence-Daten sei kontraproduktiv. Sichtbarkeit ohne Handlungsfähigkeit produziere lediglich weitere Alarme in ohnehin überlasteten Teams. Die entscheidende Metrik ist die Reaktionsgeschwindigkeit, da jede Stunde zwischen Exposition und Behebung den Angreifern zugutekommt.
Laut Hilligoss bestehe die Strategie darin, “zu wissen, welche Arten von Sicherheitsrisiken Sie kontinuierlich überwachen. Automatisieren Sie die Reaktion auf diejenigen, bei denen dies möglich ist, etwa die Rotation von Anmeldedaten, die Sperrung von Sitzungen und Token sowie die Reduzierung von Berechtigungen. Überprüfen Sie anschließend, ob das Problem tatsächlich behoben wurde.” Nur etwa jede fünfte der befragten Organisationen hat die Behebung von Sicherheitsvorfällen systemweit automatisiert und optimiert. Der Anteil der vollständig automatisierten Behebung steigt von 24 % bei den „operativen“ Organisationen auf 81 % bei den „optimierten“ Organisationen. Das spiegelt sich auch in den Geschäftsergebnissen wider: “Teams, die Fälle einzeln beheben, meldeten höhere Kosten für die Reaktion auf Vorfälle und größere Schäden am Kundenvertrauen als Teams, die den Prozess automatisiert haben.”
Auf die Frage, welche Entwicklung ihn derzeit besonders umtreibt, nennt Hilligoss die rasante Evolution des Phishings. Angreifer hätten das Malware-as-a-Service-Modell zu einem KI-gestützten Ökosystem für hochskalierbare und zunehmend überzeugende Kampagnen weiterentwickelt. Verfahren wie Device-Code-Phishing sowie Adversary-in-the-Middle- und Browser-in-the-Middle-Angriffe könnten klassische MFA und vermeintlich phishingresistenten Implementierungen wirkungslos machen.
Am meisten beunruhigt ihn die Kluft zwischen dem, was Unternehmen erworben haben, und dem, was sie tatsächlich umsetzen: “Ein Hardware-Sicherheitsschlüssel mit ordnungsgemäßer Herkunftsbindung hält einem Adversary-in-the-Middle-Phishing nach wie vor stand. Das Meiste, was als phishingresistent eingeführt wird, tut dies jedoch nicht.” Als Beispiele nennt er Passkeys, die über ein Cloud-Konto synchronisiert werden oder eine FIDO2-Implementierung, bei der ein OTP-Fallback aktiviert bleibt, damit der Helpdesk den Benutzer entsperren kann.
Abschließend hat er noch einen handfesten Tipp für alle CIOs in Organisationen: "Sitzungen werden wochenlang stillschweigend aufrechterhalten, bevor etwas Sichtbares geschieht, und dann tritt der Vorfall als Business E-Mail Compromise zutage oder der Zugriff wird weiterverkauft. Wenn Ihr Monitoring darauf basiert, dass eine Kompromittierung wie ein plötzlicher Aktivitätsschub aussieht, wäre das die Annahme, die ich überdenken würde.”