Zu Beginn jedes Jahres erscheinen zahlreiche IT-Security-Trendberichte. Der Begriff «Trend» ist dabei etwas irreführend: Die meisten Reports blicken nicht in die Zukunft, sondern analysieren reale Angriffe des vergangenen Jahres. Genau darin liegt jedoch ihr Wert.
Die Berichte zeigen, wie Angriffe tatsächlich ablaufen, wo Organisationen besonders verwundbar sind und welche Methoden Cyberkriminelle aktuell einsetzen. Daraus lassen sich Hinweise ableiten, auf welche Risiken sich Organisationen künftig vorbereiten sollten – und wie knappe Sicherheitsressourcen möglichst wirksam eingesetzt werden können.
Dieser Artikel stützt sich auf Erkenntnisse aus dem aktuellen Incident-Response-Report der SOC-Retainer-Einheit «Unit 42» von Abraxas-Partner Palo Alto Networks. Ein SOC-Retainer kann mit einer Feuerwehr verglichen werden: Er unterstützt Organisationen dann, wenn ein Sicherheitsvorfall die eigenen Kapazitäten übersteigt. Die dort analysierten Fälle liefern deshalb besonders wertvolle Einblicke in reale Angriffe.
Die wichtigsten Beobachtungen aus dem Jahr 2025 lassen sich in vier Entwicklungen zusammenfassen:
- Angreifer setzen künstliche Intelligenz zunehmend produktiv ein.
- Die digitale Identität von Mitarbeitenden steht stärker im Fokus der Angriffe.
- Angriffe auf Cloud-Infrastrukturen und Software-Lieferketten nehmen zu.
- Staatliche Akteure intensivieren ihre Aktivitäten im Bereich Technologie-Spionage.
Künstliche Intelligenz beschleunigt Angriffe
Dass künstliche Intelligenz auch von Cyberkriminellen genutzt wird, überrascht kaum. Wie bei vielen anderen Anwendungen steigert sie vor allem die Effizienz von Prozessen. Der Bericht zeigt deutlich, wie stark sich Angriffe beschleunigt haben. Die Zeitspanne zwischen dem ersten Eindringen in ein Netzwerk und dem Abfluss von Daten hat sich laut Unit 42 innerhalb eines Jahres massiv verkürzt.
In einer Simulation gelang es den Analysten, Daten innerhalb von 25 Minuten zu exfiltrieren. Unter realen Bedingungen lag der schnellste beobachtete Angriff bei 72 Minuten. Zum Vergleich: Ein Jahr zuvor benötigten Angreifer dafür noch mehrere Stunden. Für Organisationen bedeutet das vor allem eines: Die Reaktionszeit wird zum entscheidenden Faktor. Sicherheitsvorfälle müssen schneller erkannt und analysiert werden.
Eine mögliche Optimierung betrifft den Umgang mit Logdaten und deren gesetzlich vorgeschriebenen Aufbewahrungspflicht. Für die Erkennung von Sicherheitsvorfällen müssen Logs häufig in leistungsfähigem und damit kostenintensivem Speicher vorgehalten werden.
Ein praktikabler Ansatz besteht darin, sicherheitsrelevante Logs nur für einen kürzeren Zeitraum (z. B. 30 Tage) im schnellen Speicher vorzuhalten und ältere Daten in kostengünstigere Archivsysteme auszulagern. So lassen sich Kosten reduzieren, ohne die Fähigkeit zur Angriffserkennung zu beeinträchtigen. Für spätere forensische Analysen kann das Security Operations Center weiterhin auf die archivierten Daten zugreifen.
