Cyber-Bedrohungslage 2026: Was der ENISA-Report für Identity Governance bedeutet

Wichtige Einschränkung: Bei nur 5,2 % der Fälle von unbefugtem Zugriff konnte die ENISA den Einstiegsweg identifizieren. In dieser kleinen Gruppe war Schwachstellenausnutzung mit 60,4 % der häufigste Weg. Über die übrigen Fälle sagt der Bericht nichts aus. Die Werte sind daher ein Hinweis auf Trends, keine repräsentative Verteilung.

Auch der Verizon-Report „Data Breach Investigations 2026“ sieht Schwachstellenausnutzung mit 31 % erstmals als häufigsten bekannten Einstiegsweg, zugleich taucht der Missbrauch von Zugangsdaten an irgendeiner Stelle in 39 % aller Datenpannen auf. Welche Schwachstellen Angreifer dabei typischerweise ausnutzen, zeigt unser Überblick über die 12 Arten von Cybersecurity-Bedrohungen und -Schwachstellen.

6 identitätsbezogene Entwicklungen der Cyber-Bedrohungslage

1. MFA ist kein Selbstläufer mehr

Tycoon 2FA war Berichten zufolge das weltweit am häufigsten beobachtete Phishing-Kit des Jahres 2025. Es arbeitet als Adversary-in-the-Middle-Proxy (AiTM), der Multi-Faktor-Authentifizierung gezielt umgeht. Dabei schaltet sich der Angreifer zwischen Nutzer und echte Anmeldeseite und greift Passwort, Code und Session ab.

Im Ausblick nennt die ENISA außerdem Device-Code-Phishing und ClickFix als Beispiele für einen Trend: Angriffe setzen auf legitime Anmeldeverfahren und das Vertrauen der Nutzer, statt technische Lücken auszunutzen. Beim Device-Code-Phishing wird das Opfer dazu gebracht, auf einer echten Anmeldeseite einen Code des Angreifers freizugeben. ClickFix bringt Nutzer dazu, ein angebliches Problem selbst zu „beheben“ und dabei Schadcode auszuführen.

Für die Governance heißt das: MFA allein genügt nicht. Entscheidend ist, was ein Konto nach der Anmeldung darf.

2. Infostealer umgehen Passwörter und MFA

Laut ENISA stützte sich der Diebstahl von Zugangsdaten 2025 weiter stark auf Infostealer. Dabei handelt es sich um Schadprogramme, die auf einem infizierten Rechner gezielt Zugangsdaten und Identitätsmerkmale sammeln und an die Angreifer schicken. Verbreitet wurden sie über Phishing, ClickFix-Köder, gefälschte Software-Updates und kompromittierte Cloud-Dienste. Die Malware erbeutet nicht nur Passwörter, sondern auch Browserdaten, MFA-Tokens und Session-Cookies, womit Angreifer Konten übernehmen können, ohne je einen zweiten Faktor einzugeben.

Geleakte Chats der Ransomware-Gruppe Black Basta zeigen, wie Zugangsdaten aus Infostealer-Infektionen und von Access-Brokern Ransomware-Angriffe unterstützten und die Ausbreitung im Netzwerk (Lateral Movement) ermöglichten. Auf Untergrundforen werden außerdem Zugangsdaten sowie VPN- und RDP-Zugänge angeboten.

Ein gestohlenes Konto ist umso wertvoller, je mehr Rechte es hat. Verwaiste Konten und Berechtigungen, die niemand mehr braucht, erleichtern Angreifern das Weiterkommen.

3. Vishing und SaaS

Die finanziell motivierte Cybercrime-Gruppe ShinyHunters ist für die ENISA besonders aufschlussreich, weil ihre Vorgehensweise über die gesamte Kill Chain (Ablauf eines Cyberangriffs als Kette aufeinanderfolgender Phasen) dokumentiert ist. Sie kombinierte Phishing, Vishing (Kurzform für „Voice Phishing“), MFA-Missbrauch und gestohlene OAuth-Tokens, um Cloud-Umgebungen zu kompromittieren. Betroffen waren Salesforce, Microsoft 365, SharePoint, Slack und Google BigQuery. Häufig gaben sich die Täter am Telefon als IT-Personal aus, um SSO-Zugangsdaten und MFA-Codes zu erlangen.

Hier zeigt sich: Ein einzelnes übernommenes Konto öffnet über SSO und Token-Verknüpfungen den Zugang zu vielen Anwendungen. Was dort danach erreichbar ist, bestimmen die vergebenen Berechtigungen.

4. Insider und eingeschleuste Mitarbeitende

Die ENISA beobachtet einen steigenden Anteil von Insider Threats. Er liegt bei staatlich verbundenen Angriffen bei 5 % und wird als besonderes Risiko eingestuft. Vermuteter Haupttreiber ist die nordkoreanische Gruppe Famous Chollima: Sie bewirbt sich mit falschen Identitäten, KI-generierten LinkedIn-Profilen und teils erfundenen Firmen auf Stellen in westlichen Unternehmen, auch in der EU. Aktiv war die Gruppe laut ENISA gegen Digitaldienstleister, Regierungs- und Verteidigungsorganisationen sowie den Finanzsektor.

Das ist ein Identity-Governance-Thema im engsten Sinn: Eine Identität wird legitim angelegt, ausgestattet und genehmigt, und ist trotzdem feindlich.

5. Vertrauensmissbrauch bei Anwendungspasswörtern und Tokens

Staatlich verbundene Akteure manipulierten Wissenschaftler und Politikexperten laut Bericht dazu, App-spezifische Passwörter zu erzeugen, und exfiltrierten Office-365-Tokens über Phishing in Collaboration-Tools. Aus Governance-Sicht sind solche Zugänge besonders heikel: Sie umgehen oft die regulären Authentifizierungsrichtlinien und tauchen in klassischen Berechtigungsübersichten kaum auf.

6. KI als Beschleuniger und als Angriffsziel

KI taucht im ENISA-Bericht in zwei Rollen auf, die man für die Governance getrennt betrachten sollte.

• KI als Beschleuniger für Angreifer: KI wird zunehmend für Phishing, Betrug und Malware-Entwicklung genutzt. Ein KI-gestützter Cloud-Einbruch erlangte laut Bericht innerhalb von 8 Minuten Administratorrechte. Für 2026 hält die ENISA es für wahrscheinlich, dass KI mehr Phasen der Kill Chain direkt unterstützt und die Einstiegshürden für Angreifer weiter sinken.

• KI als Angriffsziel im eigenen Unternehmen: Unabhängig davon werden KI-Anwendungen und ihre Ökosysteme selbst angegriffen, besonders wenn sie Zugriff auf Dateien, Zugangsdaten, Browser-Sessions oder Entwicklungsumgebungen haben. Die ENISA erwartet, dass der Einsatz neuer Modelle die Angriffsfläche von EU-Organisationen vergrößert, durch versehentliche ebenso wie durch böswillige Aktivitäten.

Für die Identity Governance heißt das: Schnellere Angriffe erfordern befristete Rechte und zügigere Entzüge statt jährlicher Reviews. Und KI-Agenten mit weitreichendem Zugriff sind privilegierte Identitäten, die einen Verantwortlichen, einen Zweck, minimale Rechte und eine Laufzeit brauchen.

Was Identity Governance konkret beiträgt

Identity Governance kann Phishing nicht verhindern. Sie begrenzt aber den Schaden und das Zeitfenster für Missbrauch und liefert Nachweise. Die folgende Tabelle ordnet die ENISA-Befunde ein:

Die Praxis-Checkliste

1. Joiner-Mover-Leaver automatisieren. Rechte folgen der Rolle. Beim Wechsel werden alte Berechtigungen entzogen, beim Austritt sofort alles.

2. Access Reviews risikobasiert durchführen. Privilegierte Rechte und Zugriffe auf sensible SaaS-Daten häufiger prüfen als Standardrechte.

3. Privilegierte Zugriffe gesondert behandeln. Admin-Rechte nur auf Anforderung, befristet und protokolliert.

4. Phishing-resistente Authentifizierung ausrollen. FIDO2/Passkeys für Administratoren und Hochrisiko-Rollen, da AiTM-Kits klassische MFA-Verfahren aushebeln. Zusätzlich Sitzungen begrenzen (kurze Laufzeiten, erneute Authentifizierung bei kritischen Aktionen), denn gestohlene Session-Cookies umgeht auch FIDO2 nicht.

5. Nicht-menschliche Identitäten inventarisieren. Für jedes Service-Konto, jeden API-Schlüssel und jeden KI-Agenten gibt es einen verantwortlichen Eigentümer und ein Ablaufdatum.

6. Support-Prozesse absichern. Rücksetzungen von Passwörtern und MFA nur nach starker Verifikation, bei privilegierten Konten mit Vier-Augen-Prinzip. Mitarbeitende sollten wissen, dass die IT nie telefonisch nach Codes fragt.

7. Anomalien an die Governance zurückspielen. Auffällige Anmeldungen oder Rechteausweitungen sollten Reviews und Entzüge auslösen können.

8. App-Integrationen und Tokens prüfen. OAuth-Freigaben und App-Passwörter inventarisieren und regelmäßig rezertifizieren.

NIS-2: Warum Governance auch eine Compliance-Frage ist

In Deutschland gilt das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025. Die Risikomanagementmaßnahmen nach § 30 BSIG verlangen unter anderem Konzepte für die Zugriffskontrolle sowie den Einsatz von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung.

Einrichtungen müssen zudem nachweisen können, dass ihre Maßnahmen wirken, nicht nur, dass sie existieren. Genau hier unterstützen automatisierte Rezertifizierungen, nachvollziehbare Genehmigungen und revisionssichere Protokolle. Ob Ihr Unternehmen betroffen ist, sollten Sie anhand der NIS-2-Betroffenheitsprüfung klären. Die Maßnahmen sind aber auch für nicht regulierte Unternehmen eine sinnvolle Orientierung.

Fazit zur Cyber-Bedrohungslage

Der „ENISA Threat Landscape 2026“-Bericht zeigt eine Bedrohungslage, in der sich Methoden von Cyberkriminellen, Hacktivisten und staatlichen Akteuren immer ähnlicher werden. Ein häufiger gemeinsamer Weg führt über vertrauenswürdige Identitäten, Sessions und Berechtigungen.

Wer Identitäten über ihren gesamten Lebenszyklus steuert, Rechte auf das Nötige begrenzt und Zugriffe regelmäßig überprüft, nimmt Angreifern einen der größten Hebel. Das ist keine Ergänzung zur Cyberabwehr, sondern ein Kernbaustein.

Nächster Schritt

Wissen Sie, wie viele privilegierte Konten, verwaiste Accounts und nicht-menschliche Identitäten es in Ihrer Umgebung gibt? Und wann wurden deren Berechtigungen zuletzt überprüft? Genau dieses Bild ist der beste Startpunkt für Ihre Governance-Roadmap.

Quellen:

• ENISA: ENISA Threat Landscape 2026, Europäische Agentur für Cybersicherheit, September 2026.

• Verizon: 2026 Data Breach Investigations Report, Verizon Business, Mai 2026.

• NIS-2-Umsetzungsgesetz / § 30 BSIG