Der Forschungsbericht „Acronis TRU Cyber Pulse 2026“ bietet einen tiefen Einblick in Untersuchungen zu aktuellen Bedrohungen. Er zeigt, wie Bedrohungsakteure vorgehen, wie ihre Kampagnen zusammenhängen und was Sicherheitsteams daraus lernen können.
Der Bericht bündelt die Erkenntnisse mehrerer Untersuchungen der Acronis Threat Research Unit (TRU). Er befasst sich mit neu aufkommenden Angriffstechniken, hochentwickelten permanenten Bedrohungen (APTs), Spionage und Cyberkriminalität. Zudem verknüpft er das Vorgehen der untersuchten Angreifergruppen mit dessen betrieblichen Folgen. Damit kann der Bericht Managed Service Providern (MSPs) und Unternehmen dabei helfen, aus den Erkenntnissen der Bedrohungsforschung Prioritäten für ihre Sicherheitsmaßnahmen abzuleiten.
Eine neue Perspektive vom Forschungsteam der Acronis TRU
Das ganze Jahr über analysiert das Forschungsteam der TRU Malware per Reverse Engineering, verfolgt Angriffskampagnen, unterstützt die Untersuchung von Vorfällen im Rahmen von Incident Response-Prozessen und befasst sich mit neu aufkommenden Herausforderungen für die IT-Sicherheit. Einzelne Untersuchungen zeigen, wie ein bestimmter Angriff funktioniert. In der Gesamtschau machen sie dagegen Muster sichtbar, die Sicherheitsteams dabei helfen können, künftige Entwicklungen frühzeitig zu erkennen.
Ein wichtiges Thema ist die wachsende Rolle der KI bei Cyberangriffen. Immer mehr Bedrohungsakteure verknüpfen KI-Modelle mit Angriffs-Tools, gestohlenen Anmeldedaten und einem persistenten Gedächtnis. Dadurch können sie mehr Schritte eines Angriffs koordinieren als bisher.
Die BOSSAI-Untersuchung der TRU veranschaulicht diese Entwicklung. Dabei hatte eine einzelne Person mit fundierten technischen Kenntnissen mehr als 10 KI-Modelle mit Angriffs-Frameworks und -Tools verknüpft. Mit der so entstandenen Umgebung konnten Ziele in mehreren Ländern ausgespäht, Schwachstellen ausgenutzt und die Angriffsinfrastruktur verwaltet werden.
Der Bericht untersucht außerdem die Risiken für Unternehmen, die KI-Tools einführen. Die TRU identifizierte mehr als 575 schädliche Skills (Erweiterungen) für den KI-Agenten OpenClaw, verteilt auf 13 Entwicklerkonten. Außerdem stellte sie fest, dass Infostealer gezielt API-Schlüssel von KI-Anbietern und Anmeldedaten für Coding-Tools ins Visier nehmen. Über ungeschützt im Internet erreichbare Gateways von KI-Agenten können Cyberkriminelle Befehle ausführen sowie auf Dateien und Anmeldedaten zugreifen.
Identitäten und vertrauenswürdige Tools bergen weitreichende Risiken
Kompromittierte Identitäten können Brücken zwischen voneinander getrennten Systemen und Umgebungen schlagen. Viele Cyberkriminelle nehmen Kennwörter, Browser-Cookies, aktive Sitzungen, Anmeldedaten für Cloud-Services und Konten für die Remote-Verwaltung ins Visier. Diese Zugänge können die Bedrohungsakteure anschließend selbst nutzen, um auf weitere Services zuzugreifen, oder sie weiterverkaufen.
Eine weitere Herausforderung stellt die Remote-Administration dar. Die TRU analysierte mehr als 1,8 Millionen Endpunkte, auf denen bereits Acronis RMM im Einsatz war. Auf 63,1 % davon war mindestens ein weiteres RMM- oder Remote-Zugriffs-Tool installiert. Viele dieser Tools dienen legitimen geschäftlichen Zwecken. Service Provider müssen jedoch nachvollziehen können, welche Tools freigegeben sind, wer sie betreibt und welche Zugriffsmöglichkeiten nach Änderungen am Service-Angebot bestehen bleiben.
Viele Cyberkriminelle nutzen zudem gängige Services, um ihre schädlichen Aktivitäten zu verschleiern. Der Bericht untersucht die missbräuchliche Verwendung von Cloud Storage-Services, Tabellenkalkulationen, GitHub, Messaging-Plattformen und Applikationen mit gültigen Code-Signatur-Zertifikaten.
Von der Forschung zu konkreten Maßnahmen
Viele Cyberkriminelle versuchen, den Schutz von Endpunkten zu deaktivieren, die Protokollierung zu beeinträchtigen und Wiederherstellungen zu behindern. Darüber hinaus befasst sich der Bericht mit den Ransomware-Bedrohungen für Linux- und ESXi-Infrastrukturen, in denen Angriffe gleich mehrere Workloads betreffen können.
Konkret empfiehlt der Bericht, kompromittierte Identitäten über miteinander verbundene Umgebungen hinweg nachzuverfolgen, unerwartete Aktivitäten von Remote-Tools zu untersuchen, Wiederherstellungsverfahren zu testen und den Handlungsspielraum von KI-Agenten durch durchsetzbare Berechtigungen einzuschränken. Zudem rät er Unternehmen, bereits vor einem Vorfall festzulegen, wie sie einen Angriff eindämmen und ihre Systeme wiederherstellen wollen.
Der Bericht „Acronis TRU Cyber Pulse 2026“ gewährt einen Blick hinter die Kulissen der Untersuchungen, die den heutigen Cyberbedrohungen auf den Grund gehen. Lesen Sie den Bericht: Er enthält detaillierte Analysen von Angriffskampagnen, Informationen zu neu aufkommenden Angriffstechniken und praxisnahe Hinweise zum Schutz der Umgebungen von Service Providern und der von ihnen betreuten Kundenunternehmen.
Written by
Über Acronis
Acronis ist ein Schweizer Unternehmen, das 2003 in Singapur gegründet wurde. Das Unternehmen verfügt über 15 Büros weltweit und beschäftigt Mitarbeiter:innen in mehr als 60 Ländern. Acronis Cyber Platform ist in 26 Sprachen sowie in über 150 Ländern verfügbar und wird bereits von über 21,000 Service Providern zum Schutz von mehr als 750,000 Unternehmen eingesetzt.
