- BOSSAI: Ein einzelner Angreifer verknüpfte mehr als zehn KI-Modelle mit Angriffswerkzeugen
- Infostealer nehmen zunehmend Zugangsdaten für KI-Entwicklungswerkzeuge ins Visier
- Angreifer missbrauchen verstärkt Plattformen wie GitHub und Telegram für Cyberangriffe
- Acronis TRU Cyber Pulse Report 2026 zeigt aktuelle Entwicklungen des Jahres auf
SCHAFFHAUSEN, Schweiz – 9. November 2026 – Die im Acronis TRU Cyber Pulse Report gebündelten Erkenntnisse zeichnen ein Bild der Cyberbedrohungen im Jahr 2026: KI hilft Angreifern, mehrere Phasen komplexer Attacken zu koordinieren, während gestohlene Identitäten und vertrauenswürdige Dienste den Zugriff auf vernetzte Umgebungen erleichtern können [1]. Zugleich schalten Ransomware-Gruppen gezielt Schutzmechanismen aus und nehmen Linux- und VMware-ESXi-Systeme ins Visier. Für Unternehmen und MSPs bedeutet das, Risiken über einzelne Endpoints hinaus zu bewerten und Identitäts-, Cloud- und Remote-Management-Aktivitäten in ihre Reaktion einzubeziehen – von der ersten Warnmeldung bis zur Wiederherstellung.
Der „TRU Cyber Pulse“-Report bündelt Forschungsergebnisse der TRU zu komplexen Cybervorfällen, Malware-Kampagnen und Bedrohungsakteuren. Er betrachtet die dabei beobachteten Vorgehensweisen und Ziele im Zusammenhang, um übergreifende Entwicklungen und ihre Bedeutung für die Cybersicherheit herauszuarbeiten. Aus den aktuellen Erkenntnissen lassen sich folgende Trends der aktuellen Cyberbedrohungslandschaft ableiten:
- KI erleichtert einzelnen Angreifern die Koordination komplexer Angriffe: Bei der Untersuchung der „BOSSAI“-Aktivitäten stellte die TRU fest, dass ein einzelner Angreifer mehr als zehn KI-Modelle mit Angriffswerkzeugen und MCP-Servern verknüpfte. Die KI-Agenten konnten so Ziele ausspähen, Systeme auf Schwachstellen prüfen, diese ausnutzen, Befehle ausführen und die Angriffsinfrastruktur verwalten.
- Infostealer gefährden Identitäten und vernetzte Dienste: Gestohlene Zugangsdaten, Sitzungsinformationen, Token und API-Schlüssel können dazu führen, dass sich eine Infektion von einem Endpoint auf Cloud-Dienste, Entwicklungsumgebungen und andere vernetzte Systeme ausweitet. Die IronWorm-Kampagne zeigt, dass Angreifer inzwischen auch gezielt API-Schlüssel und Zugangsdaten von KI-Entwicklungswerkzeugen wie Claude, Codex, Cursor und Gemini stehlen.
- Angreifer schalten Sicherheitsmechanismen gezielt aus: Ransomware-Gruppen und andere hochentwickelte Angreifer beeinträchtigen gezielt den Endpunktschutz und die Protokollierung und erschweren so die Erkennung ihrer Aktivitäten innerhalb der IT-Umgebung. Seit April 2026 führt MITRE ATT&CK solche Eingriffe als eigene Taktik unter der Bezeichnung „Defense Impairment“. In einer von der TRU analysierten Windows-Version der Ransomware Qilin fanden sich beispielsweise Funktionen zum Beenden von Prozessen und Diensten.
- Das Zeitfenster für Gegenmaßnahmen wird kleiner: Mithilfe von KI können Angreifer innerhalb weniger Stunden Exploits für neu bekannt gewordene Schwachstellen entwickeln und einsatzbereit machen.
- Legitime Plattformen werden für Angriffe missbraucht: Cyberkriminelle nutzen bekannte Dienste wie GitHub oder Telegram, um schädliche Aktivitäten bereitzustellen oder zu steuern. Bei der Untersuchung einer Kampagne zur Verbreitung des Infostealers Vidar 2.0 identifizierte die TRU Hunderte GitHub-Repositories, über die Malware verbreitet wurde. Domain-Sperren und Zertifikatsprüfungen allein reichen möglicherweise nicht aus, um solche Aktivitäten zuverlässig von legitimer Nutzung zu unterscheiden.
- Ransomware-Angriffe dringen zunehmend tiefer in die Unternehmens-IT vor: Linux- und VMware-ESXi-Systeme geraten verstärkt ins Visier von Angreifern. Die TRU beschreibt unter anderem die ESXi-Variante von LockBit 5.0, mit der Angreifer laufende virtuelle Maschinen herunterfahren, deren Dateien verschlüsseln und damit geschäftskritische Anwendungen und Dienste gefährden können.
- Eine Kompromittierung kann weitreichende Folgen für MSPs und ihre Kunden haben: Administratoridentitäten, Remote-Management-Tools und gemeinsam genutzte Infrastrukturen können mehrere Kundenumgebungen miteinander verbinden. Bei einer TRU-Analyse von mehr als 1,8 Millionen Geräten, auf denen bereits Acronis RMM lief, waren auf 63,1 Prozent mindestens ein weiteres RMM- oder Fernzugriffstool installiert. Für MSPs ist es deshalb wichtig, den Überblick über eingesetzte Tools und deren Zugriffsberechtigungen zu behalten.
Cyberbedrohungen 2026: Angreifer zielen auf vernetzte IT-Umgebungen
Aus Erkenntnissen müssen konkrete Schutzmaßnahmen werden
Die Erkenntnisse verdeutlichen, dass Sicherheitsteams nicht nur das ursprünglich betroffene Gerät untersuchen sollten, sondern auch prüfen müssen, wie weit die Auswirkungen einer kompromittierten Identität oder eines kompromittierten Systems reichen. Gerade bei MSPs kann bereits ein einzelnes kompromittiertes Konto oder Management-Tool mehrere Kundenumgebungen gefährden. Sicherheitsteams sollten deshalb Identitäts- und Cloud-Aktivitäten überwachen, Berechtigungen von KI-Agenten begrenzen, deaktivierte Schutzmechanismen erkennen und Wiederherstellungspläne regelmäßig testen.
„Unser Acronis TRU Cyber Pulse Report spiegelt die umfangreiche Forschungsarbeit der TRU im Laufe des Jahres wider – von der Analyse von Malware und Kampagnen bis zur Untersuchung, wie Angreifer ihre Vorgehensweisen anpassen“, erklärt Santiago Pontiroli, Threat Intelligence Research Lead bei Acronis. „Ein Blick auf diese Untersuchungen hilft dabei, Muster aufzudecken, die bei einem einzelnen Vorfall möglicherweise schwerer zu erkennen sind. Die wichtigste Entwicklung, die wir beobachtet haben, ist, dass KI versierte Angreifer dabei unterstützt, mehr Phasen eines Angriffs zu koordinieren. Zugleich können gestohlene Identitäten und vertrauenswürdige Tools ihnen helfen, sich in vernetzten Umgebungen zu bewegen. Sicherheitsverantwortliche müssen diese Risiken deshalb im Zusammenhang betrachten, von der ersten Warnmeldung über die Eindämmung bis hin zur Wiederherstellung.“
„Unternehmen sind auf miteinander verknüpfte Identitäten, Tools und Dienste angewiesen. Angreifer wissen, wie sie diese Verbindungen ausnutzen können“, ergänzt Gerald Caron, CISO bei Acronis. „Die Erkenntnisse zeigen, dass es nicht ausreicht, einzelne Endpoints zu schützen. IT-Teams benötigen Transparenz über Identitäts-, Cloud- und Remote-Management-Aktivitäten sowie MDR-Funktionen und Wiederherstellungspläne, die auch kompromittierte Administratorzugänge berücksichtigen. Eine KI-native Plattform, die Schutz, Verwaltung und Automatisierung vereint, kann Unternehmen einen klareren Überblick über ihre IT-Umgebungen verschaffen, die Zugriffskontrollen stärken und eine schnellere, besser koordinierte Reaktion unterstützen. So können MSPs und ihre Kunden Sicherheitsvorfälle eindämmen und die Wiederherstellung mit größerer Sicherheit angehen.“
Der Report „Acronis TRU Cyber Pulse 2026“ ist verfügbar unter https://www.acronis.com/en/lp/cyber-pulse-2026-report/
Über Acronis:
Acronis ist ein globales Cybersecurity-Unternehmen und bietet die einzige nativ integrierte Plattform für Cybersicherheit, Datenschutz und Infrastrukturmanagement für Managed Service Provider und IT-Abteilungen. Acronis-Lösungen helfen Unternehmen dabei, ihre IT-Umgebungen zu identifizieren und zu schützen, Bedrohungen zu erkennen und darauf zu reagieren sowie Daten wiederherzustellen und zu verwalten, um Datenintegrität und Geschäftskontinuität sicherzustellen.
Acronis ist ein Schweizer Unternehmen, das 2003 in Singapur gegründet wurde. Das Unternehmen verfügt über 15 Büros weltweit und beschäftigt Mitarbeiter:innen in mehr als 60 Ländern. Acronis Cyber Platform ist in 26 Sprachen sowie in über 150 Ländern verfügbar und wird bereits von über 21,000 Service Providern zum Schutz von mehr als 750,000 Unternehmen eingesetzt. Erfahren Sie mehr unter www.acronis.com.