Es ist Montagmorgen, 7:42 Uhr. Thomas Kellner, IT-Leiter der Metallwerk Süd GmbH aus dem Großraum Stuttgart – 240 Mitarbeiter, Zulieferer für die Automobilindustrie – nimmt seinen ersten Kaffee und öffnet das SIEM-Dashboard. Was er sieht, lässt ihn die Tasse abstellen.

Zwischen 3:14 Uhr und 4:47 Uhr wurden 73 E-Mails vom Postfach des Geschäftsführers verschickt. Die Empfänger: Buchhaltung, ein Steuerberater und drei externe Kontakte. Der Inhalt: dringende Zahlungsanweisungen über insgesamt 340.000 Euro an ein polnisches Konto – im Namen des Geschäftsführers, mit echter Signatur, aus dem echten Postfach. Thomas Kellner löst sofort Alarm aus. Doch die E-Mails sind bereits zugestellt. Zwei davon wurden ohne Rückfrage ausgeführt.

Das Szenario ist fiktiv – die Angriffsmethode dahinter ist es nicht. Identity-basierte Angriffe sind 2026 zur dominierenden Bedrohungsform für Unternehmen geworden. Sie funktionieren nicht, weil Systeme zu wenig gepatcht werden. Sie funktionieren, weil Identitäten zu wenig geschützt werden.

Was wirklich passiert ist – eine Rekonstruktion

In unserem Szenario beginnt die Geschichte drei Wochen früher. Der Geschäftsführer der Metallwerk Süd GmbH erhält eine E-Mail, die äußerlich wie eine Microsoft-365-Sicherheitsbenachrichtigung aussieht. Betreff: "Ungewöhnliche Anmeldeaktivität in Ihrem Konto – jetzt bestätigen". Die E-Mail ist perfekt gestaltet: Logo, Farbgebung, Ton – alles stimmt.

Er klickt den Link. Eine täuschend echte Microsoft-Anmeldeseite erscheint. Er gibt seine Zugangsdaten ein, bestätigt den MFA-Code aus seiner Authenticator-App – und wird wie gewohnt zu seinem Postfach weitergeleitet. Er schließt das Fenster, geht seinen Tag weiter. Er hat keine Ahnung, dass er soeben seine Microsoft-365-Credentials und sein frisch ausgestelltes Session-Token an einen Command-and-Control-Server übermittelt hat.

Das Entscheidende: Der Angreifer nutzte ein Adversary-in-the-Middle (AitM)-Phishing-Kit. Dieses leitet den Login-Vorgang in Echtzeit über einen eigenen Proxy weiter – und stiehlt dabei nicht nur das Passwort, sondern auch das gültige Session-Token. Das Token ist der eigentliche Schlüssel: Damit ist ein Angreifer angemeldet, ohne das Passwort zu kennen, ohne MFA erneut durchlaufen zu müssen. Der Token gilt für Stunden, manchmal Tage.

In den darauffolgenden Wochen bewegt sich der Angreifer still und unauffällig. Er liest E-Mails. Er kartiert Beziehungen: Wer schreibt mit wem? Welcher Ton wird verwendet? Wann werden Zahlungen besprochen? Was sind die üblichen Beträge? Er liest Urlaubspläne, Abwesenheiten, interne Zuständigkeiten. Dann, in der dritten Woche, handelt er.

Identity-Based Attacks: Warum sie 2026 so effektiv sind

Klassische Cyberangriffe suchen nach Systemlücken – ungepatchten Schwachstellen, falsch konfigurierten Diensten, exponierten Ports. Identity-basierte Angriffe gehen einen anderen Weg: Sie suchen nicht nach Lücken, sondern nach Schlüsseln. Und in einer Welt, in der alles über authentifizierte Zugänge funktioniert – E-Mail, ERP-System, Cloud-Storage, Videokonferenzen, Kollaborationsplattformen – gibt es davon reichlich.

Vier Faktoren machen Identity-Angriffe 2026 besonders effektiv und zur bevorzugten Methode professioneller Angreifer:

Kein Exploit-Rauschen: Systemangriffe hinterlassen charakteristische Spuren – Port-Scans, Exploit-Versuche, anomale Prozessaufrufe, ungewöhnliche Netzwerkkommunikation. Identity-Angriffe mit gestohlenen Token sehen wie normale Nutzeraktivität aus. Für das System ist ein gestohlenes Token identisch mit einem legitimen Login – es gibt keinen technischen Unterschied.

Skalierbarkeit durch generative KI: Generative KI ermöglicht es, täuschend echte Phishing-E-Mails in Millisekunden zu personalisieren – mit korrekter Grammatik, passendem Ton und kontextspezifischen Details aus öffentlichen Quellen wie LinkedIn oder Unternehmenswebseiten. Deepfakes erlauben gefälschte Sprachanrufe im Namen von Vorgesetzten. Was früher Handarbeit war, ist heute vollautomatisch und massenskalierfähig.

MFA ist kein Allheilmittel: Traditionelle MFA – SMS-OTP oder zeitbasierte Codes aus einer Authenticator-App – schützt vor Passwortdiebstahl, aber nicht vor Token-Diebstahl über AitM-Phishing. Das Opfer führt die MFA-Überprüfung korrekt durch, der Angreifer stiehlt dabei das resultierende Session-Token. Einmal ausgestellt, ist ein Token gültig – bis er abläuft oder explizit widerrufen wird.

Laterale Bewegung ohne Rechteeskalation: Mit einem gestohlenen Admin-Token muss ein Angreifer keine Privilege-Escalation-Schwachstelle ausnutzen – er ist bereits Administrator. Das reduziert das detektierbare Angriffs-Rauschen auf ein Minimum und macht die Erkennung im SIEM erheblich schwieriger.

Die Zahlen hinter der Bedrohung

Der Cloudflare-Bedrohungsbericht 2026 zeichnet ein klares Bild: Identitäten sind das primäre Angriffsziel geworden. Statt Systeme zu durchbohren, schlüpfen Angreifer durch die Vordertür – mit gestohlenen oder erschlichenen Zugangsdaten, legitim aussehenden Token und Methoden, die Sicherheitssoftware nicht als Angriff erkennt. Die Zahl der DDoS-Angriffe hat sich im vergangenen Jahr auf 47,1 Millionen verdoppelt, mit Rekordattacken von bis zu 31,4 Terabit pro Sekunde. Doch volumetrische Angriffe machen weniger als ein Drittel aller Sicherheitsvorfälle aus.

Laut dem Cyber Security Report 2026 wurden in Deutschland Wirtschaftsschäden durch Cyberangriffe von über 202 Milliarden Euro jährlich verzeichnet. 80 Prozent der Angriffe treffen kleine und mittlere Unternehmen – genau jene Betriebe, die typischerweise weniger in Sicherheitsinfrastruktur investieren. Die Zahl der Geschäfts-E-Mail-Kompromittierungen (Business Email Compromise, BEC) – Angriffe, bei denen wie in unserem Szenario E-Mail-Konten für Betrug missbraucht werden – ist im Jahr 2025 um 34 Prozent gestiegen. Schadensummen pro Vorfall liegen im Mittelstand typischerweise zwischen 50.000 und 500.000 Euro.

Besonders besorgniserregend: Viele BEC-Schäden sind nicht oder nur teilweise versicherbar, da sie unter den Begriff Social Engineering fallen und viele Policen diesen Bereich mit expliziten Ausschlussklauseln versehen.

Angriffsvektoren im Detail: Wie Angreifer Identitäten kompromittieren

Adversary-in-the-Middle Phishing (AitM)

AitM ist die technisch fortschrittlichste Form des modernen Phishings. Anstatt den Nutzer auf eine statische gefälschte Login-Seite zu leiten, schaltet sich der Angreifer als transparenter Proxy zwischen Nutzer und echten Dienst. Der Nutzer sieht eine legitim aussehende Seite und führt seinen Login inklusive MFA-Bestätigung vollständig durch – der Angreifer erhält in Echtzeit sowohl Zugangsdaten als auch das frisch ausgestellte Session-Token. Der Nutzer wird anschließend erfolgreich zum echten Dienst weitergeleitet und bemerkt nichts Ungewöhnliches.

Bekannte AitM-Toolkits wie Evilginx3 oder Modlishka sind frei verfügbar und seit Jahren im Einsatz. Einschlägige Phishing-as-a-Service-Plattformen verkaufen kampagnenfähige Setups für unter 100 Dollar monatlich – inklusive Support-Chat und Dokumentation.

Credential Stuffing und Passwort-Spraying

Milliarden von Zugangsdaten aus vergangenen Datenlecks kursieren im Dark Web – viele davon kostenlos abrufbar. Credential-Stuffing-Angriffe testen diese Kombinationen systematisch gegen bekannte Dienste. Die Annahme dahinter ist korrekt: Über 60 Prozent der Nutzer verwenden Passwörter für mehrere Dienste – wer also einen Dienst kompromittiert hat, kann dieses Wissen bei einem anderen einsetzen.

Passwort-Spraying ist subtiler: Statt viele Passwörter gegen ein Konto zu testen – was zu Kontosperren führt – testet man ein häufig verwendetes Passwort gegen viele Konten. Sommer2025!, Passwort1!, Firma2026!, Willkommen1! – Variationen dieser Muster sind erschreckend verbreitet und durch geleakte Passwortlisten empirisch nachgewiesen.

Token-Diebstahl aus dem Browser

Malware, die sich im Browser einnistet, kann gespeicherte Session-Cookies und OAuth-Tokens extrahieren. Mit diesen Tokens kann ein Angreifer auf Cloud-Dienste zugreifen – ohne das Passwort zu kennen, ohne MFA zu benötigen. Infostealer-Malware wie Lumma Stealer oder Redline ist genau darauf spezialisiert und wird als Malware-as-a-Service für kleines Geld vermietet. Besonders gefährlich: Infostealer werden häufig über vermeintlich legitime Downloads, Cracking-Sites oder gefälschte Software-Updates verteilt und laufen oft wochenlang unentdeckt.

Social Engineering und Deepfakes

Der menschliche Faktor bleibt der verlässlichste Angriffspunkt. Generative KI hat die Qualität von Spear-Phishing-E-Mails dramatisch verbessert: Sie sind grammatikalisch einwandfrei, nutzen kontextspezifische Details aus öffentlichen Profilen und imitieren den Schreibstil bekannter Kontakte. Deepfake-Audio-Angriffe, bei denen die Stimme eines Vorgesetzten imitiert wird, um Mitarbeiter zu Überweisungen zu bewegen, haben 2025 erstmals die Grenze zur Massenanwendung überschritten. Die Erkennungsrate durch den menschlichen Hörer liegt in kontrollierten Studien bei unter 50 Prozent.

Zurück zum Szenario: Was hätte verhindert werden können?

Thomas Kellner sitzt im Krisenmeeting. Die Forensik ist beauftragt, der Schaden liegt bei 280.000 Euro – eine Überweisung konnte noch rechtzeitig gestoppt werden. Welche Maßnahmen hätten den Angriff gestoppt?

Phishing-resistente MFA: Der entscheidende Fehler lag in der verwendeten MFA-Methode. App-basiertes TOTP ist gegen AitM-Phishing machtlos, weil der One-Time-Code in Echtzeit über den Proxy weitergegeben wird. FIDO2-basierte Passkeys oder Hardware-Security-Keys (z.B. YubiKey) binden die Authentifizierung an das physische Gerät und den tatsächlichen Hostname der Login-Seite. Ein gefälschter Proxy kann die Herausforderung nicht erfüllen – der Angriff scheitert zwingend, noch bevor das Token ausgestellt wird.

Conditional Access und geografische Anomalie-Erkennung: Microsofts Entra ID erlaubt Conditional Access-Policies, die ungewöhnliche Login-Muster erkennen und blockieren. Eine Anmeldung aus Polen um 3:14 Uhr bei einem Nutzer, der sich sonst ausschließlich aus Stuttgart anmeldet – das wäre ein sofortiger Block-Kandidat gewesen. Verbunden mit automatischer Benachrichtigung an den IT-Leiter hätte diese Maßnahme den Angriff in der Nacht gestoppt.

Token-Lifetime-Management: Die Gültigkeitsdauer von Session-Tokens kann und sollte eingeschränkt werden. Ein Token, das nach einer Stunde Inaktivität abläuft, gibt Angreifern deutlich weniger Zeit zum Handeln – und erzwingt eine erneute Authentifizierung, bei der Anomalie-Erkennung erneut greift.

Privileged Access Management (PAM): Der Account des Geschäftsführers hatte unbeschränkten, dauerhaften E-Mail-Zugriff mit breiten Berechtigungen. PAM-Lösungen implementieren das Just-in-Time-Prinzip: Erhöhte Rechte werden nur für den notwendigen Zeitraum gewährt und dann automatisch entzogen. Außergewöhnliche Aktionen – wie das Massenversenden von E-Mails – erfordern explizite Bestätigung.

Verhaltensbasierte Anomalie-Erkennung: Ein SIEM-System mit Identity-Analytics hätte den nächtlichen Massenversand von E-Mails sofort als Anomalie erkannt – ungewöhnliche Uhrzeit, ungewöhnliches Volumen, ungewöhnliche Zieladressen. Eine automatische Kontosperrung wäre um 3:14 Uhr ausgelöst worden. Nicht um 7:42 Uhr, als Thomas Kellner seinen Kaffee trank.

Zero Trust: Das Paradigma hinter der Lösung

Die Antwort auf identitätsbasierte Angriffe ist kein einzelnes Produkt, sondern eine Philosophie: Zero Trust. Das Kernprinzip lautet: Never trust, always verify. Kein Nutzer, kein Gerät, keine Anwendung erhält automatisch Vertrauen – unabhängig davon, ob er sich im internen Netz befindet oder nicht. Vertrauen wird nicht einmalig vergeben und dauerhaft behalten, sondern kontinuierlich und kontextabhängig verdient.

Zero Trust ist kein monolithisches Produkt, das man kauft und installiert. Es ist eine Architekturentscheidung, die sich durch alle Schichten der IT-Infrastruktur zieht:

Identity Governance: Wer hat welche Zugriffsrechte? Sind diese noch aktuell und notwendig? Eine Identity-Governance-Plattform automatisiert die Pflege von Zugriffsrechten und sorgt dafür, dass ausgeschiedene Mitarbeiter, gewechselte Rollen oder abgeschlossene Projekte keine verwaisten Rechte hinterlassen. Regelmäßige Access-Reviews werden zum Standard, nicht zur Ausnahme.

Privileged Access Management (PAM): Administrative Konten sind das begehrteste Ziel für Angreifer. PAM-Lösungen schützen privilegierte Zugänge durch Vault-Mechanismen, zeitlich begrenzte Zugriffe, vollständiges Session-Recording und verhaltensbasierte Anomalie-Erkennung. Privilegierte Zugänge werden nur bei nachgewiesenem Bedarf und nur für den notwendigen Zeitraum gewährt.

Mikro-Segmentierung: Auch wenn ein Angreifer in das Netz eingedrungen ist, sollte er sich nicht frei bewegen können. Mikro-Segmentierung unterteilt das Netzwerk in kleine, isolierte Bereiche, zwischen denen strenge Zugriffskontrollen herrschen. Ein kompromittiertes Konto in der Buchhaltung hat keinen Zugang zur Produktions-IT oder zu Backup-Systemen.

Continuous Verification: Anstatt einem Nutzer nach dem Login dauerhaftes Vertrauen zu gewähren, wird dieses Vertrauen kontinuierlich überprüft: Ändert sich das Verhalten? Greift der Nutzer auf ungewöhnliche Ressourcen zu? Kommt plötzlich ein Zugriff aus einem anderen Netz oder Gerät? Jede Abweichung löst eine erneute Verifikation oder Sperrung aus.

Für mittelständische Unternehmen klingt Zero Trust oft nach einem Enterprise-Konzept für Großkonzerne. Das war es früher auch. Heute ist die Implementierung mit Cloud-nativen Diensten wie Microsoft Entra ID P2 oder spezialisierten PAM-Lösungen auch für Unternehmen ab 50 Mitarbeitern realistisch und budgetvertretbar. Es beginnt nicht mit dem größten Sprung, sondern mit dem ersten konkreten Schritt. Unsere Erfahrungen in der Informationssicherheit sowie in der strategischen IT-Integration zeigen: Wer mit den kritischsten Identitäten beginnt – Geschäftsführung, IT-Administratoren, Buchhaltung – erreicht in wenigen Wochen einen signifikant besseren Schutz.

Konkrete Handlungsempfehlungen für den Mittelstand

Basierend auf der aktuellen Bedrohungslage und unseren Erfahrungen in der Praxis empfehlen wir eine priorisierte Umsetzungsreihenfolge:

Sofortmaßnahmen (0–4 Wochen): Aktivieren Sie für alle privilegierten Konten und alle Konten mit Außenkontakt – Geschäftsführung, Buchhaltung, HR, Einkauf – phishing-resistente MFA. Idealerweise FIDO2-basierte Passkeys oder Hardware-Security-Keys. Ist das kurzfristig nicht möglich, ist App-basiertes TOTP noch immer deutlich besser als kein MFA. Deaktivieren Sie SMS-basiertes OTP, wo immer möglich – es ist durch SIM-Swapping und SS7-Angriffe kompromittierbar.

Kurzfristige Maßnahmen (1–3 Monate): Implementieren Sie Conditional Access-Policies für Ihren Identity Provider. Definieren Sie, welche Login-Konstellationen für Ihre Nutzer normal sind – und blockieren Sie oder erzwingen Sie erneute Verifikation bei allem anderen. Schulen Sie Ihre Mitarbeiter gezielt zu AitM-Phishing: nicht mit generischen Folien-Präsentationen, sondern mit simulierten Phishing-Angriffen und unmittelbarem, konstruktivem Feedback direkt nach dem Test.

Mittelfristige Maßnahmen (3–12 Monate): Führen Sie ein strukturiertes Identity Governance-Programm ein. Auditieren Sie alle bestehenden Zugriffsrechte: Welche sind noch notwendig? Welche wurden in den letzten 90 Tagen nie genutzt? Implementieren Sie PAM für privilegierte Konten. Verknüpfen Sie Ihr SIEM mit Identity-Daten für verhaltensbasierte Anomalie-Erkennung.

Strategische Maßnahmen (ab 12 Monate): Entwickeln Sie eine vollständige Zero-Trust-Architektur für Ihre IT-Infrastruktur. Das bedeutet: Mikro-Segmentierung, Device-Trust-Management, kontinuierliche Verifikation und ein Identity-First-Sicherheitsmodell, das von der Unternehmensleitung verstanden und getragen wird. Informationen zu unseren Compliance-Lösungen und zu unserer Leistungspalette im Bereich IT-Sicherheit finden Sie auf unseren entsprechenden Seiten.

Was KI für beide Seiten bedeutet

Künstliche Intelligenz verändert das Kräfteverhältnis in der Cybersicherheit auf beiden Seiten fundamental. Angreifer nutzen generative KI für hyperpersonalisiertes Phishing, automatisierte Credential-Angriffe in industriellem Maßstab und Deepfake-Attacken in einer Qualität, die menschlich kaum erkennbar ist. KI ermöglicht es auch weniger versierten Kriminellen, Operationen zu starten, die früher staatlichen Akteuren vorbehalten waren.

Auf Verteidigungsseite ermöglicht KI völlig neue Ansätze: Verhaltensbasierte Anomalie-Erkennung analysiert Tausende von Parametern pro Sekunde – Tippgeschwindigkeit, Mausbewegungsmuster, Zugriffsrhythmen, geografische Bewegungsprofile, Zugriffsvolumina, ungewöhnliche Ressourcenzugriffe – und erkennt Abweichungen, die für einen menschlichen Analysten unsichtbar wären. KI-gestützte Identity-Security-Plattformen können Konten Minuten nach einem Token-Diebstahl sperren – nicht Stunden später, wenn der Schaden bereits eingetreten ist.

Die Investition in solche Systeme rechnet sich ab dem ersten verhinderten BEC-Angriff. Mehr zu strategisch eingesetzter KI im Unternehmenskontext, auch im Bereich Sicherheit und Anomalie-Erkennung, erfahren Sie auf unserer Seite zur KI-Strategie und Integration.

Ausblick: Die nächste Welle kommt

2026 markiert einen Wendepunkt – aber nicht das Ende der Entwicklung. Sicherheitsforscher warnen vor der nächsten Eskalationsstufe: AI-to-AI-Angriffe, bei denen vollautomatisierte Angriffsagenten ohne menschliche Intervention operieren und sich in Echtzeit an Abwehrmaßnahmen anpassen. Ein Angriffsagent, der erkennt, dass sein Phishing-Versuch gefiltert wurde, modifiziert seine E-Mail und versucht es erneut – in Millisekunden, in Millionen von Varianten.

Deepfake-Angriffe auf Video-Konferenzen stehen kurz vor der Massenfähigkeit: Nicht nur Stimme, sondern auch das Gesichtsbild des angeblichen Gesprächspartners kann in Echtzeit gefälscht werden. Der nächste "Anruf vom CFO" könnte täuschend echt aussehen und klingen – und trotzdem Betrug sein.

Die gute Nachricht: Die grundlegenden Schutzmaßnahmen sind bekannt und verfügbar. Phishing-resistente MFA, Zero Trust, PAM, Mitarbeitersensibilisierung – das sind keine hypothetischen Zukunftskonzepte, sondern erprobte Lösungen, die heute implementiert werden können. Der Unterschied zwischen Unternehmen, die einen Identity-Angriff 2026 überstehen, und denen, die schwer getroffen werden, liegt oft nicht in der Technologie – sondern in der Entschlossenheit, sie einzusetzen, bevor der Ernstfall eintritt.

Thomas Kellner von der Metallwerk Süd GmbH hat nach dem Vorfall sein komplettes Identitätskonzept neu aufgestellt. FIDO2-MFA für alle Konten, Conditional Access für die gesamte M365-Umgebung, PAM für IT-Administratoren und verhaltensbasierte Anomalie-Erkennung im SIEM. Drei Monate später blockierte das System in einer einzigen Nacht 47 automatisierte Credential-Stuffing-Versuche. Ohne menschliches Eingreifen. Ohne Schaden. Und Thomas Kellner konnte seinen Morgenkaffee in Ruhe trinken.

Wenn Sie Ihre Identitätssicherheit auf den Prüfstand stellen möchten, eine Zero-Trust-Strategie entwickeln oder konkrete Unterstützung bei der Implementierung benötigen: Das pleXtec-Team begleitet mittelständische Unternehmen von der initialen Bestandsaufnahme über die Priorisierung bis zur vollständigen Umsetzung. Sprechen Sie uns an – wir freuen uns auf Ihre Anfrage.