KELA’s State of Cybercrime 2026-Bericht enthüllt 2,86 Milliarden gestohlene Anmeldedaten und den Aufstieg autonomer KI-Angriffe

Cyberkriminalität skaliert nicht mehr nur, sondern entwickelt sich auf einer strukturellen Ebene. Laut The State of Cybercrime 2026: Emerging Threats & Predictions von KELA verschieben sich die Angreifer von traditionellen Eindringungsmethoden hin zu Identitätsmissbrauch, KI-gesteuerter Automatisierung und großer Ausbeutung von vertrauensbasierten Systemen.

Der Bericht zeichnet ein dunkles Bild von 2025 als Wendepunkt. Cyberkriminelle brechen nicht mehr in Netzwerke ein, sondern melden sich an, oft mit gestohlenen Anmeldedaten, KI-Agenten und vertrauenswürdigen Drittsystemen, um Verteidigungen vollständig zu umgehen.

Ein rekordbrechendes Jahr für Cyberkriminalität

Das Ausmaß der Cyberkriminalität im Jahr 2025 erreichte beispiellose Höhen. KELA verfolgte 2,86 Milliarden kompromittierte Anmeldedaten im globalen Ökosystem, das Infostealer-Malware, Datenbanken von Sicherheitsverletzungen und Untergrundmärkten umfasst.

Diese Anmeldedaten sind jetzt der primäre Einstiegspunkt für Angreifer. Anstatt Schwachstellen auszunutzen, verlassen sich Bedrohungsakteure zunehmend auf legitimen Zugriff, was effektiv die Veraltetheit von perimetrischen Sicherheitsmodellen bedeutet.

Gleichzeitig erlebte Ransomware einen dramatischen Anstieg. Der Bericht identifizierte 7.549 Ransomware-Opfer im Jahr 2025, was einer Steigerung von 45 % im Vergleich zum Vorjahr entspricht, wobei mehr als 53 % der Opfer in den Vereinigten Staaten ansässig waren.

Dieses Wachstum wird durch eine ausgereifte Cyberkriminalitätsökonomie angetrieben. Es gab 147 aktive Ransomware-Gruppen, darunter etwa 80 neue Teilnehmer, was zeigt, wie niedrig die Einstiegshürde geworden ist.

Die Infostealer-Epidemie, die alles antreibt

Im Kern dieses Anstiegs steht der Aufstieg von Infostealer-Malware, die jetzt als Rückgrat der modernen Cyberkriminalität gilt.

KELA beobachtete etwa 3,9 Millionen infizierte Maschinen weltweit im Jahr 2025, die 347,5 Millionen Anmeldedaten direkt aus Malware-Infektionen generierten.

Das breitere Ökosystem verstärkt dies dramatisch, mit Milliarden von Anmeldedaten, die auf Cyberkriminalitätsmärkten zirkulieren. Diese werden dann an Ransomware-Gruppen, Initial-Access-Broker und nationale Akteure weiterverkauft.

Die Daten zeigen eine kritische Verschiebung in der Zielsetzung. Über 75 % der kompromittierten Anmeldedaten sind mit hochwertigen Diensten wie Geschäftskloud-Plattformen (19,6 %), CMS-Systemen (18,7 %), E-Mail-Diensten (15,3 %) und Authentifizierungssystemen (12,9 %) verbunden.

Dies unterstreicht eine klare Strategie: Angreifer priorisieren Plattformen, die laterale Bewegung und vollständige organisatorische Kompromittierung ermöglichen.

macOS ist nicht mehr sicher: Ein Anstieg von 7.000 %

Eine der auffälligsten Feststellungen ist der Zusammenbruch lang gehaltener Annahmen über Plattformsicherheit.

macOS-Infektionen stiegen von weniger als 1.000 Fällen im Jahr 2024 auf über 70.000 im Jahr 2025, was einem Anstieg von 7.000 % entspricht.

Diese Explosion wird durch die Kommerzialisierung von Malware-as-a-Service, insbesondere Tools wie Atomic Stealer, angetrieben, die es auch unerfahrenen Angreifern ermöglichen, Apple-Geräte im großen Maßstab anzugreifen.

Die Implikation ist klar: Keine Plattform ist mehr von Natur aus sicher. Angreifer folgen dem Wert, und Apple (AAPL ) -Ökosysteme sind jetzt fest in ihrem Fadenkreuz.

KI wird zur neuen Angriffsfläche

Der bedeutendste Wandel, der im Bericht dargestellt wird, ist die tiefe Integration von KI in den Cyberangriffslebenszyklus.

KELA identifiziert einen Übergang von KI-gesteuerten Angriffen zu vollständig autonomen, agentengesteuerten Operationen, bei denen 80 % bis 90 % der Aufgaben mit minimaler menschlicher Beteiligung ausgeführt werden können.

Ein Schlüsselkonzept, das aus diesem Wandel hervorgeht, ist “Vibe-Hacking“. Anstatt KI-Systeme zu knacken, manipulieren Angreifer sie, indem sie bösartige Aktionen als legitime Aufgaben darstellen. Dies ermöglicht es KI-Agenten, unbewusst schädliche Operationen auszuführen, ohne Sicherheitsvorkehrungen auszulösen.

Der Bericht hebt auch reale Fälle hervor, in denen KI-Systeme durch Prompt-Injection und indirekte Manipulation kompromittiert wurden. In einem Fall führten autonome KI-Agenten Aufklärung, entwickelten Exploit-Code und führten Angriffe auf mehrere Ziele mit begrenzter menschlicher Aufsicht durch.

Dies markiert eine grundlegende Veränderung. KI ist nicht mehr nur ein Werkzeug für Angreifer, sondern sowohl eine Waffe als auch ein Ziel.

Ransomware entwickelt sich zu industrieller Erpressung

Ransomware ist nicht mehr nur eine Taktik, sondern ein vollständiges Geschäftsmodell.

Die meisten Angriffe verlassen sich jetzt auf Doppel-Erpressung, die DatenDiebstahl mit Verschlüsselung kombiniert. Allerdings steigen auch Erpressungsangriffe, bei denen Angreifer die Verschlüsselung vollständig vermeiden und sich auf den Diebstahl und die Monetarisierung sensibler Daten konzentrieren.

Das Ökosystem ist hochgradig wettbewerbsorientiert. Die führende Gruppe, Qilin, beanspruchte über 1.100 Opfer, gefolgt von Akira mit 761 Opfern und Clop mit 523 Opfern.

Diese Gruppen verlassen sich zunehmend auf gestohlene Anmeldedaten anstelle von technischen Ausbeutungen, oft kaufen sie Zugriff von Untergrund-Brokern, um Angriffe zu beschleunigen.

Die wirtschaftlichen Auswirkungen sind verblüffend. Ein einzelner Sicherheitsverstoß bei Jaguar Land Rover führte zu 2,5 Milliarden Dollar an wirtschaftlichen Schäden, einschließlich Produktionsstillständen und Lieferkettenunterbrechungen, die Tausende von Unternehmen betrafen.

Hacktivismus und Geopolitik intensivieren Cyber-Bedrohungen

Cyberkriminalität ist zunehmend mit globalen Konflikten verknüpft.

Hacktivistische Aktivitäten stiegen um 400 % im Vergleich zum Vorjahr, mit über 3.500 DDoS-Angriffen und mehr als 250 neuen Gruppen, die im Jahr 2025 auftraten.

Diese Gruppen beschränken sich nicht mehr auf Website-Veränderungen. Sie zielen auf kritische Infrastruktur, Betriebstechnologie und Industriesysteme ab, was reale Konsequenzen nach sich zieht.

Gleichzeitig nutzen nationale Akteure Cyberoperationen als Kerninstrument der geopolitischen Strategie. Kampagnen, die mit den Spannungen zwischen Russland und der Ukraine, Israel und dem Iran, den USA und China sowie Nordkorea zusammenhängen, zeigen, wie Cyberkriegsführung jetzt Spionage, Störung und finanzielle Operationen umfasst.

Supply-Chain-Angriffe und der Zusammenbruch des Vertrauens

Ein weiterer definierender Trend ist der Aufstieg von Supply-Chain-Angriffen.

Anstatt einzelne Organisationen anzugreifen, kompromittieren Angreifer Lieferanten, SaaS-Plattformen und gemeinsame Infrastruktur, um Zugriff auf Tausende von nachgelagerten Opfern zu erhalten.

In einem Fall ermöglichte ein SaaS-zu-SaaS-Angriff es Angreifern, in Salesforce (CRM ) -Umgebungen mehrerer Unternehmen mit gestohlenen OAuth-Tokens zu gelangen, wodurch traditionelle Sicherheitskontrollen vollständig umgangen wurden.

Dies spiegelt eine breitere Verschiebung wider. Das “Vertrauen per Default”-Modell wird zu einer Belastung, da Angreifer die Beziehungen zwischen Systemen ausnutzen, anstatt die Systeme selbst.

Zero-Day-Ausbeutung und das Ende des Patch-Fensters

Der Bericht hebt auch die Industrialisierung der Ausbeutung von Schwachstellen hervor.

Im Jahr 2025 wurden 238 Schwachstellen dem Katalog der bekannten ausgenutzten Schwachstellen von CISA hinzugefügt, im Vergleich zu 185 im Vorjahr.

Angreifer monetarisieren Ausbeutungen jetzt schneller als je zuvor, oft innerhalb von Tagen oder sogar Stunden nach der Offenlegung. Untergrundmärkte verkaufen zunehmend vollständig bewaffnete Exploit-Kits anstelle von einfachen Proof-of-Concept-Code, was die Barriere für die Massenausbeutung senkt.

Eine neue Realität der Cybersicherheit

Die Erkenntnisse in KELA’s State of Cybercrime 2026-Bericht machen eines klar: Die Cybersicherheit betritt eine neue Ära.

Identität ist jetzt die primäre Angriffsfläche. KI ist sowohl ein Werkzeug als auch eine Verwundbarkeit. Vertrauensbeziehungen zwischen Systemen werden zu Waffen. Und die Geschwindigkeit der Angriffe beschleunigt sich jenseits der Grenzen traditioneller Verteidigungsmodelle.

Organisationen, die weiterhin auf veraltete Sicherheitsansätze setzen, sind zunehmend exponiert. Der Wechsel zu identitätsbasierten Sicherheit, Zero-Trust-Architekturen und KI-bewussten Verteidigungen ist nicht mehr optional.

Für eine tiefere Analyse von Bedrohungsakteuren, Angriffsmethoden und strategischen Empfehlungen bietet der vollständige Bericht, The State of Cybercrime 2026: Emerging Threats & Predictions by KELA, eine umfassende Übersicht darüber, wie sich die Cyberkriminalitätslandschaft entwickelt und wohin sie als Nächstes geht.