Drei Jahre, eine Grundursache: warum die Ausnutzung von Schwachstellen auch 2026 noch gewinnt

Die langweiligste Erkenntnis im Sophos-Report 2025 ist zugleich die wichtigste

Jedes Jahr wird die Ransomware-Debatte lauter, wenn es um neue Angriffstechniken geht. KI-generiertes Phishing. Deepfake-gestütztes Social Engineering. Adversariales maschinelles Lernen. Living-off-the-Land-Binaries. Lieferketten-Kompromittierungen über obskure Abhängigkeiten. Das Narrativ legt zuverlässig nahe, dass Verteidiger einer grundlegend neuen Bedrohung gegenüberstehen, die grundlegend neue Werkzeuge erfordert.

Und jedes Jahr kommt der Sophos-Report State of Ransomware aus einer herstellerunabhängigen Befragung tausender Opfer mit derselben unmodernen Antwort zurück.

Im dritten Jahr in Folge sind ausgenutzte Schwachstellen die häufigste technische Grundursache von Ransomware-Vorfällen — verantwortlich für 32% der Angriffe im Jahr 2025.

Keine neuartigen KI-Techniken. Keine Zero-Days. Keine exotischen Lieferkettenangriffe. Patches, die existierten, aber nicht eingespielt wurden. Konfigurationen, die nachweislich falsch waren. CVEs mit öffentlichen Exploits und Hersteller-Advisories, die in einer Warteschlange landeten und nie wieder herauskamen.

Das ist die Erkenntnis, die jeder Sicherheitsverantwortlichen in Unternehmen ein ungutes Gefühl bereiten sollte, denn sie lässt sich nicht durch den Kauf eines neuen Tools lösen. Es handelt sich um ein strukturelles Problem damit, wie Unternehmensumgebungen technische Schulden anhäufen — und die Daten von 2025 legen nahe, dass keine noch so große Investition in fortgeschrittene Erkennung diese Lücke schließt.

Bei BackupSec deuten wir die Beständigkeit der Schwachstellen-Ausnutzung als Grundursache Nr. 1 als strategisches Signal: Die Lücke zwischen bekannten Sicherheitsschwächen und geschlossenen Sicherheitsschwächen ist der mit Abstand zuverlässigste Indikator dafür, welche Organisationen im nächsten Jahr in der Spalte „Lösegeld gezahlt“ auftauchen werden. Dieser Artikel erläutert, warum diese Lücke fortbesteht, warum sie sich nicht allein durch Prävention schließen lässt und welche architektonischen Konsequenzen sich daraus für Organisationen ergeben, die 2026 tätig sind.

Was die Sophos-Daten tatsächlich zeigen

Der Sophos-Report 2025 befragte 3,400 IT- und Cybersicherheitsverantwortliche in 17 Ländern, allesamt aus Organisationen, die in den vorangegangenen zwölf Monaten von Ransomware getroffen worden waren. Auf die Frage nach der technischen Grundursache ihres Vorfalls fiel die Aufschlüsselung von Jahr zu Jahr bemerkenswert konsistent aus:

• Ausgenutzte Schwachstellen: 32% der Angriffe — die Ursache Nr. 1 in drei aufeinanderfolgenden Jahren.
• Kompromittierte Zugangsdaten: 23% — gesunken von 29% im Jahr 2024.
• Schädliche E-Mails: 19%.
• Phishing: 18% — gestiegen von 11% im Vorjahr.

Die branchenspezifischen Berichte untermauern das Muster. In der Fertigung machten ausgenutzte Schwachstellen 32% der Vorfälle aus — erneut die führende Ursache. Im Einzelhandel lag der Wert bei 30% und war ebenfalls führend. In praktisch jeder von Sophos veröffentlichten Branchenauswertung bleibt dieselbe Erkenntnis bestehen: Ein Drittel aller erfolgreichen Ransomware-Angriffe beginnt mit einer Schwachstelle, die der Hersteller bereits gepatcht hat, die dem Sicherheitsteam theoretisch bekannt ist und die der Angreifer schlicht zuerst erreicht hat.

Was diese Erkenntnis strategisch bedeutsam macht, ist nicht nur ihre Konsistenz. Es ist die Tatsache, dass sie trotz dreier Jahre intensiver Brancheninvestitionen in Vulnerability-Management-Tools, Attack-Surface-Management-Plattformen, Exposure-Assessment-Dienste und Patching-Automatisierung die Ursache Nr. 1 geblieben ist. Die Investitionen waren erheblich. Das Ergebnis ist unverändert geblieben.

Das sollte uns etwas Architektonisches über das Problem verraten.

Warum Patching scheitert — selbst wenn Organisationen es betreiben

Die intuitive Antwort auf „32% der Angriffe beginnen mit bekannten Schwachstellen“ lautet „dann patcht eben schneller“. Diese Antwort ist richtig, aber operativ unzureichend, und es lohnt sich, ehrlich zu untersuchen, warum sie zu kurz greift.

Das Nenner-Problem. Ein typisches mittelständisches Unternehmen verwaltet Tausende unterschiedlicher Softwarekomponenten über Betriebssysteme, Anwendungen, Firmware, Container-Images und SaaS-Konfigurationen hinweg. Hersteller-Advisories treffen kontinuierlich ein. Selbst ein Sicherheitsteam in Höchstform kann nicht jede Komponente am Tag der Veröffentlichung eines CVE patchen. Der Nenner der „Dinge, die ausgenutzt werden könnten“ ist strukturell größer als die Kapazität der „Dinge, die in dieser Woche gepatcht werden können“.

Das Kritikalitäts-Problem. Viele Patches erfordern Ausfallzeiten, Regressionstests oder die Abstimmung mit Fachbereichsverantwortlichen, die die Umsatzkontinuität schützen. Die Systeme, die am dringendsten gepatcht werden müssen — die nach außen gerichteten Anwendungen, die Legacy-Produktionssysteme, die OT- und industrielle Steuerungsinfrastruktur — sind oft genau jene, bei denen die Geschäftskosten von Ausfallzeiten am höchsten sind. Also werden Patches eingeplant, aufgeschoben, gebündelt und schließlich vergessen. Angreifer wissen das; sie zielen gezielt auf jene Systemkategorien, die mit größter Wahrscheinlichkeit Wartungsschulden tragen.

Das Entdeckungs-Problem. Man kann nicht patchen, was man nicht sieht. Die eigenen Daten von Sophos zeigen, dass unbekannte Sicherheitslücken von über 40% der Opfer als Mitursachen genannt wurden. Speziell im Einzelhandel ließen sich 46% der Vorfälle auf unbekannte Lücken zurückführen. Dies sind keine Schwachstellen, die Organisationen bewusst nicht patchten — es sind Schwachstellen, von deren Existenz die Organisationen nichts wussten. Schatten-IT, undokumentierte Systeme, vergessene Cloud-Workloads, Drittanbieter-Integrationen mit ihren eigenen Abhängigkeitsbäumen: Die moderne Unternehmens-Angriffsfläche ist wahrhaft schwer zu erfassen, und die Lücke zwischen dem, was Ihr Asset-Inventar anzeigt, und dem, was ein Angreifer tatsächlich erreichen kann, ist genau der Ort, an dem die meisten ausgenutzten Schwachstellen leben.

Das Zeitfenster-Problem. Selbst wenn eine Schwachstelle bekannt und ein Patch verfügbar ist, hat sich die Zeitspanne zwischen Offenlegung und aktiver Ausnutzung dramatisch verkürzt. Bedrohungsakteure überwachen Hersteller-Advisories mit derselben Sorgfalt wie Sicherheitsteams, und einsatzfähige Exploits für CVEs mit hoher Auswirkung tauchen mittlerweile routinemäßig innerhalb von Tagen — manchmal Stunden — nach der Offenlegung auf. Das Patching-Zeitfenster, das vor fünf Jahren existierte, gibt es für keine Schwachstelle mehr, die ernst genug ist, um Aufmerksamkeit zu erregen.

Keines dieser Probleme wird durch den Kauf eines weiteren Vulnerability-Management-Tools gelöst. Es sind strukturelle Merkmale der Funktionsweise von Unternehmensumgebungen, und sie erklären, warum sich der Wert von 32% trotz enormer Investitionen in die Verteidigung in drei Jahren nicht bewegt hat.

Die KI-Ablenkung

Es lohnt sich, dies direkt anzusprechen: Die Sophos-Daten 2025 sind zugleich ein nützliches Korrektiv zum vorherrschenden Narrativ über KI-gestützte Angriffe.

Die Branchendebatte des Jahres 2025 drehte sich stark um KI-generierte Phishing-Kampagnen, deepfake-gestütztes Social Engineering und durch maschinelles Lernen ermöglichte Umgehung. Diese Bedrohungen sind real und verdienen Aufmerksamkeit — insbesondere angesichts von Untersuchungen, die zeigen, dass eine große Mehrheit der Phishing-E-Mails inzwischen KI-generierte Inhalte enthält.

Doch die Sophos-Daten sind ein nützlicher Realitätsabgleich dafür, wohin Mittel und Aufmerksamkeit tatsächlich fließen sollten. KI-verstärktes Phishing trägt zum Anstieg phishing-bezogener Vorfälle bei (von 11% auf 18% im Jahresvergleich). Es verdrängt jedoch nicht die Schwachstellen-Ausnutzung als dominanten Einstiegsvektor. Das Drittel aller Angriffe, das mit ungepatchten Systemen beginnt, wird nicht kleiner, weil Angreifer Zugang zu besseren Sprachmodellen haben. Wenn überhaupt, hat die KI-Debatte als Ablenkung von dem wenig glamourösen, strukturellen Problem fungiert, das seit drei aufeinanderfolgenden Jahren still und leise ein Drittel aller Ransomware-Vorfälle verursacht.

Die strategische Konsequenz für Risikoverantwortliche in Unternehmen lautet, jedem Herstellernarrativ skeptisch gegenüberzustehen, das nahelegt, die wichtigste Investition in die Verteidigung sei die neueste. Die Sophos-Daten weisen in eine andere Richtung: Die wichtigste Investition in die Verteidigung könnte jene sein, die das langweilige, strukturelle Problem des Vulnerability-Managements für das Gesamtergebnis weniger tragend macht.

Was „weniger tragend“ tatsächlich bedeutet

Hier ist die architektonische Einsicht, die folgt, wenn man akzeptiert, dass sich die Schwachstellen-Ausnutzung nicht vollständig beseitigen lässt: Wenn ein Drittel aller Angriffe weiterhin mit einem Patch beginnen wird, den Sie nicht rechtzeitig eingespielt haben, dann verschiebt sich die strategische Frage von „Wie patchen wir schneller?“ zu „Was passiert, wenn wir es nicht tun?“

Das ist die Frage, der die meisten Sicherheitsarchitekturen in Unternehmen noch immer ausweichen.

In einem Verteidigungsmodell, in dem Prävention als funktionierend vorausgesetzt wird, wird die Schwachstellen-Ausnutzung als ein Versagen behandelt, das beseitigt werden muss. In einem Verteidigungsmodell, das die Sophos-Daten ernst nimmt, wird die Schwachstellen-Ausnutzung als ein wiederkehrender Zustand behandelt, den der Rest der Architektur abfangen muss, ohne katastrophale Ergebnisse hervorzubringen.

Der Wandel von der Beseitigung zur Absorption ist derselbe architektonische Wandel, den ausgereiftes Reliability Engineering vor einem Jahrzehnt durchlief. Man beseitigt Ausfälle in verteilten Systemen nicht. Man entwirft Systeme, die bei Ausfällen kontrolliert degradieren. Man misst die mittlere Wiederherstellungszeit, nicht nur die mittlere Zeit zwischen Ausfällen. Man behandelt Resilienz als eine primäre architektonische Eigenschaft, nicht als sekundäre Aufräumarbeit, nachdem die Prävention versagt hat.

Die Unternehmenssicherheit beginnt, sehr langsam, dieselbe Logik anzuwenden. Die Sophos-Daten 2025 sind aus unserer Sicht der bislang stärkste empirische Beleg dafür, dass dieser Übergang überfällig ist.

Wo die Backup-Architektur zum Dreh- und Angelpunkt wird

Wenn eine Schwachstelle ausgenutzt wird und ein Angreifer einen Brückenkopf errichtet, ist die folgende Ereigniskette gut dokumentiert: laterale Bewegung, Rechteausweitung, Auskundschaften wertvoller Daten, Exfiltration und schließlich die Ausbringung der Payload. Moderne Bedrohungsakteure verbringen im Durchschnitt 12 bis 22 Tage in kompromittierten Umgebungen, bevor sie Ransomware ausbringen — Zeit, die sie gezielt nutzen, um die Kontrollen zu identifizieren und zu neutralisieren, die andernfalls eine Wiederherstellung ermöglichen würden.

Die mit Abstand wichtigste dieser Kontrollen ist die Backup-Umgebung.

Wenn Ihre Backup-Infrastruktur von einem System aus erreichbar ist, das mit einer ausgenutzten Schwachstelle begann, dann hat die Schwachstelle nicht nur einen Angriff ermöglicht — sie hat es dem Angriff ermöglicht zu gewinnen. Der ausgenutzte CVE auf einer ins Internet gerichteten Anwendung wird nicht deshalb architektonisch bedeutsam, weil er etwas auf dem Host bewirkt, auf dem er ausgenutzt wurde, sondern wegen dessen, was er einem Angreifer über die folgenden zwei Wochen hinweg an Ihrer Wiederherstellungsschicht ermöglicht.

Das ist der architektonische Dreh- und Angelpunkt, den die Sophos-Daten implizieren. Die Schwachstellen-Ausnutzung wird auf absehbare Zeit die Grundursache Nr. 1 bleiben. Die Variable, die über die Ergebnisse entscheidet, ist, ob Ihre Wiederherstellungsarchitektur von den Systemen aus erreichbar ist, in denen diese Schwachstellen unweigerlich ausgenutzt werden.

Konkret bedeutet das:

Identitätstrennung. Die Zugangsdaten, die Produktionssysteme schützen, dürfen keinen Zugriff auf die Backup-Infrastruktur gewähren. Wenn ein kompromittiertes Domänenadministrator-Konto Ihr Backup-Repository erreichen kann, sind Ihre Backups Teil der Angriffsfläche, die die ungepatchte Schwachstelle offengelegt hat.

Validierte Unveränderlichkeit. Softwarebasierte Aufbewahrungsrichtlinien können von jedem mit ausreichenden Rechten geändert werden. Hardware- oder plattformseitig durchgesetzte Aufbewahrungssperren sind darauf ausgelegt, dem zu widerstehen — doch die Lücke zwischen „konfiguriert“ und „tatsächlich wie beabsichtigt funktionierend“ ist genau der Punkt, an dem viele Backup-Umgebungen in Unternehmen bei echten Vorfällen versagen. Ob Ihre Unveränderlichkeit von Ihrer Backup-Plattform, Ihrer Storage-Schicht oder einem gehärteten Repository durchgesetzt wird, die entscheidende Eigenschaft ist, ob sie unter angreifernahen Bedingungen getestet wurde, nicht bloß in einem Einstellungsmenü aktiviert.

Netzwerk- und Vertrauensisolation. Eine Backup-Umgebung, die in derselben Netzwerkdomäne wie Produktionssysteme liegt, ist aus Sicht der Bedrohungsmodellierung Teil der Produktion. Logische und physische Isolation sind das, was Backup-Infrastruktur von „einem weiteren Ziel“ in „die Schicht, die überlebt, wenn andere Ziele es nicht tun“ verwandelt.

Kontinuierliche Restore-Validierung. Ein Backup, das nicht gegen die spezifischen Bedingungen eines realen Angriffs getestet wurde, ist eine Hypothese, keine Kontrolle. Die Daten von 2025 zeigen, dass 53% der Unternehmen keine Backups zur Wiederherstellung nach erfolgreichen Ransomware-Vorfällen nutzten, obwohl sie über Backups verfügten. Die wahrscheinlichste Erklärung ist, dass die vorhandenen Backups nie gegen die Szenarien validiert wurden, die sich tatsächlich abspielten. Eine Architektur gegen diesen Fehlermodus erfordert Testen, nicht nur Ausführen.

Die strategische Neueinordnung

Für Risikoverantwortliche in Unternehmen ist die Beständigkeit der Schwachstellen-Ausnutzung als Grundursache Nr. 1 keine Anklage gegen Vulnerability-Management-Programme. Sie ist der Beleg dafür, dass Vulnerability-Management — so gut es auch umgesetzt sein mag — strukturell außerstande ist, das volle Gewicht der Ransomware-Abwehr allein zu tragen.

Die Sophos-Erkenntnis, dass 32% der Angriffe mit bekannten Schwachstellen beginnen, sollte zusammen mit der Erkenntnis gelesen werden, dass 48% der Opfer aus Unternehmen das Lösegeld zahlten. Diese Zahlen hängen zusammen. Sie beschreiben eine Verteidigungshaltung, in der von der Prävention verlangt wird, unfehlbar zu sein, weil auf die Wiederherstellungsschicht kein Verlass ist. Die strategische Korrektur besteht nicht darin, die Prävention unfehlbarer zu machen — sondern darin, die Wiederherstellung so zuverlässig zu machen, dass Präventionsversagen nicht über die Geschäftsergebnisse entscheidet.

Diese Korrektur ist architektonisch. Sie ist außerdem überfällig. Die Organisationen, die die Lücke in den nächsten zwölf Monaten schließen, werden jene sein, deren Wiederherstellungsschicht das unweigerliche Drittel der Vorfälle abfangen kann, das weiterhin mit einem ungepatchten System beginnen wird. Die Organisationen, die dies nicht tun, werden Jahr für Jahr weiterhin in derselben Zeile des Sophos-Reports auftauchen.

Wo BackupSec ins Spiel kommt

Bei BackupSec baut unser Service auf der Prämisse auf, dass Prävention etwa in dem Verhältnis versagen wird, das die Sophos-Daten beschreiben — und dass die Schicht, die in diesem Fall über die Ergebnisse entscheidet, die Wiederherstellungsinfrastruktur ist, die saubere, isolierte Kopien geschäftskritischer Daten vorhält, samt der operativen Disziplin, die beweist, dass sie wiederhergestellt werden können.

Jeder unserer drei Services adressiert eine spezifische Lücke, die die Beständigkeit der Schwachstellen-Ausnutzung als Grundursache Nr. 1 offenlegt:

• ZeroMON liefert kontinuierliche Observability über Backup-Betrieb, Konfigurationsabweichungen und Sicherheitssignale — damit, wenn eine Schwachstelle ausgenutzt wird und ein Angreifer zwei Wochen im Netzwerk verbringt, die auf Ihre Backup-Umgebung gerichtete Auskundschaftung sichtbar ist, nicht still.
• ZeroTAM stellt Ihrem Team einen dedizierten Backup-Security-Berater für Architekturentscheidungen, Kapazitätsplanung und Wiederherstellungsstrategie zur Seite — und adressiert damit die strukturelle Expertiselücke, die darüber entscheidet, ob Ihre Backup-Schicht von den Systemen aus erreichbar ist, die mit der größten Wahrscheinlichkeit über ungepatchte Schwachstellen kompromittiert werden.
• ZeroPEN ist aus unserer Sicht die direkteste relevante Antwort auf die 32%-Erkenntnis. Wir pentesten Ihre Backup-Management-Planes, Zugriffskontrollen, Unveränderlichkeitseinstellungen und Ihre Isolationshaltung auf dieselbe Weise, wie es ein Angreifer täte, der mit einer ausgenutzten Schwachstelle begann — anschließend führen wir echte Restore-Szenarien durch, um zu validieren, dass die Wiederherstellung sauber, vollständig und pünktlich funktioniert. Das Ergebnis ist keine Liste von Befunden zur Behebung. Es ist ein dokumentierter Nachweis, dass Ihre Backup-Schicht die spezifischen Bedingungen übersteht, die die Sophos-Daten beschreiben.

BackupSec wird On-Premise bereitgestellt. Wir verbinden uns über schreibgeschützten API-Zugriff mit Ihren Backup-Anwendungen. Ihre Backup-Daten, Telemetrie und Konfigurationsdetails verbleiben in Ihrer Umgebung.

Der Wert von 32% ist kein Schicksal. Er ist die Beschreibung eines strukturellen Zustands, der nur dann über die Ergebnisse entscheidet, wenn die Wiederherstellungsschicht so aufgebaut ist, dass sie gemeinsam mit der Präventionsschicht versagt. Organisationen, die die beiden entkoppeln, hören auf, gegenüber der dominanten Grundursache von Ransomware im Jahr 2026 verwundbar zu sein — nicht, weil sie schneller gepatcht haben, sondern weil sie validiert haben, dass Patching für ihre Wiederherstellungsergebnisse nicht tragend ist.

Sprechen Sie mit BackupSec über Backup-Penetrationstests und Recovery-Validierung →

Diese Analyse stützt sich auf den Sophos-Report „State of Ransomware 2025“ und die breitere Ransomware-Forschungslandschaft des Jahres 2025. Die hier dargestellte Interpretation und das Framework stammen von BackupSec selbst. Um zu besprechen, wie diese Analyse auf Ihre spezifische Umgebung zutrifft, nehmen Sie Kontakt mit unserem Team auf →