Das langweiligste Ergebnis in den Sophos-Daten ist zugleich das wichtigste
Jedes Jahr wird die Ransomware-Debatte lauter, wenn es um neue Angriffstechniken geht. KI-generiertes Phishing. Social Engineering mit Deepfakes. Adversarial Machine Learning. Living-off-the-Land-Binaries. Kompromittierungen der Lieferkette über obskure Abhängigkeiten. Die Erzählung legt zuverlässig nahe, dass Verteidiger einer grundlegend neuen Bedrohung gegenüberstehen, die grundlegend neue Werkzeuge erfordert.
Drei Umfragen in Folge lieferte Sophos' Bericht State of Ransomware eine weniger modische Antwort. Die Ausgabe 2025 bringt es in einem Satz auf den Punkt:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(Im dritten Jahr in Folge nannten die Opfer ausgenutzte Schwachstellen als häufigste technische Grundursache des Angriffs, genutzt bei 32 % der Vorfälle.)
Keine exotische Technik. Eine Schwachstelle in Software, die das Opfer ohnehin betrieb, genutzt als Weg hinein. Sophos unterteilt diese Kategorie nicht in Zero-Days und Schwachstellen, für die bereits ein Patch existierte, daher kann die Umfrage nicht sagen, wie viele dieser Vorfälle am Tag des Angriffs patchbar waren. Was sie sagt: Drei Jahre lang nannten die Opfer keinen anderen einzelnen Einstiegspunkt häufiger.
Die Serie ist inzwischen zu Ende. In der Ausgabe 2026 fielen ausgenutzte Schwachstellen auf 18 %, hinter bösartige E-Mails (26 %), Phishing (24 %) und kompromittierte Zugangsdaten (23 %). Wir kommen weiter unten auf diese Verschiebung zurück, denn sie schärft das Argument, statt es zu schwächen: Der führende Einstiegspunkt änderte sich innerhalb eines einzigen Jahres, und das Wiederherstellungsproblem der Verteidiger änderte sich nicht mit.
Bei BackupSec lesen wir die dreijährige Serie als strategisches Signal. Die Lücke zwischen bekannten Sicherheitsschwächen und geschlossenen schrumpft nicht im Tempo der Prävention. Dieser Artikel untersucht, warum diese Lücke fortbesteht, warum Prävention allein sie nicht schließen kann und was das für die Backup-Architektur im Jahr 2026 bedeutet.
Was die Sophos-Daten tatsächlich zeigen
Der Sophos-Bericht 2025 basiert auf einer unabhängigen, herstellerneutralen Umfrage, die Sophos in Auftrag gab und die ein externer Spezialist zwischen Januar und März 2025 durchführte. Sie umfasst 3.400 IT- und Cybersecurity-Verantwortliche in 17 Ländern, alle aus Organisationen mit 100 bis 5.000 Beschäftigten, die in den vorangegangenen zwölf Monaten von Ransomware getroffen worden waren. Sophos benennt jeden Bericht nach dem Jahr, in dem die Umfrage lief, und merkt an, dass "many of the attacks referenced occurred in 2024" (viele der genannten Angriffe im Jahr 2024 stattfanden). Die Frage nach der Grundursache beantworteten alle 3.400 Befragten:
- Ausgenutzte Schwachstellen: 32 % der Angriffe, im dritten Jahr in Folge die Ursache Nr. 1 (36 % im Bericht 2023, 32 % im Jahr 2024).
- Kompromittierte Zugangsdaten: 23 %, gesunken von 29 % im Jahr 2024.
- Bösartige E-Mails: 19 %.
- Phishing: 18 %, gestiegen von 11 % im Vorjahr.
Die Branchenberichte auf Basis derselben Umfrage 2025 folgen größtenteils dem Muster. In der Fertigung waren ausgenutzte Schwachstellen mit 32 % die häufigste Ursache. Im Einzelhandel lagen sie im dritten Jahr in Folge mit 30 % vorn. Nicht jede Branche passt ins Bild: Im Gesundheitswesen führten ausgenutzte Schwachstellen die Liste mit 33 % an, "for the first time in three years" (zum ersten Mal seit drei Jahren). Das Muster war breit, aber nicht universell.
Eine Einschränkung zur Umfrage selbst. Sie erfasst, was die Opfer für die Grundursache halten, und Sophos' eigene Vorfallsdaten lesen sich etwas anders. In den Incident-Response- und MDR-Fällen aus dem Jahr 2024, die in den Active Adversary Report 2025 eingeflossen sind, lagen kompromittierte Zugangsdaten vorn (41 %), und ausgenutzte Schwachstellen folgten an zweiter Stelle (22 %). So oder so steht die Ausnutzung von Schwachstellen an oder nahe der Spitze.
Was das Umfrageergebnis wichtig macht, ist seine Beständigkeit. Der Anteil sank von 36 % auf 32 % und hielt sich dann dort, und drei Jahre lang überholte ihn nichts.
Das sollte uns etwas Architektonisches über das Problem sagen.
Warum Patching scheitert, selbst wenn Organisationen patchen
Die intuitive Reaktion auf „ein Drittel der Angriffe beginnt mit einer ausgenutzten Schwachstelle" lautet „dann eben schneller patchen". Diese Reaktion ist richtig, aber operativ unzureichend, und die Gründe, warum sie nicht ausreicht, verdienen eine ehrliche Betrachtung.
Das Nennerproblem. Eine mittelgroße Organisation kann leicht Tausende unterschiedlicher Softwarekomponenten betreiben, verteilt über Betriebssysteme, Anwendungen, Firmware, Container-Images und SaaS-Konfigurationen. Hersteller-Advisories treffen laufend ein. Selbst ein Security-Team in Bestform kann nicht jede Komponente an dem Tag patchen, an dem eine CVE veröffentlicht wird. Der Nenner „Dinge, die ausgenutzt werden könnten" ist strukturell größer als die Bandbreite für „Dinge, die diese Woche gepatcht werden können".
Das Kritikalitätsproblem. Viele Patches erfordern Ausfallzeiten, Regressionstests oder die Abstimmung mit Fachverantwortlichen, die Umsätze schützen. Die Systeme, die Patches am dringendsten brauchen (nach außen erreichbare Anwendungen, ältere Produktivsysteme, OT- und industrielle Steuerungsinfrastruktur), sind oft genau die, bei denen Ausfallzeiten am teuersten sind. Also werden Patches eingeplant, verschoben, gebündelt und irgendwann vergessen. Genau in dieser Wartungsschuld sieht ein Angreifer, der einen Weg hinein sucht, zuerst nach.
Das Erkennungsproblem. Was man nicht sieht, kann man nicht patchen. In der Sophos-Umfrage 2025 waren Sicherheitslücken, die der Organisation nicht bekannt waren, ein beitragender Faktor bei 40,1 % der Angriffe, knapp hinter fehlender Expertise (40,2 %). Die Befragten nannten im Durchschnitt 2,7 beitragende Faktoren, es handelt sich also um beitragende Ursachen, nicht um alleinige. Im Einzelhandel waren unbekannte Sicherheitslücken die am häufigsten genannte operative Ursache, genannt von 46 % der Opfer. Schatten-IT, undokumentierte Systeme, vergessene Cloud-Workloads und Drittanbieter-Integrationen mit eigenen Abhängigkeitsbäumen machen die moderne Angriffsfläche tatsächlich schwer zu erfassen. In der Lücke zwischen dem, was Ihr Asset-Inventar zeigt, und dem, was ein Angreifer tatsächlich erreichen kann, liegen viele ausgenutzte Schwachstellen.
Das Zeitfensterproblem. Selbst wenn eine Schwachstelle bekannt ist und ein Patch existiert, ist die Zeit bis zur Ausnutzung drastisch geschrumpft. Mandiants Analyse zur Time-to-Exploit maß durchschnittlich 63 Tage in den Jahren 2018–2019, 32 Tage im Zeitraum 2021–2022 und fünf Tage im Jahr 2023. Von den erfassten Schwachstellen, die ausgenutzt wurden, nachdem ein Patch verfügbar war, wurden 12 % innerhalb eines Tages und 29 % innerhalb einer Woche ausgenutzt. Und 70 % der 2023 erfassten ausgenutzten Schwachstellen wurden als Zero-Days genutzt, bevor überhaupt ein Patch existierte. Das Patch-Zeitfenster von vor einigen Jahren gibt es nicht mehr.
Keines dieser Probleme lässt sich durch den Kauf eines weiteren Tools für Schwachstellenmanagement lösen. Es sind strukturelle Merkmale der Art, wie Organisationen IT betreiben, und sie helfen zu erklären, warum ausgenutzte Schwachstellen drei Jahre lang an der Spitze der Sophos-Liste blieben.
Die KI-Ablenkung
Die Sophos-Daten von 2025 waren auch ein nützliches Korrektiv zur vorherrschenden Erzählung über KI-gestützte Angriffe.
Die Branchendebatte drehte sich 2025 stark um KI-generierte Phishing-Kampagnen, Social Engineering mit Deepfakes und Umgehungstechniken auf Basis von Machine Learning. Diese Bedrohungen sind real und verdienen Aufmerksamkeit. Phishing nahm in der Umfrage 2025 tatsächlich zu, von 11 % auf 18 % der Angriffe. Sophos sagt nicht, wie viel dieses Anstiegs auf KI-geschriebene Köder zurückging, und wir können es auch nicht sagen. Was die Daten von 2025 zeigen, ist, dass Phishing ausgenutzte Schwachstellen nicht als führenden Einstiegspunkt verdrängte.
Die Ausgabe 2026 entwickelt das Bild weiter. E-Mail-basierte Angriffe übernahmen die Führung: Bösartige E-Mails (26 %) und Phishing (24 %) machten zusammen die Hälfte aller Vorfälle aus, während ausgenutzte Schwachstellen um 14 Punkte auf 18 % fielen. Auch diese Verschiebung schreibt Sophos nicht der KI zu.
Die praktische Lehre für Risikoverantwortliche: Seien Sie skeptisch gegenüber jeder Erzählung, auch unserer, die besagt, die wichtigste Investition in die Abwehr sei der Vektor, der in diesem Jahr vorn liegt. Der Spitzenreiter wechselte innerhalb von zwölf Monaten. Eine Abwehr, die davon abhängt, eine bestimmte Tür zu schließen, setzt auf ein bewegliches Ziel. Die beständigere Investition ist die, die jeden einzelnen Einstiegsvektor für das Ergebnis weniger tragend macht.
Was „weniger tragend" tatsächlich bedeutet
Hier ist die architektonische Erkenntnis, die folgt, wenn man akzeptiert, dass sich die Ausnutzung von Schwachstellen nicht vollständig beseitigen lässt. Wenn ein erheblicher Anteil der Angriffe weiterhin mit einer Schwachstelle beginnen wird, die Sie nicht rechtzeitig gepatcht haben (rund ein Drittel in drei aufeinanderfolgenden Sophos-Umfragen und in der vierten immer noch fast jeder fünfte), dann verschiebt sich die strategische Frage von „Wie patchen wir schneller?" zu „Was passiert, wenn wir es nicht tun?"
Genau dieser Frage weichen die meisten Sicherheitsarchitekturen noch immer aus.
In einem Abwehrmodell, das davon ausgeht, dass Prävention funktioniert, wird die Ausnutzung von Schwachstellen als Versagen behandelt, das beseitigt werden muss. In einem Abwehrmodell, das die Sophos-Daten ernst nimmt, wird sie als wiederkehrender Zustand behandelt, den der Rest der Architektur ohne katastrophalen Ausgang auffangen muss.
Der Wechsel vom Beseitigen zum Auffangen ist derselbe Wechsel, den ausgereiftes Reliability Engineering vor Jahren vollzogen hat. Ausfälle in verteilten Systemen lassen sich nicht beseitigen. Man entwirft Systeme, die bei Ausfällen kontrolliert degradieren. Man misst die mittlere Wiederherstellungszeit, nicht nur die mittlere Zeit zwischen Ausfällen. Man behandelt Resilienz als primäre Eigenschaft der Architektur, nicht als Aufräumarbeit, nachdem die Prävention versagt hat.
Die IT-Sicherheit beginnt langsam, dieselbe Logik anzuwenden. Die Sophos-Daten sind nach unserer Lesart ein starker Beleg dafür, dass dieser Übergang überfällig ist.
Wo die Backup-Architektur zum Dreh- und Angelpunkt wird
Wenn eine Schwachstelle ausgenutzt wird und ein Angreifer sich festsetzt, ist die folgende Kette gut dokumentiert: laterale Bewegung, Rechteausweitung, Aufklärung, Exfiltration und schließlich das Ausrollen der Payload. Sie ist außerdem schnell. In den Fällen aus dem Jahr 2024, auf denen Sophos' Active Adversary Report 2025 beruht, lag die mediane Verweildauer in Incident-Response-Fällen mit Ransomware bei 4 Tagen und in MDR-Fällen bei 3 Tagen. Das ist die Zeit, die ein Angreifer hat, um die Kontrollen zu finden und auszuschalten, die sonst die Wiederherstellung ermöglichen würden, und sie ist kürzer als die meisten Review-Zyklen.
Die wichtigste dieser Kontrollen ist die Backup-Umgebung.
Wenn Ihre Backup-Infrastruktur von einem System aus erreichbar ist, das über eine ausgenutzte Schwachstelle kompromittiert wurde, hat die Schwachstelle nicht nur einen Angriff ermöglicht. Sie hat dem Angriff ermöglicht, zu gewinnen. Eine ausgenutzte CVE in einer aus dem Internet erreichbaren Anwendung ist architektonisch weniger wegen dessen von Bedeutung, was sie auf diesem Host bewirkt, als wegen dessen, was sie einem Angreifer in den folgenden Tagen gegen Ihre Wiederherstellungsebene erlaubt.
Das ist der Dreh- und Angelpunkt, den die Sophos-Daten nahelegen. Ausgenutzte Schwachstellen werden einer der wichtigsten Wege hinein bleiben, unabhängig von ihrem Rang in einem bestimmten Jahr. Die Variable, die über den Ausgang entscheidet, ist, ob Ihre Wiederherstellungsarchitektur von den Systemen aus erreichbar ist, auf denen sich Angreifer festsetzen.
Konkret bedeutet das:
Identitätstrennung. Die Zugangsdaten, die Produktionssysteme schützen, dürfen keinen Zugriff auf die Backup-Infrastruktur gewähren. Wenn ein kompromittiertes Domänen-Administratorkonto Ihr Backup-Repository erreichen kann, sind Ihre Backups Teil der Angriffsfläche, die die ungepatchte Schwachstelle offengelegt hat.
Validierte Immutability. Softwarebasierte Aufbewahrungsrichtlinien kann jeder mit ausreichenden Berechtigungen ändern. Hardware- oder plattformseitig erzwungene Aufbewahrungssperren sind darauf ausgelegt, dem standzuhalten, aber „konfiguriert" und „funktioniert tatsächlich wie beabsichtigt" sind unterschiedliche Aussagen, und nur ein Test trennt sie. Ob Ihre Immutability von Ihrer Backup-Plattform, Ihrer Speicherebene oder einem gehärteten Repository durchgesetzt wird: Entscheidend ist, ob sie unter feindlichen Bedingungen getestet wurde, nicht bloß in einem Einstellungsdialog aktiviert.
Netzwerk- und Vertrauensisolation. Eine Backup-Umgebung in derselben Netzwerkdomäne wie die Produktionssysteme ist aus Sicht der Bedrohungsmodellierung Teil der Produktion. Erst logische und physische Isolation machen aus der Backup-Infrastruktur statt „eines weiteren Ziels" „die Ebene, die überlebt, wenn andere Ziele es nicht tun".
Regelmäßige Restore-Validierung. In der Sophos-Umfrage 2025 stellten nur 54 % der Organisationen, deren Daten verschlüsselt wurden, sie aus Backups wieder her, der niedrigste Wert seit sechs Jahren und der dritte Rückgang in Folge. Sophos fragt die übrigen nicht nach dem Grund. Der Bericht meldet aber, dass 29 % "other means" (andere Mittel) nutzten, wozu laut Sophos wahrscheinlich Entschlüsselungsschlüssel gehören, die öffentlich gemacht worden waren (Mehrfachantworten waren möglich). Sein einziger direkter Datenpunkt zu gescheiterten Backups ist eng gefasst: Von 151 Organisationen, die mehr als die ursprüngliche Forderung zahlten, gaben 38 % an, dass ihre Backups ausgefallen waren oder nicht richtig funktionierten. Die Ausgabe 2026 zeigt eine Erholung: 66 % der Opfer mit verschlüsselten Daten stellten aus Backups wieder her. So oder so gilt: Ein Backup, das nie unter realistischen Bedingungen wiederhergestellt wurde, ist eine Hypothese, keine Kontrolle.
Die strategische Neubewertung
Für Risikoverantwortliche ist die dreijährige Spitzenposition der Schwachstellenausnutzung keine Anklage gegen Programme für Schwachstellenmanagement. Sie ist ein Beleg dafür, dass Schwachstellenmanagement, wie gut es auch umgesetzt wird, die volle Last der Ransomware-Abwehr nicht allein tragen kann.
Das Ergebnis von 2025, dass 32 % der Angriffe mit einer ausgenutzten Schwachstelle begannen, sollte zusammen mit einer weiteren Zahl aus derselben Umfrage gelesen werden: 49 % der Organisationen, deren Daten verschlüsselt wurden, zahlten das Lösegeld, ein Rückgang gegenüber 56 % im Jahr davor. In der Ausgabe 2026 lag die Quote bei 48 %, und Sophos beziffert den Vierjahresdurchschnitt auf rund 50 %. Nach unserer Lesart hängen diese Zahlen zusammen. Sie beschreiben eine Haltung, in der von der Prävention Unfehlbarkeit verlangt wird, weil man sich auf die Wiederherstellungsebene nicht verlassen kann. Die Korrektur besteht nicht darin, die Prävention noch unfehlbarer zu machen. Sie besteht darin, die Wiederherstellung so verlässlich zu machen, dass Präventionsfehler nicht über geschäftliche Ergebnisse entscheiden.
Diese Korrektur ist architektonisch, und sie ist überfällig. Die Organisationen, die die Lücke schließen, werden diejenigen sein, deren Wiederherstellungsebene einen Vorfall auffangen kann, egal durch welche Tür er kam. Die Daten von 2026 zeigen, wie schnell sich die meistgenutzte Tür ändern kann.
Wo BackupSec ins Spiel kommt
Bei BackupSec gehen wir von der Prämisse aus, dass Prävention manchmal versagen wird und dass der Ausgang in diesem Fall von zwei Dingen abhängt: ob saubere, isolierte Kopien Ihrer Daten existieren und ob jemand geprüft hat, dass die Backup-Ebene dem kommenden Angriff standhält.
Drei unserer Services lassen sich den oben beschriebenen Lücken zuordnen:
- ZeroMON überwacht Veeam Backup & Replication. Es läuft on-premises als OVA, verbindet sich mit einem Read-only-Konto und sendet nichts an BackupSec oder Dritte. Es verfolgt den Job-Zustand und Konfigurationsänderungen in Veeam (wer was wann geändert hat), zeigt den Immutability-Status so an, wie ihn Veeams eigene Repository-Einstellungen melden, zeigt die Ergebnisse von Veeams Security & Compliance Analyzer und enthält einen Honeypot, der Scans und Verbindungsversuche gegen die ZeroMON-Appliance als frühes Aufklärungssignal protokolliert. Alarme werden per E-Mail und als In-App-Benachrichtigung versendet. Da es Veeams Konfiguration ausliest, verifiziert es keine Sperren auf Objektebene im Speicher selbst.
- ZeroTAM stellt Ihrem Team einen dedizierten Backup-Security-Berater für Architektur, Planung der Ransomware-Wiederherstellung und Kapazität zur Seite, mit priorisiertem Support in der Krise. Es ist Beratungsarbeit, keine Software.
- ZeroPEN ist ein bedrohungsorientierter Penetrationstest von Veeam Backup & Replication sowie Veeam ONE und Enterprise Manager. Er simuliert eine auf MITRE ATT&CK abgebildete Ransomware-Kill-Chain in acht Phasen, vom Erstzugriff über die Kompromittierung des Veeam-Servers, den Zugriff auf Repositories und die Neutralisierung von Backups bis zum Nachweis der Verschlüsselungsfähigkeit. Er ist nicht destruktiv: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services." (ZeroPEN löscht niemals echte Backups, führt keine echte Verschlüsselung durch und stoppt weder Produktions- noch Backup-Dienste.) Sie erhalten auditfähige Nachweise darüber, was ein Angreifer mit einem Brückenkopf erreichen könnte, und einen Retest für kritische Befunde.
Die 32 % waren nie Schicksal, und die 18 % von 2026 sind keine Atempause. Beide beschreiben die Eingangstür. Über den Ausgang entscheidet, ob die Wiederherstellungsebene zusammen mit der Präventionsebene versagt. Beide zu entkoppeln macht Sie nicht immun gegen ausgenutzte Schwachstellen. Es macht es weit weniger wahrscheinlich, dass ein verpasster Patch darüber entscheidet, ob Sie zahlen.
Sprechen Sie mit BackupSec über Backup-Penetrationstests →
Diese Analyse stützt sich auf Sophos' Berichte State of Ransomware 2025 und 2026, die Sophos-Branchenberichte 2025 für Fertigung, Einzelhandel und Gesundheitswesen, Sophos' Active Adversary Report 2025 und Mandiants Time-to-Exploit-Analyse für 2023. Die Interpretation und das Framework stammen von BackupSec. Wenn Sie besprechen möchten, wie sich das auf Ihre Umgebung übertragen lässt, nehmen Sie Kontakt mit unserem Team auf →