Cyberkriminelle kompromittieren Netzwerke in unter 30 Minuten

Die durchschnittliche Zeit, die Cyberkriminelle für die Kompromittierung eines Netzwerks benötigen, ist auf unter eine halbe Stunde gesunken. Unternehmen kämpfen damit, ihre Identitäts- und Zugriffsverwaltung zu automatisieren. Während Branchenstandards und Aufsichtsbehörden die Anforderungen verschärfen, zeigt der Markt: Die meisten kleinen und mittleren Unternehmen sind auf den technologischen Wandel nicht vorbereitet.

Warum Cyberkriminelle gerade kleine und mittelständische Unternehmen ins Visier nehmen – ein kostenloses E-Book zeigt, welche neuen Bedrohungen 2024 auf Sie zukommen und wie Sie sich ohne großes Budget schützen. IT-Sicherheits-Checkliste für Unternehmer jetzt kostenlos herunterladen

Angriffsgeschwindigkeit überfordert manuelle Verteidigung

Die Zeit für Verteidiger schwindet rapide. Aktuelle Analysen zeigen: Die durchschnittliche „Breakout Time“ – die Zeit von der ersten Infiltration bis zur Ausbreitung im Netzwerk – liegt 2026 bei nur noch 29 Minuten. Das ist ein Geschwindigkeitszuwachs von 65 Prozent gegenüber 2024. Experten führen diese Beschleunigung auf generative KI zurück, die Angreifern automatisierte Erkundung und Ausnutzung von Schwachstellen ermöglicht.

Doch die interne Automatisierung in vielen Firmen hält nicht Schritt. Obwohl Identitäten zur neuen Sicherheitsgrenze geworden sind, verlassen sich viele Unternehmen beim „Joiner-Mover-Leaver“-Zyklus – also bei der Verwaltung von Neueintritten, Wechseln und Austritten – noch auf manuelle Prozesse. Das schafft kritische Lücken: Ausgeschiedene Mitarbeiter behalten oft tagelang Zugriff, neue Konten werden ohne das Prinzip der geringsten Rechte eingerichtet.

Die Komplexität steigt durch den Boom nicht-menschlicher Identitäten. Service-Accounts, Bots und automatisierte Agenten übersteigen in Unternehmensnetzwerken häufig die Zahl menschlicher Nutzer. Die Verwaltung dieser Identitäten erfordert eine ausgefeilte Automatisierung, die viele Firmen noch nicht eingeführt haben. Eine riesige, unüberwachte Angriffsfläche entsteht.

Neue Regulierungen erzwingen technische Modernisierung

Eine Welle neuer Compliance-Vorgaben soll Unternehmen im Frühjahr und Sommer 2026 zur Modernisierung ihrer Identitätsinfrastruktur zwingen.

• Cyber Essentials 3.3: Ab dem 27. April 2026 gelten verschärfte Regeln, darunter eine 14-Tage-Frist für kritische Sicherheitsupdates und die Pflicht zur Multi-Faktor-Authentifizierung (MFA) für alle Cloud-Dienste. Wo MFA nicht verfügbar ist, muss Single Sign-On (SSO) eingesetzt werden.
• Kalifornien (CCPA): Seit dem 1. Januar 2026 gelten neue Pflichten für Hochrisiko-Datenverarbeitung und automatisierte Entscheidungssysteme. Funktionierende „Opt-Out“-Mechanismen werden bereits jetzt durchgesetzt – eine Reaktion auf weitverbreitete Mängel, die die Staatsanwaltschaft 2024 aufdeckte.
• EU-KI-Verordnung: Ab dem 2. August 2026 gilt die Verordnung vollumfänglich. Sie bringt strenge Transparenzpflichten für autonome KI-Agenten mit sich. Unternehmen müssen den „Datenhunger“ von KI-Modellen mit den Datensparsamkeits-Geboten der DSGVO in Einklang bringen.

KMU in der Vorbereitungskrise

Die Last dieser Veränderungen trifft kleinere Unternehmen besonders hart. Studien Anfang 2026 zeigen: Nur 11 Prozent der KMU fühlen sich auf aktuelle Datenschutz- und Cybersicherheitsvorschriften voll vorbereitet. Die finanziellen Risiken sind immens: Die durchschnittlichen Kosten einer Datenpanne für ein KMU werden auf 120.000 bis 1,24 Millionen Euro geschätzt.

Auch die interne Compliance-Wahrnehmung ist lückenhaft. In Österreich wussten beispielsweise nur 41 Prozent der Beschäftigten um den rechtlichen Schutz für Whistleblower – obwohl Unternehmen ab 50 Mitarbeitern anonyme Meldekanäle einrichten müssen. Selbst wenn technische Lösungen existieren, hinken Organisationskultur und Kommunikation oft hinterher.

Seit August 2024 gelten bereits konkrete Pflichten der neuen EU-KI-Verordnung, die viele Unternehmen noch nicht auf dem Schirm haben. Dieser kostenlose Umsetzungsleitfaden hilft Ihnen, Fristen und Risikoklassen richtig einzuschätzen und rechtlich auf der sicheren Seite zu bleiben. Gratis E-Book zur EU-KI-Verordnung anfordern

Analysten raten daher zu einem Wechsel von punktuellen Prüfungen hin zu kontinuierlichem Monitoring. Dazu gehören adaptive Zugangskontrollen, die das Authentifizierungsniveau je nach Risiko anpassen, sowie der Umstieg von Passwörtern auf Passkeys.

Vom Compliance-Denken zum operativen Risikomanagement

Die Stagnation bei der Identity-Automatisierung spiegelt einen grundlegenden Konflikt wider: den Übergang von einer „Compliance-Mentalität“ zu einem Ansatz des operativen Risikomanagements. Ehemalige Cybersicherheitsbeamte betonen, dass das reine Abhaken von Checklisten für Prüfer nicht mehr ausreicht. Der Fokus muss auf der Echtzeit-Identifizierung und Neutralisierung von Angriffspfaden liegen.

Diese Entwicklung zeigt sich auch in der Evolution von Standards:

• HIPAA (USA): Geplante Änderungen der Sicherheitsregeln, die im Mai 2026 finalisiert werden sollen, wollen die Unterscheidung zwischen „erforderlichen“ und „zu erwägenden“ Schutzmaßnahmen abschaffen. Bislang optionale Schritte wie verschlüsselte Datenspeicherung würden verpflichtend.
• DORA (EU): Die Verordnung zur digitalen operativen Resilienz verlangt von Finanzinstituten einen umfassenden Rahmen für das ICT-Risikomanagement, inklusive eines Registers aller Dienstleister. Bei schwerwiegenden Vorfällen muss eine erste Meldung innerhalb von vier Stunden erfolgen – ein Zeitfenster, das ohne hochgradige Automatisierung kaum einzuhalten ist.

Ausblick: Global verschärfte Durchsetzung

Die Durchsetzung von Vorschriften wird 2026/27 internationaler und aggressiver. Behörden in Kalifornien und Connecticut kündigten an, vermehrt interne Compliance-Prüfungen durchzuführen, die hinter die öffentlichen Datenschutzerklärungen blicken.

In Indien soll das Digital Personal Data Protection (DPDP) Gesetz 2026 voll wirksam werden. Es sieht hohe Geldstrafen – bis zu mehreren Millionen Euro – vor, wenn Datenpannen nicht innerhalb von 72 Stunden gemeldet werden. Diese globalen Trends zu kürzeren Meldefristen und höheren Strafen machen die Stagnation bei der Identity-Automatisierung zu einem existenziellen Geschäftsrisiko.

Experten raten Unternehmen als ersten Schritt, den Schutz privilegierter Zugänge mit Just-in-Time-Berechtigungen zu priorisieren. So werden Admin-Rechte nur bei Bedarf und zeitlich begrenzt erteilt. Das kann das Risiko deutlich senken, auch wenn umfassendere Automatisierungsprojekte länger dauern. Doch angesichts einer „Breakout Time“ von nur 29 Minuten ist das Zeitfenster für manuelle Eingriffe faktisch geschlossen.

de | boerse | 69140869 |