Die wichtigsten Zahlen aus dem Sophos Active Adversary Report 2026
Sophos hat für den Report 661 Incident-Response- und Managed-Detection-and-Response-Fälle aus 70 Ländern und 34 Branchen ausgewertet, erhoben zwischen November 2024 und Oktober 2025. Das zentrale Ergebnis: 67 Prozent aller untersuchten Vorfälle lassen sich auf identitätsbezogene Schwachstellen zurückführen – etwa gestohlene, wiederverwendete oder schlecht geschützte Zugangsdaten.
Besonders auffällig: In 59 Prozent der Fälle fehlte eine Multi-Faktor-Authentifizierung (MFA) vollständig oder war unzureichend konfiguriert. Das hat Angreifern die Ausnutzung gestohlener Zugangsdaten erheblich erleichtert. Ergänzend verschafften sich Angreifer in 15,6 Prozent der Fälle über Brute-Force-Methoden und in 16 Prozent über die Ausnutzung von Software-Schwachstellen erste Zugänge.
Von der ersten Anmeldung bis zum Active Directory: 3,4 Stunden
Ein weiterer Wert aus dem Report macht deutlich, wie wenig Zeit für eine Reaktion bleibt: Angreifer erreichen im Schnitt bereits 3,4 Stunden nach dem ersten Zugriff die Active-Directory-Infrastruktur eines Unternehmens. Wer dort erfolgreich ist, kann sich in der Regel weitreichende Rechte im gesamten Netzwerk verschaffen. Für kleinere IT-Abteilungen in KMU bedeutet das: Ohne automatisierte Überwachung ist eine rechtzeitige Reaktion in diesem Zeitfenster kaum realistisch.
Praxisbeispiel: Ein Handwerksbetrieb aus dem Main-Tauber-Kreis erhält eine täuschend echte Phishing-Mail im Namen eines Lieferanten. Ein Mitarbeiter gibt seine Zugangsdaten auf einer gefälschten Login-Seite ein. Ohne MFA hätte der Angreifer wenige Stunden später Zugriff auf zentrale Systeme haben können – mit aktivierter Multi-Faktor-Authentifizierung schlug der Anmeldeversuch fehl und wurde protokolliert.
Ransomware schlägt bevorzugt außerhalb der Geschäftszeiten zu
Auch beim Thema Ransomware liefert der Report klare Muster: 88 Prozent der Ransomware-Payloads wurden außerhalb der regulären Geschäftszeiten ausgerollt, 79 Prozent der Datenabflüsse fanden ebenfalls in diesem Zeitfenster statt. Die Angreifer nutzen gezielt Nächte und Wochenenden, wenn IT-Teams in KMU typischerweise nicht besetzt sind. Insgesamt beobachtete Sophos 51 unterschiedliche Ransomware-Familien, davon 24 neue Gruppen – ein Zeichen für eine zunehmend fragmentierte Angreiferlandschaft. Rund 22 Prozent der Ransomware-Fälle gingen auf die Gruppe Akira zurück.
Kürzere Verweildauer, aber mehr fehlende Protokolldaten
Positiv: Die mittlere Verweildauer von Angreifern im Netzwerk sank im Berichtszeitraum auf 3 Tage. Gleichzeitig verdoppelte sich jedoch der Anteil der Fälle, in denen wichtige Log-Daten fehlten, weil sie nicht lange genug gespeichert wurden. Ohne durchgängiges Logging lässt sich ein Vorfall im Nachhinein kaum vollständig rekonstruieren – ein Problem, das gerade kleinere Unternehmen mit begrenzten Speicherressourcen betrifft.
Vergleich: Angriffsvektoren im Sophos Active Adversary Report 2026
| Angriffsvektor | Anteil an den Vorfällen |
|---|---|
| Identitätsbezogene Schwachstellen (gesamt) | 67 % |
| Fehlende oder schlecht konfigurierte MFA | 59 % |
| Exploitation von Schwachstellen | 16 % |
| Brute-Force-Angriffe | 15,6 % |
Was KMU jetzt konkret tun sollten
MFA-Audit durchführen
Prüfen Sie, für welche Systeme MFA aktiv ist – und wo phishing-resistente Verfahren fehlen. Genau das empfiehlt auch Sophos als zentrale Maßnahme im Report.
Passwort-Hygiene verbessern
Erzwingen Sie eindeutige, ausreichend komplexe Passwörter und unterbinden Sie die Wiederverwendung über mehrere Dienste hinweg.
Logging und Aufbewahrung sicherstellen
Stellen Sie sicher, dass sicherheitsrelevante Protokolle lange genug gespeichert werden, um einen Vorfall rückwirkend nachvollziehen zu können.
24/7-Überwachung einplanen
Da Angreifer bevorzugt außerhalb der Geschäftszeiten agieren, braucht es eine Überwachung, die nicht an Feierabend oder Wochenende endet.
Managed Detection and Response prüfen
Für Unternehmen ohne eigenes Security-Team ist ein Managed-Service wie Sophos MDR oft der praktikabelste Weg zu durchgängiger Überwachung.
Was der Active Adversary Report überhaupt ist
Der Active Adversary Report erscheint jährlich und basiert nicht auf Umfragen, sondern auf realen Vorfällen, die das Incident-Response- und Managed-Detection-and-Response-Team von Sophos selbst bearbeitet hat. Das macht die Zahlen für IT-Verantwortliche und Geschäftsführer in KMU besonders belastbar: Es handelt sich um tatsächlich beobachtetes Angreiferverhalten und nicht um Selbstauskünfte betroffener Unternehmen, die Vorfälle mitunter beschönigen oder unvollständig darstellen.
Für die Ausgabe 2026 wurden 661 Fälle aus 70 Ländern und 34 Branchen zwischen November 2024 und Oktober 2025 ausgewertet. Auch wenn ein Großteil der untersuchten Fälle aus größeren Unternehmen mit dediziertem Security-Team stammt, sind die grundlegenden Muster – schwache oder fehlende MFA, Angriffe außerhalb der Geschäftszeiten, unzureichendes Logging – in KMU mit kleineren IT-Budgets eher noch ausgeprägter, da dort seltener eine durchgängige Überwachung existiert.
Warum eine fragmentierte Angreiferlandschaft die Lage nicht einfacher macht
Mit 51 unterschiedlichen Ransomware-Familien und 24 neuen Gruppen allein im Berichtszeitraum zeigt sich: Es gibt nicht mehr die eine dominante Angreifergruppe, gegen die man sich gezielt wappnen könnte. Stattdessen setzen viele kleinere, teils kurzlebige Gruppen auf dieselben Grundmuster – gestohlene Zugangsdaten, fehlende MFA und Angriffe außerhalb der Geschäftszeiten. Für die Verteidigung bedeutet das: Statt auf einzelne Bedrohungsakteure zu reagieren, zahlt sich eine grundlegende Absicherung der Identitäten und eine durchgehende Überwachung eher aus als reine Signatur-basierte Erkennung einzelner Schadsoftware-Familien.
Häufige Fragen zum Sophos Active Adversary Report 2026
Reicht ein Passwortwechsel nach einem Phishing-Vorfall aus? Nein. Solange keine Multi-Faktor-Authentifizierung aktiv ist, kann derselbe Angriffsweg über neu erbeutete Zugangsdaten erneut funktionieren. Ein Passwortwechsel behebt das Symptom, nicht die eigentliche Schwachstelle.
Ist MFA für ein kleines Unternehmen überhaupt praktikabel? Ja. Moderne MFA-Lösungen lassen sich in bestehende Microsoft-365-Umgebungen ohne großen Aufwand integrieren und erhöhen den Schutz deutlich, ohne den Arbeitsalltag spürbar zu verlangsamen.
Lohnt sich ein Managed-Service, wenn bereits eine interne IT existiert? Häufig ja, da eine durchgehende Überwachung außerhalb der Geschäftszeiten – genau dann, wenn laut Report die meisten Ransomware-Angriffe stattfinden – mit einer klassischen Bürobesetzung kaum abzudecken ist.
Wie CoKom GmbH unterstützt
MFA-Einführung
Wir richten Multi-Faktor-Authentifizierung für Ihre Systeme ein und schließen Lücken in der Konfiguration.
Sophos MDR
Als Sophos-Partner bieten wir Managed Detection and Response für KMU, die keine eigene 24/7-IT-Sicherheitswache betreiben.
Log-Management
Wir sorgen dafür, dass sicherheitsrelevante Ereignisse zuverlässig protokolliert und aufbewahrt werden.
Laufende Betreuung
Über unsere IT-Sicherheitsleistungen behalten wir aktuelle Bedrohungslagen für Sie im Blick.
Auch Arztpraxen sind zunehmend Ziel identitätsbasierter Angriffe, da sie sensible Patientendaten verwalten. Mehr dazu, wie wir Praxen im Main-Tauber-Kreis absichern, finden Sie unter Medizin-IT. Wer wissen möchte, wer hinter CoKom GmbH steht, wird unter über uns fündig.
Fazit: Identität ist die neue Firewall
Der Sophos Active Adversary Report 2026 zeigt deutlich: Wer heute noch allein auf klassische Perimeterschutz-Maßnahmen setzt, übersieht das größte Einfallstor – kompromittierte Zugangsdaten. Für Unternehmen in Wertheim, im Main-Tauber-Kreis und ganz Baden-Württemberg lohnt sich jetzt ein MFA-Audit und eine ehrliche Bestandsaufnahme des eigenen Logging. CoKom GmbH unterstützt Sie dabei – sprechen Sie uns über unsere Leistungen an.