Cyberangriffe aktuell: Das Lagebild für Unternehmen im November 2026

• Laut BSI wurden im zweiten Quartal 2026 rund 17.500 neue Schwachstellen bekannt, etwa 62 Prozent mehr als im ersten Quartal; als mögliche Ursache nennt das BSI KI-gestützte Schwachstellensuche.
• In der Bitkom-Studie Wirtschaftsschutz 2026 berichten 63 Prozent der Unternehmen von mehr Cyberangriffen als im Vorjahr, Cyberangriffe verursachen 76 Prozent des gesamten Schadens.
• In den letzten 30 Tagen wurden unter anderem eine Outlook-Lücke, eine SSL-VPN-Lücke bei SonicWall und gestohlene Zugangsdaten von Microsoft-365-Anwendungen aktiv ausgenutzt, dazu kamen Angriffe auf aus dem Internet erreichbare Kühlanlagen.
• Microsoft hat beobachtet, wie KI-Agenten von Angreifern in fünf Minuten vom Fund eines offen liegenden Schlüssels bis zum Datenabfluss aus Azure Key Vault gelangten.
• Weil sich Bedrohungen und Empfehlungen laufend ändern, braucht Microsoft 365 eine regelmäßige Prüfung und Nachsteuerung statt einer einmaligen Härtung.

Wer Cyberangriffe aktuell verfolgt, hat den Eindruck, dass kaum ein Tag ohne neue Warnung vergeht. Die Zahlen geben diesem Eindruck in wichtigen Punkten recht:

• Mehr Schwachstellen: Laut BSI wurden im zweiten Quartal 2026 rund 17.500 Schwachstellen bekannt, nach knapp 10.800 im ersten Quartal. Das ist ein Plus von etwa 62 Prozent. Als mögliche Ursache nennt das BSI KI-gestützte Schwachstellensuche.
• Mehr Angriffe: In der Bitkom-Studie Wirtschaftsschutz 2026 berichten 63 Prozent der befragten Unternehmen von mehr Angriffen als im Vorjahr, 69 Prozent erwarten eine weitere Zunahme.
• Cyberangriffe als größter Schadensfaktor: Ihr Anteil am Gesamtschaden der deutschen Wirtschaft liegt laut Bitkom bei 76 Prozent, nach 70 Prozent im Vorjahr.
• KI auf Seiten der Täter: 82 Prozent der Unternehmen gehen laut Bitkom davon aus, dass Angreifer verstärkt KI einsetzen.
• Schlechter vorbereitet: Nur noch 43 Prozent fühlen sich laut Bitkom sehr gut vorbereitet, im Vorjahr waren es 50 Prozent.

Zur Einordnung gehört auch: Der Anteil der Unternehmen, die sicher betroffen waren, ist laut Bitkom von 87 auf 67 Prozent gesunken, und das BSI bewertet die Lage insgesamt als durchschnittlich bedrohlich. Die Lage ist also nicht in jeder Kennzahl schlechter. Aber Angriffe werden schneller, automatisierter und nutzen mehr Schwachstellen. Das verändert, wie Unternehmen ihre IT schützen müssen.

Angriffe auf Kühlanlagen in Supermärkten und im Gesundheitswesen

Seit Mitte Oktober haben Angreifer nach übereinstimmenden Berichten mehrerer Redaktionen die Steuerungen von Kühlanlagen in Supermärkten in mehreren europäischen Ländern manipuliert, seit Anfang November auch in Deutschland. Märkte mussten Lebensmittel entsorgen. Ein Sprecher des BSI bestätigte laut Bericht auch einen Angriff auf die Kühlsysteme eines Pharmahändlers in Deutschland. Das BSI stuft die Angriffe den Berichten zufolge als ungezielt und opportunistisch ein: Die Täter suchen nach verwundbaren, aus dem Internet erreichbaren Steuerungen, unabhängig von der Branche. Das BSI hatte bereits am 13. Oktober 2026 die Cybersicherheitsempfehlung BSI-CS 154 zur Gefährdung durch internet-verbundene OT-Systeme veröffentlicht.

Outlook-Lücke wird aktiv ausgenutzt

Am Patchday vom 10. November 2026 hat Microsoft die Outlook-Lücke CVE-2026-124194 geschlossen, die nach Berichten mehrerer Fachmedien bereits angegriffen wird. Über eine präparierte Nachrichtendatei gelangen Angreifer an die NTLMv2-Hashes der Benutzer. Details und sichere Builds stehen in unserer News zum Outlook Update.

SonicWall: VPN-Lücke umgeht SAML und MFA

Die US-Behörde CISA hat die SonicWall-Lücke CVE-2026-19868 am 6. November 2026 in ihren Katalog ausgenutzter Schwachstellen aufgenommen. Sie erlaubt es, am SSL-VPN die SAML-Anmeldung samt MFA zu umgehen. Was Admins tun müssen, lesen Sie in unserer News zu SonicWall.

Gestohlene App-Zugangsdaten für Microsoft 365

Seit Anfang November melden sich Angreifer laut übereinstimmenden Berichten mit gestohlenen Zugangsdaten von App-Registrierungen bei Microsoft 365, Azure und Azure DevOps an. MFA greift dabei nicht, weil sich ein Service Principal ohne Benutzer anmeldet. Die Hintergründe erklären wir in der News zum Service Principal.

KI-Agenten suchen offen liegende Schlüssel

Microsoft hat am 5. November 2026 beschrieben, wie Angreifer ein KI-gestütztes Angriffswerkzeug einsetzen, um in öffentlichen GitHub-Repositories nach Zugangsdaten zu suchen, etwa geheimen Clientschlüsseln, Cloud-Zugangsdaten und API-Schlüsseln. In einem Fall dauerte es laut Microsoft fünf Minuten von der Suche nach geheimen Clientschlüsseln bis zum Abfluss von Daten aus Azure Key Vault. Schlug ein Befehl fehl, versuchte es der Agent nach 28 bis 80 Sekunden mit einer korrigierten Variante erneut. Microsoft empfiehlt, öffentlich gewordene Zugangsdaten sofort als kompromittiert zu behandeln und zu erneuern, geheime Schlüssel durch verwaltete Identitäten zu ersetzen und Berechtigungen von Service Principals auf das Nötige zu beschränken.

Angriff über einen MCP-Server beim Webhoster Mittwald

Der Webhoster Mittwald hat auf seiner Statusseite einen unberechtigten Zugriff auf seine Verwaltungsplattform über den MCP-Server gemeldet, über den Kunden KI-Assistenten anbinden. Am 12. November folgten neue Angriffe. Laut Mittwald handelt es sich um professionelle Akteure, die automatisierte KI-Systeme nutzen. Der Fall zeigt, dass neue KI-Schnittstellen sofort zum Angriffsziel werden.

Weitere Vorfälle

Ende Oktober betrafen die PHP2Shell-Lücken auch Produkte von Cisco, siehe unsere News zur Cisco Sicherheitslücke. Wie Angreifer mit gestohlenen Sitzungstoken die MFA aushebeln, zeigt unsere News zum Session Hijacking in Microsoft 365.

1. Tempo durch Automatisierung und KI: Angreifer suchen automatisiert nach Schwachstellen, offen liegenden Schlüsseln und erreichbaren Systemen. Zwischen Fund und Schaden liegen oft nur Minuten.
2. Zugangsdaten statt Sicherheitslücken: Bei mehreren Vorfällen nutzten die Täter gültige Zugangsdaten, Token oder App-Schlüssel. MFA für Benutzer allein hilft dann nicht.
3. Erreichbarkeit aus dem Internet: Kühlanlagen, VPN-Zugänge und Verwaltungsoberflächen wurden angegriffen, weil sie aus dem Internet erreichbar waren.
4. Updates entscheiden: Mehrere Lücken waren bereits ausgenutzt, als das Update erschien. Wer Updates erst im nächsten Wartungsfenster einspielt, ist zu spät.

Viele Unternehmen haben ihren Microsoft 365 Tenant bei der Einführung sorgfältig abgesichert. Doch Microsoft ergänzt laufend neue Sicherheitsfunktionen und Empfehlungen, Angreifer ändern ihre Methoden, und neue Anwendungen, Benutzer und Berechtigungen kommen hinzu. Eine Konfiguration, die vor einem Jahr gut war, ist heute oft lückenhaft.

Genau dafür gibt es den Microsoft Secure Score Managed Service (SSMS) der InSys AG^®. Ein fester Sicherheitsspezialist der InSys AG^® bewertet regelmäßig den Secure Score Ihres Tenants, prüft neue Empfehlungen von Microsoft auf ihre Relevanz für Ihre Umgebung und setzt priorisierte Maßnahmen in enger Abstimmung mit Ihrem IT-Team um. Er überprüft und optimiert Conditional Access, die Einstellungen von Microsoft Defender und Identity Protection, informiert Sie proaktiv über technische Änderungen in Microsoft 365 und berichtet regelmäßig über Entwicklung, umgesetzte Maßnahmen und offene Empfehlungen.

Damit setzt der SSMS dort an, wo viele der aktuellen Angriffe beginnen: bei Identitäten, Anmeldungen, Berechtigungen und Einstellungen, die nicht mehr dem aktuellen Stand entsprechen. Mehr dazu lesen Sie auf unserer Seite zum Microsoft Secure Score. Für Unternehmen, die unter NIS2 fallen, zeigen wir unter NIS2 und Microsoft 365, wie der Tenant dauerhaft konform bleibt.

Die Angriffe auf Kühlanlagen zeigen, dass auch Gebäude- und Betriebstechnik ins Visier gerät. Das BSI rät laut Berichten, aus dem Internet erreichbare Steuerungsanlagen nach dem Stand der Technik abzusichern und den direkten Zugriff aus dem Internet zu unterbinden. Fernwartung gehört hinter ein VPN mit MFA, Steuerungen gehören in ein eigenes, abgeschottetes Netzsegment. Diese Trennung setzen wir mit UniFi Gateways und der zonenbasierten Firewall um, auf Wunsch im laufenden Betrieb mit unserem UniFi Managed Service.

• Sicherheitsupdates für Outlook, VPN-Zugänge und Firewalls sofort einspielen, nicht erst im nächsten Wartungsfenster.
• App-Registrierungen und Service Principals in Microsoft Entra ID prüfen, ungenutzte Apps und geheime Schlüssel entfernen.
• Prüfen, ob Zugangsdaten in Code, Skripten oder Repositories liegen, und betroffene Schlüssel erneuern.
• Feststellen, welche Systeme aus dem Internet erreichbar sind, besonders Steuerungen, Fernwartungszugänge und Verwaltungsoberflächen.
• Den Secure Score nicht einmalig verbessern, sondern regelmäßig prüfen und nachsteuern.

Die InSys AG^® ist Microsoft Solutions Partner für Security und Microsoft Direct CSP. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Einen schnellen Überblick über den Stand Ihres Tenants gibt Ihnen der Microsoft Tenant Sicherheitscheck, den dauerhaften Schutz übernimmt der Microsoft Secure Score Managed Service. Einen Überblick über alle Leistungen finden Sie unter Microsoft 365 Security für Unternehmen und auf unserer Seite als Microsoft 365 Partner für Security und Lizenzen.

Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular unter dieser News.