Cyberangriffe auf Unternehmen: Was der Microsoft Digital Defense Report 2026 zeigt

• Laut Microsoft Digital Defense Report 2026 vergehen von der Entdeckung einer Schwachstelle bis zu ihrer aktiven Ausnutzung inzwischen meist weniger als 24 Stunden.
• In Deutschland stiegen die von Microsoft erfassten Ransomware-Fälle innerhalb eines Jahres von 59 auf 222, ein Plus von 276 Prozent.
• Identität bleibt das wichtigste Einfallstor: Phishing stieg als Einstiegsweg von 7 auf 23 Prozent, Token-Diebstahl hat sich mehr als verdoppelt.
• Microsoft empfiehlt phishing-resistente MFA, schnelles Patchen, verknüpfte Sicherheitssignale und eine eigene Identität mit verantwortlichem Sponsor für jeden KI-Agenten.

Microsoft hat am 1. Oktober 2026 den Digital Defense Report 2026 veröffentlicht. Der Bericht trägt den Titel „Decoding emergence", umfasst 103 Seiten und wertet den Zeitraum Juli 2025 bis Juni 2026 aus. Grundlage sind mehr als 165 Billionen Sicherheitssignale, die Microsoft täglich verarbeitet. Für Cyberangriffe auf Unternehmen lautet die zentrale Botschaft: Künstliche Intelligenz macht Angriffe schneller, billiger und skalierbarer, doch die meisten erfolgreichen Angriffe nutzen weiterhin bekannte Lücken bei Identitäten, Updates und Prozessen.

Wir haben den Bericht als Microsoft Solutions Partner für Security ausgewertet und fassen zusammen, was für Unternehmen in Deutschland wichtig ist.

Im ersten Halbjahr 2026 entfielen 1,7 Prozent aller von Microsoft beobachteten Angriffe auf Kunden auf Ziele in Deutschland. Damit liegt Deutschland weltweit auf Platz 10 und ist das einzige EU-Land unter den zehn am stärksten betroffenen Ländern.

Besonders deutlich ist der Anstieg bei Ransomware: Die Zahl der von Microsoft erfassten Fälle in Deutschland stieg von 59 auf 222. Das entspricht einem Plus von 276 Prozent und ist der stärkste Zuwachs in Europa. Weltweit stiegen Ransomware-Detonationen gegen Unternehmen um 15,8 Prozent. Die Zahlen beruhen auf der Telemetrie von Microsoft und bilden nicht die gesamte Bedrohungslage ab, die Richtung ist aber eindeutig.

Microsoft beschreibt KI als Faktor, der die „Physik" der Cybersicherheit verändert. Drei Zahlen machen das greifbar:

• Die mittlere Zeit von der Entdeckung einer Schwachstelle bis zu ihrer aktiven Ausnutzung liegt inzwischen deutlich unter 24 Stunden.
• Im ersten Halbjahr 2026 wurden fast 40.000 Schwachstellen (CVEs) veröffentlicht. Für das Gesamtjahr erwartet Microsoft einen Rekord von rund 72.000, etwa doppelt so viele wie 2025.
• Unternehmen benötigen typischerweise 30 bis 60 Tage, um kritische, von außen erreichbare Schwachstellen zu schließen.

Im Juli 2026 wurde zudem der erste automatisierte Ransomware-Angriff mit Erpressung dokumentiert, bekannt als JADEPUFFER. Der Einstieg erfolgte über aus dem Internet erreichbare Dienste mit bekannten Schwachstellen. In Laborumgebungen haben aktuelle KI-Modelle bereits eine Angriffskette mit 32 Schritten bis zur vollständigen Übernahme einer Domäne ohne menschliche Hilfe durchlaufen.

Gleichzeitig betont das Red Team von Microsoft: Die schwersten Angriffe beruhen selten auf etwas Neuem, sondern auf einer fehlenden oder falsch konfigurierten Grundschutzmaßnahme. Die am häufigsten ausgenutzte Schwachstelle in der Telemetrie von Microsoft stammt aus dem Jahr 2020: CVE-2020-1472 (Netlogon) steht für 58 Prozent der Erkennungen. Microsoft nennt die Fähigkeit, schnell zu patchen, deshalb die am meisten unterschätzte Grundlage. Mehr dazu lesen Sie in unserem Beitrag Patch Management im KI-Zeitalter.

Microsoft bezeichnet Identität als die wichtigste Steuerungsebene der Verteidigung. Angreifer brechen seltener ein, sie melden sich an:

• Password Spray macht mehr als 99 Prozent der beobachteten Zugriffsversuche in der Cloud aus.
• Passwortangriffe insgesamt gingen um 26 Prozent zurück. MFA und Passkeys wirken.
• Angreifer weichen deshalb auf die Sitzung aus: Der Anteil von Adversary-in-the-Middle-Phishing und Token-Diebstahl hat sich im ersten Halbjahr 2026 mehr als verdoppelt. Auch Device Code Phishing ist vom Nischenverfahren zur bevorzugten Methode geworden.
• In den Incident-Response-Fällen stieg Phishing als Einstiegsweg von 7 auf 23 Prozent, das Ausnutzen öffentlich erreichbarer Anwendungen von 15 auf 24 Prozent.

Klassische MFA per SMS oder App-Code schützt gegen solche Angriffe nur eingeschränkt. Microsoft empfiehlt ausdrücklich phishing-resistente MFA mit Passkeys, weniger dauerhafte Berechtigungen und das schnelle Widerrufen von Tokens und Sitzungen.

Menschen bleiben ein zentraler Angriffspunkt. Der Bericht nennt mehrere Methoden, die stark gewachsen sind:

• ClickFix: Nutzer werden über gefälschte CAPTCHAs oder Fehlermeldungen dazu gebracht, selbst einen Befehl einzufügen und auszuführen. Zwischen Februar und Mai 2026 waren mehr als 1,1 Millionen Geräte betroffen, etwa achtmal so viele wie zuvor.
• Voice Phishing in Microsoft Teams: Die bestätigten Fälle pro Woche stiegen gegenüber dem Vorjahr um 502 Prozent. Nach dem Anruf folgt häufig die Installation eines Fernwartungswerkzeugs.
• Business Contact Impersonation (BCI): Angreifer geben sich als Geschäftsführung, Kollegen oder Lieferanten aus. Microsoft zählte mehr als 46 Millionen solcher Angriffe in zwölf Monaten. Die erste Nachricht enthält meist keine Forderung, sondern nur eine harmlose Frage, und entgeht so Inhaltsfiltern.
• QR-Code-Phishing: Microsoft Defender for Office 365 erkannte mehr als 145 Millionen Angriffe, häufig versteckt in PDF-Anhängen.

Gegen diese Methoden helfen Technik und Prozesse gemeinsam: eingeschränkte externe Kommunikation in Teams, Fernwartungswerkzeuge nur nach Freigabe per Richtlinie, Rückruf über einen zweiten Kanal und das Vier-Augen-Prinzip bei Änderungen von Bankverbindungen.

Laut Microsoft experimentieren 88 Prozent der Unternehmen bereits mit KI-Agenten. Damit entstehen neue Identitäten mit Zugriff auf Daten und Systeme. Bei den beobachteten Angriffen auf KI-Workloads entfallen 52 Prozent auf eingeschleuste schädliche Links, 16 Prozent auf Jailbreak-Versuche und 12 Prozent auf den Missbrauch von Werkzeugen und Agenten.

Microsoft warnt außerdem vor Memory Poisoning: Wer Inhalte platziert, die ein Agent liest, zum Beispiel in einer E-Mail, kann dessen Langzeitgedächtnis manipulieren. Eine Rückfrage beim Nutzer reicht als Schutz allein nicht aus, wenn das manipulierte System selbst entscheidet, wann es fragt.

Die Empfehlung ist klar: Jeder Agent erhält eine eigene Identität, einen verantwortlichen Menschen als Sponsor und von Anfang an nur die minimal nötigen Rechte. Mit Microsoft Agent 365 lassen sich Agenten zentral inventarisieren und mit Entra Agent ID absichern.

Microsoft fasst seine Empfehlungen in zehn Prioritäten zusammen. Für Unternehmen mit Microsoft 365 leiten wir daraus fünf konkrete Schritte ab:

1. Identitäten absichern: Phishing-resistente MFA für alle Benutzer, Passkeys für Administratoren und Conditional Access gegen Device Code Phishing und Token-Diebstahl.
2. Schneller patchen: Aus dem Internet erreichbare Systeme und Identitätssysteme innerhalb von 72 Stunden aktualisieren, nicht patchbare Systeme isolieren oder abschalten. Windows Autopatch nimmt dabei einen großen Teil der Arbeit ab.
3. Signale verknüpfen: Endgeräte, Identitäten, E-Mail und Cloud gemeinsam auswerten, statt jedes System isoliert zu betrachten. Genau dafür ist Microsoft Defender XDR gebaut.
4. KI-Agenten steuern: Ein Inventar aller Agenten mit Identität, Sponsor und minimalen Rechten aufbauen und das Widerrufen von Zugriffen regelmäßig testen.
5. Wiederherstellung üben: Backups und Notfallpläne testen und die Haltung zu Lösegeldforderungen vor einem Vorfall festlegen.

Wo Ihr Tenant heute steht, zeigt der Microsoft Tenant Sicherheitscheck. Wir prüfen Entra ID, Defender, Intune und Conditional Access und stellen Ihnen das Ergebnis persönlich vor.

Die InSys AG^® ist Microsoft Solutions Partner für Security, für KI-Geschäftslösungen und für Azure Infrastructure sowie Microsoft Direct CSP. Unsere Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Als Microsoft 365 Partner für Security setzen wir die Empfehlungen aus dem Report in Ihrem Tenant um und halten die Konfiguration dauerhaft aktuell. Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular am Ende dieser Seite.