Ransomware bleibt 2026 die teuerste Bedrohung für den deutschen Mittelstand. Doch die eigentliche Frage ist nicht mehr „ob“ ein Unternehmen angegriffen wird, sondern wie die Angreifer hereinkommen. Die Antwort überrascht viele IT-Verantwortliche: In über 80 % der Fälle stehlen Hacker keine technischen Exploits – sie melden sich einfach an.
Gestohlene Zugangsdaten sind heute der mit Abstand häufigste Einstiegsvektor für Ransomware-Angriffe. Und die meisten Unternehmen wissen nicht einmal, dass ihre Mitarbeiterkennwörter längst im Darknet kursieren.
Wie Zugangsdaten in falsche Hände geraten
Die Wege sind vielfältig – und oft unsichtbar:
- Phishing-Kampagnen: Mitarbeiter werden per E-Mail oder gefälschter Login-Seite zur Eingabe ihrer Zugangsdaten verleitet. Moderne PhaaS-Kits (Phishing-as-a-Service) können dabei sogar Zwei-Faktor-Tokens in Echtzeit abfangen.
- Infostealer-Malware: Programme wie Redline, Vidar oder Lumma infiltrieren Endgeräte und exfiltrieren gespeicherte Passwörter, Browser-Cookies und VPN-Credentials in Sekunden – oft ohne jedes Alarmsignal.
- Credential Stuffing: Mit Milliarden Datensätzen aus früheren Datenlecks testen automatisierte Bots systematisch Kennwort-Kombinationen auf VPN-Zugängen, Cloud-Diensten und Unternehmensportalen.
- Kompromittierte Drittanbieter: Ihr Dienstleister wird gehackt – und Ihre Mitarbeiter nutzen dort dieselbe E-Mail-Passwort-Kombination wie intern. Ein Klassiker mit fatalen Folgen.
Der typische Angriffsablauf: Von Credential bis Verschlüsselung
Sobald Angreifer gültige Zugangsdaten besitzen, ist das Spiel oft gelaufen. In der Praxis läuft es so ab:
- Login mit gestohlenen VPN- oder Microsoft-365-Credentials – unauffällig, kein Exploit
- Laterale Bewegung im Netzwerk über Stunden oder wenige Tage
- Exfiltration sensibler Daten für doppelte Erpressung (Zahlen oder Veröffentlichung)
- Deployment der Ransomware – alles wird verschlüsselt
Von der ersten Kompromittierung bis zur vollständigen Verschlüsselung vergehen heute im Schnitt nur noch 24 bis 72 Stunden. Die Zeit zum Reagieren ist minimal – die Zeit zur Vorbereitung ist jetzt.
Das unterschätzte Risiko: Alte Leaks, aktuelle Schäden
Ein häufig übersehener Aspekt: Viele erfolgreiche Angriffe basieren auf Zugangsdaten aus Datenlecks, die Monate oder sogar Jahre zurückliegen. Mitarbeiter wechseln ihre Passwörter selten konsequent, wenn irgendwo ein fremder Dienst gehackt wird. Angreifer wissen das – und nutzen es gezielt aus.
Besonders gefährlich: Wenn ein Mitarbeiter dasselbe Passwort für seinen privaten Netflix-Account und seinen Unternehmens-VPN verwendet. Das eine landet nach einem Datenleck im Darknet, das andere öffnet die Unternehmenstür. Laut aktuellen Studien sind rund 65 % der Menschen in dieser Falle – auch in Unternehmen mit IT-Sicherheitsrichtlinien.
Infostealer-Logs sind dabei besonders heimtückisch: Cyberkriminelle verkaufen auf einschlägigen Darknet-Foren komplette „Logs“ mit Browser-gespeicherten Passwörtern, Session-Cookies und Auto-Fill-Daten von Tausenden infizierten Geräten. Wer einen solchen Log Ihres Mitarbeiters kauft, hat oft direkten Zugang – ohne einen einzigen Exploit zu benötigen.
Was Sie jetzt konkret tun sollten
Die gute Nachricht: Wer seine exponierten Zugangsdaten kennt, kann gegensteuern. Konkrete Maßnahmen für KMU und Mittelstand:
- Kontinuierliches Credential-Monitoring: Prüfen Sie regelmäßig, ob Zugangsdaten Ihrer Domain in Datenlecks, Darknet-Foren oder Infostealer-Logs auftauchen – bevor Angreifer sie nutzen
- Passwortstrategie modernisieren: Lange, einzigartige Passwörter via Passwortmanager, konsequentes Verbot von Passwort-Wiederverwendung
- MFA auf allen kritischen Zugängen: VPN, E-Mail, Admin-Accounts – idealerweise mit phishing-resistenten FIDO2-Schlüsseln statt SMS-OTP
- Mitarbeiter schulen: Regelmäßige Security-Awareness-Trainings zu Phishing, sicheren Passwörtern und dem Umgang mit verdächtigen E-Mails
- Incident Response vorbereiten: Was passiert, wenn trotzdem ein Credential kompromittiert wird? Klare Prozesse retten wertvolle Stunden
Fazit: Der blinde Fleck im IT-Sicherheitskonzept
Gestohlene Zugangsdaten sind der blinde Fleck vieler mittelständischer IT-Sicherheitskonzepte. Firewalls, Endpoint-Protection und Patch-Management sind wichtig – aber wertlos, wenn sich ein Angreifer mit echten Credentials ganz normal anmeldet. Kein Alarm, kein anomaler Traffic, kein bekannter Exploit.
Der einzige Weg, dieses Risiko zu beherrschen: Wissen, bevor es der Angreifer tut.
AntiLeaks.de überwacht kontinuierlich, ob Zugangsdaten Ihrer Organisation in Darknet-Foren, Leak-Datenbanken oder Infostealer-Logs auftauchen – und alarmiert Sie, bevor Schaden entsteht. Jetzt kostenlosen Erstcheck starten und herausfinden, ob Ihre Firmendaten bereits kompromittiert sind.