Die Unternehmensverteidigung zeigt 2026 ein gespaltenes Bild: W\u00e4hrend die Perimeter-Abwehr auf den st\u00e4rksten Stand seit Jahren klettert, kollabiert die Sicherheit im Inneren der Netzwerke. Die Angreifer haben l\u00e4ngst umgestellt und fahren ihre erfolgreichsten Kampagnen mit nahezu lautloser Taktik.<\/p>\n
Der neue Blue Report 2026<\/a><\/strong> von Picus Security, der auf \u00fcber 338 Millionen realen Angriffssimulationen in Produktivumgebungen basiert, belegt den Trend mit harten Zahlen. Die durchschnittliche Pr\u00e4ventionseffektivit\u00e4t stieg von 62 auf 69 Prozent<\/strong> und erreichte damit wieder das Niveau des bisherigen Spitzenjahres 2024. Auch das Logging verzeichnete mit 58 Prozent einen Vierjahresh\u00f6chstwert<\/strong>. Die gute Nachricht: Die Erholung der Abwehr ist real. Die schlechte Nachricht: Sie findet fast ausschlie\u00dflich am Perimeter statt.<\/p>\n Die wesentlich sch\u00e4rfere Erkenntnis des Reports betrifft die Phase nach \u00dcberwindung dieser Grenze<\/strong>. Im Inneren kehrt sich das Bild um: Verteidigungslinien, die von au\u00dfen stabil wirken, werden weich \u2013 und am weichsten sind sie gegen\u00fcber den leisen Bewegungen, der Aufkl\u00e4rung und dem Diebstahl von Anmeldedaten, die jedem schwerwiegenden Einbruch vorausgehen. Dies ist eine Bruchlinie, die sich durch den gesamten Report zieht.<\/p>\n Erstmals hat Picus Labs die Pr\u00e4vention nach einer Kompromittierung mit autonomen Penetrationstests<\/a> gemessen: Welche Kontrollen unterbrechen die Angriffskette tats\u00e4chlich, sobald ein Angreifer als authentifizierter Nutzer im Netzwerk agiert? Die Post-Compromise Prevention Rate betr\u00e4gt magere 37 Prozent<\/strong>. W\u00e4hrend der Perimeter inzwischen grob zwei von drei Angriffen blockiert, stoppt die Innenverteidigung kaum einen von drei.<\/p>\n Der Durchschnittswert verdeckt jedoch das entscheidende Muster. Das Innere versagt nicht gleichm\u00e4\u00dfig.<\/strong> Es versagt entlang einer klaren Trennlinie. Auch hier gilt: Laute Aktionen werden abgefangen, leise nicht.<\/strong><\/p>\n B\u00f6sartiges Verhalten wie Code-Ausf\u00fchrung oder Spr\u00fcnge zwischen Systemen wurde meist blockiert. Laterale Bewegung \u00fcber Service Execution mit Techniken wie Sharp-ServiceExec und SMBExec wurde zu rund 90 Prozent gestoppt, und die Privilegienausweitung per UAC-Bypass war mit rund 85 Prozent fast genauso erfolgreich. Das ist die Arbeit moderner EDR-Systeme \u2013 und das Ergebnis jahrelanger Investitionen in den Assume-Breach-Ansatz<\/strong>. Die leisen Arbeiten dagegen laufen nahezu ungehindert<\/em>.<\/p>\n Die Aufkl\u00e4rung \u2013 das Kartieren der Dom\u00e4ne sowie das Aufsp\u00fcren von Freigaben und Sitzungen \u2013 war mit einer Blockrate von nur zehn Prozent die am schlechtesten verhinderte Kategorie<\/strong>. Etwas besser, aber immer noch unzureichend, schnitt die Erkennung ab, wenn Anmeldedaten leise aus dem Arbeitsspeicher ausgelesen wurden \u2013 hier lag die Stopprate bei etwa 22 Prozent. Eine Variante, die Geheimnisse direkt aus der Registry extrahiert, wurde bei weniger als einem Prozent der Versuche unterbunden. Ein Angreifer kann die Umgebung kartieren, Sitzungen ernten und Anmeldedaten sammeln, fast ohne auf Widerstand zu sto\u00dfen \u2013 und sich so seine Ausgangsposition schaffen, bevor er eine lautere Aktion ausf\u00fchrt, die eine Kontrolle ausl\u00f6sen w\u00fcrde<\/strong>.<\/p>\n Ein einziges Ergebnis verdeutlicht das Problem. Das bekannte Credential-Theft-Tool Mimikatz wurde mit demselben Ziel auf drei verschiedene Arten ausgef\u00fchrt \u2013 die Pr\u00e4ventionsergebnisse h\u00e4tten nicht weiter auseinanderliegen k\u00f6nnen. Das Dumping von Anmeldedaten auf dem klassischen, stark signaturbasierten Weg direkt aus dem LSASS-Prozess-Speicher wurde fast jedes Mal blockiert. Das Auslesen aus anderen Speicherbereichen oder der Registry wurde fast nie unterbunden<\/strong>.<\/p>\n Gleiches Tool, gleiches Ziel, gleiche Umgebung. Die einzige Variable zwischen den drei Varianten war, wie auff\u00e4llig der Weg war<\/strong>. Der LSASS-Pfad ist laut: Ein Prozess \u00f6ffnet ein Handle zu lsass.exe und liest den Speicher \u2013 ein Ereignis, das Sicherheitsanbieter seit Jahren instrumentieren. Das Lesen der Registry ber\u00fchrt lsass nie und sieht wie eine normale privilegierte Aktivit\u00e4t aus. Eine Kontrolle, die f\u00fcr das erste Ereignis gebaut wurde, hat f\u00fcr das zweite nichts, worauf sie anspringen k\u00f6nnte.<\/p>\n Doch die 94-Prozent-Blockrate ist noch weicher, als sie klingt<\/strong>, denn sie wurde gegen einen bekannten Build eines Open-Source-Tools gemessen, dessen Erkennbarkeit in der Art der Kompilierung liegt, nicht in der Funktion<\/strong>: Die Zeichenketten, auf die eine Signatur reagiert, lassen sich umbenennen \u2013 der Hash ist neu. Wird das Tool direkt im Arbeitsspeicher geladen, landet nichts auf der Platte, was gescannt werden k\u00f6nnte. Oder der Angreifer l\u00e4sst Mimikatz komplett weg und f\u00fchrt denselben Speicherdump mit einem bereits im System vorhandenen, Microsoft<\/a>-signierten Dienstprogramm durch. Jeder Pfad endet mit Anmeldedaten in der Hand; ge\u00e4ndert hat sich nur das, worauf die Signatur wartete. Eine auf Signaturen aufbauende Pr\u00e4ventionsrate<\/strong> sagt nur, wie gut man das erkennt, was man bereits gesehen hat \u2013 nicht, ob man das dahinterliegende Verhalten tats\u00e4chlich stoppt<\/strong>.<\/p>\nEin verwundbares Inneres hinter einem sich erholenden Perimeter<\/h2>\n
Eine Signatur f\u00e4ngt den ber\u00fchmten Angriff, nicht das Verhalten<\/h2>\n
Die Daten zeigen: Lautlosigkeit zahlt sich f\u00fcr Angreifer aus<\/h2>\n