Bedrohungslage im Cyber-Sicherheitsbereich Q3/2026: Perimeter, Lieferkettenangriffe und Phishing

Der Trend aus den vorherigen Quartalen dieses Jahres (Bedrohunglage in Q1 und Q2) setzt sich fort: Neue KI-Technologien prägen zunehmend die Bedrohungslage im Cyber-Sicherheitsbereich Q3/2026. So getrieben, stehen Schwachstellen im Netzperimeter ganz oben auf der Liste und Angriffskampagnen werden immer stärker automatisiert durch KI-Entwicklungen, nicht nur von APT-Akteuren, sondern auch im Cybercrime-Umfeld. Weiterhin hoch im Kurs sind Lieferketten- und Phishing-Angriffe.

APT-Kampagnen: Cyber-Sicherheitsbereich Q3/2026

APTs (Advanced Persistent Threats), also nicht-finanziell, sondern strategisch motivierte Angreifer sind in im Sommer 2026 vor allem durch die Ausnutzung der zahlreichen Perimeter-Schwachstellen aufgefallen. Darunter für on-premise SharePoint-Systemen, verschiedenen Firewall-Produkten aber auch Systemen wie Citrix Netscaler. Das BSI warnte zudem vor der Aufklärung von unsicheren PV-Wechselrichteranlagen (z.B. von „Balkonkraftwerken“). Phishing ist ebenfalls weiterhin ein beliebter Angriffsvektor, der oft auch in Kombination mit Softwareschwachstellen ausgenutzt wird und auch im Bereits Lieferkettenangriffe waren die Akteure aktiv.

Angriffe über Netzperimeter

Schwachstellen in klassischer Netzperimeter-Software waren über den Sommer dieses Jahres sehr präsent und wurden auch von APTs ausgenutzt. Die zuvor erwähnte Kampagne zur Auskundschaftung anfälliger PV-Anlagen betraf vor allem Privatpersonen, Genossenschaften und Unternehmen und bezweckte vermutlich die Vorbereitung möglicher Sabotage, den Diebstahl von Zugangsdaten aber auch den Aufbau von Botnetzen. Angriffe auf die anderen Produkte (Sharepoint, Firewalls und die PitScaler-Kampagne) zielten dagegen auf die klassischen Nutzer solcher Software ab, also vor allem Unternehmen und öffentliche Einrichtungen. Zusätzlich zu den zuvor genannten Motiven ist hier sicherlich auch noch Spionage eine Motivation der Angreifer.

Lieferkettenangriffe

Im Bereich der Lieferkettenangriffe konnte vor allem der Angriff auf Mastra mutmaßlich APTs attribuiert werden. Das Framework zur Entwicklung von KI-Agenten wurde durch die Übernahme eines Maintainer-Kontos und nachfolgend Typosquatting kompromittiert. Schließlich wurde es als Info-Stealer eingesetzt.

Phishing

Im Bereich Phishing stachen vor allem die Kampagnen heraus, die mit dem Bluemoon-Exploit-Kit verbunden wurden. Die Angreifer lotsten ihre Opfer auf manipulierte Websites, die dann Schwachstellen in Chrome-Browsern und Windows in Kombination ausnutzten, um anfällige Systeme zu übernehmen. Dieses Verfahren wurde wohl von unterschiedlichen APTs gleichzeitig ausgenutzt und unter Verwendung desselben Exploit-Kits. Ziele der Angriffe waren insbesondere NGOs sowie Unternehmen aus dem Bergbau, der Luftfahrt und Handel, sowie Regierungsstellen. 

Es wurde jedoch auch eine andere Angriffskampagne auf KI-Experten bekannt. Angreifer gaben sich demnach selbst als KI-Experten oder US-Beamte aus und haben versucht von tatsächlichen Experten im Bereich KI Informationen abzugreifen. Die Angreifer fingen dabei mir einem unscheinbaren und unverdächtigen Erstkontakt an und bauten Vertrauen bei ihren Opfern auf. Erst später sollten die Opfer auf manipulierte Websites zugreifen.

Cybercrime-Kampagnen als Bedrohungslage in Q3

Im Bereich Cybercrime – also finanziell motivierter Gruppen – wurden eine Vielzahl von Kampagnen beobachtet. 

Überblick

Genau wie die APT-Gruppen nutzen auch diese die bekanntgewordenen Schwachstellen in der Perimeter-Software aus. Zahlreich stärker als bei APTs vertreten sind Kampagnen im Bereich Lieferkettenangriffe. Hier wurde eine Kompromittierung auf das Projekt LiteLLM bekannt, das selbst noch aus der Trivy-Kampagne vor einigen Monaten betroffen war. Auch ist beispielsweise die NPM-Kampagne Shai-Hulud/Miasma noch zu beobachten werden. Im Phishing-Bereich war zu beobachten, dass Daten, die von vorherigen Angriffskampagnen auf Booking.com verwendet wurden und so Reisende mit maßgeschneiderten Benachrichtigungen Opfer von Phishing-Kampagnen waren, über die vor allem Kreditkartendaten gestohlen werden sollten.

Über KI-Agenten automatisierte Angriffskampagne

Ein besonderes Augenmerk ist auf eine Angriffskampagne auf Online-Shops zu richten. Diese Kampagne wurde mit Hilfe von Open-Source KI-Agenten durch die Angreifer weitestgehend automatisiert und so mutmaßlich über 600.000 aktive Kreditkartendaten gestohlen. Die Analyse ergab, dass die Angriffe die Akteure insgesamt ca. 18.000 US$ gekostet haben und dass die meisten Angriffe wohl bereits nach wenigen Stunden erfolgreich waren.

TerminalFix-Kampagne

Eine weitere Besonderheit aus dem Phishing-Bereich ist eine relativ neue Art von Angriffen, die „TerminalFix“ genannt werden und vor denen auch das BSI warnte. Angreifer lotsten dafür ihre Opfer klassische auf manipulierte Websites, aber anstatt gefälschte Anmeldemasken für bekannte Dienste zu zeigen, werden den Opfern Captcha-Aufgaben gezeigt. Im Rahmen des vermeintlichen Lösens der Captchas sollen Nutzer einen Befehl in ihre Zwischenablage kopieren und diesen auf ihrem lokalen Rechner ausführen (z.B. in einer cmd-Shell). Das Resultat ist natürlich die Installation von Malware inklusive Spionage des Netzes und die Einrichtung eines Reverse-Tunnels zu den Angreifern, die im Endeffekt die Kontrolle über den angegriffenen PC bekommen.

Kritische Schwachstellen

Im betrachteten Zeitraum ist eine Vielzahl kritischer Schwachstellen bekanntgeworden – die kritische PHP2Shell-Schwachstelle von Ende Oktober nicht einmal mit eingerechnet. Darunter wie bereits erwähnt in den Produkten MS Sharepoint, verschiedenen Firewall-Lösungen wie SonicWall und dem Cisco FMC, Google Chrome, Citrix Netscaler und Windows selbst. Einige der wichtigsten Schwachstellen auf einen Blick:

Insgesamt wird es immer wichtiger, Updates in kürzester Zeit einzuspielen. Durch die immer stärkere Automatisierung der Angriffskampagnen sind wenige Tage bereits oft zu lange, um Schwachstellen zu schließen.

Fazit zur Bedrohungslage im Cyber-Sicherheitsbereich Q3/2026 und Maßnahmen

In der Retrospektive setzt sich die Tendenz zur stärkeren Ausnutzung von Perimeter-Schwachstellen durch Angreifer fort. KI-automatisierte Angriffskampagnen werden in Zukunft noch deutlich stärker zunehmen, sodass eine professionelle Absicherung des eigenen Netzperimeters unausweichlich ist. Trotzdem haben die Fälle gezeigt, dass auch einfachere Angriffsmethoden wie Phishing weiterhin häufig erfolgreich verlaufen und trotzdem nicht aus den Augen verloren werden dürfen. 

Bei der Absicherung der eigenen IT ist daher besonders wichtig, Schwachstellen schnellstmöglich zu schließen, die Angriffsoberfläche zu minimieren und aktive Angriffserkennung wie IDS- und IPS-Systeme einzusetzen. Gegen Phishing hilft weiterhin in vielen (aber nicht allen) Fällen eine Multi-Faktor-Authentifizierung vor einer Katastrophe. Diese wäre jedoch bei den beobachteten TerminalFix-Kampagnen nur begrenzt hilfreich. Nutzer sollten grundsätzlich keine vertrauensunwürdigen Befehle auf ihrem lokalen PC ausführen. Gegen die beobachteten Lieferkettenangriffe gibt es viele Maßnahmen. Aus unserer Sicht die wichtigsten sind eine strikte System- und Diensttrennung (ein Service pro VM/System) und auch insbesondere die Produktiv- von der Entwicklungsumgebung zu trennen. Darüber hinaus ist Credential-Management überaus wichtig. Lieferkettenangriffe sind oft Info-Stealer, die Zugangsdaten abgreifen. Daher sollten keine unnötigen Zugangsdaten auf Systemen herumliegen. 

Konkrete Vorfälle verdeutlichen die Risiken moderner Cyberangriffe
Wir von der März Datenverarbeitung und der Specific-Group unterstützen Sie gerne bei der Bewertung Ihres IT-Sicherheitsstands und bei der Konzeption sicherer und moderner Software- und Netzlösungen. Webinar verpasst? Schauen Sie sich das ganze Video zur Bedrohungslage im Cyber-Sicherheitsbereich Q3/2026 oder Q2 an.