Cyber-Kriminalität
Banküberfälle 2026 mit maschineller Geschwindigkeit
Eine neue Befragung von CISOs aus dem Finanzsektor zeigt, dass dort KI-gestützte Angriffe um 89% im Vergleich zum Vorjahr gestiegen sind und an Rafinesse, Geschwindigkeit und Wirkungsgrad enorm zugelegt haben. Die Cyberabwehr muss ihre Strategien anpassen.
Save to Folio
Eine Befragung im Juni 2026 von 46 Chief Information Security Officers (CISOs) aus dem Finanzsektor brachte als wichtigstes Ergebnis, dass 67 % der Institute mit „Counter-Incident-Response“-Angreifern konfrontiert waren, die während laufender Attacken aktiv daran arbeiten, die Verteidiger zu schwächen. Wenn Angreifer nicht mehr allein Daten stehlen, sondern aktiv die Reaktionsfähigkeit der Verteidiger beeinträchtigen, hat sich die Art des Konflikts verändert. Es geht nicht mehr nur um Daten, sondern auch um die Kontrolle über die Reaktion selbst.
Zudem zeigt ein Anstieg der KI-gestützten Angriffe um 89 % im Vergleich zum Vorjahr, dass Angriffe heutzutage mit maschineller Geschwindigkeit ablaufen. Kampagnen, die früher erfahrene Akteure erforderten, die manuelle Techniken anwendeten, werden nun autonom durchgeführt, wobei Phishing, Betrug und Ausnutzung parallel und kontinuierlich im Hintergrund ablaufen.
Die Ergebnisse im Überblick:
- Im vergangenen Jahr beklagten 41 % der befragten Unternehmen einen zerstörerischen Cyberangriff -- eine bewusste Verlagerung von der Datenexfiltration hin zur Schadensverursachung.
- 55 % der CISOs berichteten von einer Zunahme API-basierter Angriffe.
- Fast die Hälfte (46 %) der Befragten vermeldete Angriffe, die auf nicht öffentliche Marktinformationen oder Anlagestrategien abzielten. Angreifer stehlen Marktstrategien ebenso aggressiv wie Geld.
- Die Betrugsvektoren haben sich parallel dazu weiterentwickelt. Die Übernahme von Konten gilt als die besorgniserregendste Bedrohung (37 %), gefolgt von Business-E-Mail-Compromise (BEC) und Reverse-Business-Mail-Compromise (RBEC)-Maschen, ergänzt durch Deepfakes (28 %), sowie KI-gestütztem Spear-Phishing und Smishing (26 %).
- „Island-Hopping“, bei dem Angreifer die Infrastruktur eines Unternehmens kompromittieren, um von dort aus auf dessen Kunden abzuzielen, wurde von 37 % der Befragten bestätigt. Risiken für Kunden ergeben sich nun direkt aus Sicherheitsverletzungen in Unternehmen.
Diese Ergebnisse bestätigen eine kürzlich erfolgte Warnung der Europäischen Zentralbank (EZB). Darin forderte diese Banken auf, ihre Cyberabwehr den neuen Bedrohungen anzupassen, um wirksam auf Sicherheitsvorfälle reagieren zu können.
Ein Mangel an Ressourcen verschärft die Bedrohung: 54 % der Unternehmen meldeten trotz dieses Umfelds keine Budgeterhöhung. 57 % der Sicherheitsfunktionen berichten nach wie vor an den Chief Information Officer (CIO), anstatt über eigenständige Führungsbefugnisse zu verfügen. Investitionen, sofern sie getätigt werden, konzentrieren sich auf Technologie (70 %), während Managed Detection and Response (20 %) und Personal (10 %) unterfinanziert sind. Unterdessen prüfen 35 % den Austausch ihrer XDR-Plattform, und 27 % erwägen den Einsatz einer souveränen Cloud – beides Anzeichen dafür, dass Unternehmen ihre Sicherheitsarchitekturen aktiv überdenken.
Der „Dark Passenger“: Steganografie
Cyberkriminelle nutzen Steganographie, das heißt sie betten Angriffsinfrastruktur in gewöhnliche Bilder ein und verstecken Befehle in Bildpixeln, die Malware anschließend von kompromittierten Social-Media- und Hosting-Seiten abruft.
Backdoors wie Daserf nutzen steganografische Algorithmen – beispielsweise RC4 in Kombination mit Base64-Kodierung –, um verdeckte Command-and-Control (C&C)-Kanäle einzurichten, die herkömmliche Traffic-Prüfungen umgehen. Staatlich geförderte Akteure, wie Pawn Storm, kombinieren Steganografie mit legitimen Cloud-Diensten, um die Endpunktüberwachung vollständig zu umgehen. Angreifer haben zudem kompromittierte Cloud-Speicher-Buckets ausgenutzt, um in Bilddateien versteckte bösartige Skripte zu verbreiten.
Die neue Herausforderung ist die unsichtbare Prompt Injection, ein Bedrohungsvektor, der vor zwei Jahren noch nicht existierte. Dabei werden von Angreifern kontrollierte Anweisungen, die in Bildern eingebettet sind, von KI-Systemen unbemerkt verarbeitet und ausgeführt.
Die RAT-Plage
Fünf Remote-Access-Trojaner (RATs) prägen die Bedrohungslage für Finanzinstitute – für Überwachungszwecke umfunktionierte Standardtools bis hin zu speziell entwickelten „Malware-as-a-Service“-Plattformen (MaaS), die den gesamten Betrugszyklus über eine einzige Einfügung abdecken. Für jeden einzelnen Trojaner gibt es nachgewiesene Kampagnen gegen Banken oder Krypto-Börsen, und sie veranschaulichen, wie leicht zugänglich und finanziell schädlich RAT-basierte Angriffe geworden sind.
Cyberkriminelle Gruppen
FIN7 (auch bekannt als Sangria Tempest oder Carbon Spider), eine der produktivsten finanziell motivierten Gruppen, die derzeit aktiv sind, hat ihr Toolkit immer weiterentwickelt zu einem Python-basierten RAT namens „Anubis Backdoor“. Jede Iteration ist auf einen minimalen Footprint ausgelegt, da reflektierende Loader die Ausführung zusätzlicher Module im Arbeitsspeicher ermöglichen und fast keine Spuren auf der Festplatte hinterlassen. Die Gruppe nutzt rohe TCP-Sockets mit AES-Verschlüsselung (Advanced Encryption Standard), um TLS-Prüfungen (Transport Layer Security) zu umgehen. Zudem verkauft sie ein EDR-Killer-Tool „AuKill“ (AVNeutralizer), das den Process Explorer-Treiber von Microsoft lädt, um eine Ausführung im Kernel-Modus zu erreichen und die Endpunkt-Abwehr vollständig außer Kraft zu setzen.
Void Balaur (Rockethack), ein in Untergrundforen werbender Söldner-Hack-for-Hire-Dienst, bietet Bankkonto-, personenbezogene Daten (PII) und vollständige Kontozugangsdaten zum Kauf an. Die Gruppe setzt einen maßgeschneiderten Credential Stealer namens „ZStealer“ ein, der auf Browser, Mail-Clients, Instant-Messaging-Plattformen und Kryptowährungs-Wallets abzielt.
Die Lazarus-Gruppe, Nordkoreas finanziell motivierter Cyberarm, hat sich von Angriffen auf SWIFT-Terminals (Society for Worldwide Interbank Financial Telecommunication) hin zu Kryptowährungsdiebstählen verlagert, bei denen Gelder ohne der traditionellen Bankkontrollen flüssig gemacht werden können. Sie kompromittiert Entwickler durch Social Engineering, infiziert Software-Lieferketten und nutzt eine Blockchain-basierte C&C-Lösung („EtherHiding“), um Malware-Stufen im Ethereum-Netzwerk zu speichern, was deren Abschaltung strukturell erschwert. Mithilfe von Malware wie dem zuvor erwähnten XenoRAT und ihrem maßgeschneiderten MoonPeak-Fork stahlen mit Nordkorea verbundene Akteure allein im Jahr 2025 Kryptowährungen im Wert von 2,02 Milliarden US-Dollar.
Der Wettlauf um Verteidigung in Maschinengeschwindigkeit
Angreifer verketten mittlerweile spezialisierte KI-Agenten unter einem zentralen Orchestrator, um durchgängige Kampagnen – darunter Phishing, Betrug und Ausnutzung von Schwachstellen – kontinuierlich und in Maschinengeschwindigkeit durchzuführen. Sicherheitsarchitekturen müssen entsprechend reagieren und orchestrierten Angriffen in Maschinengeschwindigkeit mit ebenso automatisierten, KI-gesteuerten Erkennungs- und Reaktionsmaßnahmen begegnen.
Das Zeitfenster für eine Reaktion, bevor Cyberkriminelle jede Phase der „Kill Chain“ – von der anfänglichen Kompromittierung bis zur Geldwäsche der Erlöse – vollständig automatisieren, schließt sich. Die Verteidigung muss dieses Zeitfenster zuerst schließen. Institutionen, die ihre Erkennung und Reaktion jetzt automatisieren, können die Bedingungen des Kampfes selbst festlegen, anstatt auf das zu reagieren, was folgt.
Institutionen können sich gegen diese Angriffe schützen, indem sie die folgenden zehn Funktionen kombinieren:
- Virtuelles Patching gegen Zero-Day-Schwachstellen, um anfällige Systeme vor Ausnutzung zu schützen, bevor ein offizieller Hersteller-Patch verfügbar ist.
- Proaktive Bedrohungssuche über Relationen im Wissensgraphen, wobei Verbindungen zwischen Assets, Identitäten und Ereignissen abgebildet werden, um versteckte Angriffspfade aufzudecken, bevor sie ausgenutzt werden
- Berechnung des Ausbreitungsradius, um zu quantifizieren, wie weit sich ein Angreifer von einem einzelnen kompromittierten Asset aus ausbreiten könnte, sodass Vorfälle eingedämmt werden können.
- Verhinderung von Promp Injections, so dass die von Angreifern kontrollierten Anweisungen blockiert werden.
- Deepfake-Erkennung mittels Computer Vision, die KI-generierte Video- und Audiodaten aufspürt, die bei der Identitätsfälschung von Führungskräften und beim Social Engineering verwendet werden.
- Maschinelles Lernen (ML) vor der Ausführung und zur Laufzeit für die Endpunkt-Erkennung, das bösartigen Code sowohl vor seiner Ausführung als auch während der Ausführung im Speicher identifiziert.
- Analyse des Schreibstils für BEC, die stilistische Merkmale in E-Mails kennzeichnet, die auf Identitätsfälschung oder kompromittierte Konten hindeuten.
- Unterstützung der Analysten bei der Abfrageerstellung, wobei Fragen in natürlicher Sprache in Abfragen zur Bedrohungssuche übersetzt werden.
- Globale und branchenspezifische Bedrohungsinformationen, die Warnmeldungen im Kontext aktiver Kampagnen gegen Finanzinstitute einordnen.
- Managed Detection and Response (MDR)-Dienste, die eine kontinuierliche, von Experten geleitete Überwachung und Incident-Response-Abdeckung rund um die Uhr bieten.