Der aktuelle Threat Report des Security-Anbieters Arctic Wolf zeigt eine klare Entwicklung: Kleine und mittelständische Unternehmen geraten immer häufiger ins Visier von Cyberangriffen. Die Analyse realer Incident-Response-Fälle aus dem Jahr 2025 verdeutlicht, dass Angreifer dabei häufig auf bekannte und vergleichsweise einfache Methoden setzen.
Foto: Arctic Wolf
Ismael Valenzuela, Vice President of Labs, Threat Research and Intelligence bei Arctic Wolf
Foto: Arctic Wolf
Christopher Fielder, Field CTO von Arctic Wolf
Ein großer Teil der untersuchten Cybervorfälle folgt weiterhin bekannten Angriffsmustern. Der jährliche Threat Report von Arctic Wolf, der auf der Analyse hunderter Incident-Response-Fälle aus dem Jahr 2025 basiert, zeigt, dass insbesondere kleine und mittelständische Unternehmen zunehmend Ziel solcher Angriffe werden. Gleichzeitig zeigt die Auswertung, dass viele der eingesetzten Angriffstechniken keineswegs neu sind – vielmehr greifen Angreifer weiterhin auf etablierte Methoden zurück, die nach wie vor erfolgreich sind.
Laut Report entfielen im Jahr 2025 insgesamt 92 Prozent der untersuchten Incident-Response-Fälle auf drei Angriffstypen: Ransomware, Business E-Mail Compromise (BEC) und sogenannte Data Incidents.
Auffällig ist insbesondere die Entwicklung bei Datenerpressung ohne Verschlüsselung. Diese Form der Angriffe stieg weltweit von zwei auf 22 Prozent der Fälle – ein elffacher Anstieg innerhalb eines Jahres.
Zudem zeigt die Analyse, dass viele Angriffe nicht über komplexe technische Exploits erfolgen. 65 Prozent der untersuchten Nicht-BEC-Angriffe erfolgten über den Missbrauch legitimer Fernzugänge wie VPN, RDP oder Remote-Management-Tools (RMM). Damit nutzen Angreifer häufig vorhandene Infrastruktur als Einstiegspunkt. Ismael Valenzuela, Vice President of Labs, Threat Research and Intelligence bei Arctic Wolf, gibt zu bedenken:
„Auffällig ist, dass Angreifer nicht unbedingt neue Tricks versuchen, denn die alten funktionieren oft immer noch viel zu gut. Bedrohungsakteure sind nicht deshalb erfolgreich, weil sie besonders raffiniert vorgehen, sondern weil sie schwache Passwörter, schlecht verwaltete Fernzugriffe und Lücken in alltäglichen Systemen, auf die Unternehmen angewiesen sind, ausnutzen können.“
Eine ergänzende EMEA-Auswertung des Reports zeigt eine hohe Konzentration von Ransomware-Aktivitäten in Westeuropa. Zu den Ländern mit den meisten betroffenen Organisationen zählen Frankreich, Deutschland und das Vereinigte Königreich.
Für Deutschland identifiziert die Analyse eine auffällige Häufung von Leak-Site-Veröffentlichungen in mehreren Branchen, darunter Bauwirtschaft, Finanzsektor, IT-Services und Großhandel. Besonders betroffen sind dabei kleine und mittelständische Unternehmen.
Der Bericht weist außerdem darauf hin, dass regulatorische Rahmenbedingungen in Europa den Druck auf betroffene Unternehmen zusätzlich erhöhen können. Offenlegungspflichten, etwa im Zusammenhang mit der Datenschutz-Grundverordnung, steigern laut Report die Wahrscheinlichkeit, dass Sicherheitsvorfälle öffentlich auf Leak-Sites erscheinen. Christopher Fielder, Field CTO von Arctic Wolf, erläutert:
„Gerade in Deutschland sehen wir, dass regulatorische Anforderungen und öffentliche Offenlegungspflichten den Druck im Ernstfall massiv erhöhen. Unternehmen sollten deshalb nicht nur in Prävention investieren, sondern insbesondere ihre Remote-Zugänge konsequent absichern, Datenabflüsse frühzeitig erkennen und Incident-Response-Prozesse regelmäßig testen. Resilienz entscheidet heute darüber, ob ein Angriff zur existenziellen Krise wird oder beherrschbar bleibt.“
Als Industriestandort mit stark vernetzten Lieferketten und hohem Digitalisierungsgrad bleibt Deutschland laut Report ein attraktives Ziel für Angreifer. Besonders Unternehmen aus der Fertigungsindustrie geraten dabei unter erheblichen Zeitdruck, da Produktionsausfälle unmittelbar wirtschaftliche Folgen haben können.
Der Report hebt hervor, dass Organisationen mit einer konsequent umgesetzten Sicherheitsbasis häufig besser auf Vorfälle reagieren können – unabhängig davon, ob sie die neuesten Sicherheitstechnologien einsetzen.
