Zürich, 14. Oktober 2026 – Rund 30 Prozent der Unternehmen verzeichneten im ersten Halbjahr mindestens einen Versuch von Hackern, sich auf Microsoft Teams als IT-Support auszugeben. Das ist eine der zentralen Erkenntnisse des Threat Intelligence Report für das 1. Halbjahr 2026 von Ontinue. Der Bericht des führenden Experten für Managed Extended Detection and Response (MXDR) zeigt, dass Cyberkriminelle immer stärker auf Social Engineering statt auf ausgefeilte Angriffstechnologien setzen.
Das Motto, unter dem Hacker im ersten Halbjahr 2026 operierten, könnte „Weniger Aufwand, mehr Schaden“ lauten. Der Threat Intelligence Report 1H 2026, der sich auf Incident-Untersuchungen, Threat-Intelligence-Recherchen und Telemetriedaten des Advanced-Threat-Operations-Teams von Ontinue stützt, legt dies nahe: Statt in immer ausgefeiltere Malware zu investieren, skalieren Cyberkriminelle heute eher, indem sie das Vertrauen ihrer Opfer in etablierte Prozesse und Plattformen ausnutzen. Im Verlauf des ersten Halbjahres 2026 beobachtete Ontinue immer wieder, wie Angreifer legitime Identitäten, Microsoft-Dienste, Collaboration-Plattformen, Software Supply Chains und alltägliche Geschäftsprozesse missbrauchten, um sich Zugang zu internen Systemen zu verschaffen und im Hintergrund zu agieren.
Identitätsangriffe dominieren weiterhin
Identitätsdiebstahl avancierte im ersten Halbjahr 2026 zum großen Trend in der Welt der Cyberkriminellen. Der aktuelle Threat Intelligence Report beschreibt zahlreiche Fälle von Device-Code-Phishing, Token-Diebstahl, Credential Harvesting, Session Hijacking und dem Missbrauch legitimer Microsoft-Authentifizierungs-Workflows. Unter anderem identifizierte Ontinue zwischen Mai und Juni 2026 zehn bestätigte Kompromittierungen durch Device-Code-Phishing in fünf Kunden-Tenants. Das zeigt, wie Angreifer über legitime Microsoft-Authentifizierungsabläufe Zugriff erlangen können, ohne jemals das Passwort eines Nutzers zu stehlen. Der Report beleuchtet allerdings nicht nur die Angreiferseite, sondern hebt auch die Gegenmaßnahmen hervor: So verbreiten sich Passkeys immer mehr, bei denen sich User nicht einfach mit Zugangsdaten anmelden, sondern die Identität via Fingerabdruck oder Face ID verifiziert wird. Auch weitere Phishing-resistente Authentifizierungen wie Hardware-Sicherheitsschlüssel, Smartcards oder gerätegebundene Anmeldung gehören zum Maßnahmenportfolio, mit dem Organisationen die Wirksamkeit credentialbasierter Angriffe zu verringern versuchen.
Im Zusammenhang mit Social Engineering und Identitätsangriffen hat sich Microsoft Teams im ersten Halbjahr dieses Jahres zu einem wiederkehrenden Initial-Access-Vektor für Angreifer entwickelt. Oft geben sie sich dafür als internes IT-Support-Personal aus. Ontinue stellte fest, dass rund 30 Prozent der von ihnen überwachten Unternehmen mindestens einen solchen Täuschungsversuch im ersten Halbjahr erlebten. Ebenfalls interessant: etwa jeder 990. externe Teams-Kontakt wies Indikatoren für einen Identitätsangriff auf. Cyberkriminelle nutzen vertrauenswürdige Collaboration-Tools wie Teams, Slack oder ähnliche Plattformen zunehmend, um Mitarbeitende zur Freigabe von Remote-Zugriff oder zur Ausführung schädlicher Aktionen zu bewegen. Technische Schwachstellen müssen sie dafür nicht ausnutzen, was technische Gegenmaßnahmen erschwert.
Angreifer verlassen zunehmend die klassische Infrastruktur
Der aktuelle Threat Intelligence Report zeigt außerdem, dass sich die Infrastruktur von Hackern rasch weiterentwickelt. Die Analyse von mehr als 10.800 verdächtigen ClickFix-Kampagnen ergab, dass Angreifer zunehmend Blockchain-Technologie nutzen, um schädliche Payloads zu hosten und auszuliefern. Bei etwa einem Viertel der bestätigten schädlichen Funde kam eine Blockchain-basierte Command-and-Control-Infrastruktur zum Einsatz. Auf diese Weise können Hacker die Auslieferung der Payloads verschleiern und klassische domain- und hostingbasierte Abwehrmaßnahmen umgehen. Die Analysten von Ontinue stellten außerdem fest, dass 6.188 Delivery-Domains auf lediglich 158 Payload-Hosts aufgelöst wurden, was ein deutlicher Hinweis für die zunehmende Konzentration und Industrialisierung schädlicher Infrastruktur ist. Der Report beleuchtet auch, wie sich Software-Supply-Chain-Angriffe weiterentwickeln, darunter Vorfälle wie Shai-Hulud sowie neue Beispiele für KI-gestützte offensive Aktivitäten, die auf Open-Source-Ökosysteme abzielen.
Die zentralen Erkenntnisse des Berichts in der Zusammenfassung:
„Die meisten erfolgreichen Angriffe von heute setzen nicht auf ausgefeilte Exploits, sondern auf Vertrauen“, warnt Balazs Greksza, Director of Advanced Threat Operations bei Ontinue. „Ob sich ein Angreifer über Microsoft Teams als IT-Support ausgibt, legitime Authentifizierungs-Workflows missbraucht oder Command-and-Control-Infrastruktur in vertrauenswürdigen Diensten versteckt: Cyberkriminelle setzen darauf, im alltäglichen Geschäftsbetrieb nicht aufzufallen. Damit werden Visibilität, Identity Protection und schnelle Reaktion wichtiger denn je.“
Der vollständige Threat Intelligence Report 1H 2026 von Ontinue ist auf der Webseite des Unternehmens verfügbar.
Pressekontakt:
PR-COM GmbH
Katrin Link
Senior Account Executive
Sendlinger-Tor-Platz 6
80336 München
Telefon +49 89 59997-814
katrin.link@pr-com.de
Strategische Perspektiven, Branchen-Insights und Kommunikationstrends – kompakt und relevant.
Kein Spam. Jederzeit abbestellbar.