95 Tage Vorsprung: Warum die Zugangsdaten Ihrer Mitarbeiter im Dark Web liegen könnten

Die meisten Cyberangriffe beginnen nicht mit einem spektakulären Hack. Sie beginnen mit einer gültigen Anmeldung.

Ein Mitarbeiter hat sich vor zwei Jahren bei einem Online-Shop registriert - mit der Firmen-E-Mail-Adresse und einem Passwort, das dem Muster ähnelt, das er auch im Unternehmen verwendet. Der Shop wird gehackt. Der Datensatz landet in einer Sammlung, die im Dark Web gehandelt wird. Niemand merkt etwas. Bis Monate später jemand die Kombination ausprobiert und diese funktioniert.

Das ist kein Ausnahmeszenario. Es ist der Normalfall.

Der Digitalverband Bitkom beziffert den jährlichen Schaden durch Datendiebstahl, Spionage und Sabotage in seiner Studie „Wirtschaftsschutz 2025" auf 289,2 Milliarden Euro; rund 202,4 Milliarden davon entfallen direkt auf Cyberangriffe. 87 Prozent der befragten Unternehmen waren innerhalb von zwölf Monaten betroffen. Fast sechs von zehn sehen ihre Existenz durch Cyberangriffe bedroht.

Interessanter als die große Schadenssumme ist aber, wie Angreifer hineinkommen. Der Verizon Data Breach Investigations Report 2026 (ausgewertet wurden über 22.000 bestätigte Sicherheitsvorfälle) zeigt: Gestohlene Zugangsdaten tauchen irgendwo im Verlauf von 39 Prozent aller untersuchten Vorfälle auf. Kein anderer Angriffsvektor kommt häufiger vor.

Und dann ist da die Zahl, die uns bei abtis am meisten beschäftigt hat:

73 Prozent aller Ransomware-Opfer hatten im Jahr vor dem Angriff ein dokumentiertes Credential- oder Infostealer-Leak. Bei der Hälfte davon lag dieses Leak in den letzten 95 Tagen vor dem Angriff.

Das bedeutet: In den meisten Fällen gab es ein Warnsignal. Es hat nur niemand gesehen.

Es hält sich hartnäckig die Annahme, kleinere und mittlere Unternehmen seien für Angreifer uninteressant. Die Daten sagen das Gegenteil: Laut DBIR 2026 sind 96 Prozent der Ransomware-Opfer kleine und mittlere Unternehmen. Nicht weil Konzerne das Problem gelöst hätten, sondern weil Angriffe heute automatisiert ablaufen und der Mittelstand schlicht die größere, weniger geschützte Zielmenge stellt.

Das BSI kommt in seinem Lagebericht zur IT-Sicherheit 2025 zu einem ähnlichen Befund: Die Bedrohungslage bleibt angespannt, die Zahl der Leak-Geschädigten und der Zugangsdatendiebstähle ist gestiegen, und besonders KMU fehlen häufig die Ressourcen, um professionell geführten Angriffen etwas entgegenzusetzen. Der zentrale Hebel für 2026 sei der Schutz der eigenen Angriffsflächen.

Genau hier liegt das Problem. Denn ein erheblicher Teil dieser Angriffsfläche liegt gar nicht in Ihrem Unternehmen.

Ihre Firewall ist sauber konfiguriert. Ihr Endpoint-Schutz läuft. MFA ist ausgerollt. Trotzdem können Zugangsdaten Ihrer Mitarbeiter frei im Netz kursieren, weil sie nicht bei Ihnen abgeflossen sind, sondern bei einem SaaS-Anbieter, einem Webshop, einem Dienstleister oder über eine Infostealer-Infektion auf einem privaten Gerät.

Infostealer sind dabei der Treiber der Entwicklung. Diese Schadprogramme arbeiten lautlos: Sie greifen Passwörter, Session-Cookies und Browserdaten ab und verschwinden wieder. Sicherheitsforscher von Flashpoint haben allein für ein Jahr 11,1 Millionen infizierte Endgeräte gezählt, aus denen 3,3 Milliarden Zugangsdaten, Session-Cookies und Profildaten auf kriminellen Marktplätzen landeten. Der Anbieter SpyCloud berichtet, dass 40 Prozent dieser Infektionen auf Geräten stattfanden, auf denen eine EDR- oder Antivirus-Lösung installiert war.

Wie groß die Sammlungen inzwischen sind, zeigte ein Fund im Juni 2026: Ein Rechercheteam stieß auf einen ungeschützten Server mit rund 24 Milliarden Datensätzen und 8,3 Terabyte Volumen. Ein Großteil stammte aus Infostealer-Logs – Passwörter im Klartext, jeweils zusammen mit der Login-URL des zugehörigen Dienstes. Damit lassen sich automatisierte Anmeldeversuche in großem Stil fahren.

Für Ihre IT bedeutet das: Der klassische Perimeter-Gedanke greift zu kurz. Was außerhalb Ihrer Systeme über Sie zirkuliert, sehen Sie mit Bordmitteln nicht.

Was passiert, wenn dieser blinde Fleck bestehen bleibt, quantifiziert der IBM Cost of a Data Breach Report 2026: Ein Datenleck kostet ein deutsches Unternehmen im Schnitt 4,25 Millionen Euro - zehn Prozent mehr als im Vorjahr. Bis ein Einbruch überhaupt bemerkt wird, vergehen in Deutschland im Mittel 160 Tage.

Setzen Sie diese 160 Tage neben die 95 Tage aus dem DBIR, und das Bild wird unangenehm klar: Angreifer haben in aller Regel deutlich mehr Zeit als Verteidiger. Nicht weil sie schneller wären, sondern weil sie einen Informationsvorsprung haben, den sich Unternehmen aktiv zurückholen müssten.

Die meisten tun das nicht. Eine aktuelle Erhebung zeigt: 39 Prozent der Unternehmen haben im vergangenen Jahr Zugangsdaten eigener Mitarbeiter in Infostealer-Logs gefunden aber 43 Prozent überwachen solche Datenquellen überhaupt nicht oder wissen nicht, ob es geschieht.

Genau diese Lücke schließt ein Ansatz, der sich unter dem Begriff Dark Web Monitoring etabliert hat. Solche Dienste durchsuchen kontinuierlich Dark-Web-Quellen, Leak-Datenbanken und Infostealer-Logs nach Daten, die mit Ihrer Unternehmensdomain verknüpft sind: E-Mail-Adressen, Accounts, Zugangsdaten aus bekannten Datenlecks.

Ebenso wichtig ist, was nicht passiert:

• Es werden keine Systeme gescannt. Weder Ihr Netzwerk noch Ihre Endgeräte werden angetastet. Ausgewertet werden ausschließlich externe Quellen, in denen die Daten bereits kursieren.
• Passwörter werden nicht sichtbar gemacht. Die Meldung lautet: Diese Adresse taucht in diesem Leak auf. Nicht: Das ist das Passwort.
• Es ersetzt nichts. Dark Web Monitoring ist eine zusätzliche Schicht neben MFA, Conditional Access, Endpoint Protection und Security Awareness - kein Ersatz dafür.

Der eigentliche Wert liegt in der Reaktionszeit. Wenn eine Adresse auftaucht, lässt sich innerhalb von Stunden statt Monaten handeln: Passwort zurücksetzen, MFA prüfen, Anmeldeaktivität kontrollieren, gegebenenfalls Conditional-Access-Richtlinien nachschärfen. Aus einem latenten Risiko wird ein abgeschlossener Vorgang.

Unabhängig davon, ob Sie Monitoring einsetzen - diese vier Schritte lohnen sich für jedes mittelständische Unternehmen:

1. Nehmen Sie an, dass etwas draußen ist. Bei nahezu jedem Unternehmen mit einer gewissen Historie finden sich Treffer - kleine Organisationen kamen im DBIR-Datensatz auf einen Median von sieben Credential-Leak-Ereignissen pro Jahr. Planen Sie also nicht für den Ausnahmefall, sondern für den Regelfall.
2. Machen Sie MFA phishing-resistent. MFA ist Pflicht, aber nicht jede Variante ist gleich stark. Wer noch auf SMS-Codes setzt, sollte auf Authenticator-App oder FIDO2 umstellen.
3. Trennen Sie beruflich und privat sauber. Firmen-E-Mail-Adressen gehören nicht in private Online-Dienste. Das ist ein Awareness-Thema, kein technisches - und eines der wirksamsten.
4. Definieren Sie den Prozess vor dem Ernstfall. Wer bewertet eine Meldung? Wer informiert den betroffenen Mitarbeiter? Wer setzt zurück? Ein Alarm ohne definierten Ablauf ist nur eine E-Mail.
    

Wir bei abtis beschäftigen uns seit Monaten intensiv mit der Frage, wie sich diese externe Sichtbarkeit für mittelständische Unternehmen praktikabel und bezahlbar herstellen lässt - als integrierter Bestandteil einer modernen Security-Baseline auf Basis der Microsoft-Plattform, nicht als weiteres isoliertes Tool, das niemand betreut.

In den kommenden Wochen stellen wir Ihnen dazu konkrete Lösungen vor. Der Anspruch dabei: kontinuierliche Überwachung Ihrer Domain in Dark-Web-Quellen und Leak-Datenbanken, klare monatliche Auswertungen statt Alarmrauschen und vor allem ein definierter Ablauf, was im Fall der Fälle passiert. Denn eine Meldung ohne Reaktion ist nur eine E-Mail mehr im Postfach.

Bis dahin gilt: Die 95 Tage laufen bereits. Die Frage ist nur, ob Sie sie künftig nutzen.

Sie wollen informiert werden, sobald es so weit ist? Melden Sie sich bei Ihrem Ansprechpartner bei abtis oder schreiben Sie uns kurz - wir melden uns, sobald wir die Lösungen vorstellen. Und wenn Sie vorher schon über Ihre Identity-Security-Basis sprechen möchten: Dafür sind wir ohnehin jederzeit da.

• Bitkom Research: Wirtschaftsschutz 2025 (Befragung von 1.002 Unternehmen ab 10 Beschäftigten, veröffentlicht September 2025)
• BSI: Die Lage der IT-Sicherheit in Deutschland 2025 (Berichtszeitraum 01.07.2024–30.06.2025, veröffentlicht 11.11.2025)
• Verizon: 2026 Data Breach Investigations Report (veröffentlicht 19.05.2026, über 22.000 bestätigte Vorfälle)
• IBM / Ponemon Institute: Cost of a Data Breach Report 2026 (veröffentlicht 29.07.2026)
• Flashpoint Infostealer-Report 2026; SpyCloud Identity Threat Research 2026
• Cybernews-Recherche zum offenen Infostealer-Datenbestand, Juni 2026
• Enzoic: Credential Exposure Risks Report 2026