Cyberkriminalität hat sich von isolierten Angriffen zu einer ausgefeilten, industrialisierten Wirtschaft entwickelt, die von fortschrittlicher KI, Automatisierung und spezialisierten kriminellen Dienstleistungen angetrieben wird. Heutige Angreifer agieren weniger wie opportunistische Hacker und mehr wie Unternehmen – sie mieten Infrastruktur, kaufen Phishing-Kits, lagern Geldwäsche aus und nutzen KI, um überzeugende Social-Engineering-Kampagnen mit beispielloser Geschwindigkeit und Größe zu erstellen.

Der Infoblox Threat Landscape Report 2026 untersucht diese Transformation, indem er Billionen von DNS-Abfragen, Milliarden von Untergrund-Transaktionen und umfangreiche Originalforschung zur Bedrohungsaufklärung analysiert [1]. Die Ergebnisse zeigen einen grundlegenden Wandel: Cyberkriminalität wird schneller, automatisierter und deutlich effizienter. Daraus entstanden ist eine Cyberkriminalitätsmaschine – ein Ökosystem, das darauf ausgelegt ist, Angriffe kontinuierlich zu skalieren und gleichzeitig den traditionellen Sicherheitsabwehrmaßnahmen voraus zu sein.

Die Zahlen hinter der Cybercrime-Maschine

Zwischen Juni 2025 und Juni 2026 beobachtete Infoblox signifikante Veränderungen sowohl bei cyberkriminellen Aktivitäten als auch bei der Exposition von Unternehmen.

Zu den wichtigsten Erkenntnissen gehören:

Mehr als 22 Prozent der neu beobachteten Domänen wiesen bösartige oder verdächtige Merkmale auf.
88 Prozent der bedrohungsbezogenen Domänen wurden in maximal einer Umgebung beobachtet, während 44 Prozent nur einen Tag aktiv blieben.
96 Prozent der Organisationen waren mit Traffic Distribution Systems (TDSs) konfrontiert, die Angreifer nutzen, um Opfer zu profilieren, bevor sie sie auf Phishing-Seiten, Malware oder Betrügereien weiterleiten.
65 Prozent der Organisationen fragten private Proxy-Netzwerke an, was zeigt, wie Angreifer ihre Netzwerkaktivitäten zunehmend verbergen.

Die DNS-Anfragen von Unternehmen an KI-Anwendungen stiegen um 159 Prozent, was die schnelle Einführung von mehr als 100 KI-Anwendungen widerspiegelt, darunter ChatGPT, Microsoft Copilot, Claude, Cursor, Replit und Hugging Face, sowie eine entsprechende Erweiterung der Unternehmensangriffsfläche.

Zusammenfassend zeigen diese Ergebnisse, dass Cyberkriminalität immer verteilter, widerstandsfähiger und schwerer zu erkennen ist. Angreifer schaffen und verlassen Infrastruktur schneller, als herkömmliche Sicherheitstools sie erkennen können, während sie vertrauenswürdige Internetdienste zunehmend missbrauchen, um böswillige Aktivitäten in legitimen Datenverkehr zu integrieren.

Cyberkriminalität funktioniert heute als dienstleistungsorientierte Wirtschaft

Vielleicht zeigen die bedeutendsten Ergebnisse des Berichts, wie Cyberkriminalität heute als ausgereifte, dienstleistungsorientierte Wirtschaft funktioniert.

Anstatt jede Komponente einer Operation selbst zu bauen, stellen Angreifer Kampagnen aus spezialisierten Diensten zusammen, die auf Untergrund-Marktplätzen verfügbar sind. Infrastruktur, Phishing-Kits, Malware, Verkehrsleitdienste, Betrugsplattformen und Geldwäsche können alle auf Abruf gekauft oder gemietet werden.

Diese Spezialisierung hat die Ökonomie der Cyberkriminalität grundlegend verändert. Fähigkeiten, die früher fortgeschrittene technische Expertise erforderten, sind heute fast jedem zugänglich, der bereit ist zu zahlen. KI beschleunigt diesen Trend, indem sie die Kosten und den Aufwand senkt, die nötig sind, um überzeugende Phishing-E-Mails, gefälschte Webseiten, mehrsprachige Inhalte und personalisierte Social-Engineering-Kampagnen zu erstellen. Während die Zutrittsbarrieren weiter sinken, wächst die Zahl der fähigen Angreifer weiter.

Das Ergebnis ist ein Ökosystem, das auf Effizienz, Widerstandsfähigkeit und kontinuierliches Wachstum optimiert ist, ähnlich wie ein legitimes digitales Unternehmen.

Angreifer verstecken sich in aller Öffentlichkeit

Während viele Sicherheitsprogramme weiterhin auf Malware und bekannte Kompromittierungsindikatoren fokussiert sind, gelingt es Angreifern zunehmend, indem sie vertrauenswürdige Internetinfrastruktur ausnutzen. Die Forscher von Infoblox beobachteten einen weit verbreiteten Missbrauch von DNS, Werbetechnologie, Cloud-Plattformen, Reverse DNS (.arpa) und anderen legitimen Internetdiensten. Indem sie innerhalb vertrauenswürdiger Infrastruktur statt offensichtlich bösartiger Domains arbeiten, erschweren Angreifer die Unterscheidung von bösartigen Aktivitäten von normalem Geschäftsverkehr.

TDS sind zu einem grundlegenden Bestandteil der modernen Cyberkriminalität geworden. Ursprünglich für legitime digitale Werbung und Traffic-Optimierung entwickelt, werden TDS-Plattformen heute von Angreifern weit verbreitet missbraucht, um Opfer gezielt auf Phishing-Seiten, Malware-Downloads, Betrugsseiten oder Exploit-Kits zu leiten. Anstatt jeden Besucher zum selben Ziel zu schicken, profiliert ein TDS Nutzer anhand von Attributen wie IP-Adresse, geografischem Standort, Browsertyp, Betriebssystem, Sprache, Gerät und Referenzquelle. Besucher, die den Zielkriterien eines Angreifers entsprechen, werden auf bösartige Inhalte umgeleitet, während alle anderen, einschließlich Sicherheitsforscher, automatisierte Scanner und Suchmaschinen-Crawler, harmlose Webseiten sehen oder woanders hin weitergeleitet werden können. Diese selektive Filterung hilft Angreifern, der Entdeckung zu entgehen und die Lebensdauer ihrer Kampagnen zu verlängern.

Der Bericht hebt zudem eine zunehmend widerstandsfähigere Angriffsinfrastruktur hervor. Router-Kompromittierungskampagnen leiteten die Opfer über angreifergesteuerte, rekursive DNS-Resolver um, die von kugelsicheren Hosting-Anbietern gehostet wurden, sodass Angreifer verborgen bleiben und gleichzeitig sehr robuste Operationen aufrechterhalten konnten.

Das Muster ist eindeutig: Angreifer investieren ebenso stark in widerstandsfähige Infrastruktur wie in Malware.

Intelligente, personalisierte Köder

Angreifer ändern auch ihre Art und Weise, wie sie Opfer täuschen. Anstatt auf generische Phishing-Kampagnen zu setzen, erstellen sie nun hochgradig personalisierte Lockmittel, die auf die Sprache, den Standort, das Gerät und das Surfverhalten des Opfers zugeschnitten sind. KI ermöglicht es Angreifern, realistische Inhalte im großen Maßstab zu generieren, während Angriffe selektiv nur auf die beabsichtigten Ziele ausgeführt werden.

Markenimitation bleibt eine der effektivsten Social-Engineering-Techniken, aber die Taktiken haben sich weiterentwickelt. Die Analyse von Kunden-Phishing-Vorfällen ergab, dass 71 Prozent der Phishing-Domains den nachgeahmten Markennamen nicht enthielten. Stattdessen setzten Angreifer auf authentisches Branding, realistische Webseiten, vertraute Logos und ausgefeilte Nutzererfahrungen, um Vertrauen aufzubauen. Die Täuschung hat sich von Domainnamen hin auf das gesamte Nutzererlebnis verlagert.

Der Diebstahl von Zugangsdaten ist zu Identitätsdiebstahl geworden

Der Bericht zeigt außerdem, wie sich der Diebstahl von Zugangsdaten über Benutzernamen und Passwörter hinaus entwickelt hat.

Untersuchungen zu Android-Malware-as-a-Service deckten Banktrojaner auf, die in der Lage sind, SMS-Einmalpasswörter abzufangen, Fingerabdrücke zu nehmen, Kontakte zu sammeln, Overlay-Angriffe durchzuführen und sogar Gesichtsbiometrie durch betrügerische Know-Your-Customer-(KYC)-Verifizierungsabläufe zu erfassen. Angreifer nutzen das Vertrauen der Nutzer zunehmend aus, indem sie vertraute Sicherheits- und Identitätsverifizierungsprozesse nachahmen und betrügerische Interaktionen legitim erscheinen lassen.

Angreifer stehlen keine Zugangsdaten mehr. Sie stehlen vollständige digitale Identitäten.

Die Angriffsfläche der Enterprise wächst weiter

Organisationen setzen weiterhin KI-Anwendungen, Software-as-a-Service-(SaaS)-Plattformen, Cloud-Dienste und vernetzte Geräte in beispiellosem Tempo ein. Während diese Technologien Innovationen beschleunigen, schaffen sie auch neue Chancen für Angreifer.

Der Bericht zeigt, dass Cyberkriminelle zunehmend übersehene Bereiche ins Visier nehmen, darunter KI-Plattformen, Browser-Push-Benachrichtigungen, DNS-Infrastruktur, Software-Lieferketten, Wohn-Proxy-Netzwerke und verlassene Cloud-Ressourcen.

Mitarbeiter installieren möglicherweise unwissentlich Anwendungen, die Unternehmensgeräte in private Proxy-Endpunkte verwandeln. Entwickler können kompromittierte Open-Source-Software über vertrauenswürdige Lieferketten erben. Vergessene DNS-Datensätze schaffen Möglichkeiten für Subdomain-Hijacking. Öffentliche KI-Assistenten können unwissentlich zu Vertriebskanälen für bösartige Anweisungen werden.

Die Herausforderung ist nicht mehr einfach nur eine größere Angriffsfläche. Es ist der Mangel an Einblick in neue Infrastrukturen, bevor Angreifer sie ausnutzen.

Warum präventive Sicherheit wichtig ist

Der Bericht kommt zu dem Schluss, dass reaktive Sicherheit allein nicht mehr mit der industrialisierten Cyberkriminalität Schritt halten kann. Wegwerf-Infrastruktur gibt den Verteidigern nur ein kurzes Zeitfenster zur Untersuchung, bevor Angreifer sie verlassen und zu neuer Infrastruktur wechseln. Organisationen müssen schädliche Infrastruktur identifizieren und stören, bevor Nutzer überhaupt mit ihr interagieren.

DNS bietet einen einzigartigen Vorteil, da fast jede Internettransaktion mit einer DNS-Suche beginnt. Durch die Analyse von DNS-Aktivitäten im globalen Maßstab können Organisationen schädliche Infrastruktur identifizieren, bevor Phishing-E-Mails geöffnet, Malware heruntergeladen oder Zugangsdaten gestohlen werden.

Anstatt nach einer Kompromittierung zu reagieren, können Sicherheitsteams viele Angriffe verhindern, bevor sie beginnen.

Prädiktive Intelligenz

Der Infoblox Threat Landscape Report 2026 ist mehr als nur eine jährliche Übersicht über Cyberbedrohungen. Sie erklärt die strukturellen Veränderungen, die Cyberkriminalität neu gestalten, und warum traditionelle Sicherheitsmodelle Schwierigkeiten haben, Schritt zu halten.

Der Bericht macht einen Punkt unmissverständlich deutlich: Moderne Cyberkriminalität wird zunehmend durch Infrastruktur, Automatisierung und Skalierung definiert – nicht nur durch Malware.

Organisationen, die weiterhin ausschließlich auf reaktive Sicherheit setzen, werden es zunehmend schwierig finden, sich gegen Angreifer zu verteidigen, die als hocheffiziente digitale Unternehmen agieren. Diejenigen, die eine prädiktive Intelligenz nutzen, die die Infrastruktur der Akteure erforscht, sind besser in der Lage, das Risiko zu reduzieren, bevor Angriffe die Nutzer erreichen.

Mit der fortschreitenden Industrialisierung der Cyberkriminalität wird die Wirksamkeit von Cybersicherheitslösungen weniger durch die Reaktion auf Vorfälle bestimmt werden, sondern vielmehr durch die Störung der Infrastruktur, die sie möglich macht.

[1] Laden Sie den Infoblox 2026 Threat Landscape Report herunter, um die vollständige Forschung, Schlüsselergebnisse und praktische Empfehlungen zu erkunden.

https://www.infoblox.com/resources/report/threat-landscape-report-2026/

Für fortlaufende Analysen aufkommender Bedrohungen besuchen Sie die Infoblox Threat Intel-Seite.

1398 Artikel zu „Cyberkriminalität „

News | Digitalisierung | IT-Security | Services | Strategien

Cybercrime Atlas Cosmos: Open-Source-Plattform kartiert das Ökosystem der Cyberkriminalität

23. Juni 2026

Management Summary Eine neue offene Plattform macht Strukturen der Cyberkriminalität sichtbar, indem sie Akteure, Werkzeuge, Marktplätze und Geldflüsse in einem gemeinsamen Wissensgraphen verknüpft. Die Lösung adressiert ein wachsendes wirtschaftliches Risiko: Cyberangriffe verursachen hohe Schäden, betreffen einen Großteil der Unternehmen und werden zunehmend arbeitsteilig organisiert. Für Unternehmen und Behörden entsteht ein praktischer Nutzen durch einheitliche Begriffe,…