Das Einfallstor hat sich verschoben: der Verizon DBIR 2026
Zum ersten Mal seit 19 Jahren ist der beliebteste Weg der Angreifer kein gestohlenes Passwort – sondern eine ungepatchte Schwachstelle. Drei Verschiebungen aus dem diesjährigen Verizon DBIR und was sie für Exposure Management bedeuten.
Achtzehn Ausgaben lang erzählte der Verizon Data Breach Investigations Report eine Geschichte, die mit einem Menschen begann – einem angeklickten Link, einem wiederverwendeten Passwort, einem Moment falsch gesetzten Vertrauens. Die Ausgabe 2026 bricht mit diesem Muster. Zum ersten Mal in der 19-jährigen Geschichte des Reports ist der häufigste Weg in eine Sicherheitsverletzung kein gestohlener Zugangsdatensatz mehr. Es ist eine ungepatchte Schwachstelle.
Der Weg hinein hat sich geändert
Die Ausnutzung von Software-Schwachstellen war der Ausgangspunkt für 31% der Sicherheitsverletzungen – nach 18% im Vorjahr – und verdrängte den Missbrauch von Zugangsdaten (13%) von der Spitzenposition, die er seit Beginn des Reports gehalten hatte. Angreifer stehlen weiterhin Passwörter; Zugangsdaten tauchen später in der Angriffskette noch in rund einem Drittel der Fälle auf. Doch die Eingangstür ist heute die Software selbst.
So gelangten Angreifer hinein – 2026
Anteil der Sicherheitsverletzungen nach Erstzugriffsvektor
Zum ersten Mal in der 19-jährigen Geschichte des DBIR schlagen Software-Schwachstellen gestohlene Zugangsdaten als Erstzugriffsvektor Nr. 1.
Ransomware ist ein Münzwurf
Ransomware trat in 48% aller Sicherheitsverletzungen auf, nach 44%. Der Lichtblick: 69% der Opfer zahlten nicht – ein Zeichen, dass Backups, Segmentierung und geübte Reaktion wirken. Doch fast jede zweite analysierte Verletzung endete dennoch in Erpressung.
Ransomware-Anteil an Sicherheitsverletzungen
In fast jeder zweiten Verletzung präsent
Ihre Angriffsfläche umfasst jetzt alle, auf die Sie sich verlassen
Die Beteiligung Dritter erreichte 48% der Sicherheitsverletzungen – ein Anstieg um 60% in einem einzigen Jahr und rund das Dreifache des Werts von vor zwei Ausgaben. Ein ungepatchtes Edge-Gerät eines Lieferanten, ein geleaktes Token eines Partners, eine bekannte Schwachstelle in einer Abhängigkeit: zunehmend ist das Ihre Verletzung, auf Ihrer Titelseite.
Beteiligung Dritter an Sicherheitsverletzungen
Über die letzten drei DBIR-Ausgaben
Das Problem ist nicht das Patchen. Es ist die Kapazität.
Hier ist die Zahl, die alles zusammenführt: Nur 26% der Schwachstellen auf der CISA-Liste der bekannten ausgenutzten Schwachstellen wurden vollständig behoben – nach 38% – und die mediane Zeit bis zur Behebung stieg auf 43 Tage. Wie es der DBIR formuliert: Patchen wird ebenso zum Kapazitäts- wie zum technischen Problem. Man kann nicht alles beheben. Die Organisationen, die vorne liegen, entscheiden, was zuerst behoben wird – und sie liegen häufiger richtig als falsch.
Was das für Exposure Management bedeutet
Die Branche benennt die Verschiebung offen: vom Verwalten von Schwachstellen zum Managen von Exposition. Drei Konsequenzen, die wir bei Cyvance ernst nehmen:
- Priorisieren Sie die wenigen ausgenutzten, nicht die theoretischen Tausenden. Wenn 31% der Sicherheitsverletzungen mit einer bekannten Schwachstelle beginnen und nur ein Viertel rechtzeitig gepatcht wird, ist die Priorisierung nach realer Ausnutzung und Asset-Exposition – nicht nach rohem CVSS – der Unterschied zwischen vierzig behobenen Dingen und dem Ertrinken in vierzigtausend.
- Entdecken, bevor Sie verteidigen. Ransomware und Angriffe über Dritte gelangen über internetzugängliche Assets hinein, von denen Sie vielleicht nicht wissen, dass sie Ihnen gehören. Die kontinuierliche Erkennung dessen, was tatsächlich exponiert ist, kommt vor jeder Patch-Warteschlange.
- Erweitern Sie das Bild auf Ihre Abhängigkeiten. Da Dritte an fast der Hälfte aller Sicherheitsverletzungen beteiligt sind, ist der Gesundheitszustand der Software, auf die Sie sich verlassen, Teil Ihrer Exposition – deshalb bewerten wir ihn gemeinsam mit Ihrer eigenen.
Agent-natives Continuous Threat Exposure Management – signierte Telemetrie, Priorisierung nach Exploit-Evidenz, verifizierbare Behebung. Gebaut für die oben beschriebene Realität.
Quelle: Verizon 2026 Data Breach Investigations Report (DBIR). Alle Zahlen stammen von Verizon; Analyse und Visualisierungen sind von Cyvance. Den vollständigen Report finden Sie unter verizon.com/business/resources/reports/dbir.