Angreifer brechen nicht ein, sie loggen sich ein: Der Identitäts-Bedrohungswandel 2026

Ein prägnanter Satz brachte die Vorfallsberichte des Jahres 2026 auf den Punkt: Angreifer sind nicht eingebrochen, sie haben sich eingeloggt. Bei den großen Sicherheitsvorfällen dieses Jahres war der Einstiegspunkt überwiegend eine Person mit gültigen Zugangsdaten (ein gephishtes SSO-Token, ein Social-Engineering-Anruf beim Helpdesk, ein wiederverwendetes Passwort), nicht eine ausgenutzte Softwarelücke. Identität ist zum Perimeter geworden.

Warum sich das verschoben hat

Zwei Entwicklungen kamen zusammen:

• Zugangsdaten sind reichlich vorhanden und billig. Jahre voller Datenlecks haben Milliarden von Benutzername-Passwort-Kombinationen in Umlauf gebracht, die im großen Stil per Credential Stuffing wiederverwendet werden.
• Die Verteidigung wurde anderswo stärker. Da das Ausnutzen von Software-Schwachstellen aufwendiger und teurer wurde, wurde der Login mit legitimen Zugangsdaten zum Weg des geringsten Widerstands.

Das Ergebnis: Ihre Authentifizierungs-Endpunkte sind jetzt die Frontlinie.

Identitätsangriffe tarnen sich als normale Nutzer

Das Schwierige daran: Ein eingeloggter Angreifer sieht aus wie ein Kunde. Er hat das richtige Passwort, manchmal sogar eine gültige MFA-Abfrage, die er gephisht hat. Was sich oft unterscheidet, ist der Kontext, und das verlässlichste Kontextsignal beim Login ist die IP-Adresse.

Ein Login ist riskanter, wenn er stammt von:

• einem anonymisierenden VPN, Proxy oder Tor-Exit-Knoten, der die Herkunft verschleiert;
• einem Residential Proxy, der über viele Privathaushalte rotiert (klassisches Credential Stuffing);
• einer Adresse mit schlechtem Ruf und einer Vorgeschichte von Missbrauch (siehe was ist IP-Reputation);
• einem Standort oder Netzwerk, das stark von der bisherigen Historie des Kontos abweicht.

Identität mit risikobasierten Signalen schützen

Der moderne Ansatz heißt risikobasierte Authentifizierung: Nicht jeden herausfordern, sondern gezielt die riskanten Logins.

1. Jede Authentifizierung bewerten. Prüfen Sie die IP auf Anonymisierungs- und Reputationssignale über den IP-Reputationscheck oder fassen Sie sie in einem IP-Betrugsscore zusammen.
2. Bei Risiko eskalieren. Lösen Sie MFA, eine E-Mail-/Telefonverifizierung oder eine Geräteprüfung aus, sobald der Score einen Schwellenwert überschreitet.
3. Sitzungen im Blick behalten, nicht nur Logins. Bei Token-Diebstahl kann der riskante Moment erst nach der Authentifizierung eintreten. Prüfen Sie den Kontext bei sensiblen Aktionen erneut.
4. Konten und Geräte ratenbegrenzen. Da Angreifer IPs rotieren, sollten sich Limits am Konto und am Geräte-Fingerprint orientieren.

MFA ist notwendig, aber nicht ausreichend

MFA verhindert vieles, aber 2026 wurde deutlich, dass Angreifer MFA-Abfragen phishen und aktive Sitzungen übernehmen. Wenn Sie IP-Risikosignale hinzufügen, entsteht zusätzliche Reibung genau dann, wenn etwas verdächtig wirkt, und Sie erkennen Token-Diebstahl sowie Sitzungsmissbrauch, den eine reine Passwort-plus-MFA-Prüfung durchlassen würde. Details zur Kontoübernahme finden Sie unter wie man Kontoübernahmen mit IP-Erkennung verhindert.

Fazit

Wenn Angreifer sich einloggen statt einzubrechen, ist der Login der Ort, an dem Sie sich verteidigen. Behandeln Sie Identität als den Perimeter: Bewerten Sie jede Authentifizierung mit IP-Reputation und Anonymisierungssignalen, eskalieren Sie bei Risiko, und richten Sie Ratenlimits an Konten und Geräten aus, nicht nur an IPs.

Quelle: Vorfallsanalyse 2026 über den PrivacyGuides-Datenleck-Rückblick.