Eye Security Blog

Das beobachten wir bei Cybervorfällen in ganz Europa: Bedrohungsanalysen. Erkenntnisse aus dem Incident Response. Zahlen. Sicherheitsempfehlungen.

Cyberangriffe auf Identitäten 2026: Warum Minuten über den Schaden entscheiden

9 min read März 12, 2026

Cyberangriffe auf Identitäten 2026: Warum Minuten über den Schaden entscheiden

Der aktuelle Stand der Cybervorfälle 2026 | Trendbericht

Eye Security analysierte zwischen Januar 2023 und November 2025 insgesamt 630 anonymisierte Cybersicherheitsvorfälle in ganz Europa. Die Analyse liefert Einblicke in Erkennung, Verweildauer, Ursachen sowie die operativen Auswirkungen von Sicherheitsvorfällen. Die Auswertung zeigt, wie Bedrohungsakteure Vertrauen, Zeit und Technologie gezielt ausnutzen und wie Managed Detection and Response (MDR) den Verlauf sowie das Ergebnis maßgeblich beeinflusst.

6 min read Januar 28, 2026

Der aktuelle Stand der Cybervorfälle 2026 | Trendbericht

Vom Helfer zum Cyberrisiko: Warum AI-Canvases jetzt Aufmerksamkeit erfordern

Eye Research hat gezeigt, dass ein AI-Canvas legitime Inhalte imitieren kann, zum Beispiel eine HR Umfrage oder eine interne Login-Seite. Werden diese Canvases Inhalte per E-Mail oder über Messaging Plattformen verbreitet, wirken sie vertrauenswürdig, da sie mit bekannten KI-Diensten verbunden sind. Weitere Details finden Sie im vollständigen technischen Bericht.

5 min read Januar 27, 2026

Alle Blogbeiträge

Vom Risikomanagement zur aktiven Cyber-Resilienz nach der NIS2-Richtlinie

Mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) sind neue und deutlich strengere Cyberverpflichtungen auf dem Weg. Für viele Unternehmen bedeutet die NIS2-Richtlinie nicht mehr nur die Einhaltung von Vorgaben, sondern einen grundlegenden Wandel in der Sicherheitsstrategie. Während einige Firmen zunächst Self-Assessments durchgeführt haben, wird in der nächsten Phase der Schwerpunkt auf operative Resilienz liegen. Genau hier setzt die „Assume Breach“-Mentalität an.

Die Bedrohungslage in 2026: Strategien neu denken, Angreifer überholen

Die Cyberabwehr befindet sich inzwischen in einem Wettlauf, der in Minuten gemessen wird. Die durchschnittlichen Breakout-Zeiten liegen unter einer Stunde, Identitätsmissbrauch hat klassische Malware als primären Angriffsvektor abgelöst, und KI-gestützte Verfahren beschleunigen Phishing-Kampagnen. Fähigkeiten, die früher spezialisiertes Know-how erforderten, sind heute kommerziell verfügbar, automatisiert und breit einsetzbar.

Kostenlose Browser-Erweiterung schützt vor AitM-Phishing in Microsoft 365

Adversary-in-the-Middle (AitM)-Phishing ist eine schnell wachsende Bedrohung, die Multi-Faktor-Authentifizierung (MFA) umgehen und Sitzungstoken in Echtzeit abfangen kann. Selbst sorgfältige Unternehmen mit strikten Sicherheitsrichtlinien sind gefährdet. Um Nutzer zu schützen, hat Eye Security Microsoft AitM Phishing Block entwickelt, eine kostenlose Browser-Erweiterung für Chrome und Edge, die verdächtige Microsoft-Login-Seiten erkennt und Nutzer warnt, bevor Zugangsdaten eingegeben werden.Die technischen Details finden Sie in unserem Artikel zu Microsoft AitM Phishing Block.

Remote-Code-Ausführung (RCE) über Microsofts Windows Update Health Tools

Ein vertrautes Windows-Tool mit unerwartetem Angriffspfad Eye Research hat eine kritische Sicherheitslücke in Microsofts Windows Update Health Tools entdeckt, die eine Remote-Code-Ausführung (RCE) auf Windows-Geräten ermöglicht hätte. Betroffen waren fast zehntausend Unternehmen weltweit. Das Tool, das automatisch über Windows Update bereitgestellt wird, soll die Zuverlässigkeit von Updates verbessern. Eine ältere Version griff jedoch weiterhin auf Azure-Speicherorte zu, die von Microsoft nicht mehr verwaltet wurden.Wer die Kontrolle über diese verlassenen Speicherorte hatte, konnte beeinflussen, welche Inhalte das Tool herunterlud. Unter bestimmten Bedingungen eröffnete sich so die Möglichkeit, Code auf Unternehmensgeräten auszuführen, die dem Tool standardmäßig vertrauten.

Shadow AI im Visier: Ein Tool für CISOs

Generative KI verändert die Art und Weise, wie Unternehmen arbeiten. Tools wie ChatGPT, Copilot und DeepSeek ermöglichen es Teams, schneller zu agieren, Aufgaben zu automatisieren und in einem Tempo zu innovieren, das noch vor einem Jahr kaum vorstellbar war. Doch mit dieser Innovationskraft entsteht auch ein neues, weitgehend unsichtbares Risiko bekannt als Shadow AI. Aus diesem Grund hat das Forschungsteam von Eye Security ein Konzept entwickelt, das sogenannte Prompt Injections in ein Werkzeug für Compliance und Nutzeraufklärung verwandelt, speziell für Sicherheitsteams und CISOs. 👉 Jetzt ausprobieren

Business Email Compromise: Wie ein Betrugsfall fast eine Million kostete

Business Email Compromise (BEC) zählt nach wie vor zu den folgenschwersten, aber oft unterschätzten Formen der Cyberkriminalität. Im Gegensatz zu Ransomware, die mit spektakulären Systemausfällen und Erpresserschreiben für Schlagzeilen sorgt, beruht BEC auf subtiler Täuschung und dem gezielten Ausnutzen von Vertrauen. In unserem aktuellen Incident-Response-Webinar beleuchten wir einen realen Fall, in dem Angreifer E-Mail-Konten kompromittierten und betrügerische Überweisungen veranlassten, beinahe mit einem finanziellen Schaden von einer Million Euro. {{cta('285451674869','justifycenter')}}

ClickFix Block: Schützen Sie Ihre Organisation vor Fake-Captcha-Angriffen

Eine neue Angriffstechnik bedroht Internet-Nutzer: der Fake-Captcha-Angriff, auch bekannt als ClickFix-Attacke. Unser Team bei Eye Security hat darauf reagiert: mit ClickFix Block, einer kostenlosen Browser-Erweiterung, die solche Zwischenablage-Manipulationen stoppt, bevor sie Schaden anrichten. Die besondere Effektivität dieser Angriffsmethode liegt in der Nutzung der Zwischenablage. Ohne dass der Nutzer es bemerkt, platziert die Webseite automatisch einen schädlichen Befehl im Clipboard. Sobald dieser eingefügt und ausgeführt wird, erlangt der Angreifer die Kontrolle über das Gerät, installiert Malware oder stiehlt Zugangsdaten. Bei Eye Security haben wir ClickFix Block geschaffen, eine kostenlose Browser-Erweiterung, die diesen Angriff stoppt: {{cta('283615795410','justifycenter')}}Neugierig geworden? Lesen Sie unseren technischen Blogbeitrag zu ClickFix Block.

Dem Stillstand entkommen: Wie Move Intermodal einen Ransomware-Angriff stoppte

Bei diesem realen Vorfall, den Eye Security bei Move Intermodal untersucht hat, stammen die dargestellten Ereignisse, Angriffstechniken und gewonnenen Erkenntnisse direkt aus unserer Arbeit vor Ort. Die Inhalte werden mit ausdrücklicher Genehmigung von Move Intermodal veröffentlicht. Move Intermodal mit Sitz in Genk ist eines der führenden europäischen Intermodal-Logistikunternehmen und sorgt täglich dafür, dass Tausende von Sendungen über Straße, Schiene und Wasser pünktlich unterwegs sind. CIO Tomas Tempelaars leitet eine IT-Abteilung, in der Timing und Kontinuität entscheidend sind, besonders, wenn Fracht termingerecht geliefert werden muss.

Ein Ransomware-Angriff aus der Praxis: Was tun, wenn es zu spät ist?

„Alle Systeme sind ausgefallen. Wir sind ausgesperrt. Wir wissen nicht, wie weit sich der Angriff ausgebreitet hat.“ So klingt der typische Anruf, den unsere Incident Response-Hotline von Unternehmen in Krisensituationen erhält. Meistens sind zu diesem Zeitpunkt bereits kritische Systeme verschlüsselt, der Betrieb steht still und das volle Ausmaß ist noch unklar. Ransomware: Was passiert, wenn es schon zu spät ist? Die harte Realität moderner Ransomware: Der Angriff beginnt oft Wochen vorher, unbemerkt, während Angreifer Ihr Netzwerk erkunden, Berechtigungen ausweiten und auf den richtigen Moment warten. Trotz der besten Bemühungen von IT- und Sicherheitsteams entdecken die meisten Organisationen den Einbruch erst, wenn es bereits zu spät ist. Bei Eye Security haben wir dutzende Organisationen durch die kritischen ersten Tage begleitet. In diesem Fallbeispiel nehmen wir Sie mit in einen realen Angriff, vom Erstkontakt über die Untersuchung, Lösegeldverhandlungen bis zur vollständigen Wiederherstellung.Diese Geschichte zeigt die Abläufe hinter den Kulissen einer Ransomware-Ermittlung. Sie offenbart die Anatomie moderner Ransomware-Kampagnen, wie sie operieren, wo Organisationen Schwachstellen zeigen und wie eine gut vorbereitete Reaktion Langzeitschäden abmildern kann. Was passiert, wenn Ransomware zuschlägt? Ein Blick hinter die Kulissen eines Ransomware-Angriffs {% video_player "embed_player" overrideable=False, type='hsvideo2', hide_playlist=True, viral_sharing=False, embed_button=False, autoplay=False, hidden_controls=False, loop=False, muted=False, full_width=False, width='1920', height='1080', player_id='251475673326', style='' %} {{cta('251475561663','justifycenter')}} Laut Cybercrime Magazine werden die Schäden durch Ransomware im Jahr 2025 weltweit 57 Milliarden US-Dollar erreichen. Das entspricht 4,8 Milliarden pro Monat, 1,1 Milliarden pro Woche, 156 Millionen pro Tag, 6,5 Millionen pro Stunde, 109.000 pro Minute und 2.400 pro Sekunde.Die Global Cost of Ransomware Study des Ponemon Institute, basierend auf einer Umfrage unter 2.547 IT- und Cybersecurity-Experten, zeigt: 88 % der befragten Organisationen wurden im vergangenen Jahr Opfer von Ransomware. Davon mussten 58 % den Betrieb nach einem Angriff durchschnittlich 12 Stunden lang einstellen.Bei mittelständischen Unternehmen lag die durchschnittliche Lösegeldforderung bei 1,2 Millionen US-Dollar, 55 % zahlten das Lösegeld. 44 % gaben an, nicht ausreichend auf schnelle Erkennung und Reaktion vorbereitet zu sein. Im Jahr 2024 beliefen sich die durchschnittlichen Kosten eines Ransomware-Angriffs auf 5,13 Millionen US-Dollar, ein Anstieg von 574 % in sechs Jahren. Diese Summe umfasst Lösegeldzahlungen, Wiederherstellungskosten sowie Folgekosten durch Reputations- und Vertrauensverluste. Teil I: Der Anruf, den kein Unternehmen führen will Es war ein ganz normaler Wochentagnachmittag, als die Incident Response (IR) Hotline von Eye Security klingelte. Der IT-Leiter eines europäischen Mittelstandsunternehmens meldete sich. Auftragsbearbeitung gestoppt, Mitarbeitende ausgesperrt, alle kritischen Systeme außer Betrieb. Ein schwerer Ransomware-Angriff hatte das Unternehmen getroffen.Das Team hatte erste Maßnahmen ergriffen, doch schnell wurde klar: Sie waren dem Angreifer unterlegen. Über die technische Wiederherstellung hinaus brauchte das Unternehmen dringend strategisches Krisenmanagement. Teil II: Tag 0. Auswirkungen und Sofortschäden Nach Beginn der Zusammenarbeit wurde schnell klar, dass das Unternehmen von einer Ransomware-Gruppe angegriffen wurde, die für ihre besonders zerstörerischen Attacken bekannt ist. Seit ihrer Entstehung Anfang 2023 hatte die Gruppe weltweit über 700 Vorfälle verursacht und schätzungsweise mehr als 42 Millionen US-Dollar erpresst.Der Modus Operandi der Gruppe umfasst die Ausnutzung von VPN-Schwachstellen sowie häufig den Einsatz geleakter Zugangsdaten oder Brute-Force-Angriffe, um Sicherheitsmaßnahmen zu umgehen.Nach dem Eindringen erkundeten sie das Netzwerk, erweiterten ihre Rechte und kartierten die Umgebung systematisch. Bis zur Verschlüsselung hatten die Angreifer bereits: Backup-Repositories gelöscht, um Datenwiederherstellung zu erschweren; Über 300.000 Dateien systemübergreifend verschlüsselt; Sensible Daten exfiltriert, um eine doppelte Erpressung vorzubereiten. Für das Unternehmen bedeutete dies eine vollständige Betriebsblockade. Alle Hinweise sprachen für einen gut vorbereiteten und hoch motivierten Gegner. Reagieren Sie rechtzeitig. Laden Sie die Incident-Readiness-Checkliste herunter. {{cta('247339846875')}} Teil III: Schadenbegrenzung und Wiederherstellung So entwickelte sich der Angriff ab Tag 1 unserer Unterstützung: Tag 1: Schnelle Ersteinschätzung und Forensik Maßnahmen zur Eindämmung begannen, um infizierte Endpunkte zu isolieren und forensische Beweise zu sichern. Ein Datenwiederherstellungsspezialist wurde hinzugezogen, da lokale Backups vom Angreifer gelöscht worden waren. Der Fokus lag auf: Bestätigung des Angriffsvektors Einschätzung der verschlüsselten oder exfiltrierten Daten Ermittlung der Aufenthaltsdauer des Angreifers im System Tag 2: Beginn der Lösegeldverhandlungen Nach Sicherstellung einer verschlüsselten Kommunikationsverbindung machte der Angreifer seine Forderungen geltend. Ein Lösegeldschreiben wurde zugestellt. Zwar gab es keine konkrete Summe, doch das Ausmaß des Angriffs deutete auf eine hohe sechsstellige Forderung hin.Parallel entwickelte unser Team eine Reaktionsstrategie mit mehreren Szenarien, darunter: Datenwiederherstellung ohne Lösegeldzahlung Vorbereitung auf rechtliche und Compliance-Anforderungen Kommunikations- und Eindämmungsprotokolle Tag 3: Rechtliche und regulatorische Folgen Aufgrund der Datenschutz-Grundverordnung (DSGVO) musste das Unternehmen innerhalb von 72 Stunden den Vorfall der Aufsichtsbehörde melden. Die Exfiltration personenbezogener und potenziell sensibler Daten löste Meldepflichten aus.Unsere Rechtsberater arbeiteten mit der Unternehmensjuristerei zusammen, um: Die Meldung gemäß DSGVO einzureichen Eine Kommunikationsstrategie für Stakeholder und Mitarbeitende vorzubereiten Die Cyberversicherung und Schadensabwicklung zu prüfen Parallel wurden verschlüsselte Laufwerke physisch an ein Datenwiederherstellungslabor geschickt, um Entschlüsselungs- oder Rettungsmöglichkeiten zu prüfen. Tag 4: Ursachenanalyse – VPN-Schwachstelle identifiziert Die Analyse ergab den genauen Einstiegspunkt: eine verwundbare VPN-Lösung. Log-Dateien zeigten, dass der Angreifer mindestens 26 Tage unbemerkt Zugang hatte, bevor die Ransomware ausgerollt wurde. Die lange Verweildauer ermöglichte eine gezielte, gut vorbereitete Attacke. Teil IV: Stabilisierung und Wiederherstellung Tag 6: Wiederherstellung kritischer Systeme Nach mehreren Tagen gelang der erste große Erfolg: Ein Teilbackup eines kritischen Anwendungservers, das extern gespeichert war, konnte wiederhergestellt werden. Dies ermöglichte den Neustart der wichtigsten Geschäftssysteme.Dieser Durchbruch veränderte die Lage entscheidend. Tag 7: Interne Krisenkommunikation Mit dem Fortschritt der Wiederherstellung informierte die Führungsebene die Mitarbeitenden offiziell. Mit vorab abgestimmten Botschaften wurde versucht, Transparenz und Beruhigung zu schaffen, ohne Panik oder zu frühe Medienberichterstattung. Tag 15: Betriebliches Comeback Zwei Wochen nach dem Vorfall wurden Online-Services schrittweise wieder hochgefahren, Netzwerkzugänge wiederhergestellt und Systeme gesichert. Tag 16: Lösegeldforderung konkretisiert Der Angreifer forderte offiziell 900.000 USD in Bitcoin für den Entschlüsselungscode und die „Garantie“, die gestohlenen Daten nicht zu veröffentlichen oder zu verkaufen.Eine kritische Entscheidung stand an. Teil V: Risikoabwägung und Verhandlungsstrategie Vom 26. bis 42. Tag intensivierten sich die Verhandlungen. Lösegeldzahlungen werden selten empfohlen, doch Organisationen müssen folgende Faktoren bewerten: Wahrscheinlichkeit einer Datenveröffentlichung Ob Zahlung Reputations- oder rechtlichen Schaden verhindern kann Glaubwürdigkeit der Versprechen des Angreifers Am Tag 41 kehrte das Unternehmen fast zum Normalbetrieb zurück – ohne den Entschlüsselungscode. Schließlich wurde am Tag 56 eine reduzierte Zahlung von 270.000 USD in Bitcoin geleistet: nicht für Entschlüsselung, sondern in der Hoffnung, die Veröffentlichung sensibler Daten zu verhindern. Teil VI: Erkenntnisse Dieser Fall zeigt nicht nur die Komplexität von Ransomware-Angriffen, sondern auch häufige strategische und technische Fehler davor. Wichtige Learnings für Cybersecurity-Profis: 1. Patch-Management ist Pflicht Die ausgenutzte Schwachstelle war bekannt. Patching und Schwachstellenmanagement müssen oberste Priorität haben. 2. Backups müssen unveränderlich und isoliert sein Der Angreifer löschte Backups problemlos. Mit Immutable- oder Air-Gapped-Backups wäre die Wiederherstellung schneller und weniger lohnbasiert gewesen. 3. Dwell Time ist tödlich Wochenlange unerkannte Zugriffe sind fatal. 24/7 Detection und Response sind essenziell. 4. Cyberversicherung ist kein Luxus Die Versicherung deckte IR-Kosten, Rechtsberatung und einen Teil der Lösegeldzahlung ab. 5. Assume Breach ist Pflicht Zero-Trust ist keine Theorie mehr. Jeder externe Dienst ist ein potentieller Einstiegspunkt. Wie kann Eye Security helfen? Eye Security bietet Enterprise-Cybersecurity, zugeschnitten auf Risiken und Budgets mittelständischer Unternehmen: 24/7 Managed Detection & Response (MDR) mit Echtzeit-Alerts und schnellem Containment über eigenes SOC Cyberversicherung mit attraktiven Konditionen Angriffsflächen-Scanning zur Erkennung und Behebung von Schwachstellen vor Ausnutzung Threat Hunting zur proaktiven Erkennung lateraler Bewegungen und Persistenz Expertengeführte Incident Response inklusive forensischer Untersuchungen Wenn Ransomware zuschlägt, brauchen Sie ein erprobtes Team, das sofort handelt. Erfahren Sie mehr über unsere Incident Response.Wenn Sie einen Vorfall vermuten, kontaktieren Sie sofort unsere Incident Response Hotline:Notfall-IR Deutschland: +49 203 6688 1900{{ include_custom_fonts({"Silka":["Black","Bold","Extra Light","Light","Medium","Regular","Semi Bold"]}) }}

Was die Attacken auf M&S, Harrods und UNFI für Ihre Cyberabwehr bedeuten

Eine Welle von schwerwiegenden Cyberangriffen erschüttert aktuell den Einzelhandel: Selbst digital fortschrittliche Schwergewichte wie Marks & Spencer, Harrods, Victoria’s Secret und UNFI sind nicht immun. Die Vorfälle reichen von Ransomware über umfassende Lieferkettenstörungen bis hin zu Datendiebstahl und sie machen eines deutlich: Kein Unternehmen ist sicher, ganz gleich wie etabliert die Marke oder wie hoch die Investitionen in Cybersicherheit sind. Innerhalb weniger Wochen haben gleich mehrere namhafte Marken Cybervorfälle gemeldet: Marks & Spencer und die Supermarktkette Co-op, Harrods, The North Face, Cartier, Victoria’s Secret und zuletzt United Natural Foods Inc (UNFI). Die Angriffe umfassten Ransomware-Infektionen, unautorisierte Zugriffe und Datendiebstahl. Und wir sprechen hier von global bekannten, digital gut aufgestellten Organisationen mit ausgereiften Schutzmaßnahmen. Jeder Fall zeigt: Selbst Marken mit Milliardenbewertungen sind angreifbar – ob opportunistisch oder koordiniert, der Einzelhandel steht auf dem Prüfstand.Die Vorfälle im Überblick: Marks & Spencer (M&S) erlitt einen der schwerwiegendsten Ransomware-Angriffe in der Geschichte des britischen Einzelhandels. Zugangsdaten wurden gestohlen, Server verschlüsselt – der Marktwert fiel innerhalb weniger Tage um mehr als 500 Millionen Pfund. Harrods reagierte schnell auf einen Angriffsversuch, schränkte proaktiv den Netzwerkzugang ein – die Ermittlungen laufen noch. Finanzielle Schäden wurden bislang nicht veröffentlicht. Victoria’s Secret musste während eines verkaufsstarken Wochenendes den E-Commerce abschalten. Die Folge: operative Einschränkungen, Reputationsverluste und ein sinkender Aktienkurs. Mit der EU-NIS2-Richtlinie stehen Einzelhändler zunehmend in der Verantwortung: Pflicht zur Vorfallserkennung, zur Kontrolle von Drittanbietern und zur Rechenschaft auf Vorstandsebene. Der Trend ist klar: Sicherheit heißt heute, vom „Breach“ auszugehen und aktiv zu handeln. Sind Sie vorbereitet? Fordern Sie jetzt die Checkliste zur Incident-Readiness an (Englisch). {{cta('247339846875','justifyleft')}} Bei Eye Security konnten wir bislang keine direkten Auswirkungen innerhalb unseres Kundenstamms feststellen. Dennoch gilt für alle Unternehmen, insbesondere im Einzelhandel: Warten Sie nicht auf erste Anzeichen eines Angriffs. Härten Sie den Zugang, investieren Sie in 24/7-Erkennung und -Reaktion. Die Angreifer könnten längst im System sein. Markenangriff mit Signalwirkung: Der Fall M&S Den Auftakt machte Marks & Spencer. BBC berichtet, dass die englischsprachige Hackergruppe Scattered Spider hinter dem Angriff stehen könnte. Sie nutzten den Ransomware-Service „DragonForce“, den sie über einen kompromittierten Account eines TCS-Mitarbeiters (IT-Partner von M&S) einsetzten. Der Zugang erfolgte über Social Engineering – gezielte Täuschung zur Ausnutzung eines Drittanbieters.Zeitleiste des Angriffs: Februar–März 2025: Erstzugang über TCS mittels Helpdesk-Imitation und SIM-Swapping 21.–22. April: Ransomware-Angriff mit DragonForce; ESXi-Server verschlüsselt 22. April: M&S gibt den Vorfall öffentlich bekannt 25. April: Online-Shops, Zahlungen und Click & Collect abgeschaltet 13. Mai: Zugriff auf sensible Daten bestätigt 19. Mai: Prognostizierter Schaden: £60–300 Mio. Gewinnverlust, >£1 Mrd. Börsenwert 10. Juni: Wiederaufnahme des Online-Betriebs nach sechs Wochen Harrods bestätigt Cyberangriff und leitet forensische Untersuchungen ein Anfang Mai bestätigte der Luxus-Einzelhändler Harrods versuchte Angriffe auf seine Systeme. Das Unternehmen reagierte, indem es den Internetzugang an seinen Standorten einschränkte. Die Filialen und die Website blieben jedoch weiterhin in Betrieb.Die kundenbezogenen Aktivitäten liefen uneingeschränkt weiter, doch als Vorsichtsmaßnahme wurde der Internetzugang unternehmensweit eingeschränkt, ein Hinweis auf eine potenziell ernstzunehmende Bedrohung.Offizielle finanzielle Schäden wurden bisher nicht bekannt gegeben. Dennoch sind die Risiken hoch: Harrods verarbeitet große Mengen an Daten vermögender Kunden und ist damit ein attraktives Ziel für Erpressung. Selbst kurzfristige Störungen oder wahrgenommene Schwachstellen können erhebliche Reputationsschäden verursachen, insbesondere im Luxussegment, das stark auf Markenvertrauen angewiesen ist.Aktuell teilt Harrods seinen Kunden mit, dass kein Handlungsbedarf besteht. Die forensischen Untersuchungen laufen weiterhin.Zentrale Ereignisse: 1. Mai 2025: Harrods erkennt erstmals einen unautorisierten Zugriffsversuch auf seine Systeme und reagiert mit einer Einschränkung des Internetzugangs an allen Standorten. Maßnahmen: Proaktive Isolierung betroffener Systeme; physische Geschäfte und E-Commerce bleiben funktionsfähig. Die britische Cybersicherheitsbehörde NCSC bestätigt eine enge Abstimmung mit Harrods und weiteren betroffenen Einzelhändlern. Keine Bestätigung für den Einsatz von Ransomware oder eine Datenverschlüsselung. Vermutungen, dass der Angriff Teil einer größeren Kampagne gegen Einzelhändler sein könnte – insbesondere über Drittanbieter oder Lieferkettenangriffe. Cyberangriff auf Victoria’s Secret: Kritische Systeme wiederhergestellt Zwischen dem 24. und 26. Mai 2025 wurde Victoria’s Secret Opfer eines schwerwiegenden Cyberangriffs, der die E-Commerce-Plattform sowie zentrale Unternehmenssysteme lahmlegte. Die Störung beeinträchtigte auch einzelne Services in den Filialen und führte zur Aktivierung von Notfallprotokollen. In einer späteren Mitteilung an die US-Börsenaufsicht (SEC) bestätigte der Einzelhändler, dass alle kritischen Systeme inzwischen wiederhergestellt und vollständig funktionsfähig sind. Externe Cybersicherheitsexperten wurden mit der Untersuchung des Vorfalls beauftragt.Trotz der massiven Beeinträchtigungen erwartet das Unternehmen keine wesentlichen Auswirkungen auf das Geschäftsjahr 2025, auch wenn gewisse Kosten für die Schadensbehebung anfallen werden. Der Angriff verzögerte jedoch die Veröffentlichung der Ergebnisse für das erste Quartal, die ursprünglich für nach dem 3. Mai 2025 geplant war. Systeme, die für den Abschluss der Finanzberichterstattung erforderlich waren, standen während der Wiederherstellungsphase nicht zur Verfügung.Victoria’s Secret betreibt über 1.380 Filialen in fast 70 Ländern und meldete im ersten Quartal einen Umsatz von 1,353 Milliarden US-Dollar. Ob Ransomware beim Angriff eine Rolle spielte, wurde nicht bestätigt. Bisher hat sich keine Cybercrime-Gruppe zu dem Angriff bekannt.Zeitlicher Ablauf und zentrale Ereignisse: 25.–26. Mai 2025: Ein Sicherheitsvorfall beeinträchtigt den Betrieb während des lokalen Memorial-Day-Feiertags, mutmaßlich bewusst gewählt, um Personalengpässe auszunutzen 26. Mai: Unternehmenssysteme und E-Commerce-Plattform werden offline genommen; Notfallmaßnahmen greifen 28. Mai: Website weiterhin nicht erreichbar; einige In-Store-Services gestört; stationäre Filialen bleiben geöffnet 29. Mai: Website wieder online; Betrieb vollständig aufgenommen Keine öffentliche Zuschreibung bisher Finanzielle Auswirkungen: Im Q1 als gering eingeschätzt; für Q2 noch unklar aufgrund zusätzlicher Aufräumkosten Der neueste Cyberangriff im Einzelhandel: United Natural Foods (UNFI) Als Cyberkriminelle United Natural Foods Inc. (UNFI), einen der größten Anbieter von Bioprodukten in den USA, ins Visier nahmen, waren die Folgen sofort spürbar. In den Filialen von Whole Foods im ganzen Land blieben die Regale leer. Der Ransomware-Angriff vom 5. Juni zwang UNFI dazu, zentrale Systeme offline zu nehmen, was die Kommunikation mit den Geschäften unterbrach und präzise Lieferungen verhinderte. Die Folge: Brotknappheit, leere Obst- und Gemüseregale und der Ausfall von In-Store-Dienstleistungen.Mitarbeitende in mehreren Whole-Foods-Filialen berichteten von chaotischen Zuständen hinter den Kulissen: falsche Lieferungen, überlagerte Waren, die niemand bestellt hatte, und ein Mangel an Grundausstattung wie Müllsäcken. Die zentrale Erkenntnis: In komplexen Lieferketten mit Dutzenden vernetzten Akteuren kann ein einziger kompromittierter Anbieter die gesamte nationale Versorgung lahmlegen.UNFI-Aktien brachen infolge des Cybervorfalls am 5. Juni innerhalb von zwei Tagen um 17,3 % ein, ein Verlust von rund 292 Millionen US-Dollar an Börsenwert. Bereits bei der ersten Veröffentlichung sanken die Aktien um mehr als 8 % und gerieten in den Folgetagen weiter unter Druck, da die Lieferengpässe andauerten. Das Unternehmen passte zudem seine Gewinnprognose an.Zeitlicher Ablauf und zentrale Ereignisse: 5. Juni 2025: Unautorisierte Aktivitäten in internen Netzwerken erkannt; betroffene Systeme vorsorglich heruntergefahren 9. Juni: UNFI reicht Meldung bei der SEC ein und bestätigt Systemausfälle sowie laufende forensische Ermittlungen mit Strafverfolgungsbehörden 10.–11. Juni: Whole Foods warnt vor landesweiten Produktengpässen; UNFI beginnt schrittweise Systemwiederherstellung 11.–12. Juni: Aktienkurs bricht um 17 % ein; Ermittlungen und Wiederanlaufmaßnahmen laufen weiter Auswirkungen auf die Lieferkette: Sofortige Unterbrechung von Bestellungen und Leerräume in den Regalen. Die Dimension von UNFI, mit der Belieferung von über 30.000 Filialen, verdeutlicht, wie anfällig die Branche für solche Angriffe ist. Warum ist der Einzelhandel so stark im Visier? Der Einzelhandel gehört zu den fünf Branchen, die am stärksten von Cyberangriffen betroffen sind. Angreifer sind hinter wertvollen persönlichen Daten, Einnahmen aus dem E-Commerce und dem Zugang zu Einzelhandelsinfrastrukturen her. Für Unternehmen kann Untätigkeit katastrophale Folgen haben: Umsatzeinbußen, zerstörtes Vertrauen, regulatorische Strafen und sogar Insolvenz. 25 % der weltweiten Angriffe richten sich mittlerweile gegen den Einzelhandel, wo der durchschnittliche Datenverlust 4,88 Millionen US-Dollar kostet. Tatsächlich besteht fast die Hälfte des Webverkehrs im Einzelhandel aus Bots, d.h. Werkzeuge zum Abgreifen von Daten, für DDoS-Angriffe und das Ausnutzen gestohlener Zugangsdaten. 43 % der Angriffe zielen auf kleine Unternehmen ab, von denen über 60 % innerhalb von sechs Monaten nach einem Angriff schließen müssen.Zu den gefährlichsten Bedrohungen im Einzelhandel zählen: Phishing, verantwortlich für 43 % der Angriffe Ransomware, die 69 % der Einzelhandelsunternehmen betrifft, von denen nur 26 % die Verschlüsselung stoppen konnten DDoS-Angriffe, angetrieben von bösartigen Botnets, machen inzwischen 40 % des Traffics auf Einzelhandels-Websites aus E-Commerce-Betrug, der 2023 Kosten von 48 Milliarden US-Dollar verursachte und 2,9 % des Umsatzes vernichtete Schon ein einziger Fehler kann die Schleusen öffnen. Was können Unternehmen jetzt tun? Alles verschlüsseln Mitarbeitende schulen, 68 % der Vorfälle beruhen auf menschlichem Versagen Anbieter überprüfen, Schwachstellen patchen und Zero-Trust-Sicherheitsmodelle implementieren KI-gestützte Betrugserkennung einsetzen Webanwendungen härten und Kassensysteme schützen Nicht auf den Angriff warten, sondern jetzt in Bereitschaft für den Ernstfall investieren Studien zeigen, dass 82 % der Kunden eine Marke nach einem Datenverlust verlassen. „Assume breach“: Warum 24/7-Schutz unverzichtbar wird Bei Eye Security bestätigt unsere Erfahrung aus hunderten Vorfällen, was die Daten belegen: Cyberkriminelle gedeihen im Verborgenen. Sie verweilen oft Tage, Wochen oder Monate in Systemen, bevor sie den finalen, zerstörerischen Angriff starten.Deshalb müssen Unternehmen von reinen Präventionsstrategien zu einem proaktiven „Assume breach“-Ansatz wechseln. Unsere Top-Empfehlungen: Investieren Sie in 24/7-Monitoring und -Erkennung Angreifer machen keine Feierabendpause um 17 Uhr. Moderne Cyberangriffe sind mehrstufig: Sie beginnen meist mit Phishing oder ungepatchten Schwachstellen, gefolgt von seitlichen Bewegungen, Diebstahl von Zugangsdaten und Datenexfiltration. Ohne rund um die Uhr Erkennung bleiben solche Aktivitäten oft unbemerkt.Ein Security Operations Center (SOC) mit Experten und KI-unterstützter Bedrohungserkennung reduziert die Verweildauer im System drastisch. Ohne SOC bleibt ein Angriff durchschnittlich 204 Tage unentdeckt. SOCs helfen, Bedrohungen zu stoppen, bevor Daten gestohlen oder verschlüsselt werden. Führen Sie regelmäßige Scans der Angriffsoberfläche durch Die Angriffsfläche, d.h. alle möglichen Zugriffswege auf ein System, ist dynamisch. Täglich entstehen neue Schwachstellen. Schatten-IT, vergessene Endpunkte und falsch konfigurierte Dienste (z. B. Cloud-Speicher oder Testumgebungen) bieten ideale Einstiegspunkte.Automatisierte, häufige Scans erkennen und priorisieren Schwachstellen, bevor Angreifer sie ausnutzen. Eye Securitys kontinuierliche Scan-Methoden sorgen dafür, dass Unternehmen stets einen Schritt voraus sind und Sicherheitslücken schließen, bevor sie Einfallstore für Ransomware oder Datendiebstahl werden. Sichern Sie Zugangspunkte: Möglicherweise sind Sie schon kompromittiert Hintertüren, gestohlene Zugangsdaten oder schlummernde Malware könnten bereits in Ihren Systemen existieren. Wir empfehlen die Einführung von Zero-Trust-Prinzipien, Beschränkung administrativer Rechte und flächendeckende Multi-Faktor-Authentifizierung. Netzwerke sollten segmentiert werden, um seitliche Bewegungen zu verhindern. Überwachen Sie zudem anomales Verhalten, das auf Insider-Bedrohungen oder kompromittierte Konten hindeutet. Das „Assume breach“-Prinzip besagt: Gehen Sie davon aus, dass mindestens eine Verteidigungsebene bereits versagt hat. An alle europäischen Einzelhändler: Warum NIS2 jetzt relevant ist Der jüngste Anstieg von Cyberangriffen auf Einzelhandelsriesen ist ein regulatorischer Wendepunkt. In Europa tritt die NIS2-Richtlinie in Kraft. Auch für den Einzelhandel wird Compliance zum strategischen Risikomanagement.NIS2 erweitert die Cybersecurity-Vorschriften in der EU. Im Gegensatz zu ihrem Vorgänger gilt sie nicht mehr nur für traditionelle kritische Infrastrukturen wie Energie oder Verkehr, sondern umfasst nun ausdrücklich wichtige Lieferkettenbereiche wie Lebensmittelvertrieb, E-Commerce-Plattformen und große Einzelhändler, genau die Unternehmen, die aktuell im Visier stehen.Die Richtlinie schreibt strenges Cyber-Risikomanagement, Erkennung und Meldung von Vorfällen sowie eine umfassende Resilienz in der gesamten digitalen Infrastruktur inklusive Drittanbieter vor.NIS2 fordert einen Mentalitätswandel: Es geht vom „Assume breach“-Prinzip aus. Die Führungsebene wird zur Verantwortung für Cybersecurity-Governance verpflichtet. Unternehmen müssen nicht nur ihre eigenen Schutzmaßnahmen prüfen, sondern auch die Widerstandsfähigkeit ihres gesamten digitalen Ökosystems, einschließlich Lieferanten, Softwareanbietern und Dienstleistern.Für EU-Einzelhändler ist NIS2-Compliance ein Zeichen von Reife, Vertrauenswürdigkeit und Geschäftskontinuität.Weitere Informationen finden Sie im NIS2-Informationszentrum. Fazit: Warten Sie nicht, bis der Einzelhandel zur Warnung wird Cyberkriminelle sind opportunistisch. Funktioniert eine Methode in einer Branche, wird sie binnen Tagen in anderen eingesetzt. Deshalb ist Bereitschaft der beste Schutz. Assume breach, schaffen Sie Echtzeit-Transparenz und handeln Sie proaktiv. Eye Security, our experience responding to hundreds of incidents confirms what the data already shows. Cybercriminals thrive in silence. They often dwell in systems for days, weeks, or even months before launching the final, destructive phase of an attack.{{ include_custom_fonts({"Silka":["Black","Bold","Extra Light","Light","Medium","Regular","Semi Bold"]}) }}

Gefälschte Chef-E-Mails: Alles, was Sie über CEO Fraud wissen müssen

CEO Fraud, auch als „Chef-Masche“ oder „Fake President Fraud“ bekannt, ist eine Form des Business Email Compromise. Kriminelle geben sich per E-Mail als Geschäftsführer:in (CEO), Finanzchef:in oder eine andere hochrangige Führungskraft eines Unternehmens aus. Ziel ist es, Mitarbeitende – meist aus der Buchhaltung oder dem Finanzbereich – zur Überweisung größerer Geldbeträge auf ein vom Betrüger kontrolliertes Konto zu bewegen.

Die 5 größten Cyber-Bedrohungen für Industrieunternehmen im Jahr 2025

Cyberangriffe können für Hersteller schwerwiegende Folgen haben. Sie können Lieferketten unterbrechen, zu Ausfallzeiten führen, die Produktivität beeinträchtigen und den Ruf des Unternehmens schädigen. Sie können sogar die physische Sicherheit der Mitarbeiter gefährden. Wenn wichtige Geräte in die Hände von Angreifern geraten, kann es zu Produktionsausfällen, Brandschäden und Unfällen kommen. Hier erfahren Sie mehr über die wichtigsten Cyber-Bedrohungen für Industrieunternehmen im Jahr 2025 und was Sie dagegen tun können.