Erkenntnisse aus dem Verizon DBIR 2026, die Ihre Sicherheitsmaßnahmen beeinflussen sollten

Der „Verizon Data Breach Investigations Report 2026“ analysierte mehr als 22.000 bestätigte Datenschutzverletzungen – den größten Datensatz in der Geschichte des Berichts. Die Ergebnisse bieten Sicherheitsverantwortlichen, die den Verdacht hegen, dass sich die Angriffsfläche schneller ausweitet als ihre Kontrollmaßnahmen, eine nützliche Möglichkeit zur Überprüfung ihrer Einschätzungen. Das ist richtig. Hier erfahren Sie, was dabei besonders hervorsticht und was dies konkret für die Menschen, die Daten und die KI bedeutet, auf die sich Ihr Unternehmen stützt.

Der menschliche Faktor ist nach wie vor die entscheidende Variable

Dem DBIR zufolge war bei 62% der Sicherheitsvorfälle ein menschlicher Faktor beteiligt, was einen leichten Anstieg gegenüber den 60% des Vorjahres darstellt. Diese Zahl ist gerade deshalb so hartnäckig, weil es sich nicht um ein single Problem oder einen einzelnen Fehler handelt. Es handelt sich um eine Kombination verschiedener Bedrohungen, darunter die Wiederverwendung von Anmeldedaten, die Anfälligkeit für Phishing, Compliance-Lücken und nun auch KI-gestützte Täuschungsversuche, die alle in einer einzigen Kennzahl zusammengefasst werden.

Quelle: Verizon DBIR 2026, S. 12

Social Engineering war insgesamt das dritthäufigste Vorfallmuster und machte 16% aller Sicherheitsverletzungen aus. Von diesen blieb die E-Mail der wichtigste Angriffsweg – eine Erkenntnis, die sich seit Jahren bestätigt. Doch die Details hinter dieser Schlagzeile ändern sich in einer Weise, die von Bedeutung ist.

Phishing wird durch KI nicht ersetzt, sondern noch weiter vorangetrieben

In den dokumentierten Angriffskampagnen setzten die Angreifer GenAI-Unterstützung bei im Median 15 verschiedenen Techniken ein. Einige haben es sogar für 40 bis 50 verwendet. Von den vom DBIR identifizierten KI-gestützten Erstzugangsvektoren entfielen 44% auf Phishing, womit dies die single größte Kategorie darstellte.

Quelle: Verizon DBIR 2026, S. 26

Laut Daten, die Anthropic an Verizon übermittelt hat, hat sich der Umfang an KI-gestützten Texten in böswilligen E-Mails im Vergleich zu den Vorjahren verdoppelt. Der DBIR weist ausdrücklich darauf hin, dass dieser Anstieg des Einsatzes von KI-Unterstützung bislang noch nicht zu einem messbaren Anstieg der Erfolgsquote von Phishing-Versuchen gegen Unternehmen in seinem Vorfall-Datensatz geführt hat. Das ist jedoch kein Grund zur Beruhigung, sondern ein nachlaufender Indikator. Der Vorteil ist unbestreitbar: KI senkt die Hürde für weniger erfahrene Akteure, überzeugende, grammatikalisch korrekte und kontextuell plausible Köder zu erstellen. Sicherheitsteams befinden sich in einem Wettlauf zwischen Erkennungsfähigkeit und Datenvolumen.

Die Daten zur E-Mail-Sicherheit zeigen eine gleichbleibende Aufschlüsselung der blockierten Inhalte: 80% Fälle von klassischem Phishing, 10% E-Mails mit Malware, 5% Versuche von Callback-/Telefon-orientierten Angriffen (TOAD) sowie 3% Angriffe im Stil von „Business Email Compromise“ (BEC), die auf Überweisungen oder die Umleitung von Zahlungen abzielen. Diese Ergebnisse stimmen weitgehend mit den Erkenntnissen überein, die wir im „Mimecast Global Threat Intelligence Report“ dargelegt haben.

„Pretexting“ entwickelt sich zunehmend zu einem Einstiegspunkt für Ransomware

Die meisten Sicherheitsteams nehmen das sogenannte „Pretexting“ noch nicht mit der gebotenen Ernsthaftigkeit wahr: Pretexting – die Erfindung eines fiktiven Szenarios, um eine Zielperson dazu zu manipulieren, eine schädliche Handlung auszuführen – hat sich zu einem immer häufiger genutzten Einstiegsvektor für Ransomware- und Erpressungskampagnen entwickelt. Bei allen untersuchten Vorfällen wurde „Pretexting“ in 6% n als erster Angriffsvektor eingesetzt; dabei tritt diese Technik sowohl als eigenständige Methode als auch als Folge eines Phishing-E-Mail-Angriffs auf.

Was es schwieriger macht, sich gegen Pretexting zu wehren als gegen herkömmliches Phishing, ist dessen synchroner Charakter. Der Angreifer ist an der Unterhaltung beteiligt – sei es per Telefon, in einem Chat-Thread oder im E-Mail-Austausch – und passt seine Darstellung in Echtzeit an. Die Abwehrmaßnahmen müssen so erweitert werden, dass sie Signale zum Nutzerverhalten, anomale Kommunikationsmuster sowie eine kontextbezogene Erkennung von Bedrohungen umfassen, die über das Scannen von Links und Anhängen hinausgeht.

„Shadow AI“ ist mittlerweile ein weit verbreitetes Risiko im Zusammenhang mit Insiderdaten

Dies ist ein Indikator, der Anlass zu einem dringenden Gespräch zwischen den Bereichen Sicherheit, IT und dem operativen Geschäft geben sollte. 45% der Mitarbeiter nutzen mittlerweile regelmäßig KI auf Unternehmensgeräten; im Vorjahr waren es noch 15%. Davon greifen 67% über nicht unternehmensinterne Konten auf KI-Plattformen zu, wodurch Unternehmensdaten in Systeme gelangen, die außerhalb jeglicher IT- oder Sicherheitskontrollgrenzen liegen.

Die Folge zeigt sich in den DLP-Telemetriedaten: „Shadow AI“ ist mittlerweile die dritthäufigste nicht böswillige Insider-Aktivität, die in DLP-Datensätzen erfasst wird, was einer Vervierfachung gegenüber dem Vorjahr entspricht. Der mit Abstand am häufigsten an externe KI-Modelle übermittelte Datentyp ist der Quellcode. Strukturierte Daten, Bilder sowie – in 3,2 % der DLP-Vorfälle – Forschungsergebnisse und technische Dokumentationen werden ebenfalls auf nicht autorisierte Systeme hochgeladen.

Quelle: Verizon DBIR 2026, S. 13

Hierbei handelt es sich nicht um ein spekulatives Risiko. Es handelt sich um ein messbares, zunehmendes Risiko, das den meisten Organisationen derzeit nicht bewusst ist.

So sieht eine gute Verteidigung im Jahr 2026 aus

Die Botschaft des DBIR lautet nicht, dass sich die Bedrohungslandschaft bis zur Unkenntlichkeit verändert hat, sondern dass sich bekannte Probleme schneller ausbreiten und die Menschen, die im Zentrum der Angriffskette stehen, über mehr Kanäle und mit überzeugenderen Techniken ins Visier genommen werden.

Die praktische Vorgehensweise ist mehrschichtig. Damit ist eine Erkennung von E-Mail-Bedrohungen gemeint, die mit der KI-gestützten Erstellung von Köder-E-Mails Schritt hält. Das bedeutet, das Bewusstsein für Phishing und Social Engineering über den E-Mail-Posteingang hinaus zu erweitern. Damit sind Verhaltenssignale gemeint, mit denen sich eine Kompromittierung des Kontos oder ungewöhnliche Zugriffe erkennen lassen, noch bevor Anmeldedaten die einzigen Anhaltspunkte sind. Und dies bedeutet Transparenz darüber, welche Daten an KI-Plattformen übertragen werden – unabhängig davon, ob diese Übertragung genehmigt ist oder nicht.

Die integrierte Plattform von Mimecast bietet konkrete Lösungen für viele dieser hartnäckigen Probleme. „Email & Collaboration Threat Protection“ nutzt die Mihra-KI-Plattform, die täglich mehr als 18 Milliarden Sicherheitsereignisse verarbeitet, um Phishing-, BEC- und mit Malware versehene Nachrichten zu erkennen, auch wenn sich die dahinterstehenden Taktiken weiterentwickeln. Der Schutz vor Kontoübernahmen deckt Verhaltensindikatoren für kompromittierte Konten auf, die bei reinen Anmeldedaten-Kontrollen übersehen werden. Das „Security Behavior Management“ befasst sich mit dem menschlichen Faktor, den der DBIR durchweg als die entscheidende Variable identifiziert, und zielt darauf ab, messbare Veränderungen im Verhalten der Mitarbeiter zu bewirken, anstatt lediglich das Abhaken von Checkboxen zu verlangen. Das Insider-Risikomanagement und der Datenschutz von Incydr sorgen in Verbindung mit der Steuerung und Kontrolle von KI-Agenten für jene Datentransparenz, die angesichts der im DBIR dargelegten Erkenntnisse zur „Schatten-KI“ immer dringlicher wird.

Der DBIR 2026 macht deutlich, dass die Grundlagen nicht versagen, sondern lediglich in großem Maßstab und mit Hilfe von KI über eine breitere Angriffsfläche hinweg auf die Probe gestellt werden. Die Organisationen, die am besten in der Lage sind, darauf zu reagieren, sind jene, die Menschen, Daten und KI als eine single, miteinander verbundene Risikofläche betrachten und nicht als drei getrennte Probleme.

Erfahren Sie, wie Mimecast Menschen, Daten und KI schützt – vereinbaren Sie eine Demo oder lesen Sie den vollständigen Verizon DBIR 2026 auf verizon.com.

Quellen:

• Verizon-Bericht zu Untersuchungen von Datenschutzverletzungen 2026 (Mai 2026): verizon.com/business/resources/reports/dbir/