Auf den Punkt: Laut Mandiants M-Trends-2021-Bericht übergeben Initial Access Broker Netzwerkzugriffe im Schnitt binnen 224 Sekunden an nachgelagerte Angreifer, was manuelle Abwehrprozesse zunehmend überfordert.
Aktuelle Auswertungen von Incident-Response-Daten zeigen, dass Angreifer zunehmend automatisiert vorgehen und Zugriff auf Unternehmensnetzwerke innerhalb kürzester Zeit erlangen und weiterverkaufen. Für Sicherheitsteams bedeutet dies, dass rein manuelle Reaktionsprozesse mit dem Tempo der Angreifer nicht mehr mithalten können.
Mandiant Intelligence, der Incident-Response-Arm von Google Cloud, hat im M-Trends-Bericht 2021 über 500.000 Stunden an Daten zur Reaktion auf Sicherheitsvorfälle ausgewertet. Die Auswertung zeigt, dass sich das Tempo von Angriffen deutlich erhöht hat, da Initial Access Broker (IABs) und verbundene Gruppen ihre Operationen zunehmend automatisieren. Nach Angaben des Berichts benötigen Angreifer im Schnitt 224 Sekunden, um Zugriffe auf ein Unternehmensnetzwerk an das nächste Team von Eindringlingen weiterzugeben, während die durchschnittliche Verweildauer bis zur Übergabe an Folgeakteure bei rund acht Stunden liegt.
Initial Access Broker bieten auf einschlägigen Untergrundforen Zugangspunkte zu bereits kompromittierten Netzwerken an. Der Erstzugriff erfolgt dabei typischerweise über gestohlene VPN-Anmeldedaten, gekaperte Citrix- oder Fortinet-Sitzungen, kompromittierte RDP-Server oder Exploits gegen Confluence-, Exchange- und Edge-Router-Systeme. Auf diesen Foren existieren nach Angaben des Berichts Preislisten, die je nach Branche, geschätztem Einkommen des Opfers und weiteren Umständen gestaffelt sind — ein Hinweis auf einen arbeitsteiligen, kommerzialisierten Untergrundmarkt zwischen Ersteinbrechern und nachgelagerten Ransomware-Akteuren.
Für Sicherheitsverantwortliche folgt daraus, dass Erkennungs- und Reaktionsprozesse, die auf manueller Analyse und Eskalation basieren, bei diesen Zeitfenstern strukturell im Nachteil sind. Der Bericht legt nahe, dass automatisierte beziehungsweise KI-gestützte Abwehrmechanismen notwendig werden, um in vergleichbarer Geschwindigkeit reagieren zu können wie die Angreiferseite. Praktisch bedeutet das für Security-Teams, Prioritäten bei Monitoring und automatisierter Reaktion auf typische Einfallsvektoren wie VPN-Zugänge, RDP-Exponierung und bekannte Schwachstellen in Citrix-, Fortinet-, Confluence- und Exchange-Systemen zu setzen, da diese laut Mandiant die häufigsten Ausgangspunkte für den Erstzugriff der Initial Access Broker darstellen.
Quelle: www.computerweekly.com · Erschienen 7. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.