Angreifer verweilen durchschnittlich 241 Tage in Unternehmenssystemen, was die Incident-Kosten um 1,14 Millionen Dollar ansteigen lässt

Hintergrund

Die durchschnittliche unentdeckte Verweildauer von Cyberangreifern in Unternehmenssystemen beträgt 241 Tage, so der IBM Cost of a Data Breach Report 2025. Dieser Zeitraum, der bei Supply-Chain-Kompromittierungen auf 267 Tage ansteigen kann, ermöglicht ihnen die Exfiltration vertraulicher Informationen und die Übernahme weiterer Benutzerkonten. Unternehmen mit komplexen IT-Infrastrukturen, zahlreichen Schnittstellen und einer hohen Abhängigkeit von externen Anbietern sind besonders anfällig für diese lange Verweildauer.
Die Dauer eines Incidents hat direkte finanzielle Auswirkungen. Datenlecks, die innerhalb von 200 Tagen behoben werden, verursachen durchschnittliche Kosten von 3,87 Millionen Dollar. Dauert ein Incident länger als 200 Tage, steigen die Schäden auf 5,01 Millionen Dollar an, was einer Differenz von 1,14 Millionen Dollar entspricht.
Die verlängerte Verweildauer von Angreifern ist eine Folge moderner Angriffstechniken, die bestehende Vertrauensbeziehungen ausnutzen. Phishing bleibt ein häufiger Einstiegspunkt. Gestohlene Zugangsdaten ermöglichen legitim erscheinende Aktivitäten und umgehen Perimetersicherungen. Supply-Chain-Angriffe nutzen Software-Abhängigkeiten oder vertrauenswürdige Partner aus und bleiben über Wochen oder Monate unbemerkt. Bei Ransomware erlangen Angreifer, bevor sie Daten verschlüsseln, oft über längere Zeiträume erhöhte Privilegien und identifizieren kritische Systeme. All diese Techniken erzeugen keine offensichtlichen Anomalien, was ihre Erkennung ohne spezifische Mechanismen erschwert.

Warum es wichtig ist

Angreifer bleiben durchschnittlich 241 Tage in Unternehmenssystemen. Dies erhöht die Kosten eines Incidents um 1,14 Millionen Dollar, wenn der Angriff länger als 200 Tage dauert. Diese verlängerte Präsenz stellt eine direkte Bedrohung für die finanzielle Stabilität und den Ruf jedes Unternehmens dar. Kleine und mittlere Unternehmen mit begrenzten IT-Ressourcen sind besonders gefährdet. Nicht in Prävention und schnelle Erkennung zu investieren, ist keine nachhaltige Strategie. Verfügt Ihr Unternehmen über ein System, das Angriffe rechtzeitig erkennt?

Was zu tun ist

• Phishing-resistente Multi-Faktor-Authentifizierung (MFA) zum Schutz digitaler Identitäten implementieren.
• Die IT-Umgebung kontinuierlich mit SIEM-Lösungen auf ungewöhnliche Aktivitäten überwachen.
• Zero-Trust-Prinzipien und Netzwerksegmentierung zur Begrenzung lateraler Angreiferbewegungen einführen.
• Ein rigoroses Schwachstellen- und Patch-Management durchführen, um bekannte Sicherheitslücken zu schließen.
• Einen Notfallmanagementplan mit klaren Verantwortlichkeiten entwickeln und regelmäßig testen.

Was zu vermeiden ist

• Die Bedeutung der schnellen Angriffserkennung nicht unterschätzen.
• Sich nicht ausschließlich auf Perimetersicherheitsmaßnahmen verlassen, da diese durch gestohlene Zugangsdaten umgangen werden können.
• Die Notwendigkeit einer kontinuierlichen IT-Überwachung auf Anomalien und verdächtige Aktivitäten nicht ignorieren.
• Informationssicherheit nicht als rein technische Ausgabe, sondern als integralen Bestandteil der Unternehmensführung betrachten.

Praktische Auswirkungen

Für eine Organisation bedeutet die lange Verweildauer von Angreifern ein höheres Risiko für umfassende Datenexfiltration, die Kompromittierung kritischer Systeme und hohe finanzielle Schäden. Das Fehlen eines integrierten Ansatzes aus Prävention, Erkennung und Notfallmanagement erhöht die Wahrscheinlichkeit langwieriger und kostspieliger Vorfälle. Die Integration von Informationssicherheit in die Unternehmensstrategie ist nicht nur eine Frage der Compliance, sondern eine Investition in die Resilienz und wirtschaftliche Nachhaltigkeit.

Zu vermeidende Fehler

• Die Verweildauer der Angreifer nicht als sekundäres Problem betrachten.
• Investitionen nicht nur auf Prävention beschränken, ohne Erkennung und Reaktion zu berücksichtigen.
• Keine klaren Rollen und Verantwortlichkeiten für das Management von Sicherheitsvorfällen definieren.
• Die Richtlinien von Standards wie ISO 27001 oder BSI IT-Grundschutz nicht integrieren.

Fragen zur Selbsteinschätzung

• Wie lange benötigt unsere Organisation, um einen Sicherheitsvorfall zu erkennen und einzudämmen?
• Welche Mechanismen haben wir zur Erkennung lateraler Bewegungen oder unbefugter Datenexfiltration implementiert?
• Sind unsere Authentifizierungsmaßnahmen Phishing-resistent und decken sie alle privilegierten Konten ab?
• Ist unser Incident-Response-Plan aktuell und wird er regelmäßig getestet?
• Ist Informationssicherheit in die strategischen Entscheidungsprozesse des Unternehmens integriert?

Verweise

Nationales Recht: ISO/IEC 27001 · Direttiva NIS2