Schnellere Angriffe: Prävention ist besser als nachträgliche Analyse

Neunundzwanzig Minuten sind kein Zeitfenster für die Reaktion auf einen Vorfall. Das ist eine Kaffeepause, bei der unten schon der regulatorische Papierkram wartet. Laut Danny Palmer, stellvertretender Chefredakteur des Infosecurity Magazine, der sich auf den CrowdStrike Global Threat Report 2026 beruft, lag die durchschnittliche Breakout-Zeit für einen Eindringling im Jahr 2025 bei 29 Minuten. Irgendwo hat eine Tabletop-Übung gerade still und leise ihre optimistischen Annahmen gelöscht. Diese Zahl ist wichtig, weil Unternehmensverteidigung Entdeckung oft wie Archäologie behandelt hat: vorsichtig graben, Artefakte bewahren, die Zivilisation rekonstruieren, die übernommen wurde. Palmer berichtet, dass unbefugte Eindringlinge früher Wochen oder Monate in kompromittierten Netzwerken verbrachten, um Datendiebstahl vorzubereiten oder Malware zu platzieren. Jetzt, so das Infosecurity Magazine, kann sich ein Angreifer „in wenigen Minuten“ vom ersten Einstieg bis zum Datenzugriff und zur Exfiltration bewegen. Die Handlung hat sich vom langsam brennenden Thriller zum Überfall auf einen Spätkauf entwickelt, nur dass die Kasse deine Kundendatenbank ist.

Was laut Infosecurity Magazine passiert ist Infosecurity

Magazine beschreibt die zentrale Veränderung als Verdichtung der Angriffszeitleiste. Palmer schreibt, dass die Breakout-Zeit das Zeitfenster zwischen dem ersten Eindringen ins Netzwerk und dem Abgang des Angreifers nach gestohlenen oder zerstörten Daten ist. CrowdStrike, wie von Infosecurity Magazine zitiert, setzte den Durchschnitt für 2025 auf 29 Minuten, was schnell genug ist, um manche traditionellen Eskalationswege aussehen zu lassen, als wären sie in Steintafeln gemeißelt worden. Die Aufschlüsselung der Sicherheitsverletzung dreht sich daher weniger um ein einzelnes Opfer als um ein kaputtes Betriebsmodell. Wenn der wertvolle Teil eines Eindringens abgeschlossen sein kann, bevor ein menschliches Gremium sich darauf geeinigt hat, welches Dashboard das echte Dashboard ist, kann die Strategie nicht allein von heldenhafter Untersuchung abhängen. Untersuchungen bleiben wichtig, weil du Umfang, Beweise und eine belastbare Darstellung dessen brauchst, was passiert ist. Aber sie sind nicht mehr die erste Überlebenslinie.

Der reflexhafte Fokus auf Untersuchung ist laut Infosecurity Magazine zu langsam

Laut Infosecurity Magazine gab das alte Muster Verteidigern mehr Zeit, weil Eindringlinge Wochen oder Monate damit verbringen konnten, Vorarbeit zu leisten. Diese Welt belohnte tiefgehende Erkennung, sorgfältige Triage und geduldige forensische Rekonstruktion. Das schnellere Muster bestraft jeden Sicherheitsprozess, der eine Person braucht, um etwas zu bemerken, zu interpretieren, zu genehmigen und einzudämmen, bevor Daten das Unternehmen verlassen. Das ist die kontraintuitive Lektion: Schnellere Angriffe bedeuten nicht, dass Organisationen einfach härter untersuchen sollten. Sie bedeuten, dass Sicherheitsdesign reduzieren muss, was ein erfolgreicher erster Schritt erreichen kann. Prävention, Segmentierung, Identitätskontrollen und schnelle Eindämmung werden zu architektonischen Anforderungen statt zu netten Folien in einer vierteljährlichen Risikoprüfung. Wenn jedes kompromittierte Konto denselben Flur öffnet, braucht der Angreifer kein Genie, nur Schwung.

Warum sich die Strategie verschiebt, anhand der Zeitleiste von Infosecurity

Magazine Der Zeitleistenvergleich von Infosecurity Magazine verändert die Aufgabe der Verteidiger: nicht mehr einen langen Aufenthalt entdecken, sondern einen Sprint unterbrechen. Ein wochenlanger Einbruch gibt Monitoring-Teams Chancen, Muster zu beobachten, Ereignisse zu korrelieren und Vertrauen in ihre Einschätzung aufzubauen. Ein minutenlanger Einbruch verlangt, dass Systeme bereits wissen, welcher Zugriff übermäßig ist, welche Bewegung ungewöhnlich ist und welche Datenpfade für normale Arbeit gar nicht existieren sollten. Genau dort verdient Segmentierung ihr Geld. Es geht nicht darum, das Netzwerk auf magische Weise sicher zu machen, eine Formulierung, die in dieselbe Schublade gehört wie abgelaufene Anbieter-Sticker. Es geht darum, jeden Schritt für den Angreifer mehr Zeit und mehr Berechtigungen kosten zu lassen. Identitätskontrollen erfüllen denselben Zweck: weniger dauerhafte Privilegien, engere Zugriffsgrenzen und weniger Annahmen, dass eine angemeldete Sitzung einen königlichen Festzug durch sensible Systeme verdient.

Was das mit den Zahlen von Infosecurity Magazine konkret für dich bedeutet

Palmers Berichterstattung im Infosecurity Magazine gibt Sicherheitsverantwortlichen einen praktischen Test: Kann deine Umgebung den Schaden innerhalb eines durchschnittlichen Breakout-Zeitfensters von 29 Minuten begrenzen? Wenn die Antwort davon abhängt, dass jemand eine Warnung liest, ein Ticket öffnet, den Owner findet und auf Genehmigung wartet, Glückwunsch, du hast einen Spannungsroman gebaut. Der Angreifer ist wahrscheinlich schon zum letzten Kapitel gesprungen. Für Entwickler und Architekten lautet die Erkenntnis: Entwerft auf Eindämmung vor dem Vorfall hin. Segmentiere Systeme, damit ein erster Halt nicht zur geführten Tour wird. Prüfe Identitätspfade so, als wäre jedes unnötige Privileg ein künftiger Entschuldigungsentwurf. Halte Untersuchungen scharf, aber mache sie zur Lernschleife, nachdem Prävention und Eindämmung ihre unhöfliche, notwendige Arbeit bereits erledigt haben. Als Nächstes sollte man beobachten, ob Enterprise-Sicherheitsprogramme beginnen, die Qualität von Kontrollen an der Geschwindigkeit von Angreifern zu messen, nicht nur am Alarmvolumen oder an der durchschnittlichen Zeit bis zum Schließen. Die CrowdStrike-Berichterstattung von Infosecurity Magazine legt nahe, dass die nützliche Frage nicht mehr nur lautet, was nach dem Einstieg passiert ist. Sondern wie wenig ein Angreifer erreichen kann, bevor deine Umgebung anfängt, Nein zu sagen.