Eine Analyse von Zero Networks in 400 Unternehmensnetzwerken zeigt, wie rasch sich Angreifer nach dem ersten Zugriff ausbreiten können. Die Daten verdeutlichen: Nicht der Einbruch selbst ist das größte Risiko, sondern die unkontrollierte laterale Bewegung innerhalb der IT-Landschaft. Ein einzelner kompromittierter Host kann im ersten Schritt durchschnittlich 85 Prozent der internen Systeme erreichen.
Foto: xyz+ - stock.adobe.com
Über einen Zeitraum von zwölf Monaten – von Dezember 2024 bis Dezember 2025 – analysierte Zero Networks rund 3,4 Billionen Aktivitäten in 400 Unternehmensnetzwerken. Die Ergebnisse zeichnen ein klares Bild: Erfolgreiche Angriffe werden vor allem deshalb so folgenreich, weil sie sich nach dem ersten Zugriff ungehindert im Inneren der Organisation ausbreiten können. Die gefährlichsten Aktionen fügen sich dabei häufig nahtlos in den normalen IT-Betrieb ein und bleiben lange unauffällig.
Während KI-gestützte Methoden den Erstzugang beschleunigen, entscheidet für das tatsächliche Geschäftsrisiko vor allem, was Angreifer danach erreichen können. Damit rückt die interne Zugriffsarchitektur stärker in den Fokus als klassische Präventionsmechanismen.
Moderne Ransomware- und Intrusion-Kampagnen umgehen etablierte EDR- und XDR-Kontrollen systematisch. Statt exotischer Schwachstellen nutzen Angreifer echte Anmeldedaten, vertraute Tools und bestehende Verwaltungsprotokolle. Das Ergebnis ist ein reaktives Sicherheitsmodell, das vor allem auf Eskalation und nachträgliche Bereinigung setzt.
In den meisten Unternehmensnetzwerken ist die Zahl offener Ports überschaubar – typischerweise 20 bis 30. Innerhalb dieser Gruppe bilden rund zehn privilegierte Verwaltungsprotokolle wie RDP, SMB, WinRM oder RPC die Grundlage des täglichen IT-Betriebs. Genau diese dauerhaft offenen „Autobahnen“ werden jedoch auch für den Großteil der lateralen Bewegung genutzt. Einmal im Netz, benötigen Angreifer oft keine ausgefeilten Exploits mehr.
Die Auswertung zeigt eine starke Konzentration der Aktivitäten auf eine kleine Zahl von Zugriffswegen: SMB, RDP, WinRM und RPC machten zusammen 71 Prozent der 3,4 Millionen erkannten Bedrohungsaktivitäten aus. Diese Protokolle sind für Windows-, Active-Directory- und Betriebsprozesse unverzichtbar – und können nicht einfach abgeschaltet werden.
Damit wird deutlich: Effektive Angriffe erfordern keine große technische Vielfalt. Wiederverwendung gültiger Zugangsdaten, Bewegung von System zu System sowie das Aufzählen von Diensten und Berechtigungen prägen das Bild. In der Praxis bedeutet das, dass ein einzelner kompromittierter Host im ersten Schritt durchschnittlich 85 Prozent der internen Systeme erreichen kann – und im zweiten Schritt faktisch die gesamte Umgebung.
70 Prozent der Warnmeldungen verändern laut Analyse weder das Ausmaß der Auswirkungen noch das Geschäftsrisiko. Entscheidend ist vielmehr die unkontrollierte interne Ausbreitung. Ergänzend verweist die Studie auf externe Erkenntnisse: Der M-Trends-Report von Mandiant beziffert die globale mittlere Verweildauer von Angreifern auf etwa zehn bis elf Tage – genug Zeit für weitreichende Seitwärtsbewegungen, insbesondere bei zugangsdatenbasierten Angriffen, die sich in normale Verwaltungsaktivitäten einfügen.
Auffällig ist zudem die starke Streuung zwischen einzelnen Unternehmen. Zwei Organisationen derselben Branche können radikal unterschiedliche Ausbreitungsradien aufweisen. Ausschlaggebend ist weniger die Raffinesse der Angreifer als die interne Zugriffsarchitektur: Wie viele Systeme sind standardmäßig erreichbar? Wie schnell lässt sich Zugriff entziehen? Und wie rasch können seitliche Bewegungen gestoppt werden?
Einige Systeme tauchten seltener in den Erkennungen auf – darunter zentrale Datenbanken, Endpunktmanagement oder Identitätsdienste. Ihr vergleichsweise geringes Alarmaufkommen täuscht jedoch: Zugriff auf diese Ebenen kann rasch von einem begrenzten Vorfall zu einer umfassenden Betriebsstörung führen. Wenige Signale bedeuten daher nicht automatisch geringes Risiko.
Vor diesem Hintergrund verlieren klassische Sicherheitskennzahlen wie die Anzahl von Warnmeldungen an Aussagekraft. Maßgeblich sind stattdessen Reichweite einer einzelnen Kompromittierung, Geschwindigkeit der internen Bewegung und die Zeit bis zum wirksamen Entzug von Zugriffsrechten.
Die Analyse spricht für einen Paradigmenwechsel: weg von „Erkennen und Reagieren“, hin zu standardmäßig geschlossenen Architekturen auf Basis des Prinzips der geringsten Privilegien. Identitätsbasierte Just-in-Time-Zugriffe, Mehrfaktor-Authentifizierung und automatische Sperren sollen permanente Zugriffspfade eliminieren und den Explosionsradius bereits im Design begrenzen.
Für Führungskräfte ergibt sich daraus eine klare Prioritätensetzung. Sicherheitsverletzungen gelten als unvermeidlich – entscheidend ist, wie weit sie reichen können. Investitionen sollten daher auf Verfügbarkeit, Wiederherstellungsgeschwindigkeit und Kontinuität abzielen, nicht auf möglichst volle Dashboards. Penetrationstests gewinnen als Frühwarnsysteme an Bedeutung, weil sie sichtbar machen, wie leicht sich reale Angreifer bewegen könnten.
Die zentrale Botschaft der Daten lautet: Nicht der Erstzugang bestimmt das Risiko, sondern die Freiheit zur Bewegung danach. Wer diese systematisch einschränkt, reduziert die Auswirkungen erfolgreicher Angriffe spürbar.
