CrowdStrike 2026: Hacker nutzen Sicherheitslücken binnen 24 Stunden aus — KI beschleunigt Angriffe weiter

Das Zeitfenster zwischen der Offenlegung einer Sicherheitslücke und dem ersten realen Angriff ist fast verschwunden. Der Threat-Hunting-Report 2026 von CrowdStrike, der die erste Jahreshälfte abdeckt, zeigt, dass 88 Prozent der CVEs mit veröffentlichtem Proof-of-Concept-Exploit innerhalb von 48 Stunden in aktiven Angriffen genutzt wurden. Mit China verbundene Bedrohungsgruppen, darunter VAULT PANDA und GENESIS PANDA, haben bei kritischen Webanwendungs-Sicherheitslücken eine 24-Stunden-Umschlagszeit erreicht – schneller, als die meisten Unternehmens-IT-Teams überhaupt bewerten, geschweige denn patchen können.

Die React2Shell-Sicherheitslücke, die Anfang dieses Jahres entdeckt wurde, generierte innerhalb von vier Tagen nach ihrer Offenlegung 800 Ermittlungsansätze und bestätigte Einbrüche bei mehr als 80 betroffenen Organisationen. Eine separate, mit China verbundene Gruppe, UMBRAL BISON, begann innerhalb von 20 Stunden mit der Ausnutzung von CVE-2026-31431; 94 Prozent der zugehörigen Angriffsereignisse wurden innerhalb des ersten Tages protokolliert. Dies sind keine Einzelfälle – sie repräsentieren das, was zum Standard-Arbeitstempo staatlich geförderter Hacking-Aktivitäten geworden ist.

Künstliche Intelligenz beschleunigt dies weiter, wenn auch noch nicht im science-fiction-haften Sinne. Die messbarste KI-bezogene Bedrohungsverschiebung findet auf beiden Seiten der Angriffskette statt: KI-Agenten-ausgelöste Sicherheitserkennungen produzieren jetzt 2,5-mal mehr Bedrohungshinweise als manuell gesteuerte Aktivitäten, doch dieselbe Automatisierung wird gegen Organisationen eingesetzt. In einer dokumentierten LLMJacking-Kampagne – bei der Angreifer KI-API-Zugangsdaten stehlen und gewinnbringend nutzen – generierte ein einziger Vorgang 200.000 API-Anfragen in zwei Minuten und skalierte den Diebstahl von Rechenleistung auf ein Tempo, das ohne Automatisierung unmöglich wäre.

Nordkoreas STARDUST CHOLLIMA wechselte im Juni von Spionage in Software-Lieferketten: 131 Pakete im Mastra-AI-Entwicklungsframework, das häufig von Entwicklern genutzt wird, die KI-gestützte Anwendungen bauen, wurden mit einer bösartigen npm-Abhängigkeit infiziert. Die Kampagne spiegelt eine kalkulierte Wette wider, dass KI-Werkzeuge – mit ihrer schnellen Adoption und oft dürftigen Sicherheitsüberprüfung – eine ergiebige Angriffsfläche für Vergiftungen bieten. Eine separate Gruppe, ALTERED SPIDER, kompromittierte an einem einzigen Tag mehr als 300 Software-Abhängigkeiten.

Social Engineering hält Schritt. Voice-Phishing – bei dem Angreifer sich am Telefon als IT-Support oder Führungskräfte ausgeben – hat sich im ersten Halbjahr 2026 im Vergleich zu den vorangegangenen sechs Monaten verdoppelt. Die Gruppe, die CrowdStrike als SNARKY SPIDER führt, wechselte in dokumentierten Vorfällen in weniger als fünf Minuten von Account-Übernahme zu bestätigtem Datendiebstahl. Monatliche Device-Code-Phishing-Versuche sind in den letzten sechs Monaten um das 15-Fache gestiegen – eine Technik, die die OAuth-Abläufe ausnutzt, die zur Authentifizierung von Apps auf Smart-TVs und Geräten mit eingeschränkter Eingabe verwendet werden.

Die praktische Konsequenz für jeden, der Software nutzt – nicht nur für Sicherheitsexperten – ist, dass das effektive Patch-Fenster jetzt in Stunden gemessen wird. Unternehmenssicherheitsteams, die auf traditionelle 30-Tage-Schwachstellenmanagement-Zyklen setzten, laufen ein Rennen, das sie bereits verloren haben. Cloudbasierte eCrime stieg im Jahresvergleich um 171 Prozent – eine Zahl, die CrowdStrike teilweise auf die Verfügbarkeit von KI-Allzweckwerkzeugen zurückführt, die die Hürde für kriminelle Akteure ohne tiefgehendes technisches Fachwissen senken.

CrowdStrike verfolgt mittlerweile 290 benannte Gegnergruppen, ein deutlicher Anstieg gegenüber früheren Jahren. Der Bericht stellt fest, dass die Identifizierung von Bedrohungsakteuren selbst zu einem Engpass geworden ist: Die Geschwindigkeit moderner Kampagnen überholt oft die Attributionsarbeit, die nötig ist, um zu verstehen, wogegen man sich verteidigt. Die Zahlen im Report 2026 beschreiben keine zukünftige Bedrohung – sie beschreiben das, was bereits gemessen wird, jeden Tag, in tausenden von Organisationen.

Schlagwörter: Cybersicherheit, KI-Sicherheit, Lieferkette, CrowdStrike, LLMJacking, Nordkorea