Die ENISA Threat Landscape 2026 ist weniger als Rangliste einzelner Tätergruppen relevant denn als Grundlage für die Steuerung wiederkehrender Kontrollschwächen. ENISA analysierte 8.257 Vorfälle aus dem Kalenderjahr 2025. Das Lagebild zeigt gleichzeitig DDoS-Angriffe, unbefugten Zugriff, Social Engineering, ausgenutzte Schwachstellen, Ransomware sowie Angriffe auf Lieferketten, Dienstleister und Cloud-Umgebungen.
Für Geschäftsleitungen und Sicherheitsverantwortliche folgt daraus eine praktische Perspektive: Sicherheitsprogramme sollten nicht nur auf einzelne Bedrohungsakteure reagieren. Sie sollten Eintrittswege, konzentrierte digitale Abhängigkeiten und die Fähigkeit zur Bewältigung gravierender Betriebsstörungen gemeinsam bewerten. Denn unterschiedliche Akteure nutzen vielfach ähnliche Zugangsmethoden, Werkzeuge und Abhängigkeiten.
Redaktionelle Vorprüfung: Bestehenden Beitrag konsolidieren
Dieses Thema überschneidet sich nach dem WordPress-Abgleich weitgehend mit dem vorhandenen Beitrag 117. Die ENISA-Auswertung, NIS2-bezogene Risikoanalyse, Lieferantenrisiken und BCM-Schlussfolgerungen betreffen dort bereits denselben Erkenntnisraum. Redaktionell ist deshalb vor einer zusätzlichen Veröffentlichung zu entscheiden, ob der bestehende Beitrag aktualisiert, konsolidiert oder ersetzt werden soll.
Ein eigenständiger weiterer Beitrag wäre ohne klar belegbare neue Fragestellung kaum zusätzlicher Erkenntnisgewinn. Die hier dargestellte kontrollorientierte Lesart kann jedoch als Struktur für eine Überarbeitung dienen: Nicht die Vielzahl der Angriffsformen steht im Mittelpunkt, sondern die Frage, welche gemeinsamen Schwachstellen und Abhängigkeiten den Geschäftsbetrieb beeinträchtigen können.
Vom Akteurprofil zum gemeinsamen Eintrittsweg
Die Häufigkeit einzelner Ereignistypen ist kein ausreichendes Priorisierungskriterium. DDoS-Angriffe machten 51,3 Prozent und unbefugter Zugriff 39,5 Prozent der von ENISA erfassten Vorfälle aus. ENISA weist zugleich darauf hin, dass die hohen DDoS-Zahlen überwiegend weniger folgenschwere, geopolitisch geprägte Ereignisse betreffen. Daraus lässt sich nicht ableiten, dass DDoS stets das größte kurzfristige Schadenspotenzial besitzt.
Ransomware blieb dagegen der kurzfristig folgenreichste Incident-Typ. Für die Risikosteuerung bedeutet das, Eintrittswahrscheinlichkeit und Betriebswirkung getrennt zu betrachten. Ein häufiges Ereignis kann Monitoring, Provider-Eskalation und Kommunikationsfähigkeit erfordern. Ein selteneres, aber schwerwiegendes Szenario kann dagegen Wiederherstellung, Krisenentscheidungen und den Schutz besonders kritischer Identitäten dominieren.
Ein belastbares Priorisierungsraster kann daher fünf Fragen verbinden:
- Welche Zugangswege sind für die jeweilige Umgebung realistisch?
- Welche Geschäftsprozesse und Dienste hängen von einer Identität, Plattform oder Drittpartei ab?
- Wie schnell wird ein Missbrauch oder Ausfall erkannt?
- Welche Betriebswirkung entsteht bei Kompromittierung oder Nichtverfügbarkeit?
- Wie nachweisbar und innerhalb welcher Ziele ist eine Wiederherstellung möglich?
Identität, Phishing und Schwachstellen als Zugangskette
Phishing war mit 77,8 Prozent die am häufigsten beobachtete Social-Engineering-Technik. Kompromittierte Zugangsdaten, Identitätsmissbrauch und Social Engineering blieben wichtige Befähiger krimineller Aktivitäten. Soweit ENISA bei Fällen unbefugten Zugriffs einen Eintrittsvektor identifizieren konnte, entfielen 60,4 Prozent auf die Ausnutzung einer Schwachstelle. Diese Aussage betrifft eine Teilmenge von 5,2 Prozent aller Fälle unbefugten Zugriffs und sollte daher nicht zu einer pauschalen Gewichtung aller Zugangspfade überdehnt werden.
Operativ spricht die Befundlage dennoch für eine zusammenhängende Betrachtung. Phishing-resistente Authentisierung, privilegierte Zugriffssteuerung, die Erkennung atypischer Anmeldungen sowie der Schutz gegen Token- und Sitzungsdiebstahl gehören mit einem wirksamen Angriffsflächen- und Schwachstellenmanagement zusammen. Ebenso wichtig sind Prozesse, mit denen kompromittierte Identitäten schnell gesperrt, bereinigt und für den geregelten Betrieb wiederhergestellt werden können.
Diese Kontrollen sollten nicht isoliert dokumentiert werden. Risikoanalyse, Detection-Logik, Incident Response und Wiederanlaufplanung müssen dieselben kritischen Konten, Administrationswege und Abhängigkeiten abbilden. Andernfalls kann etwa ein technisch wiederhergestellter Dienst weiter gefährdet sein, wenn die zugrunde liegende Identitätskompromittierung nicht beseitigt wurde.
Digitale Abhängigkeiten als Betriebsrisiko
ENISA beobachtete Angriffe auf Lieferketten, Drittanbieter, Softwarelieferanten, Repositories, Browser-Erweiterungen und Cloud-Umgebungen. Solche Abhängigkeiten können zu großflächigen oder besonders folgenreichen Vorfällen führen. Für die Risikoanalyse genügt deshalb eine Lieferantenliste nicht. Entscheidend ist, welche externen Leistungen für Identitätsverwaltung, Kommunikation, Softwarebereitstellung, Fernwartung oder Kernprozesse tatsächlich kritisch sind.
Für hochkritische Abhängigkeiten sind nachvollziehbare Mindestanforderungen, technische Zugangsbeschränkungen sowie Eskalations- und Meldewege praxisrelevant. Zusätzlich sollten Verantwortliche prüfen, ob Exit- und Wiederanlaufoptionen bestehen und welche Notbetriebsverfahren bei Ausfall eines Cloud-, Managed-Service- oder SaaS-Anbieters verfügbar sind. Dabei geht es nicht um die Annahme, dass jede Drittpartei kompromittiert wird, sondern um die Vorbereitung auf plausible Ausfall- und Kompromittierungsszenarien.
Ransomware und DDoS getrennt üben
Ransomware-Akteure setzten weiterhin Verschlüsselung, Datendiebstahl und Erpressung ein. Übungen sollten deshalb über die technische Wiederherstellung hinausgehen. Sie sollten auch kompromittierte Identitäten, Datenabfluss, Erpressung, Entscheidungswege, externe Kommunikation sowie den Ausfall zentraler Dienstleister einbeziehen. Wiederherstellungsziele und die tatsächliche Wiederherstellbarkeit von Backups müssen dabei getestet werden, nicht nur auf dem Papier bestehen.
DDoS erfordert eine andere Schadenslogik. Öffentliche Dienste, Kundenportale, DNS, externe APIs und Kommunikationskanäle können jeweils unterschiedliche Geschäftsrelevanz haben. Geeignete Vorkehrungen umfassen abgestimmtes Monitoring, Schutzmechanismen, Provider-Eskalationen und Krisenkommunikation. Hohe Ereigniszahlen allein sollten jedoch nicht die Priorität bestimmen; maßgeblich ist die erwartete Wirkung auf kritische Leistungen.
KI als Beschleuniger bestehender Angriffsmuster
ENISA bewertet KI derzeit vor allem als Verstärker bestehender Angriffsaktivitäten. Bedrohungsakteure nutzen verbreitete KI-Werkzeuge insbesondere, um vorhandene Fähigkeiten und Vektoren zu beschleunigen oder zu skalieren, nicht überwiegend für grundlegend neue Durchbruchsfähigkeiten. Diese Einordnung spricht gegen eine isolierte KI-Sonderkontrolle ohne Bezug zu konkreten Angriffspfaden.
Stattdessen sollten Organisationen KI-gestützte Täuschung, skalierbares Phishing, Social Engineering, automatisierte Recherche und beschleunigte Schwachstellenausnutzung in bestehende Awareness-, Detection-, Threat-Intelligence- und Incident-Response-Prozesse aufnehmen. Governance sollte dabei klären, wer diese Entwicklungen bewertet, wie Erkenntnisse in Kontrollen übersetzt werden und welche Szenarien in Übungen berücksichtigt werden.
NIS2 in die Sicherheitssteuerung übersetzen
Die ENISA Threat Landscape ist ein Lagebild und keine verbindliche regulatorische Vorgabe. Artikel 21 der NIS2-Richtlinie nennt jedoch für das risikobasierte und All-Gefahren-orientierte Sicherheitsmanagement unter anderem Incident Handling, Business Continuity einschließlich Backups und Disaster Recovery, Krisenmanagement, Lieferkettensicherheit, Schwachstellenbehandlung und Zugriffskontrollpolitik.
Welche konkreten Pflichten für eine Organisation gelten, richtet sich nach der jeweiligen nationalen Umsetzung und dem Anwendungsbereich. Für die in der Durchführungsverordnung (EU) 2024/2690 benannten Kategorien digitaler Einrichtungen werden unter anderem Business-Continuity- und Disaster-Recovery-Pläne, ein regelmäßig getesteter Krisenmanagementprozess und eine Lieferkettensicherheitsrichtlinie konkretisiert. ISO/IEC-27001- oder BCMS-Strukturen können die Umsetzung fachlich ordnen; aus den vorliegenden Quellen folgt jedoch keine pauschale gesetzliche Pflicht hierfür.
Der operative Nutzen des Lagebilds liegt damit in der Priorisierung: Identitäten, Schwachstellen, externe Abhängigkeiten, Wiederherstellbarkeit und Krisenfähigkeit sollten als miteinander verbundene Steuerungsobjekte behandelt werden. So lassen sich Investitionen und Übungen auf Kontrollbereiche ausrichten, die mehrere Angriffswege zugleich reduzieren oder ihre Folgen begrenzen.