Am 22. August erschien auf der Leak-Seite einer Ransomware-Gruppe ein Schweizer Betrieb mit wenigen Dutzend Mitarbeitenden. Neben dem Firmennamen stand ein Vermerk, der über den Ablauf mehr verrät als die Erpressung selbst: Die VPN-Zugangsdaten dieser Firma lagen schon länger in einer Sammlung, die im Untergrund gehandelt wird. Der Einbruch begann also nicht in dieser Woche, sondern in dem Moment, als irgendwo jemand diese Daten abgriff. Dazwischen liegt die Zeit, in der eine Organisation noch etwas tun kann.
Wie viele Zugangsdaten sind gerade im Umlauf?
Flashpoint zählte für Januar bis Juni 2026 rund 1,7 Milliarden Zugangsdaten, die Infostealer-Schadsoftware eingesammelt hat, verteilt auf 7,4 Millionen infizierte Geräte und damit 27 Prozent mehr als im Halbjahr davor (Infosecurity Magazine, 17. August 2026). Das sind keine erratenen Passwörter, sondern funktionierende Anmeldungen samt Benutzername.
Warum hilft ein Sicherheitsupdate hier nicht?
Bitsight veröffentlichte am 18. Juni 2026 eine Auswertung zu einer Kampagne mit dem Namen FortiBleed: Für über 73'000 im Internet erreichbare FortiGate-Firewalls in 194 Ländern kursieren geprüfte Administrator- und VPN-Zugangsdaten, rund die Hälfte aller öffentlich erreichbaren Geräte dieses Typs. Dahinter steckt keine neue Sicherheitslücke, sondern Material aus früheren Kompromittierungen. Die CISA riet am selben Tag dazu, alle aktiven VPN- und Verwaltungssitzungen zu beenden und sämtliche Passwörter zurückzusetzen. Ein Update allein schliesst diese Tür nicht, denn die Tür ist nicht kaputt, es fehlt der Schlüssel.
Woran würden Sie merken, dass es losgeht?
Zwischen dem Diebstahl der Zugangsdaten und dem sichtbaren Schaden liegen meist Wochen, und in dieser Zeit passiert etwas, das Ihre Leute sehen können: eine Anfrage nach einem Code, eine Bestätigung, die niemand ausgelöst hat, eine Nachricht von einer Adresse, die vertraut wirkt. Ob solche Momente gemeldet werden, ist messbar. Die Korix Phishing Simulation plant und startet sich selbst, wechselt die Vektoren und führt in der mehrstufigen Variante ein Gespräch, statt nur eine Mail zu schicken. Im Security Dashboard sehen Sie danach die Meldequote und den Weg von Gesendet über Geöffnet und Geklickt bis Gemeldet. Warum diese Kennzahl mehr aussagt als die Klickrate, steht in einem früheren Beitrag: Warum die Klickrate das falsche Ziel ist
Was können Sie diese Woche konkret tun?
Die ersten drei Punkte erledigt Ihre IT, der vierte hat in den meisten Organisationen keine Zuständigkeit, weil er keine Technik ist, und genau dort setzt Korix an.
- Passwörter für Fernzugänge und Verwaltungskonten zurücksetzen, auch ohne konkreten Verdacht, und aktive Sitzungen beenden.
- Einen zweiten Faktor für jeden Zugang von aussen erzwingen.
- Verwaltungsoberflächen von Firewalls und Routern aus dem Internet nehmen.
- Den zweiten Schritt üben, nicht nur den ersten: Die Korix Invoice Fraud Simulation stellt die Situation nach, in der eine geänderte Zahlungsanweisung durchgewinkt wird, begrenzt, umkehrbar und ohne bleibende Wirkung. Fragen dazu beantwortet Kora direkt im Ablauf.
Bleibt die offene Frage: Wenn heute jemand mit gültigen Zugangsdaten in Ihrem Netz stünde und morgen eine Ihrer Mitarbeiterinnen um eine Bestätigung bäte, würden Sie davon erfahren? Die meisten Organisationen müssen hier nein sagen, und das ist keine Schwäche, sondern der Normalfall, weil für diesen Fall schlicht kein Verfahren existiert. Korix schliesst diese Lücke: Simulationen, die sich selbst planen, eine Meldequote, die sich über Monate vergleichen lässt, und Kora als Ansprechpartner für die Fragen dazwischen. Buchen Sie ein Gespräch von 15 Minuten: Termin vereinbaren