Cisco Talos Report 2025: Alte Schwachstellen, neue KI-Taktiken und staatliche Akteure prägen Bedrohungslage

Die aktuelle Bedrohungsanalyse von Cisco Talos zeigt eine deutliche Verschärfung der globalen Cyberrisiken. Angreifer agieren schneller, gezielter und nutzen zunehmend auch künstliche Intelligenz zur Optimierung ihrer Methoden. Gleichzeitig bleiben bekannte Schwachstellen und veraltete Systeme ein zentrales Einfallstor. Besonders kritisch ist die wachsende Bedeutung identitätsbasierter Angriffe sowie staatlich unterstützter Cyberaktivitäten. Unternehmen stehen damit vor der Herausforderung, ihre Sicherheitsstrategien grundlegend anzupassen.

Cisco Talos legt mit „2025 Year in Review“ eine weltweite Bedrohungsanalyse des vergangenen Jahres vor. Die Ergebnisse zeichnen ein klares Bild: Cyberkriminelle nehmen verstärkt Altsysteme ins Visier, nutzen bekannte Schwachstellen konsequent aus und entwickeln ihre Angriffsmethoden mithilfe von KI weiter. Hinzu kommen zunehmende Aktivitäten staatlicher Akteure.

„Viele der hartnäckigsten Risiken gehen auf bekannte Herausforderungen zurück, darunter veraltete Infrastrukturen, Lücken bei Identitäts- und Zugriffskontrollen sowie Sicherheitsprozesse, die durch ausgeklügeltes Social Engineering untergraben werden können“, sagt Holger Unterbrink, Technical Leader bei Cisco Talos in Deutschland. Sicherheitsstrategien sollten daher verstärkt auf ganzheitliches Identitäts- und Zugriffsmanagement, robuste Gerätekontrollen, Lieferkettensicherheit sowie sichere Administrator-Workflows ausgerichtet sein.

Angreifer erhöhen das Tempo

Ein Blick auf die meistgenutzten Schwachstellen zeigt: Angreifer reagieren schnell und nutzen neue Sicherheitslücken unmittelbar aus. Die erst im Dezember entdeckte Schwachstelle React2Shell gehörte 2025 bereits zu den am häufigsten ausgenutzten. Gleichzeitig bleiben ältere Schwachstellen weiterhin hochrelevant. So zählt Log4j auch vier Jahre nach seiner Veröffentlichung noch zu den zentralen Angriffspunkten.

Die Ursache liegt in strukturellen Defiziten: Rund 40 Prozent der am häufigsten ausgenutzten Schwachstellen betreffen Systeme mit abgelaufenem Lebenszyklus. Insgesamt waren 32 Prozent der Top-100-Schwachstellen im Jahr 2025 mindestens zehn Jahre alt.

Ransomware trifft besonders die Industrie

Ein klarer Schwerpunkt liegt weiterhin auf Ransomware-Angriffen. Besonders betroffen ist das verarbeitende Gewerbe: Knapp 20 Prozent der analysierten Einträge auf Leak-Seiten von Ransomware-Gruppen beziehen sich auf Unternehmen dieser Branche. Die Kombination aus geringer Ausfalltoleranz, gewachsenen IT- und OT-Strukturen sowie veralteter Infrastruktur macht Produktionsumgebungen besonders anfällig.

Unter den Angreifern dominiert die Gruppe Qilin, die auf doppelte Erpressung setzt – also Datenverschlüsselung und gleichzeitige Androhung der Veröffentlichung sensibler Informationen. Die Gruppe verzeichnete mehr als 40 Opfer pro Monat.

Identitätsbasierte Angriffe nehmen stark zu

Ein weiterer Schwerpunkt sind Angriffe auf Identitäten und Zugriffssysteme. MFA-Spray-Angriffe richten sich gezielt gegen IAM-Anwendungen und privilegierte Konten. Gleichzeitig stieg die Zahl kompromittierter Geräteanmeldungen um 178 Prozent – häufig ausgelöst durch Social Engineering.

Phishing bleibt der wichtigste Einstiegspunkt: In 40 Prozent der untersuchten Fälle stellte es den initialen Angriffsvektor dar. Zudem nimmt internes Phishing nach erfolgreicher Kompromittierung zu. Inhaltlich entwickeln sich die Methoden weiter, etwa durch Köder mit Bezug zu Reisen oder IT-Themen. Auch der Missbrauch von Microsoft 365 Direct Send zur Fälschung interner E-Mails ohne kompromittierte Accounts gewinnt an Bedeutung.

Staatliche Akteure verstärken den Druck

Staatlich unterstützte Cyberangriffe prägen weiterhin die Bedrohungslage. Chinesische Akteure kombinieren Zero-Day-Exploits mit bekannten Schwachstellen für Spionage und finanzielle Ziele. Die Zahl entsprechender Ermittlungen stieg um 74 Prozent.

Russische Gruppen konzentrieren sich verstärkt auf ungepatchte Altsysteme, insbesondere bei Netzwerkgeräten. Nordkoreanische Akteure setzen vor allem auf Kryptowährungsdiebstahl und ausgefeilte Social-Engineering-Methoden.

KI verändert die Angriffslandschaft

Zunehmend relevant ist der Einsatz von KI in Cyberangriffen. Angreifer nutzen sie zur Automatisierung und Optimierung, etwa bei Phishing-Kampagnen oder Malware-Entwicklung. Mit sogenannten „Agentic AI“-Ansätzen entstehen zudem autonome Systeme, die eigenständig Aufgaben wie Datensammlung, Exfiltration oder laterale Bewegungen im Netzwerk durchführen können.

Das Open-Source-Projekt „OpenClaw“ ist aufgrund seiner Verbreitung ein attraktives Ziel für Cyberkriminelle. Das Cisco-Framework DefenseClaw soll hier gegensteuern und sichere KI-Agenten ermöglichen. Mithilfe von Tools wie Skills Scanner, MCP-Scanner, AI BoM und CodeGuard werden Funktionen geprüft, in Sandboxen getestet sowie Ressourcen inventarisiert und abgesichert.

Sicherheitsstrategien müssen neu gedacht werden

Die veränderte Bedrohungslage erfordert ein Umdenken in Unternehmen. Im Fokus stehen Identitätssicherheit, konsequentes Patch-Management und eine stärkere Netzwerksegmentierung. Ergänzend gewinnen Schulungen zur Abwehr von Social Engineering weiter an Bedeutung.

Zudem sollten Organisationen frühzeitig die sicherheitsrelevanten Auswirkungen neuer KI-Technologien berücksichtigen und entsprechende Schutzmaßnahmen implementieren.

Den vollständigen Cisco Talos Year in Review Report 2025 finden Sie hier:
https://blog.talosintelligence.com/2025-year-in-review/