AI-SOC-Report 2026: Warum SOCs ihre größte Cybergefahr ignorieren

Die Datengrundlage des Reports ist eines der größten Threat Intelligence -Datasets, das je veröffentlicht wurde. Diese acht Werte erzählen die Geschichte eines völlig überforderten Verteidigungsapparats.

In klassischen SOCs werden zwei von drei Alarmen sofort als „Low Severity" wegklassifiziert – und nie wieder angesehen. Dabei zeigen die Daten von Intezer, dass etwa 1 % dieser ignorierten Alarme reale Angriffe sind. Das ist die teuerste Ignoranz der Cyberabwehr.

In Heinsberg und Umgebung sehen wir bei Wasacon das Muster täglich: Die Tickets, die niemand öffnet, sind oft die wichtigen.

84 % aller Alarme stammen aus SIEM-Systemen, nur 14 % aus dem EDR und 2 % aus E-Mail-Sicherheit. Inhaltlich liegen Endpoint-Themen (37 %) und Network-Themen (34 %) vorn.

Drei Pfade durch die 9,25 Mio. Endpoint-Alerts zeigen ein erschreckendes Bild. Der dramatischste Fund: In 51 % aller Live-Forensikfälle meldete der Agent „bereinigt" – obwohl die Infektion nachweislich aktiv war. Das ist kein Edge-Case, sondern ein systemisches Problem moderner EDR-Suiten.

Empfehlung: Speicher-Forensik ergänzen, Live-Telemetrie statt blinder Status-Quittungen, Erfolgsmeldungen verifizieren.

Speicher-Forensik ist die letzte ehrliche Prüfschicht. Was dort gefunden wird, ist aktiv. Mimikatz bleibt mit 12,4 % der Top-Treffer das Schweizer Taschenmesser für LDAP- und Active-Directory-Übergriffe.Cobalt Strike und der Donut-Injector zeigen: viele Angriffe laufen fileless – also außerhalb der klassischen Antivirus-Reichweite.

Agent Tesla, Snake Keylogger und Formbook stellen zusammen 78 % aller Stealer-Funde. Sie klauen Browser-Passwörter, Cookies, FTP-, SMTP- und Wallet-Zugangsdaten – das Rohmaterial für jede spätere Ransomware-Operation.

Der Ransomware-Markt hat sich nach den LockBit-Takedowns neu sortiert. Akira und INC Ransomware liegen vor LockBit, der trotz Strafverfolgung weiter aktiv bleibt. Babuk-Forks, Lynx und STOP zeigen: Codebasis-Recycling ist Standard.

Mirai dominiert mit Abstand die Linux-/IoT-Telemetrie. Daneben: Cryptominer wie XMRig und CoinStomp, sowie Linux-Varianten von Akira, INC und Babuk – ein klares Signal, dass Server-Infrastrukturen mindestens so umkämpft sind wie Office-Endpoints.

Fast 80 % aller beobachteten Loader nutzen NSIS oder WinRAR.SFX – Tools, die in Unternehmensnetzen als legitim gelten. Multi-Stage-Loader wie PNGPlug tarnen ValleyRAT als PNG-Bild und entpacken die echte Payload erst im Speicher – ein Lehrstück für die Grenzen signaturbasierter Erkennung.

Phishing bleibt der wichtigste Initialvektor. Die analysierten 550.000 Mails zeigen: nur 6 % nutzen Anhänge – die Mehrheit setzt auf Sprache, Markenimitation und Cloud-Hosting (Vercel, CodePen, Cloudflare-Turnstile-Missbrauch).

Der Report belegt erneut, was Pentester seit Jahren predigen: LDAP-Bind-Passwörter im Klartext, FTP-Logins in Skripten, offene S3-Buckets und EC2-Instanzen ohne IMDSv2. Wer hier nicht aufräumt, baut Angriffspfade selbst.

• Klartext-Credentials in LDAP-Bind-Strings und FTP-Konfigs
• S3-Buckets mit „public-read" und sensitiven Logs
• EC2-Instanzen ohne MFA für Konsole, ohne IMDSv2
• Service-Konten mit dauerhaft gültigen Tokens – kein Rotations-Konzept

AI-SOC- und MDR-Services für Unternehmen in Erkelenz (41812), Wegberg (41844), Wassenberg, Hückelhoven, Aachen, Mönchengladbach (41061), Geilenkirchen (52511), Jülich, Düren und Krefeld – plus Heinsberg (52525) und das gesamte Rheinland.