Prognosen zur Cybersicherheit 2026: Eine Frage und Antwort mit dem Leiter von SOC, Biren Patel
Während sich Sicherheitsteams auf das Jahr 2026 vorbereiten, verändert sich die Bedrohungslandschaft schneller, als viele Technologien - und Unternehmen - mit ihr Schritt halten können. Angreifer entwickeln sich weg von traditionellen “Einbruch über das Netzwerk”-Modellen hin zu Identitätsmissbrauch, Cloud-Pivots und mehrstufigen Angriffen, die die Grenzen zwischen Umgebungen verwischen.
Um besser zu verstehen, wohin sich die Cybersicherheit entwickelt, haben wir uns mit Biren Patel, Senior Manager für Nord- und Südamerika SOC bei Ontinue, um seine Sicht der Dinge zu den wichtigsten Trends zu erfahren, die im kommenden Jahr die Bedrohungen und die Verteidigung beeinflussen werden.
Q: Biren, was ist die größte Veränderung, die Sie für das Jahr 2026 erwarten?
Biren: Die Identität wird das Netz als primäre Sicherheitsgrenze vollständig ersetzen.
Angreifer haben nicht mehr die Nase vorn bei der Netzwerkausnutzung. Ihr erstes Ziel ist es, Cloud-Identitäten, insbesondere Azure-Identitäten, zu kompromittieren und gültige Anmeldedaten zu verwenden, um sich unbemerkt in Umgebungen zu bewegen. Die Angreifer konzentrieren sich zunehmend auf den Diebstahl von Speicherschlüsseln, SAS-Tokens, Key Vault-Anmeldeinformationen und den Missbrauch von SSO-Pfaden, um sich seitlich zu bewegen.
Unternehmen, die den Identitätsschutz nicht verstärken oder keine strengen Richtlinien für den bedingten Zugriff implementieren, werden einen starken Anstieg der kontenbasierten Sicherheitsverletzungen erleben. Identität ist nicht mehr nur “wichtig”, sie ist die Grenze.
Q: Wie wirkt sich das auf hybride Umgebungen aus, die immer noch stark auf On-Premise-Systeme angewiesen sind?
Biren: Hier findet ein bedeutender Wandel statt. Im Jahr 2026 wird die Kompromittierung der Cloud oft der Ausgangspunkt für ein Eindringen in das System vor Ort sein, nicht das Endziel.
Angreifer kompromittieren eine Cloud-Identität, lokalisieren eine VPN-App in MyApps und dringen direkt in das interne Netzwerk ein - manchmal ohne einen herkömmlichen SOC-Alarm auszulösen. Einmal drinnen, suchen sie nach schwach geschützten Altsystemen oder IoT- und OT-Umgebungen, die nicht für die heutige Bedrohungslandschaft konzipiert wurden.
Die Umstellung von Cloud auf On-Premise ist nicht mehr nur theoretisch, sondern wird zu einem sehr realen und immer häufigeren Angriffsweg.
Q: Welche Umgebungen werden im nächsten Jahr am meisten gefährdet sein?
Biren: IoT- und OT-Umgebungen werden der am schnellsten wachsende Angriffsvektor sein.
Die Fertigungsindustrie ist seit langem ein Ziel, da die Geräte oft veraltet, schwer zu patchen und teuer zu ersetzen sind, aber dieses Problem geht weit über die Fertigungsindustrie hinaus. Jede Branche, die industrielle Steuerungen, vernetzte Sensoren oder spezielle Legacy-Infrastrukturen verwendet, ist gefährdet.
Diese Systeme sind häufig falsch konfiguriert, manchmal öffentlich zugänglich und fast immer schwieriger zu überwachen als herkömmliche Endpunkte. Angreifer wissen das und nutzen zunehmend IoT- und OT-Geräte als einfachsten Weg zu Persistenz und lateralen Bewegungen.
Q: Ransomware ist nach wie vor ein großes Problem. Wie entwickelt sich das?
Biren: Die Fristen für Ransomware verkürzen sich dramatisch.
Viele Ransomware-Familien können Systeme bereits in etwa 15 Minuten verschlüsseln. Im Jahr 2026 wird dieses Zeitfenster weiter schrumpfen, da die Angreifer die Nutzdaten optimieren und die Bereitstellung automatisieren. Dies setzt die Reaktionsteams unter enormen Druck.
Manuelle Untersuchungen können einfach nicht mehr mithalten. Unternehmen benötigen automatisierte Anreicherung, agentenbasierte KI-Unterstützung und schnelle Validierungsworkflows, um Ransomware zu unterbrechen, bevor es zu einer weit verbreiteten Verschlüsselung kommt. Geschwindigkeit ist jetzt genauso wichtig wie die Erkennungsgenauigkeit.
Q: Wie verändert das die Arbeitsweise der SOC-Teams?
Biren: Wir bewegen uns von abfrage- zu entscheidungsgesteuerten SOC-Vorgängen.
Bei herkömmlichen Untersuchungen müssen Analysten oft mehrere Abfragen in Sentinel ausführen, Daten manuell korrelieren und eine Geschichte zusammenstellen, bevor sie eine Entscheidung treffen können. Dieser Arbeitsablauf ist für die heutige Bedrohungsgeschwindigkeit zu langsam.
Im Jahr 2026 werden KI-Agenten in zunehmendem Maße Warnungen vorab zusammenfassen, Validierungsprüfungen durchführen, Beweise sammeln und wahrscheinliche Hypothesen aufstellen. Analysten werden weniger Zeit mit dem Durchsuchen von Protokollen und mehr Zeit mit der Beurteilung von Bedrohungen und der Einleitung von Maßnahmen verbringen. Das menschliche Fachwissen verschwindet nicht, sondern wird zielgerichteter und wirkungsvoller.
Q: Wie sieht es mit dem alltäglichen Nutzerverhalten und den Richtlinien aus, gibt es hier Bedenken?
Biren: BYOD- und Hybrid-Cloud-Richtlinien werden die nicht verwaltete Angriffsfläche weiter vergrößern.
Persönliche Geräte, die sich mit Cloud-Anwendungen des Unternehmens verbinden, sind viel schwieriger zu sichern, zu patchen und konsequent zu überwachen. Angreifer sondieren bereits diesen Einstiegspunkt, um den Diebstahl von Anmeldeinformationen und das Hijacking von Sitzungen zu erleichtern.
Im nächsten Jahr werden wir mehr Sicherheitsverletzungen sehen, die mit nicht verwalteten Geräten in Verbindung mit zu freizügigen Zugriffsrichtlinien beginnen. Unternehmen müssen überdenken, wie sie die Geräte-Compliance und die Zugangskontrolle durchsetzen, wenn sie flexible Arbeitsmodelle auf sichere Weise ermöglichen wollen.
Q: Angriffe auf die Lieferkette scheinen sich hartnäckig zu halten. Nimmt diese Bedrohung überhaupt ab?
Biren: Nicht einmal annähernd - es wird immer schlimmer.
Jüngste Vorfälle mit vergifteten NPM-Paketen haben gezeigt, wie sich eine einzige gefährdete Abhängigkeit auf Tausende von Unternehmen gleichzeitig auswirken kann.
Im Jahr 2026 werden wir vermehrt Angriffe auf DevOps-Pipelines, Paketverwalter und Software-Abhängigkeiten erleben. Die Erkennung ist besonders schwierig, da Indikatoren oft erst dann auftauchen, wenn sich bösartige Pakete zur Laufzeit abnormal verhalten. Das bedeutet, dass eine stärkere Verhaltensüberwachung - nicht nur statisches Scannen - unerlässlich sein wird.
Q: Wenn Sie den Unternehmen eine wichtige Erkenntnis für das Jahr 2026 mit auf den Weg geben müssten, wie würde diese lauten?
Biren: Sicherheitsteams müssen aufhören, in Silos zu denken.
Identitäts-, Cloud-, On-Premise-, IoT-, Ransomware- und Lieferketten-Risiken verschmelzen zu einer einzigen, kontinuierlichen Angriffskette. Verteidiger brauchen Sichtbarkeit und Reaktionsabläufe, die diese Grenzen überspannen, und keine Punktlösungen, die nur eine Ecke der Umgebung schützen.
Erfolgreich werden die Unternehmen sein, die eine starke Identitätshygiene, automatisierte Untersuchungen, agentenbasierte KI-Unterstützung und erfahrene SOC-Analysten zu einer koordinierten Verteidigung kombinieren.
Die Herausforderungen, die sich für die Cybersicherheit im Jahr 2026 ergeben, sind nicht theoretisch, sondern haben ihre Wurzeln in den Angriffen, auf die Sicherheitsteams bereits heute reagieren. Identitätsmissbrauch, Cloud-Pivotisierung, IoT-Ausbeutung, schrumpfende Ransomware-Zeiträume und sich entwickelnde SOC-Workflows kommen alle gleichzeitig zusammen.
Die Erkenntnisse von Biren machen deutlich, dass die Zukunft des Sicherheitsbetriebs Teams gehört, die schnell handeln, ganzheitlich denken und Automatisierung und KI nutzen können, ohne dabei das menschliche Urteilsvermögen zu verlieren, das für wichtige Entscheidungen erforderlich ist.