Identitätsbasierte Schwachstellen spielen weiterhin eine zentrale Rolle. In nahezu 90 % der untersuchten Vorfälle waren kompromittierte Zugangsdaten, Tokens oder fehlerhafte Identitätskonfigurationen beteiligt. Angreifer nutzen legitime Anmeldeinformationen, um sich lateral zu bewegen und Privilegien auszuweiten, ohne klassische Sicherheitsmechanismen auszulösen.

Zudem steigt das Risiko in der Software-Lieferkette. In 23 % der Fälle erfolgte der Angriff über SaaS-Drittanbieter. Seit 2022 hat sich die Zahl solcher Vorfälle um den Faktor 3,8 erhöht. Durch missbrauchte vertrauenswürdige Integrationen und Abhängigkeiten umgehen Angreifer herkömmliche Perimeter-Sicherheitskonzepte.

Die Komplexität der Angriffe nimmt weiter zu. 87 % der untersuchten Vorfälle erstreckten sich über mehrere Angriffsflächen, in komplexen Fällen über bis zu zehn unterschiedliche Umgebungen. Endpunkte, Netzwerke, Cloud-Infrastrukturen, SaaS-Anwendungen und Identitätssysteme sind häufig gleichzeitig betroffen.

Der Browser entwickelt sich dabei zu einem zentralen Angriffspunkt: Fast 48 % der Vorfälle beinhalteten browserbasierte Aktivitäten. Alltägliche Arbeitsprozesse wie E-Mail-Nutzung, Webzugriffe und SaaS-Anwendungen werden dabei zum Einfallstor.

Bei Erpressungsangriffen ist ein Wandel erkennbar. Der Anteil verschlüsselungsbasierter Attacken sank von 92 auf 78 %. Zunehmend verzichten Täter auf Verschlüsselung und setzen stattdessen unmittelbar auf Datendiebstahl und Betriebsstörungen.

Als wiederkehrende Ursachen identifiziert der Bericht Fehlkonfigurationen, unzureichende Transparenz und übermäßige Vertrauensbeziehungen in komplexen IT-Umgebungen. In über 90 % der analysierten Fälle begünstigten Konfigurationsfehler oder Lücken in der Sicherheitsabdeckung den Angriff. Viele Organisationen betreiben 50 oder mehr Sicherheitslösungen, was konsistente Implementierung und Auswertung erschwert.

Zusätzlich stellt Palo Alto Networks mit MSIAM (Managed XSIAM 2.0) eine verwaltete Variante seiner SOC-Plattform Cortex XSIAM vor. Das Angebot umfasst ein rund um die Uhr betriebenes Security Operations Center mit kontinuierlicher Angriffserkennung und -bearbeitung, proaktiver Bedrohungssuche, automatisierter Reaktion sowie Unterstützung verschiedener EDR-Systeme.