Blue Report 2026: Warum die Unternehmensabwehr im Inneren versagt

Der neue Blue Report 2026 von Picus Security liefert eine ernüchternde Momentaufnahme der Unternehmensabwehr. Die Grundlage sind über 338 Millionen simulierte Angriffe, die im ersten Halbjahr 2026 in echten Produktivumgebungen ausgeführt wurden. Das zentrale Ergebnis: Firmen stoppen laute Angriffe am Rand recht gut, versagen aber gegen die leisen Schritte im Inneren des Netzes. (Hinweis: Es handelt sich um eine Anbieterstudie – die Zahlen sind interessant, aber im Eigeninteresse von Picus erhoben.)

Blue Report 2026: Die wichtigsten Zahlen

Am Perimeter sieht es solide aus. Die durchschnittliche Präventionsrate stieg von 62 auf 69 Prozent. So oft blockierten die Schutzsysteme also die getesteten Angreiferaktionen. Das Problem beginnt hinter dieser Linie.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Erstmals maß Picus mit autonomen Penetrationstests, was nach dem Durchbruch passiert. Dort wurden nur noch 37 Prozent der Aktionen gestoppt. Im Klartext: Ist ein Angreifer erst einmal drin, geht zwei von drei Aktionen durch.

• Aufklärung im Netz (Domain kartieren, Freigaben und Sessions auslesen): nur rund 10 Prozent geblockt.
• Zugangsdaten aus dem Speicher lesen: nur etwa 22 Prozent erkannt.
• Laterale Bewegung und Rechteausweitung dagegen: 85 bis 90 Prozent geblockt.

Die Abwehr fängt also das Laute und übersieht das Leise. Genau in dieser Lücke sammeln Angreifer in Ruhe Zugangsdaten, bevor der auffällige Schritt einen Alarm auslösen würde.

Ein Werkzeug, zwei Welten

Besonders deutlich wird das am Klassiker Mimikatz. Dieselbe Software, dasselbe Ziel, aber völlig unterschiedliche Ergebnisse je nach Methode: Das Auslesen von Zugangsdaten aus dem LSASS-Prozess wurde zu 94 Prozent blockiert. Aus anderen Speicherbereichen nur zu 17 Prozent – und aus der lokalen Registry zu mickrigen 3 Prozent. Der Grund: Signaturen erkennen die bekannte Variante, nicht das dahinterliegende Verhalten.

Dazu passt, dass die signaturbasierte Prävention gegen Malware-Downloads auf 50 Prozent fiel – nach 60 Prozent 2025 und 71 Prozent 2024. Und bei der Erkennung hakt es doppelt: Zwar wurden 58 Prozent der Angriffe geloggt, aber nur 14 Prozent lösten einen Alarm aus. Weniger als jeder siebte Angriff erreicht also einen Menschen.

Was das für dich bedeutet

Aus CISO-Perspektive bestätigt der Report eine unbequeme Wahrheit: Ein hoher Präventionswert am Perimeter wiegt in falscher Sicherheit. Die eigentliche Frage ist nicht, wie viel du am Rand blockst, sondern was ein Angreifer erreicht, der bereits drin ist. Wer nur nach CVSS-Score patcht, übersieht zudem, dass sich dieselben Angriffstechniken quer über viele Lücken hinweg wiederholen – die Technik zählt, nicht die Katalognummer.

Für kleine Betriebe ohne eigenes SOC ist die Botschaft besonders hart. Reine Signatur-Erkennung und ein grüner Haken beim Virenschutz reichen nicht. Es geht darum, verdächtiges Verhalten zu sehen – und aus Logs tatsächlich Alarme zu machen.

Konkrete Empfehlung

• Annahme drehen: Gehe davon aus, dass jemand schon drin ist. Teste, wie weit er käme – nicht nur, ob die Firewall hält.
• Verhalten statt Signatur: Prüfe, ob deine EDR/XDR-Lösung Credential-Zugriffe über die Registry und aus dem Speicher erkennt, nicht nur den lauten LSASS-Weg.
• Log-zu-Alarm-Lücke schließen: Sammeln allein bringt nichts. Definiere Erkennungsregeln für Aufklärung und Credential-Diebstahl und teste sie regelmäßig.
• Backups als letzte Linie: Da Ransomware-Familien im Test zu unter 38 Prozent geblockt wurden, ist ein sauberes, getrenntes Backup Pflicht. Wie du Daten offline und verschlüsselt sicherst, zeige ich im Ratgeber zu verschlüsselten USB-Sticks und externen SSDs.

Dass sich die Bewertung von Schwachstellen ohnehin verschiebt, hat sich schon beim Thema KI-gestützte Schwachstellensuche gezeigt.

Quellen

• Help Net Security: 338 million attack simulations reveal the state of enterprise defense
• Picus Security: Blue Report 2026 (Picus Labs)