Picus-Studie: Unternehmensabwehr stoppt laute Angriffe, versagt aber oft nach einer Kompromittierung

Nach den Daten von Picus Labs blockiert der Perimeter inzwischen etwa zwei von drei Angriffen. Innerhalb des Netzwerks wird dagegen nur knapp jeder dritte Versuch gestoppt. Der Bericht beschreibt dabei kein gleichmäßiges Versagen, sondern eine klare Trennlinie: Auffällige Aktionen werden häufig erkannt oder verhindert, unauffällige dagegen kaum.

So wurden bösartige Aktivitäten zur Codeausführung oder zur Bewegung zwischen Systemen meist gestoppt. Laterale Bewegung über Dienstausführung mit Techniken wie Sharp-ServiceExec und SMBExec wurde laut Bericht in rund 90 Prozent der Fälle verhindert. Eine Privilegienausweitung per UAC-Bypass lag mit etwa 85 Prozent kaum darunter. Picus Labs wertet das als Hinweis darauf, dass EDR-Werkzeuge und Investitionen nach dem Prinzip „von einer Kompromittierung ausgehen“ in diesen Bereichen Wirkung zeigen.

Ganz anders sieht es bei stillen Vorbereitungsarbeiten aus. Reconnaissance, also das Kartieren der Domäne sowie das Auflisten von Freigaben und Sitzungen, war mit nur 10 Prozent die am seltensten verhinderte Kategorie im gesamten Datensatz. Das unauffällige Auslesen von Zugangsdaten aus dem Arbeitsspeicher wurde nur in etwa 22 Prozent der Fälle erkannt oder gestoppt. Eine Variante, bei der Geheimnisse direkt aus der Registry geholt werden, wurde laut Picus Labs in weniger als 1 Prozent der Versuche unterbunden.

Wie stark die Erkennung vom Weg statt vom eigentlichen Ziel abhängt, illustriert der Bericht am Werkzeug Mimikatz. Picus Labs ließ dasselbe Werkzeug mit demselben Ziel auf drei Arten laufen. Das klassische Auslesen von Zugangsdaten aus dem Speicher des LSASS-Prozesses wurde fast immer blockiert. Wurden die Daten dagegen aus anderen Speicherbereichen oder aus der Registry gelesen, griffen die Kontrollen fast nie. Der Unterschied lag laut Bericht allein darin, wie auffällig die Methode war: Das Öffnen eines Handles auf lsass.exe und das Lesen seines Speichers ist seit Jahren ein gut instrumentiertes Ereignis, Registry-Zugriffe erscheinen dagegen wie gewöhnliche privilegierte Aktivität.

Der Bericht warnt deshalb vor einem zu großen Vertrauen in signaturbasierte Prävention. Eine hohe Quote bei einem bekannten Open-Source-Werkzeug sage vor allem aus, wie gut bekannte Muster erkannt werden, nicht ob das zugrunde liegende Verhalten tatsächlich gestoppt wird. Diese Lücke beschränkt sich laut Picus Labs nicht auf ein einzelnes Tool. Schon der Red Report 2026 habe gezeigt, dass Angreifer gezielt auf mehr Tarnung setzen; der Blue Report 2026 zeige nun, dass diese Strategie funktioniere. Die am seltensten verhinderte Technik im gesamten Datensatz war demnach das Verbergen der Befehlshistorie, das nur in 1 Prozent der Fälle gestoppt wurde.

Auch die Malware-Abwehr verliert laut Bericht an Boden. Die IOC-Based Prevention Rate, also die Blockade bekannter schädlicher Dateien beim Herunterladen, fiel auf 50 Prozent. Im Vorjahr lag sie noch bei 60 Prozent, 2024 bei 71 Prozent. Picus Labs verweist darauf, dass VirusTotal täglich fast zwei Millionen neue Dateien erhalte und ein neu verpackter Schadcode einen Indikator schnell veralten lasse, während das Verhalten dahinter gleich bleibe.

Bei der Erkennung zeigt sich ein ähnliches Muster. Zwar stieg die Protokollierung auf 58 Prozent und damit auf den höchsten Stand seit vier Jahren, doch der Alert-Wert verharrte bei 14 Prozent. Weniger als jede siebte simulierte Attacke erzeugte also einen Alarm. Nach Einschätzung von Picus Labs ist die Lücke zwischen aufgezeichneten und tatsächlich alarmierten Ereignissen damit inzwischen vor allem ein Problem der Detection Engineering, nicht der Datensammlung.

Der Bericht nennt zudem deutliche Unterschiede zwischen Branchen und Bedrohungsakteuren. Der Bildungssektor fiel innerhalb eines Jahres um 30 Punkte zurück und war damit der am schlechtesten geschützte Bereich. Zugleich verzeichnete ausgerechnet der Sektor, der ein Jahr zuvor noch am schwächsten war, den größten Zugewinn im Datensatz. Gegen neun der zehn am schwersten zu stoppenden Bedrohungsgruppen sank die Verhinderungsquote trotz gestiegenem Gesamtdurchschnitt. Zudem wurde jede der führenden Ransomware-Familien in weniger als 38 Prozent der Fälle blockiert; bei Play brach der Wert von 50 auf 13 Prozent ein.

Als Erklärung für den insgesamt gestiegenen Präventionswert nennt Picus Labs wiederholte Tests und anschließende Korrekturen bei abgedrifteten Kontrollen. Wo Sektoren zurückfielen, sei das mit ausbleibender Validierung verbunden. Der Blue Report 2026 versteht kontinuierliche Überprüfung damit als Unterscheidungsmerkmal zwischen den Bereichen, die ihre Abwehr verbessert haben, und jenen, die an Wirksamkeit verloren.