Blue Report 2026: Signaturbasierte Abwehr verfehlt oft das Angriffsverhalten

Der Bericht unterscheidet zwischen zwei Prüfarten. Bei IOC-basierten Tests geht es darum, ob Sicherheitskontrollen bekannte schädliche Inhalte erkennen. Dafür werden in freier Wildbahn kursierende Malware-Proben als Download-Versuche zugestellt; Firewalls, Web-Proxys und sichere E-Mail-Gateways blockieren diese dann – oder eben nicht. Für diese Perimeter-Ebene sei das laut Picus der passende Maßstab.

Verhaltensbasierte Tests auf Grundlage von TTPs stellen eine andere Frage: Stoppt eine Kontrolle die Handlung selbst, unabhängig vom konkreten Werkzeug? Für Endpunktschutz- und Erkennungssysteme sei das entscheidend, weil Angreifer bei deren Eingreifen meist bereits Code ausführen. Laut Picus sind Artefakte leicht austauschbar, Verhalten dagegen nicht.

Selbst an der Netzwerkgrenze sieht Picus einen Rückschritt. Die IOC-basierte Präventionsrate bei Malware-Downloads fiel in den ausgewerteten Kundenumgebungen auf 50 Prozent, nach 60 Prozent im Vorjahr und 71 Prozent im Jahr 2024. Damit schwächelt aus Sicht des Berichts sogar jene Schicht, die sich besonders gut über Signaturen abdecken lässt.

Wie stark die Ergebnisse je nach Ausführungsweg auseinandergehen, illustriert Picus mit Mimikatz. In automatisierten Penetrationstests liefen in Kundenumgebungen drei Varianten mit identischem Ziel. Das Auslesen von Zugangsdaten aus dem Speicher des LSASS-Prozesses – der klassische und stark signaturgestützte Pfad – wurde in 94 Prozent der Versuche blockiert. Das Auslesen von RDP-Anmeldedaten aus anderen Speicherbereichen derselben Maschine stoppte die Schutztechnik nur in 17 Prozent der Fälle. Das Lesen von LSA Secrets aus der lokalen Registry wurde lediglich in 3 Prozent der Versuche verhindert.

Alle drei Varianten gehören laut Bericht zur Technik OS Credential Dumping (T1003) und führen zum gleichen Ergebnis: Angreifer gelangen an Anmeldedaten. Der Unterschied liege allein darin, wie auffällig der jeweilige Weg ist. Der LSASS-Pfad sei leicht zu instrumentieren, weil ein Prozess auf lsass.exe zugreift und dessen Speicher liest – ein seit Jahren beobachtetes Ereignis. Beim Lesen von LSA Secrets werde lsass dagegen gar nicht berührt; der Zugriff erfolge als SYSTEM auf einen Registry-Hive und ähnele gewöhnlicher privilegierter Aktivität.

Auch die 94 Prozent beim LSASS-Szenario relativiert Picus. Gemessen wurde gegen einen bekannten Build eines Open-Source-Werkzeugs, dessen Erkennbarkeit an seiner Kompilierung hängt, nicht an seinem Verhalten. Werden signaturrelevante Zeichenketten umbenannt oder das Werkzeug neu kompiliert, ändern sich Hashes und typische Merkmale. Wird es reflektiv geladen, landet der Code nicht auf dem Datenträger. Alternativ lasse sich derselbe Speicherabzug laut Bericht mit von Microsoft signierten Werkzeugen wie ProcDump oder comsvcs.dll erzeugen und anschließend offline auswerten.

Über alle simulierten Nach-Kompromittierungs-Aktionen hinweg, also für das, was ein Angreifer als „authentifizierter Benutzer“ im Inneren tatsächlich erreichen kann, wurden laut Picus nur 37 Prozent blockiert. Am Perimeter stoppten die Kontrollen damit etwa zwei von drei Angriffen; nach einem Eindringen sinkt dieser Wert auf kaum mehr als einen von drei.

Auffällige Aktionen wurden deutlich häufiger erkannt: Seitliche Bewegung wurde nach Angaben von Picus in rund 90 Prozent der Fälle entdeckt, UAC-Umgehung in etwa 85 Prozent, Wiederverwendung von Anmeldedaten und Missbrauch von Active Directory in rund 63 Prozent. Danach breche die Leistung jedoch ein. Das passive Auslesen von Zugangsdaten aus Speicher und Registry erreichte nur 22 Prozent, die Extraktion lokaler Registry-Geheimnisse weniger als 1 Prozent. Aufklärung und Sammlung lagen bei 10 Prozent; Domänenaufklärung mit SharpHound und das Einsammeln lokaler Dateien liefen laut Bericht nahezu ungehindert.

Der Blue Report 2026 ist die vierte Jahresstudie von Picus Labs zur Leistungsfähigkeit von Präventions- und Erkennungsmechanismen in Produktionsumgebungen. Darüber hinaus nennt Picus weitere Themen des Berichts, darunter Branchen- und Regionswerte, stark ausgenutzte Schwachstellen, Abwehrleistungen gegenüber Bedrohungsgruppen und Ransomware sowie Schwächen bei Protokollierung und Alarmierung mit einem Log-Wert von 58 Prozent und einer Alarmrate von 14 Prozent.