Wie stark KI die Trefferquote von Angriffen erhöht, zeigt eine Beobachtung von Microsoft: Im April berichtete das Unternehmen, dass KI-gestützte Phishing-Kampagnen Klickraten von bis zu 54 Prozent erreichten – gegenüber rund 12 Prozent bei herkömmlichen Kampagnen.
Diese Verschiebung ist deshalb bedeutsam, weil Diebstahl von Zugangsdaten zu einem guten Teil ein Zahlenspiel ist. Nicht jeder Empfänger klickt, und selbst übernommene Konten liefern nicht zwangsläufig nützlichen Zugang. Mit KI lassen sich zielgerichtete Nachrichten schneller erzeugen, für unterschiedliche Sprachen oder Branchen anpassen und in Varianten ausspielen, ohne jede Version neu zu schreiben. Wer die Erfolgsquote am Anfang der Kette erhöht, hat am Ende mehr Zugangsdaten zum Durchprobieren – und mehr Chancen, die wirklich relevanten Konten zu finden.
Die Relevanz gestohlener Anmeldedaten belegen aktuelle Zahlen: Laut dem Data Breach Investigations Report von Verizon sind gestohlene Zugangsdaten an 44,7 Prozent aller Sicherheitsvorfälle beteiligt. Im 2026 Global Incident Response Report von Unit 42 spielten Identitätsschwächen in 89 Prozent der untersuchten Fälle eine maßgebliche Rolle – Angreifer nutzten dort entwendete Zugangsdaten und Tokens, um sich Zugang zu verschaffen und sich durch Umgebungen zu bewegen.
Der Missbrauch gültiger Identitäten verändert, wie bösartige Aktivität für Verteidiger überhaupt aussieht. Es gibt keinen Exploit-Versuch und keinen offensichtlich schädlichen Anmeldemechanismus, den man erkennen könnte. Ein Angreifer greift auf Cloud-Dienste, SaaS-Anwendungen und andere Ressourcen über genau die Authentifizierungswege zu, die Mitarbeiter täglich nutzen. Die Zugangsdaten sind gültig – die Absicht dahinter nicht.
Genau hier beginnt der Unterschied zwischen Authentifizierung und Vertrauen zu zählen. Ein korrektes Passwort, eine bestätigte MFA-Anfrage oder eine gültige Sitzung belegen, dass eine Authentifizierungsanforderung erfüllt wurde. Sie belegen für sich genommen nicht, dass die Anfrage von einem Gerät stammt, das die Organisation kennt und dem sie vertraut. Eine belastbare Identitätsstrategie darf deshalb nicht bei der Frage stehenbleiben, ob sich ein Nutzer erfolgreich authentifiziert hat – sie muss auch fragen, welches Gerät Zugang verlangt und ob man diesem Gerät trauen sollte.
Passwort-Hygiene senkt die Angriffsfläche, aber keine Organisation kann davon ausgehen, dass Zugangsdaten nie kompromittiert werden. Angesichts der Verbreitung von Schadsoftware zum Sammeln von Anmeldedaten landet gültiges Authentifizierungsmaterial trotz präventiver Kontrollen bei Angreifern. Die entscheidende Anschlussfrage lautet daher, was ein solches Zugangsdatum überhaupt ausrichten kann.
Wird die Authentifizierung auf Geräte beschränkt, die bereits freigegeben und an eine Nutzeridentität gebunden sind, genügt ein gültiges Passwort allein nicht mehr. Diesen Ansatz verfolgt Specops Device Trust: Die Lösung bindet Nutzeridentitäten an vertrauenswürdige Geräte, sodass der Zugriff sowohl davon abhängt, wer sich anmeldet, als auch davon, von welchem Gerät aus. Ein gestohlenes Zugangsdatum, das von einer angreiferkontrollierten Maschine verwendet wird, wird schlicht blockiert. Das Produkt deckt Windows, macOS, Linux und mobile Geräte ab – relevant vor allem in gemischten Umgebungen mit BYOD-Richtlinien über verschiedene Betriebssysteme und Endpunkttypen hinweg.
Für die vorgelagerte Bestandsaufnahme bietet Specops den Password Auditor an, der Active Directory schreibgeschützt scannt, passwortbezogene Schwachstellen identifiziert und Probleme bei Nutzern und Passwortrichtlinien aufzeigt. Das Prinzip dahinter bleibt einfach: Identität authentifizieren, Gerät verifizieren – und beides verlangen.