Cybersicherheit erreicht im März 2026 kritischen Wendepunkt

Cyber-Schäden könnten 14 Billionen Dollar erreichen, während Angriffe auf Signal und Android massive Schwachstellen offenbaren. Neue EU-Regeln und passwortlose Systeme werden Pflicht.

Die Schäden durch Cyberkriminalität könnten in diesem Jahr eine Rekordsumme von 14 Billionen US-Dollar erreichen. Gleichzeitig verdeutlichen hochprofessionelle Angriffe auf Messenger-Dienste und Cloud-Infrastrukturen die massive Verwundbarkeit von Verbraucher und Unternehmen. Staatliche Phishing-Kampagnen und das technologische Scheitern klassischer Passwörter zwingen zum radikalen Umdenken.

Das Ende der Passwort-Ära

Für Sicherheitsexperten markiert diese Woche das Ende einer Ära. Traditionelle Passwörter und einfache Zwei-Faktor-Authentifizierung (2FA) haben ihren Schutzcharakter weitgehend verloren. Auslöser ist die Rückkehr der Phishing-Plattform „Tycoon 2FA“, die selbst gesicherte Konten in großem Stil kompromittiert. Parallel dazu unterstreicht ein massiver Datendiebstahl beim Streaming-Dienst Crunchyroll die Anfälligkeit von Verbraucherplattformen.

Anzeige

Angesichts der rasant steigenden Schäden durch Cyberkriminalität und professionelle Phishing-Kampagnen ist ein Basis-Schutz für Mobilgeräte unerlässlich. Dieser kostenlose Ratgeber zeigt Ihnen in einfachen Schritten, wie Sie Ihre Daten bei WhatsApp, PayPal und beim Online-Banking effektiv absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Besonders besorgniserregend: Eine aktuelle Recherche verbindet eine Phishing-Welle gegen den Messenger Signal mit russischen Staatsakteuren. Das Programm „Defisher“ zielt gezielt auf Konten von Politikern, Beamten und Journalisten. Unter den Betroffenen ist ein ehemaliger Vizepräsident des Bundesnachrichtendienstes. Die Angreifer geben sich als offizieller Support aus und locken Nutzer zur Preisgabe ihrer PIN-Codes. Experten der Gruppe „UNC5792“ stehen hinter diesen Aktivitäten, die bereits in mehreren europäischen Ländern und den USA beobachtet wurden.

Smartphones im Patch-Stress

Im mobilen Bereich löst der März eine der umfangreichsten Update-Wellen der letzten Jahre aus. Googles Sicherheits-Patches adressieren 129 Schwachstellen in Android. Kritisch ist die Lücke CVE-2026-21385 in Qualcomm-Chipsätzen – sie wird bereits aktiv für gezielte Angriffe genutzt und ermöglicht die Ausführung von Schadcode mit Systemrechten.

Hersteller wie Samsung rollen seit dem 23. März dedizierte Updates für Modelle wie die Galaxy-S26-Serie oder das Z Flip7 aus. Die Verteilung erfolgt schrittweise; europäische Nutzer erhalten den Patch in diesen Tagen. Sicherheitsanalysten betonen ein Problem: Das Mobile Device Management (MDM) in Unternehmen hält oft nicht mit der Geschwindigkeit dieser Hardware-Schwachstellen Schritt. Das Management von Firmware-Lücken bleibt eine zentrale Herausforderung.

Neue Allianzen und schärfere Regeln

Gegen die Cloud-Bedrohungen schließen sich die Sicherheitsanbieter Arctic Wolf und Wiz zusammen. Wiz, Teil der Google Cloud, integriert seine Cloud-Sichtbarkeit in die Analyse-Plattformen von Arctic Wolf. Ziel ist ein schnellerer Service zur Bedrohungserkennung und -abwehr (Cloud Detection and Response). Die Kooperation soll die Verweildauer von Angreifern drastisch reduzieren, bevor Schaden entsteht.

Flankiert wird das durch steigenden regulatorischen Druck der EU. Das BSI hat die Kommentierungsphase für neue technische Richtlinien eingeleitet, die Konformität mit dem Cyber Resilience Act (CRA) sichern sollen. Unternehmen müssen sich einstellen: Ab September 2026 treten erste verbindliche Meldepflichten für aktiv ausgenutzte Schwachstellen in Kraft. Die BSI-Präsidentin Claudia Plattner warnt, dass Risikoanalyse und proaktive Meldung zur Pflichtaufgabe werden – sonst droht der Verlust des EU-Marktzugangs.

Kritische Infrastruktur unter Beschuss

Nicht nur die Privatwirtschaft steht im Fokus. Eine BSI-Untersuchung bemängelt die IT-Sicherheit von Software im Gesundheitswesen, etwa in Arztpraxen. Standardkonfigurationen weisen oft erhebliche Lücken auf und gefährden sensible Patientendaten. Das BSI hat Handlungsempfehlungen veröffentlicht, die bis Juni kommentiert werden können.

Anzeige

Während die regulatorischen Anforderungen durch neue EU-Gesetze steigen, rücken auch gezielte Angriffe auf die Unternehmensführung in den Fokus. Erfahren Sie in diesem Experten-Report, wie Sie Ihre Organisation vor perfiden Methoden wie dem CEO-Fraud und psychologischen Manipulationsversuchen schützen. Kostenlosen Anti-Phishing-Guide für Unternehmen sichern

Die Schweiz startet unterdessen ein neues Nationales Forschungsprogramm zur Cyberresilienz. Mit fünf Millionen Franken sollen bis Ende März technische und gesellschaftliche Ansätze entwickelt werden, um kritische Infrastrukturen widerstandsfähiger zu machen. Das Programm reagiert auf zunehmende Ransomware-Angriffe, die bereits Krankenhäuser und Verwaltungen lahmgelegt haben.

Der Weg in die passwortlose Zukunft

Die Angriffsvektoren verschieben sich deutlich. Da KI-gestütztes Phishing einen neuen Höhepunkt erreicht, reicht technischer Schutz allein nicht mehr. Der Faktor Mensch wird gezielt als Schwachstelle adressiert – durch manipulierte HR-Portale oder täuschend echte E-Mails mit offiziellen Logos. Ein Vorfall bei Starbucks Mitte März zeigte: Angreifer erlangten allein durch psychologische Manipulation Zugriff auf Personalverwaltungssysteme – ganz ohne Schadsoftware.

Die Fachwelt fordert daher verstärkt den Übergang zu passwortlosen Systemen wie Passkeys. Diese basieren auf kryptografischen Schlüsselpaaren und sind resistent gegen klassisches Phishing. Unternehmen, die den Umstieg auf moderne Identitätsmanagementsysteme hinauszögern, riskieren nicht nur finanzielle Einbußen, sondern auch den Vertrauensverlust bei Kunden und Partnern.

Was kommt 2026 noch?

Für den Rest des Jahres ist mit einer weiteren Verschärfung der Sicherheitsanforderungen zu rechnen. Ein zentraler Termin ist der 11. Juni 2026: Dann werden die Bestimmungen zur Notifizierung von Konformitätsbewertungsstellen im Rahmen des Cyber Resilience Act wirksam. Das ist der erste Schritt zur vollständigen Anwendung des Gesetzes Ende 2027. Bis dahin müssen Hersteller nachweisen, dass ihre vernetzten Geräte „secure-by-design“ entwickelt sind.

Zusätzlich soll der angekündigte „European Innovation Act“ weitere Impulse für die Sicherheit von KI-Systemen setzen. Die Integration von „Agentic AI“ in Unternehmensprozesse schafft neue Angriffsflächen. Experten gehen davon aus, dass die automatisierte Abwehr durch spezialisierte KI-Tools zum Standard für mittlere und große Unternehmen wird. Verbraucher müssen sich auf eine Welt einstellen, in der biometrische Authentifizierung und Hardware-Sicherheitsschlüssel die herkömmliche PIN-Eingabe endgültig verdrängen.