Threat Review
Forescout Threat Review 2026H1 zeigt: KI-Boom treibt Cyberrisiken drastisch nach oben
Forescout meldet 51 Prozent mehr Schwachstellen und 25 Prozent mehr Ransomware
Die globale Cyberbedrohungslage verschärft sich schneller, als viele Sicherheitsteams reagieren können. Innerhalb eines Jahres stieg die Zahl neu veröffentlichter Schwachstellen um 51 Prozent, während Ransomware-Angriffe um ein Viertel zunahmen. Besonders gefährdet sind längst nicht mehr nur klassische IT-Systeme, sondern zunehmend auch Router, Firewalls, Produktionsanlagen, medizinische Geräte und andere spezialisierte Assets.
Der neue „Threat Review Report 2026H1 “ von Forescout zeichnet ein deutliches Bild: Künstliche Intelligenz, geopolitische Konflikte, kompromittierte Software-Lieferketten und schlecht überwachte vernetzte Geräte verändern die internationale Bedrohungslandschaft grundlegend.
Für den Bericht analysierte das Forschungsteam Forescout Research – Vedere Labs mehr als 37.000 neu veröffentlichte Schwachstellen, 1.033 beobachtete Bedrohungsakteure und Tausende Cyberangriffe aus dem Zeitraum Januar bis Juni 2026. Ergänzend flossen Daten aus externen Quellen in die Auswertung ein.
37.137 neue Schwachstellen in nur sechs Monaten
Im ersten Halbjahr 2026 wurden weltweit 37.137 Schwachstellen veröffentlicht. Gegenüber dem Vorjahreszeitraum entspricht das einem Anstieg von 51 Prozent. Mehr als die Hälfte der Sicherheitslücken wurde als hoch oder kritisch eingestuft.
Die hohe Zahl neuer Schwachstellen ist jedoch nur ein Teil des Problems. Auch ältere Sicherheitslücken bleiben für Angreifer attraktiv. So entfielen 46 Prozent der neu in den „Known Exploited Vulnerabilities“-Katalog der US-amerikanischen Cybersecurity and Infrastructure Security Agency aufgenommenen Einträge auf Schwachstellen, die bereits vor 2026 veröffentlicht worden waren.
Unternehmen müssen nicht nur neue Zero-Day-Lücken im Blick behalten. Auch bekannte, aber noch nicht geschlossene Schwachstellen entwickeln sich zunehmend zu einem dauerhaften Risiko.
Ransomware-Gruppen erhöhen den Angriffsdruck
Parallel zur wachsenden Zahl von Schwachstellen nahm auch die Ransomware-Aktivität deutlich zu. Forescout registrierte im ersten Halbjahr 2026 insgesamt 4.544 Angriffsmeldungen. Das waren 25 Prozent mehr als im gleichen Zeitraum des Vorjahres.
Umgerechnet entspricht dies durchschnittlich rund 25 gemeldeten Ransomware-Angriffen pro Tag.
Gleichzeitig stieg die Zahl der aktiven Ransomware-Gruppen um 16 Prozent auf insgesamt 103 Gruppierungen. Das Ransomware-Ökosystem wird damit nicht nur größer, sondern auch fragmentierter und schwerer zu überwachen.
Die höchste Aufmerksamkeit der beobachteten Bedrohungsakteure galt laut Bericht den Bereichen:
- Behörden und öffentliche Verwaltung
- Technologie
- Finanzdienstleistungen
- Bildung
- Gesundheitswesen
Gerade diese Branchen verfügen häufig über komplexe Infrastrukturen, sensible Daten und eine Vielzahl miteinander verbundener Systeme.
KI verkürzt die Zeit zwischen Entdeckung und Angriff
Eine zentrale Rolle spielt dabei Künstliche Intelligenz. Nach Einschätzung der Forescout-Forschenden nutzen Bedrohungsakteure KI zunehmend, um Schwachstellen schneller zu finden, Angriffscode zu entwickeln und Kampagnen in größerem Maßstab durchzuführen.
„KI erhöht die Geschwindigkeit und das Ausmaß von Cyberangriffen dramatisch“, erklärt Daniel dos Santos, Vice President of Research bei Forescout.
Angreifer könnten Schwachstellen dadurch teilweise schneller identifizieren und ausnutzen, als Sicherheitsteams sie bewerten und beheben können. Das verschärft ein bereits bestehendes Problem: Viele Unternehmen verfügen über mehr offene Sicherheitslücken, als ihre IT- und Security-Abteilungen zeitnah bearbeiten können.
Die klassische Priorisierung allein nach CVSS-Werten reicht daher kaum noch aus. Sicherheitsverantwortliche müssen zusätzlich berücksichtigen, ob eine Schwachstelle bereits aktiv ausgenutzt wird, welche Systeme betroffen sind und welche Rolle diese Assets innerhalb der Unternehmensinfrastruktur spielen.
Angriffe verlagern sich auf spezialisierte Geräte
Besonders kritisch ist der wachsende Fokus auf Geräte, die außerhalb der klassischen Endpoint-Security liegen. Dazu zählen unter anderem:
- speicherprogrammierbare Steuerungen
- Human-Machine Interfaces
- automatische Tankmesssysteme
- medizinische Geräte
- Router und Firewalls
- IoT- und IoMT-Systeme
- Operational-Technology-Komponenten
Viele dieser Geräte sind über Jahre oder sogar Jahrzehnte im Einsatz. Sie lassen sich häufig nur schwer aktualisieren, werden nicht von klassischen Security-Agenten erfasst und erhalten weniger Aufmerksamkeit als Notebooks, Server oder Smartphones.
Genau diese blinden Flecken machen sie für Angreifer attraktiv. Nach einer erfolgreichen Kompromittierung können sie als Einstiegspunkt dienen, um sich lateral im Netzwerk auszubreiten und auf kritischere Systeme zuzugreifen.
Lieferketten werden zum strategischen Angriffsziel
Der Bericht warnt außerdem vor zunehmend raffinierten Angriffen auf Software- und Technologie-Lieferketten. Angreifer versuchen dabei nicht zwangsläufig, jedes einzelne Unternehmen direkt zu kompromittieren.
Stattdessen nehmen sie Hersteller, Dienstleister, Update-Mechanismen oder zentrale Bereitstellungsprozesse ins Visier. Ein erfolgreicher Angriff kann dadurch zahlreiche Organisationen gleichzeitig betreffen.
Wie relevant dieses Risiko ist, will Vedere Labs auch auf der Black Hat USA zeigen. Am 5. August präsentiert das Forschungsteam neue Erkenntnisse zu Schwachstellen im sogenannten Zero-Touch Provisioning.
Dabei geht es um automatisierte Verfahren, mit denen Netzwerkgeräte ohne umfangreiche manuelle Konfiguration bereitgestellt werden. Nach Angaben von Forescout können mehrere Schwachstellen miteinander kombiniert werden, um groß angelegte Netzwerk- und Lieferkettenkompromittierungen zu ermöglichen.
Geopolitische Konflikte befeuern Cyberoperationen
Neben Cyberkriminalität prägen geopolitische Spannungen die aktuelle Bedrohungslage. Akteure mit Verbindungen zu China, Russland und dem Iran machten zusammen 32 Prozent der Bedrohungsakteure aus, bei denen Forescout im ersten Halbjahr 2026 bedeutende Aktivitätsänderungen beobachtete.
Hinzu kommen Tausende Hacktivismus-Meldungen. Vedere Labs verfolgte mehr als 5.700 gemeldete Angriffe über 98 Telegram-Kanäle. Besonders häufig standen Israel, die USA, die Ukraine, Indonesien und der Iran im Fokus.
Der Bericht hebt insbesondere die Entwicklung des iranischen Cyberökosystems hervor. Staatlich unterstützte Gruppen, Hacktivisten und cyberkriminelle Akteure lassen sich demnach immer schwieriger klar voneinander abgrenzen.
Die beobachteten Aktivitäten reichen von Spionage und Einflussoperationen über Ransomware bis hin zu Angriffen auf Operational Technology und kritische Infrastrukturen.
Asset-Sichtbarkeit wird zur Grundlage der Verteidigung
Forescout-CEO Barry Mainz sieht vor allem mangelnde Transparenz als zentrales Problem. Viele Unternehmen wüssten noch immer nicht vollständig, welche Geräte mit ihren Netzwerken verbunden seien und welchen Risiken diese Systeme ausgesetzt sind. „Da die Angriffsflächen weiter wachsen, können sich Sicherheitsteams nicht mehr ausschließlich auf traditionelle Endgeräte konzentrieren“, erklärt Mainz.
Unternehmen müssten insbesondere nicht verwaltete Assets sowie IoT-, OT- und IoMT-Geräte identifizieren, bewerten und kontrollieren. Ergänzend seien Netzwerksegmentierung und automatisierte Schutzmaßnahmen erforderlich, um die Bewegungsfreiheit von Angreifern einzuschränken.
Segmentierung begrenzt den Schaden
Eine einzelne Kompromittierung lässt sich nicht in jedem Fall verhindern. Entscheidend ist deshalb, wie weit sich ein Angreifer anschließend im Netzwerk bewegen kann.
Durch eine konsequente Segmentierung lassen sich Produktionssysteme, medizinische Geräte, Verwaltungsnetze und andere kritische Bereiche voneinander trennen. Selbst wenn ein Gerät kompromittiert wird, kann die Ausbreitung dadurch erheblich erschwert werden.
Der Threat Review 2026H1 macht deutlich, dass Unternehmen ihre Sicherheitsstrategie stärker an der tatsächlichen Angriffsfläche ausrichten müssen. Dazu gehören:
- vollständige Transparenz über alle verbundenen Assets
- kontinuierliche Erkennung neuer Geräte und Schwachstellen
- risikobasierte Priorisierung statt rein technischer Bewertung
- konsequente Netzwerksegmentierung
- automatisierte Eindämmung verdächtiger Aktivitäten
- schnellere Reaktion auf aktive Bedrohungen
Die Herausforderung liegt damit nicht allein in der steigenden Zahl von Sicherheitslücken. Entscheidend ist, ob Unternehmen erkennen können, welche Schwachstellen in ihrer individuellen Umgebung tatsächlich das größte Risiko darstellen.
Fazit
Der Forescout Threat Review 2026H1 zeigt eine Cyberbedrohungslage, in der Geschwindigkeit zum entscheidenden Faktor wird. KI beschleunigt die Suche nach Schwachstellen, Ransomware-Gruppen erhöhen ihre Aktivität und geopolitische Konflikte sorgen für zusätzliche Angriffswellen.
Gleichzeitig verlagert sich der Fokus der Angreifer auf Systeme, die in vielen Sicherheitsstrategien bislang nur eine Nebenrolle spielen. Router, Firewalls, IoT-Geräte, medizinische Systeme und industrielle Komponenten werden damit zu einem zentralen Teil der Angriffsfläche.
Unternehmen benötigen deshalb mehr als klassische Endpoint-Security und regelmäßige Patch-Zyklen. Sie müssen ihre gesamte vernetzte Infrastruktur sichtbar machen, Risiken im Kontext bewerten und verhindern, dass sich Angreifer nach einer ersten Kompromittierung ungehindert durch kritische Systeme bewegen können.
