Malwarefreie Cyberangriffe: Warum Ihr Virenscanner KMU nicht mehr schützt
Aktualisiert am: 19.08.2026
Malwarefreie Angriffe kommen ohne Schadsoftware aus: Angreifer melden sich mit gestohlenen Zugangsdaten an und arbeiten mit Bordmitteln wie PowerShell und RDP weiter. Ein Virenscanner sieht davon nichts. Dieser Beitrag zeigt die vier verbreiteten Methoden, was NIS2 dagegen verlangt und einen Sieben-Punkte-Abwehrplan, den KMU ohne eigenes SOC umsetzen können.
Was sind malwarefreie Angriffe?
Bei einem klassischen Cyberangriff installiert der Angreifer Schadsoftware auf dem Zielsystem – einen Trojaner, Ransomware oder einen Keylogger. Genau darauf sind Virenscanner und Endpoint-Protection-Lösungen optimiert: Sie erkennen bekannte Signaturen und verdächtige Dateien.
Malwarefreie Angriffe umgehen diesen Schutz vollständig. Laut CrowdStrike Global Threat Report 2026 sind inzwischen 82 Prozent aller erkannten Angriffe komplett malwarefrei. Die Angreifer nutzen stattdessen gestohlene Zugangsdaten, Remote-Desktop-Protokolle (RDP), PowerShell-Befehle und andere bereits im System vorhandene Werkzeuge. Da keine Datei geschrieben wird, schlagen weder Virenscanner noch klassische Firewalls Alarm.
Reales Szenario: Angriff ohne eine einzige Datei
Ein Angreifer kauft im Darknet Zugangsdaten eines Mitarbeiters (erbeutet bei einem Datenleck eines Drittanbieters). Er meldet sich per VPN am Firmennetzwerk an – mit gültigen Credentials, ohne MFA. Über die vorhandene Remote-Desktop-Verbindung öffnet er PowerShell, liest das Active Directory aus und eskaliert seine Rechte zum Domänen-Admin. Innerhalb von vier Stunden hat er Zugriff auf sämtliche Fileserver und das ERP-System – ohne dass ein Virenscanner jemals angeschlagen hat.
Zweites Szenario: Rechnungsbetrug über ein gekapertes Postfach
Ein Angreifer erbeutet über ein Datenleck die Microsoft-365-Zugangsdaten eines Mitarbeiters. Er meldet sich an, richtet eine Postfachweiterleitung ein und beobachtet den E-Mail-Verkehr. Nach zwei Wochen fängt er eine Rechnung ab, ändert die Bankverbindung und leitet sie an den Zahlungsfreigeber weiter. Kein Virus, kein Alarm, kein Anhaltspunkt – bis das Geld weg ist. Durchschnittlicher Schaden: 25.000 Euro.
Die vier häufigsten Angriffsmethoden ohne Malware
1. Credential Theft – Gestohlene Zugangsdaten
Identity-Based Attacks waren 2025 bei 65 Prozent aller erfolgreichen Erstzugriffe die Methode der Wahl. Die Zugangsdaten stammen aus früheren Datenleaks, Phishing-Kampagnen oder Brute-Force-Angriffen. Besonders gefährlich: Viele Mitarbeiter verwenden dasselbe Passwort für mehrere Dienste. Ein Leak bei einem privat genutzten Online-Shop kann so zum Firmen-Breach führen. Laut BSI-Lagebericht zielen 25 Prozent aller weltweit aktiven APT-Gruppen gezielt auf deutsche Ziele – Deutschland liegt damit auf Platz 4 der am stärksten angegriffenen Staaten.
2. Living-off-the-Land (LotL) – Bordmittel als Waffe
Angreifer nutzen Tools, die bereits auf jedem Windows-System installiert sind: PowerShell, WMI, PsExec, certutil. Da diese Werkzeuge legitim sind, lösen sie keine Alarme aus. Der Angreifer bewegt sich durch das Netzwerk, als wäre er ein Administrator – weil er technisch gesehen genau das tut. Ohne Verhaltensanalyse auf Netzwerkebene bleibt der Angriff unsichtbar.
3. Business Email Compromise (BEC)
Bei BEC-Angriffen übernehmen Angreifer ein E-Mail-Konto oder fälschen die Absenderadresse. Anschließend weisen sie Mitarbeiter per E-Mail an, Geld zu überweisen oder Dateien freizugeben – im Namen des Geschäftsführers. Kein Anhang, kein Link, keine Malware – nur Social Engineering mit einer vertrauenswürdigen Absenderadresse. In Deutschland stiegen BEC-Schäden laut BSI 2025 um 37 Prozent.
4. Token Hijacking – Sitzungen kapern
Selbst Multi-Faktor-Authentifizierung schützt nicht vor allem. Beim Token Hijacking stehlen Angreifer ein bereits authentifiziertes Session-Token (etwa über einen kompromittierten Browser oder ein Man-in-the-Middle-Proxy). Damit umgehen sie MFA komplett, da die Sitzung bereits verifiziert ist. Diese Technik ist 2026 bei Angriffen auf Microsoft-365-Umgebungen besonders verbreitet.
Warum KMU besonders betroffen sind
Die Zahlen sind eindeutig: 70,5 Prozent aller identifizierten Datenleaks betreffen Unternehmen mit weniger als 250 Mitarbeitern. Das ist kein Zufall – Angreifer wissen, dass KMU typischerweise über weniger Ressourcen für IT-Security verfügen.
| Problem | Typische KMU-Situation | Ausnutzung durch Angreifer |
|---|---|---|
| Kein SIEM/SOC | Security-Monitoring fehlt oder beschränkt sich auf Virenscanner | Angreifer bleiben monatelang unentdeckt |
| Passwort-Hygiene | Gemeinsame Passwörter, kein Passwort-Manager, seltener Wechsel | Credential Stuffing mit Daten aus öffentlichen Leaks |
| Fehlende MFA | MFA nur für einzelne Systeme oder gar nicht aktiviert | Direkter Zugriff mit gestohlenen Zugangsdaten |
| Flache Netzwerke | Alle Geräte im gleichen Netzwerksegment, keine Segmentierung | Lateral Movement vom Arbeitsplatz zum Server in Sekunden |
| Überprivilegierte Konten | Mitarbeiter haben mehr Rechte als nötig, lokale Admin-Rechte | Privilege Escalation ohne Exploit nötig |
NIS2-Pflichten: Was das Gesetz verlangt
Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025 und betrifft rund 29.500 Unternehmen in Deutschland – sechsmal mehr als zuvor. Mehrere Anforderungen zielen direkt auf die Abwehr malwarefreier Angriffe ab:
NIS2-Anforderungen gegen Identity-Based Attacks
§ 30 Abs. 2 Nr. 9 BSIG – Zugangskontrolle: Unternehmen müssen den Zugang zu IT-Systemen nach dem Least-Privilege-Prinzip regeln. Überprivilegierte Konten und geteilte Passwörter sind ein direkter Verstoß.
§ 30 Abs. 2 Nr. 10 BSIG – Multi-Faktor-Authentifizierung: NIS2 fordert explizit MFA oder vergleichbare Authentifizierungsverfahren für den Zugang zu kritischen Systemen. Ohne MFA haftet die Geschäftsführung persönlich.
§ 30 Abs. 2 Nr. 2 BSIG – Erkennung und Bewältigung: Sicherheitsvorfälle müssen erkannt und behandelt werden. Wer nur auf Virenscanner setzt, erfüllt diese Pflicht nicht – denn malwarefreie Angriffe bleiben dann unsichtbar.
Wer diese Pflichten verletzt, riskiert Bußgelder von bis zu 10 Millionen Euro. Die 72-Stunden-Meldefrist läuft ab dem Moment, in dem ein Vorfall erkannt wird – was bei 292 Tagen durchschnittlicher Erkennungszeit für Credential-Breaches ein massives Problem darstellt.
Schutzmaßnahmen: So verteidigen sich KMU gegen malwarefreie Angriffe
7-Punkte-Abwehrplan für KMU
- MFA überall aktivieren: Nicht nur für E-Mail, sondern für alle Systeme – VPN, RDP, Cloud-Dienste, Admin-Panels. Phishing-resistente MFA (FIDO2/WebAuthn) ist die beste Wahl, da sie auch Token Hijacking erschwert. Laut Microsoft blockiert MFA über 99 Prozent aller automatisierten Angriffe auf Konten.
- Least Privilege durchsetzen: Entziehen Sie lokale Admin-Rechte auf Arbeitsplatzrechnern. Nutzen Sie Privileged Access Management (PAM) für administrative Zugriffe. Jeder Mitarbeiter bekommt nur die Rechte, die er für seine Arbeit braucht.
- Netzwerk segmentieren: Trennen Sie Arbeitsplatz-PCs, Server und Produktionssysteme in separate Netzwerksegmente. Lateral Movement wird damit massiv erschwert. Ein Schwachstellenscan zeigt, wo Segmentierung fehlt.
- EDR statt Virenscanner: Ersetzen Sie klassische Antiviren-Software durch Endpoint Detection and Response (EDR). EDR erkennt verdächtiges Verhalten – etwa ungewöhnliche PowerShell-Befehle oder laterale Netzwerkbewegungen – auch ohne Malware-Signatur.
- Credential Monitoring einführen: Prüfen Sie regelmäßig, ob Firmen-Zugangsdaten in bekannten Datenleaks auftauchen. Dienste wie Have I Been Pwned, SpyCloud oder der TSMONDO Security-Check automatisieren das.
- Logging und Monitoring aufbauen: Aktivieren Sie zentrale Log-Erfassung für Anmeldeversuche, Privilege Escalation und Zugriffe auf sensible Daten. Ohne Logs gibt es keine Erkennung – und ohne Erkennung keine NIS2-konforme Meldung.
- Mitarbeiter schulen – gezielt: Schulungen müssen über Phishing-Erkennung hinausgehen. Thematisieren Sie Passwort-Hygiene, sichere MFA-Nutzung und das Melden verdächtiger Anmeldebenachrichtigungen. Realistische Phishing-Simulationen zeigen, ob die Inhalte im Arbeitsalltag ankommen.
Sofortmaßnahmen: Was Sie diese Woche tun können
Nicht jede Maßnahme erfordert Budget oder Projektplanung. Drei Dinge, die sich sofort umsetzen lassen:
Heute: Aktivieren Sie MFA für alle Microsoft-365-Konten und VPN-Zugänge. Das ist in den meisten Fällen ohne Zusatzkosten möglich und blockiert die häufigste Angriffsmethode.
Diese Woche: Prüfen Sie auf haveibeenpwned.com, ob Firmen-E-Mail-Adressen in bekannten Datenleaks auftauchen. Erzwingen Sie sofortige Passwortänderungen für betroffene Konten.
Diesen Monat: Deaktivieren Sie lokale Admin-Rechte auf allen Arbeitsplatz-PCs. Das schließt eine der größten Lücken für Privilege Escalation.
Was ein Virenscanner erkennt – und was nicht
| Angriffstyp | Antivirus erkennt? | Was stattdessen hilft |
|---|---|---|
| Gestohlene Zugangsdaten | Nein | MFA + Identity Monitoring |
| Living-off-the-Land (PowerShell, WMI) | Nein | EDR + Verhaltensanalyse |
| KI-Phishing ohne Malware-Anhang | Nein | Awareness-Training + SPF, DKIM und DMARC |
| Laterale Bewegung mit Bordmitteln | Nein | Netzwerk-Segmentierung + Logging |
| Klassische Ransomware mit bekannter Signatur | Teilweise | EDR + Backup-Strategie |
Antivirus-Software bleibt ein Baustein – aber eben nur ein Baustein. Wer sich allein darauf verlässt, deckt die Mehrheit der heute eingesetzten Angriffsmethoden nicht ab. Parallel gilt: Das BSI meldet 119 neue Schwachstellen pro Tag, weshalb strukturiertes Patch-Management und regelmäßige externe Scans zur selben Verteidigungslinie gehören.
EDR vs. Virenscanner: Der entscheidende Unterschied
| Kriterium | Klassischer Virenscanner | EDR-Lösung |
|---|---|---|
| Erkennung | Signaturbasiert (bekannte Malware) | Verhaltensbasiert (auch unbekannte Angriffe) |
| Malwarefreie Angriffe | Werden nicht erkannt | Erkennt auffälliges Verhalten (z. B. PowerShell-Missbrauch) |
| Reaktion | Datei in Quarantäne | Automatische Isolation, forensische Daten, Incident Response |
| NIS2-Konformität | Erfüllt § 30 Abs. 2 Nr. 2 nicht allein | Unterstützt Erkennung, Dokumentation und Meldepflicht |
| Kosten (ca.) | 2–5 € pro Endpoint/Monat | 5–15 € pro Endpoint/Monat |
Für KMU mit 50 bis 250 Mitarbeitern bedeutet der Wechsel von Virenscanner zu EDR Mehrkosten von rund 200 bis 500 Euro pro Monat – ein Bruchteil der 25.000 Euro, die ein durchschnittlicher Cyberangriff laut HDI-Studie 2026 kostet. Gemessen an den NIS2-Bußgeldern von bis zu 10 Millionen Euro ist die Investition verschwindend gering.
Fazit: Virenscanner allein sind keine Strategie mehr
Die Bedrohungslandschaft hat sich fundamental verändert. Wenn vier von fünf Angriffen ohne Malware auskommen, ist ein signaturbasierter Virenscanner so wirksam wie ein Regenschirm bei einem Erdbeben. KMU müssen ihre Verteidigung auf identitätsbasierte Angriffe ausrichten: MFA, Least Privilege, Netzwerksegmentierung und verhaltensbasierte Erkennung durch EDR.
Unter NIS2 ist das keine freiwillige Verbesserung, sondern gesetzliche Pflicht – mit persönlicher Haftung der Geschäftsführung und Bußgeldern bis 10 Millionen Euro. Die gute Nachricht: Die wichtigsten Maßnahmen – MFA aktivieren, Admin-Rechte entziehen, Passwörter prüfen – sind sofort umsetzbar und kosten wenig.
Sind Ihre Zugangsdaten kompromittiert?
TSMONDO prüft Ihre IT-Infrastruktur auf die häufigsten Einfallstore malwarefreier Angriffe: exponierte Zugangsdaten, fehlende MFA, überprivilegierte Konten und unzureichendes Monitoring – praxisnah und NIS2-konform.
