Cloud-Angriffe um 136% gestiegen – angetrieben durch KI-gestützte Bedrohungen, so CrowdStrike

Der neueste „CrowdStrike Threat Hunting Report 2025” zeichnet ein deutliches Bild einer sich an mehreren Fronten weiter verschärfenden Bedrohungslandschaft. So verzeichnete das OverWatch-Team des Unternehmens zwischen Januar und Juni 2025 einen Anstieg der Cloud-Intrusionen um 136 Prozent im Vergleich zum gesamten Jahr 2024. Dies zeigt, wie schnell Angreifer Techniken beherrschen, um Workloads, Dienste und Control-Plane-Assets in Public- und Hybrid-Cloud-Umgebungen auszunutzen.

Auch interaktive Angriffe, bei denen die Angreifer die Tastatur direkt nutzen, werden immer häufiger und ausgeklügelter. CrowdStrike verzeichnete bei diesen Intrusionen einen Anstieg von 27 Prozent im Jahresvergleich. 73 Prozent davon waren auf finanziell motivierte E-Crime-Akteure zurückzuführen. Dies unterstreicht die kommerzielle Attraktivität von Ransomware-as-a-Service-Ökosystemen und von Marktplätzen, die Zugang zu IT-Systemen bieten.

Voice-Phishing (Vishing) hat sich als eine der am schnellsten wachsenden E-Crime-Taktiken etabliert. Die Angriffe stiegen von der ersten zur zweiten Hälfte des Jahres 2024 um 442 Prozent und haben in den ersten sechs Monaten des Jahres 2025 bereits die Gesamtzahl des Vorjahres übertroffen. Gruppen wie SCATTERED SPIDER kombinieren weiterhin Social-Engineering-Expertise mit gestohlenen Anmeldedaten, um in nur 24 Stunden von der anfänglichen Kontoübernahme zur Ransomware-Bereitstellung zu gelangen – 32 Prozent schneller als 2024.

Staatliche Spionage bleibt ein Sorgenkind. China-nahe Akteure führten zu einem Anstieg der staatlichen Aktivitäten gegen Telekommunikationsziele um 130 Prozent. Russland-nahe Angreifer waren hingegen für den Großteil des Anstiegs der Intrusionen im Regierungssektor um 185 Prozent verantwortlich. Die Analysten von CrowdStrike stellten außerdem fest, dass domänenübergreifende Manöver – das schnelle Wechseln zwischen Identität, Endpunkt und Cloud – dabei helfen, bis spät im Angriffzyklus unentdeckt zu bleiben. Diese Technik wird von hochentwickelten Akteuren wie BLOCKADE SPIDER und OPERATOR PANDA genutzt.

Mittlerweile dient generative KI als zentraler Katalysator für zahlreiche Kampagnen. Der Bericht hebt insbesondere die der DPRK nahestehende Gruppe FAMOUS CHOLLIMA hervor. Diese infiltrierte im Berichtszeitraum mehr als 320 Unternehmen (was einem geschätzten Anstieg von 220 Prozent im Jahresvergleich entspricht).

Die Gruppe nutzte Large-Language-Model-Dienste, um gefälschte Lebensläufe, Deepfake-Identitäten und sogar Echtzeit-Antworten in Interviews zu erstellen. Einmal eingestellt, verlassen sich die Hochstapler auf KI-gestützte Programmierassistenten und Übersetzungstools, um mehrere Remote-Entwicklerjobs gleichzeitig zu bewältigen und dabei geistiges Eigentum zu exfiltrieren.

CrowdStrike empfiehlt verbesserte Verfahren zur Identitätsprüfung während der Personalbeschaffung, Echtzeit-Deepfake-Prüfungen in Vorstellungsgesprächen sowie eine strengere Überwachung von Remote-Zugriffsaktivitäten und eine kontinuierliche Bedrohungssuche über Identität, Endpunkt und Cloud-Telemetrie hinweg. Zudem gibt CrowdStrike eine Warnung heraus:

Obwohl Unternehmen zunehmend eigene KI-Systeme zur Verteidigung einsetzen, müssen diese Modelle mit vertrauenswürdigen Daten trainiert werden. So soll verhindert werden, dass die Daten manipuliert werden – ein Prozess, der als Data Poisoning bekannt ist.