Edge-Schutz stark, innen schwach: Blue Report 2026

Unternehmen investieren immer mehr in Schutzmaßnahmen — und doch zeigen die Ergebnisse des Blue Report 2026, dass Angriffe nicht einfach „größer“ werden, sondern vor allem leiser. In den ersten sechs Monaten des Jahres wurden in echten Produktionsumgebungen über 338 Millionen reale Angriffssimulationen durchgeführt. Das Bild ist widersprüchlich: Die Abwehr an der Peripherie funktioniert besser denn je, während sich nach dem Eindringen ein anderes Kräfteverhältnis ergibt.

Im Folgenden geht es darum, was die Messwerte über Prävention und Erkennung aussagen — und warum genau die ruhigen Schritte vor einer großen Kompromittierung oft durchrutschen.

Warum der Schutz draußen deutlich stärker wirkt

Der Blue Report 2026 dokumentiert, dass die durchschnittliche Präventionswirksamkeit in diesem Jahr deutlich zulegt: von 62% auf 69%. Damit erreicht der Wert wieder den Stand, der bereits 2024 als Spitzenmarke galt. Auch beim Thema Logging gibt es Fortschritte: Die Protokollierung liegt laut Bericht bei 58% und damit auf einem Vierjahreshoch.

Kurz gesagt: Viele Angriffe, besonders jene, die „laut“ sind und damit leichter ins Visier geraten, werden an der Grenze der Netzwerke häufiger gestoppt.

Die Trendwende nach der Perimeter-Phase

Die entscheidende Aussage kommt, sobald der Angriff die Perimeter-Schicht überschritten hat. Dort dreht sich die Wirkung der Kontrollen um: Maßnahmen, die von außen noch stabil wirken, verlieren innen spürbar an Schlagkraft.

Der Bericht quantifiziert das über den Vergleich „draußen vs. drinnen“: An der Peripherie wird etwa zwei von drei Angriffen der Zugriff versagt. Im Inneren gelingt es den Verteidigern dagegen nur noch bei etwa einem von drei Versuchen, die Angriffskette zu unterbrechen.

Wichtig ist: Das Versagen ist nicht zufällig verteilt. Es verläuft vielmehr entlang einer klaren Linie — und die hat mit Lautstärke zu tun.

Post-Compromise Prevention: Wenn der Angreifer schon drinnen ist

Zum ersten Mal wurde im Blue Report 2026 die Post-Compromise Prevention gezielt gemessen. Das bedeutet: Es wird untersucht, welche Kontrollen tatsächlich brechen, wenn ein Angreifer bereits im Netzwerk agiert — und zwar als authentifizierter Nutzer.

Das Ergebnis fällt ernüchternd aus: Die Post-Compromise Prevention Rate liegt bei gerade einmal 37%. Damit wird sichtbar, dass viele Schutzmechanismen vor allem für den Anfang des Angriffsoptimiert sind, aber weniger für den Moment, in dem ein Gegner bereits Strukturen, Zugriffe und Rechte nutzt.

EDR und „laute“ Aktionen: Hier funktionieren viele Kontrollen

Im Bericht zeigt sich ein klares Muster: Aktionen, die stärker nach Angriff aussehen, werden häufiger gestoppt. Beispiele sind das Ausführen von Schadsoftware oder das Springen zwischen Systemen.

Lateral Movement — also die seitliche Ausbreitung über Service-Ausführung wie etwa Sharp-ServiceExec und SMBExec — wurde rund 90% der Zeit blockiert. Auch beim Thema Privilege Escalation per UAC-Bypass liegt die Erfolgsrate der Abwehr mit etwa 85% hoch.

Der Bericht interpretiert diese Ergebnisse als Bestätigung, dass EDR (Endpoint Detection and Response) und jahrelange Annahmen über „Assume Breach“-Strategien ihre Wirkung entfalten — zumindest in Bereichen, in denen Verhalten typischerweise auffällig ist.

Recon und Credential Theft: Die leisen Schritte treffen auf weiche Verteidigung

Während „laute“ Aktivitäten oft gut abgedeckt sind, bleiben die Vorarbeiten gegen viele Organisationen nahezu ungehindert. Der Bericht nennt dafür insbesondere Erkundung (Reconnaissance) und das stille Auslesen von Zugriffsinformationen.

Am schlechtesten wird dabei die Kategorie „Recon“ verhindert: Dazu zählt das Abbilden der Domäne sowie das Auflisten von Shares und Sessions. Diese Schritte werden nur in etwa 10% der Fälle gestoppt — ein sehr niedriger Wert.

Auch beim Thema Credential Access zeigt sich eine deutliche Lücke. Das stille Auslesen von Anmeldeinformationen aus dem Speicher wird im Schnitt nur etwa in 22% der Fälle verhindert. Eine Variante, bei der Secrets direkt aus der Registry gezogen werden, wird laut Bericht sogar in weniger als 1% der Versuche gestoppt.

In der Praxis ergibt sich daraus ein gefährliches Szenario: Ein Angreifer kann sich erst ein Bild der Umgebung machen, Sitzungen auswerten und Credential-Material sichern, ohne dass etablierte Kontrollen zuverlässig anschlagen. Erst danach folgt die Aktion, die typischerweise stärker auffällt.

Warum Signaturen oft das Ziel verfehlen

Ein besonders anschauliches Ergebnis zeigt, wie unterschiedlich die Abwehr ausfällt, obwohl Ziel und Tool identisch bleiben. Der Blue Report 2026 beschreibt, dass dieselbe Credential-Theft-Tool-Logik (genannt wird Mimikatz) mit gleicher Zielsetzung in drei Varianten ausgeführt wurde — und die Präventionswerte dabei stark auseinanderliefen.

Wenn Credentials klassisch und „signaturgetrieben“ aus dem Speicherbereich des LSASS-Prozesses ausgelesen werden, wird dies nahezu immer blockiert. Greift der Angreifer jedoch auf andere Speicherorte zu oder liest die Informationen aus der Registry, sinkt die Blockierungsrate nahezu auf null.

Der Grund liegt weniger im „Was“, sondern im „Wie“: Der Weg, der LSASS betrifft, erzeugt Ereignisse und beobachtbare Aktivitäten, die schon lange in Produkten instrumentiert sind. Der Registry-Zugriff hingegen wirkt aus Sicht vieler Kontrollen wie normale, privilegierte Systemnutzung. Damit fehlen die Trigger, die für den LSASS-Fall vorgesehen sind.

Zusätzlich weist der Bericht auf einen weiteren Punkt hin: Selbst ein hoher Blockierungswert kann trügerisch sein, wenn er gegen eine spezifische Build-Variante gemessen wurde. Sobald sich Kennzeichen ändern — etwa durch Umbenennung von Zeichenketten oder das Laden bestimmter Teile in den Speicher, sodass nichts zum Scannen auf die Platte gelangt — kann dieselbe Verhaltensidee andere Trefferquoten erzielen.

„Stealth“ zahlt sich für Angreifer aus

Der Bericht beschreibt zudem, dass Angreifer systematisch zu Techniken wechseln, die schwerer zu entdecken sind. Eine im Datensatz besonders schwach verhinderte Methode ist das Verstecken von Command History: Diese Aktion wird nur in etwa 1% der Fälle gestoppt.

Damit unterstreicht der Blue Report 2026 eine zentrale Verteidiger-Idee: Genau die Aktivitäten, die wenig Lärm machen, sind häufig die, auf die moderne Umgehungsstrategien setzen.

IOCs verlieren an Reichweite: Dateibasierte Prävention sinkt

Auch die reine Datei- oder IOC-basierte Prävention ist laut Bericht rückläufig. Die IOC-Based Prevention Rate — also wie oft bekannte, bösartige Dateien, die als Download eintreffen, blockiert werden — fällt in diesem Jahr auf 50%. Zuvor lag der Wert bei 60% (letztes Jahr) und sogar 71% (2024).

Der Bericht begründet das unter anderem damit, dass ständig neue Dateien entstehen. Zudem kann ein Payload durch „Repacking“ so verändert werden, dass Indikatoren schneller veralten, während die dahinterliegende Handlung ähnlich bleibt.

Das heißt nicht, dass Indikator-basierte Tests wertlos wären. Sie helfen dabei, die bekannte Kante zu validieren. Aber allein sind sie nicht ausreichend, weil sie vor allem das prüfen, was bereits als Indicator oder Signatur existiert.

Mehr Logging, aber zu wenig Alarm: Die Erkennung bleibt als Rückfall zu selten

Wenn Prävention scheitert, sollte die Erkennung den nächsten Schritt übernehmen. Genau hier zeigt der Bericht eine Schwäche: Die „Fallback“-Mechanik funktioniert kaum.

Obwohl das Logging auf das Vierjahreshoch steigt (58%), bleibt die Alarmierungskennzahl — im Bericht als alert score beschrieben — bei 14% stabil. Dadurch führt weniger als 1 von 7 simulierten Angriffen zu einem Alert.

Der Bericht formuliert das als Engineering-Problem: Es geht nicht nur um das Sammeln von Daten, sondern darum, wie aus Telemetrie echte, handlungsleitende Alarme werden. Organisationen erfassen zwar häufiger — aber sie wandeln die Signale seltener in konkrete Reaktionen um.

Warum Tests wichtiger werden als einmalige Bestleistungen

Ein weiteres Muster aus dem Blue Report 2026: Letztes Jahr starke Segmente rutschen ab, während zuvor schwächere Bereiche zulegen. Der Bericht macht das auch an Branchenunterschieden fest.

Beispielsweise sinkt „Education“ innerhalb eines Jahres um 30 Punkte und wird damit zur am schlechtesten geschützten Branche im Datensatz. Gleichzeitig gewinnt ein zuvor schwacher Sektor deutlich — und der Bericht bringt es auf den Punkt: Gute Leistung wirkt manchmal wie „gemietet“, solange die zugrundeliegende Validierung aktuell ist.

Außerdem werden Rückschritte gegen konkrete, schwer stoppbare Gruppen sichtbar. Während der Gesamtdurchschnitt steigt, fällt die Prävention in der Statistik gegen 9 von 10 besonders herausfordernden Threat-Gruppen. Bei allen benannten Top-Ransomware-Familien liegt die Blockierungsquote unter 38%, und für eine Familie wird sogar ein Rückgang von 50% auf 13% genannt.

Drei konkrete Schritte, die aus den Zahlen folgen

Aus den Resultaten leitet der Bericht drei praktische Richtungen ab, die sich auf Tests und Engineering konzentrieren:

• Exposition validieren statt nur Inventar pflegen: Prüfen, welche Angriffsflächen in Ihrer Umgebung wirklich ausnutzbar sind — statt nur theoretische Möglichkeiten zu katalogisieren.
• Das Innere gegen leise Aktionen härten: Testen, wie gut Discovery, Share- und Session-Enumeration sowie passive Credential-Zugriffe abgedeckt sind — und zwar mit Detektion, die sich am Verhalten orientiert, nicht nur an Signaturen.
• Detektionsregeln wie Engineering behandeln: Regeln gegen aktuelles Verhalten schreiben, testen, Lärm reduzieren und regelmäßig neu validieren, damit aus Logs wieder verlässlich Alerts werden.

Bemerkenswert ist: Der Bericht stellt fest, dass die Kontrollen dann wieder „greifen“, sobald jemand sie erneut testet. Die Angriffe, die weiterhin durchrutschen, sind vor allem die stillen Vorbereitungen — Recon und das Auslesen von Credentials — die oft weder von Signaturen noch zuverlässig von Alarmen getroffen werden.

Fazit: Edge gewinnt, aber die Lücke liegt im Inneren

Der Blue Report 2026 zeichnet ein klares Bild: In vielen Umgebungen verbessert sich die Abwehr an der Peripherie spürbar — Prävention und Logging steigen. Doch wenn Angreifer im Netzwerk arbeiten und dabei auf leise Schritte setzen, wird die Verteidigung deutlich weich. Hinzu kommt eine Detektionslücke: Mehr Telemetrie führt nicht automatisch zu mehr handlungswirksamen Alarmen.

Wer die nächste Welle überstehen will, sollte daher den Fokus verschieben: weniger „bekannte Indikatoren“, mehr Validierung von echten Expositionen, plus harte Tests für das Verhalten im Inneren.

Quelle: https://thehackernews.com/2026/08/enterprise-defenses-recovered-at-edge.html