Adam ListekMicrosofts Red Team beschreibt eine Schwäche, die es weiter ausnutzt: “zu viel dauerhafter Zugriff, zu locker durchgesetzt.” Das meiste, was das Team bei Identitäten ausnutzt, habe “nichts mit KI zu tun.”
Der Microsoft Digital Defense Report 2026 deckt Juli 2025 bis Juni 2026 ab. Über die Befunde hinweg nutzen Angreifer gültige Konten und vertraute Verwaltungstools, um mehr Systeme zu erreichen. Eine kompromittierte Identität kann eine Remote-Sitzung öffnen, weitere Anmeldeinformationen offenlegen und einen Weg zu höheren Rechten bieten.
Das sind konkrete Probleme für die Teams, die privilegierten Zugriff verwalten. Ein Passwort kann nach dem Ende eines Wartungsfensters weiter brauchbar sein. Ein Konto kann zwischen Aufgaben administrative Rechte behalten. Eine Remote-Verbindung kann zu wenig Spuren hinterlassen, um zu erklären, was geschehen ist.
Die fünf Befunde unten verbinden diese Probleme mit konkreten Kontrollen. Jeder Abschnitt erklärt den Befund und wo Devolutions heute ansetzt. Der letzte Abschnitt betrachtet die für 2027.1 geplanten Arbeiten.
1. 52,2 % der Angriffe mit gültigem Konto führten zu weiterem Diebstahl von Anmeldeinformationen
In den Beobachtungen von Microsoft Defender Experts gingen 52,2 % der Angriffe, die mit einem gültigen Konto begannen, mit weiterem Diebstahl von Anmeldeinformationen einher. Einmal innen, sammelten Angreifer weitere Anmeldeinformationen und nutzten sie, um den Zugriff auszuweiten. Ein Konto, das das Passwort eines anderen Administrators abrufen kann, gibt einem Eindringling einen weiteren Weg durch die Umgebung.
Check-out-Richtlinien in Devolutions PAM können eine Genehmigung, einen Grund oder ein Ticket und ein festgelegtes Zugriffsfenster verlangen. In Devolutions Cloud setzt der Check-in das Passwort des privilegierten Kontos zurück, sodass das vorherige Passwort nicht mehr funktioniert. Die Genehmigung begrenzt, wer Zugriff erhält; die Rotation begrenzt, wie lange ein kopiertes Passwort brauchbar bleibt.
2. AiTM-URL-Phishing machte etwa 45 % der erkannten Phishing-Techniken aus
Adversary-in-the-Middle-Phishing (AiTM) über URLs machte in Microsofts Grafik etwa 45 % der erkannten Phishing-Techniken aus. Microsoft berichtet außerdem, dass Passwortangriffe im Jahresvergleich um 26 % zurückgingen, während AiTM-Phishing und Token-Diebstahl im ersten Halbjahr 2026 Anteile gewannen. Sitzungsdiebstahl zählt, weil ein Angreifer Zugriff erhalten kann, nachdem der legitime Benutzer die Anmeldeprüfungen abgeschlossen hat.
In Devolutions Cloud und Devolutions Server kann Devolutions PAM eine Multi-Faktor-Authentifizierung (MFA) verlangen, wenn ein privilegiertes Konto ausgecheckt wird. Das ist eine eigene Prüfung, getrennt von der MFA bei der Anmeldung. Die Anmeldeaufforderung eines externen Identitätsanbieters erfüllt die Check-out-Anforderung nicht automatisch. Administratoren müssen die MFA beim Check-out als eigene Kontrolle konfigurieren.
3. Etwa 82 % der angebotenen Zugriffe betrafen Anmeldeinformationen oder Remote-Zugangsportale
Intel 471 verfolgte 2.591 angebotene Zugriffe. Kompromittierte Anmeldedaten machten 45 % aus, kompromittierte Remote-Zugangsportale von Unternehmen, einschließlich VPN-Geräten, weitere 37 %. Zusammen ergeben diese gerundeten Anteile etwa 82 % der Angebote. Ein funktionierendes Konto oder eine Remote-Verbindung ist wertvoll genug, um verkauft zu werden, bevor der nächste Angreifer die Arbeit aufnimmt.
Für Remote-Desktop-Protocol-Sitzungen (RDP) kann Devolutions Gateway die Verbindung vermitteln und Anmeldeinformationen über einen Proxy injizieren, sodass das Passwort nicht auf dem Computer des Benutzers liegt. Externe Benutzer können die Berechtigung Execute ohne die Berechtigung View password erhalten. Ein Auftragnehmer kann die konfigurierte Sitzung dann nutzen, ohne das Passwort des Zielkontos zu erhalten.
4. Ein nicht genehmigter RMM-Agent ist ein verlässliches Signal in der mittleren Phase eines Angriffs
In seinen Endpunktuntersuchungen stellte Microsoft fest, dass ein nicht genehmigter Agent für Remote Monitoring and Management (RMM) eines der verlässlichsten Zeichen in der mittleren Phase eines von Menschen geführten Angriffs war. Diese Tools geben Angreifern Fernsteuerung und Dateiübertragung, die auch in legitimer Administrationsarbeit vorkommen. Ermittler brauchen einen Weg, festzustellen, wer den Zugriff genehmigt hat und was während der Sitzung geschehen ist.
Mit Devolutions Cloud können Devolutions PAM und Gateway unterstützte RDP-, ARD-, VNC- und SSH-Sitzungen aufzeichnen. Check-out-Richtlinien können Sitzungen beim Check-in auch beenden. Neben dem Check-out-Verlauf gibt eine Aufzeichnung den Prüfern einen Beleg für die ausgeführte Arbeit. Diese Kontrollen stützen die Aufsicht über genehmigten Zugriff; einen nicht genehmigten RMM-Agenten zu erkennen, erfordert weiterhin Endpunkt- und Sicherheitsüberwachung.
5. Ransomware-Erkennungen in der IT-Branche stiegen von 248 auf 649
Microsofts Tabelle zur Ransomware in Unternehmen nennt 248 Erkennungen für die IT-Branche im Jahr 2025 und 649 im Jahr 2026, etwa 2,6-mal so viele. Diese Zahlen beschreiben die IT-Branche, nicht Angriffe auf IT-Systeme über alle Branchen hinweg. Der Anstieg belegt nicht, welche Zugriffskontrollen versagt haben, aber er unterstreicht, die Rechte eines kompromittierten Kontos zu begrenzen.
Just-in-Time-Erhöhung (JIT) in Devolutions PAM fügt die Gruppenmitgliedschaft beim Check-out hinzu und entfernt sie beim Check-in. Standardkonten behalten ihre Grundrechte, während Konten ohne dauerhafte Privilegien die nötigen Rechte nur für das Check-out-Fenster erhalten. Administratoren können erhöhte Arbeit erledigen, ohne diese Rechte zwischen den Aufgaben zugewiesen zu lassen.
Wie es weitergeht: privilegierter Zugriff in 2027.1
Die für 2027.1 geplanten Arbeiten bauen auf Check-out- und Sitzungskontrollen auf, mit detaillierteren Zugriffsentscheidungen. Eine workflowbasierte Regel-Engine legt Anmelde- und Check-out-Schritte anhand der anfragenden Person, des Anbieters, der Erhöhungsgruppe, der Zugriffsdauer, des Grunds und des Tickets fest. Der Zweig, der über die Anfrage entscheidet, wird protokolliert.
WebAuthn und Duo sind als MFA-Methoden beim Check-out geplant, das genaue Faktorenmodell für den Check-out wird noch festgelegt. Anmelde-Workflows sollen MFA verlangen und die erlaubten Methoden einschränken, einschließlich Passkeys. Devolutions Remote Desktop Manager (RDM) soll außerdem Passkeys aus dem Arbeitsbereich nutzen, wenn eine Website in seinem eingebetteten Browser geöffnet wird.
Die Richtung der Version behandelt auch, was auf einem Computer geschieht, nachdem der Zugriff erteilt wurde. Luc Fauvel, Produktleiter bei Devolutions, beschreibt die geplante Erweiterung in die Maschinenverwaltung:
“Während wir 2027.1 unsere bereits solide Verwaltung privilegierter Anmeldeinformationen und unsere sicheren Remote-Verbindungen weiter stärken, helfen wir Administratoren auch, zu steuern, was auf den Maschinen selbst geschieht, sobald diese Verbindungen stehen. Die nächste Version von PEDM führt die zentrale Maschinenverwaltung ein und damit die Kontrolle über die Anwendungsinstallation über UniGetUI. An einer Stelle können Administratoren ihre Maschinen verwalten und festlegen, welche Anwendungen Benutzer auf jeder davon installieren dürfen.”
Luc Fauvel, Produktleiter bei Devolutions
PEDM steht für Privilege Elevation and Delegation Management, die Verwaltung der Rechteerhöhung und -delegierung. Die geplanten Kontrollen der Maschinenverwaltung erweitern die Aufsicht auf die Anwendungsinstallation auf verwalteten Maschinen. Die hier beschriebenen Punkte für 2027.1 bleiben geplante Fähigkeiten.
Das Wichtigste
Der nützliche Test ist der gesamte Workflow für privilegierten Zugriff. Die Genehmigung soll den Bedarf für den Zugriff belegen. Sitzungskontrollen sollen die Offenlegung von Anmeldeinformationen begrenzen und einen Beleg für die Arbeit bewahren. Der Check-in soll die Anmeldeinformationen oder die erhöhten Rechte gemäß der Richtlinie zurücknehmen.
Microsofts Befunde geben IT-Teams konkrete Gründe, jeden Schritt zu prüfen. Die nächste Bewertung kann mit einem Testkonto beginnen und es von der Zugriffsanfrage bis zum Check-in verfolgen.
Laden Sie Devolutions RDM herunter, um Check-out, Just-in-Time-Erhöhung und vermittelte Sitzungen mit einem privilegierten Testkonto zu prüfen.