Die globale geopolitische und Cybersicherheitslandschaft hat sich nach dem Start der Operation "Epic Fury" am 28. Februar 2026 durch die Vereinigten Staaten und der parallelen israelischen Kampagne Operation "Roaring Lion" gegen den Iran dramatisch verändert. Durch die koordinierten Militärschläge wurden wichtige iranische Führungspersönlichkeiten, darunter der Oberste Führer Ayatollah Ali Khamenei, erfolgreich ausgeschaltet und die konventionelle militärische und nukleare Infrastruktur des Irans stark geschwächt.

Überblick

Parallel zu den kinetischen Angriffen führten die USA und Israel Cyberangriffe gegen den Iran durch und erzeugten einen "digitalen Nebel", der die iranische Internetverbindung auf 4 % des normalen Verkehrs reduzierte. Diese Cyberoffensive legte die Kommando- und Kontrollarchitektur des Korps der Islamischen Revolutionsgarden (IRGC) lahm und kaperte die staatlichen Mediennetzwerke. Ziel war es, die Fähigkeit der IRGC zur Koordinierung von Gegenangriffen zu stören, insbesondere den Abschuss von Drohnen und ballistischen Raketen.

Da seine konventionellen militärischen Optionen stark eingeschränkt sind, ist der Iran nun in hohem Maße auf Cyberoperationen als wichtigstes Instrument für asymmetrische Vergeltungsmaßnahmen angewiesen. Kinetische Vergeltungsschläge haben bereits US-Stützpunkte und Verbündete im gesamten Nahen Osten ins Visier genommen, während der kommerzielle Schiffsverkehr durch die Straße von Hormuz im Wesentlichen zum Erliegen gekommen ist, wodurch eine globale Energiekrise und ein Anstieg der Ölpreise drohen.

Gleichzeitig hat das US-Verteidigungsministerium seine Technologie-Lieferkette aggressiv verändert und die KI-Firma Anthropic als "Lieferkettenrisiko" eingestuft und ihre Nutzung verboten, nachdem das Unternehmen sich geweigert hatte, seine Modelle für die Massenüberwachung und autonome Waffen einzusetzen. Der Konkurrent OpenAI hat inzwischen einen 200-Millionen-Dollar-Vertrag über den Einsatz seiner KI-Modelle in den geheimen Netzwerken des Pentagons erhalten.

Erhöhte Cyber-Bedrohungsaktivität

Nachrichtendienste für Bedrohungen bestätigen, dass staatlich geförderte iranische Akteure und Hacktivisten-Proxys ihre Operationen gegen westliche Ziele aktiv umrüsten und ausweiten. Das Risikofenster ist unmittelbar, wobei die folgenden Gruppen und Aktionen identifiziert wurden:

• Handala-Gruppe: Nimmt aktiv israelische industrielle Kontrollsysteme (ICS) ins Visier und behauptet, die jordanische Kraftstoffinfrastruktur und israelische Gesundheitsnetze gestört zu haben.

• Fatimiyoun Electronic Team: Versucht, zerstörerische Wiper-Malware gegen westliche Finanzinstitute und Energieunternehmen einzusetzen.

• Islamischer Cyber-Widerstand: Durchführung von DDoS-Angriffen (Distributed Denial of Service) und Datenlöschungsangriffen gegen US-amerikanische und israelische Militärlogistikanbieter.

• APT33 (Peach Sandstorm) / MuddyWater / APT42: Diese hochkompetenten Spionagegruppen wurden aktiviert und sind dafür bekannt, dass sie Passwort-Spraying, Spear-Phishing und benutzerdefinierte Hintertüren gegen die Luft- und Raumfahrt-, Verteidigungs-, Energie- und Telekommunikationsbranche einsetzen.

• Ausbeutung von Edge-Geräten: Bedrohungsakteure nutzen aktiv kritische Schwachstellen wie CVE-2026-20127 und CVE-2022-20775 in Cisco SD-WAN-Implementierungen aus, die Angreifern vollen administrativen Zugriff und eine Basis für laterale Bewegungen ermöglichen. Weitere Informationen hierzu finden Sie in diesem Advisory: https://insights.integrity360.com/threat-advisories/security-advisory-cve-2026-20127-cisco-catalyst-sd-wan-authentication-bypass

TTPs und IOCs

Es sind mehrere Taktiken, Techniken und Verfahren (TTPs) bekannt, die mit iranisch orientierten Bedrohungsakteuren in Verbindung gebracht werden, aber es wurden noch keine spezifischen Indikatoren für eine Kompromittierung (Indicators of Compromise, IOCs) im Zusammenhang mit den aktuellen Ereignissen bestätigt.

Auf der Grundlage historischer Aktivitäten wurden die folgenden MITRE ATT&CK-Techniken identifiziert:

• Erster Zugang:
• Phishing und Spearphishing (T1566)
• Ausnutzung von öffentlich zugänglichen Anwendungen (T1190)
• Ausnutzung von externen Remote-Diensten wie VPNs (T1133)
• Zugang zu Anmeldeinformationen:
• Brute-Force und Passwort-Spraying (T1110)
• Betriebssystem-Anmeldedaten-Dumping (T1003)
• Extrahieren von Anmeldeinformationen aus Kennwortspeichern (T1555)
• Persistenz und Umgehung von Verteidigungsmaßnahmen:
• Kontomanipulation (T1098)
• Prozess-Injektion (T1055)
• Beeinträchtigung von Verteidigungsmaßnahmen (T1562)
• Entfernen von Indikatoren auf dem Host (T1070)
• Datei-Verschleierung (T1027)
• Befehl und Kontrolle:
• Protokolle der Anwendungsschicht (T1071)
• Übertragung von Ingress-Tools (T1105)
• Verschlüsselte Kanäle (T1573)
• Auswirkungen:
• Datenzerstörung oder Wiper-Aktivität (T1485)
• Ransomware (T1486)
• Verhinderung der Systemwiederherstellung (T1490)
• Verunstaltung von Websites (T1491)

Ist ein sofortiges Blacklisting wirksam? Nein, sich ausschließlich auf schwarze Listen zu verlassen, ist in diesem Szenario aus einigen wichtigen Gründen keine effektive Primärstrategie:

• Fehlen von aktuellen IOCs: Sicherheitsforscher stellen fest, dass noch keine spezifische Kampagne bestätigt wurde, was bedeutet, dass es keine neuen, statischen Indikatoren (wie bösartige IP-Adressen oder Datei-Hashes) gibt, die sofort auf schwarze Listen gesetzt werden könnten.

• Konzentration auf Verhaltensweisen statt auf statische Indikatoren: Bedrohungsakteure kombinieren häufig einen auf Anmeldeinformationen basierenden Zugang, seitliche Bewegungen und zerstörerische Nutzlasten. Experten empfehlen ausdrücklich, dass Sicherheitsteams ihre Erkennungs- und Extended Detection and Response (EDR/XDR)-Funktionen so abstimmen, dass sie bösartige Verhaltensweisen im Zusammenhang mit diesen Techniken identifizieren, anstatt sich ausschließlich auf statische Blacklists zu verlassen.

• Missbrauch rechtmäßiger Infrastrukturen: Angreifer nutzen auf Anmeldeinformationen basierende Angriffe wie Passwort-Spraying und Phishing, um sich über legitime externe Zugangspunkte anzumelden. Darüber hinaus haben jüngste Kampagnen kompromittierte, legitime Websites missbraucht, um Trojaner für den Fernzugriff einzuschleusen, was die Erstellung schwarzer Listen von Domänen erschwert, ohne gutartige Dienste zu blockieren.

Schadensbegrenzung und empfohlene Maßnahmen

Da die Geografie keinen Schutz vor Cyberangriffen bietet, müssen Organisationen in den Bereichen Behörden, kritische Infrastrukturen, Verteidigung, Finanzen und Gesundheitswesen sofort eine verstärkte Verteidigungshaltung einnehmen.

• Sichern Sie industrielle Kontrollsysteme (ICS) Unternehmen aus den Bereichen Energie, Wasser und Produktion müssen ICS- und SCADA-Systeme sofort vom öffentlichen Internet isolieren, um Unterbrechungen im Stil von Handala zu vermeiden.

• Patching von Edge-Geräten Sofortige Überprüfung und Patching von internetfähigen Systemen auf bekannte Schwachstellen. Bundesbehörden und private Partner müssen sich dringend mit CVE-2026-20127 in Cisco SD-WAN-Systemen befassen und sollten in Erwägung ziehen, kompromittierte Controller vollständig neu aufzubauen, da Patches allein frühere Eindringlinge möglicherweise nicht beheben.

• Validierung von Backups und Ausfallsicherheit Stellen Sie die Integrität von Backups sicher, indem Sie Offline- oder unveränderliche Kopien aufbewahren, um eine schnelle Wiederherstellung nach einem möglichen Einsatz von Wiper-Malware oder Ransomware zu ermöglichen.

• Verbessern Sie die Identitäts- und Zugriffskontrollen Setzen Sie die Multi-Faktor-Authentifizierung (MFA) für alle Fernzugriffe und privilegierten Konten durch. Erhöhen Sie die Empfindlichkeit der Alarmtriage für Passwort-Spraying, Brute-Force-Versuche und Missbrauch von Anmeldeinformationen.

Wenn Sie sich über eine der in diesem Bulletin beschriebenen Bedrohungen Sorgen machen oder Hilfe benötigen, um herauszufinden, welche Schritte Sie unternehmen sollten, um sich vor den größten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer odernehmen Sie Kontakt auf, umzu erfahren, wie Sie Ihr Unternehmen schützen können.