Die Cyberlage im Juli 2026

Die Bedrohungslage bleibt angespannt. Angreifer konzentrieren sich weiterhin auf Systeme, die aus dem Internet erreichbar sind, bekannte Schwachstellen aufweisen oder mit besonders hohen Berechtigungen betrieben werden.

Im Mittelpunkt stehen aktuell vor allem:

• aktiv ausgenutzte Schwachstellen in Microsoft SharePoint Server
• eine außergewöhnlich hohe Zahl veröffentlichter Microsoft-Sicherheitsupdates
• Angriffe auf Identitäts- und Authentifizierungssysteme
• gestohlene oder mehrfach verwendete Zugangsdaten
• Ransomware-Angriffe auf Unternehmen und Organisationen
• ungepatchte VPN-, Firewall- und Fernwartungssysteme
• unzureichend überwachte Administratorzugänge
• fehlende oder nicht getestete Wiederherstellungsverfahren

Viele dieser Angriffe beruhen nicht auf völlig neuen Methoden. Häufig werden bereits bekannte Schwachstellen, alte Benutzerkonten, ungeschützte Fernzugänge oder fehlende Mehrfaktor-Authentifizierung genutzt.

Microsoft veröffentlicht Rekordmenge an Sicherheitsupdates

Microsoft hat im Juli 2026 die bislang größte monatliche Sammlung von Sicherheitskorrekturen veröffentlicht. Je nach Zählweise umfassen die Auswertungen rund 570 bis zu 622 Schwachstellenmeldungen.

Die unterschiedliche Anzahl entsteht dadurch, dass Sicherheitsunternehmen Browserkomponenten, erneut veröffentlichte Schwachstellen und weitere Produktgruppen unterschiedlich in ihre Gesamtzählung einbeziehen.

Unabhängig von der genauen Zahl ist die operative Bedeutung eindeutig: Unternehmen müssen eine außergewöhnlich große Menge an Sicherheitsupdates bewerten, testen und verteilen.

Betroffen sind unter anderem:

• Windows-Client- und Windows-Server-Systeme
• Microsoft Office
• Microsoft SharePoint Server
• Active Directory Federation Services
• BitLocker und weitere Windows-Sicherheitskomponenten
• Microsoft-Entwicklungs- und Serverprodukte
• verschiedene Komponenten für Netzwerk, Authentifizierung und Rechteverwaltung

Mehrere im Juli behandelte Schwachstellen waren bereits öffentlich bekannt oder wurden nach Angaben der Sicherheitsbehörden aktiv ausgenutzt.

Aktive Angriffe auf Microsoft SharePoint Server

Besonders dringlich ist die Situation bei lokal betriebenen Microsoft-SharePoint-Servern. Die US-amerikanische Cybersecurity and Infrastructure Security Agency, kurz CISA, hat im Juli mehrere SharePoint-Schwachstellen in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen.

Angreifer können solche Schwachstellen nutzen, um sich unberechtigten Zugriff auf SharePoint-Umgebungen zu verschaffen, Berechtigungen auszuweiten oder Schadcode auf betroffenen Systemen auszuführen.

Besonders gefährdet sind:

• lokal betriebene SharePoint-Server
• aus dem Internet erreichbare SharePoint-Installationen
• Systeme ohne aktuellen Patchstand
• Server mit unzureichender Protokollierung
• Umgebungen ohne zentrale Überwachung sicherheitsrelevanter Ereignisse
• Server mit weitreichenden Dienst- oder Administratorkonten

Unternehmen, die SharePoint ausschließlich als Microsoft-Cloud-Dienst verwenden, sind von lokalen Serverlücken nicht in gleicher Weise betroffen. Entscheidend ist deshalb zunächst die Frage, ob ein eigener SharePoint-Server im Unternehmen oder bei einem Dienstleister betrieben wird.

Ein Sicherheitsupdate beseitigt keine bereits erfolgte Kompromittierung

Das Einspielen eines Sicherheitsupdates schließt die bekannte Schwachstelle. Es entfernt jedoch nicht automatisch Schadsoftware, manipulierte Konten, eingerichtete Hintertüren oder bereits entwendete Zugangsdaten.

Wurde eine Schwachstelle vor der Installation des Updates ausgenutzt, müssen zusätzliche Prüfungen durchgeführt werden.

Dazu gehören unter anderem:

• Auswertung der System- und Sicherheitsprotokolle
• Prüfung neu angelegter oder veränderter Benutzerkonten
• Kontrolle von Administrator- und Dienstkonten
• Überprüfung ungewöhnlicher Anmeldungen
• Suche nach verdächtigen Dateien, Prozessen und geplanten Aufgaben
• Kontrolle ausgehender Netzwerkverbindungen
• Änderung möglicherweise kompromittierter Zugangsdaten
• Prüfung verbundener Systeme und Dienste

Gerade bei aktiv ausgenutzten Schwachstellen reicht die Feststellung „Das Update ist installiert“ deshalb nicht aus.

Ein Patch schließt die Tür.
Er beantwortet aber nicht die Frage, ob bereits jemand durch diese Tür gegangen ist.

Ransomware bleibt eine zentrale Bedrohung

Ransomware-Angriffe bleiben auch im Juli 2026 eine erhebliche Gefahr für Unternehmen, Arztpraxen, Kanzleien, soziale Einrichtungen und öffentliche Stellen.

Moderne Ransomware-Angriffe bestehen häufig aus mehreren Phasen:

• Erstzugriff über eine Schwachstelle oder gestohlene Zugangsdaten
• Ausweitung der Berechtigungen im Netzwerk
• Ausspähung von Servern, Sicherungen und Benutzerkonten
• Entwendung sensibler Unternehmensdaten
• Manipulation oder Löschung erreichbarer Sicherungen
• Verschlüsselung zentraler Systeme
• Erpressung mit Ausfall und Veröffentlichung entwendeter Daten

Der sichtbare Verschlüsselungsvorgang ist damit häufig nur der letzte Schritt eines Angriffs, der bereits Tage oder Wochen zuvor begonnen hat.

Ein funktionierendes Monitoring kann helfen, ungewöhnliche Anmeldungen, auffällige Prozesse, deaktivierte Schutzfunktionen oder ungewöhnliche Datenbewegungen frühzeitig zu erkennen.

Identitäten und Benutzerkonten werden immer wichtiger

Viele Sicherheitsvorfälle beginnen heute nicht mehr mit einem klassischen Computervirus, sondern mit einem gültigen Benutzerkonto.

Gelangen Angreifer an Zugangsdaten, können sie sich zunächst wie ein regulärer Benutzer anmelden. Besonders kritisch wird dies, wenn das Konto administrative Rechte besitzt oder keine Mehrfaktor-Authentifizierung aktiviert ist.

Unternehmen sollten deshalb regelmäßig prüfen:

• Welche Benutzerkonten existieren?
• Welche Konten werden noch benötigt?
• Welche Konten besitzen administrative Rechte?
• Ist Mehrfaktor-Authentifizierung aktiviert?
• Gibt es alte Dienstleister- oder Fernwartungskonten?
• Werden ungewöhnliche Anmeldungen erkannt?
• Wer kontrolliert Änderungen an privilegierten Konten?

Besonders schützenswert sind globale Microsoft-365-Administratoren, Domänenadministratoren, Backup-Administratoren, Firewall-Zugänge und Konten für Fernwartungssysteme.

Internetfähige Systeme zuerst prüfen

Bei einer großen Zahl neuer Sicherheitsupdates sollten Unternehmen nicht ausschließlich nach Produktnamen oder numerischen Risikowerten priorisieren.

Zuerst sollten Systeme geprüft werden, die:

• direkt aus dem Internet erreichbar sind
• Fernzugriffe ermöglichen
• zentrale Anmeldedaten verwalten
• besonders hohe Berechtigungen besitzen
• geschäftskritische Daten verarbeiten
• mit vielen weiteren Systemen verbunden sind
• keine zentrale Überwachung besitzen

Dazu zählen häufig Firewalls, VPN-Gateways, Exchange- und SharePoint-Server, Fernwartungsplattformen, Microsoft-365-Administrationskonten, Hypervisoren, Backup-Systeme und Domänencontroller.

Backup allein ist noch keine Wiederherstellungsstrategie

Eine vorhandene Datensicherung ist ein wichtiger Bestandteil der IT-Sicherheit. Sie bietet jedoch nur dann belastbaren Schutz, wenn die Sicherungen vollständig, aktuell, geschützt und wiederherstellbar sind.

Unternehmen sollten deshalb nicht nur kontrollieren, ob ein Backup-Job erfolgreich gemeldet wurde.

Entscheidend sind unter anderem:

• Welche Systeme und Daten werden tatsächlich gesichert?
• Wie lange werden Sicherungen aufbewahrt?
• Kann ein Angreifer die Sicherungen aus dem Produktivnetz erreichen?
• Existiert mindestens eine getrennte oder unveränderbare Sicherung?
• Wann wurde zuletzt eine Wiederherstellung getestet?
• Wie lange würde ein vollständiger Wiederanlauf dauern?
• Wer ist im Notfall für die Wiederherstellung verantwortlich?

Gerade nach einem Ransomware-Angriff entscheidet nicht die Existenz eines Backup-Symbols, sondern die praktisch nachgewiesene Wiederherstellbarkeit.

Monitoring und Reaktion gehören zusammen

Monitoring soll nicht nur anzeigen, ob ein Server erreichbar ist. Ein sinnvoller Sicherheitsbetrieb überwacht auch sicherheitsrelevante Veränderungen.

Dazu können gehören:

• fehlgeschlagene oder ungewöhnliche Anmeldungen
• neu angelegte Administratorkonten
• deaktivierte Schutzfunktionen
• fehlgeschlagene Datensicherungen
• ungewöhnliche Systemauslastung
• verdächtige Netzwerkverbindungen
• ungeplante Änderungen an zentralen Diensten
• veraltete oder nicht erreichbare Systeme
• kritische Sicherheitsmeldungen von Endgeräten und Servern

Ebenso wichtig ist die Frage, wer auf eine Meldung reagiert. Ein Alarm ohne klare Zuständigkeit reduziert das Risiko nur eingeschränkt.

Was Unternehmen im Juli 2026 konkret tun sollten

Aus der aktuellen Cyberlage ergeben sich konkrete Maßnahmen, die Unternehmen jetzt priorisieren sollten.

• Microsoft-Sicherheitsupdates vom Juli zeitnah bewerten und installieren.
• Lokal betriebene SharePoint-Server sofort identifizieren und prüfen.
• Internetfähige Systeme und Fernzugänge priorisiert aktualisieren.
• Administratorkonten und nicht mehr benötigte Benutzerkonten kontrollieren.
• Mehrfaktor-Authentifizierung für externe und privilegierte Zugänge aktivieren.
• Protokolle gefährdeter Systeme auf verdächtige Aktivitäten prüfen.
• Backup-Berichte kontrollieren und eine Wiederherstellung testen.
• Schutzsysteme, Monitoring und Benachrichtigungswege überprüfen.
• Verantwortlichkeiten für Sicherheitsmeldungen und Notfälle festlegen.
• Erkannte Risiken und durchgeführte Maßnahmen nachvollziehbar dokumentieren.

Warum strukturiertes Patchmanagement wichtiger wird

Die hohe Zahl veröffentlichter Schwachstellen zeigt, dass ein rein manueller und unstrukturierter Umgang mit Updates immer schwieriger wird.

Unternehmen benötigen einen nachvollziehbaren Prozess:

• Welche Systeme sind vorhanden?
• Welche Sicherheitsupdates sind relevant?
• Welche Systeme haben die höchste Priorität?
• Welche Updates wurden erfolgreich installiert?
• Welche Systeme konnten nicht aktualisiert werden?
• Welche Ausnahmen und verbleibenden Risiken bestehen?
• Wer kontrolliert das Ergebnis?

Erst durch diese Struktur wird aus dem regelmäßigen Installieren von Updates ein belastbares Patchmanagement.

Cyberlage für Unternehmen im Ruhrgebiet

Unternehmen im Ruhrgebiet sind denselben automatisierten Angriffswellen ausgesetzt wie große Organisationen und internationale Konzerne.

Ob in Bochum, Herne, Dortmund, Essen, Gelsenkirchen, Witten, Recklinghausen, Castrop-Rauxel, Hattingen, Duisburg, Oberhausen oder Mülheim an der Ruhr: Öffentlich erreichbare Systeme werden fortlaufend automatisiert gesucht und auf bekannte Schwachstellen geprüft.

Besonders kleinere und mittlere Unternehmen verfügen häufig über gewachsene IT-Strukturen. Einzelne Server, ältere Fachanwendungen, Fernwartungszugänge, Microsoft 365, lokale Datensicherungen und externe Dienstleister müssen gemeinsam betrachtet werden.

Die InoBit Datensysteme GmbH unterstützt Unternehmen und Arztpraxen im Ruhrgebiet dabei, Sicherheitsupdates, Monitoring, Backupkontrollen, Zugänge und Wiederherstellungsverfahren strukturiert zu betreiben.

Fazit: Entscheidend ist die Verbindung aus Prävention, Kontrolle und Wiederherstellung

Der Juli 2026 zeigt eindrücklich, wie schnell Unternehmen mit einer großen Zahl neuer Sicherheitsmeldungen und aktiv ausgenutzter Schwachstellen konfrontiert werden können.

Einzelne Sicherheitsprodukte reichen dafür nicht aus. Unternehmen benötigen einen laufenden Prozess aus Bestandsaufnahme, Priorisierung, Patchmanagement, Monitoring, Backupkontrolle und dokumentierter Reaktion.

Besonders wichtig ist die Unterscheidung zwischen einer geschlossenen Schwachstelle und einer möglicherweise bereits erfolgten Kompromittierung. Bei aktiv ausgenutzten Sicherheitslücken muss deshalb neben dem Update auch eine Prüfung auf verdächtige Aktivitäten erfolgen.

Unternehmen, die ihre Systeme kennen, kritische Zugänge schützen, Sicherheitsmeldungen überwachen und Wiederherstellungen regelmäßig testen, reduzieren ihre Abhängigkeit vom Zufall erheblich.

IT-Sicherheit entsteht nicht durch ein einzelnes Produkt. Sie entsteht durch regelmäßige Prüfung, klare Zuständigkeiten, kontrollierte Updates und eine nachgewiesene Wiederherstellbarkeit.

Genau dabei unterstützt InoBit: mit technischer Erfahrung, strukturierten Abläufen und einem klaren Blick auf die Anforderungen kleiner und mittlerer Unternehmen.

Wichtiger Hinweis

Dieser Cyberlagebericht fasst öffentlich bekannte Entwicklungen und Warnmeldungen mit Stand Juli 2026 zusammen. Er dient der allgemeinen Information und ersetzt keine individuelle technische Prüfung der eingesetzten Systeme.

Welche Maßnahmen erforderlich sind, hängt von der vorhandenen IT-Infrastruktur, den eingesetzten Produkten, der Erreichbarkeit der Systeme, dem aktuellen Patchstand und den vorhandenen Schutz- und Wiederherstellungsverfahren ab.