Italien als Ausreißer der Cyberkriminalität: Zugänge über Schwachstellen statt Zugangsdaten

Ausgangspunkt der Untersuchung waren die eigenen Monatsstatistiken des Unternehmens. „Einer der Hauptgründe, warum wir uns die italienische Bedrohungslandschaft angesehen haben, ist, dass Italien in unseren internen Monatsberichten immer wieder ganz oben in den Statistiken auftauchte", sagt Gianluca Tiepolo, Cybercrime-Analyst bei Intel471. „Wir wollten verstehen, was hinter diesen Zahlen steckt."

Dass bestimmte Länder aus wirtschaftlichen, militärischen oder politischen Gründen einem höheren Cyberrisiko ausgesetzt sind, ist nicht ungewöhnlich: Israel zieht Hacktivisten und staatsnahe APT-Gruppen der Region an, Brasilien gilt wegen seiner besonderen Geschichte als Brutstätte für Banking-Trojaner, die US-Wirtschaft als größtes Ziel für Betrüger. Warum ausgerechnet Italien – gemessen an Größe, Wirtschaftskraft und Politik das 25.-größte Land der Welt – so häufig kompromittiert wird, ist dagegen weniger offensichtlich. Italien belegt außerdem Rang vier unter den am stärksten von Ransomware betroffenen Ländern.

Besonders auffällig ist die Struktur der Einbrüche. In Italien erklärten gestohlene Zugangsdaten nur 23 % der Fälle. Die von IABs verkauften Zugänge betrafen in 49 % der Fälle die Web-Infrastruktur der Opfer, Fernzugriffs- und Remote-Desktop-Werkzeuge machten 26 % aus.

Der Vergleich mit den globalen Zahlen aus dem Bericht „2026 Cyber Threat Trends & Outlook" desselben Unternehmens macht den Kontrast deutlich:

• Weltweit zielten IABs 2025 in 67 % der Fälle auf Fernzugriffs- und Remote-Desktop-Werkzeuge – relativ gesehen 41 % häufiger als in Italien.
• Web-Infrastruktur, in Italien die mit Abstand am stärksten gefährdete Ressource, spielte in den globalen Daten eine so geringe Rolle, dass sie im globalen Bericht gar nicht erst aufgeführt wurde.
• Weltweit sind zugangsdatenbasierte Angriffe achtmal häufiger als jede andere Angriffsart; 49 % der IAB-Angebote warben mit Zugangsdaten – gegenüber 23 % in den italienspezifischen Daten.
• Ausgenutzte Schwachstellen tauchten global in nur 6,5 % der Fälle auf, in Italien in rund 57 %.

Theorie 1: Nachholbedarf bei der Sicherheitshygiene

Cybersicherheitsdaten ließen sich je nach Umständen unterschiedlich lesen, räumt Tiepolo ein – doch Italien wirke wie ein Einhorn unter den Cyberrisikoprofilen, und das Land hinke seit Längerem bei der Cyberabwehrbereitschaft hinterher. „Ich bin Italiener", sagt er. „Ich habe mit vielen verschiedenen italienischen Kunden gearbeitet. Was ich sagen kann: Italien liegt – schlicht gemessen an der Einführung von Sicherheitstechnologie – wahrscheinlich etwas hinter anderen europäischen Ländern. Endpoint Detection and Response (EDR) wurde in Italien etwa erst um 2020, 2021 herum populär. Vor 2020 nutzten die meisten italienischen Unternehmen keine EDR-Technologie. Historisch gesehen ist Italien also vielleicht etwas spät dran, was Investitionen in Sicherheitsprodukte und -technologien angeht."

Hinzu kommt, dass opportunistische Kriminelle bekannte, weit verbreitete und oft recht alte Schwachstellen massenhaft ausnutzen und so in Italien mehr Opfer einsammeln als anderswo. „Die Daten, die wir vergangene Woche von PHP2Shell gesehen haben, bestätigen diese Einschätzung meiner Meinung nach. Italien ist das Land in Europa mit der größten Zahl an PHP-Versionen 4, 5 und 7, die allesamt das Ende ihres Lebenszyklus erreicht haben", so Tiepolo.

„Ganze 90 % der Erstzugangsangebote für Italien sind das, was wir ‚Großhandelsangebote’ nennen", führt er aus. „Das sind keine Angebote, die gezielt auf Italien zielen, sondern schlicht Ausnutzung von Schwachstellen. Unsere Einschätzung ist, dass Italien beim Patchen seiner Systeme wahrscheinlich langsamer ist als andere Länder."

Theorie 2: Netzwerkeffekt beim Cyberrisiko

Eng damit verbunden ist die Überlegung, dass Italien einem Netzwerkeffekt der Verwundbarkeit zum Opfer fällt: Sind bestimmte Technologien in einem Land besonders verbreitet und werden Lücken darin nur langsam geschlossen, entsteht für Angreifer eine attraktive Skalenökonomie.

Im Bericht heißt es dazu: „Sobald ein Akteur eine wirksame Ausnutzungsmethode entwickelt hat, kann er diese Methode auf weitere exponierte Systeme anwenden, ohne gegen jede Organisation einzeln eine aufwendige Aufklärung durchführen zu müssen. Das senkt den Aufwand, Unternehmen zu kompromittieren, deren Größe oder Profil sonst nur wenig Anreiz für einen gezielten Einbruch böten."

Welche Technologien, Schwachstellen oder Exploits konkret gemeint sind, konnten die Forscher nicht sagen. Sie verweisen jedoch darauf, dass sich die Theorie mit dem Befund deckt, wonach 90 % der online angebotenen Erstzugänge zu italienischen Organisationen in Bündeln verkauft werden.

Ohne sich die Daten und Schlussfolgerungen von Intel471 ausdrücklich zu eigen zu machen, berichten Vertreter des Mailänder Sicherheitsunternehmens Cleafy von im Großen und Ganzen ähnlichen Mustern. „Unsere Bedrohungsforschung deutet auf ein verwandtes Muster hin: Angreifer verwenden Werkzeuge, Infrastruktur und Techniken wieder, um Kampagnen über italienische Bankziele hinweg zu skalieren", teilte das Unternehmen per E-Mail mit. Als Beispiel nennt Cleafy das Web-Injection-Kit drIBAN, mit dem Angreifer das in Italien weit verbreitete System der zertifizierten elektronischen Post (PEC) ausnutzten. Fälle wie drIBAN „belegen nicht, dass Italien einen überproportional großen Markt für Erstzugänge hat, aber sie zeigen, wie wiederverwendbare Angriffstechniken und -infrastruktur Cyberkriminellen helfen können, ihre Operationen über mehrere Ziele hinweg zu skalieren."

Theorie 3: Der Mittelstand verzerrt die Statistik

Ein dritter, möglicherweise gewichtiger Faktor ist die ausgeprägte Kleinbetriebsstruktur der italienischen Wirtschaft. Zwar sind Unternehmen überall mehrheitlich klein, im Vergleich zu anderen fortgeschrittenen Volkswirtschaften gilt das für Italien jedoch besonders. Eine McKinsey-Datenübersicht zu Italien vom Mai 2024 kam zu dem Ergebnis, dass Kleinst-, kleine und mittlere Unternehmen (MSMEs) rund 10 % mehr zu Wirtschaftsleistung und Beschäftigung beitragen als ihr relativer Anteil in anderen fortgeschrittenen Volkswirtschaften. Ein im vergangenen März veröffentlichter Bericht der OECD führt an, dass 2023 99,9 % der italienischen Unternehmen KMU waren und 94,8 % Kleinstunternehmen.

„Italien hat sehr viele kleine und mittlere Unternehmen", sagt Tiepolo. „Eines der Ergebnisse aus den Daten – insbesondere aus den Erpressungsdaten – ist, dass diese Gruppen überproportional kleine und mittlere Unternehmen ins Visier nehmen. Das könnte einer der Gründe sein, warum Italien im Vergleich zu Ländern mit mehr Großunternehmen heraussticht."