Verizon DBIR 2026 zeigt, dass Dritte bereits bei 30 % der Unternehmensverletzungen beteiligt sind
Der Jahresbericht analysierte 22.052 Vorfälle und 12.195 bestätigte Verstöße und verdoppelte das Gewicht, das Lieferanten und Partner als Schwachstelle zugewiesen wird.
Exekutive Zusammenfassung
Kontext
Verizon veröffentlichte im Mai 2026 die neueste Ausgabe des Data Breach Investigations Report (DBIR), der sich auf Vorfälle bezieht, die zwischen dem 1. November 2024 und dem 31. Oktober 2025 registriert wurden. Die Basis umfasst 22.052 Vorfälle und 12.195 bestätigte Verstöße, die größte Stichprobe seit Beginn der Reihe im Jahr 2008.
Der zentrale Schwerpunkt dieser Ausgabe ist die Konsolidierung des Risikos von Dritten als strukturelle Variable im Bedrohungsszenario. Der Prozentsatz der Verstöße, die Lieferanten, SaaS-Plattformen, MSPs oder Datenverarbeiter betreffen, stieg von etwa 15 % im vorherigen DBIR auf 30 % in dieser Ausgabe.
Die Daten
Die durch das DBIR 2026 konsolidierten Zahlen reorganisieren die Prioritäten für defensive Investitionen. Die Ausnutzung von Schwachstellen als Eingangspunkt erreichte 20 % der Verstöße, ein Anstieg von 34 % im Vergleich zum vorherigen Zyklus. Der Fokus der Angreifer lag auf Edge Devices: VPNs, Perimeter-Firewalls und Geräten, die dem Internet ausgesetzt sind, wie in der technischen Analyse des Berichts von Beyond Identity detailliert beschrieben.
Kompromittierte Anmeldeinformationen bleiben der häufigste Zugangsweg: In 22 % der Fälle vorhanden. Ransomware wurde in 44 % der Verstöße identifiziert, ein signifikanter Anstieg im Vergleich zu 32 % im DBIR 2025. Menschliches Versagen, zusammengefasst betrachtet, ist in 60 % der Fälle vorhanden.
Verizon gab keine spezifische Aufschlüsselung für Brasilien bekannt, aber das methodologische Design des DBIR umfasst globale Vorfälle, mit aktiver Beteiligung des Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança in Brasilien (CERT.br) und von Reaktionsteams im LATAM-Kontext.
Sektoraler Einfluss
Für den brasilianischen IT-Markt zeichnen sich zwei unmittelbare Auswirkungen ab. Die erste ist regulatorisch: Das Allgemeine Datenschutzgesetz (LGPD) weist eine geteilte Verantwortung zwischen Steuerer und Betreiber zu. Mit Dritten, die für 30 % der globalen Verstöße verantwortlich sind, wird das Risiko von Sanktionen durch die ANPD aufgrund von Mängeln in der Lieferkette materiell relevanter für Integratoren, MSPs und SaaS-Entwickler, die Kundendaten brasilianischer Unternehmen verarbeiten.
Die zweite ist vertraglich. Klauseln zur Prüfung von Dritten, SLA für Benachrichtigungen und Prüfungsrecht, die derzeit noch heterogen in B2B-Verträgen in Brasilien sind, dürften zum Standard in RFPs großer Unternehmen werden. IT-Beratungsunternehmen, die Dienstleistungen für Banken, Einzelhändler und Telekommunikationsanbieter erbringen, müssen detaillierte Fragen zu Subunternehmern, Patch-Management-Politik und Identitätsmanagement antizipieren.
Die Kombination aus Ausnutzung von Schwachstellen in Edge Devices und Ransomware als Endziel verstärkt den Fahrplan für die Migration zu Zero-Trust-Architekturen und identitätsbasierter Netzwerksegmentierung, Agenden, die bereits seit 2024 von Gartner und Forrester priorisiert werden.
Risiken und Chancen
Das direkte finanzielle Risiko geht über die regulatorische Geldbuße hinaus. Das Ponemon Institute dokumentiert in seiner Reihe "Cost of a Data Breach" mit IBM in den letzten fünf Jahren steigende Durchschnittskosten pro Vorfall. Für das C-Level in Brasilien muss das Risiko LGPD + Kosten für die Behebung + reputationaler Schaden + operationale Unterbrechung gemeinsam modelliert werden, nicht isoliert.
Die Geschäftsmöglichkeit liegt in der Konsolidierung von Dienstleistungen des Third-Party Risk Management (TPRM) als eigenständiger Einnahmequelle. Lokale MSSPs wie Tempest, Cipher und ISH bieten bereits den Service an, jedoch mit begrenzter Skalierung. Das Signal des DBIR 2026 deutet auf Platz für aggressives Wachstum in diesem Segment über die Jahre 2026 und 2027 hin.
Worauf Führungskräfte achten sollten
1. Sofortige Prüfung kritischer Lieferanten: Die Top 20 Lieferanten nach Volumen der verarbeiteten Daten oder Zugangskritikalität kartieren. SOC 2 Type II, ISO 27001 oder gleichwertige Zertifizierungen verlangen, mit kontrolliertem Ablauf im Compliance-Pipeline.
2. Patch-Management von Edge Devices als Budgetpriorität: Einen dedizierten Zyklus für Patch-Management für VPNs, Firewalls und exponierte Router reservieren. Internen maximalen SLA von 72 Stunden für CVEs mit CVSS über 7,5 definieren.
3. Überprüfung von B2B-Vertragsklauseln: Standardisierung von Entwürfen mit Prüfungsrecht, SLA für die Benachrichtigung über Vorfälle innerhalb von 24 Stunden und solidarische Verantwortung für Verstöße, die von Subunternehmern ausgehen.