Cybersicherheit im Verteidigungsbereich im Jahr 2026: Durchsetzte Grenzen, ungeprüfte Inhalte

Mehr als 80 % der Unternehmen aus der Luftfahrt- und Verteidigungsbranche waren in den letzten zwölf Monaten von einer Sicherheitsverletzung betroffen.^[3] Der Sektor verzeichnet wöchentlich rund 1.250 Cybervorfälle,^[4] wobei die Angriffe seit 2018 um 300 % zugenommen haben und 61 % der Unternehmen im vergangenen Jahr von Ransomware betroffen waren.^[5] Eine Sicherheitsverletzung kostet im Durchschnitt 5,46 Millionen US-Dollar, wobei Störungen geheimer Programme, die Gefährdung der Spionageabwehr oder das Vertragsrisiko infolge einer Kompromittierung von Lieferanten noch nicht berücksichtigt sind.^[6]

Threat Intelligence von Google bestätigte im Februar 2026, dass Spionagegruppen mit Verbindungen zu China in den letzten zwei Jahren die Verteidigungs- und Luft- und Raumfahrtindustrie stärker ins Visier genommen haben als jeder andere staatliche Akteur^[7] und dabei Edge-Geräte, VPN-Geräte und Dateiübertragungswege ausnutzten, um sich einen langfristigen Zugriff zu verschaffen. Russland, Iran und Nordkorea sind in derselben Industriebasis tätig. Hacktivistische DDoS-Kampagnen machen über 76 % des Vorfallvolumens in diesem Sektor aus (das Doppelte des branchenübergreifenden Durchschnitts^[8]), doch das Volumen ist nicht das entscheidende Maß. Die strategische Bedrohung ist präzise und geduldig. Sie klopft nicht an. Sie dringt durch Inhalte ein, denen bereits vertraut wird.

LOTL-Techniken (Living Off the Land), die bereits im Netzwerk vorhandene legitime Systemtools nutzen, ermöglichen es Angreifern, unbemerkt zu agieren. Bis die Verhaltensanalyse anspringt, hat sich ein versierter Angreifer oft schon lange genug im System eingenistet, um die Umgebung zu erfassen, hochwertige Ziele zu identifizieren und die Exfiltration vorzubereiten. Erkennung ist notwendig. Sie reicht jedoch nicht aus. Der Hebel liegt am Einstiegspunkt, nicht innerhalb des Netzwerks.

Zero Trust hat sich aus gutem Grund zum vorherrschenden Sicherheitsmodell in Verteidigungs- und Regierungsnetzwerken entwickelt. Kontinuierliche Authentifizierung, Zugriff nach dem Prinzip der geringsten Berechtigungen, Durchsetzung von Gerätesicherheitsstandards, Mikrosegmentierung – diese Kontrollmechanismen sind notwendig und gehören in jede Verteidigungsarchitektur. Das Problem liegt nicht bei Zero Trust. Das Problem besteht darin, es als vollständige Lösung für ein Problem zu betrachten, für dessen Lösung es nie konzipiert wurde. Zero-Trust-Zugang wurde entwickelt, um zu kontrollieren, wer Zugang zu einem Netzwerk erhält. Er wurde nicht entwickelt, um zu überprüfen, was über eine Grenze transportiert wird, sobald man sich im Netzwerk befindet. 

Die Einschränkung ist spezifisch. Zero Trust überprüft, wer die Grenze überschreitet. Die Inhaltsprüfung bestimmt, was die Grenze passieren darf. Eine Zero-Trust-Richtlinie stellt korrekt sicher, dass ein authentifizierter Benutzer auf einem autorisierten Gerät eine legitime Übertragung anfordert. Sie hat keinen Einblick darin, ob die zu übertragende Datei ein missbräuchlich genutztes Makro, eine verkettete schädliche Nutzlast oder einen Zero-Day-Exploit enthält, der in ein vertrauenswürdiges Dokumentformat eingebettet ist. 

Die Angreiferkampagnen, mit denen dieser Blog beginnt (BRICKSTORMs 393-tägiger Aufenthalt in A&D-Umgebungen, Volt Typhoons fünfjähriger Halt in kritischer US-Infrastruktur), haben die Zugriffskontrollen nicht überwunden. Sie drangen über Inhalte ein, bei denen die Zugriffskontrollen keinen Grund zur Skepsis hatten.  

Das Identitäts- und Zugriffsmanagement bildet die unverzichtbare erste Ebene. Die Inhaltsüberprüfung am physischen Zugangspunkt, an der Klassifizierungsgrenze und entlang der Software-Lieferkette ist die Ebene, die darüber entscheidet, was tatsächlich sein Ziel erreichen darf. Zusammen bilden sie ein vollständiges System. Für sich genommen lässt jede dieser Ebenen die Lücken der anderen unberücksichtigt. 

Die aus operativer Sicht bedeutendste Veränderung in der Landschaft der dateibasierten Bedrohungen in den Jahren 2025–2026 ist der Einsatz von KI bei der Erstellung von Malware und zur Umgehung von Sicherheitsmechanismen. Das Threat-Intelligence-Team von Google hat Malware-Familien identifiziert, die sich während der Angriffsphase in Echtzeit verändern,^[14] wobei sich der Aufwand für die Entwicklung von Exploits von mehreren Wochen auf nahezu null reduziert hat.^[15]

OPSWATeigene Untersuchungen dokumentierten ein konkretes Beispiel: die Technik der PDF-Verkettung, bei der eine schädliche PDF-Datei strukturell an eine harmlose angehängt wird. Bei Tests mit 34 Scan-Engines sank die Erkennungsrate von 34 auf 5, sobald die Dateien verkettet wurden.^[16] Drei Engines, die die Bedrohung zuvor erkannt hatten, meldeten sie nun nicht mehr. Der PDF-Reader des Benutzers stellte den Phishing-Inhalt genau so dar, wie es der Angreifer beabsichtigt hatte. Die Sicherheitsinfrastruktur bewertete ein anderes Dokument als das, das der Benutzer geöffnet hatte.

Es gibt keine Malware-Signatur zu finden. Kein Exploit zu erkennen. Nur eine strukturelle Anordnung eines legitimen Dateiformats, die dazu führt, dass Scanner und Lesegeräte unterschiedliche Inhalte erkennen. An einer Klassifizierungsgrenze kann eine einzelne Datei, die diese Technik nutzt, von „UNCLASSIFIED“ zu „SECRET“ wechseln, ohne einen Alarm auszulösen. Diese Lücke ist keine theoretische.

CDR (Content Disarm and Reconstruction) geht dieses Problem auf der Mechanismusebene an. CDR versucht nicht, schädliche Inhalte zu identifizieren, sondern zerlegt jede Datei in ihre Bestandteile, entfernt alle aktiven und ausführbaren Inhalte unabhängig von der Dateistruktur und erstellt eine saubere, funktionsfähige Version neu.

Eine KI-generierte Variante ohne bekannte Signatur, ein strukturell verkettetes schädliches Dokument, eine Office-Datei mit eingebetteten Makros, ein mit Schadcode versehenes Archiv: All diese werden durch denselben Prozess unschädlich gemacht, da CDR den Ausführungsmechanismus entfernt, bevor die Datei ihr Ziel erreicht.

CDR ist ein System zur Überwachung von Dateigrenzen. Es befasst sich weder mit LOTL-Aktivitäten innerhalb eines Netzwerks noch mit Angreifern, die sich bereits in der Umgebung befinden.

Die Anforderungen an domänenübergreifende Lösungen haben sich weiterentwickelt. Die Interessengruppen, die einen Datenaustausch benötigen, sind vielfältiger geworden. Die Datentypen haben sich von Standard-Produktivitätsdateien auf System-Workloads, Informationsfeeds und cloudnative Formate ausgeweitet. Die Entwicklung einer langlebigen CDS erfordert einen modularen, koordinierten Ansatz und keine statische Appliance.

MetaDefender Managed File Transfer die sichere Erfassung und Übertragung von Dateien über klassifizierte und nicht klassifizierte Netzwerke hinweg, setzt Übertragungsrichtlinien durch und sorgt für Routing-Logik sowie Prüfpfade über den gesamten Workflow hinweg. Die Dateien durchlaufen den MetaDefender Core , um an jeder Grenze einer Inhaltsprüfung unterzogen zu werden. Zusammen bilden sie eine einheitliche, richtliniengesteuerte domänenübergreifende Architektur: MetaDefender Managed File Transfer den Datenfluss, während MetaDefender Core , was übertragen wird.

CMMC 2.0 ist seit dem 10. November 2025 in Verträgen des Verteidigungsministeriums verbindlich. Zum ersten Mal wird die Cybersicherheit von Rüstungsunternehmen überprüft, anstatt dass diese eine Selbsterklärung abgeben. Abschnitt 866 des NDAA für das Haushaltsjahr 2026 verpflichtet das Verteidigungsministerium, die Cybersicherheitsanforderungen für die Verteidigungsindustrie bis zum 1. Juni 2026 zu vereinheitlichen – mit weniger vertragsbezogenen Vorschriften, dafür aber einer strengeren und einheitlicheren Durchsetzung.

Beide Entwicklungen sind von Bedeutung. Keine von beiden schließt die oben beschriebenen Lücken. Die 110 Kontrollmaßnahmen der CMMC-Stufe 2 wurden entwickelt, um das Mindestniveau in der gesamten Industrie anzuheben, anstatt konkrete Maßnahmen vorzuschreiben, die diese Angriffsflächen adressieren. Die Kontrollmaßnahmen verlangen keine physische Medienprüfung an den Zugangspunkten zu den Einrichtungen, keine Überprüfung von Dateiinhalten an domänenübergreifenden Grenzen, keine Transparenz von Softwarekomponenten auf der Ebene der Abhängigkeiten oder keine Inline-Inhaltsprüfung in Verbindung mit einer hardwaregestützten Netzwerktrennung.

Ein Auftragnehmer kann eine Bewertung der Stufe 2, einschließlich der C3PAO-Überprüfung, bestehen, auch wenn jede einzelne dieser Lücken vollständig unberücksichtigt bleibt. Nur 21 % der Verteidigungsunternehmen hatten bis 2025 CMMC-konforme Technologie ausgewählt.^[17] Bis Dezember 2025 waren lediglich 92 C3PAOs zugelassen worden, bei einer industriellen Basis von mehr als 80.000 Auftragnehmern.^[18] Die Compliance-Infrastruktur hat noch nicht aufgeholt.

Es gibt einen zweiten wichtigen Unterschied, der bei der Akkreditierung eine Rolle spielt. CMMC regelt die Sicherheitspraktiken des Auftragnehmers. Es zertifiziert jedoch nicht die Tools, die zur Umsetzung dieser Praktiken verwendet werden. Die Common-Criteria-Zertifizierung (vorgeschrieben durch NSTISSP Nr. 11 für IA-Produkte in nationalen Sicherheitssystemen) überprüft die Sicherheitseigenschaften eines bestimmten Produkts durch die Bewertung durch ein akkreditiertes unabhängiges Labor. Ein CC-zertifiziertes Produkt, das zur Erfüllung einer CMMC-Kontrollmaßnahme eingesetzt wird, liefert einem C3PAO-Prüfer laborverifizierte Nachweise.

CMMC und Common Criteria sind sich ergänzende Rahmenwerke. Das eine regelt, was die Organisation tut, das andere überprüft, ob das Tool hält, was es verspricht. Es ist wichtig zu wissen, welches welches ist.

MetaDefender etwa 20 der 110 CMMC-Level-2-Kontrollen MetaDefender – jene Teilmenge, für die die meisten Sicherheitslösungen nicht konzipiert wurden. Zugriffskontrolle, Protokollierung, Reaktion auf Vorfälle und Personalsicherheit fallen nicht in den Anwendungsbereich. Der Mehrwert liegt in der Präzision: die strengen Kontrollen an den Grenzen, die Ihre bestehende Lösung nicht abdecken kann, und die nach einem unabhängigen Laborstandard verifiziert wurden.

Die Organisationen, die in den nächsten drei Jahren am besten aufgestellt sind, sind nicht diejenigen mit den größten Sicherheitsbudgets oder den meisten abgehakten CMMC-Kontrollmaßnahmen. Es sind diejenigen, die ihre tatsächliche Angriffsfläche – die physischen Zugangspunkte, die Klassifizierungsgrenzen, die OT-IT-Schnittstellen, die Software-Lieferkette – genau erfasst und an jeder dieser Stellen geprüfte Kontrollmaßnahmen implementiert haben.

Die Erkennung innerhalb des Netzwerks hinkt einem raffinierten Angreifer, der sich bereits festgesetzt hat, stets hinterher. Der entscheidende Hebel liegt in der Prävention an der Grenze – bevor eine Datei ausgeführt wird, bevor ein Gerät eine Verbindung herstellt und bevor eine Nutzlast eine Klassifizierungsgrenze überschreitet. Genau hier OPSWAT .

Vereinbaren Sie einen Termin für ein Beratungsgespräch, um Ihre spezifische Umgebung und Architektur zu besprechen.

Sind Sie noch dabei, Ihre CDS-Architektur zu planen? Laden Sie den „Cross-Domain Solutions Buyer’s Guide for Government & Defense“ herunter, der von CDS-Experten für Programmmanager, Sicherheitsarchitekten und Beschaffungsteams erstellt wurde, die moderne domänenübergreifende Anforderungen evaluieren.