Initial Access ist der erste Zugang eines Angreifers zu einem Zielnetz – über Phishing, ausgenutzte Schwachstellen, gestohlene Zugangsdaten oder gekaufte Zugänge der Startpunkt jedes Angriffs.
Initial Access – der Erstzugriff – bezeichnet den ersten Fuß in der Tür: den Moment, in dem ein Angreifer erstmals in ein Zielnetz oder eine Zielumgebung gelangt. Alles Weitere – Rechteausweitung, Lateral Movement, Datenabfluss – setzt diesen ersten Zugang voraus. Für Verteidiger ist Initial Access deshalb die Linie, an der sich der meiste Aufwand konzentriert, und zugleich die Linie, die erfahrungsgemäß irgendwann überwunden wird.
In MITRE ATT&CK ist Initial Access eine eigene Taktik (TA0001) mit Techniken wie Phishing (T1566), „Exploit Public-Facing Application“ (T1190), „Valid Accounts“ (T1078) und „Trusted Relationship“ (T1199), also dem Weg über einen kompromittierten Dienstleister. Welche Technik dominiert, verschiebt sich über die Jahre – der Zugang selbst bleibt das Nadelöhr.
Die wichtigsten Wege
Aktuelle Lagebilder zeigen ein klares Feld der häufigsten Erstzugriffswege:
- Ausgenutzte Schwachstellen: Laut Mandiant M-Trends 2026 mit 32 Prozent der häufigste Erstzugriff; betroffen sind vor allem internetseitige Systeme wie VPN-Gateways, Firewalls und Webanwendungen (Exploit).
- Gestohlene und schwache Zugangsdaten: Über Phishing, Credential Stuffing oder Info-Stealer erbeutet und als gültige Konten („Valid Accounts“) genutzt – besonders gefährlich ohne MFA.
- Vishing und Social Engineering: Laut Mandiant M-Trends 2026 erreichte Vishing mit 11 Prozent Platz zwei, E-Mail-Phishing lag bei 6 Prozent.
- Gekaufte Zugänge: Initial Access Broker verkaufen bereits erlangte Zugänge an Ransomware-Gruppen – der Erstzugriff wird zur handelbaren Ware.
Für ein Red Team ist der Erstzugriff eine von mehreren Hürden. Oft lässt sich zeigen, dass mehrere unabhängige Wege gleichzeitig offenstehen – ein Beleg dafür, dass die reine Perimeterverteidigung nicht ausreicht.
Bedeutung für Unternehmen
Die entscheidende Erkenntnis für Entscheider lautet: Initial Access lässt sich erschweren, aber nicht sicher verhindern. Ein ausreichend motivierter Angreifer findet einen Weg hinein – sei es über eine am Freitagabend bekannt gewordene Schwachstelle, einen überzeugenden Anruf oder einen kompromittierten Lieferanten. Wer seine gesamte Sicherheit auf das Verhindern des Erstzugriffs stützt, hat nach dem ersten erfolgreichen Zugriff nichts mehr entgegenzusetzen.
Genau hier setzt die Assumed-Breach-Denkweise an: Man nimmt an, dass der Erstzugriff gelingt, und prüft, was danach passiert. Unser Ratgeber Assumed Breach erklärt vertieft diesen Ansatz.
Schutz und Prüfung
- Angriffsfläche verkleinern: Internetseitige Dienste inventarisieren, nicht benötigte abschalten, verbleibende priorisiert patchen (Attack Surface Management).
- Identitäten härten: Phishing-resistente MFA überall, Conditional Access, Überwachung auf verdächtige Anmeldungen.
- Menschen und Prozesse stärken: Realistische Awareness, verbindliche Verifikation bei Helpdesk und Zahlungen, klarer Meldeweg.
- Lieferkette einbeziehen: Zugänge von Dienstleistern begrenzen und überwachen – siehe Supply-Chain-Angriff.
- Nach dem Zugriff denken: Mit einem Assumed-Breach-Einsatz prüfen, wie weit ein Angreifer nach dem Erstzugriff kommt – denn dort entscheidet sich der Schaden.