Singapurs Cyberbilanz 2025: Mehr Malware, weniger gemeldetes Phishing

Singapurs zehnter Cyber Landscape-Bericht zeichnet für 2025 ein widersprüchliches, aber folgenschweres Bild: Die Behörden entdeckten deutlich mehr mit Malware infizierte Systeme, und auch Ransomware nahm leicht zu. Gleichzeitig gingen die gemeldeten Phishing-Fälle zurück. Hinter dieser Entwicklung stehen eine bessere Erkennung von Botnetzen, unsichere vernetzte Geräte und der zunehmende Missbrauch künstlicher Intelligenz.

284.300 infizierte Systeme – ein Anstieg um 142 Prozent

In Singapur wurden 2025 284.300 mit Malware infizierte Systeme erkannt. Im Jahr zuvor waren es 117.300 gewesen. Das entspricht einem Anstieg um 142 Prozent. Als Gründe nennt die Cyber Security Agency of Singapore (CSA) sowohl anhaltende Schadaktivitäten als auch eine verbesserte Erkennung infizierter Botnet-Geräte.

Die Zahl bedeutet daher nicht zwangsläufig, dass alle zusätzlichen Infektionen erst 2025 entstanden sind. Eine bessere Sichtbarkeit kann Systeme ans Licht bringen, die zuvor unbemerkt kompromittiert waren. Sie zeigt aber, wie groß die von Angreifern nutzbare Infrastruktur ist – und wie attraktiv vernetzte Geräte für Botnetz-Betreiber bleiben.

Malware aus dem Baukasten und unsichere Router

Der Bericht verweist auf die wachsende Bedeutung von Malware-as-a-Service. Dabei können Kriminelle fertige Schadsoftware und Angriffsdienste nutzen, ohne sämtliche Werkzeuge selbst entwickeln zu müssen. Gleichzeitig bieten schlecht konfigurierte oder nicht aktualisierte Geräte aus dem sogenannten Internet der Dinge (IoT) eine große Angriffsfläche.

In mehreren Organisationen wurden zudem ungepatchte Router angegriffen. Die Angreifer legten unberechtigte Administratorkonten an und installierten Werkzeuge, die auch nach späteren Sicherheitsupdates aktiv bleiben konnten.

Als Gegenmaßnahme sollen alle in Singapur verkauften Router für Privathaushalte bis Ende 2027 die Anforderungen des Cybersecurity Labelling Scheme Level 2 erfüllen. Damit soll das grundlegende Sicherheitsniveau von Geräten steigen, die sonst als Zugangspunkt oder Teil eines größeren Botnetzes missbraucht werden könnten.

Künstliche Intelligenz beschleunigt glaubwürdige Angriffe

Die CSA beschreibt eine zunehmend komplexe, KI-gestützte Bedrohungslage. Künstliche Intelligenz kann überzeugende Nachrichten, manipulierte Medien und andere Inhalte schneller und in größerem Umfang erzeugen. Singapurische Behörden warnten außerdem vor Betrugsmaschen mit synthetischen Medien, darunter Deepfakes.

Für Unternehmen und Privatpersonen wird es dadurch schwieriger, Betrugsversuche allein an offensichtlichen Rechtschreibfehlern, schlechten Bildern oder unnatürlichen Formulierungen zu erkennen. Wichtiger werden deshalb Rückfragen über bekannte Kontaktwege, starke Authentifizierung und Maßnahmen, die den Schaden bei einem kompromittierten Konto oder Gerät begrenzen.

Weniger Phishing-Meldungen sind keine Entwarnung

Die Zahl der gemeldeten Phishing-Versuche sank um rund ein Fünftel – von etwa 6.100 Fällen im Jahr 2024 auf ungefähr 4.800 Fälle im Jahr 2025.

Diese Zahlen erfassen jedoch nur Vorfälle, die den Behörden gemeldet wurden, nicht jeden tatsächlichen Angriff. Zudem kann KI die Qualität von Täuschungsversuchen verbessern: Selbst bei sinkender Zahl konventioneller Meldungen können gefälschte Nachrichten, Identitäten und Medien glaubwürdiger werden. Welche Branchen oder ausländischen Institutionen 2025 am häufigsten imitiert wurden, lässt sich anhand der vorliegenden Belege nicht zuverlässig bestimmen.

Ransomware trifft weiterhin besonders kleine Unternehmen

Die Zahl der Ransomware-Fälle stieg leicht von 159 im Jahr 2024 auf 165 im Jahr 2025. Überproportional betroffen waren kleine und mittlere Unternehmen (KMU), die häufig mit geringeren finanziellen und personellen Ressourcen für ihre Cyberabwehr auskommen müssen.

Für KMU sind deshalb vor allem praktische Vorkehrungen entscheidend: regelmäßige Sicherheitsupdates, getestete Backups, klar begrenzte Zugriffsrechte und ein geübter Notfallplan. Der Bericht betont neben der Prävention auch Unterstützung und Wiederherstellung. Denn Cyberresilienz hängt nicht nur davon ab, ob ein Angriff verhindert wird, sondern auch davon, wie schnell ein Unternehmen ihn eindämmen und den Betrieb wieder aufnehmen kann.

Operation Cyber Guardian gegen UNC3886

Zu den schwerwiegendsten Vorfällen gehörte ein Angriffsversuch der Advanced-Persistent-Threat-Gruppe UNC3886. Sie versuchte, in die Netze aller vier großen Telekommunikationsanbieter Singapurs einzudringen. Daraufhin startete der Stadtstaat Operation Cyber Guardian, die in den vorliegenden Berichten als Singapurs bislang größte koordinierte Reaktion auf einen Cybervorfall beschrieben wird. Die Bedrohung wurde eingedämmt; eine Unterbrechung der Telekommunikationsdienste oder eine Kompromittierung von Kundendaten wurde nicht gemeldet.

Der Fall verdeutlicht, warum kritische Infrastruktur besonderen Schutz benötigt. Ein Angriff auf Telekommunikation, Energieversorgung, Finanzwesen oder Gesundheitswesen kann weit über ein einzelnes Unternehmen hinaus Folgen haben. Die Zusammenarbeit zwischen Betreibern und staatlichen Stellen wird damit zu einem zentralen Bestandteil der Abwehr.

Strengere Vorgaben für kritische Infrastruktur

Singapurs Bereich der kritischen Informationsinfrastruktur umfasst elf Sektoren:

• Luftfahrt
• Banken und Finanzwesen
• Energie
• Regierung
• Gesundheitswesen
• Informations- und Kommunikationstechnik
• Landverkehr
• Schifffahrt
• Medien
• Sicherheits- und Notfalldienste
• Wasser

Die CSA verlangt, dass Betreiber kritischer Informationsinfrastruktur bis Ende 2027 die Zertifizierung Cyber Trust Mark Level 5 erreichen. Das Zertifizierungsmodell wurde außerdem um Cloud-Sicherheit, Sicherheit in der Betriebstechnik (Operational Technology, OT) und KI-Sicherheit erweitert. Es geht damit nicht mehr nur um klassische IT-Systeme.

Auch miteinander verbundene Systeme und Zulieferer rücken stärker in den Blick. Router, Cloud-Dienste oder OT-Komponenten können Angreifern als Sprungbrett in wertvollere Umgebungen dienen. Die neuen Vorgaben verschieben daher einen Teil der Verantwortung auf Gerätehersteller, Betreiber und Organisationen entlang der gesamten digitalen Lieferkette.

Führungswechsel bei der CSA

David Koh, Gründungschef der Cyber Security Agency of Singapore und Commissioner of Cybersecurity, schied am 1. Juli 2026 aus beiden Ämtern aus. Seine Nachfolgerin wurde Gwenda Fong.

Der Wechsel erfolgte nach dem Zeitraum, auf den sich die Daten zur Cyberbedrohung 2025 beziehen. Er ist daher als Führungswechsel für die nächste Phase der Cyberresilienz zu verstehen – nicht als Teil der statistischen Bilanz des Jahres 2025.

Die zentrale Aussage des Berichts

Die wichtigste Erkenntnis lautet nicht einfach, dass Singapur mehr Cyberangriffe erlebt hat. Vielmehr entsteht ein Bedrohungsumfeld, in dem Angriffe leichter skaliert und schwerer erkannt werden können. Gleichzeitig werden auch die Erkennungs- und Reaktionsfähigkeiten des Landes ausgebaut.

Drei Schlussfolgerungen stechen hervor:

1. Der Malware-Anstieg ist ernst, spiegelt aber teilweise eine bessere Sichtbarkeit wider. Anhaltende Botnet-Aktivität und eine verbesserte Erkennung trugen beide zur Zahl von 284.300 Systemen bei.
2. Weniger gemeldetes Phishing beseitigt das KI-Risiko nicht. Angreifer können Betrugsversuche überzeugender und skalierbarer machen, selbst wenn die herkömmlichen Fallzahlen sinken.
3. Singapur führt zunehmend verbindliche Sicherheitsstandards ein. Router-Vorgaben und die verpflichtende Cyber-Trust-Mark-Zertifizierung auf Level 5 für Betreiber kritischer Infrastruktur legen mehr Verantwortung auf Hersteller, Betreiber und Organisationen.

Singapurs Strategie setzt damit auf bessere Sichtbarkeit, koordinierte Reaktionen und durchsetzbare Standards. Gleichzeitig bleiben alltägliche Schutzmaßnahmen entscheidend, damit unsichere Geräte und kleinere Unternehmen nicht zum nächsten schwachen Glied werden.