Cyberangriffe sind keine Magie: Die Anatomie erfolgreicher Schutzmaßnahmen

Die meisten erfolgreichen Angriffe folgen einem nachvollziehbaren Ablauf. Sie geschehen nicht in Sekunden, sondern über Tage oder Wochen, in aufeinander aufbauenden Phasen: Informationsgewinnung (Reconnaissance), Erstzugriff (Initial Access), Rechteausweitung und Ausbreitung im Netzwerk (Privilege Escalation und Lateral Movement), schließlich Datenabfluss und Verschlüsselung (Data Exfiltration und File Encryption).

Was sich so beschreiben lässt, lässt sich auch unterbrechen. Zwischen dem ersten Eindringen und dem eigentlichen Schaden vergeht fast immer Zeit, in der Angreifer verwundbar sind.

Der folgende Beitrag rekonstruiert einen anonymisierten Fall aus dem verarbeitenden Gewerbe, Phase für Phase. Für jede zeigt er, was geschah, woran man es hätte erkennen können und wie sich der Angriff dort hätte stoppen oder eindämmen lassen.

Diese Phase beschreibt die aktive und passive Informationsgewinnung über das Opfer. Angreifer scannen das Internet automatisiert nach erreichbaren Systemen: Firewalls, VPN-Zugänge, Mailserver, Fernwartungsdienste. Öffentliche Datenbanken verraten dabei oft auch Hersteller, Modell und Softwarestand. Ein verwundbares Gerät zu finden erfordert heute keine gezielte Suche mehr, es genügt, eine Liste abzuarbeiten, die Maschinen längst erstellt haben.

Im geschilderten Fall war genau das der Anfang. Der VPN-Zugang des Maschinenbauers war aus dem Internet erreichbar, wie es seine Funktion verlangt. Sichtbar war damit aber auch die Firmware-Version, und mit ihr die bekannte, ungepatchte Schwachstelle.

Die Verteidigung beginnt mit drei Fragen. Welche unserer Systeme sind von außen erreichbar? Viele Unternehmen können das nicht vollständig beantworten, weil gewachsene Infrastruktur und vergessene Zugänge eine Angriffsfläche bilden, die niemand mehr im Blick hat. Muss dieses System wirklich exponiert sein? Und wenn ja, lässt es sich härten, etwa durch aktuelle Updates, abgeschaltete Altprotokolle und eine vorgeschaltete Mehr-Faktor-Anmeldung?

In dieser Phase verschaffen sich Angreifer den ersten Zugriff auf das Netzwerk. Die häufigsten Wege sind Phishing-Mails, gestohlene Zugangsdaten und die Ausnutzung bekannter Schwachstellen in exponierten Systemen.

Im geschilderten Fall war es der dritte Weg. Die Schwachstelle im VPN-Gateway war öffentlich dokumentiert, das Update seit Monaten verfügbar. Die Ausnutzung war für die Angreifer Routine und sah im ersten Moment aus wie eine gewöhnliche VPN-Anmeldung.

Die wirksamste Maßnahme ist zugleich die unspektakulärste: Patch-Management als verbindlicher Prozess statt als Nebentätigkeit. Im Fall hätte ein einziges Update den gesamten Angriff verhindert. Daneben verdienen geleakte Zugangsdaten besondere Aufmerksamkeit. Passwörter aus früheren Datenlecks werden im Darknet gehandelt und oft Jahre später zum Einfallstor. Darknet-Monitoring zeigt, welche Konten eines Unternehmens bereits im Umlauf sind.

Mit dem ersten Zugriff ist für Angreifer wenig gewonnen. Deshalb folgt die Ausbreitung: Sie erkunden das Netzwerk, springen von System zu System und sammeln höhere Berechtigungen ein, bis sie dort sind, wo die kritischen Daten liegen.

Im geschilderten Fall verlief diese Phase ungestört. Das Netzwerk war flach aufgebaut: Vom VPN-Gateway aus waren Buchhaltung, Konstruktion, Fertigung und Backup-Server gleichermaßen erreichbar. Den Schlüssel lieferte eine Inventarisierungslösung, deren Dienstkonto sich systembedingt überall anmelden durfte. Die Angreifer übernahmen dieses eine Konto und bewegten sich tagelang unauffällig durch das Netz, denn seine Zugriffe gehörten zum gewohnten Bild.

Dagegen helfen vier Hebel. Netzsegmentierung teilt das Netzwerk in getrennte Zonen und begrenzt den Radius eines Eindringlings massiv. Das Prinzip der minimalen Rechte (Least Privilege) sorgt dafür, dass jedes Konto nur die Berechtigungen erhält, die es tatsächlich braucht, wobei mächtige Dienstkonten besonders überwacht gehören. Moderne Authentifizierungsverfahren erschweren zudem den Diebstahl von Anmeldedaten: Wer veraltete Protokolle wie NTLM zugunsten von Kerberos ablöst, nimmt Angreifern eine gängige Methode, sich im Netzwerk weiterzuhangeln. Und die zentrale Auswertung von Anmeldeereignissen macht seitliche Bewegung sichtbar: Zugriffe zu ungewöhnlichen Zeiten oder auf viele Systeme nacheinander. In dieser Phase war noch nichts verloren.

In der letzten Phase machen Angreifer aus ihrem Zugriff Geld. Bevor sie verschlüsseln, ziehen sie meist Daten ab. Die Drohung, diese zu veröffentlichen, ist die zweite Erpressung, falls das Opfer für die Entschlüsselung nicht zahlt. Erst dann werden die Sicherungen deaktiviert und verschlüsselt, bevorzugt nachts oder am Wochenende. Im geschilderten Fall lief es genauso. Über Tage flossen Konstruktionsdaten ab, dann wurden die Backups gelöscht, dann verschlüsselt. Am Montag stand die Produktion.

Hier hilft keine teure Speziallösung, sondern Ordnung: Welche Daten sind kritisch, und wer darf sie lesen? Schon eine einfache Klassifizierung schränkt den Kreis der Berechtigten ein. Auffällige Datenabflüsse erkennt zudem eine gut konfigurierte Firewall oder eine fähige XDR-Lösung. Die wichtigste Maßnahme aber ist die letzte Verteidigungslinie: Backups, die Angreifer nicht erreichen können. Eine Kopie gehört offline oder unveränderbar gespeichert und regelmäßig getestet, denn ein einziges unerreichbares Backup macht aus einer Existenzfrage einen Betriebsunfall.

Der geschilderte Angriff war an keiner Stelle Magie. Ein bekanntes Loch in einem exponierten Gerät, ein Dienstkonto mit zu vielen Rechten, ein flaches Netzwerk, erreichbare Backups. Jede Schwäche für sich unspektakulär. Erst ihre Verkettung machte aus einem Routinescan einen Produktionsstillstand.

Darin liegt die Umkehrung, auf die es ankommt: Was für Angreifer eine Kette von Schritten ist, ist für Verteidiger eine Kette von Gelegenheiten. Ein gepatchtes Gateway, ein zweiter Faktor, eine Zonengrenze, ein unerreichbares Backup, jede einzelne Hürde hätte den Verlauf gestoppt oder begrenzt.

Kein Unternehmen muss alle Hürden am ersten Tag errichten. Es kommt darauf an, dort anzufangen, wo der Hebel am größten ist: bei den exponierten Systemen, den privilegierten Konten und den Backups. Das Feld ist groß, und jedes Unternehmen muss für sich bewerten, wo seine Risiken liegen. Wo eigenes Wissen oder eigene Zeit an Grenzen stoßen, ist externe Expertise eine nüchterne Ressourcenentscheidung.

Cybersicherheit ist kein Produkt, sondern ein fortlaufender Prozess, und den muss niemand allein gehen.

Aziz Meral ist Gründer von Meral IT Sicherheitstechnik in Haiger. Der regional verwurzelte Informatiker bringt langjährige Praxiserfahrung aus dem Betrieb von Security Operations Centern mit, von der Schwachstellenanalyse über Incident Response bis zur strategischen Sicherheitsberatung, und begleitet heute Unternehmen unterschiedlicher Größe als technischer Ansprechpartner für ihre Sicherheitsarchitektur. Sein Fokus liegt auf pragmatischen, am tatsächlichen Risiko ausgerichteten Maßnahmen, die auch für kleine und mittelständische Unternehmen realistisch umsetzbar sind.