Anatomie eines Angriffs

Ein Cyberangriff ist selten der eine dramatische Moment aus dem Film. Er ist eine Kette kleiner Schritte, von denen jeder einzelne aufzuhalten wäre. Hier ist eine typische Kompromittierung bewusst einfach erklärt, ganz ohne Fachjargon: Scroll dich durch und sieh bei jeder Etappe, wo die Verteidigung greift.

Etappe 01 · Initialer Zugang

Die Mail, die durchkommt

Es beginnt nicht mit einem Hack, sondern mit einer Nachricht. Eine Mitarbeiterin der Buchhaltung erhält eine täuschend echte Rechnung eines bekannten Lieferanten. Gleicher Look, plausibler Betreff, nur die Absender-Domain ist um einen Buchstaben verschoben. Sie öffnet den Anhang.

Wo es auffällt

Der Mail-Gateway meldet eine neu registrierte Absender-Domain und einen Anhang mit Makros, ein Signal, das in der Flut oft untergeht.

Was es gestoppt hätte

Makros aus dem Internet standardmässig blockieren, Anhänge in einer Sandbox detonieren, und ein Team, das gelernt hat, im Zweifel kurz zurückzurufen.

Etappe 02 · Ausführung

Der erste Brückenkopf

Das Makro lädt im Hintergrund einen kleinen Loader nach. Kein Bluescreen, kein Warnfenster, nur ein unscheinbarer Prozess, der sich als Systemdienst tarnt und eine Verbindung nach aussen aufbaut. Der Angreifer hat jetzt einen Fuss in der Tür.

Wo es auffällt

Der EDR sieht, wie ein Office-Programm plötzlich PowerShell startet und Netzwerkverbindungen öffnet, ein Verhalten, das ein Textverarbeitungsprogramm nie zeigen sollte.

Was es gestoppt hätte

Applikations-Kontrolle, die nur bekannte Programme laufen lässt, und ein EDR, der die verdächtige Prozesskette automatisch isoliert statt sie nur zu protokollieren.

Etappe 03 · Persistenz & Rechteausweitung

Einnisten und hocharbeiten

Der Loader sichert sich mit einem Autostart-Eintrag den Neustart und sucht nach dem grössten Preis: Administratorrechte. Ein ungepatchter Dienst und zwischengespeicherte Zugangsdaten genügen. Aus dem einfachen Benutzerkonto wird lokaler, dann Domänen-Administrator.

Wo es auffällt

Ungewöhnliche Anmeldemuster und der Zugriff auf den Speicher des Anmeldedienstes tauchen in den Logs auf, wenn jemand sie zusammenführt und liest.

Was es gestoppt hätte

Konsequentes Patchen, getrennte administrative Konten, und Speicherschutz für Zugangsdaten (Credential Guard). Weniger Rechte im Alltag heisst weniger zu erbeuten.

Etappe 04 · Laterale Bewegung

Von einem Rechner zum ganzen Netz

Mit Administratorrechten bewegt sich der Angreifer seitwärts: von Maschine zu Maschine, immer mit gültigen Zugangsdaten, immer wie ein legitimer Administrator aussehend. Er kartiert das Netzwerk, findet die Dateiserver und macht sich unsichtbar zwischen dem normalen Verkehr.

Wo es auffällt

Ein interner Rechner, der plötzlich mit Dutzenden anderen spricht, fällt gegen die normale Grundlinie auf, vorausgesetzt, es gibt eine.

Was es gestoppt hätte

Netzwerk-Segmentierung, die verhindert, dass ein Gerät jedes andere erreicht, Multi-Faktor auch intern, und eine Baseline, gegen die Abweichungen sichtbar werden.

Etappe 05 · Exfiltration & Wirkung

Wenn die Daten das Haus verlassen

Am Ende steht das Ziel: Daten. Der Angreifer sammelt, komprimiert und schleust sie in kleinen Portionen über einen unauffälligen Cloud-Dienst hinaus, oft Wochen bevor irgendjemand etwas bemerkt. Erst dann folgt, was Schlagzeilen macht: Verschlüsselung, Erpressung, Stillstand.

Wo es auffällt

Grosse ausgehende Datenmengen zu einem selten genutzten Ziel sind das letzte, deutlichste Signal: der Punkt, an dem viele Angriffe endlich entdeckt werden.

Was es gestoppt hätte

Ausgehenden Verkehr überwachen und begrenzen, Zugriff auf sensible Daten protokollieren, und getestete, offline gehaltene Backups, damit Erpressung ihre Hebelwirkung verliert.

Der rote Faden

Kein Schritt war für sich genommen unaufhaltbar. Genau das ist die gute Nachricht: Verteidigung muss nicht jeden Angriff an der ersten Mauer brechen. Sie muss nur an genügend Stellen eine Hürde aufstellen, dass die Kette reisst, bevor die Daten das Haus verlassen. «Defense in Depth» heisst nichts anderes.