In diesem Artikel
Ein Cyberangriff auf ein Unternehmen geschieht nicht in der Nacht, in der die Dateien verschlüsselt auftauchen. Der Angreifer ist Tage oder Wochen vorher eingedrungen, hat das Netzwerk durchstreift, die Datensicherungen gefunden und gelöscht und erst dann den Knopf gedrückt. Es gibt vier Phasen (Aufklärung, Eindringen, Ausbreitung und Wirkung), und in jeder gibt es eine Maßnahme, die funktioniert. Je früher der Angriff stoppt, desto günstiger wird es. So sehen wir Vorfälle in portugiesischen KMU, und so gestalten wir Managed Cybersecurity.
Die vier Phasen im Überblick
| Phase | Was der Angreifer tut | Typische Dauer | Was ihn stoppt |
|---|---|---|---|
| 1. Aufklärung | Untersucht das Unternehmen anhand öffentlicher Informationen | Stunden bis Wochen | Eindeutige Passwörter, geringere Exposition |
| 2. Eindringen | Phishing, offener Dienst oder ungepatchte Lücke | Minuten | MFA, Filterung, Updates, Managed Firewall |
| 3. Ausbreitung | Sucht Zugangsdaten, Server und Backups | Tage bis Wochen | VLAN, keine lokalen Administratoren, unveränderliche Backups, Monitoring |
| 4. Wirkung | Verschlüsselt, stiehlt oder leitet Zahlungen um | Stunden | Eindämmung: Reaktions- und Wiederherstellungsplan |
1. Aufklärung: das Unternehmen von außen betrachtet
Vor dem ersten Kontakt sammelt der Angreifer, was öffentlich ist: Namen und Positionen auf LinkedIn, E-Mail-Adressen auf der Website, in Meldungen genannte Lieferanten, in Stellenanzeigen erwähnte Software und Passwörter von Mitarbeitern aus Datenlecks anderer Websites. Daraus baut er einen maßgeschneiderten Angriff: die E-Mail des gewohnten Lieferanten, der Anruf der Bank, der Login mit dem wiederverwendeten Passwort. Das Unternehmen sieht von dieser Phase nichts.
So stoppen Sie ihn: den Schlüsseln ihren Wert nehmen und die Exposition verringern. Eindeutige Passwörter in einem Passwortmanager für Unternehmen machen Lecks bei Dritten wirkungslos. Weniger allgemeine E-Mail-Adressen auf der Website und ein Verfahren für Anfragen im Namen anderer verringern den Spielraum für Social Engineering.
2. Eindringen: die erste Tür
Bei KMU gibt es drei vorherrschende Türen:
- Phishing Jemand gibt das Passwort auf einer gefälschten Website ein oder öffnet einen schädlichen Anhang.
- Offener Dienst ohne MFA Remote-Desktop, VPN oder altes Portal mit schwachem Passwort.
- Ungepatchte Lücke Firewall mit alter Firmware, veralteter Server, Windows 10 ohne Support.
So stoppen Sie ihn: Multi-Faktor-Authentifizierung für alles, was von außen erreichbar ist – damit wird ein gestohlenes Passwort nutzlos. E-Mail-Filterung und ein Team, das geschult ist, zu erkennen und zu melden. Aktuelle Updates und eine Managed Firewall mit einem Minimum an offenen Diensten. Hier sollten die meisten Angriffe auf KMU enden.
3. Ausbreitung: von einem Rechner zum gesamten Netzwerk
Im Netzwerk sucht der Angreifer drei Dinge: Administrator-Zugangsdaten, einen Weg zu den Servern und die Datensicherungen. In einem flachen Netzwerk, in dem Anwender Administratoren ihrer Rechner sind und auf allen Maschinen dasselbe Administratorpasswort gilt, erreicht er sein Ziel in Stunden. Er deaktiviert den Virenschutz, legt Konten für die Rückkehr an und löscht oder verschlüsselt die erreichbaren Backups.
So stoppen Sie ihn:
- Segmentierung VLANs, die verhindern, dass ein kompromittierter Rechner Server und Backups erreicht (wie man das Netzwerk segmentiert).
- Minimale Rechte Anwender ohne Administratorrechte.
- Unveränderliche Backups Außerhalb der Reichweite des Netzwerks.
- Erkennung NOC und Monitoring (24/7 im Plan Premium 365), das Logins außerhalb der Geschäftszeiten, neue Konten und Verkehr zu ungewöhnlichen Zielen erfasst, solange es noch Alarme sind.
Das ist die Logik der vier Zero-Trust-Schritte für KMU.
Warum dies die entscheidende Phase ist
Das Eindringen lässt sich nie zu 100 % verhindern: Menschen machen Fehler, und jeden Tag tauchen neue Schwachstellen auf. In der Wirkungsphase ist es für Prävention zu spät. In der Ausbreitungsphase verwandelt ein Unternehmen mit Segmentierung, Monitoring und geschützten Backups einen schweren Vorfall in einen Rechner, der neu installiert werden muss. Dennoch ist es die am meisten vernachlässigte Phase: Man investiert in die Tür (Firewall, Virenschutz) und in die Wiederherstellung (Backups) und lässt die Mitte offen.
4. Wirkung: was man schließlich sieht
Verschlüsselte Dateien mit Lösegeldforderung, veröffentlichte oder verkaufte Daten, betrügerische Überweisungen oder stillstehende Systeme. Der Zeitpunkt wird so gewählt, dass die Reaktion verzögert wird – oft Freitagnacht oder am Vorabend eines Feiertags. Die Kosten werden dann in Tagen Stillstand, Honoraren für die Wiederherstellung, Meldungen an die CNPD (portugiesische Datenschutzbehörde) und an Kunden sowie in Reputation gemessen.
So dämmen Sie ihn ein: ein schriftlicher, bekannter Reaktionsplan (wer isoliert, wer kommuniziert, wer wen ruft); getestete Backups außerhalb der Reichweite des Angreifers; ein Plan für Disaster Recovery und Geschäftskontinuität mit definierten Wiederherstellungszeiten; und gut gemanagte erste Stunden, wie der Leitfaden zur Datenwiederherstellung in den ersten Stunden erklärt.
Ein typischer Angriff, Tag für Tag
Szenario, zusammengesetzt aus dem, was wir bei KMU sehen.
- Dienstag — jemand in der Buchhaltung erhält eine Rechnung vom „Lieferanten“ und gibt das Passwort im gefälschten Portal ein.
- Dienstagabend — der Angreifer verschafft sich Zugang zur E-Mail und liest eine Woche lang mit. Er findet den Zugang zum Remote-Desktop, ohne MFA.
- Folgende Tage — er dringt ins Netzwerk ein, der Anwender ist lokaler Administrator, er extrahiert Zugangsdaten und erreicht den Dateiserver und das Backup-NAS im selben Segment.
- Donnerstagabend — er löscht die Backups.
- Samstag im Morgengrauen — er verschlüsselt alles. Am Montagmorgen bemerkt es das Unternehmen.
Mit MFA beim Fernzugriff wäre er in Phase 2 gestoppt worden. Mit VLAN und Backups außerhalb des Netzwerks wäre er in Phase 3 gestoppt worden, mit einem Server zur Wiederherstellung. Ohne eine dieser Maßnahmen waren es drei Wochen teilweiser Stillstand.
Häufige Fragen
Wie viel Zeit vergeht zwischen Eindringen und Wirkung?
Bei KMU in der Regel zwischen einigen Tagen und einigen Wochen. Automatisierte Angriffe können in Stunden verschlüsseln; gezielte dauern länger, weil der Angreifer zuerst die Backups sucht.
Reicht ein guter Virenschutz nicht?
Er stoppt einen Teil des Eindringens (schädliche Anhänge) und einen Teil der Ausbreitung (bekannte Werkzeuge). Er stoppt keine gestohlenen Zugangsdaten, die scheinbar legitim genutzt werden – und so verlaufen die meisten Angriffe. Deshalb wiegen MFA und Segmentierung schwerer.
Löst die Zahlung des Lösegelds das Problem?
Sie garantiert weder die Wiederherstellung noch, dass die Daten nicht veröffentlicht werden, und sie finanziert den nächsten Angriff. Wer getestete Backups außerhalb der Reichweite hat, muss diese Entscheidung gar nicht erst treffen.
Wo anfangen, wenn nichts davon vorhanden ist?
Nach Kosten-Nutzen: MFA für alle externen Zugriffe, Backups außerhalb des Netzwerks und getestet, Administratorrechte entziehen, das Netzwerk segmentieren. Die ersten beiden sind in Tagen umgesetzt.
Nächster Schritt: In welcher Phase würde ein Angriff auf Ihr Unternehmen heute gestoppt?
Wir gehen die vier Phasen mit Ihrer Infrastruktur durch und sagen Ihnen schriftlich, wo ein Angriff heute gestoppt würde und was fehlt, um ihn früher zu stoppen. Lernen Sie die Managed Cybersecurity von DataRoad kennen; in 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall.
Mehr als 10 Arbeitsplätze · Wartungsvertrag · Remote-, Vor-Ort- und telefonischer Support. Rufen Sie +351 211 459 950* an oder schreiben Sie an sales@dataroad.pt.
*Anruf ins portugiesische Festnetz.
