Der typische Ablauf eines Cyberangriffs
Cyberangriffe auf Unternehmensnetzwerke sind wie Schimmel in einer Wohnung – oftmals fallen sie erst dann auf, wenn der Schaden bereits angerichtet ist. Angreifer agieren im Geheimen, was es schwierig macht, den Hergang eines Angriffs im Nachhinein zu rekonstruieren und auf dieser Basis effektive Schutzmaßnahmen für die Zukunft zu etablieren.
Das auf Cybersicherheit spezialisierte Unternehmen Advens hat anhand der Daten aus seinem Security Operations Center den typischen Ablauf eines Cyberangriffs analysiert – wobei Angriffe außer acht gelassen wurden, denen keine finanziellen Motive zugrunde liegen – zum Beispiel Sabotage. Dabei hat es drei unterschiedliche Schritte identifiziert, nämlich den Erstzugriff, das Auskundschaften und schließlich die Ausnutzung der für sie relevanten Daten.
Erstzugriff
In diesem Schritt verschaffen sich Angreifer auf diskrete Art und Weise Zugang zum Unternehmensnetzwerk. Laut Advens geschieht dies in 80 Prozent aller Fälle über legitime, zugangsberechtigte Nutzerkonten und in 80 Prozent davon wiederum über externe Zugänge von Drittanbietern oder Dienstleistern. Auch Social- Engineering-Angriffe wie Phishing sind bei Cyberkriminellen beliebt, wie auch die Nutzung von öffentlich zugänglichen Schwachstellen. Obwohl es zu diesem Zeitpunkt noch keine oder kaum direkte Auswirkungen auf das Unternehmen gibt, ist bereits dieses Stadium des Angriffs gefährlich. Denn viele Angreifer verkaufen die erbeuteten Anmeldedaten zusätzlich im Darknet, was weitere Angriffe zur Folge haben kann.
Auskundschaften
Im nächsten Schritt identifizieren Angreifer potenziell für ihre Ziele relevante Daten (z. B. HR-Daten oder Verträge). Dafür bewegen sie sich innerhalb des Systems mithilfe kompromittierter, aber legitimer Nutzerkonten und Verwaltungs-Tools, die keinen Verdacht erregen. Obwohl das Auskundschaften manchmal die Verbindung mit Systemkomponenten wie dem ERP oder mit Authentifizierungs-Tools stören kann, gibt es auch zu diesem Zeitpunkt noch keine oder kaum Auswirkungen auf das Unternehmen.
Ausnutzung
Im letzten Schritt sind die Auswirkungen auf das Unternehmen am größten, denn jetzt kommt üblicherweise die Ransomware zum Einsatz. Sobald die Angreifer die für sie relevanten Daten identifiziert haben, werden diese gestohlen oder verschlüsselt, um ein Lösegeld für die Entschlüsselung oder den Nichtverkauf der Daten zu fordern. Um die Zahlung des Lösegelds wahrscheinlicher zu machen, werden Tools verwendet, die es den Angreifern ermöglichen, die Kontrolle über die Systemverwaltung zu erlangen und evtl. vorhandene Daten-Backups zu löschen – so soll der Druck auf das Unternehmen erhöht werden, indem Alternativen zur Lösegeldzahlung wegfallen.
Weitere Bedrohungstrends und -entwicklungen sowie die Maßnahmen, die das Experten-Team von Advens als besonders relevant für die aktuelle und zukünftige Bedrohungslage ansieht, fasst das Unternehmen in einem (englischsprachigen) Bericht zusammen, dem „Threat Status Report“.
