Was ist ein Cyberangriff? Arten, Phasen und wie man ihn verhindert

Ein Cyberangriff ist ein vorsätzlicher Versuch, in Computersysteme, Netzwerke oder Daten einzudringen, in der Regel mit dem Ziel, etwas zu stehlen, etwas zu stören oder Geld zu erpressen. Das deckt ein breites Spektrum ab: Eine betrügerische E-Mail, die einen Mitarbeiter dazu verleitet, Geld zu überweisen, ist ein Cyberangriff, ebenso wie Schadsoftware, die den Betrieb eines ganzen Krankenhauses lahmlegt. Was beide gemeinsam haben, ist die Absicht. Wenn etwas versehentlich ausfällt, handelt es sich um einen Ausfall; wenn jemand es absichtlich lahmlegt, ist es ein Angriff.

Im Folgenden gehen wir darauf ein, wer diese Angriffe durchführt und was die Angreifer damit bezwecken, mit welchen Arten von Angriffen Sie am ehesten konfrontiert werden, wie sich ein Angriff typischerweise abspielt, was Sie tun sollten, wenn Sie gerade in einen solchen verwickelt sind, und warum die wirksamste Prävention weniger mit Technologie zu tun hat, als die meisten Menschen erwarten.

Wer greift an, und warum?

Das Bild vom einsamen Hacker im Kapuzenpulli ist längst überholt. Die überwiegende Mehrheit der Angriffe geht von organisierten kriminellen Gruppen aus, die wie Unternehmen agieren – mit Support-Teams, Abonnementmodellen und Partnern, die ihre Tools vermieten. Ihr Motiv ist Geld, und ihre Ziele wählen sie so aus, wie jedes Unternehmen seine Kunden auswählt: danach, wie einfach der Verkauf ist.

Deshalb ist die Annahme „Wir sind zu klein, um interessant zu sein“ so kostspielig. Kleine und mittelständische Unternehmen sind gerade deshalb attraktiv, weil sie über wertvolle Daten und Zahlungsströme verfügen, aber selten ein eigenes Sicherheitsteam beschäftigen. Angriffe auf sie sind in der Regel nicht persönlich gemeint; sie erfolgen automatisiert und durchlaufen Adresslisten und bekannte Schwachstellen, bis etwas darauf anspricht. Wir haben diese Dynamik in unserem Artikel darüber, warum KMU so anfällig für Cyberangriffe sind, genauer beleuchtet.

Neben der kriminellen Mehrheit gibt es noch andere Motive: Konkurrenten oder staatliche Akteure, die es auf geistiges Eigentum abgesehen haben, Aktivisten, die Aufmerksamkeit erregen wollen, und gelegentlich Insider, die aus Frustration handeln. Unterschiedliche Motive, aber weitgehend dieselben Techniken – was praktisch ist: Die Abwehr des typischen Falls deckt den Großteil der übrigen Fälle ab.

Die häufigsten Arten von Cyberangriffen

Es tauchen ständig neue Bezeichnungen für Angriffe auf, doch fast alle sind Varianten einer Handvoll Mechanismen. Die Kenntnis des Mechanismus ist nützlicher als das Auswendiglernen der Fachbegriffe.

• Phishing und seine Varianten. Eine Nachricht, die sich als eine Ihnen vertraute Person ausgibt, um Zugangsdaten, eine Zahlung oder einen Klick zu erlangen. Dies ist nach wie vor mit großem Abstand der häufigste Angriffspunkt. Wie das funktioniert und worin sich die SMS- und Sprachvarianten unterscheiden, erfahren Sie in unserem Leitfaden zum Thema Phishing.
• Ransomware. Schädliche Software, die Ihre Dateien verschlüsselt und eine Zahlung für den Schlüssel verlangt, wobei zunehmend auch mit der Veröffentlichung der Daten gedroht wird. In unserem Artikel über Ransomware wird erläutert, wie sich eine Infektion ausbreitet.
• Malware im weiteren Sinne. Keylogger, Banking-Trojaner, Spyware und Cryptominer installieren sich alle unbemerkt und arbeiten im Hintergrund. Lesen Sie dazu unseren Überblick über Malware.
• Social Engineering ganz ohne Malware. Ein überzeugender Anruf, ein gefälschter Lieferant, der die Bankverbindung ändert, eine dringende Anfrage eines Geschäftsführers. Es gibt keine Datei, die gescannt werden könnte – und genau das macht es so schwer, Social Engineering herauszufiltern.
• Angriffe auf Anmeldedaten. Die Wiederverwendung von Passwörtern, die an anderer Stelle offengelegt wurden, oder das groß angelegte Erraten schwacher Passwörter. Für den Angreifer ist dies kostengünstig – und genau deshalb ist die Multi-Faktor-Authentifizierung (MFA) so wichtig.
• Ausnutzung von nicht gepatchter Software. Bekannte Schwachstellen in Systemen, die nicht aktualisiert wurden. Automatisierte Scanner entdecken diese bereits innerhalb weniger Stunden, nachdem eine Sicherheitslücke bekannt geworden ist.
• Denial-of-Service-Angriff. Ein Dienst wird mit Datenverkehr überflutet, sodass er nicht mehr erreichbar ist. Selten geht es dabei um Diebstahl, oft um Störung oder Erpressung.
• Angriffe auf die Lieferkette. Durch die Kompromittierung eines Lieferanten, eines Software-Updates oder eines Dienstleisters können alle Nutzer betroffen sein. Die eigene Sicherheit ist dabei nur ein Teil des Gesamtbildes.

Beachten Sie, wie viele dieser Fälle mit einer Person und nicht mit einer Maschine beginnen. Phishing, Social Engineering und die Wiederverwendung von Zugangsdaten erfordern immer das Handeln einer Person – und genau hier hat ein Unternehmen den größten Spielraum für Verbesserungen.

Wie sich ein Cyberangriff abspielt

Angriffe sind selten der einzelne dramatische Moment, als der sie in den Nachrichten dargestellt werden. In der Praxis durchlaufen sie erkennbare Phasen, und zwischen dem ersten Einbruch und dem sichtbaren Schaden liegen oft Wochen. Genau diese Zeitspanne ist auch die Chance: Ein Angriff, der in der ersten Woche bemerkt wird, ist ein Vorfall; ein Angriff, der in der sechsten Woche bemerkt wird, ist eine Krise.

Grob gesagt verläuft der Ablauf von der Erkundung, bei der der Angreifer Namen, Adressen und Lieferantenbeziehungen aus öffentlichen Quellen sammelt, über den Zugriff durch einen Klick oder ein gestohlenes Passwort bis hin zur heimlichen Ausweitung dieses Zugriffs und schließlich zur Verschlüsselung, zum Diebstahl oder zum Betrug. Jede Phase hinterlässt Spuren, und jede Phase bietet die Möglichkeit, einzugreifen. In unserem Artikel über die Phasen eines Cyberangriffs schlüsseln wir diesen Ablauf Schritt für Schritt auf.

Was ist während und nach einem Anfall zu tun?

Die erste Stunde ist wichtiger als die Technik, die Sie letztes Jahr gekauft haben. Was die Leute brauchen, ist kein dicker Ordner, sondern eine Handvoll Schritte, an die sie sich auch unter Druck tatsächlich erinnern können.

1. Melden Sie den Vorfall sofort, noch bevor Sie versuchen, ihn zu beheben. Die Schnelligkeit der Meldung entscheidet darüber, wie viel Spielraum der Angreifer erhält. Niemand sollte zögern, nur weil er sich noch nicht ganz sicher ist.
2. Isolieren statt abschalten. Das Trennen eines betroffenen Rechners vom Netzwerk begrenzt die Ausbreitung; das Abschalten der Stromversorgung kann jedoch Beweismittel zerstören, die Sie später benötigen werden.
3. Gehen Sie davon aus, dass die Anmeldedaten kompromittiert wurden. Setzen Sie die Passwörter und Sitzungen der betroffenen Konten zurück und überprüfen Sie, ob neue Geräte hinzugefügt wurden, E-Mail-Weiterleitungsregeln bestehen oder sich die Wiederherstellungsadressen geändert haben.
4. Sichern Sie die Beweise. Protokolle, die ursprüngliche Nachricht, Screenshots. Versicherer und Ermittler werden danach fragen, ebenso wie die Aufsichtsbehörde, falls personenbezogene Daten betroffen waren.
5. Prüfen Sie Ihre Meldepflichten. Bei einer Datenpanne, bei der personenbezogene Daten betroffen sind, bestehen Meldepflichten, und für Organisationen, die in den Anwendungsbereich von NIS2 fallen, gelten eigene Fristen für die Meldung von Vorfällen. Beziehen Sie die für diese Aufgabe zuständige Person vom ersten Tag an mit ein – nicht erst am fünften Tag.
6. Führen Sie die Analyse im Nachhinein durch, ohne nach einem Schuldigen zu suchen. Die wichtige Frage ist, welches Signal übersehen wurde und warum – nicht, wer geklickt hat. Schuldzuweisungen sorgen dafür, dass der nächste Vorfall noch länger verborgen bleibt.

Warum Prävention beim Menschen beginnt

Technische Maßnahmen leisten die Hauptarbeit bei der Abwehr von Angriffen. Mehrfaktorauthentifizierung, zeitnahe Updates, geprüfte Offline-Backups und die Einschränkung der Zugriffsrechte filtern den Großteil der automatisierten Angriffe heraus. Nichts davon ist optional, und an keiner dieser Stellen kommen Angriffe heutzutage mehr zum Erfolg.

Was die Filter umgeht, zielt auf Menschen ab, denn Menschen lassen sich überzeugen, Software hingegen nicht. Ein Mitarbeiter, der eine ungewöhnliche Zahlungsanforderung erkennt, diese über einen zweiten Kanal überprüft und meldet, hat damit einen Angriff abgewehrt, den kein Scanner erkannt hätte. Das ist eine Fähigkeit, und wie jede Fähigkeit verblasst sie ohne Übung – weshalb eine einzige jährliche Schulung so wenig bringt. Kurze, wiederkehrende Übungen, die sich an der aktuellen Bedrohungslage orientieren, funktionieren deutlich besser, und eine Phishing-Simulation zeigt Ihnen, wo Sie tatsächlich stehen – und nicht, wo Sie glauben zu stehen.

Wie Guardey Ihnen hilft, das Risiko zu verringern

Die Sicherheitsschulungen von Guardey sind genau auf diesen Rhythmus zugeschnitten: wöchentliche Herausforderungen von etwa drei Minuten Dauer, Gamification mit Bestenlisten und Serien sowie Inhalte, die sich an den tatsächlich aktuellen Bedrohungen orientieren. Die Mitarbeiter absolvieren die Schulungen über die mobile App für iOS und Android oder im Browser, sodass auch Kollegen ohne festen Arbeitsplatz einbezogen werden können.

Integrierte Phishing-Simulationen zeigen, ob das Erkennen von Bedrohungen auch zu entsprechendem Verhalten führt, und dank auditfähiger Berichte wird das gesamte Programm zu einem Nachweis für Rahmenwerke wie NIS2 und ISO 27001. Die Einrichtung dauert nur wenige Minuten, und mehr als 500 Organisationen arbeiten auf diese Weise, darunter auch das Europäische Parlament.

Häufig gestellte Fragen zu Cyberangriffen

Was ist der Unterschied zwischen einem Cyberangriff und einer Datenpanne?

Ein Angriff ist der Versuch; eine Datenpanne ist eine mögliche Folge. Ein abgewehrter Angriff führt niemals zu einer Datenpanne, und eine Datenpanne kann auch ganz ohne Angriff auftreten, beispielsweise wenn jemand eine Datei per E-Mail an den falschen Empfänger sendet. Diese Unterscheidung ist wichtig, da Meldepflichten mit der Datenpanne verbunden sind, nicht mit dem Versuch.

Wie lange dauert es, bis man einen Angriff bemerkt?

Länger, als die meisten Unternehmen erwarten. Angreifer, die sich mithilfe eines gestohlenen Passworts Zugang verschaffen, gehen oft sehr vorsichtig vor, um keinen Alarm auszulösen, und der sichtbare Schaden tritt eher am Ende als am Anfang zutage. Deshalb sind Meldungen von Mitarbeitern so wertvoll: Sie decken häufig Unregelmäßigkeiten auf, lange bevor die Überwachungssysteme dies tun.

Ist eine kleine Organisation wirklich ein Ziel?

Ja, und in der Regel nicht freiwillig. Die meisten Angriffe erfolgen automatisiert und zielen auf alles ab, was antwortet. Daher bietet eine geringe Größe keinen Schutz, während eine geringere Anzahl an Spezialisten oft längere Reaktionszeiten zur Folge hat. Uninteressant zu sein, ist kein Schutz vor einem Skript.

Sind Cyberangriffe versichert?

Es gibt Cyber-Versicherungen, die die Kosten für die Wiederherstellung abdecken können, doch die Versicherer verlangen zunehmend den Nachweis grundlegender Maßnahmen, darunter Mitarbeiterschulungen, und fordern nach einem Vorfall entsprechende Belege an. Betrachten Sie eine Versicherungspolice als Absicherung gegen finanzielle Schäden und nicht als Ersatz für die Maßnahmen selbst.

Die unangenehme Wahrheit über Cyberangriffe ist, dass die meisten von ihnen gar nicht besonders ausgeklügelt sind. Sie basieren auf einem Passwort, das auf verschiedenen Websites wiederverwendet wird, einem System, für das nie Patches installiert wurden, oder einem Kollegen, der es an einem Freitagnachmittag eilig hat. Das ist zugleich auch der ermutigende Aspekt: Schon eine Handvoll Gewohnheiten reicht aus, um die große Mehrheit dieser Angriffe abzuwehren, und jede dieser Gewohnheiten kann ein Team erlernen.