16. Angriffe und Schutzmaßnahmen

16.1 Angriffe und Schutzmaßnahmen

IT-Systeme und Netzwerke sind vielen möglichen Angriffen ausgesetzt.

Ein Angriff kann sich richten gegen:

- Vertraulichkeit
- Integrität
- Verfügbarkeit
- Identitäten
- Daten
- Anwendungen
- Netzwerke
- Endgeräte
- Server
- Cloud-Dienste

Merksatz:

IT-Sicherheit schützt nicht nur Technik,
sondern auch Daten,
Prozesse
und Verfügbarkeit.

Grundziele der Informationssicherheit

Die drei wichtigsten Grundziele sind:

Vertraulichkeit

Integrität

Verfügbarkeit

Diese drei Begriffe werden oft als Schutzziele bezeichnet.

Merksatz:

Vertraulichkeit,
Integrität
und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit.

Vertraulichkeit

Vertraulichkeit bedeutet:

Informationen dürfen nur von berechtigten Personen gelesen werden.

Beispiele:

Kundendaten
Passwörter
Personalakten
Geschäftsgeheimnisse
medizinische Daten
interne Dokumente
Zugangsdaten

Angriffe auf Vertraulichkeit:

Datenabfluss
unberechtigter Zugriff
Abhören
Phishing
gestohlene Zugangsdaten
öffentlich freigegebene Cloud-Speicher

Merksatz:

Vertraulichkeit schützt vor unberechtigtem Lesen.

Integrität

Integrität bedeutet:

Daten dürfen nicht unbemerkt verändert werden.

Beispiele:

Rechnung darf nicht manipuliert werden.
Konfigurationsdatei darf nicht heimlich geändert werden.
Softwarepaket darf nicht verfälscht werden.
Logdatei darf nicht manipuliert werden.

Angriffe auf Integrität:

Manipulation
Schadsoftware
unberechtigte Änderungen
Datenbankänderungen
Man-in-the-Middle
Supply-Chain-Angriffe

Merksatz:

Integrität schützt vor unbemerkter Veränderung.

Verfügbarkeit

Verfügbarkeit bedeutet:

Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.

Beispiele:

Webserver erreichbar
E-Mail funktioniert
Datenbank antwortet
Backup kann wiederhergestellt werden
Netzwerk ist verfügbar
Cloud-Dienst läuft

Angriffe auf Verfügbarkeit:

DoS
DDoS
Ransomware
Sabotage
Überlastung
Ausfall kritischer Komponenten

Merksatz:

Verfügbarkeit schützt die Nutzbarkeit von Systemen.

CIA-Triade

Die drei Schutzziele werden oft zusammengefasst als:

Confidentiality
Integrity
Availability

Deutsch:

Vertraulichkeit
Integrität
Verfügbarkeit

Merksatz:

CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.

Authentizität

Authentizität bedeutet:

Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.

Beispiele:

Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die E-Mail wirklich vom angegebenen Absender?
Ist das Zertifikat gültig?

Merksatz:

Authentizität schützt vor falscher Identität.

Nichtabstreitbarkeit

Nichtabstreitbarkeit bedeutet:

Eine Handlung kann später nicht glaubwürdig abgestritten werden.

Beispiel:

Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden.

Mittel:

digitale Signatur
Protokollierung
Zeitstempel
eindeutige Benutzerkonten

Merksatz:

Nichtabstreitbarkeit sorgt für Nachweisbarkeit.

Angriffsarten im Überblick

Typische Angriffsarten:

- Phishing
- Social Engineering
- Malware
- Ransomware
- DoS und DDoS
- Man-in-the-Middle
- Passwortangriffe
- Brute Force
- Credential Stuffing
- Spoofing
- Sniffing
- SQL Injection
- Cross-Site Scripting
- Zero-Day-Angriff
- Supply-Chain-Angriff
- Insider-Bedrohung

Merksatz:

Angriffe können technisch,
organisatorisch
oder menschlich ansetzen.

Angreiferziele

Angreifer verfolgen unterschiedliche Ziele.

Beispiele:

Daten stehlen
Geld erpressen
Systeme verschlüsseln
Zugangsdaten sammeln
Dienste lahmlegen
Systeme übernehmen
Spionage betreiben
Sabotage durchführen
Rechenleistung missbrauchen
interne Bewegung im Netz erreichen

Merksatz:

Angriffe haben ein Ziel,
auch wenn sie zunächst zufällig wirken.

Angriffsfläche

Angriffsfläche bedeutet:

alle Stellen,
an denen ein System angegriffen werden kann.

Beispiele:

offene Ports
Webanwendungen
VPN-Zugänge
Benutzerkonten
E-Mail
Cloud-Portale
APIs
veraltete Software
unsichere Freigaben
mobile Geräte
externe Dienstleister

Merksatz:

Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.

Angriffsfläche reduzieren

Maßnahmen:

unnötige Dienste deaktivieren
offene Ports schließen
alte Software entfernen
Standardkonten deaktivieren
Rechte begrenzen
MFA aktivieren
Netzsegmentierung nutzen
Systeme patchen
öffentliche Zugriffe prüfen
sichere Konfiguration verwenden

Merksatz:

Nicht benötigte Angriffsfläche entfernen.

Schwachstelle

Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler, der ausgenutzt werden kann.

Beispiele:

veraltete Software
unsichere Konfiguration
schwaches Passwort
fehlende Zugriffskontrolle
Programmierfehler
offener Adminport
öffentlich freigegebener Speicher

Merksatz:

Schwachstelle = ausnutzbare Sicherheitslücke.

Bedrohung

Eine Bedrohung ist ein mögliches Ereignis, das Schaden verursachen kann.

Beispiele:

Angreifer
Malware
Feuer
Diebstahl
Stromausfall
Fehlbedienung
Datenverlust
Insider

Merksatz:

Bedrohung = mögliches schädliches Ereignis.

Risiko

Risiko beschreibt, wie wahrscheinlich ein Schaden ist und wie groß die Auswirkung wäre.

Vereinfacht:

Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe

Beispiel:

Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko.

Merksatz:

Risiko verbindet Wahrscheinlichkeit und Auswirkung.

Schutzmaßnahme

Eine Schutzmaßnahme reduziert ein Risiko.

Beispiele:

Patch einspielen
MFA aktivieren
Firewall-Regel setzen
Backup erstellen
Benutzer schulen
Rechte begrenzen
Verschlüsselung nutzen
Monitoring aktivieren

Merksatz:

Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung.

Technische Schutzmaßnahmen

Technische Schutzmaßnahmen sind zum Beispiel:

Firewall
Antivirus
EDR
IDS
IPS
Verschlüsselung
MFA
Patchmanagement
Backup
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
sichere Konfiguration

Merksatz:

Technische Maßnahmen schützen Systeme direkt.

Organisatorische Schutzmaßnahmen

Organisatorische Schutzmaßnahmen sind zum Beispiel:

Sicherheitsrichtlinien
Schulungen
Berechtigungskonzepte
Notfallpläne
Change Management
Rollenverteilung
Freigabeprozesse
Offboarding
Dokumentation
Verantwortlichkeiten

Merksatz:

Organisation entscheidet,
wie Sicherheit dauerhaft umgesetzt wird.

Personelle Schutzmaßnahmen

Personelle Schutzmaßnahmen betreffen Menschen.

Beispiele:

Schulung gegen Phishing
klare Meldewege
Sensibilisierung
Vier-Augen-Prinzip
sichere Passwortnutzung
Umgang mit vertraulichen Daten
Verhalten bei Sicherheitsvorfällen

Merksatz:

Menschen sind Teil der Sicherheit,
nicht nur Risiko.

Physische Schutzmaßnahmen

Physische Schutzmaßnahmen schützen Räume, Geräte und Infrastruktur.

Beispiele:

Zutrittskontrolle
abschließbare Serverräume
Videoüberwachung
Brandschutz
USV
Klimatisierung
Schutz vor Diebstahl
gesicherte Netzwerkschränke

Merksatz:

IT-Sicherheit beginnt auch bei physischem Schutz.

Defense in Depth

Defense in Depth bedeutet:

mehrere Schutzschichten werden kombiniert.

Beispiel:

Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring

Wenn eine Schutzschicht versagt, sollen andere Schichten weiter schützen.

Merksatz:

Defense in Depth = Sicherheit durch mehrere Schichten.

Least Privilege

Least Privilege bedeutet:

Benutzer,
Dienste
und Systeme bekommen nur die Rechte,
die sie wirklich benötigen.

Beispiele:

normaler Benutzer kein lokaler Administrator
Dienstkonto nur Zugriff auf benötigte Datenbank
VPN-Benutzer nur auf notwendige Systeme
Cloud-Rolle nur mit benötigten Aktionen

Merksatz:

Weniger Rechte bedeuten weniger Schaden bei Missbrauch.

Need to Know

Need to Know bedeutet:

Zugriff nur auf Informationen,
die für die Aufgabe erforderlich sind.

Beispiel:

Personalabteilung sieht Personalakten.
Support sieht technische Tickets.
Praktikant sieht keine vertraulichen Finanzdaten.

Merksatz:

Nicht jeder muss alles wissen.

Zero Trust

Zero Trust bedeutet:

keinem Zugriff automatisch vertrauen.

Es wird geprüft:

Benutzer
Gerät
Standort
Risiko
Anwendung
Berechtigung
MFA
Gerätezustand

Merksatz:

Zero Trust heißt:
immer prüfen,
nie pauschal vertrauen.

Phishing

Phishing ist der Versuch, Benutzer zur Preisgabe vertraulicher Informationen zu verleiten.

Ziele:

Passwörter
MFA-Codes
Kreditkartendaten
Zugangsdaten
interne Informationen

Typische Mittel:

gefälschte E-Mails
gefälschte Webseiten
gefälschte Loginseiten
angebliche Rechnungen
angebliche Paketmeldungen
angebliche Sicherheitswarnungen

Merksatz:

Phishing greift den Menschen über Täuschung an.

Spear Phishing

Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen.

Beispiel:

Angreifer schreibt eine E-Mail,
die genau zu einer Firma,
einem Projekt
oder einer Rolle passt.

Spear Phishing wirkt oft glaubwürdiger als Massenphishing.

Merksatz:

Spear Phishing ist gezieltes Phishing.

Whaling

Whaling ist Phishing gegen besonders wichtige Personen.

Beispiele:

Geschäftsführung
Administratoren
Finanzleitung
Personalabteilung
Projektleitung

Merksatz:

Whaling richtet sich gegen besonders wertvolle Ziele.

Social Engineering

Social Engineering nutzt menschliches Verhalten aus.

Beispiele:

Vertrauen erschleichen
Zeitdruck erzeugen
Hilfsbereitschaft ausnutzen
Autorität vortäuschen
Angst erzeugen
Neugier ausnutzen

Merksatz:

Social Engineering manipuliert Menschen statt Technik.

Schutz vor Phishing und Social Engineering

Maßnahmen:

Schulungen
klare Meldewege
MFA
E-Mail-Filter
sichere Passwortmanager
keine Links blind anklicken
Absender prüfen
ungewöhnliche Anfragen hinterfragen
Vier-Augen-Prinzip bei Zahlungen
Sensibilisierung für Druck und Täuschung

Merksatz:

Technik und Schulung gemeinsam schützen besser.

Malware

Malware ist Schadsoftware.

Beispiele:

Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer

Merksatz:

Malware ist Software mit schädlicher Funktion.

Virus

Ein Virus hängt sich an Dateien oder Programme und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden.

Merksatz:

Virus braucht meist eine Wirtsdatei oder Benutzeraktion.

Wurm

Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.

Gefahr:

schnelle Ausbreitung
hohe Netzlast
Infektion vieler Systeme
Ausnutzung ungepatchter Systeme

Merksatz:

Wurm verbreitet sich selbstständig.

Trojaner

Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber Schadfunktionen.

Beispiele:

angebliches Tool
manipulierte Installationsdatei
Fake-Update
gecrackte Software

Merksatz:

Trojaner täuscht Nützlichkeit vor.

Ransomware

Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld.

Folgen:

Daten nicht verfügbar
Betriebsunterbrechung
Erpressung
Datenabfluss möglich
hohe Wiederherstellungskosten

Merksatz:

Ransomware greift vor allem Verfügbarkeit und oft auch Vertraulichkeit an.

Schutz vor Ransomware

Maßnahmen:

Offline- oder Immutable-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
Makros einschränken
Least Privilege
Netzwerksegmentierung
MFA
E-Mail-Schutz
keine lokalen Adminrechte
Monitoring
schnelle Isolation infizierter Systeme

Merksatz:

Gegen Ransomware sind Backups,
Rechtebegrenzung
und Segmentierung besonders wichtig.

Spyware

Spyware spioniert Benutzer oder Systeme aus.

Beispiele:

Tastatureingaben aufzeichnen
Bildschirm erfassen
Browserdaten auslesen
Zugangsdaten stehlen
Benutzerverhalten beobachten

Merksatz:

Spyware sammelt heimlich Informationen.

Keylogger

Ein Keylogger zeichnet Tastatureingaben auf.

Ziel:

Passwörter
Zugangsdaten
Nachrichten
vertrauliche Eingaben

Merksatz:

Keylogger stehlen Eingaben.

Rootkit

Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System.

Ziel:

Erkennung verhindern
Kontrolle behalten
Sicherheitssoftware umgehen
System manipulieren

Merksatz:

Rootkits verstecken und verankern Angriffe tief im System.

Botnet

Ein Botnet ist ein Netzwerk kompromittierter Systeme, die von Angreifern gesteuert werden.

Nutzung:

DDoS
Spam
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch

Merksatz:

Botnet = viele fremdgesteuerte infizierte Systeme.

DoS

DoS steht für:

Denial of Service

Ziel:

Ein Dienst wird durch Überlastung oder Störung unbenutzbar.

Beispiel:

Ein Server erhält so viele Anfragen,
dass er nicht mehr antwortet.

Merksatz:

DoS greift die Verfügbarkeit an.

DDoS

DDoS steht für:

Distributed Denial of Service

Dabei kommt der Angriff von vielen Systemen gleichzeitig.

Oft werden Botnetze genutzt.

Merksatz:

DDoS ist verteilter DoS-Angriff.

Schutz vor DoS und DDoS

Maßnahmen:

DDoS-Schutzdienst
Rate Limiting
Load Balancer
Content Delivery Network
Firewall-Regeln
Anycast
Skalierung
Monitoring
Notfallplan
Provider-Unterstützung

Merksatz:

DDoS-Schutz braucht Technik,
Skalierung
und Vorbereitung.

Man-in-the-Middle

Man-in-the-Middle wird oft abgekürzt:

MitM

Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern.

Ziele:

Daten mitlesen
Daten verändern
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Zugangsdaten abfangen

Merksatz:

MitM greift Kommunikation zwischen zwei Parteien an.

Schutz vor Man-in-the-Middle

Maßnahmen:

TLS korrekt nutzen
Zertifikate prüfen
keine Zertifikatswarnungen ignorieren
VPN in unsicheren Netzen
HSTS bei Webdiensten
sichere WLANs
Zertifikat-Pinning je nach Anwendung
starke Authentifizierung

Merksatz:

TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.

Sniffing

Sniffing bedeutet:

Netzwerkverkehr wird mitgeschnitten oder beobachtet.

Nützlich für Administratoren:

Fehlersuche
Analyse
Protokollprüfung

Gefährlich durch Angreifer:

Zugangsdaten abfangen
unverschlüsselte Daten lesen
interne Kommunikation beobachten

Merksatz:

Sniffing ist Analysewerkzeug,
kann aber missbraucht werden.

Spoofing

Spoofing bedeutet:

eine falsche Identität oder Adresse wird vorgetäuscht.

Beispiele:

IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing

Merksatz:

Spoofing täuscht Herkunft oder Identität vor.

ARP-Spoofing

ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz.

Ziel:

Verkehr über Angreifer leiten
Man-in-the-Middle ermöglichen
Kommunikation stören

Merksatz:

ARP-Spoofing greift lokale Layer-2-Kommunikation an.

DNS-Spoofing

DNS-Spoofing manipuliert Namensauflösung.

Beispiel:

Benutzer ruft bank.example auf,
wird aber auf falsche IP geleitet.

Schutz:

DNSSEC
sichere DNS-Server
TLS-Zertifikatsprüfung
Monitoring
keine unsicheren DNS-Quellen

Merksatz:

DNS-Spoofing führt Namen zu falschen Zielen.

Passwortangriffe

Passwortangriffe versuchen, Zugangsdaten zu erraten, zu stehlen oder wiederzuverwenden.

Typen:

Brute Force
Wörterbuchangriff
Credential Stuffing
Password Spraying
Phishing
Keylogger

Merksatz:

Passwortangriffe richten sich gegen Identitäten.

Brute Force

Brute Force bedeutet:

viele mögliche Passwörter werden systematisch ausprobiert.

Schutz:

starke Passwörter
MFA
Sperrmechanismen
Rate Limiting
Monitoring
keine Standardkonten
Passwortmanager

Merksatz:

Brute Force wird durch Begrenzung und starke Authentifizierung erschwert.

Credential Stuffing

Credential Stuffing bedeutet:

Angreifer nutzen bekannte Zugangsdaten aus früheren Datenlecks
und probieren sie bei anderen Diensten aus.

Schutz:

keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Prüfung
ungewöhnliche Loginversuche erkennen

Merksatz:

Credential Stuffing nutzt wiederverwendete Passwörter.

Password Spraying

Password Spraying bedeutet:

Ein Angreifer probiert wenige häufige Passwörter bei vielen Konten aus.

Beispiel:

Sommer2026!
bei vielen Benutzern

Ziel:

Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.

Merksatz:

Password Spraying verteilt wenige Passwörter auf viele Konten.

Schutz vor Passwortangriffen

Maßnahmen:

MFA
starke Passwortrichtlinien
Passwortmanager
keine Wiederverwendung
Rate Limiting
Account Lockout mit Bedacht
Monitoring
Risikoanalyse bei Logins
Schulung
Standardkonten deaktivieren

Merksatz:

MFA ist eine der wichtigsten Maßnahmen gegen Passwortmissbrauch.

SQL Injection

SQL Injection ist ein Angriff auf Datenbankabfragen.

Dabei schleust ein Angreifer SQL-Code in Eingaben ein.

Mögliche Folgen:

Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Anwendung manipulieren

Merksatz:

SQL Injection nutzt unsichere Eingaben in Datenbankabfragen aus.

Schutz vor SQL Injection

Maßnahmen:

Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Rechte der Datenbankbenutzer begrenzen
Fehlerausgaben vermeiden
Web Application Firewall
sichere Programmierung
Code Reviews

Merksatz:

Parametrisierte Abfragen sind zentral gegen SQL Injection.

Cross-Site Scripting

Cross-Site Scripting wird abgekürzt:

XSS

Dabei wird schädlicher Code in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird.

Mögliche Folgen:

Sessiondiebstahl
Manipulation von Webseiten
Phishing im Browser
Aktionen im Namen des Benutzers

Merksatz:

XSS greift Benutzer über den Browser an.

Schutz vor XSS

Maßnahmen:

Eingaben validieren
Ausgaben korrekt escapen
Content Security Policy
HttpOnly Cookies
sichere Frameworks nutzen
keine ungeprüften HTML-Ausgaben
Code Reviews

Merksatz:

Gegen XSS müssen Ausgaben korrekt behandelt werden.

Zero-Day-Angriff

Ein Zero-Day-Angriff nutzt eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist.

Schutz ist schwierig, aber möglich durch:

Defense in Depth
EDR
Segmentierung
Least Privilege
Monitoring
WAF
Härtung
schnelle Reaktion

Merksatz:

Zero-Day bedeutet:
Schwachstelle wird ausgenutzt,
bevor ein regulärer Patch verfügbar ist.

Supply-Chain-Angriff

Ein Supply-Chain-Angriff richtet sich gegen Lieferkette oder Abhängigkeiten.

Beispiele:

manipuliertes Softwareupdate
kompromittierte Bibliothek
infizierter Installer
unsicherer Dienstleisterzugang
kompromittiertes Repository

Merksatz:

Supply-Chain-Angriff trifft Systeme über vertrauenswürdige Lieferwege.

Schutz vor Supply-Chain-Angriffen

Maßnahmen:

Softwarequellen prüfen
Signaturen prüfen
Abhängigkeiten überwachen
Updates aus vertrauenswürdigen Quellen
Dienstleisterzugriffe begrenzen
Code Reviews
SBOM
Paketquellen absichern
CI/CD schützen

Merksatz:

Lieferkette ist Teil der IT-Sicherheit.

Insider-Bedrohung

Insider sind Personen mit internem Zugriff, die absichtlich oder unabsichtlich Schaden verursachen.

Beispiele:

unzufriedener Mitarbeiter
Fehler durch Administrator
fahrlässiger Umgang mit Daten
kompromittiertes internes Konto
externer Dienstleister mit zu vielen Rechten

Merksatz:

Nicht jede Bedrohung kommt von außen.

Schutz vor Insider-Risiken

Maßnahmen:

Least Privilege
Vier-Augen-Prinzip
Logging
Rechteprüfung
Offboarding
Aufgabentrennung
Sensibilisierung
klare Prozesse
Monitoring
keine Sammelkonten

Merksatz:

Nachvollziehbarkeit und Rechtebegrenzung senken Insider-Risiken.

Patchmanagement

Patchmanagement bedeutet:

Sicherheitsupdates werden geplant,
getestet,
verteilt
und kontrolliert.

Wichtig für:

Betriebssysteme
Anwendungen
Firmware
Netzwerkgeräte
Firewalls
Cloud-Systeme
Container-Images
Abhängigkeiten

Merksatz:

Ungepatchte Systeme sind häufige Angriffsziele.

Hardening

Hardening bedeutet:

Systeme werden sicher konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.

Beispiele:

unnötige Dienste deaktivieren
Standardpasswörter ändern
alte Protokolle abschalten
sichere TLS-Versionen nutzen
Adminzugriffe begrenzen
Logging aktivieren
Rechte minimieren

Merksatz:

Hardening reduziert Angriffsfläche.

Firewall

Eine Firewall filtert Netzwerkverkehr nach Regeln.

Sie kann prüfen:

Quelle
Ziel
Port
Protokoll
Richtung
Zustand
Anwendung je nach Firewalltyp

Merksatz:

Firewall begrenzt Netzwerkzugriffe.

IDS und IPS

IDS steht für:

Intrusion Detection System

Ein IDS erkennt verdächtige Aktivitäten und meldet sie.

IPS steht für:

Intrusion Prevention System

Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren.

Merksatz:

IDS erkennt.
IPS blockiert zusätzlich.

Antivirus und EDR

Antivirus erkennt bekannte Schadsoftware.

EDR steht für:

Endpoint Detection and Response

EDR überwacht Endgeräte tiefer und hilft bei Erkennung, Analyse und Reaktion auf Angriffe.

Merksatz:

Antivirus erkennt Schadsoftware.
EDR unterstützt Erkennung und Reaktion auf Endgeräten.

Backup als Schutzmaßnahme

Backup schützt nicht vor jedem Angriff, aber es ermöglicht Wiederherstellung.

Wichtig:

regelmäßige Backups
getrennte Speicherung
Immutable Backup
Restore-Tests
Verschlüsselung
Zugriffsschutz
Dokumentation

Merksatz:

Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen.

Monitoring und Logging als Schutzmaßnahme

Monitoring und Logging helfen, Angriffe zu erkennen und aufzuklären.

Wichtige Logs:

Anmeldungen
Adminaktionen
Firewall-Entscheidungen
VPN-Zugriffe
EDR-Meldungen
DNS-Anfragen
Webserver-Logs
Cloud-Audit-Logs

Merksatz:

Was nicht protokolliert wird,
ist später schwer nachvollziehbar.

Incident Response

Incident Response bedeutet:

strukturierte Reaktion auf Sicherheitsvorfälle.

Schritte:

erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern

Merksatz:

Sicherheitsvorfälle brauchen vorbereitete Abläufe.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was sind die Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist Malware?
- Was ist Ransomware?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist Brute Force?
- Was ist Credential Stuffing?
- Was ist SQL Injection?
- Was ist Cross-Site Scripting?
- Was ist ein Zero-Day-Angriff?
- Was ist ein Supply-Chain-Angriff?
- Was bedeutet Least Privilege?
- Was ist Defense in Depth?
- Was ist der Unterschied zwischen IDS und IPS?
- Warum sind Backups wichtig gegen Ransomware?
- Warum ist Patchmanagement wichtig?

Typische Prüfungsfallen

Vertraulichkeit,
Integrität
und Verfügbarkeit sauber unterscheiden.

Ransomware betrifft Verfügbarkeit
und oft auch Vertraulichkeit.

Phishing ist Täuschung,
nicht nur eine technische Lücke.

Social Engineering greift Menschen an.

DoS kommt von einer Quelle oder allgemein einem Angriffspunkt.

DDoS ist verteilt.

IDS erkennt,
IPS kann blockieren.

Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.

Replikation ersetzt kein Backup.

MFA schützt nicht vor allen Angriffen,
senkt aber Passwortmissbrauch stark.

Firewall ersetzt kein Patchmanagement.

Verschlüsselung ersetzt keine Zugriffskontrolle.

Antivirus ersetzt kein Sicherheitskonzept.

Zero-Day ist nicht durch normales Patchen allein lösbar.

Supply Chain betrifft Lieferwege und Abhängigkeiten.

Least Privilege reduziert Schaden.

Defense in Depth kombiniert mehrere Maßnahmen.

Logs müssen vor dem Vorfall aktiv sein.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Vertraulichkeit Schutz vor unberechtigtem Lesen
Integrität Schutz vor unbemerkter Veränderung
Verfügbarkeit Nutzbarkeit von Systemen und Daten
Authentizität Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit Handlung kann nachgewiesen werden
Angriffsfläche Summe möglicher Angriffspunkte
Schwachstelle ausnutzbare Sicherheitslücke
Bedrohung mögliches schädliches Ereignis
Risiko Wahrscheinlichkeit mal Auswirkung
Schutzmaßnahme reduziert Risiko
Defense in Depth mehrere Schutzschichten
Least Privilege minimale notwendige Rechte
Need to Know Zugriff nur bei Bedarf
Zero Trust kein automatisches Vertrauen
Phishing Täuschung zur Datenpreisgabe
Spear Phishing gezieltes Phishing
Whaling Phishing gegen wichtige Personen
Social Engineering Manipulation von Menschen
Malware Schadsoftware
Virus Schadsoftware mit Wirtsdatei
Wurm selbstverbreitende Schadsoftware
Trojaner getarnte Schadsoftware
Ransomware erpresserische Verschlüsselung oder Sperrung
Spyware Spionagesoftware
Keylogger zeichnet Tastatureingaben auf
Rootkit versteckt und verankert Schadsoftware
Botnet Netzwerk fremdgesteuerter Systeme
DoS Dienstverweigerung
DDoS verteilter DoS
MitM Man-in-the-Middle
Sniffing Mitschneiden von Verkehr
Spoofing Vortäuschen falscher Identität
ARP-Spoofing Manipulation lokaler IP-MAC-Zuordnung
DNS-Spoofing Manipulation von Namensauflösung
Brute Force systematisches Ausprobieren
Credential Stuffing Nutzung geleakter Zugangsdaten
Password Spraying wenige Passwörter gegen viele Konten
SQL Injection Einschleusen von SQL-Code
XSS Cross-Site Scripting
Zero-Day ungepatchte oder unbekannte Schwachstelle
Supply Chain Lieferkette und Abhängigkeiten
Insider interne Bedrohung
Patchmanagement Verwaltung von Sicherheitsupdates
Hardening sichere Systemkonfiguration
IDS Angriffserkennung
IPS Angriffserkennung mit Blockierung
EDR Endgeräteerkennung und Reaktion
Incident Response Reaktion auf Sicherheitsvorfälle

IHK-sichere Kurzformulierung

Angriffe auf IT-Systeme können die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Least Privilege, Netzwerksegmentierung, Backups, Monitoring, Logging, IDS/IPS, EDR, Schulungen und Incident Response. Ein gutes Sicherheitskonzept kombiniert mehrere Maßnahmen nach dem Prinzip Defense in Depth.

Merksätze

Vertraulichkeit schützt vor Mitlesen.

Integrität schützt vor Manipulation.

Verfügbarkeit schützt Nutzbarkeit.

CIA-Triade = Vertraulichkeit,
Integrität,
Verfügbarkeit.

Authentizität prüft Echtheit.

Nichtabstreitbarkeit schafft Nachweisbarkeit.

Angriffsfläche reduzieren.

Schwachstelle ist ausnutzbare Lücke.

Bedrohung ist mögliches Schadereignis.

Risiko = Wahrscheinlichkeit und Auswirkung.

Schutzmaßnahmen senken Risiko.

Defense in Depth kombiniert Schutzschichten.

Least Privilege reduziert Schaden.

Need to Know begrenzt Datenzugriff.

Zero Trust vertraut nicht pauschal.

Phishing täuscht Benutzer.

Social Engineering manipuliert Menschen.

Malware ist Schadsoftware.

Wurm verbreitet sich selbstständig.

Trojaner tarnt sich.

Ransomware verschlüsselt oder sperrt.

DoS greift Verfügbarkeit an.

DDoS ist verteilter DoS.

MitM sitzt zwischen Kommunikationspartnern.

Sniffing kann Analyse oder Angriff sein.

Spoofing täuscht Identität vor.

Brute Force probiert systematisch.

Credential Stuffing nutzt geleakte Zugangsdaten.

SQL Injection greift Datenbankabfragen an.

XSS greift Browserbenutzer an.

Zero-Day ist schwer planbar.

Supply Chain betrifft Lieferwege.

Insider können intern Schaden verursachen.

Patchmanagement schließt bekannte Lücken.

Hardening reduziert Angriffsfläche.

IDS erkennt.

IPS blockiert zusätzlich.

Backup hilft bei Wiederherstellung.

Logs vor dem Vorfall aktivieren.

Incident Response vorbereiten.

16.2 Malware, Ransomware und Schadsoftware im Detail

Malware ist ein Sammelbegriff für Schadsoftware.

Malware kann Systeme beschädigen, Daten ausspähen, Zugänge stehlen, Dateien verschlüsseln, Systeme fernsteuern oder Dienste stören.

Typische Malware-Arten:

- Virus
- Wurm
- Trojaner
- Ransomware
- Spyware
- Keylogger
- Rootkit
- Botnet-Client
- Cryptominer
- Adware
- Backdoor

Merksatz:

Malware ist Software mit schädlicher oder unerwünschter Funktion.

Warum Malware gefährlich ist

Malware kann verschiedene Schutzziele verletzen.

Vertraulichkeit:

Daten werden ausgespäht.
Passwörter werden gestohlen.
interne Informationen fließen ab.

Integrität:

Dateien werden verändert.
Systeme werden manipuliert.
Logs werden gelöscht.

Verfügbarkeit:

Systeme werden verschlüsselt.
Dienste fallen aus.
Dateien sind nicht mehr nutzbar.

Merksatz:

Malware kann Vertraulichkeit,
Integrität
und Verfügbarkeit gleichzeitig angreifen.

Typische Infektionswege

Malware gelangt häufig auf Systeme durch:

E-Mail-Anhänge
Phishing-Links
manipulierte Webseiten
unsichere Downloads
gecrackte Software
infizierte USB-Sticks
ungepatchte Schwachstellen
kompromittierte Updates
unsichere Makros
Remote-Zugänge
gestohlene Zugangsdaten
Supply-Chain-Angriffe

Merksatz:

Malware kommt oft über Menschen,
Schwachstellen
oder unsichere Softwarequellen ins System.

Virus

Ein Virus ist Schadsoftware, die sich an Dateien oder Programme anhängt.

Er wird meist aktiv, wenn die infizierte Datei ausgeführt wird.

Typische Merkmale:

braucht oft eine Wirtsdatei
verbreitet sich durch Weitergabe infizierter Dateien
kann Dateien verändern oder beschädigen
kann weitere Schadfunktionen nachladen

Merksatz:

Ein Virus hängt sich an Dateien oder Programme.

Wurm

Ein Wurm ist Schadsoftware, die sich selbstständig verbreiten kann.

Er nutzt häufig:

Netzwerkschwachstellen
unsichere Dienste
offene Ports
ungepatchte Systeme
schwache Zugangsdaten

Gefahr:

sehr schnelle Ausbreitung im Netzwerk

Merksatz:

Ein Wurm verbreitet sich selbstständig über Systeme oder Netzwerke.

Virus und Wurm vergleichen

Merkmal Virus Wurm
Verbreitung meist über infizierte Datei selbstständig über Netzwerk
braucht Wirtsdatei häufig ja nicht zwingend
Tempo oft langsamer oft schnell
typisches Risiko Dateiinfektion Massenausbreitung

Merksatz:

Virus braucht oft Hilfe.
Wurm verbreitet sich selbst.

Trojaner

Ein Trojaner tarnt sich als nützliches oder harmloses Programm.

Beispiele:

angeblicher Installer
gefälschtes Update
gecrackte Software
scheinbares Tool
manipuliertes Dokument
vermeintlicher Codec

Mögliche Schadfunktionen:

Zugangsdaten stehlen
Backdoor öffnen
weitere Malware nachladen
System fernsteuerbar machen
Daten ausspähen

Merksatz:

Ein Trojaner täuscht Nützlichkeit vor,
enthält aber Schadfunktionen.

Backdoor

Eine Backdoor ist ein versteckter Zugang zu einem System.

Angreifer nutzen Backdoors, um später erneut Zugriff zu bekommen.

Beispiele:

versteckter Benutzer
geöffneter Port
manipulierte Systemdatei
geheimer Fernzugriff
Schadsoftware mit Steuerkanal

Merksatz:

Backdoor = versteckter Hintereingang.

Ransomware

Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und anschließend Lösegeld fordert.

Typische Folgen:

Dateien nicht mehr nutzbar
Server nicht verfügbar
Produktionsausfall
Datenabfluss
Erpressung
hohe Wiederherstellungskosten
Vertrauensverlust

Merksatz:

Ransomware greift besonders die Verfügbarkeit an
und oft zusätzlich die Vertraulichkeit.

Ransomware-Ablauf vereinfacht

Ein typischer Ablauf:

1. Erstzugriff über Phishing,
   Schwachstelle
   oder Zugangsdaten.

2. Angreifer verschafft sich weitere Rechte.

3. Angreifer bewegt sich im Netzwerk.

4. Backups werden gesucht oder gelöscht.

5. Daten werden kopiert.

6. Systeme und Dateien werden verschlüsselt.

7. Lösegeldforderung erscheint.

Merksatz:

Ransomware ist oft kein einzelner Moment,
sondern eine Angriffskette.

Double Extortion

Double Extortion bedeutet:

Angreifer verschlüsseln Daten

und

drohen zusätzlich mit Veröffentlichung gestohlener Daten.

Dadurch wird nicht nur Verfügbarkeit, sondern auch Vertraulichkeit angegriffen.

Merksatz:

Double Extortion kombiniert Verschlüsselung und Datenabfluss.

Schutz vor Ransomware

Wichtige Schutzmaßnahmen:

regelmäßige Backups
Immutable Backups
Offline-Backups
Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
Netzwerksegmentierung
Makros einschränken
keine lokalen Adminrechte
E-Mail-Schutz
Monitoring
schnelle Isolation infizierter Systeme

Merksatz:

Gegen Ransomware helfen vor allem Backups,
Rechtebegrenzung,
Segmentierung
und schnelle Reaktion.

Warum Backups gegen Ransomware wichtig sind

Wenn Daten verschlüsselt wurden, ist Wiederherstellung oft der wichtigste Weg zurück.

Aber Backups helfen nur, wenn sie:

vorhanden sind
aktuell genug sind
nicht mitverschlüsselt wurden
nicht gelöscht wurden
wiederherstellbar sind
regelmäßig getestet wurden
getrennt geschützt sind

Merksatz:

Backup ist nur dann Schutz,
wenn Restore funktioniert.

Immutable Backup bei Ransomware

Immutable Backup bedeutet:

Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.

Vorteile:

Schutz vor Angreifern mit Adminzugang
Schutz vor versehentlicher Löschung
Schutz vor Ransomware
bessere Wiederherstellungschance

Merksatz:

Immutable Backups erschweren das Löschen oder Manipulieren von Sicherungen.

Spyware

Spyware ist Schadsoftware, die Informationen heimlich sammelt.

Mögliche Ziele:

Passwörter
Browserdaten
E-Mails
Tastatureingaben
Bildschirmaufnahmen
Dateien
Nutzungsverhalten
Zugangstokens

Merksatz:

Spyware spioniert Daten und Verhalten aus.

Keylogger

Ein Keylogger zeichnet Tastatureingaben auf.

Ziele:

Passwörter
Zugangsdaten
Kreditkartendaten
Nachrichten
interne Informationen

Keylogger können sein:

Software
Hardware
Bestandteil anderer Malware

Merksatz:

Keylogger stehlen Eingaben direkt an der Tastatur.

Rootkit

Ein Rootkit versteckt Schadsoftware oder Angreiferaktivitäten tief im System.

Ziele:

Erkennung verhindern
Kontrolle behalten
Prozesse verstecken
Dateien verstecken
Logs manipulieren
Sicherheitssoftware umgehen

Rootkits sind besonders kritisch, weil sie schwer zu erkennen und zu entfernen sein können.

Merksatz:

Rootkits verstecken Angriffe tief im System.

Botnet-Client

Ein Botnet-Client ist ein infiziertes System, das von Angreifern ferngesteuert wird.

Viele solcher Systeme bilden ein Botnet.

Nutzung:

DDoS-Angriffe
Spamversand
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch

Merksatz:

Botnet = viele fremdgesteuerte infizierte Systeme.

Cryptominer

Ein Cryptominer missbraucht Rechenleistung, um Kryptowährung zu berechnen.

Folgen:

hohe CPU- oder GPU-Last
hohe Stromkosten
langsame Systeme
Überhitzung
Cloud-Kostenanstieg
verringerte Systemleistung

Merksatz:

Cryptominer stiehlt Rechenleistung.

Adware

Adware zeigt unerwünschte Werbung an oder verändert Browser- und Systemeinstellungen.

Mögliche Folgen:

störende Werbung
Browserumleitungen
Tracking
Installation weiterer unerwünschter Software
reduzierte Benutzerfreundlichkeit

Merksatz:

Adware ist oft weniger zerstörerisch,
aber trotzdem unerwünscht und riskant.

Malware-Erkennung

Malware kann erkannt werden durch:

Antivirus
EDR
ungewöhnliche Prozesse
ungewöhnliche Netzwerkverbindungen
hohe CPU-Last
geänderte Dateien
verdächtige Autostarts
Warnungen im SIEM
auffällige DNS-Anfragen
ungewöhnliche Loginversuche
bekannte Signaturen
Verhaltensanalyse

Merksatz:

Malware-Erkennung kombiniert Signaturen,
Verhalten
und Monitoring.

Signaturbasierte Erkennung

Signaturbasierte Erkennung nutzt bekannte Muster.

Beispiel:

bekannte Schadsoftware-Datei
bekannte Hashwerte
bekannte Codebestandteile
bekannte Angriffsmuster

Vorteil:

gut gegen bekannte Malware

Nachteil:

schwächer gegen neue oder veränderte Malware

Merksatz:

Signaturen erkennen Bekanntes.

Verhaltensbasierte Erkennung

Verhaltensbasierte Erkennung achtet auf verdächtiges Verhalten.

Beispiele:

viele Dateien werden schnell verändert
Prozess startet ungewöhnliche Befehle
Programm öffnet unbekannte Netzwerkverbindung
Benutzerkonto greift plötzlich auf viele Systeme zu
Skript lädt ausführbare Datei nach

Vorteil:

kann auch neue oder veränderte Angriffe erkennen

Merksatz:

Verhaltenserkennung erkennt Auffälligkeiten,
auch wenn die Datei noch unbekannt ist.

Antivirus

Antivirus-Software erkennt und blockiert bekannte Schadsoftware.

Typische Funktionen:

Dateiprüfung
Echtzeitschutz
Signaturprüfung
Quarantäne
Scans
Erkennung bekannter Malware

Grenze:

Antivirus allein reicht nicht als Sicherheitskonzept.

Merksatz:

Antivirus ist wichtig,
aber nur eine Schutzschicht.

EDR

EDR steht für:

Endpoint Detection and Response

EDR überwacht Endgeräte stärker als klassischer Antivirus.

Typische Funktionen:

Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Auswertung
Reaktionsmaßnahmen

Merksatz:

EDR hilft,
Angriffe auf Endgeräten zu erkennen und darauf zu reagieren.

Quarantäne

Quarantäne bedeutet:

Eine verdächtige oder schädliche Datei wird isoliert.

Ziel:

Datei kann nicht weiter ausgeführt werden.
Schaden wird begrenzt.
Datei kann später untersucht werden.

Merksatz:

Quarantäne isoliert verdächtige Dateien.

Isolation eines Endgeräts

Wenn ein Gerät infiziert ist, sollte es schnell isoliert werden.

Isolation bedeutet:

vom Netzwerk trennen
WLAN deaktivieren
Netzwerkkabel ziehen
EDR-Isolation nutzen
VPN trennen
Zugriff auf Server sperren

Wichtig:

Nicht unüberlegt ausschalten,
wenn forensische Analyse benötigt wird.

Merksatz:

Infizierte Systeme schnell vom Netz trennen,
aber Vorgehen dokumentieren.

Malware und Rechte

Malware hat oft nur die Rechte des Benutzers, unter dem sie ausgeführt wird.

Wenn Benutzer lokale Adminrechte haben, kann Malware mehr Schaden anrichten.

Schutz:

keine lokalen Adminrechte für Alltag
Least Privilege
getrennte Admin-Konten
Applikationskontrolle
Rechteprüfung

Merksatz:

Weniger Benutzerrechte bedeuten weniger Malware-Schaden.

Malware und Netzwerksegmentierung

Wenn ein System infiziert ist, darf sich Malware nicht frei im Netzwerk bewegen können.

Segmentierung hilft durch Trennung von:

Clientnetz
Servernetz
Managementnetz
Backupnetz
Produktionsnetz
Gastnetz
IoT-Netz

Merksatz:

Segmentierung begrenzt Ausbreitung.

Laterale Bewegung

Laterale Bewegung bedeutet:

Angreifer oder Malware bewegen sich nach dem ersten Zugriff weiter im Netzwerk.

Beispiele:

Zugriff von Client auf Dateiserver
Zugriff auf weitere Clients
Auslesen von Zugangsdaten
Angriff auf Domain Controller
Zugriff auf Backups
Angriff auf Managementsysteme

Merksatz:

Laterale Bewegung ist Ausbreitung nach dem Erstzugriff.

Schutz vor lateraler Bewegung

Maßnahmen:

Netzwerksegmentierung
Firewall zwischen Netzbereichen
Least Privilege
keine lokalen Adminrechte
getrennte Admin-Konten
MFA
EDR
Monitoring
sichere Passworthygiene
Zugriff auf Adminfreigaben begrenzen

Merksatz:

Nach dem ersten kompromittierten System darf nicht das ganze Netz offen sein.

Makros als Risiko

Office-Makros können nützlich sein, werden aber oft für Malware missbraucht.

Risiken:

Makro lädt Schadsoftware nach
Makro führt Befehle aus
Makro startet Skripte
Benutzer aktiviert Inhalt aus Täuschung

Schutz:

Makros aus dem Internet blockieren
nur signierte Makros erlauben
Benutzer schulen
E-Mail-Anhänge prüfen
Office-Härtung nutzen

Merksatz:

Makros nur erlauben,
wenn sie wirklich benötigt und vertrauenswürdig sind.

Skripte als Risiko

Skripte können für Administration nützlich sein, aber auch von Angreifern missbraucht werden.

Beispiele:

PowerShell
Bash
JavaScript
VBScript
Python
Batch-Dateien

Risiken:

Malware nachladen
Dateien verschlüsseln
Systeme ausspähen
Befehle automatisieren
Sicherheitssoftware umgehen

Merksatz:

Skripte sind mächtig und brauchen Kontrolle.

Application Control

Application Control bedeutet:

Es wird gesteuert,
welche Programme ausgeführt werden dürfen.

Beispiele:

nur freigegebene Anwendungen
keine Ausführung aus Download-Ordner
keine unbekannten Skripte
keine unsignierten Programme
Blockierung bekannter Risikopfade

Merksatz:

Application Control verhindert,
dass beliebige Programme starten.

Allowlisting

Allowlisting bedeutet:

Nur ausdrücklich erlaubte Programme oder Aktionen sind zugelassen.

Vorteil:

sehr restriktiv
reduziert unbekannte Schadsoftware

Nachteil:

höherer Verwaltungsaufwand
kann Benutzer einschränken
muss gut gepflegt werden

Merksatz:

Allowlisting erlaubt nur Bekanntes und Freigegebenes.

Blocklisting

Blocklisting bedeutet:

Bekannte schädliche Programme oder Aktionen werden verboten.

Vorteil:

einfacher einzuführen

Nachteil:

neue oder unbekannte Malware kann durchkommen

Merksatz:

Blocklisting verbietet Bekanntes,
erlaubt aber Unbekanntes oft weiterhin.

Patchmanagement gegen Malware

Viele Malware-Angriffe nutzen bekannte Sicherheitslücken.

Patchmanagement schützt, indem Updates geplant und eingespielt werden.

Betroffen sind:

Betriebssysteme
Browser
Office-Programme
Serverdienste
VPN-Gateways
Firewalls
Anwendungen
Firmware
Container-Images

Merksatz:

Ungepatchte Systeme sind leichte Ziele.

E-Mail-Schutz gegen Malware

Viele Malware-Angriffe beginnen per E-Mail.

Schutzmaßnahmen:

Spamfilter
Malware-Scanner
Linkprüfung
Anhangprüfung
Blockierung gefährlicher Dateitypen
Makroregeln
Absenderprüfung
SPF,
DKIM
und DMARC
Benutzerschulung

Merksatz:

E-Mail-Schutz ist eine wichtige erste Verteidigungslinie.

Download-Schutz

Downloads können Malware enthalten.

Schutzmaßnahmen:

nur vertrauenswürdige Quellen
Signaturen prüfen
Hashwerte prüfen
keine gecrackte Software
Browser-Schutz
EDR
Rechtebegrenzung
Softwareverteilung zentral steuern

Merksatz:

Software nur aus vertrauenswürdigen Quellen installieren.

USB-Geräte als Risiko

USB-Geräte können Malware verbreiten oder Daten stehlen.

Risiken:

infizierter USB-Stick
manipuliertes Eingabegerät
Datenabfluss
automatische Ausführung
unbekannte Geräte

Schutz:

USB-Richtlinien
Gerätekontrolle
AutoRun deaktivieren
Schulung
nur freigegebene Geräte
Verschlüsselung
DLP je nach Umgebung

Merksatz:

Unbekannte USB-Geräte nicht vertrauen.

DLP

DLP steht für:

Data Loss Prevention

DLP soll verhindern, dass sensible Daten unkontrolliert abfließen.

Beispiele:

Blockieren von Uploads
Warnung bei sensiblen Daten in E-Mail
Schutz vor Kopieren auf USB
Kontrolle von Cloud-Freigaben
Erkennung von Kreditkartennummern oder Personaldaten

Merksatz:

DLP schützt vor unerwünschtem Datenabfluss.

Malware und Cloud

Auch Cloud-Umgebungen können von Malware betroffen sein.

Beispiele:

infizierte VM
kompromittierter Container
Malware in Storage
gestohlene API-Schlüssel
Cryptomining in Cloud-Instanzen
Ransomware in synchronisiertem Cloud-Speicher

Schutz:

IAM
MFA
EDR für Cloud-VMs
sichere Images
Container-Scanning
Security Groups
Logging
Kostenalarme

Merksatz:

Cloud schützt nicht automatisch vor Malware.

Malware und Container

Container können Schadsoftware enthalten, wenn Images unsicher sind.

Risiken:

manipuliertes Image
veraltete Bibliothek
unsichere Registry
eingebettete Secrets
Container läuft mit zu vielen Rechten
unsichere Runtime-Konfiguration

Schutz:

Images scannen
nur vertrauenswürdige Registries
minimale Images
keine Secrets im Image
keine unnötigen Rechte
regelmäßige Updates

Merksatz:

Container-Images müssen wie Software geprüft werden.

Malware und Backups

Backups können ebenfalls Malware enthalten.

Problem:

Wenn ein Backup bereits infizierte Dateien enthält,
kann Malware nach Restore wieder aktiv werden.

Wichtig:

Backup-Zeitpunkt wählen
Infektionszeitpunkt bestimmen
Restore testen
Systeme vor Wiederanbindung prüfen
Backups nicht ungeprüft zurückspielen

Merksatz:

Restore nach Malware braucht sorgfältige Prüfung.

Erste Maßnahmen bei Malware-Verdacht

Sinnvolle Schritte:

1. Ruhe bewahren.
2. System vom Netzwerk isolieren.
3. Zeitpunkt und Symptome dokumentieren.
4. IT-Sicherheit oder Verantwortliche informieren.
5. Keine Beweise unnötig löschen.
6. Logs sichern.
7. Betroffene Konten prüfen.
8. Ausbreitung prüfen.
9. Ursache analysieren.
10. Bereinigung oder Neuaufbau planen.
11. Wiederherstellung testen.
12. Maßnahmen verbessern.

Merksatz:

Bei Malware zählt schnelle Eindämmung und saubere Dokumentation.

Neuinstallation statt Bereinigung

Bei schwerer Kompromittierung ist Neuinstallation oft sicherer als reine Bereinigung.

Gründe:

Rootkits schwer erkennbar
Backdoors möglich
Systemdateien manipuliert
Rechte verändert
Logs gelöscht
Vertrauen ins System verloren

Merksatz:

Ein kompromittiertes System ist oft nicht mehr vollständig vertrauenswürdig.

Typische Malware-Symptome

Mögliche Anzeichen:

System wird sehr langsam
unbekannte Prozesse
hohe CPU-Last
viele Netzwerkverbindungen
Dateien verschwinden
Dateien werden verschlüsselt
Antivirus meldet Fund
ungewöhnliche Popups
Browser leitet um
Benutzerkonto verhält sich auffällig
neue Autostart-Einträge
unerklärliche Cloud-Kosten

Merksatz:

Malware zeigt sich oft durch ungewöhnliches Verhalten.

Typische Schutzmaßnahmen gegen Malware

Wichtige Maßnahmen:

Patchmanagement
Antivirus
EDR
E-Mail-Schutz
MFA
Least Privilege
keine lokalen Adminrechte
Makro-Schutz
Application Control
Netzwerksegmentierung
regelmäßige Backups
Immutable Backups
Restore-Tests
Monitoring
Logging
Benutzerschulung
Incident Response

Merksatz:

Malware-Schutz braucht mehrere Schutzschichten.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist ein Trojaner?
- Was ist Ransomware?
- Warum ist Ransomware besonders gefährlich?
- Was bedeutet Double Extortion?
- Wie schützt man sich vor Ransomware?
- Warum sind Backups gegen Ransomware wichtig?
- Was ist Spyware?
- Was ist ein Keylogger?
- Was ist ein Rootkit?
- Was ist ein Botnet?
- Was ist ein Cryptominer?
- Was ist der Unterschied zwischen Antivirus und EDR?
- Was bedeutet Quarantäne?
- Warum ist Netzwerksegmentierung gegen Malware wichtig?
- Was ist laterale Bewegung?
- Warum sind Makros ein Risiko?
- Was ist Application Control?
- Was ist DLP?
- Warum reicht Antivirus allein nicht aus?

Typische Prüfungsfallen

Malware ist ein Oberbegriff.

Virus und Wurm nicht verwechseln.

Wurm verbreitet sich selbstständig.

Trojaner tarnt sich als nützlich.

Ransomware betrifft Verfügbarkeit
und oft Vertraulichkeit.

Double Extortion bedeutet Verschlüsselung plus Datenabfluss.

Backup verhindert Ransomware nicht,
ermöglicht aber Wiederherstellung.

Replikation ersetzt kein Backup.

Backup muss vor Manipulation geschützt sein.

Antivirus allein reicht nicht.

EDR erkennt und reagiert umfassender.

Quarantäne bedeutet Isolation einer Datei.

Infiziertes Gerät schnell isolieren.

Lokale Adminrechte erhöhen Schaden.

Segmentierung begrenzt Ausbreitung.

Laterale Bewegung ist Bewegung im Netzwerk nach Erstzugriff.

Makros und Skripte sind häufige Angriffsmittel.

Allowlisting ist strenger als Blocklisting.

Cloud ist nicht automatisch frei von Malware.

Container-Images müssen geprüft werden.

Restore nach Malware braucht Vorsicht.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Malware Schadsoftware
Virus Schadsoftware mit Wirtsdatei
Wurm selbstverbreitende Schadsoftware
Trojaner getarnte Schadsoftware
Backdoor versteckter Zugang
Ransomware erpresserische Verschlüsselung oder Sperrung
Double Extortion Verschlüsselung plus Datenabfluss
Spyware Spionagesoftware
Keylogger zeichnet Tastatureingaben auf
Rootkit versteckt und verankert Schadsoftware
Botnet Netzwerk fremdgesteuerter Systeme
Botnet-Client infiziertes ferngesteuertes System
Cryptominer missbraucht Rechenleistung
Adware unerwünschte Werbesoftware
Antivirus Schutz gegen bekannte Schadsoftware
EDR Endpoint Detection and Response
Quarantäne Isolation verdächtiger Dateien
Isolation Trennung eines Systems vom Netzwerk
laterale Bewegung Ausbreitung im Netzwerk
Makro automatisierte Funktion in Dokumenten
Application Control Steuerung erlaubter Programme
Allowlisting nur Erlaubtes zulassen
Blocklisting Bekanntes verbieten
DLP Data Loss Prevention
Restore Wiederherstellung
Immutable Backup unveränderliches Backup
Incident Response Reaktion auf Sicherheitsvorfall

IHK-sichere Kurzformulierung

Malware ist ein Oberbegriff für Schadsoftware wie Viren, Würmer, Trojaner, Ransomware, Spyware, Keylogger, Rootkits, Botnet-Clients und Cryptominer. Ein Virus hängt sich häufig an Dateien oder Programme an, während sich ein Wurm selbstständig über Netzwerke verbreiten kann. Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Schutzmaßnahmen gegen Malware sind Patchmanagement, Antivirus, EDR, MFA, Least Privilege, Netzwerksegmentierung, Makroschutz, Application Control, E-Mail-Schutz, Backups, Immutable Backups, Restore-Tests, Logging, Monitoring und Benutzerschulung.

Merksätze

Malware ist Schadsoftware.

Virus hängt sich an Dateien.

Wurm verbreitet sich selbstständig.

Trojaner täuscht Nützlichkeit vor.

Backdoor ist versteckter Zugang.

Ransomware verschlüsselt oder sperrt.

Double Extortion = Verschlüsselung plus Datenabfluss.

Spyware spioniert.

Keylogger stehlen Tastatureingaben.

Rootkits verstecken Angriffe.

Botnet besteht aus fremdgesteuerten Systemen.

Cryptominer stiehlt Rechenleistung.

Malware kann alle Schutzziele verletzen.

Infektionswege sind oft E-Mail,
Download,
Schwachstelle
oder Zugangsdaten.

Antivirus erkennt vor allem bekannte Malware.

EDR erkennt und reagiert tiefer.

Signaturen erkennen Bekanntes.

Verhaltenserkennung erkennt Auffälligkeiten.

Quarantäne isoliert verdächtige Dateien.

Infizierte Systeme schnell isolieren.

Weniger Rechte bedeuten weniger Schaden.

Segmentierung begrenzt Ausbreitung.

Laterale Bewegung verhindern.

Makros aus unsicheren Quellen blockieren.

Skripte kontrollieren.

Allowlisting ist strenger als Blocklisting.

Patchmanagement schließt bekannte Lücken.

E-Mail-Schutz ist wichtig.

USB-Geräte nicht blind vertrauen.

DLP schützt vor Datenabfluss.

Cloud braucht ebenfalls Malware-Schutz.

Container-Images prüfen.

Backups können infizierte Daten enthalten.

Restore nach Malware sorgfältig planen.

Neuaufbau kann sicherer sein als Bereinigung.

Malware-Schutz braucht mehrere Schichten.

16.3 Phishing, Social Engineering und Identitätsangriffe

Viele Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit Täuschung.

Angreifer versuchen, Menschen dazu zu bringen,

- Zugangsdaten einzugeben
- Links anzuklicken
- Anhänge zu öffnen
- MFA-Anfragen zu bestätigen
- Geld zu überweisen
- vertrauliche Informationen preiszugeben
- Schadsoftware auszuführen
- Sicherheitsregeln zu umgehen

Merksatz:

Social Engineering greift Menschen und Prozesse an,
nicht nur Technik.

Warum Phishing so gefährlich ist

Phishing ist gefährlich, weil es normale Arbeitsabläufe ausnutzt.

Beispiele:

Rechnung prüfen
Paketbenachrichtigung öffnen
Passwort zurücksetzen
Cloud-Datei ansehen
Bewerbung herunterladen
Supportanfrage beantworten
dringende Chef-Anweisung befolgen

Angreifer nutzen dabei:

Zeitdruck
Vertrauen
Neugier
Angst
Hilfsbereitschaft
Autorität
Gewohnheit

Merksatz:

Phishing wirkt,
weil es menschliches Verhalten ausnutzt.

Phishing

Phishing ist der Versuch, Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu bringen.

Ziele:

Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Kundendaten
interne Informationen
Cloud-Zugänge
VPN-Zugänge
E-Mail-Konten

Typische Mittel:

gefälschte E-Mail
gefälschte Webseite
gefälschtes Loginformular
gefälschte Rechnung
gefälschte Sicherheitswarnung
gefälschter Cloud-Link

Merksatz:

Phishing täuscht Benutzer,
damit sie selbst etwas Gefährliches tun.

Typischer Phishing-Ablauf

Ein typischer Ablauf:

1. Benutzer erhält eine täuschend echte Nachricht.
2. Nachricht erzeugt Druck oder Interesse.
3. Benutzer klickt Link oder öffnet Anhang.
4. Gefälschte Webseite fragt Zugangsdaten ab.
5. Benutzer gibt Daten ein.
6. Angreifer nutzt die Zugangsdaten.
7. Konto wird übernommen oder Malware wird ausgeführt.

Merksatz:

Phishing ist oft der Einstieg in größere Angriffe.

Phishing per E-Mail

E-Mail-Phishing ist besonders verbreitet.

Typische Merkmale:

angebliche Rechnung
angebliche Lieferung
angebliche Kontosperrung
angebliche Passwortwarnung
angebliche Cloud-Dateifreigabe
angebliche Bewerbung
angebliche Sicherheitsmeldung
angeblicher Chefauftrag

Merksatz:

E-Mail ist ein häufiger Einstiegspunkt für Angriffe.

Phishing per SMS

Phishing per SMS wird oft genannt:

Smishing

Typische Beispiele:

Paket konnte nicht zugestellt werden.
Konto wurde gesperrt.
Zahlung erforderlich.
Sicherheitsprüfung notwendig.
Link zur Sendungsverfolgung.

Risiko:

Benutzer klicken am Smartphone oft schneller auf Links.

Merksatz:

Smishing ist Phishing über SMS.

Phishing per Telefon

Phishing per Telefon wird oft genannt:

Vishing

Dabei ruft ein Angreifer an und gibt sich zum Beispiel aus als:

IT-Support
Bankmitarbeiter
Chef
Dienstleister
Behörde
Sicherheitsabteilung

Ziel:

Zugangsdaten erhalten
MFA-Code erhalten
Fernwartung starten
Überweisung auslösen
interne Informationen bekommen

Merksatz:

Vishing ist Phishing per Telefon.

Phishing über Messenger

Angriffe können auch über Messenger laufen.

Beispiele:

angebliche Nachricht von Kollegen
gefälschter Supportkontakt
Link zu Cloud-Datei
dringende Zahlungsanweisung
angebliches Problem mit Benutzerkonto
QR-Code zu Loginseite

Merksatz:

Phishing ist nicht auf E-Mail beschränkt.

QR-Phishing

QR-Phishing wird auch Quishing genannt.

Dabei führt ein QR-Code auf eine gefälschte Webseite.

Risiko:

Beispiele:

gefälschter Paketaufkleber
falsches WLAN-Portal
falsche Zahlungsseite
gefälschter Microsoft-Login
Plakat oder E-Mail mit QR-Code

Merksatz:

QR-Code nicht automatisch vertrauen.

Spear Phishing

Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Teams oder Organisationen.

Angreifer nutzen oft Informationen wie:

Name
Firma
Rolle
laufendes Projekt
bekannte Kollegen
verwendete Dienste
Signatur
Lieferanten
interne Begriffe

Dadurch wirkt die Nachricht glaubwürdiger.

Merksatz:

Spear Phishing ist gezielter und glaubwürdiger als Massenphishing.

Whaling

Whaling ist Phishing gegen besonders wichtige Personen.

Ziele:

Geschäftsführung
Finanzleitung
Personalabteilung
Administratoren
Projektleitung
Geschäftsbereichsleitung

Warum gefährlich?

Diese Personen haben oft besondere Rechte,
Informationen
oder Entscheidungsbefugnisse.

Merksatz:

Whaling richtet sich gegen besonders wertvolle Ziele.

CEO-Fraud

CEO-Fraud ist eine Betrugsform, bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben.

Typisches Ziel:

schnelle Überweisung
Änderung von Bankdaten
Herausgabe vertraulicher Informationen
Einkauf von Gutscheinkarten
Umgehung normaler Freigabeprozesse

Typische Merkmale:

sehr dringend
vertraulich
keine Rückfrage erwünscht
ungewöhnliche Zahlungsdaten
außerhalb normaler Prozesse

Merksatz:

CEO-Fraud nutzt Autorität und Zeitdruck.

Business E-Mail Compromise

Business E-Mail Compromise wird oft abgekürzt:

BEC

Dabei wird ein geschäftliches E-Mail-Konto kompromittiert oder täuschend echt nachgeahmt.

Ziele:

Rechnungsbetrug
Änderung von Kontodaten
interne Täuschung
Phishing aus echtem Konto
Zugriff auf Geschäftskommunikation

Merksatz:

BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug.

Fake Login

Ein Fake Login ist eine gefälschte Anmeldeseite.

Sie sieht oft aus wie:

Microsoft 365
Google
VPN-Portal
Cloud-Speicher
Bank
Paketdienst
Unternehmensportal

Ziel:

Zugangsdaten abgreifen

Merksatz:

Gefälschte Loginseiten sind ein Kernmittel von Phishing.

Credential Harvesting

Credential Harvesting bedeutet:

Zugangsdaten werden gesammelt.

Beispiele:

gefälschte Loginseite
Keylogger
Phishing-Mail
manipulierte Anwendung
Malware
unsichere Datenbank
abgegriffene Browserdaten

Merksatz:

Credential Harvesting sammelt Zugangsdaten für spätere Angriffe.

Session Hijacking

Session Hijacking bedeutet:

Ein Angreifer übernimmt eine bestehende Sitzung.

Ziel:

Zugriff erhalten,
ohne das Passwort erneut eingeben zu müssen.

Mögliche Mittel:

gestohlene Session-Cookies
gestohlene Tokens
Malware im Browser
unsichere Verbindung
XSS
kompromittiertes Endgerät

Merksatz:

Session Hijacking greift die laufende Anmeldung an.

MFA-Bypass

MFA macht Angriffe schwerer, aber nicht unmöglich.

Mögliche Angriffe:

MFA-Push-Fatigue
Phishing mit Echtzeit-Weiterleitung
gestohlene Session-Tokens
kompromittiertes Endgerät
Social Engineering beim Support
unsichere Ausnahmen
SIM-Swapping bei SMS-MFA

Merksatz:

MFA ist wichtig,
aber keine alleinige Schutzmaßnahme.

MFA-Push-Fatigue

MFA-Push-Fatigue bedeutet:

Angreifer lösen viele MFA-Push-Anfragen aus.

Ziel:

Benutzer bestätigt aus Versehen,
aus Gewohnheit
oder genervt.

Schutz:

Number Matching
klare Anzeige von Ort und Anwendung
Schulung
Meldeweg für unerwartete MFA-Anfragen
Rate Limiting
verdächtige Anfragen blockieren

Merksatz:

Unerwartete MFA-Anfragen niemals bestätigen.

SIM-Swapping

SIM-Swapping bedeutet:

Angreifer übernehmen die Mobilfunknummer eines Opfers.

Ziel:

SMS-Codes empfangen
Passwortzurücksetzung durchführen
Konten übernehmen

Schutz:

SMS-MFA möglichst vermeiden
App-basierte MFA oder Hardwaretoken nutzen
Mobilfunkkonto schützen
ungewöhnliche Netzverluste beachten

Merksatz:

SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen.

Social Engineering

Social Engineering ist die Manipulation von Menschen, um Sicherheitsmaßnahmen zu umgehen.

Angreifer nutzen zum Beispiel:

Autorität
Dringlichkeit
Angst
Hilfsbereitschaft
Sympathie
Neugier
Gewohnheit
Vertraulichkeit

Merksatz:

Social Engineering nutzt Psychologie als Angriffsmittel.

Pretexting

Pretexting bedeutet:

Angreifer erfinden eine glaubwürdige Geschichte oder Rolle.

Beispiele:

angeblicher IT-Support
angeblicher neuer Mitarbeiter
angeblicher Dienstleister
angebliche Bank
angebliche Behörde
angeblicher Kunde

Ziel:

Vertrauen erzeugen
Informationen erhalten
Aktionen auslösen

Merksatz:

Pretexting arbeitet mit erfundener glaubwürdiger Rolle.

Baiting

Baiting bedeutet:

Angreifer legen einen Köder aus.

Beispiele:

USB-Stick mit Aufschrift „Gehälter“
kostenloser Download
angebliches Tool
Gutschein
Gewinnspiel
kostenlose Software

Ziel:

Benutzer soll etwas öffnen,
installieren
anschließen
oder Daten eingeben.

Merksatz:

Baiting nutzt Neugier oder Vorteilserwartung.

Tailgating

Tailgating bedeutet:

Eine unberechtigte Person folgt einer berechtigten Person in einen geschützten Bereich.

Beispiele:

Person folgt durch Sicherheitstür.
Person trägt angeblich schwere Kisten.
Person bittet freundlich,
die Tür aufzuhalten.

Merksatz:

Tailgating umgeht physische Zutrittskontrolle.

Shoulder Surfing

Shoulder Surfing bedeutet:

Angreifer beobachten Eingaben oder Bildschirme.

Beispiele:

Passwort beim Tippen ansehen
PIN am Automaten beobachten
Bildschirm im Zug mitlesen
MFA-Code ablesen

Schutz:

Sichtschutzfolie
Bildschirm sperren
Umgebung beachten
keine sensiblen Eingaben in unsicheren Umgebungen

Merksatz:

Shoulder Surfing nutzt Beobachtung.

Dumpster Diving

Dumpster Diving bedeutet:

Angreifer durchsuchen Müll oder entsorgte Unterlagen.

Ziele:

Passwörter
interne Dokumente
Netzwerkpläne
Rechnungen
Kundendaten
alte Datenträger
Notizzettel
Organigramme

Schutz:

Aktenvernichtung
sichere Datenträgervernichtung
Clean-Desk-Regel
Entsorgungsprozesse

Merksatz:

Auch entsorgte Informationen können sicherheitskritisch sein.

Identitätsangriffe

Identitätsangriffe richten sich gegen Benutzerkonten, Rollen und Anmeldungen.

Typische Angriffe:

Phishing
Brute Force
Credential Stuffing
Password Spraying
Session Hijacking
MFA-Missbrauch
Kontoübernahme
Rechteausweitung

Merksatz:

Wer Identität kontrolliert,
kontrolliert oft den Zugriff.

Account Takeover

Account Takeover bedeutet:

Ein Angreifer übernimmt ein Benutzerkonto.

Mögliche Folgen:

E-Mails lesen
interne Daten abrufen
Phishing aus echtem Konto senden
Dateien löschen
Rechte ausnutzen
weitere Konten angreifen
Regeln oder Weiterleitungen einrichten

Merksatz:

Kontoübernahme ist oft der Startpunkt für weitere Angriffe.

Brute Force

Brute Force bedeutet:

viele Passwörter werden systematisch ausprobiert.

Schutz:

MFA
Rate Limiting
starke Passwörter
Sperrmechanismen
Monitoring
keine Standardkonten
Passwortmanager

Merksatz:

Brute Force wird durch Begrenzung und MFA erschwert.

Credential Stuffing

Credential Stuffing bedeutet:

Angreifer nutzen geleakte Zugangsdaten aus anderen Diensten.

Beispiel:

Passwort aus altem Webshop-Leak
wird am Firmenportal ausprobiert.

Schutz:

keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-Erkennung
riskante Loginversuche erkennen

Merksatz:

Credential Stuffing nutzt wiederverwendete Passwörter.

Password Spraying

Password Spraying bedeutet:

wenige häufige Passwörter werden gegen viele Konten getestet.

Beispiele:

Willkommen2026!
Sommer2026!
Passwort123!

Ziel:

Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.

Merksatz:

Password Spraying verteilt wenige Passwörter auf viele Benutzer.

Passwort-Wiederverwendung

Passwort-Wiederverwendung bedeutet:

dasselbe Passwort wird bei mehreren Diensten genutzt.

Problem:

Wird ein Dienst kompromittiert,
können Angreifer das Passwort bei anderen Diensten ausprobieren.

Schutz:

Passwortmanager
eindeutige Passwörter
MFA
Schulung
Passwort-Leak-Prüfung

Merksatz:

Ein Passwort darf nicht mehrfach genutzt werden.

Starke Passwörter

Starke Passwörter sollten:

lang sein
nicht leicht erratbar sein
nicht wiederverwendet werden
nicht aus persönlichen Daten bestehen
nicht in Listen bekannter Passwörter vorkommen

Für viele Konten ist ein Passwortmanager sinnvoll.

Merksatz:

Länge und Einzigartigkeit sind wichtiger als komplizierte Merkhilfen.

Passwortmanager

Ein Passwortmanager hilft, für jeden Dienst ein eigenes starkes Passwort zu verwenden.

Vorteile:

eindeutige Passwörter
lange Passwörter
weniger Wiederverwendung
Erkennung falscher Webseiten möglich
sicherere Speicherung als Notizzettel

Merksatz:

Passwortmanager unterstützt starke und eindeutige Passwörter.

Account Lockout

Account Lockout bedeutet:

Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt.

Vorteil:

Schutz vor Brute Force

Risiko:

Angreifer können viele Konten absichtlich sperren.

Deshalb sinnvoll kombinieren mit:

Rate Limiting
Risikoanalyse
MFA
Monitoring
differenzierten Sperrregeln

Merksatz:

Kontosperren helfen,
müssen aber sinnvoll eingestellt sein.

Rate Limiting

Rate Limiting begrenzt, wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind.

Beispiele:

maximal 5 Loginversuche pro Minute
begrenzte API-Anfragen
Verzögerung nach Fehlversuchen

Merksatz:

Rate Limiting bremst automatisierte Angriffe.

Captcha

Captcha soll prüfen, ob ein Mensch oder ein automatisiertes Programm handelt.

Einsatz:

Loginformulare
Registrierungen
Passwortzurücksetzung
öffentliche Formulare

Grenze:

Captchas sind keine vollständige Sicherheitsmaßnahme.

Merksatz:

Captcha erschwert Automatisierung,
ersetzt aber keine sichere Authentifizierung.

Phishing-Erkennungsmerkmale

Mögliche Warnzeichen:

ungewöhnlicher Absender
unerwarteter Anhang
dringende Aufforderung
Drohung mit Sperrung
ungewöhnliche Zahlungsaufforderung
Rechtschreib- oder Formatfehler
verkürzte Links
Domain passt nicht
Login wird über Link gefordert
vertrauliche Daten werden verlangt
Absenderadresse und Anzeigename passen nicht zusammen

Merksatz:

Bei Druck,
ungewöhnlichem Link
oder Datenabfrage vorsichtig sein.

passt die Domain?
ist die Verbindung HTTPS?
ist die Adresse ungewöhnlich lang?
gibt es Tippfehler in der Domain?
wird eine bekannte Marke nachgeahmt?
führt der Link über Weiterleitungen?
ist es ein verkürzter Link?
passt der Link zum erwarteten Dienst?

Merksatz:

Nicht der sichtbare Text zählt,
sondern das echte Ziel des Links.

Anhänge prüfen

Gefährliche Anhänge können sein:

ausführbare Dateien
Makro-Dokumente
Archive mit Passwort
angebliche Rechnungen
Skripte
ISO-Dateien
LNK-Dateien
HTML-Dateien
manipulierte PDFs

Merksatz:

Unerwartete Anhänge immer kritisch prüfen.

Absender prüfen

Bei E-Mails ist der Anzeigename leicht fälschbar.

Zu prüfen:

echte Absenderadresse
Domain
Antwortadresse
Signatur
Schreibstil
Kontext
ungewöhnliche Anfrage
SPF,
DKIM
DMARC-Ergebnis je nach System

Merksatz:

Anzeigename allein beweist nichts.

SPF

SPF steht für:

Sender Policy Framework

SPF legt fest, welche Mailserver für eine Domain E-Mails senden dürfen.

Merksatz:

SPF prüft,
ob ein sendender Mailserver zur Domain passt.

DKIM

DKIM steht für:

DomainKeys Identified Mail

DKIM nutzt digitale Signaturen, um zu prüfen, ob eine E-Mail unterwegs verändert wurde und ob sie zur sendenden Domain passt.

Merksatz:

DKIM signiert E-Mails kryptografisch.

DMARC

DMARC steht für:

Domain-based Message Authentication,
Reporting and Conformance

DMARC baut auf SPF und DKIM auf.

Es legt fest, wie Empfänger mit E-Mails umgehen sollen, die SPF oder DKIM nicht bestehen.

Merksatz:

DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails.

SPF, DKIM und DMARC einordnen

Technik Zweck
SPF prüft erlaubte sendende Mailserver
DKIM prüft Signatur und Veränderung
DMARC legt Richtlinie und Berichte fest

Wichtig:

Diese Techniken helfen gegen E-Mail-Spoofing,
verhindern aber nicht jede Phishing-Mail.

Merksatz:

SPF,
DKIM
und DMARC verbessern E-Mail-Authentizität.

Technische Schutzmaßnahmen gegen Phishing

Maßnahmen:

Spamfilter
Malwarefilter
Linkprüfung
Anhangprüfung
Sandboxing
SPF
DKIM
DMARC
MFA
Conditional Access
Passwortmanager
Webfilter
EDR
DNS-Filter
sichere Browserkonfiguration

Merksatz:

Phishing-Schutz braucht mehrere technische Schichten.

Organisatorische Schutzmaßnahmen gegen Phishing

Maßnahmen:

Schulungen
klare Meldewege
Phishing-Simulationen
Vier-Augen-Prinzip
Zahlungsprozesse absichern
Rückruf über bekannte Telefonnummer
Sicherheitsrichtlinien
Freigabeprozesse
Notfallplan bei Kontoübernahme

Merksatz:

Prozesse schützen dort,
wo Technik allein nicht reicht.

Verhalten bei verdächtiger Nachricht

Sinnvolles Vorgehen:

Merksatz:

Bei Verdacht zuerst stoppen,
prüfen
und melden.

Wenn Zugangsdaten eingegeben wurden

Sofortmaßnahmen:

Passwort ändern
MFA-Sitzungen prüfen
aktive Sitzungen beenden
IT informieren
Konto-Logs prüfen
Weiterleitungsregeln prüfen
verdächtige Geräte prüfen
Tokens widerrufen
betroffene Dienste prüfen
weitere Benutzer warnen

Merksatz:

Nach Phishing zählt schnelle Reaktion.

Wenn ein Anhang geöffnet wurde

Sofortmaßnahmen:

Gerät vom Netzwerk trennen
IT informieren
Datei nicht weiter öffnen
Zeitpunkt dokumentieren
E-Mail sichern
EDR oder Antivirus prüfen
Logs sichern
betroffene Konten prüfen
keine weiteren Systeme nutzen,
bis Bewertung erfolgt

Merksatz:

Nach verdächtigem Anhang Gerät schnell isolieren.

Kontoübernahme erkennen

Anzeichen:

unbekannte Loginorte
neue Weiterleitungsregeln
gelesene E-Mails ohne Benutzeraktion
gesendete Phishing-Mails
Passwortänderung
MFA-Änderung
neue Geräte
ungewöhnliche Dateienzugriffe
Rollenänderungen
verdächtige API-Aktivität

Merksatz:

Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen.

E-Mail-Weiterleitungsregel als Risiko

Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an.

Zweck:

E-Mails mitlesen
Rechnungen abfangen
Antworten verstecken
weitere Angriffe vorbereiten

Prüfen:

unbekannte Weiterleitungen
versteckte Regeln
Regeln zum Löschen
Regeln zum Verschieben
externe Empfänger

Merksatz:

Nach Kontoübernahme immer Weiterleitungsregeln prüfen.

Schutz durch Conditional Access

Conditional Access kann Logins abhängig machen von:

Standort
Gerät
MFA
Risiko
Benutzergruppe
Anwendung
Netzwerk
Gerätezustand

Beispiele:

Adminzugriff nur mit MFA

Zugriff aus unbekanntem Land blockieren

Zugriff nur von verwalteten Geräten

Merksatz:

Conditional Access erschwert missbräuchliche Logins.

Schutz durch Schulung

Benutzer sollten wissen:

wie Phishing aussieht
wie man Links prüft
wie man Anhänge bewertet
wie man verdächtige Nachrichten meldet
warum MFA-Anfragen nicht blind bestätigt werden
warum Passwörter eindeutig sein müssen
warum Zahlungsprozesse eingehalten werden

Merksatz:

Schulung macht Benutzer zu aktiven Schutzfaktoren.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist Phishing?
- Was ist Spear Phishing?
- Was ist Whaling?
- Was ist Social Engineering?
- Was ist CEO-Fraud?
- Was ist Business E-Mail Compromise?
- Was ist Smishing?
- Was ist Vishing?
- Was ist Credential Harvesting?
- Was ist Session Hijacking?
- Was ist MFA-Push-Fatigue?
- Was ist SIM-Swapping?
- Was ist Pretexting?
- Was ist Tailgating?
- Was ist Shoulder Surfing?
- Was ist Credential Stuffing?
- Was ist Password Spraying?
- Welche Merkmale können auf Phishing hinweisen?
- Was machen SPF, DKIM und DMARC?
- Wie reagiert man auf eine verdächtige Phishing-Mail?
- Warum sind Passwortmanager sinnvoll?

Typische Prüfungsfallen

Phishing ist nicht nur E-Mail.

Social Engineering ist nicht rein technisch.

Spear Phishing ist gezielt.

Whaling betrifft besonders wichtige Personen.

Smishing läuft über SMS.

Vishing läuft über Telefon.

CEO-Fraud nutzt Autorität.

BEC nutzt geschäftliche E-Mail-Kommunikation.

Anzeigename einer E-Mail beweist nichts.

HTTPS allein beweist nicht,
dass die Seite echt ist.

MFA ist wichtig,
aber nicht unfehlbar.

Unerwartete MFA-Anfragen nicht bestätigen.

Credential Stuffing nutzt geleakte Passwörter.

Password Spraying probiert wenige Passwörter bei vielen Konten.

Passwort-Wiederverwendung ist gefährlich.

SPF,
DKIM
und DMARC helfen gegen Spoofing,
verhindern aber nicht jedes Phishing.

Verdächtige Nachrichten melden,
nicht ignorieren.

Nach Kontoübernahme Weiterleitungsregeln prüfen.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Phishing Täuschung zur Preisgabe vertraulicher Daten
Smishing Phishing per SMS
Vishing Phishing per Telefon
Quishing Phishing über QR-Code
Spear Phishing gezieltes Phishing
Whaling Phishing gegen wichtige Personen
CEO-Fraud Betrug durch angebliche Chef-Anweisung
BEC Business E-Mail Compromise
Fake Login gefälschte Anmeldeseite
Credential Harvesting Sammeln von Zugangsdaten
Session Hijacking Übernahme einer laufenden Sitzung
MFA-Bypass Umgehung oder Missbrauch von MFA
MFA-Push-Fatigue viele MFA-Anfragen zur Ermüdung
SIM-Swapping Übernahme einer Mobilfunknummer
Social Engineering Manipulation von Menschen
Pretexting erfundene glaubwürdige Geschichte
Baiting Köder zur Täuschung
Tailgating unberechtigtes Folgen durch Zutritt
Shoulder Surfing Beobachten von Eingaben
Dumpster Diving Informationssuche im Müll
Account Takeover Kontoübernahme
Brute Force systematisches Ausprobieren
Credential Stuffing Nutzung geleakter Zugangsdaten
Password Spraying wenige Passwörter gegen viele Konten
Passwortmanager Verwaltung starker eindeutiger Passwörter
Account Lockout Kontosperre nach Fehlversuchen
Rate Limiting Begrenzung von Anfragen
Captcha Mensch-Maschine-Prüfung
SPF Prüfung erlaubter Mailserver
DKIM kryptografische E-Mail-Signatur
DMARC Richtlinie für SPF/DKIM-Ergebnisse
Conditional Access Zugriff abhängig von Bedingungen

IHK-sichere Kurzformulierung

Phishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf Benutzerkonten und Zugänge. Schutzmaßnahmen sind MFA, starke eindeutige Passwörter, Passwortmanager, Spam- und Malwarefilter, SPF, DKIM, DMARC, Conditional Access, Schulungen, klare Meldewege, Vier-Augen-Prinzip und schnelle Reaktion bei verdächtigen Vorfällen.

Merksätze

Phishing täuscht Benutzer.

Social Engineering manipuliert Menschen.

Phishing ist nicht nur E-Mail.

Smishing = SMS-Phishing.

Vishing = Telefon-Phishing.

Quishing = QR-Code-Phishing.

Spear Phishing ist gezielt.

Whaling trifft wichtige Personen.

CEO-Fraud nutzt Autorität.

BEC nutzt geschäftliche E-Mails.

Fake Login stiehlt Zugangsdaten.

Credential Harvesting sammelt Zugangsdaten.

Session Hijacking übernimmt Sitzungen.

MFA ist wichtig,
aber nicht unfehlbar.

Unerwartete MFA-Anfragen niemals bestätigen.

SIM-Swapping gefährdet SMS-MFA.

Pretexting nutzt erfundene Rollen.

Baiting nutzt Köder.

Tailgating umgeht Zutrittskontrolle.

Shoulder Surfing nutzt Beobachtung.

Dumpster Diving nutzt weggeworfene Informationen.

Identitätsangriffe zielen auf Konten.

Account Takeover ist Kontoübernahme.

Brute Force probiert systematisch.

Credential Stuffing nutzt geleakte Zugangsdaten.

Password Spraying verteilt wenige Passwörter auf viele Konten.

Passwörter nicht wiederverwenden.

Passwortmanager nutzen.

Rate Limiting bremst Angriffe.

Captcha ersetzt keine sichere Anmeldung.

Anzeigename beweist nichts.

Links immer auf echte Domain prüfen.

Anhänge kritisch prüfen.

SPF prüft erlaubte Mailserver.

DKIM signiert E-Mails.

DMARC legt Richtlinien fest.

Technik und Schulung gemeinsam schützen.

Verdächtige Nachrichten melden.

Nach Phishing schnell reagieren.

Nach Kontoübernahme Weiterleitungsregeln prüfen.

16.4 Netzwerkangriffe: DoS, DDoS, Spoofing und Man-in-the-Middle

Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Identitäten oder Datenübertragung in Netzwerken.

Sie können auf verschiedenen OSI-Schichten stattfinden.

Typische Netzwerkangriffe sind:

- DoS
- DDoS
- Man-in-the-Middle
- ARP-Spoofing
- DNS-Spoofing
- IP-Spoofing
- MAC-Spoofing
- Sniffing
- Session Hijacking
- Rogue DHCP
- Evil Twin
- WLAN-Angriffe

Merksatz:

Netzwerkangriffe nutzen Schwächen in Kommunikation,
Adressierung,
Namensauflösung
oder Erreichbarkeit aus.

Warum Netzwerkangriffe gefährlich sind

Netzwerke verbinden Systeme miteinander.

Wenn ein Angreifer Netzwerkkommunikation beeinflusst, kann er unter Umständen:

Daten mitlesen
Daten verändern
Benutzer auf falsche Ziele lenken
Dienste überlasten
Verbindungen unterbrechen
Zugangsdaten abgreifen
Sitzungen übernehmen
interne Systeme erreichen
Kommunikation manipulieren

Merksatz:

Wer Netzwerkverkehr kontrolliert,
kann viele weitere Angriffe vorbereiten.

DoS

DoS steht für:

Denial of Service

Denial of Service bedeutet:

Ein Dienst wird absichtlich so gestört,
dass er nicht mehr nutzbar ist.

Ziel:

Verfügbarkeit angreifen

Beispiele:

Webserver antwortet nicht mehr.
Anwendung ist überlastet.
Netzwerkleitung ist voll.
Firewall ist überfordert.
Datenbank nimmt keine Verbindungen mehr an.

Merksatz:

DoS greift die Verfügbarkeit an.

DoS einfach erklärt

Ein Dienst kann nur eine begrenzte Menge an Anfragen verarbeiten.

Wenn ein Angreifer sehr viele Anfragen sendet, kann der Dienst überlastet werden.

Folge:

normale Benutzer können den Dienst nicht mehr nutzen.

Merksatz:

DoS bedeutet:
Dienst wird durch Störung oder Überlastung unbenutzbar.

DDoS

DDoS steht für:

Distributed Denial of Service

Distributed bedeutet:

verteilt

Bei DDoS kommt der Angriff von vielen Systemen gleichzeitig.

Häufig werden Botnetze genutzt.

Merksatz:

DDoS ist ein verteilter DoS-Angriff.

DoS und DDoS vergleichen

Merkmal DoS DDoS
Angriffsquelle eine oder wenige Quellen viele verteilte Quellen
Abwehr oft einfacher deutlich schwieriger
typische Technik Überlastung oder Störung massenhafte verteilte Überlastung
Ziel Verfügbarkeit Verfügbarkeit

Merksatz:

DoS = Dienstverweigerung.
DDoS = verteilte Dienstverweigerung.

Typische DDoS-Ziele

DDoS-Angriffe richten sich häufig gegen:

Webseiten
Online-Shops
DNS-Server
VPN-Gateways
Firewalls
Load Balancer
APIs
Gaming-Server
Cloud-Dienste
Unternehmensanschlüsse

Merksatz:

DDoS trifft oft öffentlich erreichbare Dienste.

DDoS-Angriffsarten

DDoS kann unterschiedliche Ebenen treffen.

Beispiele:

Volumenangriff:
Leitung wird mit Datenverkehr überlastet.

Protokollangriff:
Netzwerk- oder Transportprotokolle werden ausgenutzt.

Anwendungsschichtangriff:
Webanwendung wird mit vielen echten oder scheinbar echten Anfragen belastet.

Merksatz:

DDoS kann Leitung,
Protokoll
oder Anwendung treffen.

Volumenangriff

Ein Volumenangriff versucht, möglichst viel Datenverkehr zu erzeugen.

Ziel:

Bandbreite überlasten

Beispiele:

sehr viele UDP-Pakete
große Datenmengen
reflektierter Verkehr

Folge:

legitimer Verkehr kommt nicht mehr durch.

Merksatz:

Volumenangriff überlastet die Bandbreite.

Protokollangriff

Ein Protokollangriff nutzt Eigenschaften von Netzwerkprotokollen aus.

Ziel:

Netzwerkgeräte,
Firewalls,
Load Balancer
oder Serverzustände überlasten

Beispiele:

viele halboffene Verbindungen
viele Verbindungsversuche
ausgenutzte Protokollmechanismen

Merksatz:

Protokollangriff belastet Netzwerk- oder Transportmechanismen.

Anwendungsschichtangriff

Ein Anwendungsschichtangriff richtet sich gegen Dienste auf OSI-Schicht 7.

Beispiele:

viele HTTP-Anfragen
teure Suchanfragen
Loginversuche
API-Anfragen
Warenkorbaktionen
Datenbanklast durch Webanfragen

Problem:

Der Angriff kann wie normaler Benutzerverkehr aussehen.

Merksatz:

Anwendungsschichtangriffe sind oft schwerer von echter Nutzung zu unterscheiden.

Reflexionsangriff

Bei einem Reflexionsangriff sendet der Angreifer Anfragen an fremde Server und fälscht dabei die Absenderadresse des Opfers.

Die fremden Server antworten dann an das Opfer.

Beispiele für missbrauchte Dienste:

DNS
NTP
Memcached
SSDP
andere UDP-basierte Dienste

Merksatz:

Reflexionsangriff lenkt Antworten fremder Systeme auf das Opfer.

Amplification

Amplification bedeutet:

Verstärkung

Der Angreifer sendet eine kleine Anfrage, die eine deutlich größere Antwort erzeugt.

Wenn die Antwort an das Opfer geht, wird der Angriff verstärkt.

Merksatz:

Amplification macht aus kleinen Anfragen große Angriffsdatenmengen.

Schutz vor DoS und DDoS

Mögliche Schutzmaßnahmen:

DDoS-Schutzdienst
Provider-Unterstützung
Content Delivery Network
Load Balancer
Rate Limiting
Anycast
Firewall-Regeln
Web Application Firewall
Skalierung
Monitoring
Notfallplan
Blackholing als Notmaßnahme

Merksatz:

DDoS-Schutz braucht Vorbereitung,
weil man im Angriff oft wenig Zeit hat.

Rate Limiting

Rate Limiting begrenzt, wie viele Anfragen in einer bestimmten Zeit erlaubt sind.

Beispiele:

maximal 100 Anfragen pro Minute pro IP

maximal 5 Loginversuche pro Minute

API-Limit pro Benutzer

Vorteil:

automatisierte Überlastung wird erschwert.

Merksatz:

Rate Limiting begrenzt Anfragehäufigkeit.

Anycast

Anycast bedeutet:

dieselbe IP-Adresse wird an mehreren Standorten angekündigt.

Der Verkehr wird zum nächstgelegenen oder passenden Standort geleitet.

Vorteil bei DDoS:

Angriffslast kann verteilt werden.

Merksatz:

Anycast verteilt Verkehr auf mehrere Standorte.

Blackholing

Blackholing bedeutet:

Verkehr zu einem Ziel wird verworfen.

Das kann bei DDoS als Notmaßnahme genutzt werden.

Nachteil:

Der angegriffene Dienst ist dann ebenfalls nicht erreichbar.

Merksatz:

Blackholing schützt Infrastruktur,
macht den Dienst aber meist unerreichbar.

Man-in-the-Middle

Man-in-the-Middle wird oft abgekürzt:

MitM

Dabei positioniert sich ein Angreifer zwischen zwei Kommunikationspartnern.

Ziele:

Daten mitlesen
Daten verändern
Anmeldedaten abgreifen
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Benutzer auf falsche Dienste lenken

Merksatz:

MitM bedeutet:
Angreifer sitzt zwischen Sender und Empfänger.

Man-in-the-Middle einfach erklärt

Normale Kommunikation:

Client
↔
Server

Mit Man-in-the-Middle:

Client
↔
Angreifer
↔
Server

Der Benutzer glaubt, direkt mit dem Server zu kommunizieren.

Tatsächlich läuft die Kommunikation über den Angreifer.

Merksatz:

Bei MitM wird Kommunikation heimlich zwischengeschaltet.

Typische MitM-Szenarien

Beispiele:

unsicheres WLAN
gefälschter Access Point
ARP-Spoofing im lokalen Netz
DNS-Spoofing
manipuliertes Gateway
kompromittierter Router
Proxy-Angriff
gefälschtes Zertifikat
Session-Cookie-Diebstahl

Merksatz:

MitM kann über WLAN,
LAN,
DNS,
Router
oder Zertifikate entstehen.

Schutz vor Man-in-the-Middle

Maßnahmen:

TLS korrekt nutzen
HTTPS erzwingen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS bei Webseiten
sichere WLAN-Konfiguration
ARP-Schutz in Switches
DNSSEC je nach Einsatz
sichere DNS-Resolver
MFA
Session-Cookies schützen

Merksatz:

TLS schützt nur dann,
wenn Zertifikate korrekt geprüft werden.

Sniffing

Sniffing bedeutet:

Netzwerkverkehr wird mitgeschnitten oder beobachtet.

Legitime Nutzung:

Fehlersuche
Protokollanalyse
Performanceanalyse
Sicherheitsanalyse

Missbrauch:

Passwörter abfangen
Daten mitlesen
interne Kommunikation analysieren
Sitzungen übernehmen
Schwachstellen finden

Merksatz:

Sniffing ist ein Werkzeug,
das für Analyse oder Angriff genutzt werden kann.

Sniffing und Verschlüsselung

Unverschlüsselter Verkehr kann direkt lesbar sein.

Beispiele für riskanten Klartextverkehr:

HTTP
Telnet
FTP
POP3 ohne TLS
IMAP ohne TLS
SMTP ohne TLS
alte Protokolle

Verschlüsselter Verkehr schützt Inhalte besser.

Beispiele:

HTTPS
SSH
SFTP
FTPS
IMAPS
SMTPS
VPN

Merksatz:

Verschlüsselung reduziert den Schaden durch Sniffing.

Spoofing

Spoofing bedeutet:

Eine falsche Identität,
Adresse
oder Herkunft wird vorgetäuscht.

Typische Arten:

IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing

Merksatz:

Spoofing täuscht Herkunft oder Identität vor.

IP-Spoofing

IP-Spoofing bedeutet:

Der Angreifer fälscht die Quell-IP-Adresse.

Ziele:

Herkunft verschleiern
Reflexionsangriffe ermöglichen
Filter umgehen
Vertrauen in IP-Adressen ausnutzen

Grenze:

Bei TCP-Verbindungen ist IP-Spoofing schwieriger,
weil Antworten an die gefälschte Adresse gehen.

Merksatz:

IP-Spoofing fälscht die Quell-IP-Adresse.

MAC-Spoofing

MAC-Spoofing bedeutet:

Ein Gerät gibt sich mit einer anderen MAC-Adresse aus.

Mögliche Ziele:

MAC-Filter umgehen
Identität im LAN vortäuschen
Netzwerkzugang erschleichen
Geräteverwechslung erzeugen

Merksatz:

MAC-Adressen können gefälscht werden
und sind kein starker Sicherheitsnachweis.

ARP

ARP steht für:

Address Resolution Protocol

ARP ordnet im lokalen IPv4-Netz eine IP-Adresse einer MAC-Adresse zu.

Beispiel:

Welche MAC-Adresse hat 192.168.1.1?

Antwort:

192.168.1.1 hat MAC-Adresse aa:bb:cc:dd:ee:ff

Merksatz:

ARP verbindet IPv4-Adressen mit MAC-Adressen im lokalen Netz.

ARP-Spoofing

ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.

Angreifer behauptet zum Beispiel:

Ich bin das Gateway.

Dann senden Clients ihren Verkehr an den Angreifer.

Mögliche Folgen:

Man-in-the-Middle
Sniffing
Sitzungsdiebstahl
Verbindungsstörung

Merksatz:

ARP-Spoofing greift lokale Layer-2-Kommunikation an.

Schutz vor ARP-Spoofing

Maßnahmen:

Dynamic ARP Inspection
DHCP Snooping
statische ARP-Einträge in Sonderfällen
Netzwerksegmentierung
Switch-Sicherheitsfunktionen
Verschlüsselung durch TLS
Monitoring auf ARP-Anomalien

Merksatz:

Gegen ARP-Spoofing helfen Switch-Schutzfunktionen und Verschlüsselung.

DNS

DNS steht für:

Domain Name System

DNS löst Namen in IP-Adressen auf.

Beispiel:

www.example.de
→
203.0.113.10

Merksatz:

DNS übersetzt Namen in IP-Adressen.

DNS-Spoofing

DNS-Spoofing manipuliert die Namensauflösung.

Ziel:

Benutzer wird zu falscher IP-Adresse geleitet.

Beispiel:

Benutzer ruft eine echte Domain auf,
landet aber auf einer gefälschten Webseite.

Mögliche Folgen:

Phishing
Malware-Verteilung
Man-in-the-Middle
Datenabfluss

Merksatz:

DNS-Spoofing führt Namen zu falschen Zielen.

DNS-Cache-Poisoning

DNS-Cache-Poisoning bedeutet:

falsche DNS-Antworten werden in einem DNS-Cache gespeichert.

Folge:

Mehrere Benutzer erhalten falsche DNS-Antworten,
bis der Cache abläuft oder korrigiert wird.

Merksatz:

DNS-Cache-Poisoning vergiftet zwischengespeicherte DNS-Antworten.

Schutz vor DNS-Spoofing

Maßnahmen:

vertrauenswürdige DNS-Resolver
DNSSEC
DNS-over-TLS oder DNS-over-HTTPS je nach Umgebung
Monitoring ungewöhnlicher DNS-Antworten
TLS-Zertifikatsprüfung
keine unbekannten DNS-Server per DHCP erlauben
sichere Router- und DHCP-Konfiguration

Merksatz:

DNS-Schutz und TLS-Prüfung ergänzen sich.

DNSSEC

DNSSEC steht für:

Domain Name System Security Extensions

DNSSEC ermöglicht kryptografische Prüfung von DNS-Antworten.

Ziel:

Manipulation von DNS-Antworten erkennbar machen.

Wichtig:

DNSSEC verschlüsselt DNS-Anfragen nicht automatisch.
Es prüft vor allem Echtheit und Integrität.

Merksatz:

DNSSEC schützt DNS-Integrität,
aber nicht automatisch DNS-Vertraulichkeit.

Rogue DHCP

Rogue DHCP bedeutet:

Ein nicht autorisierter DHCP-Server verteilt Netzwerkeinstellungen.

Mögliche Folgen:

falsches Gateway
falscher DNS-Server
falsche IP-Konfiguration
Man-in-the-Middle
Netzwerkstörungen

Merksatz:

Rogue DHCP verteilt falsche Netzwerkkonfiguration.

Schutz vor Rogue DHCP

Maßnahmen:

DHCP Snooping
Switchports absichern
ungenutzte Ports deaktivieren
Netzwerksegmentierung
Monitoring
physische Zugangskontrolle
nur autorisierte DHCP-Server zulassen

Merksatz:

DHCP Snooping schützt vor unautorisierten DHCP-Servern.

DHCP Snooping

DHCP Snooping ist eine Switch-Sicherheitsfunktion.

Sie unterscheidet:

vertrauenswürdige Ports

und

nicht vertrauenswürdige Ports

DHCP-Antworten sind nur auf vertrauenswürdigen Ports erlaubt.

Merksatz:

DHCP Snooping verhindert DHCP-Antworten von falschen Ports.

Session Hijacking

Session Hijacking bedeutet:

Ein Angreifer übernimmt eine bestehende Sitzung.

Mögliche Wege:

Merksatz:

Session Hijacking übernimmt eine laufende Anmeldung.

Schutz vor Session Hijacking

Maßnahmen:

HTTPS überall
HttpOnly Cookies
Secure Cookies
SameSite Cookies
kurze Session-Laufzeiten
Session-Rotation nach Login
Schutz vor XSS
MFA
Geräte- und Standortprüfung
Logout-Funktion
Token widerrufen können

Merksatz:

Sitzungen müssen genauso geschützt werden wie Passwörter.

WLAN-Angriffe

WLAN ist besonders angreifbar, weil Funk nicht an Wände gebunden ist.

Typische Risiken:

schwache Verschlüsselung
unsichere Passwörter
Evil Twin
Rogue Access Point
unsichere Gastnetze
Abhören unverschlüsselter Verbindungen
Deauthentication-Angriffe
falsche Captive Portals

Merksatz:

WLAN braucht starke Verschlüsselung und saubere Trennung.

Evil Twin

Ein Evil Twin ist ein gefälschter WLAN-Access-Point, der wie ein echtes WLAN aussieht.

Ziel:

Benutzer verbinden sich mit dem falschen WLAN.

Folgen:

Man-in-the-Middle
Phishing
Datenmitschnitt
falsche Loginseiten
Malware-Verteilung

Merksatz:

Evil Twin imitiert ein echtes WLAN.

Rogue Access Point

Ein Rogue Access Point ist ein nicht autorisierter Access Point im Netzwerk.

Beispiele:

Mitarbeiter steckt eigenen WLAN-Router an.
Angreifer platziert Access Point im Gebäude.
falsch konfigurierte Geräte öffnen WLAN.

Risiko:

Sicherheitsregeln werden umgangen.
internes Netz wird unkontrolliert erreichbar.

Merksatz:

Rogue Access Point ist ein unerlaubter WLAN-Zugangspunkt.

Schutz vor WLAN-Angriffen

Maßnahmen:

WPA2-Enterprise oder WPA3 nutzen
starke Passwörter
Gastnetz vom internen Netz trennen
802.1X
Zertifikatsprüfung
Rogue-AP-Erkennung
regelmäßige WLAN-Überprüfung
sichere Captive-Portals
VPN in unsicheren WLANs
keine offenen internen WLANs

Merksatz:

WLAN-Sicherheit braucht Verschlüsselung,
Authentifizierung
und Segmentierung.

802.1X

802.1X ist ein Standard für netzwerkbasierte Zugangskontrolle.

Er wird genutzt bei:

LAN
WLAN
Enterprise-Netzen

Grundidee:

Gerät oder Benutzer muss sich authentifizieren,
bevor Netzwerkzugriff erlaubt wird.

Merksatz:

802.1X kontrolliert Netzwerkzugang vor der Freigabe.

Netzwerksegmentierung gegen Angriffe

Segmentierung trennt Netzbereiche voneinander.

Beispiele:

Clientnetz
Servernetz
Gastnetz
Managementnetz
Produktionsnetz
Backupnetz
WLAN-Gastnetz
IoT-Netz

Vorteil:

Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gefiltert werden.

Merksatz:

Segmentierung begrenzt Schaden und Ausbreitung.

Firewall-Regeln gegen Netzwerkangriffe

Firewalls begrenzen, welche Kommunikation erlaubt ist.

Gute Regeln sind:

so eng wie möglich
dokumentiert
begründet
regelmäßig geprüft
nach Quelle,
Ziel,
Port
und Protokoll definiert

Merksatz:

Firewall-Regeln sollen erlauben,
was nötig ist,
und blockieren,
was nicht nötig ist.

IDS und IPS gegen Netzwerkangriffe

IDS:

erkennt verdächtigen Netzwerkverkehr
und meldet ihn

IPS:

erkennt verdächtigen Netzwerkverkehr
und kann ihn blockieren

Beispiele für Erkennung:

Portscans
bekannte Angriffssignaturen
ungewöhnlicher Datenverkehr
Exploit-Versuche
verdächtige DNS-Anfragen

Merksatz:

IDS erkennt.
IPS blockiert zusätzlich.

Netzwerk-Monitoring

Netzwerk-Monitoring hilft, Angriffe und Störungen zu erkennen.

Überwacht werden können:

Bandbreite
Paketverlust
Latenz
ungewöhnliche Verbindungen
DNS-Anfragen
Firewall-Drops
VPN-Zugriffe
ARP-Anomalien
DHCP-Anomalien
Portscans
DDoS-Anzeichen

Merksatz:

Netzwerk-Monitoring erkennt Auffälligkeiten im Datenverkehr.

Typische Anzeichen für Netzwerkangriffe

Mögliche Hinweise:

plötzlich sehr hohe Netzwerklast
viele fehlgeschlagene Verbindungen
ungewöhnliche DNS-Antworten
Benutzer landen auf falschen Webseiten
Zertifikatswarnungen
viele Loginversuche
unbekannte DHCP-Server
doppelte IP-Adressen
ungewöhnliche ARP-Einträge
unbekannte Access Points
viele Firewall-Drops

Merksatz:

Netzwerkangriffe zeigen sich oft durch ungewöhnliche Muster.

Fehlersuche bei Verdacht auf Netzwerkangriff

Sinnvolle Reihenfolge:

1. Betroffene Systeme bestimmen.
2. Zeitpunkt eingrenzen.
3. Änderungen prüfen.
4. Netzwerklogs prüfen.
5. Firewall-Logs prüfen.
6. DNS prüfen.
7. DHCP prüfen.
8. ARP-Tabelle prüfen.
9. Routing prüfen.
10. Paketmitschnitt erstellen.
11. Benutzerberichte vergleichen.
12. Angriff eingrenzen.
13. Schutzmaßnahmen aktivieren.
14. Vorfall dokumentieren.

Merksatz:

Netzwerkangriffe systematisch mit Logs,
Tabellen,
Routen
und Mitschnitten untersuchen.

Typische Schutzmaßnahmen gegen Netzwerkangriffe

Wichtige Maßnahmen:

Firewall
IDS
IPS
Netzwerksegmentierung
VLANs
sichere WLAN-Konfiguration
WPA2-Enterprise oder WPA3
802.1X
DHCP Snooping
Dynamic ARP Inspection
DNSSEC je nach Einsatz
TLS
VPN
DDoS-Schutz
Rate Limiting
Monitoring
Logging
Patchmanagement
sichere Router- und Switch-Konfiguration

Merksatz:

Netzwerkangriffsschutz besteht aus Technik,
Konfiguration
Überwachung
und klaren Regeln.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist ein DoS-Angriff?
- Was ist ein DDoS-Angriff?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist ein Man-in-the-Middle-Angriff?
- Was bedeutet Sniffing?
- Was bedeutet Spoofing?
- Was ist IP-Spoofing?
- Was ist MAC-Spoofing?
- Was ist ARP-Spoofing?
- Was ist DNS-Spoofing?
- Was ist DNS-Cache-Poisoning?
- Was ist DNSSEC?
- Was ist Rogue DHCP?
- Was ist DHCP Snooping?
- Was ist Session Hijacking?
- Was ist ein Evil Twin?
- Was ist ein Rogue Access Point?
- Wie schützt Netzwerksegmentierung gegen Angriffe?
- Was ist der Unterschied zwischen IDS und IPS?
- Welche Schutzmaßnahmen helfen gegen DDoS?

Typische Prüfungsfallen

DoS und DDoS unterscheiden.

DDoS ist verteilt.

DoS greift Verfügbarkeit an.

MitM sitzt zwischen Kommunikationspartnern.

Sniffing ist nicht automatisch Angriff,
kann aber missbraucht werden.

Spoofing täuscht Identität oder Herkunft vor.

ARP-Spoofing betrifft lokale IPv4-Netze.

DNS-Spoofing führt Namen zu falschen IP-Adressen.

DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.

Rogue DHCP verteilt falsche Netzwerkeinstellungen.

DHCP Snooping schützt vor falschen DHCP-Servern.

Session Hijacking betrifft laufende Sitzungen.

WLAN ist wegen Funkreichweite besonders zu schützen.

Evil Twin imitiert ein echtes WLAN.

Rogue Access Point ist ein unerlaubter Access Point.

MAC-Filter allein ist keine starke Sicherheit.

TLS-Zertifikatswarnungen nicht ignorieren.

Segmentierung begrenzt Ausbreitung.

IDS erkennt,
IPS blockiert zusätzlich.

DDoS-Schutz muss vorbereitet sein.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
DoS Dienstverweigerung
DDoS verteilte Dienstverweigerung
Botnet viele fremdgesteuerte Systeme
Volumenangriff Überlastung durch Datenmenge
Protokollangriff Ausnutzung von Protokollmechanismen
Anwendungsschichtangriff Überlastung einer Anwendung
Reflexionsangriff Antworten fremder Systeme treffen Opfer
Amplification Verstärkung kleiner Anfragen
Rate Limiting Begrenzung von Anfragen
Anycast gleiche IP an mehreren Standorten
Blackholing Verwerfen von Verkehr
MitM Man-in-the-Middle
Sniffing Mitschneiden von Netzwerkverkehr
Spoofing Vortäuschen falscher Identität
IP-Spoofing gefälschte Quell-IP
MAC-Spoofing gefälschte MAC-Adresse
ARP Zuordnung IPv4 zu MAC im LAN
ARP-Spoofing Manipulation von ARP-Zuordnungen
DNS Namensauflösung
DNS-Spoofing Manipulation von DNS-Antworten
DNS-Cache-Poisoning falsche DNS-Antwort im Cache
DNSSEC Schutz der DNS-Integrität
Rogue DHCP unautorisierter DHCP-Server
DHCP Snooping Schutz vor falschen DHCP-Servern
Session Hijacking Übernahme einer laufenden Sitzung
Evil Twin gefälschter WLAN-Access-Point
Rogue Access Point unerlaubter Access Point
802.1X Netzwerkzugangskontrolle
IDS Angriffserkennung
IPS Angriffserkennung mit Blockierung

IHK-sichere Kurzformulierung

Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Adressierung oder Namensauflösung in Netzwerken. DoS und DDoS greifen die Verfügbarkeit von Diensten an, wobei DDoS von vielen verteilten Quellen ausgeht. Bei einem Man-in-the-Middle-Angriff befindet sich ein Angreifer zwischen zwei Kommunikationspartnern und kann Daten mitlesen oder manipulieren. Spoofing täuscht Identität oder Herkunft vor, zum Beispiel durch gefälschte IP-, MAC-, ARP- oder DNS-Informationen. Schutzmaßnahmen sind Firewalls, IDS/IPS, Netzwerksegmentierung, sichere WLAN-Konfiguration, TLS, VPN, DNSSEC, DHCP Snooping, Dynamic ARP Inspection, DDoS-Schutz, Rate Limiting, Monitoring und Logging.

Merksätze

Netzwerkangriffe treffen Kommunikation und Erreichbarkeit.

DoS greift Verfügbarkeit an.

DDoS ist verteilter DoS.

DDoS-Schutz muss vorbereitet sein.

Volumenangriff überlastet Bandbreite.

Protokollangriff belastet Netzwerkmechanismen.

Anwendungsschichtangriff trifft Dienste auf Schicht 7.

Reflexionsangriff nutzt fremde Systeme.

Amplification verstärkt Angriffsdaten.

Rate Limiting begrenzt Anfragen.

Anycast verteilt Verkehr.

Blackholing verwirft Verkehr.

MitM sitzt zwischen Client und Server.

Sniffing schneidet Verkehr mit.

Verschlüsselung schützt gegen Mitlesen.

Spoofing täuscht Herkunft oder Identität vor.

IP-Spoofing fälscht Quell-IP.

MAC-Spoofing fälscht MAC-Adresse.

ARP verbindet IPv4 und MAC.

ARP-Spoofing manipuliert lokale Zuordnung.

DNS übersetzt Namen in IP-Adressen.

DNS-Spoofing führt zu falschen Zielen.

DNSSEC schützt DNS-Integrität.

Rogue DHCP verteilt falsche Einstellungen.

DHCP Snooping schützt vor Rogue DHCP.

Session Hijacking übernimmt Sitzungen.

WLAN braucht starke Absicherung.

Evil Twin imitiert echtes WLAN.

Rogue Access Point ist unerlaubt.

802.1X kontrolliert Netzwerkzugang.

Segmentierung begrenzt Ausbreitung.

IDS erkennt.

IPS blockiert zusätzlich.

Netzwerk-Monitoring erkennt Auffälligkeiten.

Logs und Mitschnitte helfen bei Analyse.

16.5 Webangriffe: SQL Injection, XSS, CSRF und unsichere Webanwendungen

Webanwendungen sind häufige Angriffsziele, weil sie oft öffentlich erreichbar sind und direkt mit Benutzern, Datenbanken, APIs und Backend-Systemen kommunizieren.

Typische Webangriffe sind:

- SQL Injection
- Cross-Site Scripting
- Cross-Site Request Forgery
- Directory Traversal
- File Upload Attack
- Session Hijacking
- Broken Authentication
- Broken Access Control
- unsichere API
- unsichere Fehlerausgaben
- unsichere Konfiguration

Merksatz:

Webangriffe nutzen häufig fehlerhafte Eingaben,
fehlende Zugriffskontrollen
oder unsichere Sitzungen aus.

Warum Webanwendungen gefährdet sind

Webanwendungen sind oft besonders angreifbar, weil sie:

öffentlich erreichbar sind
Benutzeranfragen verarbeiten
Datenbanken nutzen
Dateien entgegennehmen
Sitzungen verwalten
APIs bereitstellen
externe Dienste anbinden
mit sensiblen Daten arbeiten

Merksatz:

Je mehr Eingaben und Schnittstellen eine Anwendung hat,
desto größer ist die Angriffsfläche.

Eingaben als Risiko

Viele Webangriffe beginnen mit Benutzereingaben.

Beispiele für Eingaben:

Loginformular
Suchfeld
Kontaktformular
URL-Parameter
Cookie
HTTP-Header
Datei-Upload
API-Request
JSON-Daten
Formularfelder

Problem:

Die Anwendung vertraut Eingaben zu stark
oder verarbeitet sie unsicher.

Merksatz:

Benutzereingaben niemals blind vertrauen.

Client und Server unterscheiden

Client:

Browser oder App des Benutzers

Server:

Webserver,
Anwendung,
API
oder Backend-System

Wichtig:

Prüfungen im Browser allein reichen nicht aus.

Warum?

Ein Angreifer kann Browserprüfungen umgehen
und direkt eigene Anfragen an den Server senden.

Merksatz:

Sicherheitsprüfungen müssen serverseitig erfolgen.

Frontend-Validierung

Frontend-Validierung prüft Eingaben im Browser.

Beispiel:

Pflichtfeld prüfen
E-Mail-Format prüfen
Zeichenanzahl begrenzen

Vorteil:

bessere Benutzerführung

Nachteil:

leicht umgehbar

Merksatz:

Frontend-Validierung hilft Benutzern,
ist aber keine Sicherheitsgrenze.

Backend-Validierung

Backend-Validierung prüft Eingaben auf dem Server.

Sie ist sicherheitsrelevant.

Beispiele:

Datentyp prüfen
Wertebereich prüfen
erlaubte Zeichen prüfen
Dateityp prüfen
Berechtigung prüfen
Pflichtfelder prüfen
Länge begrenzen

Merksatz:

Sicherheitsrelevante Prüfung gehört ins Backend.

SQL Injection

SQL Injection ist ein Angriff auf Datenbankabfragen.

Dabei schleust ein Angreifer SQL-Code in Eingaben ein.

Ziel:

Daten auslesen
Daten verändern
Login umgehen
Daten löschen
Datenbankstruktur ausspähen
Rechte ausweiten

Merksatz:

SQL Injection nutzt unsicher zusammengesetzte Datenbankabfragen aus.

SQL Injection einfach erklärt

Eine Anwendung erwartet zum Beispiel:

Benutzername

und

Passwort

Wenn die Anwendung Eingaben unsicher direkt in SQL einfügt, kann ein Angreifer die Abfrage manipulieren.

Problem:

Eingabe wird nicht mehr nur als Wert behandelt,
sondern als Teil des SQL-Befehls.

Merksatz:

Bei SQL Injection wird Eingabe zu Befehl.

Unsichere SQL-Abfrage als Prinzip

Unsicheres Prinzip:

SQL-Befehl wird aus Text und Benutzereingabe zusammengebaut.

Beispielgedanke:

SELECT ...
WHERE user = Eingabe
AND password = Eingabe

Wenn Eingabe nicht sauber behandelt wird, kann sie die Logik der Abfrage verändern.

Merksatz:

SQL nicht durch ungeprüftes Zusammenkleben von Text und Eingaben bauen.

Folgen von SQL Injection

Mögliche Folgen:

Login ohne gültiges Passwort
Auslesen von Kundendaten
Auslesen von Passworthashes
Verändern von Datensätzen
Löschen von Tabellen
Manipulation von Bestellungen
Zugriff auf interne Informationen
vollständige Kompromittierung der Anwendung

Merksatz:

SQL Injection kann sehr schwere Datenbankangriffe ermöglichen.

Schutz vor SQL Injection

Wichtige Schutzmaßnahmen:

Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
keine SQL-Verkettung mit Benutzereingaben
Rechte der Datenbankbenutzer begrenzen
Fehlermeldungen nicht detailliert ausgeben
Code Reviews
Web Application Firewall als zusätzliche Schicht

Merksatz:

Parametrisierte Abfragen sind die wichtigste Maßnahme gegen SQL Injection.

Prepared Statements

Prepared Statements trennen SQL-Befehl und Werte.

Die Datenbank erkennt:

Das ist der SQL-Befehl.

Das sind nur Werte.

Dadurch wird verhindert, dass Benutzereingaben als SQL-Code ausgeführt werden.

Merksatz:

Prepared Statements behandeln Eingaben als Daten,
nicht als Befehl.

Datenbankrechte begrenzen

Die Webanwendung sollte nicht mit einem Datenbankkonto arbeiten, das mehr Rechte hat als nötig.

Beispiel:

Anwendung muss nur lesen und schreiben,
aber keine Tabellen löschen.

Dann sollte das Datenbankkonto auch keine DROP-Rechte haben.

Merksatz:

Weniger Datenbankrechte begrenzen Schaden bei Angriffen.

Cross-Site Scripting

Cross-Site Scripting wird abgekürzt:

XSS

Bei XSS wird schädlicher Code in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird.

Meist geht es um JavaScript im Browser.

Merksatz:

XSS greift Benutzer über die Webseite und den Browser an.

XSS einfach erklärt

Eine Webseite zeigt Benutzereingaben wieder an.

Beispiel:

Kommentar
Profilname
Suchbegriff
Chatnachricht

Wenn die Eingabe nicht korrekt behandelt wird, kann ein Angreifer Skriptcode einfügen.

Dieser Code läuft dann im Browser anderer Benutzer.

Merksatz:

XSS entsteht,
wenn Eingaben ungefiltert als aktive Webseite ausgegeben werden.

Folgen von XSS

Mögliche Folgen:

Session-Cookies stehlen
Benutzeraktionen auslösen
Webseiteninhalt manipulieren
Phishing innerhalb echter Webseite
Tokens auslesen
Benutzer umleiten
Schadcode nachladen
Formulardaten abgreifen

Merksatz:

XSS kann echte Webseiten für Angriffe gegen Benutzer missbrauchen.

Stored XSS

Stored XSS bedeutet:

Schadcode wird dauerhaft gespeichert.

Beispiel:

Kommentar mit Schadcode wird in Datenbank gespeichert.

Wenn andere Benutzer die Seite öffnen, wird der Schadcode ausgeführt.

Merksatz:

Stored XSS bleibt gespeichert und trifft mehrere Benutzer.

Reflected XSS

Reflected XSS bedeutet:

Schadcode wird über eine Anfrage eingeschleust
und direkt in der Antwort zurückgegeben.

Beispiel:

Benutzer klickt den Link, die Webseite gibt den Inhalt zurück, Browser führt ihn aus.

Merksatz:

Reflected XSS funktioniert oft über manipulierte Links.

DOM-based XSS

DOM-based XSS entsteht, wenn JavaScript im Browser unsicher mit Daten arbeitet.

Dabei muss der Schadcode nicht unbedingt vom Server direkt eingefügt werden.

Problematisch sind zum Beispiel:

unsichere Verarbeitung von URL-Fragmenten
unsichere DOM-Manipulation
ungeprüftes innerHTML
unsichere Client-Skripte

Merksatz:

DOM-XSS entsteht im Browser durch unsicheren JavaScript-Code.

Schutz vor XSS

Wichtige Schutzmaßnahmen:

Ausgaben korrekt escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
Secure Cookies
SameSite Cookies
sichere Frameworks nutzen
keine ungeprüften HTML-Ausgaben
Code Reviews
gefährliche Funktionen vermeiden

Merksatz:

Gegen XSS ist korrektes Escaping bei der Ausgabe besonders wichtig.

Escaping

Escaping bedeutet:

Sonderzeichen werden so umgewandelt,
dass sie nicht als Code ausgeführt werden.

Beispiel:

Ein kleiner-als-Zeichen wird nicht als HTML-Tag interpretiert,
sondern als sichtbares Zeichen ausgegeben.

Merksatz:

Escaping macht aus potenziellem Code normalen Text.

Content Security Policy

Content Security Policy wird abgekürzt:

CSP

Eine CSP ist eine Sicherheitsrichtlinie im Browser.

Sie kann festlegen:

welche Skripte erlaubt sind
von welchen Quellen Inhalte geladen werden dürfen
ob Inline-Skripte erlaubt sind
ob externe Ressourcen erlaubt sind

Merksatz:

CSP begrenzt,
welche Inhalte der Browser ausführen darf.

Ein HttpOnly Cookie kann nicht direkt durch JavaScript gelesen werden.

Vorteil:

Wichtig:

HttpOnly schützt nicht vor allen XSS-Folgen,
aber reduziert ein wichtiges Risiko.

Merksatz:

HttpOnly schützt Cookies vor direktem JavaScript-Zugriff.

Vorteil:

Merksatz:

Secure Cookies gehören zu HTTPS-Webanwendungen.

SameSite steuert, ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden.

Es hilft besonders gegen CSRF.

Mögliche Prinzipien:

streng
teilweise erlaubt
ohne Einschränkung

Merksatz:

SameSite begrenzt Cookie-Versand bei fremden Webseiten.

Cross-Site Request Forgery

Cross-Site Request Forgery wird abgekürzt:

CSRF

Bei CSRF wird ein angemeldeter Benutzer dazu gebracht, unbewusst eine Aktion in einer Webanwendung auszulösen.

Beispiel:

Benutzer ist im Online-Portal angemeldet.

Benutzer besucht eine bösartige Webseite.

Diese Webseite löst im Hintergrund eine Anfrage an das Online-Portal aus.

Merksatz:

CSRF missbraucht eine bestehende Anmeldung für fremde Aktionen.

CSRF einfach erklärt

CSRF funktioniert, weil der Browser bei Anfragen an eine Webseite oft automatisch Cookies mitsendet.

Wenn der Benutzer dort angemeldet ist, kann die Anfrage als gültig erscheinen.

Mögliche Aktionen:

E-Mail-Adresse ändern
Passwortänderung starten
Bestellung auslösen
Einstellung ändern
Benutzer hinzufügen
Überweisung vorbereiten

Merksatz:

CSRF nutzt automatisch mitgesendete Sitzungsinformationen aus.

Schutz vor CSRF

Wichtige Schutzmaßnahmen:

CSRF-Token
SameSite Cookies
Prüfung von Origin oder Referer
erneute Bestätigung sensibler Aktionen
MFA oder Passwortabfrage bei kritischen Aktionen
keine zustandsändernden Aktionen per GET
saubere Sessionverwaltung

Merksatz:

CSRF-Token schützen,
weil fremde Seiten den gültigen Token nicht kennen.

CSRF-Token

Ein CSRF-Token ist ein zufälliger Wert, der in Formularen oder Anfragen mitgesendet wird.

Die Anwendung prüft:

Stimmt der Token zur Sitzung?

Wenn nicht, wird die Aktion abgelehnt.

Merksatz:

CSRF-Token beweist,
dass die Anfrage aus der echten Anwendung kommt.

SQL Injection, XSS und CSRF vergleichen

Angriff Ziel Kernproblem
SQL Injection Datenbank Eingabe wird Teil von SQL
XSS Browser anderer Benutzer Eingabe wird als Skript ausgeführt
CSRF angemeldete Sitzung fremde Seite löst Aktion aus

Merksatz:

SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.

Directory Traversal

Directory Traversal bedeutet:

Ein Angreifer versucht,
über Pfadangaben auf Dateien außerhalb des erlaubten Bereichs zuzugreifen.

Beispielprinzip:

Statt erlaubter Datei wird versucht,
über Pfadbestandteile in übergeordnete Verzeichnisse zu gelangen.

Mögliche Ziele:

Konfigurationsdateien
Passwortdateien
Quellcode
Logdateien
Systemdateien

Merksatz:

Directory Traversal nutzt unsichere Dateipfade aus.

Schutz vor Directory Traversal

Maßnahmen:

Dateinamen validieren
erlaubte Dateien per ID statt Pfad auswählen
Pfade normalisieren und prüfen
Zugriff auf festes Verzeichnis begrenzen
keine direkten Benutzereingaben als Dateipfad nutzen
Rechte des Webserver-Prozesses begrenzen

Merksatz:

Benutzer sollten keine freien Systempfade bestimmen können.

File Upload Attack

Bei einem File Upload Attack lädt ein Angreifer eine gefährliche Datei hoch.

Beispiele:

ausführbares Skript
Webshell
Malware
manipuliertes Bild
Datei mit falscher Endung
übergroße Datei
Archivbombe

Mögliche Folgen:

Codeausführung
Malware-Verteilung
Speicherüberlastung
Angriff auf andere Benutzer
Datenabfluss

Merksatz:

Datei-Uploads sind gefährlich,
wenn Inhalt,
Typ
und Speicherort nicht geprüft werden.

Schutz bei Datei-Uploads

Maßnahmen:

erlaubte Dateitypen begrenzen
Dateigröße begrenzen
MIME-Type prüfen
Dateiendung prüfen
Inhalt prüfen
Malware-Scan
Dateien außerhalb des Webroots speichern
zufällige Dateinamen verwenden
Ausführrechte verhindern
Uploads getrennt verarbeiten

Merksatz:

Hochgeladene Dateien nie ungeprüft ausführbar speichern.

Webshell

Eine Webshell ist ein hochgeladenes oder eingeschleustes Skript, mit dem Angreifer Befehle auf einem Server ausführen können.

Risiko:

vollständige Serverübernahme
Datenabfluss
weitere Angriffe
Backdoor

Merksatz:

Webshell = Fernsteuerung über Webskript.

Broken Authentication

Broken Authentication bedeutet:

Die Anmeldung oder Sitzungsverwaltung ist unsicher.

Beispiele:

schwache Passwortrichtlinien
kein MFA
Session läuft zu lange
Session-ID wird nicht erneuert
unsichere Passwortzurücksetzung
Tokens werden unsicher gespeichert
Brute Force nicht begrenzt

Merksatz:

Broken Authentication gefährdet Benutzerkonten und Sitzungen.

Schutz gegen Broken Authentication

Maßnahmen:

MFA
starke Passwortrichtlinien
Passwortmanager unterstützen
Rate Limiting
sichere Passwortzurücksetzung
Session-Rotation nach Login
kurze Sitzungslaufzeiten je nach Risiko
sichere Token-Speicherung
Login-Monitoring

Merksatz:

Anmeldung und Sitzungen müssen besonders geschützt werden.

Broken Access Control

Broken Access Control bedeutet:

Benutzer können auf Funktionen oder Daten zugreifen,
für die sie keine Berechtigung haben.

Beispiele:

Benutzer sieht fremde Rechnung
normaler Benutzer ruft Adminfunktion auf
URL-ID wird geändert und fremde Daten erscheinen
API gibt mehr Daten zurück als erlaubt
versteckte Schaltfläche reicht als Schutz

Merksatz:

Zugriffskontrolle muss serverseitig geprüft werden.

IDOR

IDOR steht für:

Insecure Direct Object Reference

Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.

Beispiel:

/rechnung/1001

wird geändert zu:

/rechnung/1002

Wenn die Anwendung nicht prüft, ob diese Rechnung zum Benutzer gehört, liegt ein Fehler vor.

Merksatz:

IDOR ist fehlende Zugriffskontrolle bei direkten Objekt-IDs.

Schutz gegen Broken Access Control

Maßnahmen:

serverseitige Berechtigungsprüfung
Rollen- und Rechtekonzept
Zugriff pro Objekt prüfen
keine Sicherheit nur über versteckte Buttons
Standardmäßig Zugriff verweigern
Adminfunktionen getrennt schützen
API-Berechtigungen prüfen
Tests mit verschiedenen Benutzerrollen

Merksatz:

Jeder Zugriff muss auf dem Server autorisiert werden.

Unsichere API

APIs sind Schnittstellen zwischen Anwendungen.

Risiken:

fehlende Authentifizierung
fehlende Autorisierung
zu viele Daten in Antwort
keine Rate Limits
unsichere Tokens
unsichere CORS-Konfiguration
fehlende Eingabeprüfung
detaillierte Fehlermeldungen

Merksatz:

APIs brauchen dieselben Sicherheitsprüfungen wie Weboberflächen.

CORS

CORS steht für:

Cross-Origin Resource Sharing

CORS steuert, welche fremden Webseiten im Browser auf eine API zugreifen dürfen.

Unsichere CORS-Konfigurationen können gefährlich sein, wenn zu viele Ursprünge erlaubt werden.

Merksatz:

CORS regelt Browserzugriffe zwischen verschiedenen Ursprüngen.

Rate Limiting bei APIs

APIs sollten Anfragen begrenzen.

Schutz gegen:

Brute Force
Scraping
DDoS auf Anwendungsebene
Missbrauch von API-Schlüsseln
unbeabsichtigte Überlastung

Merksatz:

APIs brauchen Rate Limits gegen Missbrauch und Überlastung.

Unsichere Fehlerausgaben

Fehlermeldungen können Angreifern helfen.

Problematische Informationen:

Datenbankfehler
Pfade
Stacktraces
Versionsnummern
interne IP-Adressen
verwendete Frameworks
SQL-Abfragen
geheime Konfigurationen

Merksatz:

Fehlermeldungen für Benutzer knapp,
Details nur intern loggen.

Security Headers

Security Headers sind HTTP-Header, die Browser-Sicherheitsfunktionen steuern.

Beispiele:

Content-Security-Policy
Strict-Transport-Security
X-Content-Type-Options
Referrer-Policy
X-Frame-Options oder frame-ancestors

Merksatz:

Security Headers härten Webanwendungen im Browser.

HSTS

HSTS steht für:

HTTP Strict Transport Security

HSTS weist Browser an, eine Webseite nur per HTTPS aufzurufen.

Vorteil:

Schutz vor Downgrade auf HTTP

Merksatz:

HSTS erzwingt HTTPS im Browser.

Clickjacking

Clickjacking bedeutet:

Benutzer werden dazu gebracht,
auf etwas zu klicken,
ohne zu erkennen,
was sie tatsächlich anklicken.

Oft wird eine echte Webseite unsichtbar oder überlagert eingebettet.

Schutz:

X-Frame-Options
Content-Security-Policy frame-ancestors

Merksatz:

Clickjacking täuscht Benutzer bei Klickaktionen.

Unsichere Konfiguration

Unsichere Webkonfigurationen sind häufig.

Beispiele:

Standardpasswörter
Debug-Modus aktiv
Verzeichnislisting aktiv
unnötige Dienste
alte TLS-Versionen
unsichere Cipher Suites
fehlende Security Headers
Adminoberfläche öffentlich erreichbar
Testdaten in Produktion
Beispielseiten aktiv

Merksatz:

Sichere Webanwendungen brauchen sichere Konfiguration.

Verzeichnislisting

Verzeichnislisting bedeutet:

Webserver zeigt den Inhalt eines Ordners an,
wenn keine Startdatei vorhanden ist.

Risiko:

Dateien werden sichtbar,
die nicht sichtbar sein sollten.

Beispiele:

Backups
alte Versionen
Konfigurationsdateien
Uploads
Skripte

Merksatz:

Verzeichnislisting auf Webservern deaktivieren.

Web Application Firewall

Web Application Firewall wird abgekürzt:

WAF

Eine WAF filtert HTTP- und HTTPS-Anfragen.

Sie kann helfen gegen:

SQL Injection
XSS
bekannte Angriffsmuster
bösartige Bots
verdächtige Parameter
bestimmte Protokollverstöße

Wichtig:

Eine WAF ersetzt keine sichere Programmierung.

Merksatz:

WAF ist zusätzliche Schutzschicht,
kein Ersatz für sicheren Code.

Secure Coding

Secure Coding bedeutet:

Software wird von Anfang an sicher entwickelt.

Dazu gehören:

Eingabevalidierung
Ausgabe-Escaping
parametrisierte Datenbankabfragen
sichere Authentifizierung
Zugriffskontrolle
sichere Fehlerbehandlung
sichere Sessionverwaltung
sichere Dateiverarbeitung
Code Reviews
Sicherheitstests

Merksatz:

Sicherheit muss in der Entwicklung mitgedacht werden.

Code Review

Code Review bedeutet:

Quellcode wird von anderen Personen geprüft.

Ziele:

Fehler finden
Sicherheitsprobleme erkennen
Qualität verbessern
Wissen teilen
Standards einhalten

Merksatz:

Code Reviews helfen,
Sicherheitsfehler früh zu finden.

Penetrationstest

Ein Penetrationstest ist eine geplante Sicherheitsprüfung, bei der Systeme kontrolliert auf Schwachstellen getestet werden.

Wichtig:

klarer Auftrag
definierter Umfang
erlaubter Zeitraum
Dokumentation
keine unkontrollierte Beschädigung
Bericht mit Maßnahmen

Merksatz:

Penetrationstest ist kontrollierte Angriffssimulation.

Schwachstellenscan

Ein Schwachstellenscan sucht automatisiert nach bekannten Schwachstellen.

Er prüft zum Beispiel:

veraltete Software
offene Ports
bekannte CVEs
unsichere Dienste
fehlende Patches
schwache TLS-Konfiguration

Merksatz:

Schwachstellenscan findet bekannte Probleme,
ersetzt aber keinen vollständigen Penetrationstest.

OWASP

OWASP steht für:

Open Worldwide Application Security Project

OWASP ist bekannt für Sicherheitswissen zu Webanwendungen, zum Beispiel Listen häufiger Webrisiken.

Für Prüfungen ist wichtig:

Webanwendungen brauchen systematische Sicherheitsmaßnahmen.

Merksatz:

OWASP steht für praxisnahes Webanwendungs-Sicherheitswissen.

Typische Webschutzmaßnahmen

Wichtige Maßnahmen:

Eingaben validieren
Ausgaben escapen
Prepared Statements
CSRF-Token
sichere Cookies
Security Headers
HTTPS
HSTS
MFA
Rate Limiting
Rollen- und Rechteprüfung
sichere Datei-Uploads
sichere Fehlerbehandlung
Logging
Monitoring
Code Reviews
WAF
Patchmanagement

Merksatz:

Websicherheit braucht sichere Entwicklung,
sichere Konfiguration
und Überwachung.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist SQL Injection?
- Wie schützt man sich vor SQL Injection?
- Was sind Prepared Statements?
- Was ist Cross-Site Scripting?
- Was ist der Unterschied zwischen Stored XSS und Reflected XSS?
- Wie schützt man sich vor XSS?
- Was ist Cross-Site Request Forgery?
- Wie schützen CSRF-Token?
- Was ist Directory Traversal?
- Warum sind Datei-Uploads gefährlich?
- Was ist eine Webshell?
- Was bedeutet Broken Authentication?
- Was bedeutet Broken Access Control?
- Was ist IDOR?
- Warum muss Zugriff serverseitig geprüft werden?
- Was ist CORS?
- Warum brauchen APIs Rate Limiting?
- Was ist HSTS?
- Was ist Clickjacking?
- Was ist eine WAF?
- Warum ersetzt eine WAF keine sichere Programmierung?

Typische Prüfungsfallen

Frontend-Validierung ist keine Sicherheitsgrenze.

Sicherheitsprüfung gehört ins Backend.

SQL Injection betrifft Datenbankabfragen.

Prepared Statements schützen gegen SQL Injection.

XSS betrifft Browser anderer Benutzer.

XSS-Schutz braucht korrektes Escaping.

Stored XSS wird gespeichert.

Reflected XSS kommt über Anfrage zurück.

DOM-XSS entsteht im Browser.

CSRF missbraucht bestehende Anmeldung.

CSRF ist nicht dasselbe wie XSS.

SameSite Cookies helfen gegen CSRF.

Directory Traversal nutzt Dateipfade aus.

Datei-Uploads nie ungeprüft ausführbar speichern.

Webshell kann Server fernsteuerbar machen.

Broken Authentication betrifft Anmeldung und Sitzung.

Broken Access Control betrifft Berechtigungen.

Versteckte Buttons sind keine Zugriffskontrolle.

IDOR entsteht durch fehlende Objektprüfung.

APIs brauchen Authentifizierung,
Autorisierung
und Rate Limits.

Fehlerdetails nicht öffentlich anzeigen.

HSTS erzwingt HTTPS.

WAF ersetzt keinen sicheren Code.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Webangriff Angriff auf Webanwendung oder API
Eingabevalidierung Prüfung von Benutzereingaben
Frontend Browser- oder Client-Seite
Backend Server-Seite
SQL Injection Einschleusen von SQL-Code
Prepared Statement getrennte SQL-Abfrage mit Parametern
XSS Cross-Site Scripting
Stored XSS dauerhaft gespeichertes XSS
Reflected XSS XSS über zurückgespiegelte Anfrage
DOM-XSS XSS durch Browser-DOM-Verarbeitung
Escaping Umwandeln von Sonderzeichen
CSP Content Security Policy
HttpOnly Cookie nicht per JavaScript lesbar
Secure Cookie Cookie nur über HTTPS
SameSite Cookie-Regel für fremde Seiten
CSRF Cross-Site Request Forgery
CSRF-Token Schutzwert gegen CSRF
Directory Traversal Zugriff über manipulierte Pfade
File Upload Attack Angriff über hochgeladene Datei
Webshell Webskript zur Fernsteuerung
Broken Authentication unsichere Anmeldung oder Sitzung
Broken Access Control fehlerhafte Zugriffskontrolle
IDOR Zugriff über unsichere Objekt-ID
API Programmierschnittstelle
CORS Cross-Origin Resource Sharing
Rate Limiting Begrenzung von Anfragen
Security Headers HTTP-Sicherheitsheader
HSTS HTTPS-Erzwingung
Clickjacking Täuschung bei Klickaktionen
WAF Web Application Firewall
Secure Coding sichere Softwareentwicklung
Code Review Prüfung von Quellcode
Penetrationstest kontrollierte Angriffssimulation
Schwachstellenscan automatisierte Suche bekannter Schwachstellen
OWASP Organisation für Webanwendungssicherheit

IHK-sichere Kurzformulierung

Webangriffe richten sich gegen Webanwendungen, APIs, Sitzungen, Eingaben und Datenbanken. SQL Injection entsteht, wenn Benutzereingaben unsicher in Datenbankabfragen eingebaut werden; Schutz bieten Prepared Statements und parametrisierte Abfragen. Cross-Site Scripting schleust Skriptcode in Webseiten ein, der im Browser anderer Benutzer ausgeführt wird; Schutz bieten korrektes Escaping, sichere Frameworks, Content Security Policy und sichere Cookies. Cross-Site Request Forgery missbraucht eine bestehende Anmeldung, um ungewollte Aktionen auszulösen; Schutz bieten CSRF-Token und SameSite Cookies. Weitere Risiken sind unsichere Datei-Uploads, Directory Traversal, Broken Authentication, Broken Access Control, unsichere APIs und unsichere Konfiguration. Eine WAF kann unterstützen, ersetzt aber keine sichere Programmierung.

Merksätze

Webanwendungen sind häufig öffentlich erreichbar.

Benutzereingaben niemals blind vertrauen.

Frontend-Prüfung ist keine Sicherheitsgrenze.

Sicherheitsprüfung gehört ins Backend.

SQL Injection macht Eingabe zu SQL-Befehl.

Prepared Statements trennen Befehl und Wert.

Datenbankrechte begrenzen.

XSS führt Skript im Browser aus.

Stored XSS wird gespeichert.

Reflected XSS kommt über Anfrage zurück.

DOM-XSS entsteht im Browser.

Escaping macht Code zu Text.

CSP begrenzt ausführbare Inhalte.

HttpOnly schützt Cookies vor JavaScript-Zugriff.

Secure Cookie nur über HTTPS.

SameSite hilft gegen CSRF.

CSRF missbraucht bestehende Anmeldung.

CSRF-Token schützt vor fremden Aktionen.

SQL Injection,
XSS
und CSRF nicht verwechseln.

Directory Traversal nutzt Pfade aus.

Datei-Uploads streng prüfen.

Webshell bedeutet Fernsteuerungsrisiko.

Broken Authentication betrifft Anmeldung.

Broken Access Control betrifft Rechte.

IDOR ist fehlende Objektberechtigung.

APIs brauchen dieselbe Sicherheit wie Weboberflächen.

CORS nicht zu breit erlauben.

Rate Limiting schützt APIs.

Fehlerdetails nicht öffentlich anzeigen.

Security Headers härten Browser-Schutz.

HSTS erzwingt HTTPS.

Clickjacking täuscht Klicks.

WAF ist Zusatzschutz.

WAF ersetzt keinen sicheren Code.

Secure Coding früh einplanen.

Code Reviews finden Fehler früh.

Schwachstellenscan findet bekannte Probleme.

Penetrationstest prüft kontrolliert tiefer.

16.6 Schwachstellen, Patchmanagement und Hardening

Schwachstellen sind Sicherheitslücken, die von Angreifern ausgenutzt werden können.

Sie können entstehen durch:

- Programmierfehler
- veraltete Software
- unsichere Standardkonfiguration
- schwache Passwörter
- fehlende Zugriffskontrolle
- offene Ports
- unnötige Dienste
- falsche Berechtigungen
- unsichere Protokolle
- fehlende Updates
- menschliche Fehler

Merksatz:

Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke.

Warum Schwachstellen gefährlich sind

Schwachstellen können dazu führen, dass Angreifer:

Systeme übernehmen
Daten auslesen
Daten verändern
Dienste stören
Malware einschleusen
Rechte ausweiten
interne Systeme erreichen
Sicherheitsfunktionen umgehen

Merksatz:

Schwachstellen sind oft der Einstiegspunkt für Angriffe.

Schwachstelle, Bedrohung und Risiko unterscheiden

Begriff Bedeutung Beispiel
Schwachstelle ausnutzbare Lücke ungepatchter Server
Bedrohung mögliches schädliches Ereignis Angreifer nutzt Lücke aus
Risiko Wahrscheinlichkeit und Auswirkung Serverübernahme mit Datenabfluss

Merksatz:

Schwachstelle ist die Lücke.
Bedrohung ist das mögliche Ereignis.
Risiko ist die bewertete Gefahr.

Beispiele für technische Schwachstellen

Typische technische Schwachstellen:

veraltetes Betriebssystem
ungepatchter Webserver
veraltete VPN-Appliance
unsichere TLS-Version
Standardpasswort
offener RDP-Port
öffentlich erreichbare Datenbank
unsichere API
fehlende Eingabeprüfung
fehlerhafte Zugriffskontrolle
veraltete Bibliothek
unsicheres Container-Image

Merksatz:

Technische Schwachstellen entstehen oft durch alte Versionen oder falsche Konfiguration.

Beispiele für organisatorische Schwachstellen

Organisatorische Schwachstellen sind zum Beispiel:

keine Zuständigkeiten
keine regelmäßigen Updates
keine Rechteprüfung
kein Backup-Konzept
keine Restore-Tests
keine Sicherheitsrichtlinie
kein Offboarding-Prozess
keine Dokumentation
keine Notfallplanung
keine Schulung

Merksatz:

Organisation kann genauso Schwachstelle sein wie Technik.

Beispiele für menschliche Schwachstellen

Menschliche Schwachstellen entstehen durch:

fehlendes Sicherheitsbewusstsein
Passwort-Wiederverwendung
unkritisches Öffnen von Anhängen
Bestätigen unbekannter MFA-Anfragen
Weitergabe von Zugangsdaten
Umgehen von Prozessen
fehlende Schulung
Zeitdruck
Gewohnheit

Merksatz:

Menschen brauchen klare Prozesse und Schulung,
nicht nur technische Regeln.

CVE

CVE steht für:

Common Vulnerabilities and Exposures

CVE ist eine standardisierte Kennung für bekannte Schwachstellen.

Beispielprinzip:

CVE-Jahr-Nummer

Eine CVE beschreibt eine bekannte Schwachstelle, damit Hersteller, Administratoren und Sicherheitswerkzeuge eindeutig darüber sprechen können.

Merksatz:

CVE ist eine eindeutige Kennung für bekannte Schwachstellen.

CVSS

CVSS steht für:

Common Vulnerability Scoring System

CVSS bewertet, wie kritisch eine Schwachstelle ist.

Der Wert liegt üblicherweise zwischen:

0,0
und
10,0

Je höher der Wert, desto kritischer ist die Schwachstelle.

Merksatz:

CVSS bewertet die Kritikalität einer Schwachstelle.

CVSS richtig einordnen

Ein hoher CVSS-Wert bedeutet:

Schwachstelle ist technisch kritisch.

Aber für die Praxis muss zusätzlich geprüft werden:

Ist das System betroffen?
Ist der Dienst erreichbar?
Gibt es bereits Ausnutzung?
Gibt es Schutzmaßnahmen?
Sind sensible Daten betroffen?
Ist das System geschäftskritisch?
Gibt es einen Patch?
Gibt es einen Workaround?

Merksatz:

CVSS hilft bei Priorisierung,
ersetzt aber keine Risikoanalyse.

Exploit

Ein Exploit ist eine Methode oder ein Code, mit dem eine Schwachstelle ausgenutzt wird.

Beispiele:

Exploit für veralteten Webserver
Exploit für ungepatchte VPN-Appliance
Exploit für fehlerhafte Bibliothek
Exploit für unsichere Eingabeprüfung

Merksatz:

Exploit = Ausnutzung einer Schwachstelle.

Zero-Day-Schwachstelle

Eine Zero-Day-Schwachstelle ist eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist.

Ein Zero-Day-Angriff nutzt diese Schwachstelle aus.

Schutz ist schwieriger, aber möglich durch:

Defense in Depth
Least Privilege
Netzwerksegmentierung
EDR
WAF
Monitoring
Härtung
schnelle Reaktion

Merksatz:

Zero-Day bedeutet:
Angriff vor verfügbarem regulärem Patch.

Patch

Ein Patch ist eine Korrektur oder Aktualisierung.

Ein Patch kann beheben:

Sicherheitslücke
Programmfehler
Stabilitätsproblem
Kompatibilitätsproblem

Merksatz:

Patch = Korrektur oder Sicherheitsupdate.

Update und Upgrade unterscheiden

Update:

kleinere Aktualisierung
Fehlerbehebung
Sicherheitskorrektur
Versionspflege

Upgrade:

größere Versionsänderung
neue Hauptversion
neue Funktionen
größere technische Änderung

Merksatz:

Update ist meist kleiner.
Upgrade ist meist größer.

Patchmanagement

Patchmanagement bedeutet:

Updates werden geplant,
geprüft,
verteilt
und kontrolliert.

Patchmanagement betrifft:

Betriebssysteme
Anwendungen
Browser
Serverdienste
Datenbanken
Firewalls
Router
Switches
VPN-Gateways
Firmware
Container-Images
Bibliotheken
Cloud-Systeme

Merksatz:

Patchmanagement ist die organisierte Verwaltung von Sicherheitsupdates.

Warum Patchmanagement wichtig ist

Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen, für die bereits Updates existieren.

Ohne Patchmanagement bleiben Systeme unnötig angreifbar.

Typische Folgen:

Malware-Infektion
Ransomware
Datenabfluss
Systemübernahme
Ausfall
laterale Bewegung im Netzwerk

Merksatz:

Ungepatchte Systeme sind leichte Ziele.

Patchmanagement-Ablauf

Ein sinnvoller Ablauf:

1. Systeme inventarisieren.
2. Schwachstelleninformationen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiken bewerten.

Merksatz:

Patchmanagement braucht Überblick,
Priorisierung,
Test
und Dokumentation.

Inventarisierung

Inventarisierung bedeutet:

Es wird erfasst,
welche Systeme,
Software,
Versionen
und Komponenten vorhanden sind.

Ohne Inventar ist unklar:

Welche Systeme sind betroffen?
Welche Version läuft?
Wer ist verantwortlich?
Wo muss gepatcht werden?
Welche Systeme sind kritisch?

Merksatz:

Was nicht bekannt ist,
kann nicht zuverlässig gepatcht werden.

Asset

Ein Asset ist ein Wert oder eine Ressource, die geschützt werden muss.

Beispiele:

Server
Notebook
Anwendung
Datenbank
Firewall
Switch
Cloud-Ressource
Benutzerkonto
Datenbestand
Zertifikat
API-Schlüssel

Merksatz:

Asset = schützenswerte Ressource.

Asset Management

Asset Management bedeutet:

IT-Ressourcen werden erfasst,
verwaltet
bewertet
und über ihren Lebenszyklus verfolgt.

Wichtig für:

Patchmanagement
Lizenzmanagement
Sicherheitsbewertung
Kostenkontrolle
Verantwortlichkeiten
Notfallplanung

Merksatz:

Asset Management ist Grundlage für geordneten IT-Betrieb.

Priorisierung von Patches

Nicht alle Patches können immer gleichzeitig installiert werden.

Priorisierung nach:

Kritikalität der Schwachstelle
Ausnutzbarkeit
betroffene Systeme
öffentliche Erreichbarkeit
Geschäftskritikalität
vorhandene Schutzmaßnahmen
bekannte Angriffe
Datenklassifizierung
Aufwand und Risiko des Updates

Merksatz:

Kritische,
ausnutzbare
und öffentlich erreichbare Systeme zuerst patchen.

Notfallpatch

Ein Notfallpatch wird schnell eingespielt, wenn eine Schwachstelle besonders kritisch ist.

Beispiele:

aktive Ausnutzung bekannt
öffentlich erreichbarer Dienst betroffen
Ransomware nutzt Lücke aus
keine ausreichende Schutzmaßnahme vorhanden

Merksatz:

Kritische Schwachstellen können außerplanmäßige Updates erfordern.

Wartungsfenster

Ein Wartungsfenster ist ein geplanter Zeitraum, in dem Änderungen durchgeführt werden.

Ziele:

Benutzer informieren
Ausfallzeit planen
Risiken reduzieren
Rollback vorbereiten
Verantwortliche erreichbar halten

Merksatz:

Wartungsfenster machen Änderungen planbar.

Rollback

Rollback bedeutet:

Eine Änderung wird zurückgenommen.

Beispiele:

Patch deinstallieren
Snapshot zurückspielen
Konfiguration wiederherstellen
alte Version aktivieren
Backup wiederherstellen

Wichtig:

Rollback muss vor der Änderung geplant sein.

Merksatz:

Jede kritische Änderung braucht einen Rückweg.

Patch testen

Patches sollten geprüft werden, besonders bei kritischen Systemen.

Zu prüfen:

startet das System?
läuft die Anwendung?
funktionieren Dienste?
gibt es Kompatibilitätsprobleme?
funktionieren Schnittstellen?
sind Performance-Probleme entstanden?
funktioniert Backup weiterhin?

Merksatz:

Patchen ohne Test kann neue Störungen erzeugen.

Patch-Erfolg prüfen

Nach dem Patchen muss geprüft werden:

Version aktualisiert?
Schwachstelle geschlossen?
Dienste laufen?
Logs unauffällig?
Monitoring grün?
Benutzer können arbeiten?
Schwachstellenscan bestätigt Erfolg?

Merksatz:

Patch abgeschlossen heißt:
Wirkung und Betrieb geprüft.

Patchmanagement und Dokumentation

Dokumentiert werden sollten:

betroffene Systeme
alte Version
neue Version
Zeitpunkt
Verantwortlicher
Grund
Testergebnis
Rollback-Plan
bekannte Probleme
offene Rest-Risiken

Merksatz:

Dokumentation macht Änderungen nachvollziehbar.

Firmware-Updates

Firmware ist Software, die direkt auf Geräten läuft.

Betroffene Geräte:

Router
Switches
Firewalls
Access Points
Drucker
NAS
Serverhardware
SSDs
IoT-Geräte

Firmware-Updates sind wichtig, weil Netzwerkgeräte oft dauerhaft erreichbar und sicherheitskritisch sind.

Merksatz:

Auch Netzwerkgeräte und Firmware müssen gepatcht werden.

Patchmanagement bei Netzwerkgeräten

Bei Netzwerkgeräten besonders beachten:

Konfiguration sichern
Firmware-Kompatibilität prüfen
Wartungsfenster planen
Redundanz prüfen
Zugriff nach Update testen
Rollback-Möglichkeit prüfen
Monitoring beobachten

Merksatz:

Netzwerkgeräte-Updates brauchen besondere Vorsicht,
weil sie Verbindungen beeinflussen.

Patchmanagement bei Servern

Bei Servern beachten:

Dienste prüfen
Abhängigkeiten prüfen
Backups erstellen
Wartungsfenster planen
Neustarts berücksichtigen
Anwendungskompatibilität prüfen
Monitoring nach Update prüfen

Merksatz:

Serverpatches betreffen oft mehrere Dienste gleichzeitig.

Patchmanagement bei Clients

Bei Clients beachten:

Betriebssystemupdates
Browserupdates
Office-Updates
PDF-Reader
E-Mail-Client
VPN-Client
Sicherheitssoftware
Treiber
lokale Anwendungen

Merksatz:

Clients sind häufige Einstiegspunkte und müssen aktuell bleiben.

Patchmanagement bei Cloud

Cloud-Patchverantwortung hängt vom Service-Modell ab.

IaaS:

Kunde patcht Betriebssystem,
Anwendungen
und eigene Dienste.

PaaS:

Anbieter patcht Plattform,
Kunde patcht Anwendung,
Code
und Abhängigkeiten.

SaaS:

Anbieter patcht Anwendung,
Kunde prüft Einstellungen,
Benutzer,
Rechte
und Sicherheit.

Merksatz:

Cloud nimmt nicht jede Patchverantwortung ab.

Patchmanagement bei Containern

Container müssen ebenfalls gepflegt werden.

Zu prüfen:

Basisimage
Bibliotheken
Laufzeitumgebung
Anwendungscode
Paketabhängigkeiten
Secrets im Image
unsichere Konfiguration
Container-Registry

Maßnahmen:

Images regelmäßig neu bauen
Images scannen
minimale Images nutzen
veraltete Images ersetzen
keine unnötigen Pakete installieren

Merksatz:

Container-Images altern und müssen aktualisiert werden.

Dependency Management

Dependency Management bedeutet:

Abhängigkeiten einer Software werden verwaltet.

Beispiele:

Bibliotheken
Frameworks
Pakete
Module
Container-Basisimages
Plugins

Risiko:

Eine verwundbare Bibliothek kann die ganze Anwendung gefährden.

Merksatz:

Auch Abhängigkeiten sind Teil der Sicherheit.

SBOM

SBOM steht für:

Software Bill of Materials

Eine SBOM listet Softwarebestandteile einer Anwendung auf.

Beispiele:

Bibliotheken
Versionen
Komponenten
Abhängigkeiten

Nutzen:

schneller erkennen,
ob eine bekannte Schwachstelle betroffen ist.

Merksatz:

SBOM ist eine Stückliste für Softwarebestandteile.

Schwachstellenscan

Ein Schwachstellenscan sucht automatisch nach bekannten Schwachstellen.

Er prüft zum Beispiel:

offene Ports
Dienstversionen
bekannte CVEs
fehlende Patches
unsichere TLS-Konfiguration
Standarddienste
schwache Konfigurationen
verwundbare Bibliotheken

Merksatz:

Schwachstellenscan findet bekannte technische Probleme.

Grenzen von Schwachstellenscans

Ein Schwachstellenscan erkennt nicht alles.

Grenzen:

unbekannte Schwachstellen
Logikfehler in Anwendungen
komplexe Rechtefehler
falsch bewertete Ergebnisse
fehlende Zugangsdaten beim Scan
Fehlalarme
nicht erreichbare Systeme

Merksatz:

Schwachstellenscan unterstützt,
ersetzt aber keine Sicherheitsanalyse.

False Positive und False Negative

False Positive:

Ein Problem wird gemeldet,
obwohl es nicht wirklich besteht.

False Negative:

Ein Problem wird nicht gemeldet,
obwohl es besteht.

Merksatz:

Scan-Ergebnisse müssen bewertet werden.

Penetrationstest

Ein Penetrationstest ist eine kontrollierte Sicherheitsprüfung, bei der Angriffe simuliert werden.

Ziel:

Schwachstellen realistisch prüfen
Angriffspfade erkennen
Auswirkungen bewerten
Maßnahmen ableiten

Wichtig:

schriftlicher Auftrag
definierter Umfang
erlaubter Zeitraum
klare Regeln
Abschlussbericht

Merksatz:

Penetrationstest ist kontrollierte Angriffssimulation.

Schwachstellenscan und Penetrationstest vergleichen

Merkmal Schwachstellenscan Penetrationstest
Art automatisiert manuell und automatisiert
Ziel bekannte Schwachstellen finden Angriffswege bewerten
Tiefe eher breit tiefer und kontextbezogener
Ergebnis Liste möglicher Schwachstellen bewerteter Sicherheitsbericht
Grenze Fehlalarme möglich zeitlich und fachlich begrenzt

Merksatz:

Scan findet Hinweise.
Penetrationstest bewertet Angriffsrealität.

Hardening

Hardening bedeutet:

Systeme werden sicherer konfiguriert,
indem unnötige Funktionen entfernt
und sichere Einstellungen gesetzt werden.

Ziel:

Angriffsfläche reduzieren

Merksatz:

Hardening reduziert unnötige Angriffsmöglichkeiten.

Warum Hardening wichtig ist

Viele Systeme werden mit Standardfunktionen ausgeliefert, die nicht immer benötigt werden.

Beispiele:

Standardkonten
Beispieldateien
Testseiten
offene Dienste
unnötige Module
alte Protokolle
unsichere Standardwerte
Verzeichnislisting

Merksatz:

Standardkonfiguration ist nicht automatisch sicher.

Hardening-Grundregeln

Wichtige Grundregeln:

unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
Standardkonten deaktivieren
sichere Protokolle nutzen
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
sichere Konfiguration dokumentieren
Zugriff beschränken
Updates einspielen

Merksatz:

Nur aktivieren,
was wirklich benötigt wird.

Betriebssystem-Hardening

Maßnahmen:

unnötige Dienste deaktivieren
lokale Firewall aktivieren
Benutzerrechte begrenzen
sichere Passwortrichtlinien
automatische Updates planen
Protokollierung aktivieren
unsichere Freigaben entfernen
Adminzugriffe begrenzen
Standardkonten prüfen
Systemdateien schützen

Merksatz:

Betriebssysteme brauchen sichere Grundkonfiguration.

Server-Hardening

Maßnahmen:

nur benötigte Rollen installieren
Dienste auf notwendige Ports begrenzen
Adminzugänge beschränken
TLS korrekt konfigurieren
Sicherheitsheader setzen
Fehlerausgaben reduzieren
Logs aktivieren
Dateirechte prüfen
Backup-Zugriff schützen
Monitoring einrichten

Merksatz:

Server sollen nur notwendige Dienste bereitstellen.

Webserver-Hardening

Maßnahmen:

Verzeichnislisting deaktivieren
unnötige Module entfernen
alte TLS-Versionen deaktivieren
Security Headers setzen
Fehlermeldungen begrenzen
Standardseiten entfernen
Upload-Verzeichnisse absichern
Dateirechte begrenzen
Adminoberflächen schützen
Logs aktivieren

Merksatz:

Webserver nicht mit unsicheren Standardfunktionen betreiben.

Datenbank-Hardening

Maßnahmen:

nicht öffentlich erreichbar machen
starke Authentifizierung
Datenbankbenutzerrechte begrenzen
Standardkonten deaktivieren
Verschlüsselung prüfen
Backups schützen
Logging aktivieren
Netzwerkzugriff einschränken
Sicherheitsupdates einspielen
keine Testdaten in Produktion

Merksatz:

Datenbanken gehören besonders geschützt.

Netzwerkgeräte-Hardening

Maßnahmen:

Standardpasswörter ändern
Managementzugang beschränken
unsichere Protokolle deaktivieren
SSH statt Telnet
HTTPS statt HTTP
SNMP sicher konfigurieren
Firmware aktuell halten
ungenutzte Ports deaktivieren
Konfiguration sichern
Logging an zentralen Server senden

Merksatz:

Netzwerkgeräte sind sicherheitskritische Infrastruktur.

Client-Hardening

Maßnahmen:

keine lokalen Adminrechte
automatische Updates
EDR oder Antivirus
Makros einschränken
Application Control
Festplattenverschlüsselung
Bildschirmsperre
sichere Browserkonfiguration
USB-Regeln
Firewall aktivieren

Merksatz:

Clients sind häufige Einstiegspunkte und müssen gehärtet werden.

Cloud-Hardening

Maßnahmen:

MFA erzwingen
IAM minimal berechtigen
öffentliche IPs begrenzen
Security Groups eng setzen
Storage nicht öffentlich freigeben
Audit-Logs aktivieren
Verschlüsselung aktivieren
Schlüsselverwaltung klären
Kostenalarme setzen
ungenutzte Ressourcen löschen
Standardrollen prüfen

Merksatz:

Cloud-Hardening bedeutet sichere Konfiguration von Identitäten,
Netzwerken,
Daten
und Diensten.

Container-Hardening

Maßnahmen:

minimale Images verwenden
keine Root-Ausführung,
wenn nicht nötig
keine Secrets im Image
Images scannen
nur vertrauenswürdige Registries
Schreibrechte begrenzen
Netzwerkzugriffe begrenzen
Ressourcenlimits setzen
unnötige Tools entfernen
Images regelmäßig neu bauen

Merksatz:

Container sollten klein,
aktuell
und rechtearm sein.

Konfigurationsbaseline

Eine Baseline ist eine festgelegte Standardkonfiguration.

Sie beschreibt, wie ein System sicher eingerichtet sein soll.

Beispiele:

erlaubte Dienste
Passwortregeln
Logging-Einstellungen
Firewall-Grundregeln
Update-Einstellungen
TLS-Vorgaben
Rechtevorgaben

Merksatz:

Baseline = definierter sicherer Grundzustand.

Configuration Drift

Configuration Drift bedeutet:

Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.

Ursachen:

manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen
ungeprüfte Anpassungen

Merksatz:

Configuration Drift macht Systeme uneinheitlich und schwerer sicher zu betreiben.

Compliance-Scan

Ein Compliance-Scan prüft, ob Systeme bestimmte Vorgaben erfüllen.

Beispiele:

Passwortregeln aktiv?
Logging aktiv?
Firewall aktiv?
Verschlüsselung aktiv?
unsichere Dienste deaktiviert?
Standardkonten deaktiviert?
Patchstand korrekt?

Merksatz:

Compliance-Scan prüft Einhaltung definierter Sicherheitsvorgaben.

Change Management bei Sicherheit

Sicherheitsänderungen sollten geplant und dokumentiert werden.

Beispiele:

Firewall-Regel ändern
Adminrolle vergeben
Dienst öffnen
Patch einspielen
Zertifikat erneuern
TLS-Version ändern
neue VPN-Gruppe erstellen

Merksatz:

Auch Sicherheitsänderungen brauchen Kontrolle.

Vier-Augen-Prinzip

Vier-Augen-Prinzip bedeutet:

kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben.

Beispiele:

Adminrechte vergeben
Firewall nach außen öffnen
Backup löschen
Produktivsystem ändern
Zahlungsdaten ändern
kritische Sicherheitseinstellung deaktivieren

Merksatz:

Vier-Augen-Prinzip reduziert Fehler und Missbrauch.

Regelmäßige Überprüfung

Sicherheitsmaßnahmen müssen regelmäßig geprüft werden.

Zu prüfen:

Patchstand
offene Ports
Benutzerrechte
Adminrechte
Firewall-Regeln
Backups
Restore-Tests
Logs
Zertifikate
Cloud-Freigaben
externe Zugänge

Merksatz:

Sicherheit ist ein laufender Prozess,
kein einmaliger Zustand.

Typische Fehler bei Patchmanagement

Häufige Fehler:

kein Inventar
keine Zuständigkeit
keine Priorisierung
kritische Systeme werden vergessen
Updates werden nie getestet
kein Wartungsfenster
kein Rollback-Plan
Erfolg wird nicht geprüft
Abhängigkeiten werden übersehen
Firmware wird vergessen
Container-Images bleiben alt

Merksatz:

Patchmanagement scheitert oft an Organisation,
nicht nur an Technik.

Typische Fehler bei Hardening

Häufige Fehler:

Standardpasswörter bleiben aktiv
unnötige Dienste laufen
offene Ports bleiben erreichbar
alte Protokolle bleiben erlaubt
Adminzugänge sind zu breit
Logs sind deaktiviert
Fehlermeldungen zeigen Details
Cloud-Speicher ist öffentlich
Testsysteme sind ungeschützt
Baseline wird nicht kontrolliert

Merksatz:

Hardening muss überprüfbar und dauerhaft gepflegt sein.

Checkliste: Schwachstellen reduzieren

Assets erfassen.
Versionen dokumentieren.
Schwachstellenmeldungen prüfen.
Kritikalität bewerten.
Patches priorisieren.
Updates testen.
Wartungsfenster planen.
Rollback vorbereiten.
Patches ausrollen.
Erfolg prüfen.
Systeme härten.
unnötige Dienste deaktivieren.
Rechte begrenzen.
Logs aktivieren.
regelmäßige Scans durchführen.
Maßnahmen dokumentieren.

Merksatz:

Schwachstellenmanagement verbindet Technik,
Prozesse
und Dokumentation.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist eine Schwachstelle?
- Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko?
- Was ist eine CVE?
- Was ist CVSS?
- Was ist ein Exploit?
- Was ist ein Zero-Day?
- Was ist Patchmanagement?
- Warum ist Patchmanagement wichtig?
- Welche Systeme müssen gepatcht werden?
- Warum braucht man ein Inventar?
- Wie priorisiert man Patches?
- Was ist ein Notfallpatch?
- Warum braucht man ein Wartungsfenster?
- Was bedeutet Rollback?
- Was ist Hardening?
- Warum ist Standardkonfiguration nicht automatisch sicher?
- Was ist eine Baseline?
- Was bedeutet Configuration Drift?
- Was ist ein Schwachstellenscan?
- Was ist der Unterschied zwischen Schwachstellenscan und Penetrationstest?

Typische Prüfungsfallen

Schwachstelle,
Bedrohung
und Risiko nicht verwechseln.

CVE benennt bekannte Schwachstellen.

CVSS bewertet Kritikalität.

Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.

Exploit nutzt eine Schwachstelle aus.

Zero-Day hat noch keinen regulären Patch.

Patchmanagement ist ein Prozess,
nicht nur ein Klick auf Update.

Ohne Inventar kein gutes Patchmanagement.

Firmware und Netzwerkgeräte nicht vergessen.

Container-Images müssen ebenfalls aktualisiert werden.

Cloud nimmt nicht jede Patchpflicht ab.

Patches priorisieren,
nicht blind alles gleich behandeln.

Kritische Systeme brauchen Test und Rollback.

Hardening reduziert Angriffsfläche.

Standardkonfiguration ist nicht automatisch sicher.

Unnötige Dienste deaktivieren.

Alte Protokolle abschalten.

Baseline definiert sicheren Grundzustand.

Configuration Drift regelmäßig prüfen.

Schwachstellenscan findet bekannte Probleme,
aber nicht alles.

Penetrationstest ist kontrollierte Angriffssimulation.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Schwachstelle ausnutzbare Sicherheitslücke
Bedrohung mögliches schädliches Ereignis
Risiko Wahrscheinlichkeit und Auswirkung eines Schadens
Schutzmaßnahme reduziert Risiko
CVE eindeutige Kennung bekannter Schwachstellen
CVSS Bewertung der Kritikalität einer Schwachstelle
Exploit Ausnutzung einer Schwachstelle
Zero-Day Schwachstelle ohne verfügbaren regulären Patch
Patch Korrektur oder Sicherheitsupdate
Update kleinere Aktualisierung
Upgrade größere Versionsänderung
Patchmanagement organisierte Verwaltung von Updates
Inventarisierung Erfassung vorhandener Systeme
Asset schützenswerte Ressource
Asset Management Verwaltung von IT-Ressourcen
Notfallpatch schneller Patch bei kritischer Schwachstelle
Wartungsfenster geplanter Änderungszeitraum
Rollback Rücknahme einer Änderung
Firmware Software auf Geräten
Dependency Management Verwaltung von Softwareabhängigkeiten
SBOM Stückliste von Softwarebestandteilen
Schwachstellenscan automatisierte Suche bekannter Schwachstellen
False Positive fälschlich gemeldetes Problem
False Negative nicht erkannter echter Fehler
Penetrationstest kontrollierte Angriffssimulation
Hardening sichere Systemhärtung
Baseline definierter sicherer Grundzustand
Configuration Drift Abweichung von Soll-Konfiguration
Compliance-Scan Prüfung auf Einhaltung von Vorgaben
Vier-Augen-Prinzip Prüfung durch mindestens zwei Personen

IHK-sichere Kurzformulierung

Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke in Technik, Konfiguration, Organisation oder Prozessen. Eine Bedrohung ist ein mögliches schädliches Ereignis, während Risiko die Kombination aus Eintrittswahrscheinlichkeit und Schadensauswirkung beschreibt. Bekannte Schwachstellen werden häufig mit CVE-Kennungen beschrieben und mit CVSS nach Kritikalität bewertet. Patchmanagement umfasst das Erfassen betroffener Systeme, Bewerten von Schwachstellen, Priorisieren, Testen, Einspielen und Dokumentieren von Updates. Hardening bedeutet, Systeme sicher zu konfigurieren, unnötige Dienste zu deaktivieren, Rechte zu begrenzen, unsichere Protokolle abzuschalten und sichere Baselines einzuhalten. Schwachstellenscans und Penetrationstests helfen, Sicherheitsprobleme zu erkennen und Maßnahmen abzuleiten.

Merksätze

Schwachstelle = ausnutzbare Lücke.

Bedrohung = mögliches Schadereignis.

Risiko = Wahrscheinlichkeit und Auswirkung.

Schutzmaßnahme senkt Risiko.

CVE benennt bekannte Schwachstellen.

CVSS bewertet Kritikalität.

Exploit nutzt Schwachstelle aus.

Zero-Day hat noch keinen regulären Patch.

Patch = Korrektur oder Sicherheitsupdate.

Update kleiner,
Upgrade größer.

Patchmanagement ist ein Prozess.

Ohne Inventar kein gutes Patchmanagement.

Assets müssen bekannt sein.

Kritische Patches priorisieren.

Öffentlich erreichbare Systeme zuerst prüfen.

Notfallpatch kann außerplanmäßig nötig sein.

Wartungsfenster planen.

Rollback vorbereiten.

Patch-Erfolg prüfen.

Firmware nicht vergessen.

Netzwerkgeräte müssen aktualisiert werden.

Clients sind häufige Einstiegspunkte.

Cloud nimmt nicht jede Patchpflicht ab.

Container-Images altern.

Abhängigkeiten sind Teil der Sicherheit.

SBOM zeigt Softwarebestandteile.

Schwachstellenscan findet bekannte Probleme.

False Positives prüfen.

False Negatives bedenken.

Penetrationstest prüft Angriffswege.

Hardening reduziert Angriffsfläche.

Standardkonfiguration ist nicht automatisch sicher.

Unnötige Dienste deaktivieren.

Rechte minimieren.

Alte Protokolle abschalten.

Baseline definiert sicheren Grundzustand.

Configuration Drift vermeiden.

Sicherheit regelmäßig überprüfen.

Schwachstellenmanagement braucht Technik,
Prozess
und Dokumentation.

16.7 Sicherheitsmaßnahmen: Firewall, IDS, IPS, EDR, SIEM und Backup

Sicherheitsmaßnahmen schützen Systeme, Netzwerke, Daten und Benutzer vor Angriffen.

Es gibt nicht die eine Maßnahme, die alles schützt.

Stattdessen werden mehrere Schutzmaßnahmen kombiniert.

Typische Sicherheitsmaßnahmen sind:

- Firewall
- Netzwerksegmentierung
- IDS
- IPS
- Antivirus
- EDR
- SIEM
- MFA
- Backup
- Patchmanagement
- Hardening
- Logging
- Monitoring
- Schulung
- Incident Response

Merksatz:

IT-Sicherheit entsteht durch mehrere Schutzschichten.

Warum mehrere Schutzmaßnahmen nötig sind

Einzelne Schutzmaßnahmen können versagen.

Beispiele:

Firewall-Regel ist zu breit.
Benutzer fällt auf Phishing herein.
Antivirus erkennt neue Malware nicht.
Patch ist noch nicht verfügbar.
Backup wurde nicht getestet.
Passwort wurde wiederverwendet.
Adminrechte wurden zu großzügig vergeben.

Deshalb braucht man mehrere Schutzschichten.

Merksatz:

Sicherheit darf nicht von einer einzigen Maßnahme abhängen.

Defense in Depth

Defense in Depth bedeutet:

Sicherheit durch mehrere Schutzschichten.

Beispiel:

Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung

Wenn eine Schutzschicht versagt, sollen andere Schichten den Schaden begrenzen.

Merksatz:

Defense in Depth = mehrschichtige Verteidigung.

Prävention, Erkennung und Reaktion

Sicherheitsmaßnahmen lassen sich grob einteilen in:

Bereich Ziel Beispiele
Prävention Angriff verhindern Firewall, MFA, Patchmanagement
Erkennung Angriff erkennen IDS, EDR, SIEM, Logging
Reaktion Schaden begrenzen Incident Response, Isolation, Restore

Merksatz:

Gute Sicherheit verhindert,
erkennt
und reagiert.

Firewall

Eine Firewall filtert Netzwerkverkehr anhand von Regeln.

Sie entscheidet, ob Verkehr erlaubt oder blockiert wird.

Typische Kriterien:

Quelle
Ziel
Port
Protokoll
Richtung
Zustand der Verbindung
Anwendung je nach Firewalltyp
Benutzer je nach System

Merksatz:

Firewall = kontrollierte Netzwerkgrenze.

Firewall-Aufgaben

Eine Firewall kann:

interne Netze schützen
Internetzugriffe filtern
DMZ absichern
VPN-Zugänge begrenzen
Serverdienste schützen
Netzwerkbereiche trennen
unerwünschten Verkehr blockieren
Verbindungsversuche protokollieren

Merksatz:

Firewalls begrenzen,
welche Kommunikation erlaubt ist.

Paketfilter-Firewall

Eine Paketfilter-Firewall prüft einzelne Pakete anhand einfacher Merkmale.

Beispiele:

Quell-IP
Ziel-IP
Quellport
Zielport
Protokoll

Vorteil:

schnell
grundlegend wirksam

Nachteil:

erkennt nicht immer den Zusammenhang einer Verbindung
versteht Anwendungen nur begrenzt

Merksatz:

Paketfilter prüfen grundlegende Paketinformationen.

Stateful Firewall

Eine Stateful Firewall merkt sich Verbindungszustände.

Sie erkennt, ob ein Paket zu einer bestehenden erlaubten Verbindung gehört.

Vorteil:

Rückverkehr kann automatisch korrekt zugeordnet werden.

Beispiel:

Client baut Verbindung zu Webserver auf.
Antwortpakete werden als zugehörig erkannt.

Merksatz:

Stateful Firewall kennt den Zustand von Verbindungen.

Application Firewall

Eine Application Firewall prüft Verkehr auf Anwendungsebene.

Beispiele:

HTTP-Anfragen
Webanwendungsangriffe
ungewöhnliche Parameter
SQL-Injection-Muster
XSS-Muster
Protokollverstöße

Eine Web Application Firewall ist eine spezielle Form für Webanwendungen.

Merksatz:

Application Firewall schaut tiefer in Anwendungsverkehr.

Next-Generation Firewall

Eine Next-Generation Firewall kann mehr als einfache Portfilterung.

Typische Funktionen:

Stateful Inspection
Anwendungserkennung
Benutzerbezug
IDS/IPS-Funktionen
URL-Filter
Malware-Erkennung
VPN
Logging
Richtlinien nach Anwendungen

Merksatz:

Next-Generation Firewall kombiniert mehrere Sicherheitsfunktionen.

Firewall-Regeln richtig formulieren

Gute Firewall-Regeln sind:

notwendig
eindeutig
dokumentiert
möglichst eng
nach Quelle,
Ziel,
Port
und Protokoll definiert
regelmäßig geprüft

Schlechte Regel:

Any to Any allow

Bessere Regel:

Webserver darf TCP 5432 zur Datenbank auf bestimmter IP nutzen.

Merksatz:

Erlaube nur,
was wirklich benötigt wird.

Default Deny

Default Deny bedeutet:

standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.

Vorteil:

weniger ungewollte Kommunikation
bessere Kontrolle
geringere Angriffsfläche

Merksatz:

Default Deny ist sicherer als pauschales Erlauben.

Firewall-Logging

Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde.

Typische Inhalte:

Zeit
Quelle
Ziel
Port
Protokoll
Aktion
Regelname
Interface
Benutzer je nach System

Merksatz:

Firewall-Logs helfen bei Fehlersuche und Sicherheitsanalyse.

Netzwerksegmentierung

Netzwerksegmentierung bedeutet:

Netzwerke werden in getrennte Bereiche aufgeteilt.

Beispiele:

Clientnetz
Servernetz
Managementnetz
Gastnetz
IoT-Netz
Produktionsnetz
Backupnetz
DMZ

Vorteil:

Angriffe können sich schlechter ausbreiten.
Zugriffe können gezielter gesteuert werden.

Merksatz:

Segmentierung begrenzt Schaden und Ausbreitung.

VLANs als Segmentierung

VLANs trennen Netzwerke logisch auf Schicht 2.

Beispiele:

VLAN 10 Clients
VLAN 20 Server
VLAN 30 Gäste
VLAN 40 Management

Zwischen VLANs sollte kontrolliert geroutet und gefiltert werden.

Merksatz:

VLAN trennt logisch,
Firewall-Regeln steuern den Verkehr dazwischen.

DMZ als Schutzmaßnahme

Eine DMZ ist ein gesonderter Netzwerkbereich für öffentlich erreichbare Dienste.

Typische Systeme:

Webserver
Reverse Proxy
Mail-Gateway
VPN-Gateway
DNS-Server

Ziel:

öffentliche Dienste vom internen Netz trennen.

Merksatz:

DMZ schützt interne Netze vor direktem Zugriff aus dem Internet.

IDS

IDS steht für:

Intrusion Detection System

Ein IDS erkennt verdächtige Aktivitäten und meldet sie.

Es blockiert normalerweise nicht selbst, sondern erzeugt Alarme.

Beispiele für Erkennung:

Portscan
bekannte Angriffssignatur
verdächtiger Netzwerkverkehr
ungewöhnliche Loginversuche
Exploit-Versuch

Merksatz:

IDS erkennt Angriffe,
blockiert aber nicht zwingend.

IPS

IPS steht für:

Intrusion Prevention System

Ein IPS erkennt verdächtige Aktivitäten und kann sie zusätzlich blockieren.

Beispiele:

Verbindung abbrechen
Paket verwerfen
Quelle blockieren
Angriffsmuster stoppen

Merksatz:

IPS erkennt und verhindert Angriffe aktiv.

IDS und IPS vergleichen

Merkmal IDS IPS
Bedeutung Intrusion Detection System Intrusion Prevention System
Hauptaufgabe erkennen und melden erkennen und blockieren
Wirkung passiv oder beobachtend aktiv eingreifend
Risiko Angriff wird nur gemeldet Fehlalarm kann legitimen Verkehr blockieren

Merksatz:

IDS meldet.
IPS greift ein.

Signaturbasierte Erkennung

Signaturbasierte Erkennung sucht nach bekannten Mustern.

Beispiele:

bekannte Malware-Signatur
bekannte Exploit-Anfrage
bekannter Angriffspfad
bekannter Hashwert
bekannte Netzwerksequenz

Vorteil:

gut gegen bekannte Angriffe

Nachteil:

schwächer gegen neue oder veränderte Angriffe

Merksatz:

Signaturen erkennen Bekanntes.

Anomaliebasierte Erkennung

Anomaliebasierte Erkennung sucht nach ungewöhnlichem Verhalten.

Beispiele:

Benutzer meldet sich plötzlich aus fremdem Land an
Server sendet ungewöhnlich viel Datenverkehr
Client verbindet sich zu vielen internen Systemen
Konto hat plötzlich viele Fehlversuche
Prozess verschlüsselt viele Dateien

Vorteil:

kann neue Angriffe erkennen

Nachteil:

mehr Fehlalarme möglich

Merksatz:

Anomalieerkennung erkennt Abweichungen vom Normalverhalten.

False Positive und False Negative

False Positive:

Ein Alarm wird ausgelöst,
obwohl kein echter Angriff vorliegt.

False Negative:

Ein echter Angriff wird nicht erkannt.

Beides ist problematisch.

Merksatz:

Sicherheitsalarme müssen bewertet und verbessert werden.

Antivirus

Antivirus-Software erkennt und blockiert bekannte Schadsoftware.

Typische Funktionen:

Dateiscan
Echtzeitschutz
Signaturprüfung
Quarantäne
Malware-Entfernung
einfache Verhaltensprüfung

Grenze:

Antivirus allein reicht nicht gegen moderne Angriffe.

Merksatz:

Antivirus ist eine Schutzschicht,
aber kein vollständiges Sicherheitskonzept.

EDR

EDR steht für:

Endpoint Detection and Response

EDR überwacht Endgeräte tiefer als klassischer Antivirus.

Typische Funktionen:

Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Verwaltung
Reaktionsmaßnahmen

Merksatz:

EDR erkennt und untersucht Angriffe auf Endgeräten.

Endpoint

Ein Endpoint ist ein Endgerät oder System, das im Netzwerk genutzt wird.

Beispiele:

Notebook
Desktop-PC
Server
virtuelle Maschine
mobiles Gerät
Cloud-VM

Merksatz:

Endpoint = Endsystem,
auf dem Benutzer oder Dienste arbeiten.

EDR-Reaktionen

EDR kann bei einem Verdacht reagieren.

Beispiele:

Prozess beenden
Datei isolieren
Gerät vom Netzwerk trennen
Verbindung blockieren
Alarm erzeugen
forensische Daten sammeln
Datei in Quarantäne verschieben

Merksatz:

EDR ist nicht nur Erkennung,
sondern auch Reaktion.

XDR

XDR steht für:

Extended Detection and Response

XDR erweitert Erkennung und Reaktion über mehrere Bereiche.

Beispiele:

Endgeräte
E-Mail
Netzwerk
Cloud
Identitäten
Anwendungen

Ziel:

Ereignisse aus mehreren Quellen zusammenführen.

Merksatz:

XDR verbindet Sicherheitsdaten aus mehreren Bereichen.

SIEM

SIEM steht für:

Security Information and Event Management

Ein SIEM sammelt, speichert und analysiert Sicherheitsereignisse aus vielen Quellen.

Quellen können sein:

Firewalls
Server
Clients
Cloud-Dienste
IAM-Systeme
VPN
EDR
IDS
IPS
Webserver
Datenbanken

Merksatz:

SIEM ist zentrale Sicherheitslog-Auswertung.

SIEM-Aufgaben

Ein SIEM hilft bei:

Angriffserkennung
Korrelation von Ereignissen
Alarmierung
Nachvollziehbarkeit
Compliance
forensischer Analyse
Reporting
Incident Response

Beispiel:

Viele fehlgeschlagene Logins
plus
erfolgreicher Login aus fremdem Land
plus
Datenexport

Das SIEM kann diese Ereignisse zusammenführen.

Merksatz:

SIEM erkennt Zusammenhänge,
die einzelne Systeme allein nicht zeigen.

Korrelation

Korrelation bedeutet:

mehrere Ereignisse werden miteinander in Beziehung gesetzt.

Beispiel:

Loginfehler
danach erfolgreicher Login
danach Rollenänderung
danach Datenexport

Ein einzelnes Ereignis wirkt vielleicht harmlos. Zusammen kann es verdächtig sein.

Merksatz:

Korrelation erkennt Muster über mehrere Logs hinweg.

SOC

SOC steht für:

Security Operations Center

Ein SOC überwacht Sicherheitsereignisse, bewertet Alarme und koordiniert Reaktionen.

Aufgaben:

Monitoring
Analyse
Alarmbewertung
Incident Response
Kommunikation
Dokumentation
Verbesserung von Regeln

Merksatz:

SOC ist die organisatorische Stelle für Sicherheitsüberwachung.

SOAR

SOAR steht für:

Security Orchestration,
Automation and Response

SOAR automatisiert Sicherheitsabläufe.

Beispiele:

verdächtiges Konto automatisch sperren
IP-Adresse blockieren
Ticket erstellen
EDR-Isolation auslösen
Logdaten sammeln
Benachrichtigung senden

Merksatz:

SOAR automatisiert Reaktionen auf Sicherheitsereignisse.

MFA als Schutzmaßnahme

MFA steht für:

Multi-Faktor-Authentifizierung

MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.

Faktoren können sein:

Wissen:
Passwort oder PIN

Besitz:
Smartphone,
Token,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

MFA reduziert Schaden durch gestohlene Passwörter.

Starke Authentifizierung

Starke Authentifizierung bedeutet:

Anmeldung wird so abgesichert,
dass ein einzelnes schwaches Passwort nicht ausreicht.

Maßnahmen:

MFA
Hardwaretoken
Zertifikate
Conditional Access
Risikoanalyse
sichere Passwortregeln
Passwortmanager

Merksatz:

Starke Anmeldung schützt Identitäten.

Least Privilege als Schutzmaßnahme

Least Privilege bedeutet:

nur notwendige Rechte vergeben.

Vorteile:

weniger Schaden bei Kontoübernahme
weniger Risiko durch Fehler
weniger Angriffsfläche
bessere Kontrolle

Beispiele:

Benutzer kein lokaler Admin
Dienstkonto nur mit benötigten Rechten
Datenbankkonto ohne unnötige Löschrechte
Cloud-Rolle nur für konkrete Aufgabe

Merksatz:

Weniger Rechte bedeuten weniger möglicher Schaden.

Backup als Schutzmaßnahme

Backup schützt nicht direkt vor jedem Angriff, aber ermöglicht Wiederherstellung.

Besonders wichtig bei:

Ransomware
versehentlichem Löschen
Datenkorruption
Fehlkonfiguration
Hardwareausfall
Systemkompromittierung

Merksatz:

Backup ist Schutz gegen Datenverlust und Ausfallfolgen.

Gutes Backup-Konzept

Ein gutes Backup-Konzept klärt:

was gesichert wird
wie oft gesichert wird
wie lange gesichert wird
wo gesichert wird
wer Zugriff hat
wie Wiederherstellung getestet wird
wie Backups geschützt werden
wie schnell wiederhergestellt werden muss
wie viel Datenverlust erlaubt ist

Merksatz:

Backup ohne Restore-Test ist unvollständig.

Immutable Backup

Immutable bedeutet:

unveränderlich

Ein Immutable Backup kann für eine festgelegte Zeit nicht gelöscht oder verändert werden.

Vorteile:

Schutz vor Ransomware
Schutz vor kompromittierten Adminzugängen
Schutz vor versehentlicher Löschung

Merksatz:

Immutable Backups schützen Wiederherstellungsmöglichkeiten.

Restore-Test

Ein Restore-Test prüft, ob Wiederherstellung wirklich funktioniert.

Zu prüfen:

Daten vollständig?
Anwendung startet?
Rechte passen?
Schlüssel vorhanden?
Wiederherstellungszeit akzeptabel?
Daten konsistent?
Dokumentation korrekt?

Merksatz:

Nur getestete Backups sind verlässlich.

Logging als Schutzmaßnahme

Logging bedeutet:

Ereignisse werden protokolliert.

Wichtige Logs:

Anmeldungen
Adminaktionen
Firewall-Entscheidungen
Dateiänderungen
Datenbankzugriffe
VPN-Zugriffe
Cloud-Audit-Logs
EDR-Meldungen
Webserver-Logs

Merksatz:

Logs machen Ereignisse nachvollziehbar.

Monitoring als Schutzmaßnahme

Monitoring überwacht Zustände und Metriken.

Beispiele:

ungewöhnliche Netzlast
viele Loginfehler
CPU-Spitzen
Speicher voll
Dienst nicht erreichbar
Zertifikat läuft ab
Backup fehlgeschlagen
viele Firewall-Drops

Merksatz:

Monitoring erkennt Probleme früh.

Alarmierung

Alarmierung informiert Verantwortliche automatisch, wenn Grenzwerte oder Sicherheitsereignisse auftreten.

Beispiele:

Malware-Fund
viele fehlgeschlagene Logins
Adminrolle vergeben
Backup fehlgeschlagen
ungewöhnlicher Datenexport
DDoS-Anzeichen
Cloud-Kostenanstieg

Merksatz:

Alarmierung macht kritische Ereignisse sichtbar.

Security Awareness

Security Awareness bedeutet:

Benutzer werden für Sicherheitsrisiken sensibilisiert.

Themen:

Phishing erkennen
Passwörter sicher nutzen
MFA-Anfragen richtig bewerten
vertrauliche Daten schützen
verdächtige Vorfälle melden
sichere Nutzung von Cloud-Diensten
Umgang mit USB-Geräten
Social Engineering erkennen

Merksatz:

Schulung macht Benutzer zu einem Teil der Verteidigung.

Incident Response

Incident Response bedeutet:

geplantes Vorgehen bei Sicherheitsvorfällen.

Typische Schritte:

erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern

Merksatz:

Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.

Containment

Containment bedeutet:

einen Sicherheitsvorfall eindämmen.

Beispiele:

infiziertes Gerät isolieren
Konto sperren
API-Schlüssel widerrufen
Firewall-Regel setzen
VPN-Zugang deaktivieren
kompromittierten Server vom Netz nehmen
Ausbreitung stoppen

Merksatz:

Containment begrenzt Schaden und Ausbreitung.

Eradication

Eradication bedeutet:

Ursache und Schadsoftware werden entfernt.

Beispiele:

Malware entfernen
System neu aufsetzen
Schwachstelle patchen
Backdoor entfernen
unsichere Konfiguration korrigieren
kompromittierte Zugangsdaten ersetzen

Merksatz:

Eradication beseitigt die Ursache des Vorfalls.

Recovery

Recovery bedeutet:

Systeme werden wiederhergestellt und kontrolliert in Betrieb genommen.

Dazu gehören:

Restore aus Backup
Systeme prüfen
Dienste starten
Monitoring beobachten
Benutzer informieren
erneute Kompromittierung ausschließen

Merksatz:

Recovery bringt Systeme sicher zurück in den Betrieb.

Lessons Learned

Lessons Learned bedeutet:

Nach einem Vorfall wird ausgewertet,
was verbessert werden muss.

Fragen:

Wie kam es zum Vorfall?
Was hat gut funktioniert?
Was hat nicht funktioniert?
Welche Maßnahmen fehlen?
Welche Regeln müssen geändert werden?
Welche Schulung ist nötig?
Welche Technik muss verbessert werden?

Merksatz:

Jeder Vorfall sollte zu besserer Sicherheit führen.

Physische Sicherheitsmaßnahmen

IT-Sicherheit umfasst auch physischen Schutz.

Beispiele:

Zutrittskontrolle
abschließbarer Serverraum
Videoüberwachung
Brandschutz
USV
Klimatisierung
gesicherte Netzwerkschränke
sichere Entsorgung von Datenträgern

Merksatz:

Ohne physischen Schutz kann technische Sicherheit umgangen werden.

Organisatorische Sicherheitsmaßnahmen

Organisatorische Maßnahmen regeln, wie Sicherheit umgesetzt wird.

Beispiele:

Sicherheitsrichtlinien
Rollen und Verantwortlichkeiten
Vier-Augen-Prinzip
Freigabeprozesse
Change Management
Notfallhandbuch
Berechtigungskonzept
Schulungsplan
Offboarding-Prozess

Merksatz:

Sicherheit braucht klare Prozesse und Verantwortlichkeiten.

Technische Sicherheitsmaßnahmen

Technische Maßnahmen schützen Systeme direkt.

Beispiele:

Firewall
MFA
Verschlüsselung
EDR
IDS
IPS
Backup
Patchmanagement
Hardening
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle

Merksatz:

Technische Maßnahmen wirken nur gut,
wenn sie richtig konfiguriert und betrieben werden.

Personelle Sicherheitsmaßnahmen

Personelle Maßnahmen betreffen das Verhalten von Menschen.

Beispiele:

Schulungen
Sensibilisierung
klare Meldewege
sichere Passwortnutzung
Verhalten bei Phishing
Umgang mit vertraulichen Daten
Wissen über Social Engineering

Merksatz:

Menschen müssen wissen,
wie sie sicher handeln sollen.

Sicherheitsmaßnahmen nach Angriffsziel

Angriffsziel passende Maßnahmen
Passwortdiebstahl MFA, Passwortmanager, Schulung
Malware EDR, Patchmanagement, Rechtebegrenzung
Ransomware Backup, Immutable Backup, Segmentierung
DDoS DDoS-Schutz, Rate Limiting, CDN
Webangriffe Secure Coding, WAF, Code Review
Datenabfluss DLP, Verschlüsselung, Rechtekonzept
Insider-Risiko Logging, Least Privilege, Vier-Augen-Prinzip
Kontoübernahme MFA, Conditional Access, Monitoring

Merksatz:

Maßnahme muss zum Risiko passen.

Typische Kombinationen in der Praxis

Beispiel Webserver:

Firewall
WAF
Patchmanagement
TLS
Logging
Monitoring
Backup
Rechtebegrenzung

Beispiel Client:

EDR
Patchmanagement
keine lokalen Adminrechte
E-Mail-Schutz
Makro-Schutz
Schulung

Beispiel Cloud:

MFA
IAM
Security Groups
Audit-Logs
Verschlüsselung
Backup
Kostenalarme

Merksatz:

Unterschiedliche Systeme brauchen unterschiedliche Schutzpakete.

Typische Fehler bei Sicherheitsmaßnahmen

Häufige Fehler:

nur eine Maßnahme einsetzen
Firewall-Regeln nie prüfen
Logs nicht aktivieren
Alarme ignorieren
Backups nicht testen
MFA-Ausnahmen zu breit erlauben
Adminrechte dauerhaft vergeben
EDR nur installieren,
aber nicht überwachen
SIEM ohne klare Regeln betreiben
Schulung vernachlässigen
Incident Response nicht üben

Merksatz:

Sicherheitsmaßnahmen müssen betrieben,
geprüft
und verbessert werden.

Checkliste: Schutzmaßnahmen sinnvoll kombinieren

Risiken bestimmen.
Schutzziele festlegen.
Systeme inventarisieren.
Firewall-Regeln prüfen.
Segmentierung planen.
MFA aktivieren.
Rechte minimieren.
Patchmanagement organisieren.
Hardening durchführen.
EDR einsetzen.
Logs zentral sammeln.
SIEM oder zentrale Auswertung nutzen.
Backups schützen.
Restore testen.
Benutzer schulen.
Incident Response vorbereiten.
Maßnahmen regelmäßig prüfen.

Merksatz:

Sicherheit ist ein Prozess,
kein einmaliger Zustand.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist Defense in Depth?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen Paketfilter und Stateful Firewall?
- Was ist eine Next-Generation Firewall?
- Was bedeutet Default Deny?
- Warum ist Netzwerksegmentierung wichtig?
- Was ist eine DMZ?
- Was ist ein IDS?
- Was ist ein IPS?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Was bedeutet Korrelation im SIEM?
- Was ist ein SOC?
- Was ist SOAR?
- Warum ist MFA wichtig?
- Warum ist Backup eine Sicherheitsmaßnahme?
- Was ist ein Restore-Test?
- Was ist Incident Response?
- Was bedeutet Containment?
- Warum sind Schulungen wichtig?

Typische Prüfungsfallen

Firewall ersetzt kein Patchmanagement.

Antivirus ersetzt kein Sicherheitskonzept.

IDS und IPS unterscheiden.

IDS erkennt,
IPS blockiert.

EDR ist mehr als klassischer Antivirus.

SIEM sammelt und korreliert Logs.

SOC ist organisatorische Sicherheitsüberwachung.

SOAR automatisiert Reaktionen.

Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.

Backup ohne Restore-Test ist unsicher.

Immutable Backup schützt vor Manipulation.

MFA schützt stark gegen Passwortmissbrauch,
aber nicht gegen alles.

Segmentierung begrenzt Ausbreitung.

Default Deny ist sicherer als pauschales Erlauben.

Logs müssen vor dem Vorfall aktiv sein.

Alarme müssen bearbeitet werden.

Schulungen sind Sicherheitsmaßnahme.

Incident Response muss vorbereitet sein.

Sicherheit braucht Technik,
Organisation
und Menschen.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Sicherheitsmaßnahme Maßnahme zur Risikoreduzierung
Defense in Depth mehrschichtige Verteidigung
Prävention Angriff verhindern
Erkennung Angriff feststellen
Reaktion auf Angriff reagieren
Firewall Filter für Netzwerkverkehr
Paketfilter prüft grundlegende Paketdaten
Stateful Firewall merkt sich Verbindungszustände
Application Firewall prüft Anwendungsebene
NGFW Next-Generation Firewall
Default Deny standardmäßig alles blockieren
Segmentierung Trennung von Netzbereichen
VLAN logische Netztrennung
DMZ Zone für öffentlich erreichbare Dienste
IDS Intrusion Detection System
IPS Intrusion Prevention System
Signatur bekanntes Angriffsmuster
Anomalie Abweichung vom Normalverhalten
False Positive falscher Alarm
False Negative nicht erkannter Angriff
Antivirus Schutz gegen bekannte Schadsoftware
EDR Endpoint Detection and Response
Endpoint Endgerät oder Endsystem
XDR erweiterte Erkennung und Reaktion
SIEM zentrale Sicherheitslog-Auswertung
Korrelation Verknüpfung mehrerer Ereignisse
SOC Security Operations Center
SOAR automatisierte Sicherheitsreaktion
MFA Multi-Faktor-Authentifizierung
Least Privilege minimale notwendige Rechte
Backup zusätzliche Datensicherung
Immutable Backup unveränderliches Backup
Restore-Test Prüfung der Wiederherstellung
Logging Ereignisprotokollierung
Monitoring Zustandsüberwachung
Alerting automatische Alarmierung
Awareness Sicherheitsbewusstsein
Incident Response Reaktion auf Sicherheitsvorfälle
Containment Eindämmung
Eradication Beseitigung der Ursache
Recovery Wiederherstellung
Lessons Learned Auswertung und Verbesserung

IHK-sichere Kurzformulierung

Sicherheitsmaßnahmen sollen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit reduzieren. Da einzelne Maßnahmen versagen können, werden mehrere Schutzschichten nach dem Prinzip Defense in Depth kombiniert. Firewalls begrenzen Netzwerkverkehr, Segmentierung trennt Netzbereiche, IDS erkennt Angriffe, IPS kann sie zusätzlich blockieren, EDR überwacht Endgeräte und SIEM sammelt und korreliert Sicherheitslogs. MFA schützt Identitäten, Least Privilege begrenzt Rechte, Backups und Restore-Tests sichern Wiederherstellung, und Incident Response regelt das Vorgehen bei Sicherheitsvorfällen. Gute IT-Sicherheit verbindet technische, organisatorische, personelle und physische Maßnahmen.

Merksätze

Sicherheit braucht mehrere Schutzschichten.

Defense in Depth kombiniert Maßnahmen.

Prävention verhindert.

Erkennung erkennt.

Reaktion begrenzt Schaden.

Firewall filtert Netzwerkverkehr.

Paketfilter prüft Paketdaten.

Stateful Firewall kennt Verbindungen.

Application Firewall prüft Anwendungsebene.

Default Deny ist sicherer.

Segmentierung begrenzt Ausbreitung.

VLAN trennt logisch.

DMZ schützt interne Netze.

IDS erkennt Angriffe.

IPS blockiert zusätzlich.

Signaturen erkennen Bekanntes.

Anomalien erkennen Abweichungen.

False Positive ist falscher Alarm.

False Negative ist verpasster Angriff.

Antivirus ist nur eine Schutzschicht.

EDR erkennt und reagiert auf Endgeräten.

XDR verbindet mehrere Sicherheitsbereiche.

SIEM sammelt und korreliert Logs.

SOC überwacht Sicherheit organisatorisch.

SOAR automatisiert Reaktionen.

MFA schützt Identitäten.

Least Privilege begrenzt Schaden.

Backup hilft bei Wiederherstellung.

Immutable Backup schützt Backups.

Restore-Test beweist Backup-Nutzbarkeit.

Logging macht Ereignisse nachvollziehbar.

Monitoring erkennt Probleme.

Alarmierung muss bearbeitet werden.

Schulung ist Sicherheitsmaßnahme.

Incident Response braucht Vorbereitung.

Containment begrenzt Ausbreitung.

Eradication beseitigt Ursache.

Recovery stellt Betrieb wieder her.

Lessons Learned verbessern Sicherheit.

Sicherheit ist ein Prozess,
kein einmaliger Zustand.

16.8 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen

Diese Seite fasst die wichtigsten Inhalte zu Angriffen, Schwachstellen, Schadsoftware, Phishing, Netzwerkangriffen, Webangriffen und Schutzmaßnahmen zusammen.

Das Thema ist prüfungsrelevant, weil es viele Bereiche verbindet:

- Informationssicherheit
- Netzwerktechnik
- Betriebssysteme
- Anwendungen
- Benutzerkonten
- Cloud
- Backup
- Datenschutz
- Monitoring
- Incident Response

Merksatz:

IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.

Die drei wichtigsten Schutzziele

Die wichtigsten Schutzziele der Informationssicherheit sind:

Vertraulichkeit

Integrität

Verfügbarkeit

Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen.

Merksatz:

Vertraulichkeit,
Integrität
und Verfügbarkeit immer sauber unterscheiden.

Vertraulichkeit

Vertraulichkeit bedeutet:

Informationen dürfen nur von berechtigten Personen gelesen werden.

Beispiele:

Kundendaten
Passwörter
Personalakten
interne Dokumente
Zugangsdaten
Geschäftsgeheimnisse

Angriffe auf Vertraulichkeit:

Phishing
Sniffing
Spyware
Datenabfluss
unberechtigte Freigaben
gestohlene Zugangsdaten

Merksatz:

Vertraulichkeit schützt vor unberechtigtem Lesen.

Integrität

Integrität bedeutet:

Daten dürfen nicht unbemerkt verändert werden.

Beispiele:

Rechnung wird manipuliert.
Datenbankeintrag wird verändert.
Konfigurationsdatei wird heimlich angepasst.
Softwareupdate wird verfälscht.

Angriffe auf Integrität:

Man-in-the-Middle
Malware
SQL Injection
Supply-Chain-Angriff
unberechtigte Änderung

Merksatz:

Integrität schützt vor unbemerkter Manipulation.

Verfügbarkeit

Verfügbarkeit bedeutet:

Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.

Beispiele:

Webseite erreichbar
Datenbank verfügbar
Netzwerk funktioniert
Dateien sind nutzbar
Backup kann wiederhergestellt werden

Angriffe auf Verfügbarkeit:

DoS
DDoS
Ransomware
Sabotage
Überlastung
Systemausfall

Merksatz:

Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen.

CIA-Triade

CIA steht für:

Confidentiality
Integrity
Availability

Deutsch:

Vertraulichkeit
Integrität
Verfügbarkeit

Merksatz:

CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.

Authentizität

Authentizität bedeutet:

Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.

Beispiele:

Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die Nachricht wirklich vom angegebenen Absender?

Merksatz:

Authentizität schützt vor falscher Identität.

Nichtabstreitbarkeit

Nichtabstreitbarkeit bedeutet:

Eine Handlung kann später nachgewiesen werden
und nicht glaubwürdig abgestritten werden.

Beispiele:

digitale Signatur
Zeitstempel
Audit-Log
eindeutiges Benutzerkonto

Merksatz:

Nichtabstreitbarkeit sorgt für Nachweisbarkeit.

Schwachstelle, Bedrohung und Risiko

Begriff Bedeutung
Schwachstelle ausnutzbare Sicherheitslücke
Bedrohung mögliches schädliches Ereignis
Risiko Wahrscheinlichkeit und Auswirkung eines Schadens
Schutzmaßnahme reduziert ein Risiko

Merksatz:

Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.

Angriffsfläche

Angriffsfläche bedeutet:

alle Stellen,
an denen ein System angegriffen werden kann.

Beispiele:

offene Ports
Webanwendungen
Benutzerkonten
VPN-Zugänge
E-Mail
APIs
Cloud-Freigaben
veraltete Software
unsichere Dienste

Merksatz:

Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.

Angriffsfläche reduzieren

Maßnahmen:

unnötige Dienste deaktivieren
offene Ports reduzieren
Standardkonten deaktivieren
starke Authentifizierung nutzen
Systeme patchen
Rechte begrenzen
Netzbereiche segmentieren
öffentliche Freigaben prüfen
sichere Konfiguration verwenden

Merksatz:

Nicht benötigte Dienste und Zugänge entfernen.

Malware

Malware ist ein Oberbegriff für Schadsoftware.

Beispiele:

Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer

Merksatz:

Malware ist Software mit schädlicher Funktion.

Virus

Ein Virus hängt sich häufig an Dateien oder Programme an und wird aktiv, wenn diese ausgeführt werden.

Merksatz:

Virus braucht oft eine Wirtsdatei oder Benutzeraktion.

Wurm

Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.

Merksatz:

Wurm verbreitet sich selbstständig.

Trojaner

Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen.

Merksatz:

Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor.

Ransomware

Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld.

Sie betrifft besonders:

Verfügbarkeit

und oft zusätzlich:

Vertraulichkeit

Merksatz:

Ransomware greift Verfügbarkeit
und bei Datenabfluss auch Vertraulichkeit an.

Double Extortion

Double Extortion bedeutet:

Daten werden verschlüsselt

und

zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht.

Merksatz:

Double Extortion = Verschlüsselung plus Datenabfluss.

Schutz vor Ransomware

Wichtige Maßnahmen:

Immutable Backups
Offline-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
keine lokalen Adminrechte
Netzwerksegmentierung
Monitoring
schnelle Isolation betroffener Systeme

Merksatz:

Gegen Ransomware sind Backup,
Rechtebegrenzung
Segmentierung
und schnelle Reaktion besonders wichtig.

Phishing

Phishing ist Täuschung, um Benutzer zur Preisgabe vertraulicher Informationen oder zu gefährlichen Aktionen zu bringen.

Ziele:

Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Cloud-Zugänge
VPN-Zugänge
interne Informationen

Merksatz:

Phishing greift Menschen über Täuschung an.

Social Engineering

Social Engineering manipuliert Menschen, um Sicherheitsmaßnahmen zu umgehen.

Angreifer nutzen:

Zeitdruck
Angst
Autorität
Hilfsbereitschaft
Vertrauen
Neugier
Gewohnheit

Merksatz:

Social Engineering greift Verhalten und Prozesse an.

Spear Phishing und Whaling

Spear Phishing:

gezieltes Phishing gegen bestimmte Personen oder Organisationen

Whaling:

Phishing gegen besonders wichtige Personen

Beispiele für Whaling-Ziele:

Geschäftsführung
Finanzleitung
Administratoren
Personalabteilung

Merksatz:

Spear Phishing ist gezielt.
Whaling trifft besonders wertvolle Ziele.

Smishing, Vishing und Quishing

Begriff Bedeutung
Smishing Phishing per SMS
Vishing Phishing per Telefon
Quishing Phishing über QR-Code

Merksatz:

Phishing ist nicht auf E-Mail beschränkt.

CEO-Fraud und BEC

CEO-Fraud:

Angreifer geben sich als Führungskraft aus
und fordern dringende Aktionen.

BEC:

Business E-Mail Compromise,
Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation.

Merksatz:

CEO-Fraud und BEC nutzen Vertrauen,
Autorität
und Geschäftsprozesse.

Identitätsangriffe

Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen.

Typische Formen:

Brute Force
Credential Stuffing
Password Spraying
Phishing
Session Hijacking
MFA-Missbrauch
Account Takeover

Merksatz:

Wer Identitäten kontrolliert,
kontrolliert oft den Zugriff.

Brute Force

Brute Force bedeutet:

Passwörter werden systematisch ausprobiert.

Schutz:

starke Passwörter
MFA
Rate Limiting
Sperrmechanismen
Monitoring

Merksatz:

Brute Force wird durch Begrenzung und MFA erschwert.

Credential Stuffing

Credential Stuffing bedeutet:

geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert.

Schutz:

eindeutige Passwörter
Passwortmanager
MFA
Leak-Erkennung

Merksatz:

Credential Stuffing nutzt Passwort-Wiederverwendung.

Password Spraying

Password Spraying bedeutet:

wenige häufige Passwörter werden gegen viele Konten getestet.

Merksatz:

Password Spraying verteilt wenige Passwörter auf viele Benutzer.

MFA

MFA steht für:

Multi-Faktor-Authentifizierung

MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.

Merksatz:

MFA reduziert Schaden durch gestohlene Passwörter.

MFA ist nicht unfehlbar

Mögliche Angriffe trotz MFA:

MFA-Push-Fatigue
gestohlene Session-Tokens
Phishing mit Echtzeit-Weiterleitung
kompromittiertes Endgerät
Social Engineering beim Support
SIM-Swapping bei SMS-MFA

Merksatz:

MFA ist sehr wichtig,
aber kein vollständiger Ersatz für Sicherheitskonzept.

DoS und DDoS

DoS:

Denial of Service

DDoS:

Distributed Denial of Service

Unterschied:

Angriff Bedeutung
DoS Dienst wird gestört oder überlastet
DDoS verteilter DoS von vielen Quellen

Merksatz:

DoS und DDoS greifen Verfügbarkeit an.

DDoS-Schutz

Maßnahmen:

DDoS-Schutzdienst
Provider-Unterstützung
CDN
Anycast
Load Balancer
Rate Limiting
Firewall-Regeln
WAF
Monitoring
Notfallplan

Merksatz:

DDoS-Schutz muss vorbereitet sein.

Man-in-the-Middle

Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern.

Ziele:

Daten mitlesen
Daten verändern
Zugangsdaten abgreifen
Sitzungen übernehmen

Merksatz:

MitM sitzt zwischen Sender und Empfänger.

Schutz vor Man-in-the-Middle

Maßnahmen:

TLS korrekt nutzen
Zertifikate prüfen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS
sichere WLAN-Konfiguration
DNS-Schutz
MFA

Merksatz:

TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.

Sniffing

Sniffing bedeutet:

Netzwerkverkehr wird mitgeschnitten oder beobachtet.

Es kann genutzt werden für:

Fehlersuche

oder missbraucht werden für:

Abhören
Passwortdiebstahl
Sitzungsdiebstahl

Merksatz:

Sniffing ist Werkzeug und Risiko zugleich.

Spoofing

Spoofing bedeutet:

Herkunft,
Adresse
oder Identität wird vorgetäuscht.

Beispiele:

IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing

Merksatz:

Spoofing täuscht Identität oder Herkunft vor.

ARP-Spoofing

ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz.

Mögliche Folge:

Man-in-the-Middle

Schutz:

DHCP Snooping
Dynamic ARP Inspection
Segmentierung
TLS

Merksatz:

ARP-Spoofing greift lokale Layer-2-Kommunikation an.

DNS-Spoofing

DNS-Spoofing manipuliert die Namensauflösung.

Folge:

Benutzer wird zu falscher IP-Adresse geleitet.

Schutz:

vertrauenswürdige DNS-Resolver
DNSSEC
TLS-Zertifikatsprüfung
sichere DHCP-Konfiguration

Merksatz:

DNS-Spoofing führt Namen zu falschen Zielen.

Rogue DHCP

Rogue DHCP bedeutet:

ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen.

Mögliche Folgen:

falsches Gateway
falscher DNS-Server
Man-in-the-Middle
Netzwerkstörung

Schutz:

DHCP Snooping
Switchport-Sicherheit
Monitoring
physische Zugangskontrolle

Merksatz:

Rogue DHCP verteilt falsche Netzwerkkonfiguration.

WLAN-Angriffe

Typische WLAN-Angriffe:

Evil Twin
Rogue Access Point
unsichere Verschlüsselung
falsches Captive Portal
Deauthentication
Mitschneiden unverschlüsselter Kommunikation

Schutz:

WPA2-Enterprise oder WPA3
802.1X
starke Passwörter
Zertifikatsprüfung
Gastnetztrennung
Rogue-AP-Erkennung

Merksatz:

WLAN braucht Verschlüsselung,
Authentifizierung
und Segmentierung.

Webangriffe

Typische Webangriffe:

SQL Injection
Cross-Site Scripting
Cross-Site Request Forgery
Directory Traversal
File Upload Attack
Broken Authentication
Broken Access Control
unsichere APIs
unsichere Fehlerausgaben

Merksatz:

Webangriffe nutzen oft Eingaben,
Sitzungen
oder Berechtigungen aus.

SQL Injection

SQL Injection bedeutet:

Angreifer schleust SQL-Code in Eingaben ein.

Folgen:

Daten auslesen
Daten verändern
Login umgehen
Daten löschen

Schutz:

Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Datenbankrechte begrenzen

Merksatz:

SQL Injection macht Eingabe zu Datenbankbefehl.

Cross-Site Scripting

Cross-Site Scripting wird abgekürzt:

XSS

Dabei wird Skriptcode in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird.

Schutz:

Ausgabe escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
sichere Frameworks

Merksatz:

XSS greift Benutzer über den Browser an.

CSRF

CSRF steht für:

Cross-Site Request Forgery

Dabei wird eine bestehende Anmeldung missbraucht, um ungewollte Aktionen auszulösen.

Schutz:

CSRF-Token
SameSite Cookies
Origin-Prüfung
erneute Bestätigung kritischer Aktionen

Merksatz:

CSRF missbraucht eine gültige Sitzung.

SQL Injection, XSS und CSRF unterscheiden

Angriff Ziel Kernproblem
SQL Injection Datenbank Eingabe wird SQL-Befehl
XSS Browser anderer Benutzer Eingabe wird Skript
CSRF bestehende Sitzung fremde Seite löst Aktion aus

Merksatz:

SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.

Broken Authentication

Broken Authentication bedeutet:

Anmeldung oder Sitzungsverwaltung ist unsicher.

Beispiele:

kein MFA
schwache Passwörter
unsichere Passwortzurücksetzung
zu lange Sessions
Tokens unsicher gespeichert

Merksatz:

Broken Authentication gefährdet Konten und Sitzungen.

Broken Access Control

Broken Access Control bedeutet:

Benutzer können auf Daten oder Funktionen zugreifen,
für die sie keine Berechtigung haben.

Beispiele:

fremde Rechnung über geänderte ID anzeigen
Adminfunktion als normaler Benutzer aufrufen
API gibt fremde Daten zurück

Merksatz:

Zugriffskontrolle muss serverseitig geprüft werden.

IDOR

IDOR steht für:

Insecure Direct Object Reference

Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.

Merksatz:

IDOR ist fehlende Objektberechtigung.

Schwachstellenmanagement

Schwachstellenmanagement bedeutet:

Schwachstellen erkennen,
bewerten,
priorisieren,
beheben
und dokumentieren.

Dazu gehören:

Inventarisierung
CVE-Bewertung
CVSS-Einordnung
Patchmanagement
Schwachstellenscans
Penetrationstests
Hardening
Dokumentation

Merksatz:

Schwachstellenmanagement ist ein dauerhafter Prozess.

CVE und CVSS

CVE:

eindeutige Kennung für bekannte Schwachstellen

CVSS:

Bewertung der Kritikalität einer Schwachstelle

Merksatz:

CVE benennt.
CVSS bewertet.

Exploit und Zero-Day

Exploit:

Methode oder Code zur Ausnutzung einer Schwachstelle

Zero-Day:

Schwachstelle,
für die noch kein regulärer Patch verfügbar ist
oder die noch nicht öffentlich bekannt war

Merksatz:

Exploit nutzt eine Lücke.
Zero-Day nutzt eine ungepatchte oder unbekannte Lücke.

Patchmanagement

Patchmanagement bedeutet:

Updates werden geplant,
getestet,
verteilt
geprüft
und dokumentiert.

Betroffen sind:

Betriebssysteme
Anwendungen
Browser
Datenbanken
Firewalls
Router
Switches
Firmware
Container-Images
Bibliotheken
Cloud-Systeme

Merksatz:

Patchmanagement ist organisierte Update-Verwaltung.

Patchmanagement-Ablauf

Typischer Ablauf:

1. Systeme inventarisieren.
2. Schwachstellen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiko bewerten.

Merksatz:

Patchmanagement braucht Inventar,
Priorisierung,
Test,
Rollback
und Dokumentation.

Hardening

Hardening bedeutet:

Systeme werden sicherer konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.

Beispiele:

unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
Adminzugriffe begrenzen

Merksatz:

Hardening reduziert Angriffsfläche.

Baseline

Eine Baseline ist ein definierter sicherer Grundzustand.

Beispiele:

erlaubte Dienste
Passwortregeln
Update-Einstellungen
Logging-Pflicht
Firewall-Grundregeln
TLS-Vorgaben
Rechtevorgaben

Merksatz:

Baseline = festgelegte sichere Standardkonfiguration.

Configuration Drift

Configuration Drift bedeutet:

Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.

Ursachen:

manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen

Merksatz:

Configuration Drift macht Systeme schwerer sicher zu betreiben.

Firewall

Eine Firewall filtert Netzwerkverkehr.

Sie prüft zum Beispiel:

Quelle
Ziel
Port
Protokoll
Richtung
Verbindungszustand
Anwendung je nach Firewalltyp

Merksatz:

Firewall begrenzt Netzwerkzugriffe.

Default Deny

Default Deny bedeutet:

standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.

Merksatz:

Default Deny ist sicherer als pauschales Erlauben.

IDS und IPS

IDS:

Intrusion Detection System

erkennt und meldet Angriffe

IPS:

Intrusion Prevention System

erkennt und blockiert Angriffe zusätzlich

Merksatz:

IDS meldet.
IPS greift ein.

Antivirus, EDR und XDR

Antivirus:

erkennt vor allem bekannte Schadsoftware

EDR:

Endpoint Detection and Response,
erkennt und untersucht Angriffe auf Endgeräten

XDR:

Extended Detection and Response,
verbindet mehrere Sicherheitsbereiche

Merksatz:

EDR ist umfassender als klassischer Antivirus.

SIEM, SOC und SOAR

SIEM:

sammelt und korreliert Sicherheitslogs

SOC:

Security Operations Center,
organisatorische Stelle für Sicherheitsüberwachung

SOAR:

automatisiert Sicherheitsreaktionen

Merksatz:

SIEM sammelt Daten.
SOC bewertet.
SOAR automatisiert Reaktionen.

Backup

Backup ist eine zusätzliche Sicherung zur Wiederherstellung.

Wichtig:

regelmäßig
geschützt
verschlüsselt
getrennt
dokumentiert
getestet

Merksatz:

Backup ohne Restore-Test ist unsicher.

Immutable Backup

Immutable Backup bedeutet:

Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.

Schutz gegen:

Ransomware
versehentliche Löschung
kompromittierte Adminzugänge

Merksatz:

Immutable Backup schützt Wiederherstellungsmöglichkeiten.

Incident Response

Incident Response bedeutet:

strukturierte Reaktion auf Sicherheitsvorfälle.

Typische Schritte:

erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern

Merksatz:

Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.

Containment, Eradication und Recovery

Phase Bedeutung
Containment Vorfall eindämmen
Eradication Ursache beseitigen
Recovery Systeme wiederherstellen

Merksatz:

Erst eindämmen,
dann Ursache beseitigen,
dann sicher wiederherstellen.

Defense in Depth

Defense in Depth bedeutet:

mehrere Schutzschichten werden kombiniert.

Beispiel:

Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung

Merksatz:

Sicherheit darf nicht von einer einzigen Maßnahme abhängen.

Technische, organisatorische, personelle und physische Maßnahmen

Maßnahmenart Beispiele
technisch Firewall, MFA, EDR, Backup, Verschlüsselung
organisatorisch Richtlinien, Prozesse, Verantwortlichkeiten
personell Schulung, Awareness, klare Meldewege
physisch Zutrittskontrolle, Serverraum, Brandschutz

Merksatz:

Sicherheit besteht aus Technik,
Organisation,
Menschen
und physischem Schutz.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was sind die drei Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
  Bedrohung
  und Risiko?
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist CVE?
- Was ist CVSS?
- Was ist Patchmanagement?
- Was ist Hardening?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Warum sind Backups wichtig?
- Was ist Incident Response?
- Was bedeutet Defense in Depth?

Typische Prüfungsfallen

Vertraulichkeit,
Integrität
und Verfügbarkeit nicht verwechseln.

Ransomware betrifft nicht nur Verfügbarkeit,
sondern oft auch Vertraulichkeit.

Malware ist ein Oberbegriff.

Virus und Wurm unterscheiden.

Phishing ist nicht nur E-Mail.

Social Engineering ist nicht rein technisch.

DoS und DDoS unterscheiden.

DDoS ist verteilt.

MitM sitzt zwischen Kommunikationspartnern.

Spoofing täuscht Herkunft oder Identität vor.

DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.

SQL Injection betrifft Datenbanken.

XSS betrifft Browser.

CSRF missbraucht Sitzungen.

Prepared Statements schützen gegen SQL Injection.

Frontend-Validierung ist keine Sicherheitsgrenze.

Zugriffskontrolle muss serverseitig erfolgen.

CVE benennt Schwachstellen.

CVSS bewertet Kritikalität.

Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.

Patchmanagement ist ein Prozess.

Hardening ist sichere Konfiguration.

Firewall ersetzt kein Patchmanagement.

Antivirus ersetzt kein Sicherheitskonzept.

IDS erkennt,
IPS blockiert zusätzlich.

EDR ist mehr als Antivirus.

SIEM sammelt und korreliert Logs.

Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.

Backup ohne Restore-Test ist unsicher.

Security Awareness ist eine Schutzmaßnahme.

Incident Response muss vorbereitet sein.

Sicherheit ist ein Prozess,
kein einmaliger Zustand.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Vertraulichkeit Schutz vor unberechtigtem Lesen
Integrität Schutz vor unbemerkter Veränderung
Verfügbarkeit Nutzbarkeit von Systemen und Daten
Authentizität Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit Nachweisbarkeit einer Handlung
Schwachstelle ausnutzbare Sicherheitslücke
Bedrohung mögliches schädliches Ereignis
Risiko Wahrscheinlichkeit und Auswirkung
Angriffsfläche Summe möglicher Angriffspunkte
Malware Schadsoftware
Virus Schadsoftware mit Wirtsdatei
Wurm selbstverbreitende Schadsoftware
Trojaner getarnte Schadsoftware
Ransomware erpresserische Verschlüsselung oder Sperrung
Phishing Täuschung zur Datenpreisgabe
Social Engineering Manipulation von Menschen
Brute Force systematisches Ausprobieren
Credential Stuffing Nutzung geleakter Zugangsdaten
Password Spraying wenige Passwörter gegen viele Konten
DoS Dienstverweigerung
DDoS verteilte Dienstverweigerung
MitM Man-in-the-Middle
Sniffing Mitschneiden von Verkehr
Spoofing Vortäuschen falscher Identität
ARP-Spoofing Manipulation lokaler IP-MAC-Zuordnung
DNS-Spoofing Manipulation von DNS-Antworten
Rogue DHCP unautorisierter DHCP-Server
Evil Twin gefälschter WLAN-Access-Point
SQL Injection Einschleusen von SQL-Code
XSS Cross-Site Scripting
CSRF Cross-Site Request Forgery
IDOR unsichere direkte Objekt-ID
CVE Kennung bekannter Schwachstellen
CVSS Kritikalitätsbewertung
Exploit Ausnutzung einer Schwachstelle
Zero-Day ungepatchte oder unbekannte Schwachstelle
Patchmanagement organisierte Update-Verwaltung
Hardening sichere Systemhärtung
Baseline sicherer Grundzustand
Configuration Drift Abweichung von Soll-Konfiguration
Firewall Filter für Netzwerkverkehr
IDS Angriffserkennung
IPS Angriffserkennung mit Blockierung
Antivirus Schutz gegen bekannte Schadsoftware
EDR Endpoint Detection and Response
XDR Extended Detection and Response
SIEM Sicherheitslog-Auswertung
SOC Security Operations Center
SOAR automatisierte Sicherheitsreaktion
MFA Multi-Faktor-Authentifizierung
Least Privilege minimale notwendige Rechte
Backup zusätzliche Datensicherung
Immutable Backup unveränderliches Backup
Restore-Test Prüfung der Wiederherstellung
Incident Response Reaktion auf Sicherheitsvorfälle
Defense in Depth mehrschichtige Verteidigung

IHK-sichere Gesamtformulierung

Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth.

Wichtigste Merksätze

IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.

Vertraulichkeit schützt vor Mitlesen.

Integrität schützt vor Manipulation.

Verfügbarkeit schützt Nutzbarkeit.

Schwachstelle ist die Lücke.

Bedrohung ist das mögliche Ereignis.

Risiko ist Wahrscheinlichkeit und Auswirkung.

Angriffsfläche reduzieren.

Malware ist Schadsoftware.

Virus hängt sich an Dateien.

Wurm verbreitet sich selbstständig.

Trojaner tarnt sich.

Ransomware verschlüsselt oder sperrt.

Double Extortion bedeutet Verschlüsselung plus Datenabfluss.

Phishing täuscht Benutzer.

Social Engineering manipuliert Menschen.

Phishing ist nicht nur E-Mail.

MFA schützt stark,
aber nicht gegen alles.

Passwörter nicht wiederverwenden.

DoS und DDoS greifen Verfügbarkeit an.

DDoS ist verteilt.

MitM sitzt zwischen Sender und Empfänger.

Sniffing kann nützlich sein,
aber auch missbraucht werden.

Spoofing täuscht Identität oder Herkunft vor.

ARP-Spoofing betrifft lokale Netze.

DNS-Spoofing führt zu falschen Zielen.

Rogue DHCP verteilt falsche Netzwerkeinstellungen.

WLAN braucht starke Absicherung.

SQL Injection betrifft Datenbanken.

XSS betrifft Browser.

CSRF missbraucht Sitzungen.

Prepared Statements schützen vor SQL Injection.

Escaping schützt vor XSS.

CSRF-Token schützen vor CSRF.

Zugriffskontrolle immer serverseitig prüfen.

CVE benennt Schwachstellen.

CVSS bewertet Kritikalität.

Patchmanagement ist ein Prozess.

Hardening reduziert Angriffsfläche.

Baseline definiert sicheren Grundzustand.

Configuration Drift vermeiden.

Firewall begrenzt Netzwerkzugriffe.

Default Deny ist sicherer.

IDS erkennt.

IPS blockiert zusätzlich.

EDR schützt Endgeräte tiefer als Antivirus.

SIEM korreliert Sicherheitslogs.

Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.

Restore-Test ist Pflicht.

Immutable Backup schützt vor Manipulation.

Incident Response vorbereiten.

Defense in Depth kombiniert Schutzschichten.

Sicherheit ist ein dauerhafter Prozess.

16.7 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen

Diese Seite fasst die wichtigsten Inhalte zu Angriffen, Schwachstellen, Schadsoftware, Phishing, Netzwerkangriffen, Webangriffen und Schutzmaßnahmen zusammen.

Das Thema ist prüfungsrelevant, weil es viele Bereiche verbindet:

- Informationssicherheit
- Netzwerktechnik
- Betriebssysteme
- Anwendungen
- Benutzerkonten
- Cloud
- Backup
- Datenschutz
- Monitoring
- Incident Response

Merksatz:

IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.

Die drei wichtigsten Schutzziele

Die wichtigsten Schutzziele der Informationssicherheit sind:

Vertraulichkeit

Integrität

Verfügbarkeit

Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen.

Merksatz:

Vertraulichkeit,
Integrität
und Verfügbarkeit immer sauber unterscheiden.

Vertraulichkeit

Vertraulichkeit bedeutet:

Informationen dürfen nur von berechtigten Personen gelesen werden.

Beispiele:

Kundendaten
Passwörter
Personalakten
interne Dokumente
Zugangsdaten
Geschäftsgeheimnisse

Angriffe auf Vertraulichkeit:

Phishing
Sniffing
Spyware
Datenabfluss
unberechtigte Freigaben
gestohlene Zugangsdaten

Merksatz:

Vertraulichkeit schützt vor unberechtigtem Lesen.

Integrität

Integrität bedeutet:

Daten dürfen nicht unbemerkt verändert werden.

Beispiele:

Rechnung wird manipuliert.
Datenbankeintrag wird verändert.
Konfigurationsdatei wird heimlich angepasst.
Softwareupdate wird verfälscht.

Angriffe auf Integrität:

Man-in-the-Middle
Malware
SQL Injection
Supply-Chain-Angriff
unberechtigte Änderung

Merksatz:

Integrität schützt vor unbemerkter Manipulation.

Verfügbarkeit

Verfügbarkeit bedeutet:

Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.

Beispiele:

Webseite erreichbar
Datenbank verfügbar
Netzwerk funktioniert
Dateien sind nutzbar
Backup kann wiederhergestellt werden

Angriffe auf Verfügbarkeit:

DoS
DDoS
Ransomware
Sabotage
Überlastung
Systemausfall

Merksatz:

Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen.

CIA-Triade

CIA steht für:

Confidentiality
Integrity
Availability

Deutsch:

Vertraulichkeit
Integrität
Verfügbarkeit

Merksatz:

CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.

Authentizität

Authentizität bedeutet:

Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.

Beispiele:

Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die Nachricht wirklich vom angegebenen Absender?

Merksatz:

Authentizität schützt vor falscher Identität.

Nichtabstreitbarkeit

Nichtabstreitbarkeit bedeutet:

Eine Handlung kann später nachgewiesen werden
und nicht glaubwürdig abgestritten werden.

Beispiele:

digitale Signatur
Zeitstempel
Audit-Log
eindeutiges Benutzerkonto

Merksatz:

Nichtabstreitbarkeit sorgt für Nachweisbarkeit.

Schwachstelle, Bedrohung und Risiko

Begriff Bedeutung
Schwachstelle ausnutzbare Sicherheitslücke
Bedrohung mögliches schädliches Ereignis
Risiko Wahrscheinlichkeit und Auswirkung eines Schadens
Schutzmaßnahme reduziert ein Risiko

Merksatz:

Schwachstelle ist die Lücke.
Bedrohung ist das Ereignis.
Risiko ist die bewertete Gefahr.

Angriffsfläche

Angriffsfläche bedeutet:

alle Stellen,
an denen ein System angegriffen werden kann.

Beispiele:

offene Ports
Webanwendungen
Benutzerkonten
VPN-Zugänge
E-Mail
APIs
Cloud-Freigaben
veraltete Software
unsichere Dienste

Merksatz:

Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.

Angriffsfläche reduzieren

Maßnahmen:

unnötige Dienste deaktivieren
offene Ports reduzieren
Standardkonten deaktivieren
starke Authentifizierung nutzen
Systeme patchen
Rechte begrenzen
Netzbereiche segmentieren
öffentliche Freigaben prüfen
sichere Konfiguration verwenden

Merksatz:

Nicht benötigte Dienste und Zugänge entfernen.

Malware

Malware ist ein Oberbegriff für Schadsoftware.

Beispiele:

Virus
Wurm
Trojaner
Ransomware
Spyware
Keylogger
Rootkit
Botnet-Client
Cryptominer

Merksatz:

Malware ist Software mit schädlicher Funktion.

Virus

Ein Virus hängt sich häufig an Dateien oder Programme an und wird aktiv, wenn diese ausgeführt werden.

Merksatz:

Virus braucht oft eine Wirtsdatei oder Benutzeraktion.

Wurm

Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.

Merksatz:

Wurm verbreitet sich selbstständig.

Trojaner

Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen.

Merksatz:

Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor.

Ransomware

Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld.

Sie betrifft besonders:

Verfügbarkeit

und oft zusätzlich:

Vertraulichkeit

Merksatz:

Ransomware greift Verfügbarkeit
und bei Datenabfluss auch Vertraulichkeit an.

Double Extortion

Double Extortion bedeutet:

Daten werden verschlüsselt

und

zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht.

Merksatz:

Double Extortion = Verschlüsselung plus Datenabfluss.

Schutz vor Ransomware

Wichtige Maßnahmen:

Immutable Backups
Offline-Backups
regelmäßige Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
keine lokalen Adminrechte
Netzwerksegmentierung
Monitoring
schnelle Isolation betroffener Systeme

Merksatz:

Gegen Ransomware sind Backup,
Rechtebegrenzung
Segmentierung
und schnelle Reaktion besonders wichtig.

Phishing

Phishing ist Täuschung, um Benutzer zur Preisgabe vertraulicher Informationen oder zu gefährlichen Aktionen zu bringen.

Ziele:

Passwörter
MFA-Codes
Zugangstokens
Bankdaten
Cloud-Zugänge
VPN-Zugänge
interne Informationen

Merksatz:

Phishing greift Menschen über Täuschung an.

Social Engineering

Social Engineering manipuliert Menschen, um Sicherheitsmaßnahmen zu umgehen.

Angreifer nutzen:

Zeitdruck
Angst
Autorität
Hilfsbereitschaft
Vertrauen
Neugier
Gewohnheit

Merksatz:

Social Engineering greift Verhalten und Prozesse an.

Spear Phishing und Whaling

Spear Phishing:

gezieltes Phishing gegen bestimmte Personen oder Organisationen

Whaling:

Phishing gegen besonders wichtige Personen

Beispiele für Whaling-Ziele:

Geschäftsführung
Finanzleitung
Administratoren
Personalabteilung

Merksatz:

Spear Phishing ist gezielt.
Whaling trifft besonders wertvolle Ziele.

Smishing, Vishing und Quishing

Begriff Bedeutung
Smishing Phishing per SMS
Vishing Phishing per Telefon
Quishing Phishing über QR-Code

Merksatz:

Phishing ist nicht auf E-Mail beschränkt.

CEO-Fraud und BEC

CEO-Fraud:

Angreifer geben sich als Führungskraft aus
und fordern dringende Aktionen.

BEC:

Business E-Mail Compromise,
Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation.

Merksatz:

CEO-Fraud und BEC nutzen Vertrauen,
Autorität
und Geschäftsprozesse.

Identitätsangriffe

Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen.

Typische Formen:

Brute Force
Credential Stuffing
Password Spraying
Phishing
Session Hijacking
MFA-Missbrauch
Account Takeover

Merksatz:

Wer Identitäten kontrolliert,
kontrolliert oft den Zugriff.

Brute Force

Brute Force bedeutet:

Passwörter werden systematisch ausprobiert.

Schutz:

starke Passwörter
MFA
Rate Limiting
Sperrmechanismen
Monitoring

Merksatz:

Brute Force wird durch Begrenzung und MFA erschwert.

Credential Stuffing

Credential Stuffing bedeutet:

geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert.

Schutz:

eindeutige Passwörter
Passwortmanager
MFA
Leak-Erkennung

Merksatz:

Credential Stuffing nutzt Passwort-Wiederverwendung.

Password Spraying

Password Spraying bedeutet:

wenige häufige Passwörter werden gegen viele Konten getestet.

Merksatz:

Password Spraying verteilt wenige Passwörter auf viele Benutzer.

MFA

MFA steht für:

Multi-Faktor-Authentifizierung

MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist.

Merksatz:

MFA reduziert Schaden durch gestohlene Passwörter.

MFA ist nicht unfehlbar

Mögliche Angriffe trotz MFA:

MFA-Push-Fatigue
gestohlene Session-Tokens
Phishing mit Echtzeit-Weiterleitung
kompromittiertes Endgerät
Social Engineering beim Support
SIM-Swapping bei SMS-MFA

Merksatz:

MFA ist sehr wichtig,
aber kein vollständiger Ersatz für Sicherheitskonzept.

DoS und DDoS

DoS:

Denial of Service

DDoS:

Distributed Denial of Service

Unterschied:

Angriff Bedeutung
DoS Dienst wird gestört oder überlastet
DDoS verteilter DoS von vielen Quellen

Merksatz:

DoS und DDoS greifen Verfügbarkeit an.

DDoS-Schutz

Maßnahmen:

DDoS-Schutzdienst
Provider-Unterstützung
CDN
Anycast
Load Balancer
Rate Limiting
Firewall-Regeln
WAF
Monitoring
Notfallplan

Merksatz:

DDoS-Schutz muss vorbereitet sein.

Man-in-the-Middle

Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern.

Ziele:

Daten mitlesen
Daten verändern
Zugangsdaten abgreifen
Sitzungen übernehmen

Merksatz:

MitM sitzt zwischen Sender und Empfänger.

Schutz vor Man-in-the-Middle

Maßnahmen:

TLS korrekt nutzen
Zertifikate prüfen
Zertifikatswarnungen nicht ignorieren
VPN in unsicheren Netzen
HSTS
sichere WLAN-Konfiguration
DNS-Schutz
MFA

Merksatz:

TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.

Sniffing

Sniffing bedeutet:

Netzwerkverkehr wird mitgeschnitten oder beobachtet.

Es kann genutzt werden für:

Fehlersuche

oder missbraucht werden für:

Abhören
Passwortdiebstahl
Sitzungsdiebstahl

Merksatz:

Sniffing ist Werkzeug und Risiko zugleich.

Spoofing

Spoofing bedeutet:

Herkunft,
Adresse
oder Identität wird vorgetäuscht.

Beispiele:

IP-Spoofing
MAC-Spoofing
ARP-Spoofing
DNS-Spoofing
E-Mail-Spoofing

Merksatz:

Spoofing täuscht Identität oder Herkunft vor.

ARP-Spoofing

ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz.

Mögliche Folge:

Man-in-the-Middle

Schutz:

DHCP Snooping
Dynamic ARP Inspection
Segmentierung
TLS

Merksatz:

ARP-Spoofing greift lokale Layer-2-Kommunikation an.

DNS-Spoofing

DNS-Spoofing manipuliert die Namensauflösung.

Folge:

Benutzer wird zu falscher IP-Adresse geleitet.

Schutz:

vertrauenswürdige DNS-Resolver
DNSSEC
TLS-Zertifikatsprüfung
sichere DHCP-Konfiguration

Merksatz:

DNS-Spoofing führt Namen zu falschen Zielen.

Rogue DHCP

Rogue DHCP bedeutet:

ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen.

Mögliche Folgen:

falsches Gateway
falscher DNS-Server
Man-in-the-Middle
Netzwerkstörung

Schutz:

DHCP Snooping
Switchport-Sicherheit
Monitoring
physische Zugangskontrolle

Merksatz:

Rogue DHCP verteilt falsche Netzwerkkonfiguration.

WLAN-Angriffe

Typische WLAN-Angriffe:

Evil Twin
Rogue Access Point
unsichere Verschlüsselung
falsches Captive Portal
Deauthentication
Mitschneiden unverschlüsselter Kommunikation

Schutz:

WPA2-Enterprise oder WPA3
802.1X
starke Passwörter
Zertifikatsprüfung
Gastnetztrennung
Rogue-AP-Erkennung

Merksatz:

WLAN braucht Verschlüsselung,
Authentifizierung
und Segmentierung.

Webangriffe

Typische Webangriffe:

SQL Injection
Cross-Site Scripting
Cross-Site Request Forgery
Directory Traversal
File Upload Attack
Broken Authentication
Broken Access Control
unsichere APIs
unsichere Fehlerausgaben

Merksatz:

Webangriffe nutzen oft Eingaben,
Sitzungen
oder Berechtigungen aus.

SQL Injection

SQL Injection bedeutet:

Angreifer schleust SQL-Code in Eingaben ein.

Folgen:

Daten auslesen
Daten verändern
Login umgehen
Daten löschen

Schutz:

Prepared Statements
parametrisierte Abfragen
Eingabevalidierung
Datenbankrechte begrenzen

Merksatz:

SQL Injection macht Eingabe zu Datenbankbefehl.

Cross-Site Scripting

Cross-Site Scripting wird abgekürzt:

XSS

Dabei wird Skriptcode in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird.

Schutz:

Ausgabe escapen
Eingaben validieren
Content Security Policy
HttpOnly Cookies
sichere Frameworks

Merksatz:

XSS greift Benutzer über den Browser an.

CSRF

CSRF steht für:

Cross-Site Request Forgery

Dabei wird eine bestehende Anmeldung missbraucht, um ungewollte Aktionen auszulösen.

Schutz:

CSRF-Token
SameSite Cookies
Origin-Prüfung
erneute Bestätigung kritischer Aktionen

Merksatz:

CSRF missbraucht eine gültige Sitzung.

SQL Injection, XSS und CSRF unterscheiden

Angriff Ziel Kernproblem
SQL Injection Datenbank Eingabe wird SQL-Befehl
XSS Browser anderer Benutzer Eingabe wird Skript
CSRF bestehende Sitzung fremde Seite löst Aktion aus

Merksatz:

SQL Injection trifft Datenbank.
XSS trifft Browser.
CSRF missbraucht Sitzung.

Broken Authentication

Broken Authentication bedeutet:

Anmeldung oder Sitzungsverwaltung ist unsicher.

Beispiele:

kein MFA
schwache Passwörter
unsichere Passwortzurücksetzung
zu lange Sessions
Tokens unsicher gespeichert

Merksatz:

Broken Authentication gefährdet Konten und Sitzungen.

Broken Access Control

Broken Access Control bedeutet:

Benutzer können auf Daten oder Funktionen zugreifen,
für die sie keine Berechtigung haben.

Beispiele:

fremde Rechnung über geänderte ID anzeigen
Adminfunktion als normaler Benutzer aufrufen
API gibt fremde Daten zurück

Merksatz:

Zugriffskontrolle muss serverseitig geprüft werden.

IDOR

IDOR steht für:

Insecure Direct Object Reference

Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen.

Merksatz:

IDOR ist fehlende Objektberechtigung.

Schwachstellenmanagement

Schwachstellenmanagement bedeutet:

Schwachstellen erkennen,
bewerten,
priorisieren,
beheben
und dokumentieren.

Dazu gehören:

Inventarisierung
CVE-Bewertung
CVSS-Einordnung
Patchmanagement
Schwachstellenscans
Penetrationstests
Hardening
Dokumentation

Merksatz:

Schwachstellenmanagement ist ein dauerhafter Prozess.

CVE und CVSS

CVE:

eindeutige Kennung für bekannte Schwachstellen

CVSS:

Bewertung der Kritikalität einer Schwachstelle

Merksatz:

CVE benennt.
CVSS bewertet.

Exploit und Zero-Day

Exploit:

Methode oder Code zur Ausnutzung einer Schwachstelle

Zero-Day:

Schwachstelle,
für die noch kein regulärer Patch verfügbar ist
oder die noch nicht öffentlich bekannt war

Merksatz:

Exploit nutzt eine Lücke.
Zero-Day nutzt eine ungepatchte oder unbekannte Lücke.

Patchmanagement

Patchmanagement bedeutet:

Updates werden geplant,
getestet,
verteilt
geprüft
und dokumentiert.

Betroffen sind:

Betriebssysteme
Anwendungen
Browser
Datenbanken
Firewalls
Router
Switches
Firmware
Container-Images
Bibliotheken
Cloud-Systeme

Merksatz:

Patchmanagement ist organisierte Update-Verwaltung.

Patchmanagement-Ablauf

Typischer Ablauf:

1. Systeme inventarisieren.
2. Schwachstellen prüfen.
3. Betroffenheit bewerten.
4. Kritikalität priorisieren.
5. Patch testen.
6. Wartungsfenster planen.
7. Patch ausrollen.
8. Funktion prüfen.
9. Erfolg dokumentieren.
10. Rest-Risiko bewerten.

Merksatz:

Patchmanagement braucht Inventar,
Priorisierung,
Test,
Rollback
und Dokumentation.

Hardening

Hardening bedeutet:

Systeme werden sicherer konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.

Beispiele:

unnötige Dienste deaktivieren
offene Ports reduzieren
Standardpasswörter ändern
alte Protokolle abschalten
Rechte minimieren
Logging aktivieren
Adminzugriffe begrenzen

Merksatz:

Hardening reduziert Angriffsfläche.

Baseline

Eine Baseline ist ein definierter sicherer Grundzustand.

Beispiele:

erlaubte Dienste
Passwortregeln
Update-Einstellungen
Logging-Pflicht
Firewall-Grundregeln
TLS-Vorgaben
Rechtevorgaben

Merksatz:

Baseline = festgelegte sichere Standardkonfiguration.

Configuration Drift

Configuration Drift bedeutet:

Die tatsächliche Konfiguration weicht von der geplanten Baseline ab.

Ursachen:

manuelle Änderungen
Notfalländerungen
fehlende Dokumentation
unterschiedliche Installationen

Merksatz:

Configuration Drift macht Systeme schwerer sicher zu betreiben.

Firewall

Eine Firewall filtert Netzwerkverkehr.

Sie prüft zum Beispiel:

Quelle
Ziel
Port
Protokoll
Richtung
Verbindungszustand
Anwendung je nach Firewalltyp

Merksatz:

Firewall begrenzt Netzwerkzugriffe.

Default Deny

Default Deny bedeutet:

standardmäßig ist alles verboten,
nur ausdrücklich erlaubter Verkehr ist erlaubt.

Merksatz:

Default Deny ist sicherer als pauschales Erlauben.

IDS und IPS

IDS:

Intrusion Detection System

erkennt und meldet Angriffe

IPS:

Intrusion Prevention System

erkennt und blockiert Angriffe zusätzlich

Merksatz:

IDS meldet.
IPS greift ein.

Antivirus, EDR und XDR

Antivirus:

erkennt vor allem bekannte Schadsoftware

EDR:

Endpoint Detection and Response,
erkennt und untersucht Angriffe auf Endgeräten

XDR:

Extended Detection and Response,
verbindet mehrere Sicherheitsbereiche

Merksatz:

EDR ist umfassender als klassischer Antivirus.

SIEM, SOC und SOAR

SIEM:

sammelt und korreliert Sicherheitslogs

SOC:

Security Operations Center,
organisatorische Stelle für Sicherheitsüberwachung

SOAR:

automatisiert Sicherheitsreaktionen

Merksatz:

SIEM sammelt Daten.
SOC bewertet.
SOAR automatisiert Reaktionen.

Backup

Backup ist eine zusätzliche Sicherung zur Wiederherstellung.

Wichtig:

regelmäßig
geschützt
verschlüsselt
getrennt
dokumentiert
getestet

Merksatz:

Backup ohne Restore-Test ist unsicher.

Immutable Backup

Immutable Backup bedeutet:

Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.

Schutz gegen:

Ransomware
versehentliche Löschung
kompromittierte Adminzugänge

Merksatz:

Immutable Backup schützt Wiederherstellungsmöglichkeiten.

Incident Response

Incident Response bedeutet:

strukturierte Reaktion auf Sicherheitsvorfälle.

Typische Schritte:

erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern

Merksatz:

Incident Response muss vorbereitet sein,
bevor ein Vorfall passiert.

Containment, Eradication und Recovery

Phase Bedeutung
Containment Vorfall eindämmen
Eradication Ursache beseitigen
Recovery Systeme wiederherstellen

Merksatz:

Erst eindämmen,
dann Ursache beseitigen,
dann sicher wiederherstellen.

Defense in Depth

Defense in Depth bedeutet:

mehrere Schutzschichten werden kombiniert.

Beispiel:

Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
plus
Schulung

Merksatz:

Sicherheit darf nicht von einer einzigen Maßnahme abhängen.

Technische, organisatorische, personelle und physische Maßnahmen

Maßnahmenart Beispiele
technisch Firewall, MFA, EDR, Backup, Verschlüsselung
organisatorisch Richtlinien, Prozesse, Verantwortlichkeiten
personell Schulung, Awareness, klare Meldewege
physisch Zutrittskontrolle, Serverraum, Brandschutz

Merksatz:

Sicherheit besteht aus Technik,
Organisation,
Menschen
und physischem Schutz.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was sind die drei Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?
- Was ist der Unterschied zwischen Schwachstelle,
  Bedrohung
  und Risiko?
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist Ransomware?
- Was ist Phishing?
- Was ist Social Engineering?
- Was ist der Unterschied zwischen DoS und DDoS?
- Was ist Man-in-the-Middle?
- Was ist Spoofing?
- Was ist SQL Injection?
- Was ist XSS?
- Was ist CSRF?
- Was ist CVE?
- Was ist CVSS?
- Was ist Patchmanagement?
- Was ist Hardening?
- Was ist eine Firewall?
- Was ist der Unterschied zwischen IDS und IPS?
- Was ist EDR?
- Was ist SIEM?
- Warum sind Backups wichtig?
- Was ist Incident Response?
- Was bedeutet Defense in Depth?

Typische Prüfungsfallen

Vertraulichkeit,
Integrität
und Verfügbarkeit nicht verwechseln.

Ransomware betrifft nicht nur Verfügbarkeit,
sondern oft auch Vertraulichkeit.

Malware ist ein Oberbegriff.

Virus und Wurm unterscheiden.

Phishing ist nicht nur E-Mail.

Social Engineering ist nicht rein technisch.

DoS und DDoS unterscheiden.

DDoS ist verteilt.

MitM sitzt zwischen Kommunikationspartnern.

Spoofing täuscht Herkunft oder Identität vor.

DNSSEC schützt Integrität,
nicht automatisch Vertraulichkeit.

SQL Injection betrifft Datenbanken.

XSS betrifft Browser.

CSRF missbraucht Sitzungen.

Prepared Statements schützen gegen SQL Injection.

Frontend-Validierung ist keine Sicherheitsgrenze.

Zugriffskontrolle muss serverseitig erfolgen.

CVE benennt Schwachstellen.

CVSS bewertet Kritikalität.

Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse.

Patchmanagement ist ein Prozess.

Hardening ist sichere Konfiguration.

Firewall ersetzt kein Patchmanagement.

Antivirus ersetzt kein Sicherheitskonzept.

IDS erkennt,
IPS blockiert zusätzlich.

EDR ist mehr als Antivirus.

SIEM sammelt und korreliert Logs.

Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.

Backup ohne Restore-Test ist unsicher.

Security Awareness ist eine Schutzmaßnahme.

Incident Response muss vorbereitet sein.

Sicherheit ist ein Prozess,
kein einmaliger Zustand.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Vertraulichkeit Schutz vor unberechtigtem Lesen
Integrität Schutz vor unbemerkter Veränderung
Verfügbarkeit Nutzbarkeit von Systemen und Daten
Authentizität Echtheit einer Identität oder Nachricht
Nichtabstreitbarkeit Nachweisbarkeit einer Handlung
Schwachstelle ausnutzbare Sicherheitslücke
Bedrohung mögliches schädliches Ereignis
Risiko Wahrscheinlichkeit und Auswirkung
Angriffsfläche Summe möglicher Angriffspunkte
Malware Schadsoftware
Virus Schadsoftware mit Wirtsdatei
Wurm selbstverbreitende Schadsoftware
Trojaner getarnte Schadsoftware
Ransomware erpresserische Verschlüsselung oder Sperrung
Phishing Täuschung zur Datenpreisgabe
Social Engineering Manipulation von Menschen
Brute Force systematisches Ausprobieren
Credential Stuffing Nutzung geleakter Zugangsdaten
Password Spraying wenige Passwörter gegen viele Konten
DoS Dienstverweigerung
DDoS verteilte Dienstverweigerung
MitM Man-in-the-Middle
Sniffing Mitschneiden von Verkehr
Spoofing Vortäuschen falscher Identität
ARP-Spoofing Manipulation lokaler IP-MAC-Zuordnung
DNS-Spoofing Manipulation von DNS-Antworten
Rogue DHCP unautorisierter DHCP-Server
Evil Twin gefälschter WLAN-Access-Point
SQL Injection Einschleusen von SQL-Code
XSS Cross-Site Scripting
CSRF Cross-Site Request Forgery
IDOR unsichere direkte Objekt-ID
CVE Kennung bekannter Schwachstellen
CVSS Kritikalitätsbewertung
Exploit Ausnutzung einer Schwachstelle
Zero-Day ungepatchte oder unbekannte Schwachstelle
Patchmanagement organisierte Update-Verwaltung
Hardening sichere Systemhärtung
Baseline sicherer Grundzustand
Configuration Drift Abweichung von Soll-Konfiguration
Firewall Filter für Netzwerkverkehr
IDS Angriffserkennung
IPS Angriffserkennung mit Blockierung
Antivirus Schutz gegen bekannte Schadsoftware
EDR Endpoint Detection and Response
XDR Extended Detection and Response
SIEM Sicherheitslog-Auswertung
SOC Security Operations Center
SOAR automatisierte Sicherheitsreaktion
MFA Multi-Faktor-Authentifizierung
Least Privilege minimale notwendige Rechte
Backup zusätzliche Datensicherung
Immutable Backup unveränderliches Backup
Restore-Test Prüfung der Wiederherstellung
Incident Response Reaktion auf Sicherheitsvorfälle
Defense in Depth mehrschichtige Verteidigung

IHK-sichere Gesamtformulierung

Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth.

Wichtigste Merksätze

IT-Sicherheit schützt Vertraulichkeit,
Integrität
und Verfügbarkeit.

Vertraulichkeit schützt vor Mitlesen.

Integrität schützt vor Manipulation.

Verfügbarkeit schützt Nutzbarkeit.

Schwachstelle ist die Lücke.

Bedrohung ist das mögliche Ereignis.

Risiko ist Wahrscheinlichkeit und Auswirkung.

Angriffsfläche reduzieren.

Malware ist Schadsoftware.

Virus hängt sich an Dateien.

Wurm verbreitet sich selbstständig.

Trojaner tarnt sich.

Ransomware verschlüsselt oder sperrt.

Double Extortion bedeutet Verschlüsselung plus Datenabfluss.

Phishing täuscht Benutzer.

Social Engineering manipuliert Menschen.

Phishing ist nicht nur E-Mail.

MFA schützt stark,
aber nicht gegen alles.

Passwörter nicht wiederverwenden.

DoS und DDoS greifen Verfügbarkeit an.

DDoS ist verteilt.

MitM sitzt zwischen Sender und Empfänger.

Sniffing kann nützlich sein,
aber auch missbraucht werden.

Spoofing täuscht Identität oder Herkunft vor.

ARP-Spoofing betrifft lokale Netze.

DNS-Spoofing führt zu falschen Zielen.

Rogue DHCP verteilt falsche Netzwerkeinstellungen.

WLAN braucht starke Absicherung.

SQL Injection betrifft Datenbanken.

XSS betrifft Browser.

CSRF missbraucht Sitzungen.

Prepared Statements schützen vor SQL Injection.

Escaping schützt vor XSS.

CSRF-Token schützen vor CSRF.

Zugriffskontrolle immer serverseitig prüfen.

CVE benennt Schwachstellen.

CVSS bewertet Kritikalität.

Patchmanagement ist ein Prozess.

Hardening reduziert Angriffsfläche.

Baseline definiert sicheren Grundzustand.

Configuration Drift vermeiden.

Firewall begrenzt Netzwerkzugriffe.

Default Deny ist sicherer.

IDS erkennt.

IPS blockiert zusätzlich.

EDR schützt Endgeräte tiefer als Antivirus.

SIEM korreliert Sicherheitslogs.

Backup verhindert keinen Angriff,
hilft aber bei Wiederherstellung.

Restore-Test ist Pflicht.

Immutable Backup schützt vor Manipulation.

Incident Response vorbereiten.

Defense in Depth kombiniert Schutzschichten.

Sicherheit ist ein dauerhafter Prozess.