# 16. Angriffe und Schutzmaßnahmen # 16.1 Angriffe und Schutzmaßnahmen IT-Systeme und Netzwerke sind vielen möglichen Angriffen ausgesetzt. Ein Angriff kann sich richten gegen: - Vertraulichkeit - Integrität - Verfügbarkeit - Identitäten - Daten - Anwendungen - Netzwerke - Endgeräte - Server - Cloud-Dienste Merksatz: IT-Sicherheit schützt nicht nur Technik, sondern auch Daten, Prozesse und Verfügbarkeit. --- **Grundziele der Informationssicherheit** Die drei wichtigsten Grundziele sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe werden oft als Schutzziele bezeichnet. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit. --- **Vertraulichkeit** Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten Geschäftsgeheimnisse medizinische Daten interne Dokumente Zugangsdaten Angriffe auf Vertraulichkeit: Datenabfluss unberechtigter Zugriff Abhören Phishing gestohlene Zugangsdaten öffentlich freigegebene Cloud-Speicher Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. --- **Integrität** Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung darf nicht manipuliert werden. Konfigurationsdatei darf nicht heimlich geändert werden. Softwarepaket darf nicht verfälscht werden. Logdatei darf nicht manipuliert werden. Angriffe auf Integrität: Manipulation Schadsoftware unberechtigte Änderungen Datenbankänderungen Man-in-the-Middle Supply-Chain-Angriffe Merksatz: Integrität schützt vor unbemerkter Veränderung. --- **Verfügbarkeit** Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webserver erreichbar E-Mail funktioniert Datenbank antwortet Backup kann wiederhergestellt werden Netzwerk ist verfügbar Cloud-Dienst läuft Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Ausfall kritischer Komponenten Merksatz: Verfügbarkeit schützt die Nutzbarkeit von Systemen. --- **CIA-Triade** Die drei Schutzziele werden oft zusammengefasst als: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. --- **Authentizität** Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die E-Mail wirklich vom angegebenen Absender? Ist das Zertifikat gültig? Merksatz: Authentizität schützt vor falscher Identität. --- **Nichtabstreitbarkeit** Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nicht glaubwürdig abgestritten werden. Beispiel: Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden. Mittel: digitale Signatur Protokollierung Zeitstempel eindeutige Benutzerkonten Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. --- **Angriffsarten im Überblick** Typische Angriffsarten: - Phishing - Social Engineering - Malware - Ransomware - DoS und DDoS - Man-in-the-Middle - Passwortangriffe - Brute Force - Credential Stuffing - Spoofing - Sniffing - SQL Injection - Cross-Site Scripting - Zero-Day-Angriff - Supply-Chain-Angriff - Insider-Bedrohung Merksatz: Angriffe können technisch, organisatorisch oder menschlich ansetzen. --- **Angreiferziele** Angreifer verfolgen unterschiedliche Ziele. Beispiele: Daten stehlen Geld erpressen Systeme verschlüsseln Zugangsdaten sammeln Dienste lahmlegen Systeme übernehmen Spionage betreiben Sabotage durchführen Rechenleistung missbrauchen interne Bewegung im Netz erreichen Merksatz: Angriffe haben ein Ziel, auch wenn sie zunächst zufällig wirken. --- **Angriffsfläche** Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen VPN-Zugänge Benutzerkonten E-Mail Cloud-Portale APIs veraltete Software unsichere Freigaben mobile Geräte externe Dienstleister Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. --- **Angriffsfläche reduzieren** Maßnahmen: unnötige Dienste deaktivieren offene Ports schließen alte Software entfernen Standardkonten deaktivieren Rechte begrenzen MFA aktivieren Netzsegmentierung nutzen Systeme patchen öffentliche Zugriffe prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Angriffsfläche entfernen. --- **Schwachstelle** Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler, der ausgenutzt werden kann. Beispiele: veraltete Software unsichere Konfiguration schwaches Passwort fehlende Zugriffskontrolle Programmierfehler offener Adminport öffentlich freigegebener Speicher Merksatz: Schwachstelle = ausnutzbare Sicherheitslücke. --- **Bedrohung** Eine Bedrohung ist ein mögliches Ereignis, das Schaden verursachen kann. Beispiele: Angreifer Malware Feuer Diebstahl Stromausfall Fehlbedienung Datenverlust Insider Merksatz: Bedrohung = mögliches schädliches Ereignis. --- **Risiko** Risiko beschreibt, wie wahrscheinlich ein Schaden ist und wie groß die Auswirkung wäre. Vereinfacht: Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe Beispiel: Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko. Merksatz: Risiko verbindet Wahrscheinlichkeit und Auswirkung. --- **Schutzmaßnahme** Eine Schutzmaßnahme reduziert ein Risiko. Beispiele: Patch einspielen MFA aktivieren Firewall-Regel setzen Backup erstellen Benutzer schulen Rechte begrenzen Verschlüsselung nutzen Monitoring aktivieren Merksatz: Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung. --- **Technische Schutzmaßnahmen** Technische Schutzmaßnahmen sind zum Beispiel: Firewall Antivirus EDR IDS IPS Verschlüsselung MFA Patchmanagement Backup Netzwerksegmentierung Logging Monitoring Zugriffskontrolle sichere Konfiguration Merksatz: Technische Maßnahmen schützen Systeme direkt. --- **Organisatorische Schutzmaßnahmen** Organisatorische Schutzmaßnahmen sind zum Beispiel: Sicherheitsrichtlinien Schulungen Berechtigungskonzepte Notfallpläne Change Management Rollenverteilung Freigabeprozesse Offboarding Dokumentation Verantwortlichkeiten Merksatz: Organisation entscheidet, wie Sicherheit dauerhaft umgesetzt wird. --- **Personelle Schutzmaßnahmen** Personelle Schutzmaßnahmen betreffen Menschen. Beispiele: Schulung gegen Phishing klare Meldewege Sensibilisierung Vier-Augen-Prinzip sichere Passwortnutzung Umgang mit vertraulichen Daten Verhalten bei Sicherheitsvorfällen Merksatz: Menschen sind Teil der Sicherheit, nicht nur Risiko. --- **Physische Schutzmaßnahmen** Physische Schutzmaßnahmen schützen Räume, Geräte und Infrastruktur. Beispiele: Zutrittskontrolle abschließbare Serverräume Videoüberwachung Brandschutz USV Klimatisierung Schutz vor Diebstahl gesicherte Netzwerkschränke Merksatz: IT-Sicherheit beginnt auch bei physischem Schutz. --- **Defense in Depth** Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring Wenn eine Schutzschicht versagt, sollen andere Schichten weiter schützen. Merksatz: Defense in Depth = Sicherheit durch mehrere Schichten. --- **Least Privilege** Least Privilege bedeutet: Benutzer, Dienste und Systeme bekommen nur die Rechte, die sie wirklich benötigen. Beispiele: normaler Benutzer kein lokaler Administrator Dienstkonto nur Zugriff auf benötigte Datenbank VPN-Benutzer nur auf notwendige Systeme Cloud-Rolle nur mit benötigten Aktionen Merksatz: Weniger Rechte bedeuten weniger Schaden bei Missbrauch. --- **Need to Know** Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe erforderlich sind. Beispiel: Personalabteilung sieht Personalakten. Support sieht technische Tickets. Praktikant sieht keine vertraulichen Finanzdaten. Merksatz: Nicht jeder muss alles wissen. --- **Zero Trust** Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Es wird geprüft: Benutzer Gerät Standort Risiko Anwendung Berechtigung MFA Gerätezustand Merksatz: Zero Trust heißt: immer prüfen, nie pauschal vertrauen. --- **Phishing** Phishing ist der Versuch, Benutzer zur Preisgabe vertraulicher Informationen zu verleiten. Ziele: Passwörter MFA-Codes Kreditkartendaten Zugangsdaten interne Informationen Typische Mittel: gefälschte E-Mails gefälschte Webseiten gefälschte Loginseiten angebliche Rechnungen angebliche Paketmeldungen angebliche Sicherheitswarnungen Merksatz: Phishing greift den Menschen über Täuschung an. --- **Spear Phishing** Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen. Beispiel: Angreifer schreibt eine E-Mail, die genau zu einer Firma, einem Projekt oder einer Rolle passt. Spear Phishing wirkt oft glaubwürdiger als Massenphishing. Merksatz: Spear Phishing ist gezieltes Phishing. --- **Whaling** Whaling ist Phishing gegen besonders wichtige Personen. Beispiele: Geschäftsführung Administratoren Finanzleitung Personalabteilung Projektleitung Merksatz: Whaling richtet sich gegen besonders wertvolle Ziele. --- **Social Engineering** Social Engineering nutzt menschliches Verhalten aus. Beispiele: Vertrauen erschleichen Zeitdruck erzeugen Hilfsbereitschaft ausnutzen Autorität vortäuschen Angst erzeugen Neugier ausnutzen Merksatz: Social Engineering manipuliert Menschen statt Technik. --- **Schutz vor Phishing und Social Engineering** Maßnahmen: Schulungen klare Meldewege MFA E-Mail-Filter sichere Passwortmanager keine Links blind anklicken Absender prüfen ungewöhnliche Anfragen hinterfragen Vier-Augen-Prinzip bei Zahlungen Sensibilisierung für Druck und Täuschung Merksatz: Technik und Schulung gemeinsam schützen besser. --- **Malware** Malware ist Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. --- **Virus** Ein Virus hängt sich an Dateien oder Programme und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden. Merksatz: Virus braucht meist eine Wirtsdatei oder Benutzeraktion. --- **Wurm** Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Gefahr: schnelle Ausbreitung hohe Netzlast Infektion vieler Systeme Ausnutzung ungepatchter Systeme Merksatz: Wurm verbreitet sich selbstständig. --- **Trojaner** Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber Schadfunktionen. Beispiele: angebliches Tool manipulierte Installationsdatei Fake-Update gecrackte Software Merksatz: Trojaner täuscht Nützlichkeit vor. --- **Ransomware** Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Folgen: Daten nicht verfügbar Betriebsunterbrechung Erpressung Datenabfluss möglich hohe Wiederherstellungskosten Merksatz: Ransomware greift vor allem Verfügbarkeit und oft auch Vertraulichkeit an. --- **Schutz vor Ransomware** Maßnahmen: Offline- oder Immutable-Backups regelmäßige Restore-Tests Patchmanagement EDR Makros einschränken Least Privilege Netzwerksegmentierung MFA E-Mail-Schutz keine lokalen Adminrechte Monitoring schnelle Isolation infizierter Systeme Merksatz: Gegen Ransomware sind Backups, Rechtebegrenzung und Segmentierung besonders wichtig. --- **Spyware** Spyware spioniert Benutzer oder Systeme aus. Beispiele: Tastatureingaben aufzeichnen Bildschirm erfassen Browserdaten auslesen Zugangsdaten stehlen Benutzerverhalten beobachten Merksatz: Spyware sammelt heimlich Informationen. --- **Keylogger** Ein Keylogger zeichnet Tastatureingaben auf. Ziel: Passwörter Zugangsdaten Nachrichten vertrauliche Eingaben Merksatz: Keylogger stehlen Eingaben. --- **Rootkit** Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System. Ziel: Erkennung verhindern Kontrolle behalten Sicherheitssoftware umgehen System manipulieren Merksatz: Rootkits verstecken und verankern Angriffe tief im System. --- **Botnet** Ein Botnet ist ein Netzwerk kompromittierter Systeme, die von Angreifern gesteuert werden. Nutzung: DDoS Spam Credential Stuffing Malware-Verteilung Cryptomining Proxy-Missbrauch Merksatz: Botnet = viele fremdgesteuerte infizierte Systeme. --- **DoS** DoS steht für: Denial of Service Ziel: Ein Dienst wird durch Überlastung oder Störung unbenutzbar. Beispiel: Ein Server erhält so viele Anfragen, dass er nicht mehr antwortet. Merksatz: DoS greift die Verfügbarkeit an. --- **DDoS** DDoS steht für: Distributed Denial of Service Dabei kommt der Angriff von vielen Systemen gleichzeitig. Oft werden Botnetze genutzt. Merksatz: DDoS ist verteilter DoS-Angriff. --- **Schutz vor DoS und DDoS** Maßnahmen: DDoS-Schutzdienst Rate Limiting Load Balancer Content Delivery Network Firewall-Regeln Anycast Skalierung Monitoring Notfallplan Provider-Unterstützung Merksatz: DDoS-Schutz braucht Technik, Skalierung und Vorbereitung. --- **Man-in-the-Middle** Man-in-the-Middle wird oft abgekürzt: MitM Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Sitzung übernehmen Zertifikatswarnungen ausnutzen Zugangsdaten abfangen Merksatz: MitM greift Kommunikation zwischen zwei Parteien an. --- **Schutz vor Man-in-the-Middle** Maßnahmen: TLS korrekt nutzen Zertifikate prüfen keine Zertifikatswarnungen ignorieren VPN in unsicheren Netzen HSTS bei Webdiensten sichere WLANs Zertifikat-Pinning je nach Anwendung starke Authentifizierung Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Nützlich für Administratoren: Fehlersuche Analyse Protokollprüfung Gefährlich durch Angreifer: Zugangsdaten abfangen unverschlüsselte Daten lesen interne Kommunikation beobachten Merksatz: Sniffing ist Analysewerkzeug, kann aber missbraucht werden. --- **Spoofing** Spoofing bedeutet: eine falsche Identität oder Adresse wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. --- **ARP-Spoofing** ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz. Ziel: Verkehr über Angreifer leiten Man-in-the-Middle ermöglichen Kommunikation stören Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. --- **DNS-Spoofing** DNS-Spoofing manipuliert Namensauflösung. Beispiel: Benutzer ruft bank.example auf, wird aber auf falsche IP geleitet. Schutz: DNSSEC sichere DNS-Server TLS-Zertifikatsprüfung Monitoring keine unsicheren DNS-Quellen Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. --- **Passwortangriffe** Passwortangriffe versuchen, Zugangsdaten zu erraten, zu stehlen oder wiederzuverwenden. Typen: Brute Force Wörterbuchangriff Credential Stuffing Password Spraying Phishing Keylogger Merksatz: Passwortangriffe richten sich gegen Identitäten. --- **Brute Force** Brute Force bedeutet: viele mögliche Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Sperrmechanismen Rate Limiting Monitoring keine Standardkonten Passwortmanager Merksatz: Brute Force wird durch Begrenzung und starke Authentifizierung erschwert. --- **Credential Stuffing** Credential Stuffing bedeutet: Angreifer nutzen bekannte Zugangsdaten aus früheren Datenlecks und probieren sie bei anderen Diensten aus. Schutz: keine Passwortwiederverwendung MFA Passwortmanager Leak-Prüfung ungewöhnliche Loginversuche erkennen Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. --- **Password Spraying** Password Spraying bedeutet: Ein Angreifer probiert wenige häufige Passwörter bei vielen Konten aus. Beispiel: Sommer2026! bei vielen Benutzern Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche auftreten. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Konten. --- **Schutz vor Passwortangriffen** Maßnahmen: MFA starke Passwortrichtlinien Passwortmanager keine Wiederverwendung Rate Limiting Account Lockout mit Bedacht Monitoring Risikoanalyse bei Logins Schulung Standardkonten deaktivieren Merksatz: MFA ist eine der wichtigsten Maßnahmen gegen Passwortmissbrauch. --- **SQL Injection** SQL Injection ist ein Angriff auf Datenbankabfragen. Dabei schleust ein Angreifer SQL-Code in Eingaben ein. Mögliche Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Anwendung manipulieren Merksatz: SQL Injection nutzt unsichere Eingaben in Datenbankabfragen aus. --- **Schutz vor SQL Injection** Maßnahmen: Prepared Statements parametrisierte Abfragen Eingabevalidierung Rechte der Datenbankbenutzer begrenzen Fehlerausgaben vermeiden Web Application Firewall sichere Programmierung Code Reviews Merksatz: Parametrisierte Abfragen sind zentral gegen SQL Injection. --- **Cross-Site Scripting** Cross-Site Scripting wird abgekürzt: XSS Dabei wird schädlicher Code in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Mögliche Folgen: Sessiondiebstahl Manipulation von Webseiten Phishing im Browser Aktionen im Namen des Benutzers Merksatz: XSS greift Benutzer über den Browser an. --- **Schutz vor XSS** Maßnahmen: Eingaben validieren Ausgaben korrekt escapen Content Security Policy HttpOnly Cookies sichere Frameworks nutzen keine ungeprüften HTML-Ausgaben Code Reviews Merksatz: Gegen XSS müssen Ausgaben korrekt behandelt werden. --- **Zero-Day-Angriff** Ein Zero-Day-Angriff nutzt eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist. Schutz ist schwierig, aber möglich durch: Defense in Depth EDR Segmentierung Least Privilege Monitoring WAF Härtung schnelle Reaktion Merksatz: Zero-Day bedeutet: Schwachstelle wird ausgenutzt, bevor ein regulärer Patch verfügbar ist. --- **Supply-Chain-Angriff** Ein Supply-Chain-Angriff richtet sich gegen Lieferkette oder Abhängigkeiten. Beispiele: manipuliertes Softwareupdate kompromittierte Bibliothek infizierter Installer unsicherer Dienstleisterzugang kompromittiertes Repository Merksatz: Supply-Chain-Angriff trifft Systeme über vertrauenswürdige Lieferwege. --- **Schutz vor Supply-Chain-Angriffen** Maßnahmen: Softwarequellen prüfen Signaturen prüfen Abhängigkeiten überwachen Updates aus vertrauenswürdigen Quellen Dienstleisterzugriffe begrenzen Code Reviews SBOM Paketquellen absichern CI/CD schützen Merksatz: Lieferkette ist Teil der IT-Sicherheit. --- **Insider-Bedrohung** Insider sind Personen mit internem Zugriff, die absichtlich oder unabsichtlich Schaden verursachen. Beispiele: unzufriedener Mitarbeiter Fehler durch Administrator fahrlässiger Umgang mit Daten kompromittiertes internes Konto externer Dienstleister mit zu vielen Rechten Merksatz: Nicht jede Bedrohung kommt von außen. --- **Schutz vor Insider-Risiken** Maßnahmen: Least Privilege Vier-Augen-Prinzip Logging Rechteprüfung Offboarding Aufgabentrennung Sensibilisierung klare Prozesse Monitoring keine Sammelkonten Merksatz: Nachvollziehbarkeit und Rechtebegrenzung senken Insider-Risiken. --- **Patchmanagement** Patchmanagement bedeutet: Sicherheitsupdates werden geplant, getestet, verteilt und kontrolliert. Wichtig für: Betriebssysteme Anwendungen Firmware Netzwerkgeräte Firewalls Cloud-Systeme Container-Images Abhängigkeiten Merksatz: Ungepatchte Systeme sind häufige Angriffsziele. --- **Hardening** Hardening bedeutet: Systeme werden sicher konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern alte Protokolle abschalten sichere TLS-Versionen nutzen Adminzugriffe begrenzen Logging aktivieren Rechte minimieren Merksatz: Hardening reduziert Angriffsfläche. --- **Firewall** Eine Firewall filtert Netzwerkverkehr nach Regeln. Sie kann prüfen: Quelle Ziel Port Protokoll Richtung Zustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. --- **IDS und IPS** IDS steht für: Intrusion Detection System Ein IDS erkennt verdächtige Aktivitäten und meldet sie. IPS steht für: Intrusion Prevention System Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren. Merksatz: IDS erkennt. IPS blockiert zusätzlich. --- **Antivirus und EDR** Antivirus erkennt bekannte Schadsoftware. EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte tiefer und hilft bei Erkennung, Analyse und Reaktion auf Angriffe. Merksatz: Antivirus erkennt Schadsoftware. EDR unterstützt Erkennung und Reaktion auf Endgeräten. --- **Backup als Schutzmaßnahme** Backup schützt nicht vor jedem Angriff, aber es ermöglicht Wiederherstellung. Wichtig: regelmäßige Backups getrennte Speicherung Immutable Backup Restore-Tests Verschlüsselung Zugriffsschutz Dokumentation Merksatz: Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen. --- **Monitoring und Logging als Schutzmaßnahme** Monitoring und Logging helfen, Angriffe zu erkennen und aufzuklären. Wichtige Logs: Anmeldungen Adminaktionen Firewall-Entscheidungen VPN-Zugriffe EDR-Meldungen DNS-Anfragen Webserver-Logs Cloud-Audit-Logs Merksatz: Was nicht protokolliert wird, ist später schwer nachvollziehbar. --- **Incident Response** Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Sicherheitsvorfälle brauchen vorbereitete Abläufe. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist Phishing? - Was ist Social Engineering? - Was ist Malware? - Was ist Ransomware? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist Brute Force? - Was ist Credential Stuffing? - Was ist SQL Injection? - Was ist Cross-Site Scripting? - Was ist ein Zero-Day-Angriff? - Was ist ein Supply-Chain-Angriff? - Was bedeutet Least Privilege? - Was ist Defense in Depth? - Was ist der Unterschied zwischen IDS und IPS? - Warum sind Backups wichtig gegen Ransomware? - Warum ist Patchmanagement wichtig? --- **Typische Prüfungsfallen** Vertraulichkeit, Integrität und Verfügbarkeit sauber unterscheiden. Ransomware betrifft Verfügbarkeit und oft auch Vertraulichkeit. Phishing ist Täuschung, nicht nur eine technische Lücke. Social Engineering greift Menschen an. DoS kommt von einer Quelle oder allgemein einem Angriffspunkt. DDoS ist verteilt. IDS erkennt, IPS kann blockieren. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Replikation ersetzt kein Backup. MFA schützt nicht vor allen Angriffen, senkt aber Passwortmissbrauch stark. Firewall ersetzt kein Patchmanagement. Verschlüsselung ersetzt keine Zugriffskontrolle. Antivirus ersetzt kein Sicherheitskonzept. Zero-Day ist nicht durch normales Patchen allein lösbar. Supply Chain betrifft Lieferwege und Abhängigkeiten. Least Privilege reduziert Schaden. Defense in Depth kombiniert mehrere Maßnahmen. Logs müssen vor dem Vorfall aktiv sein. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | | Integrität | Schutz vor unbemerkter Veränderung | | Verfügbarkeit | Nutzbarkeit von Systemen und Daten | | Authentizität | Echtheit einer Identität oder Nachricht | | Nichtabstreitbarkeit | Handlung kann nachgewiesen werden | | Angriffsfläche | Summe möglicher Angriffspunkte | | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit mal Auswirkung | | Schutzmaßnahme | reduziert Risiko | | Defense in Depth | mehrere Schutzschichten | | Least Privilege | minimale notwendige Rechte | | Need to Know | Zugriff nur bei Bedarf | | Zero Trust | kein automatisches Vertrauen | | Phishing | Täuschung zur Datenpreisgabe | | Spear Phishing | gezieltes Phishing | | Whaling | Phishing gegen wichtige Personen | | Social Engineering | Manipulation von Menschen | | Malware | Schadsoftware | | Virus | Schadsoftware mit Wirtsdatei | | Wurm | selbstverbreitende Schadsoftware | | Trojaner | getarnte Schadsoftware | | Ransomware | erpresserische Verschlüsselung oder Sperrung | | Spyware | Spionagesoftware | | Keylogger | zeichnet Tastatureingaben auf | | Rootkit | versteckt und verankert Schadsoftware | | Botnet | Netzwerk fremdgesteuerter Systeme | | DoS | Dienstverweigerung | | DDoS | verteilter DoS | | MitM | Man-in-the-Middle | | Sniffing | Mitschneiden von Verkehr | | Spoofing | Vortäuschen falscher Identität | | ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung | | DNS-Spoofing | Manipulation von Namensauflösung | | Brute Force | systematisches Ausprobieren | | Credential Stuffing | Nutzung geleakter Zugangsdaten | | Password Spraying | wenige Passwörter gegen viele Konten | | SQL Injection | Einschleusen von SQL-Code | | XSS | Cross-Site Scripting | | Zero-Day | ungepatchte oder unbekannte Schwachstelle | | Supply Chain | Lieferkette und Abhängigkeiten | | Insider | interne Bedrohung | | Patchmanagement | Verwaltung von Sicherheitsupdates | | Hardening | sichere Systemkonfiguration | | IDS | Angriffserkennung | | IPS | Angriffserkennung mit Blockierung | | EDR | Endgeräteerkennung und Reaktion | | Incident Response | Reaktion auf Sicherheitsvorfälle | --- **IHK-sichere Kurzformulierung** Angriffe auf IT-Systeme können die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Least Privilege, Netzwerksegmentierung, Backups, Monitoring, Logging, IDS/IPS, EDR, Schulungen und Incident Response. Ein gutes Sicherheitskonzept kombiniert mehrere Maßnahmen nach dem Prinzip Defense in Depth. --- **Merksätze** Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. CIA-Triade = Vertraulichkeit, Integrität, Verfügbarkeit. Authentizität prüft Echtheit. Nichtabstreitbarkeit schafft Nachweisbarkeit. Angriffsfläche reduzieren. Schwachstelle ist ausnutzbare Lücke. Bedrohung ist mögliches Schadereignis. Risiko = Wahrscheinlichkeit und Auswirkung. Schutzmaßnahmen senken Risiko. Defense in Depth kombiniert Schutzschichten. Least Privilege reduziert Schaden. Need to Know begrenzt Datenzugriff. Zero Trust vertraut nicht pauschal. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Malware ist Schadsoftware. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Sniffing kann Analyse oder Angriff sein. Spoofing täuscht Identität vor. Brute Force probiert systematisch. Credential Stuffing nutzt geleakte Zugangsdaten. SQL Injection greift Datenbankabfragen an. XSS greift Browserbenutzer an. Zero-Day ist schwer planbar. Supply Chain betrifft Lieferwege. Insider können intern Schaden verursachen. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. IDS erkennt. IPS blockiert zusätzlich. Backup hilft bei Wiederherstellung. Logs vor dem Vorfall aktivieren. Incident Response vorbereiten. # 16.2 Malware, Ransomware und Schadsoftware im Detail Malware ist ein Sammelbegriff für Schadsoftware. Malware kann Systeme beschädigen, Daten ausspähen, Zugänge stehlen, Dateien verschlüsseln, Systeme fernsteuern oder Dienste stören. Typische Malware-Arten: - Virus - Wurm - Trojaner - Ransomware - Spyware - Keylogger - Rootkit - Botnet-Client - Cryptominer - Adware - Backdoor Merksatz: Malware ist Software mit schädlicher oder unerwünschter Funktion. --- **Warum Malware gefährlich ist** Malware kann verschiedene Schutzziele verletzen. Vertraulichkeit: Daten werden ausgespäht. Passwörter werden gestohlen. interne Informationen fließen ab. Integrität: Dateien werden verändert. Systeme werden manipuliert. Logs werden gelöscht. Verfügbarkeit: Systeme werden verschlüsselt. Dienste fallen aus. Dateien sind nicht mehr nutzbar. Merksatz: Malware kann Vertraulichkeit, Integrität und Verfügbarkeit gleichzeitig angreifen. --- **Typische Infektionswege** Malware gelangt häufig auf Systeme durch: E-Mail-Anhänge Phishing-Links manipulierte Webseiten unsichere Downloads gecrackte Software infizierte USB-Sticks ungepatchte Schwachstellen kompromittierte Updates unsichere Makros Remote-Zugänge gestohlene Zugangsdaten Supply-Chain-Angriffe Merksatz: Malware kommt oft über Menschen, Schwachstellen oder unsichere Softwarequellen ins System. --- **Virus** Ein Virus ist Schadsoftware, die sich an Dateien oder Programme anhängt. Er wird meist aktiv, wenn die infizierte Datei ausgeführt wird. Typische Merkmale: braucht oft eine Wirtsdatei verbreitet sich durch Weitergabe infizierter Dateien kann Dateien verändern oder beschädigen kann weitere Schadfunktionen nachladen Merksatz: Ein Virus hängt sich an Dateien oder Programme. --- **Wurm** Ein Wurm ist Schadsoftware, die sich selbstständig verbreiten kann. Er nutzt häufig: Netzwerkschwachstellen unsichere Dienste offene Ports ungepatchte Systeme schwache Zugangsdaten Gefahr: sehr schnelle Ausbreitung im Netzwerk Merksatz: Ein Wurm verbreitet sich selbstständig über Systeme oder Netzwerke. --- **Virus und Wurm vergleichen** | Merkmal | Virus | Wurm | |---|---|---| | Verbreitung | meist über infizierte Datei | selbstständig über Netzwerk | | braucht Wirtsdatei | häufig ja | nicht zwingend | | Tempo | oft langsamer | oft schnell | | typisches Risiko | Dateiinfektion | Massenausbreitung | Merksatz: Virus braucht oft Hilfe. Wurm verbreitet sich selbst. --- **Trojaner** Ein Trojaner tarnt sich als nützliches oder harmloses Programm. Beispiele: angeblicher Installer gefälschtes Update gecrackte Software scheinbares Tool manipuliertes Dokument vermeintlicher Codec Mögliche Schadfunktionen: Zugangsdaten stehlen Backdoor öffnen weitere Malware nachladen System fernsteuerbar machen Daten ausspähen Merksatz: Ein Trojaner täuscht Nützlichkeit vor, enthält aber Schadfunktionen. --- **Backdoor** Eine Backdoor ist ein versteckter Zugang zu einem System. Angreifer nutzen Backdoors, um später erneut Zugriff zu bekommen. Beispiele: versteckter Benutzer geöffneter Port manipulierte Systemdatei geheimer Fernzugriff Schadsoftware mit Steuerkanal Merksatz: Backdoor = versteckter Hintereingang. --- **Ransomware** Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und anschließend Lösegeld fordert. Typische Folgen: Dateien nicht mehr nutzbar Server nicht verfügbar Produktionsausfall Datenabfluss Erpressung hohe Wiederherstellungskosten Vertrauensverlust Merksatz: Ransomware greift besonders die Verfügbarkeit an und oft zusätzlich die Vertraulichkeit. --- **Ransomware-Ablauf vereinfacht** Ein typischer Ablauf: 1. Erstzugriff über Phishing, Schwachstelle oder Zugangsdaten. 2. Angreifer verschafft sich weitere Rechte. 3. Angreifer bewegt sich im Netzwerk. 4. Backups werden gesucht oder gelöscht. 5. Daten werden kopiert. 6. Systeme und Dateien werden verschlüsselt. 7. Lösegeldforderung erscheint. Merksatz: Ransomware ist oft kein einzelner Moment, sondern eine Angriffskette. --- **Double Extortion** Double Extortion bedeutet: Angreifer verschlüsseln Daten und drohen zusätzlich mit Veröffentlichung gestohlener Daten. Dadurch wird nicht nur Verfügbarkeit, sondern auch Vertraulichkeit angegriffen. Merksatz: Double Extortion kombiniert Verschlüsselung und Datenabfluss. --- **Schutz vor Ransomware** Wichtige Schutzmaßnahmen: regelmäßige Backups Immutable Backups Offline-Backups Restore-Tests Patchmanagement EDR MFA Least Privilege Netzwerksegmentierung Makros einschränken keine lokalen Adminrechte E-Mail-Schutz Monitoring schnelle Isolation infizierter Systeme Merksatz: Gegen Ransomware helfen vor allem Backups, Rechtebegrenzung, Segmentierung und schnelle Reaktion. --- **Warum Backups gegen Ransomware wichtig sind** Wenn Daten verschlüsselt wurden, ist Wiederherstellung oft der wichtigste Weg zurück. Aber Backups helfen nur, wenn sie: vorhanden sind aktuell genug sind nicht mitverschlüsselt wurden nicht gelöscht wurden wiederherstellbar sind regelmäßig getestet wurden getrennt geschützt sind Merksatz: Backup ist nur dann Schutz, wenn Restore funktioniert. --- **Immutable Backup bei Ransomware** Immutable Backup bedeutet: Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Vorteile: Schutz vor Angreifern mit Adminzugang Schutz vor versehentlicher Löschung Schutz vor Ransomware bessere Wiederherstellungschance Merksatz: Immutable Backups erschweren das Löschen oder Manipulieren von Sicherungen. --- **Spyware** Spyware ist Schadsoftware, die Informationen heimlich sammelt. Mögliche Ziele: Passwörter Browserdaten E-Mails Tastatureingaben Bildschirmaufnahmen Dateien Nutzungsverhalten Zugangstokens Merksatz: Spyware spioniert Daten und Verhalten aus. --- **Keylogger** Ein Keylogger zeichnet Tastatureingaben auf. Ziele: Passwörter Zugangsdaten Kreditkartendaten Nachrichten interne Informationen Keylogger können sein: Software Hardware Bestandteil anderer Malware Merksatz: Keylogger stehlen Eingaben direkt an der Tastatur. --- **Rootkit** Ein Rootkit versteckt Schadsoftware oder Angreiferaktivitäten tief im System. Ziele: Erkennung verhindern Kontrolle behalten Prozesse verstecken Dateien verstecken Logs manipulieren Sicherheitssoftware umgehen Rootkits sind besonders kritisch, weil sie schwer zu erkennen und zu entfernen sein können. Merksatz: Rootkits verstecken Angriffe tief im System. --- **Botnet-Client** Ein Botnet-Client ist ein infiziertes System, das von Angreifern ferngesteuert wird. Viele solcher Systeme bilden ein Botnet. Nutzung: DDoS-Angriffe Spamversand Credential Stuffing Malware-Verteilung Cryptomining Proxy-Missbrauch Merksatz: Botnet = viele fremdgesteuerte infizierte Systeme. --- **Cryptominer** Ein Cryptominer missbraucht Rechenleistung, um Kryptowährung zu berechnen. Folgen: hohe CPU- oder GPU-Last hohe Stromkosten langsame Systeme Überhitzung Cloud-Kostenanstieg verringerte Systemleistung Merksatz: Cryptominer stiehlt Rechenleistung. --- **Adware** Adware zeigt unerwünschte Werbung an oder verändert Browser- und Systemeinstellungen. Mögliche Folgen: störende Werbung Browserumleitungen Tracking Installation weiterer unerwünschter Software reduzierte Benutzerfreundlichkeit Merksatz: Adware ist oft weniger zerstörerisch, aber trotzdem unerwünscht und riskant. --- **Malware-Erkennung** Malware kann erkannt werden durch: Antivirus EDR ungewöhnliche Prozesse ungewöhnliche Netzwerkverbindungen hohe CPU-Last geänderte Dateien verdächtige Autostarts Warnungen im SIEM auffällige DNS-Anfragen ungewöhnliche Loginversuche bekannte Signaturen Verhaltensanalyse Merksatz: Malware-Erkennung kombiniert Signaturen, Verhalten und Monitoring. --- **Signaturbasierte Erkennung** Signaturbasierte Erkennung nutzt bekannte Muster. Beispiel: bekannte Schadsoftware-Datei bekannte Hashwerte bekannte Codebestandteile bekannte Angriffsmuster Vorteil: gut gegen bekannte Malware Nachteil: schwächer gegen neue oder veränderte Malware Merksatz: Signaturen erkennen Bekanntes. --- **Verhaltensbasierte Erkennung** Verhaltensbasierte Erkennung achtet auf verdächtiges Verhalten. Beispiele: viele Dateien werden schnell verändert Prozess startet ungewöhnliche Befehle Programm öffnet unbekannte Netzwerkverbindung Benutzerkonto greift plötzlich auf viele Systeme zu Skript lädt ausführbare Datei nach Vorteil: kann auch neue oder veränderte Angriffe erkennen Merksatz: Verhaltenserkennung erkennt Auffälligkeiten, auch wenn die Datei noch unbekannt ist. --- **Antivirus** Antivirus-Software erkennt und blockiert bekannte Schadsoftware. Typische Funktionen: Dateiprüfung Echtzeitschutz Signaturprüfung Quarantäne Scans Erkennung bekannter Malware Grenze: Antivirus allein reicht nicht als Sicherheitskonzept. Merksatz: Antivirus ist wichtig, aber nur eine Schutzschicht. --- **EDR** EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte stärker als klassischer Antivirus. Typische Funktionen: Prozessüberwachung Verhaltensanalyse Angriffserkennung Isolation eines Endgeräts Untersuchung von Vorfällen zentrale Auswertung Reaktionsmaßnahmen Merksatz: EDR hilft, Angriffe auf Endgeräten zu erkennen und darauf zu reagieren. --- **Quarantäne** Quarantäne bedeutet: Eine verdächtige oder schädliche Datei wird isoliert. Ziel: Datei kann nicht weiter ausgeführt werden. Schaden wird begrenzt. Datei kann später untersucht werden. Merksatz: Quarantäne isoliert verdächtige Dateien. --- **Isolation eines Endgeräts** Wenn ein Gerät infiziert ist, sollte es schnell isoliert werden. Isolation bedeutet: vom Netzwerk trennen WLAN deaktivieren Netzwerkkabel ziehen EDR-Isolation nutzen VPN trennen Zugriff auf Server sperren Wichtig: Nicht unüberlegt ausschalten, wenn forensische Analyse benötigt wird. Merksatz: Infizierte Systeme schnell vom Netz trennen, aber Vorgehen dokumentieren. --- **Malware und Rechte** Malware hat oft nur die Rechte des Benutzers, unter dem sie ausgeführt wird. Wenn Benutzer lokale Adminrechte haben, kann Malware mehr Schaden anrichten. Schutz: keine lokalen Adminrechte für Alltag Least Privilege getrennte Admin-Konten Applikationskontrolle Rechteprüfung Merksatz: Weniger Benutzerrechte bedeuten weniger Malware-Schaden. --- **Malware und Netzwerksegmentierung** Wenn ein System infiziert ist, darf sich Malware nicht frei im Netzwerk bewegen können. Segmentierung hilft durch Trennung von: Clientnetz Servernetz Managementnetz Backupnetz Produktionsnetz Gastnetz IoT-Netz Merksatz: Segmentierung begrenzt Ausbreitung. --- **Laterale Bewegung** Laterale Bewegung bedeutet: Angreifer oder Malware bewegen sich nach dem ersten Zugriff weiter im Netzwerk. Beispiele: Zugriff von Client auf Dateiserver Zugriff auf weitere Clients Auslesen von Zugangsdaten Angriff auf Domain Controller Zugriff auf Backups Angriff auf Managementsysteme Merksatz: Laterale Bewegung ist Ausbreitung nach dem Erstzugriff. --- **Schutz vor lateraler Bewegung** Maßnahmen: Netzwerksegmentierung Firewall zwischen Netzbereichen Least Privilege keine lokalen Adminrechte getrennte Admin-Konten MFA EDR Monitoring sichere Passworthygiene Zugriff auf Adminfreigaben begrenzen Merksatz: Nach dem ersten kompromittierten System darf nicht das ganze Netz offen sein. --- **Makros als Risiko** Office-Makros können nützlich sein, werden aber oft für Malware missbraucht. Risiken: Makro lädt Schadsoftware nach Makro führt Befehle aus Makro startet Skripte Benutzer aktiviert Inhalt aus Täuschung Schutz: Makros aus dem Internet blockieren nur signierte Makros erlauben Benutzer schulen E-Mail-Anhänge prüfen Office-Härtung nutzen Merksatz: Makros nur erlauben, wenn sie wirklich benötigt und vertrauenswürdig sind. --- **Skripte als Risiko** Skripte können für Administration nützlich sein, aber auch von Angreifern missbraucht werden. Beispiele: PowerShell Bash JavaScript VBScript Python Batch-Dateien Risiken: Malware nachladen Dateien verschlüsseln Systeme ausspähen Befehle automatisieren Sicherheitssoftware umgehen Merksatz: Skripte sind mächtig und brauchen Kontrolle. --- **Application Control** Application Control bedeutet: Es wird gesteuert, welche Programme ausgeführt werden dürfen. Beispiele: nur freigegebene Anwendungen keine Ausführung aus Download-Ordner keine unbekannten Skripte keine unsignierten Programme Blockierung bekannter Risikopfade Merksatz: Application Control verhindert, dass beliebige Programme starten. --- **Allowlisting** Allowlisting bedeutet: Nur ausdrücklich erlaubte Programme oder Aktionen sind zugelassen. Vorteil: sehr restriktiv reduziert unbekannte Schadsoftware Nachteil: höherer Verwaltungsaufwand kann Benutzer einschränken muss gut gepflegt werden Merksatz: Allowlisting erlaubt nur Bekanntes und Freigegebenes. --- **Blocklisting** Blocklisting bedeutet: Bekannte schädliche Programme oder Aktionen werden verboten. Vorteil: einfacher einzuführen Nachteil: neue oder unbekannte Malware kann durchkommen Merksatz: Blocklisting verbietet Bekanntes, erlaubt aber Unbekanntes oft weiterhin. --- **Patchmanagement gegen Malware** Viele Malware-Angriffe nutzen bekannte Sicherheitslücken. Patchmanagement schützt, indem Updates geplant und eingespielt werden. Betroffen sind: Betriebssysteme Browser Office-Programme Serverdienste VPN-Gateways Firewalls Anwendungen Firmware Container-Images Merksatz: Ungepatchte Systeme sind leichte Ziele. --- **E-Mail-Schutz gegen Malware** Viele Malware-Angriffe beginnen per E-Mail. Schutzmaßnahmen: Spamfilter Malware-Scanner Linkprüfung Anhangprüfung Blockierung gefährlicher Dateitypen Makroregeln Absenderprüfung SPF, DKIM und DMARC Benutzerschulung Merksatz: E-Mail-Schutz ist eine wichtige erste Verteidigungslinie. --- **Download-Schutz** Downloads können Malware enthalten. Schutzmaßnahmen: nur vertrauenswürdige Quellen Signaturen prüfen Hashwerte prüfen keine gecrackte Software Browser-Schutz EDR Rechtebegrenzung Softwareverteilung zentral steuern Merksatz: Software nur aus vertrauenswürdigen Quellen installieren. --- **USB-Geräte als Risiko** USB-Geräte können Malware verbreiten oder Daten stehlen. Risiken: infizierter USB-Stick manipuliertes Eingabegerät Datenabfluss automatische Ausführung unbekannte Geräte Schutz: USB-Richtlinien Gerätekontrolle AutoRun deaktivieren Schulung nur freigegebene Geräte Verschlüsselung DLP je nach Umgebung Merksatz: Unbekannte USB-Geräte nicht vertrauen. --- **DLP** DLP steht für: Data Loss Prevention DLP soll verhindern, dass sensible Daten unkontrolliert abfließen. Beispiele: Blockieren von Uploads Warnung bei sensiblen Daten in E-Mail Schutz vor Kopieren auf USB Kontrolle von Cloud-Freigaben Erkennung von Kreditkartennummern oder Personaldaten Merksatz: DLP schützt vor unerwünschtem Datenabfluss. --- **Malware und Cloud** Auch Cloud-Umgebungen können von Malware betroffen sein. Beispiele: infizierte VM kompromittierter Container Malware in Storage gestohlene API-Schlüssel Cryptomining in Cloud-Instanzen Ransomware in synchronisiertem Cloud-Speicher Schutz: IAM MFA EDR für Cloud-VMs sichere Images Container-Scanning Security Groups Logging Kostenalarme Merksatz: Cloud schützt nicht automatisch vor Malware. --- **Malware und Container** Container können Schadsoftware enthalten, wenn Images unsicher sind. Risiken: manipuliertes Image veraltete Bibliothek unsichere Registry eingebettete Secrets Container läuft mit zu vielen Rechten unsichere Runtime-Konfiguration Schutz: Images scannen nur vertrauenswürdige Registries minimale Images keine Secrets im Image keine unnötigen Rechte regelmäßige Updates Merksatz: Container-Images müssen wie Software geprüft werden. --- **Malware und Backups** Backups können ebenfalls Malware enthalten. Problem: Wenn ein Backup bereits infizierte Dateien enthält, kann Malware nach Restore wieder aktiv werden. Wichtig: Backup-Zeitpunkt wählen Infektionszeitpunkt bestimmen Restore testen Systeme vor Wiederanbindung prüfen Backups nicht ungeprüft zurückspielen Merksatz: Restore nach Malware braucht sorgfältige Prüfung. --- **Erste Maßnahmen bei Malware-Verdacht** Sinnvolle Schritte: 1. Ruhe bewahren. 2. System vom Netzwerk isolieren. 3. Zeitpunkt und Symptome dokumentieren. 4. IT-Sicherheit oder Verantwortliche informieren. 5. Keine Beweise unnötig löschen. 6. Logs sichern. 7. Betroffene Konten prüfen. 8. Ausbreitung prüfen. 9. Ursache analysieren. 10. Bereinigung oder Neuaufbau planen. 11. Wiederherstellung testen. 12. Maßnahmen verbessern. Merksatz: Bei Malware zählt schnelle Eindämmung und saubere Dokumentation. --- **Neuinstallation statt Bereinigung** Bei schwerer Kompromittierung ist Neuinstallation oft sicherer als reine Bereinigung. Gründe: Rootkits schwer erkennbar Backdoors möglich Systemdateien manipuliert Rechte verändert Logs gelöscht Vertrauen ins System verloren Merksatz: Ein kompromittiertes System ist oft nicht mehr vollständig vertrauenswürdig. --- **Typische Malware-Symptome** Mögliche Anzeichen: System wird sehr langsam unbekannte Prozesse hohe CPU-Last viele Netzwerkverbindungen Dateien verschwinden Dateien werden verschlüsselt Antivirus meldet Fund ungewöhnliche Popups Browser leitet um Benutzerkonto verhält sich auffällig neue Autostart-Einträge unerklärliche Cloud-Kosten Merksatz: Malware zeigt sich oft durch ungewöhnliches Verhalten. --- **Typische Schutzmaßnahmen gegen Malware** Wichtige Maßnahmen: Patchmanagement Antivirus EDR E-Mail-Schutz MFA Least Privilege keine lokalen Adminrechte Makro-Schutz Application Control Netzwerksegmentierung regelmäßige Backups Immutable Backups Restore-Tests Monitoring Logging Benutzerschulung Incident Response Merksatz: Malware-Schutz braucht mehrere Schutzschichten. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Malware? - Was ist der Unterschied zwischen Virus und Wurm? - Was ist ein Trojaner? - Was ist Ransomware? - Warum ist Ransomware besonders gefährlich? - Was bedeutet Double Extortion? - Wie schützt man sich vor Ransomware? - Warum sind Backups gegen Ransomware wichtig? - Was ist Spyware? - Was ist ein Keylogger? - Was ist ein Rootkit? - Was ist ein Botnet? - Was ist ein Cryptominer? - Was ist der Unterschied zwischen Antivirus und EDR? - Was bedeutet Quarantäne? - Warum ist Netzwerksegmentierung gegen Malware wichtig? - Was ist laterale Bewegung? - Warum sind Makros ein Risiko? - Was ist Application Control? - Was ist DLP? - Warum reicht Antivirus allein nicht aus? --- **Typische Prüfungsfallen** Malware ist ein Oberbegriff. Virus und Wurm nicht verwechseln. Wurm verbreitet sich selbstständig. Trojaner tarnt sich als nützlich. Ransomware betrifft Verfügbarkeit und oft Vertraulichkeit. Double Extortion bedeutet Verschlüsselung plus Datenabfluss. Backup verhindert Ransomware nicht, ermöglicht aber Wiederherstellung. Replikation ersetzt kein Backup. Backup muss vor Manipulation geschützt sein. Antivirus allein reicht nicht. EDR erkennt und reagiert umfassender. Quarantäne bedeutet Isolation einer Datei. Infiziertes Gerät schnell isolieren. Lokale Adminrechte erhöhen Schaden. Segmentierung begrenzt Ausbreitung. Laterale Bewegung ist Bewegung im Netzwerk nach Erstzugriff. Makros und Skripte sind häufige Angriffsmittel. Allowlisting ist strenger als Blocklisting. Cloud ist nicht automatisch frei von Malware. Container-Images müssen geprüft werden. Restore nach Malware braucht Vorsicht. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Malware | Schadsoftware | | Virus | Schadsoftware mit Wirtsdatei | | Wurm | selbstverbreitende Schadsoftware | | Trojaner | getarnte Schadsoftware | | Backdoor | versteckter Zugang | | Ransomware | erpresserische Verschlüsselung oder Sperrung | | Double Extortion | Verschlüsselung plus Datenabfluss | | Spyware | Spionagesoftware | | Keylogger | zeichnet Tastatureingaben auf | | Rootkit | versteckt und verankert Schadsoftware | | Botnet | Netzwerk fremdgesteuerter Systeme | | Botnet-Client | infiziertes ferngesteuertes System | | Cryptominer | missbraucht Rechenleistung | | Adware | unerwünschte Werbesoftware | | Antivirus | Schutz gegen bekannte Schadsoftware | | EDR | Endpoint Detection and Response | | Quarantäne | Isolation verdächtiger Dateien | | Isolation | Trennung eines Systems vom Netzwerk | | laterale Bewegung | Ausbreitung im Netzwerk | | Makro | automatisierte Funktion in Dokumenten | | Application Control | Steuerung erlaubter Programme | | Allowlisting | nur Erlaubtes zulassen | | Blocklisting | Bekanntes verbieten | | DLP | Data Loss Prevention | | Restore | Wiederherstellung | | Immutable Backup | unveränderliches Backup | | Incident Response | Reaktion auf Sicherheitsvorfall | --- **IHK-sichere Kurzformulierung** Malware ist ein Oberbegriff für Schadsoftware wie Viren, Würmer, Trojaner, Ransomware, Spyware, Keylogger, Rootkits, Botnet-Clients und Cryptominer. Ein Virus hängt sich häufig an Dateien oder Programme an, während sich ein Wurm selbstständig über Netzwerke verbreiten kann. Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Schutzmaßnahmen gegen Malware sind Patchmanagement, Antivirus, EDR, MFA, Least Privilege, Netzwerksegmentierung, Makroschutz, Application Control, E-Mail-Schutz, Backups, Immutable Backups, Restore-Tests, Logging, Monitoring und Benutzerschulung. --- **Merksätze** Malware ist Schadsoftware. Virus hängt sich an Dateien. Wurm verbreitet sich selbstständig. Trojaner täuscht Nützlichkeit vor. Backdoor ist versteckter Zugang. Ransomware verschlüsselt oder sperrt. Double Extortion = Verschlüsselung plus Datenabfluss. Spyware spioniert. Keylogger stehlen Tastatureingaben. Rootkits verstecken Angriffe. Botnet besteht aus fremdgesteuerten Systemen. Cryptominer stiehlt Rechenleistung. Malware kann alle Schutzziele verletzen. Infektionswege sind oft E-Mail, Download, Schwachstelle oder Zugangsdaten. Antivirus erkennt vor allem bekannte Malware. EDR erkennt und reagiert tiefer. Signaturen erkennen Bekanntes. Verhaltenserkennung erkennt Auffälligkeiten. Quarantäne isoliert verdächtige Dateien. Infizierte Systeme schnell isolieren. Weniger Rechte bedeuten weniger Schaden. Segmentierung begrenzt Ausbreitung. Laterale Bewegung verhindern. Makros aus unsicheren Quellen blockieren. Skripte kontrollieren. Allowlisting ist strenger als Blocklisting. Patchmanagement schließt bekannte Lücken. E-Mail-Schutz ist wichtig. USB-Geräte nicht blind vertrauen. DLP schützt vor Datenabfluss. Cloud braucht ebenfalls Malware-Schutz. Container-Images prüfen. Backups können infizierte Daten enthalten. Restore nach Malware sorgfältig planen. Neuaufbau kann sicherer sein als Bereinigung. Malware-Schutz braucht mehrere Schichten. # 16.3 Phishing, Social Engineering und Identitätsangriffe Viele Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit Täuschung. Angreifer versuchen, Menschen dazu zu bringen, - Zugangsdaten einzugeben - Links anzuklicken - Anhänge zu öffnen - MFA-Anfragen zu bestätigen - Geld zu überweisen - vertrauliche Informationen preiszugeben - Schadsoftware auszuführen - Sicherheitsregeln zu umgehen Merksatz: Social Engineering greift Menschen und Prozesse an, nicht nur Technik. --- **Warum Phishing so gefährlich ist** Phishing ist gefährlich, weil es normale Arbeitsabläufe ausnutzt. Beispiele: Rechnung prüfen Paketbenachrichtigung öffnen Passwort zurücksetzen Cloud-Datei ansehen Bewerbung herunterladen Supportanfrage beantworten dringende Chef-Anweisung befolgen Angreifer nutzen dabei: Zeitdruck Vertrauen Neugier Angst Hilfsbereitschaft Autorität Gewohnheit Merksatz: Phishing wirkt, weil es menschliches Verhalten ausnutzt. --- **Phishing** Phishing ist der Versuch, Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu bringen. Ziele: Passwörter MFA-Codes Zugangstokens Bankdaten Kundendaten interne Informationen Cloud-Zugänge VPN-Zugänge E-Mail-Konten Typische Mittel: gefälschte E-Mail gefälschte Webseite gefälschtes Loginformular gefälschte Rechnung gefälschte Sicherheitswarnung gefälschter Cloud-Link Merksatz: Phishing täuscht Benutzer, damit sie selbst etwas Gefährliches tun. --- **Typischer Phishing-Ablauf** Ein typischer Ablauf: 1. Benutzer erhält eine täuschend echte Nachricht. 2. Nachricht erzeugt Druck oder Interesse. 3. Benutzer klickt Link oder öffnet Anhang. 4. Gefälschte Webseite fragt Zugangsdaten ab. 5. Benutzer gibt Daten ein. 6. Angreifer nutzt die Zugangsdaten. 7. Konto wird übernommen oder Malware wird ausgeführt. Merksatz: Phishing ist oft der Einstieg in größere Angriffe. --- **Phishing per E-Mail** E-Mail-Phishing ist besonders verbreitet. Typische Merkmale: angebliche Rechnung angebliche Lieferung angebliche Kontosperrung angebliche Passwortwarnung angebliche Cloud-Dateifreigabe angebliche Bewerbung angebliche Sicherheitsmeldung angeblicher Chefauftrag Merksatz: E-Mail ist ein häufiger Einstiegspunkt für Angriffe. --- **Phishing per SMS** Phishing per SMS wird oft genannt: Smishing Typische Beispiele: Paket konnte nicht zugestellt werden. Konto wurde gesperrt. Zahlung erforderlich. Sicherheitsprüfung notwendig. Link zur Sendungsverfolgung. Risiko: Benutzer klicken am Smartphone oft schneller auf Links. Merksatz: Smishing ist Phishing über SMS. --- **Phishing per Telefon** Phishing per Telefon wird oft genannt: Vishing Dabei ruft ein Angreifer an und gibt sich zum Beispiel aus als: IT-Support Bankmitarbeiter Chef Dienstleister Behörde Sicherheitsabteilung Ziel: Zugangsdaten erhalten MFA-Code erhalten Fernwartung starten Überweisung auslösen interne Informationen bekommen Merksatz: Vishing ist Phishing per Telefon. --- **Phishing über Messenger** Angriffe können auch über Messenger laufen. Beispiele: angebliche Nachricht von Kollegen gefälschter Supportkontakt Link zu Cloud-Datei dringende Zahlungsanweisung angebliches Problem mit Benutzerkonto QR-Code zu Loginseite Merksatz: Phishing ist nicht auf E-Mail beschränkt. --- **QR-Phishing** QR-Phishing wird auch Quishing genannt. Dabei führt ein QR-Code auf eine gefälschte Webseite. Risiko: Link ist vor dem Scannen schwer erkennbar. Smartphone zeigt Adresse oft nur verkürzt. Benutzer erwarten bei QR-Codes schnelle Aktion. Beispiele: gefälschter Paketaufkleber falsches WLAN-Portal falsche Zahlungsseite gefälschter Microsoft-Login Plakat oder E-Mail mit QR-Code Merksatz: QR-Code nicht automatisch vertrauen. --- **Spear Phishing** Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Teams oder Organisationen. Angreifer nutzen oft Informationen wie: Name Firma Rolle laufendes Projekt bekannte Kollegen verwendete Dienste Signatur Lieferanten interne Begriffe Dadurch wirkt die Nachricht glaubwürdiger. Merksatz: Spear Phishing ist gezielter und glaubwürdiger als Massenphishing. --- **Whaling** Whaling ist Phishing gegen besonders wichtige Personen. Ziele: Geschäftsführung Finanzleitung Personalabteilung Administratoren Projektleitung Geschäftsbereichsleitung Warum gefährlich? Diese Personen haben oft besondere Rechte, Informationen oder Entscheidungsbefugnisse. Merksatz: Whaling richtet sich gegen besonders wertvolle Ziele. --- **CEO-Fraud** CEO-Fraud ist eine Betrugsform, bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben. Typisches Ziel: schnelle Überweisung Änderung von Bankdaten Herausgabe vertraulicher Informationen Einkauf von Gutscheinkarten Umgehung normaler Freigabeprozesse Typische Merkmale: sehr dringend vertraulich keine Rückfrage erwünscht ungewöhnliche Zahlungsdaten außerhalb normaler Prozesse Merksatz: CEO-Fraud nutzt Autorität und Zeitdruck. --- **Business E-Mail Compromise** Business E-Mail Compromise wird oft abgekürzt: BEC Dabei wird ein geschäftliches E-Mail-Konto kompromittiert oder täuschend echt nachgeahmt. Ziele: Rechnungsbetrug Änderung von Kontodaten interne Täuschung Phishing aus echtem Konto Zugriff auf Geschäftskommunikation Merksatz: BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug. --- **Fake Login** Ein Fake Login ist eine gefälschte Anmeldeseite. Sie sieht oft aus wie: Microsoft 365 Google VPN-Portal Cloud-Speicher Bank Paketdienst Unternehmensportal Ziel: Zugangsdaten abgreifen Merksatz: Gefälschte Loginseiten sind ein Kernmittel von Phishing. --- **Credential Harvesting** Credential Harvesting bedeutet: Zugangsdaten werden gesammelt. Beispiele: gefälschte Loginseite Keylogger Phishing-Mail manipulierte Anwendung Malware unsichere Datenbank abgegriffene Browserdaten Merksatz: Credential Harvesting sammelt Zugangsdaten für spätere Angriffe. --- **Session Hijacking** Session Hijacking bedeutet: Ein Angreifer übernimmt eine bestehende Sitzung. Ziel: Zugriff erhalten, ohne das Passwort erneut eingeben zu müssen. Mögliche Mittel: gestohlene Session-Cookies gestohlene Tokens Malware im Browser unsichere Verbindung XSS kompromittiertes Endgerät Merksatz: Session Hijacking greift die laufende Anmeldung an. --- **MFA-Bypass** MFA macht Angriffe schwerer, aber nicht unmöglich. Mögliche Angriffe: MFA-Push-Fatigue Phishing mit Echtzeit-Weiterleitung gestohlene Session-Tokens kompromittiertes Endgerät Social Engineering beim Support unsichere Ausnahmen SIM-Swapping bei SMS-MFA Merksatz: MFA ist wichtig, aber keine alleinige Schutzmaßnahme. --- **MFA-Push-Fatigue** MFA-Push-Fatigue bedeutet: Angreifer lösen viele MFA-Push-Anfragen aus. Ziel: Benutzer bestätigt aus Versehen, aus Gewohnheit oder genervt. Schutz: Number Matching klare Anzeige von Ort und Anwendung Schulung Meldeweg für unerwartete MFA-Anfragen Rate Limiting verdächtige Anfragen blockieren Merksatz: Unerwartete MFA-Anfragen niemals bestätigen. --- **SIM-Swapping** SIM-Swapping bedeutet: Angreifer übernehmen die Mobilfunknummer eines Opfers. Ziel: SMS-Codes empfangen Passwortzurücksetzung durchführen Konten übernehmen Schutz: SMS-MFA möglichst vermeiden App-basierte MFA oder Hardwaretoken nutzen Mobilfunkkonto schützen ungewöhnliche Netzverluste beachten Merksatz: SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen. --- **Social Engineering** Social Engineering ist die Manipulation von Menschen, um Sicherheitsmaßnahmen zu umgehen. Angreifer nutzen zum Beispiel: Autorität Dringlichkeit Angst Hilfsbereitschaft Sympathie Neugier Gewohnheit Vertraulichkeit Merksatz: Social Engineering nutzt Psychologie als Angriffsmittel. --- **Pretexting** Pretexting bedeutet: Angreifer erfinden eine glaubwürdige Geschichte oder Rolle. Beispiele: angeblicher IT-Support angeblicher neuer Mitarbeiter angeblicher Dienstleister angebliche Bank angebliche Behörde angeblicher Kunde Ziel: Vertrauen erzeugen Informationen erhalten Aktionen auslösen Merksatz: Pretexting arbeitet mit erfundener glaubwürdiger Rolle. --- **Baiting** Baiting bedeutet: Angreifer legen einen Köder aus. Beispiele: USB-Stick mit Aufschrift „Gehälter“ kostenloser Download angebliches Tool Gutschein Gewinnspiel kostenlose Software Ziel: Benutzer soll etwas öffnen, installieren anschließen oder Daten eingeben. Merksatz: Baiting nutzt Neugier oder Vorteilserwartung. --- **Tailgating** Tailgating bedeutet: Eine unberechtigte Person folgt einer berechtigten Person in einen geschützten Bereich. Beispiele: Person folgt durch Sicherheitstür. Person trägt angeblich schwere Kisten. Person bittet freundlich, die Tür aufzuhalten. Merksatz: Tailgating umgeht physische Zutrittskontrolle. --- **Shoulder Surfing** Shoulder Surfing bedeutet: Angreifer beobachten Eingaben oder Bildschirme. Beispiele: Passwort beim Tippen ansehen PIN am Automaten beobachten Bildschirm im Zug mitlesen MFA-Code ablesen Schutz: Sichtschutzfolie Bildschirm sperren Umgebung beachten keine sensiblen Eingaben in unsicheren Umgebungen Merksatz: Shoulder Surfing nutzt Beobachtung. --- **Dumpster Diving** Dumpster Diving bedeutet: Angreifer durchsuchen Müll oder entsorgte Unterlagen. Ziele: Passwörter interne Dokumente Netzwerkpläne Rechnungen Kundendaten alte Datenträger Notizzettel Organigramme Schutz: Aktenvernichtung sichere Datenträgervernichtung Clean-Desk-Regel Entsorgungsprozesse Merksatz: Auch entsorgte Informationen können sicherheitskritisch sein. --- **Identitätsangriffe** Identitätsangriffe richten sich gegen Benutzerkonten, Rollen und Anmeldungen. Typische Angriffe: Phishing Brute Force Credential Stuffing Password Spraying Session Hijacking MFA-Missbrauch Kontoübernahme Rechteausweitung Merksatz: Wer Identität kontrolliert, kontrolliert oft den Zugriff. --- **Account Takeover** Account Takeover bedeutet: Ein Angreifer übernimmt ein Benutzerkonto. Mögliche Folgen: E-Mails lesen interne Daten abrufen Phishing aus echtem Konto senden Dateien löschen Rechte ausnutzen weitere Konten angreifen Regeln oder Weiterleitungen einrichten Merksatz: Kontoübernahme ist oft der Startpunkt für weitere Angriffe. --- **Brute Force** Brute Force bedeutet: viele Passwörter werden systematisch ausprobiert. Schutz: MFA Rate Limiting starke Passwörter Sperrmechanismen Monitoring keine Standardkonten Passwortmanager Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. --- **Credential Stuffing** Credential Stuffing bedeutet: Angreifer nutzen geleakte Zugangsdaten aus anderen Diensten. Beispiel: Passwort aus altem Webshop-Leak wird am Firmenportal ausprobiert. Schutz: keine Passwortwiederverwendung MFA Passwortmanager Leak-Erkennung riskante Loginversuche erkennen Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. --- **Password Spraying** Password Spraying bedeutet: wenige häufige Passwörter werden gegen viele Konten getestet. Beispiele: Willkommen2026! Sommer2026! Passwort123! Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche auftreten. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Benutzer. --- **Passwort-Wiederverwendung** Passwort-Wiederverwendung bedeutet: dasselbe Passwort wird bei mehreren Diensten genutzt. Problem: Wird ein Dienst kompromittiert, können Angreifer das Passwort bei anderen Diensten ausprobieren. Schutz: Passwortmanager eindeutige Passwörter MFA Schulung Passwort-Leak-Prüfung Merksatz: Ein Passwort darf nicht mehrfach genutzt werden. --- **Starke Passwörter** Starke Passwörter sollten: lang sein nicht leicht erratbar sein nicht wiederverwendet werden nicht aus persönlichen Daten bestehen nicht in Listen bekannter Passwörter vorkommen Für viele Konten ist ein Passwortmanager sinnvoll. Merksatz: Länge und Einzigartigkeit sind wichtiger als komplizierte Merkhilfen. --- **Passwortmanager** Ein Passwortmanager hilft, für jeden Dienst ein eigenes starkes Passwort zu verwenden. Vorteile: eindeutige Passwörter lange Passwörter weniger Wiederverwendung Erkennung falscher Webseiten möglich sicherere Speicherung als Notizzettel Merksatz: Passwortmanager unterstützt starke und eindeutige Passwörter. --- **Account Lockout** Account Lockout bedeutet: Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt. Vorteil: Schutz vor Brute Force Risiko: Angreifer können viele Konten absichtlich sperren. Deshalb sinnvoll kombinieren mit: Rate Limiting Risikoanalyse MFA Monitoring differenzierten Sperrregeln Merksatz: Kontosperren helfen, müssen aber sinnvoll eingestellt sein. --- **Rate Limiting** Rate Limiting begrenzt, wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind. Beispiele: maximal 5 Loginversuche pro Minute begrenzte API-Anfragen Verzögerung nach Fehlversuchen Merksatz: Rate Limiting bremst automatisierte Angriffe. --- **Captcha** Captcha soll prüfen, ob ein Mensch oder ein automatisiertes Programm handelt. Einsatz: Loginformulare Registrierungen Passwortzurücksetzung öffentliche Formulare Grenze: Captchas sind keine vollständige Sicherheitsmaßnahme. Merksatz: Captcha erschwert Automatisierung, ersetzt aber keine sichere Authentifizierung. --- **Phishing-Erkennungsmerkmale** Mögliche Warnzeichen: ungewöhnlicher Absender unerwarteter Anhang dringende Aufforderung Drohung mit Sperrung ungewöhnliche Zahlungsaufforderung Rechtschreib- oder Formatfehler verkürzte Links Domain passt nicht Login wird über Link gefordert vertrauliche Daten werden verlangt Absenderadresse und Anzeigename passen nicht zusammen Merksatz: Bei Druck, ungewöhnlichem Link oder Datenabfrage vorsichtig sein. --- **Links prüfen** Bei Links prüfen: passt die Domain? ist die Verbindung HTTPS? ist die Adresse ungewöhnlich lang? gibt es Tippfehler in der Domain? wird eine bekannte Marke nachgeahmt? führt der Link über Weiterleitungen? ist es ein verkürzter Link? passt der Link zum erwarteten Dienst? Merksatz: Nicht der sichtbare Text zählt, sondern das echte Ziel des Links. --- **Anhänge prüfen** Gefährliche Anhänge können sein: ausführbare Dateien Makro-Dokumente Archive mit Passwort angebliche Rechnungen Skripte ISO-Dateien LNK-Dateien HTML-Dateien manipulierte PDFs Merksatz: Unerwartete Anhänge immer kritisch prüfen. --- **Absender prüfen** Bei E-Mails ist der Anzeigename leicht fälschbar. Zu prüfen: echte Absenderadresse Domain Antwortadresse Signatur Schreibstil Kontext ungewöhnliche Anfrage SPF, DKIM DMARC-Ergebnis je nach System Merksatz: Anzeigename allein beweist nichts. --- **SPF** SPF steht für: Sender Policy Framework SPF legt fest, welche Mailserver für eine Domain E-Mails senden dürfen. Merksatz: SPF prüft, ob ein sendender Mailserver zur Domain passt. --- **DKIM** DKIM steht für: DomainKeys Identified Mail DKIM nutzt digitale Signaturen, um zu prüfen, ob eine E-Mail unterwegs verändert wurde und ob sie zur sendenden Domain passt. Merksatz: DKIM signiert E-Mails kryptografisch. --- **DMARC** DMARC steht für: Domain-based Message Authentication, Reporting and Conformance DMARC baut auf SPF und DKIM auf. Es legt fest, wie Empfänger mit E-Mails umgehen sollen, die SPF oder DKIM nicht bestehen. Merksatz: DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails. --- **SPF, DKIM und DMARC einordnen** | Technik | Zweck | |---|---| | SPF | prüft erlaubte sendende Mailserver | | DKIM | prüft Signatur und Veränderung | | DMARC | legt Richtlinie und Berichte fest | Wichtig: Diese Techniken helfen gegen E-Mail-Spoofing, verhindern aber nicht jede Phishing-Mail. Merksatz: SPF, DKIM und DMARC verbessern E-Mail-Authentizität. --- **Technische Schutzmaßnahmen gegen Phishing** Maßnahmen: Spamfilter Malwarefilter Linkprüfung Anhangprüfung Sandboxing SPF DKIM DMARC MFA Conditional Access Passwortmanager Webfilter EDR DNS-Filter sichere Browserkonfiguration Merksatz: Phishing-Schutz braucht mehrere technische Schichten. --- **Organisatorische Schutzmaßnahmen gegen Phishing** Maßnahmen: Schulungen klare Meldewege Phishing-Simulationen Vier-Augen-Prinzip Zahlungsprozesse absichern Rückruf über bekannte Telefonnummer Sicherheitsrichtlinien Freigabeprozesse Notfallplan bei Kontoübernahme Merksatz: Prozesse schützen dort, wo Technik allein nicht reicht. --- **Verhalten bei verdächtiger Nachricht** Sinnvolles Vorgehen: 1. Nicht auf Links klicken. 2. Keine Anhänge öffnen. 3. Keine Zugangsdaten eingeben. 4. Absender und Domain prüfen. 5. Bei angeblichen internen Anfragen über bekannten Kanal nachfragen. 6. Nachricht melden. 7. Nicht weiterleiten, wenn dadurch Risiko entsteht. 8. IT oder Sicherheitsverantwortliche informieren. Merksatz: Bei Verdacht zuerst stoppen, prüfen und melden. --- **Wenn Zugangsdaten eingegeben wurden** Sofortmaßnahmen: Passwort ändern MFA-Sitzungen prüfen aktive Sitzungen beenden IT informieren Konto-Logs prüfen Weiterleitungsregeln prüfen verdächtige Geräte prüfen Tokens widerrufen betroffene Dienste prüfen weitere Benutzer warnen Merksatz: Nach Phishing zählt schnelle Reaktion. --- **Wenn ein Anhang geöffnet wurde** Sofortmaßnahmen: Gerät vom Netzwerk trennen IT informieren Datei nicht weiter öffnen Zeitpunkt dokumentieren E-Mail sichern EDR oder Antivirus prüfen Logs sichern betroffene Konten prüfen keine weiteren Systeme nutzen, bis Bewertung erfolgt Merksatz: Nach verdächtigem Anhang Gerät schnell isolieren. --- **Kontoübernahme erkennen** Anzeichen: unbekannte Loginorte neue Weiterleitungsregeln gelesene E-Mails ohne Benutzeraktion gesendete Phishing-Mails Passwortänderung MFA-Änderung neue Geräte ungewöhnliche Dateienzugriffe Rollenänderungen verdächtige API-Aktivität Merksatz: Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen. --- **E-Mail-Weiterleitungsregel als Risiko** Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an. Zweck: E-Mails mitlesen Rechnungen abfangen Antworten verstecken weitere Angriffe vorbereiten Prüfen: unbekannte Weiterleitungen versteckte Regeln Regeln zum Löschen Regeln zum Verschieben externe Empfänger Merksatz: Nach Kontoübernahme immer Weiterleitungsregeln prüfen. --- **Schutz durch Conditional Access** Conditional Access kann Logins abhängig machen von: Standort Gerät MFA Risiko Benutzergruppe Anwendung Netzwerk Gerätezustand Beispiele: Adminzugriff nur mit MFA Zugriff aus unbekanntem Land blockieren Zugriff nur von verwalteten Geräten Merksatz: Conditional Access erschwert missbräuchliche Logins. --- **Schutz durch Schulung** Benutzer sollten wissen: wie Phishing aussieht wie man Links prüft wie man Anhänge bewertet wie man verdächtige Nachrichten meldet warum MFA-Anfragen nicht blind bestätigt werden warum Passwörter eindeutig sein müssen warum Zahlungsprozesse eingehalten werden Merksatz: Schulung macht Benutzer zu aktiven Schutzfaktoren. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Phishing? - Was ist Spear Phishing? - Was ist Whaling? - Was ist Social Engineering? - Was ist CEO-Fraud? - Was ist Business E-Mail Compromise? - Was ist Smishing? - Was ist Vishing? - Was ist Credential Harvesting? - Was ist Session Hijacking? - Was ist MFA-Push-Fatigue? - Was ist SIM-Swapping? - Was ist Pretexting? - Was ist Tailgating? - Was ist Shoulder Surfing? - Was ist Credential Stuffing? - Was ist Password Spraying? - Welche Merkmale können auf Phishing hinweisen? - Was machen SPF, DKIM und DMARC? - Wie reagiert man auf eine verdächtige Phishing-Mail? - Warum sind Passwortmanager sinnvoll? --- **Typische Prüfungsfallen** Phishing ist nicht nur E-Mail. Social Engineering ist nicht rein technisch. Spear Phishing ist gezielt. Whaling betrifft besonders wichtige Personen. Smishing läuft über SMS. Vishing läuft über Telefon. CEO-Fraud nutzt Autorität. BEC nutzt geschäftliche E-Mail-Kommunikation. Anzeigename einer E-Mail beweist nichts. HTTPS allein beweist nicht, dass die Seite echt ist. MFA ist wichtig, aber nicht unfehlbar. Unerwartete MFA-Anfragen nicht bestätigen. Credential Stuffing nutzt geleakte Passwörter. Password Spraying probiert wenige Passwörter bei vielen Konten. Passwort-Wiederverwendung ist gefährlich. SPF, DKIM und DMARC helfen gegen Spoofing, verhindern aber nicht jedes Phishing. Verdächtige Nachrichten melden, nicht ignorieren. Nach Kontoübernahme Weiterleitungsregeln prüfen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Phishing | Täuschung zur Preisgabe vertraulicher Daten | | Smishing | Phishing per SMS | | Vishing | Phishing per Telefon | | Quishing | Phishing über QR-Code | | Spear Phishing | gezieltes Phishing | | Whaling | Phishing gegen wichtige Personen | | CEO-Fraud | Betrug durch angebliche Chef-Anweisung | | BEC | Business E-Mail Compromise | | Fake Login | gefälschte Anmeldeseite | | Credential Harvesting | Sammeln von Zugangsdaten | | Session Hijacking | Übernahme einer laufenden Sitzung | | MFA-Bypass | Umgehung oder Missbrauch von MFA | | MFA-Push-Fatigue | viele MFA-Anfragen zur Ermüdung | | SIM-Swapping | Übernahme einer Mobilfunknummer | | Social Engineering | Manipulation von Menschen | | Pretexting | erfundene glaubwürdige Geschichte | | Baiting | Köder zur Täuschung | | Tailgating | unberechtigtes Folgen durch Zutritt | | Shoulder Surfing | Beobachten von Eingaben | | Dumpster Diving | Informationssuche im Müll | | Account Takeover | Kontoübernahme | | Brute Force | systematisches Ausprobieren | | Credential Stuffing | Nutzung geleakter Zugangsdaten | | Password Spraying | wenige Passwörter gegen viele Konten | | Passwortmanager | Verwaltung starker eindeutiger Passwörter | | Account Lockout | Kontosperre nach Fehlversuchen | | Rate Limiting | Begrenzung von Anfragen | | Captcha | Mensch-Maschine-Prüfung | | SPF | Prüfung erlaubter Mailserver | | DKIM | kryptografische E-Mail-Signatur | | DMARC | Richtlinie für SPF/DKIM-Ergebnisse | | Conditional Access | Zugriff abhängig von Bedingungen | --- **IHK-sichere Kurzformulierung** Phishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf Benutzerkonten und Zugänge. Schutzmaßnahmen sind MFA, starke eindeutige Passwörter, Passwortmanager, Spam- und Malwarefilter, SPF, DKIM, DMARC, Conditional Access, Schulungen, klare Meldewege, Vier-Augen-Prinzip und schnelle Reaktion bei verdächtigen Vorfällen. --- **Merksätze** Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Phishing ist nicht nur E-Mail. Smishing = SMS-Phishing. Vishing = Telefon-Phishing. Quishing = QR-Code-Phishing. Spear Phishing ist gezielt. Whaling trifft wichtige Personen. CEO-Fraud nutzt Autorität. BEC nutzt geschäftliche E-Mails. Fake Login stiehlt Zugangsdaten. Credential Harvesting sammelt Zugangsdaten. Session Hijacking übernimmt Sitzungen. MFA ist wichtig, aber nicht unfehlbar. Unerwartete MFA-Anfragen niemals bestätigen. SIM-Swapping gefährdet SMS-MFA. Pretexting nutzt erfundene Rollen. Baiting nutzt Köder. Tailgating umgeht Zutrittskontrolle. Shoulder Surfing nutzt Beobachtung. Dumpster Diving nutzt weggeworfene Informationen. Identitätsangriffe zielen auf Konten. Account Takeover ist Kontoübernahme. Brute Force probiert systematisch. Credential Stuffing nutzt geleakte Zugangsdaten. Password Spraying verteilt wenige Passwörter auf viele Konten. Passwörter nicht wiederverwenden. Passwortmanager nutzen. Rate Limiting bremst Angriffe. Captcha ersetzt keine sichere Anmeldung. Anzeigename beweist nichts. Links immer auf echte Domain prüfen. Anhänge kritisch prüfen. SPF prüft erlaubte Mailserver. DKIM signiert E-Mails. DMARC legt Richtlinien fest. Technik und Schulung gemeinsam schützen. Verdächtige Nachrichten melden. Nach Phishing schnell reagieren. Nach Kontoübernahme Weiterleitungsregeln prüfen. # 16.4 Netzwerkangriffe: DoS, DDoS, Spoofing und Man-in-the-Middle Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Identitäten oder Datenübertragung in Netzwerken. Sie können auf verschiedenen OSI-Schichten stattfinden. Typische Netzwerkangriffe sind: - DoS - DDoS - Man-in-the-Middle - ARP-Spoofing - DNS-Spoofing - IP-Spoofing - MAC-Spoofing - Sniffing - Session Hijacking - Rogue DHCP - Evil Twin - WLAN-Angriffe Merksatz: Netzwerkangriffe nutzen Schwächen in Kommunikation, Adressierung, Namensauflösung oder Erreichbarkeit aus. --- **Warum Netzwerkangriffe gefährlich sind** Netzwerke verbinden Systeme miteinander. Wenn ein Angreifer Netzwerkkommunikation beeinflusst, kann er unter Umständen: Daten mitlesen Daten verändern Benutzer auf falsche Ziele lenken Dienste überlasten Verbindungen unterbrechen Zugangsdaten abgreifen Sitzungen übernehmen interne Systeme erreichen Kommunikation manipulieren Merksatz: Wer Netzwerkverkehr kontrolliert, kann viele weitere Angriffe vorbereiten. --- **DoS** DoS steht für: Denial of Service Denial of Service bedeutet: Ein Dienst wird absichtlich so gestört, dass er nicht mehr nutzbar ist. Ziel: Verfügbarkeit angreifen Beispiele: Webserver antwortet nicht mehr. Anwendung ist überlastet. Netzwerkleitung ist voll. Firewall ist überfordert. Datenbank nimmt keine Verbindungen mehr an. Merksatz: DoS greift die Verfügbarkeit an. --- **DoS einfach erklärt** Ein Dienst kann nur eine begrenzte Menge an Anfragen verarbeiten. Wenn ein Angreifer sehr viele Anfragen sendet, kann der Dienst überlastet werden. Folge: normale Benutzer können den Dienst nicht mehr nutzen. Merksatz: DoS bedeutet: Dienst wird durch Störung oder Überlastung unbenutzbar. --- **DDoS** DDoS steht für: Distributed Denial of Service Distributed bedeutet: verteilt Bei DDoS kommt der Angriff von vielen Systemen gleichzeitig. Häufig werden Botnetze genutzt. Merksatz: DDoS ist ein verteilter DoS-Angriff. --- **DoS und DDoS vergleichen** | Merkmal | DoS | DDoS | |---|---|---| | Angriffsquelle | eine oder wenige Quellen | viele verteilte Quellen | | Abwehr | oft einfacher | deutlich schwieriger | | typische Technik | Überlastung oder Störung | massenhafte verteilte Überlastung | | Ziel | Verfügbarkeit | Verfügbarkeit | Merksatz: DoS = Dienstverweigerung. DDoS = verteilte Dienstverweigerung. --- **Typische DDoS-Ziele** DDoS-Angriffe richten sich häufig gegen: Webseiten Online-Shops DNS-Server VPN-Gateways Firewalls Load Balancer APIs Gaming-Server Cloud-Dienste Unternehmensanschlüsse Merksatz: DDoS trifft oft öffentlich erreichbare Dienste. --- **DDoS-Angriffsarten** DDoS kann unterschiedliche Ebenen treffen. Beispiele: Volumenangriff: Leitung wird mit Datenverkehr überlastet. Protokollangriff: Netzwerk- oder Transportprotokolle werden ausgenutzt. Anwendungsschichtangriff: Webanwendung wird mit vielen echten oder scheinbar echten Anfragen belastet. Merksatz: DDoS kann Leitung, Protokoll oder Anwendung treffen. --- **Volumenangriff** Ein Volumenangriff versucht, möglichst viel Datenverkehr zu erzeugen. Ziel: Bandbreite überlasten Beispiele: sehr viele UDP-Pakete große Datenmengen reflektierter Verkehr Folge: legitimer Verkehr kommt nicht mehr durch. Merksatz: Volumenangriff überlastet die Bandbreite. --- **Protokollangriff** Ein Protokollangriff nutzt Eigenschaften von Netzwerkprotokollen aus. Ziel: Netzwerkgeräte, Firewalls, Load Balancer oder Serverzustände überlasten Beispiele: viele halboffene Verbindungen viele Verbindungsversuche ausgenutzte Protokollmechanismen Merksatz: Protokollangriff belastet Netzwerk- oder Transportmechanismen. --- **Anwendungsschichtangriff** Ein Anwendungsschichtangriff richtet sich gegen Dienste auf OSI-Schicht 7. Beispiele: viele HTTP-Anfragen teure Suchanfragen Loginversuche API-Anfragen Warenkorbaktionen Datenbanklast durch Webanfragen Problem: Der Angriff kann wie normaler Benutzerverkehr aussehen. Merksatz: Anwendungsschichtangriffe sind oft schwerer von echter Nutzung zu unterscheiden. --- **Reflexionsangriff** Bei einem Reflexionsangriff sendet der Angreifer Anfragen an fremde Server und fälscht dabei die Absenderadresse des Opfers. Die fremden Server antworten dann an das Opfer. Beispiele für missbrauchte Dienste: DNS NTP Memcached SSDP andere UDP-basierte Dienste Merksatz: Reflexionsangriff lenkt Antworten fremder Systeme auf das Opfer. --- **Amplification** Amplification bedeutet: Verstärkung Der Angreifer sendet eine kleine Anfrage, die eine deutlich größere Antwort erzeugt. Wenn die Antwort an das Opfer geht, wird der Angriff verstärkt. Merksatz: Amplification macht aus kleinen Anfragen große Angriffsdatenmengen. --- **Schutz vor DoS und DDoS** Mögliche Schutzmaßnahmen: DDoS-Schutzdienst Provider-Unterstützung Content Delivery Network Load Balancer Rate Limiting Anycast Firewall-Regeln Web Application Firewall Skalierung Monitoring Notfallplan Blackholing als Notmaßnahme Merksatz: DDoS-Schutz braucht Vorbereitung, weil man im Angriff oft wenig Zeit hat. --- **Rate Limiting** Rate Limiting begrenzt, wie viele Anfragen in einer bestimmten Zeit erlaubt sind. Beispiele: maximal 100 Anfragen pro Minute pro IP maximal 5 Loginversuche pro Minute API-Limit pro Benutzer Vorteil: automatisierte Überlastung wird erschwert. Merksatz: Rate Limiting begrenzt Anfragehäufigkeit. --- **Anycast** Anycast bedeutet: dieselbe IP-Adresse wird an mehreren Standorten angekündigt. Der Verkehr wird zum nächstgelegenen oder passenden Standort geleitet. Vorteil bei DDoS: Angriffslast kann verteilt werden. Merksatz: Anycast verteilt Verkehr auf mehrere Standorte. --- **Blackholing** Blackholing bedeutet: Verkehr zu einem Ziel wird verworfen. Das kann bei DDoS als Notmaßnahme genutzt werden. Nachteil: Der angegriffene Dienst ist dann ebenfalls nicht erreichbar. Merksatz: Blackholing schützt Infrastruktur, macht den Dienst aber meist unerreichbar. --- **Man-in-the-Middle** Man-in-the-Middle wird oft abgekürzt: MitM Dabei positioniert sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Anmeldedaten abgreifen Sitzung übernehmen Zertifikatswarnungen ausnutzen Benutzer auf falsche Dienste lenken Merksatz: MitM bedeutet: Angreifer sitzt zwischen Sender und Empfänger. --- **Man-in-the-Middle einfach erklärt** Normale Kommunikation: Client ↔ Server Mit Man-in-the-Middle: Client ↔ Angreifer ↔ Server Der Benutzer glaubt, direkt mit dem Server zu kommunizieren. Tatsächlich läuft die Kommunikation über den Angreifer. Merksatz: Bei MitM wird Kommunikation heimlich zwischengeschaltet. --- **Typische MitM-Szenarien** Beispiele: unsicheres WLAN gefälschter Access Point ARP-Spoofing im lokalen Netz DNS-Spoofing manipuliertes Gateway kompromittierter Router Proxy-Angriff gefälschtes Zertifikat Session-Cookie-Diebstahl Merksatz: MitM kann über WLAN, LAN, DNS, Router oder Zertifikate entstehen. --- **Schutz vor Man-in-the-Middle** Maßnahmen: TLS korrekt nutzen HTTPS erzwingen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS bei Webseiten sichere WLAN-Konfiguration ARP-Schutz in Switches DNSSEC je nach Einsatz sichere DNS-Resolver MFA Session-Cookies schützen Merksatz: TLS schützt nur dann, wenn Zertifikate korrekt geprüft werden. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Legitime Nutzung: Fehlersuche Protokollanalyse Performanceanalyse Sicherheitsanalyse Missbrauch: Passwörter abfangen Daten mitlesen interne Kommunikation analysieren Sitzungen übernehmen Schwachstellen finden Merksatz: Sniffing ist ein Werkzeug, das für Analyse oder Angriff genutzt werden kann. --- **Sniffing und Verschlüsselung** Unverschlüsselter Verkehr kann direkt lesbar sein. Beispiele für riskanten Klartextverkehr: HTTP Telnet FTP POP3 ohne TLS IMAP ohne TLS SMTP ohne TLS alte Protokolle Verschlüsselter Verkehr schützt Inhalte besser. Beispiele: HTTPS SSH SFTP FTPS IMAPS SMTPS VPN Merksatz: Verschlüsselung reduziert den Schaden durch Sniffing. --- **Spoofing** Spoofing bedeutet: Eine falsche Identität, Adresse oder Herkunft wird vorgetäuscht. Typische Arten: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. --- **IP-Spoofing** IP-Spoofing bedeutet: Der Angreifer fälscht die Quell-IP-Adresse. Ziele: Herkunft verschleiern Reflexionsangriffe ermöglichen Filter umgehen Vertrauen in IP-Adressen ausnutzen Grenze: Bei TCP-Verbindungen ist IP-Spoofing schwieriger, weil Antworten an die gefälschte Adresse gehen. Merksatz: IP-Spoofing fälscht die Quell-IP-Adresse. --- **MAC-Spoofing** MAC-Spoofing bedeutet: Ein Gerät gibt sich mit einer anderen MAC-Adresse aus. Mögliche Ziele: MAC-Filter umgehen Identität im LAN vortäuschen Netzwerkzugang erschleichen Geräteverwechslung erzeugen Merksatz: MAC-Adressen können gefälscht werden und sind kein starker Sicherheitsnachweis. --- **ARP** ARP steht für: Address Resolution Protocol ARP ordnet im lokalen IPv4-Netz eine IP-Adresse einer MAC-Adresse zu. Beispiel: Welche MAC-Adresse hat 192.168.1.1? Antwort: 192.168.1.1 hat MAC-Adresse aa:bb:cc:dd:ee:ff Merksatz: ARP verbindet IPv4-Adressen mit MAC-Adressen im lokalen Netz. --- **ARP-Spoofing** ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz. Angreifer behauptet zum Beispiel: Ich bin das Gateway. Dann senden Clients ihren Verkehr an den Angreifer. Mögliche Folgen: Man-in-the-Middle Sniffing Sitzungsdiebstahl Verbindungsstörung Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. --- **Schutz vor ARP-Spoofing** Maßnahmen: Dynamic ARP Inspection DHCP Snooping statische ARP-Einträge in Sonderfällen Netzwerksegmentierung Switch-Sicherheitsfunktionen Verschlüsselung durch TLS Monitoring auf ARP-Anomalien Merksatz: Gegen ARP-Spoofing helfen Switch-Schutzfunktionen und Verschlüsselung. --- **DNS** DNS steht für: Domain Name System DNS löst Namen in IP-Adressen auf. Beispiel: www.example.de → 203.0.113.10 Merksatz: DNS übersetzt Namen in IP-Adressen. --- **DNS-Spoofing** DNS-Spoofing manipuliert die Namensauflösung. Ziel: Benutzer wird zu falscher IP-Adresse geleitet. Beispiel: Benutzer ruft eine echte Domain auf, landet aber auf einer gefälschten Webseite. Mögliche Folgen: Phishing Malware-Verteilung Man-in-the-Middle Datenabfluss Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. --- **DNS-Cache-Poisoning** DNS-Cache-Poisoning bedeutet: falsche DNS-Antworten werden in einem DNS-Cache gespeichert. Folge: Mehrere Benutzer erhalten falsche DNS-Antworten, bis der Cache abläuft oder korrigiert wird. Merksatz: DNS-Cache-Poisoning vergiftet zwischengespeicherte DNS-Antworten. --- **Schutz vor DNS-Spoofing** Maßnahmen: vertrauenswürdige DNS-Resolver DNSSEC DNS-over-TLS oder DNS-over-HTTPS je nach Umgebung Monitoring ungewöhnlicher DNS-Antworten TLS-Zertifikatsprüfung keine unbekannten DNS-Server per DHCP erlauben sichere Router- und DHCP-Konfiguration Merksatz: DNS-Schutz und TLS-Prüfung ergänzen sich. --- **DNSSEC** DNSSEC steht für: Domain Name System Security Extensions DNSSEC ermöglicht kryptografische Prüfung von DNS-Antworten. Ziel: Manipulation von DNS-Antworten erkennbar machen. Wichtig: DNSSEC verschlüsselt DNS-Anfragen nicht automatisch. Es prüft vor allem Echtheit und Integrität. Merksatz: DNSSEC schützt DNS-Integrität, aber nicht automatisch DNS-Vertraulichkeit. --- **Rogue DHCP** Rogue DHCP bedeutet: Ein nicht autorisierter DHCP-Server verteilt Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server falsche IP-Konfiguration Man-in-the-Middle Netzwerkstörungen Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. --- **Schutz vor Rogue DHCP** Maßnahmen: DHCP Snooping Switchports absichern ungenutzte Ports deaktivieren Netzwerksegmentierung Monitoring physische Zugangskontrolle nur autorisierte DHCP-Server zulassen Merksatz: DHCP Snooping schützt vor unautorisierten DHCP-Servern. --- **DHCP Snooping** DHCP Snooping ist eine Switch-Sicherheitsfunktion. Sie unterscheidet: vertrauenswürdige Ports und nicht vertrauenswürdige Ports DHCP-Antworten sind nur auf vertrauenswürdigen Ports erlaubt. Merksatz: DHCP Snooping verhindert DHCP-Antworten von falschen Ports. --- **Session Hijacking** Session Hijacking bedeutet: Ein Angreifer übernimmt eine bestehende Sitzung. Mögliche Wege: Session-Cookie stehlen Token stehlen XSS Malware Man-in-the-Middle unsichere Verbindung kompromittiertes Endgerät Merksatz: Session Hijacking übernimmt eine laufende Anmeldung. --- **Schutz vor Session Hijacking** Maßnahmen: HTTPS überall HttpOnly Cookies Secure Cookies SameSite Cookies kurze Session-Laufzeiten Session-Rotation nach Login Schutz vor XSS MFA Geräte- und Standortprüfung Logout-Funktion Token widerrufen können Merksatz: Sitzungen müssen genauso geschützt werden wie Passwörter. --- **WLAN-Angriffe** WLAN ist besonders angreifbar, weil Funk nicht an Wände gebunden ist. Typische Risiken: schwache Verschlüsselung unsichere Passwörter Evil Twin Rogue Access Point unsichere Gastnetze Abhören unverschlüsselter Verbindungen Deauthentication-Angriffe falsche Captive Portals Merksatz: WLAN braucht starke Verschlüsselung und saubere Trennung. --- **Evil Twin** Ein Evil Twin ist ein gefälschter WLAN-Access-Point, der wie ein echtes WLAN aussieht. Ziel: Benutzer verbinden sich mit dem falschen WLAN. Folgen: Man-in-the-Middle Phishing Datenmitschnitt falsche Loginseiten Malware-Verteilung Merksatz: Evil Twin imitiert ein echtes WLAN. --- **Rogue Access Point** Ein Rogue Access Point ist ein nicht autorisierter Access Point im Netzwerk. Beispiele: Mitarbeiter steckt eigenen WLAN-Router an. Angreifer platziert Access Point im Gebäude. falsch konfigurierte Geräte öffnen WLAN. Risiko: Sicherheitsregeln werden umgangen. internes Netz wird unkontrolliert erreichbar. Merksatz: Rogue Access Point ist ein unerlaubter WLAN-Zugangspunkt. --- **Schutz vor WLAN-Angriffen** Maßnahmen: WPA2-Enterprise oder WPA3 nutzen starke Passwörter Gastnetz vom internen Netz trennen 802.1X Zertifikatsprüfung Rogue-AP-Erkennung regelmäßige WLAN-Überprüfung sichere Captive-Portals VPN in unsicheren WLANs keine offenen internen WLANs Merksatz: WLAN-Sicherheit braucht Verschlüsselung, Authentifizierung und Segmentierung. --- **802.1X** 802.1X ist ein Standard für netzwerkbasierte Zugangskontrolle. Er wird genutzt bei: LAN WLAN Enterprise-Netzen Grundidee: Gerät oder Benutzer muss sich authentifizieren, bevor Netzwerkzugriff erlaubt wird. Merksatz: 802.1X kontrolliert Netzwerkzugang vor der Freigabe. --- **Netzwerksegmentierung gegen Angriffe** Segmentierung trennt Netzbereiche voneinander. Beispiele: Clientnetz Servernetz Gastnetz Managementnetz Produktionsnetz Backupnetz WLAN-Gastnetz IoT-Netz Vorteil: Angriffe können sich schlechter ausbreiten. Zugriffe können gezielter gefiltert werden. Merksatz: Segmentierung begrenzt Schaden und Ausbreitung. --- **Firewall-Regeln gegen Netzwerkangriffe** Firewalls begrenzen, welche Kommunikation erlaubt ist. Gute Regeln sind: so eng wie möglich dokumentiert begründet regelmäßig geprüft nach Quelle, Ziel, Port und Protokoll definiert Merksatz: Firewall-Regeln sollen erlauben, was nötig ist, und blockieren, was nicht nötig ist. --- **IDS und IPS gegen Netzwerkangriffe** IDS: erkennt verdächtigen Netzwerkverkehr und meldet ihn IPS: erkennt verdächtigen Netzwerkverkehr und kann ihn blockieren Beispiele für Erkennung: Portscans bekannte Angriffssignaturen ungewöhnlicher Datenverkehr Exploit-Versuche verdächtige DNS-Anfragen Merksatz: IDS erkennt. IPS blockiert zusätzlich. --- **Netzwerk-Monitoring** Netzwerk-Monitoring hilft, Angriffe und Störungen zu erkennen. Überwacht werden können: Bandbreite Paketverlust Latenz ungewöhnliche Verbindungen DNS-Anfragen Firewall-Drops VPN-Zugriffe ARP-Anomalien DHCP-Anomalien Portscans DDoS-Anzeichen Merksatz: Netzwerk-Monitoring erkennt Auffälligkeiten im Datenverkehr. --- **Typische Anzeichen für Netzwerkangriffe** Mögliche Hinweise: plötzlich sehr hohe Netzwerklast viele fehlgeschlagene Verbindungen ungewöhnliche DNS-Antworten Benutzer landen auf falschen Webseiten Zertifikatswarnungen viele Loginversuche unbekannte DHCP-Server doppelte IP-Adressen ungewöhnliche ARP-Einträge unbekannte Access Points viele Firewall-Drops Merksatz: Netzwerkangriffe zeigen sich oft durch ungewöhnliche Muster. --- **Fehlersuche bei Verdacht auf Netzwerkangriff** Sinnvolle Reihenfolge: 1. Betroffene Systeme bestimmen. 2. Zeitpunkt eingrenzen. 3. Änderungen prüfen. 4. Netzwerklogs prüfen. 5. Firewall-Logs prüfen. 6. DNS prüfen. 7. DHCP prüfen. 8. ARP-Tabelle prüfen. 9. Routing prüfen. 10. Paketmitschnitt erstellen. 11. Benutzerberichte vergleichen. 12. Angriff eingrenzen. 13. Schutzmaßnahmen aktivieren. 14. Vorfall dokumentieren. Merksatz: Netzwerkangriffe systematisch mit Logs, Tabellen, Routen und Mitschnitten untersuchen. --- **Typische Schutzmaßnahmen gegen Netzwerkangriffe** Wichtige Maßnahmen: Firewall IDS IPS Netzwerksegmentierung VLANs sichere WLAN-Konfiguration WPA2-Enterprise oder WPA3 802.1X DHCP Snooping Dynamic ARP Inspection DNSSEC je nach Einsatz TLS VPN DDoS-Schutz Rate Limiting Monitoring Logging Patchmanagement sichere Router- und Switch-Konfiguration Merksatz: Netzwerkangriffsschutz besteht aus Technik, Konfiguration Überwachung und klaren Regeln. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein DoS-Angriff? - Was ist ein DDoS-Angriff? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist ein Man-in-the-Middle-Angriff? - Was bedeutet Sniffing? - Was bedeutet Spoofing? - Was ist IP-Spoofing? - Was ist MAC-Spoofing? - Was ist ARP-Spoofing? - Was ist DNS-Spoofing? - Was ist DNS-Cache-Poisoning? - Was ist DNSSEC? - Was ist Rogue DHCP? - Was ist DHCP Snooping? - Was ist Session Hijacking? - Was ist ein Evil Twin? - Was ist ein Rogue Access Point? - Wie schützt Netzwerksegmentierung gegen Angriffe? - Was ist der Unterschied zwischen IDS und IPS? - Welche Schutzmaßnahmen helfen gegen DDoS? --- **Typische Prüfungsfallen** DoS und DDoS unterscheiden. DDoS ist verteilt. DoS greift Verfügbarkeit an. MitM sitzt zwischen Kommunikationspartnern. Sniffing ist nicht automatisch Angriff, kann aber missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale IPv4-Netze. DNS-Spoofing führt Namen zu falschen IP-Adressen. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. Rogue DHCP verteilt falsche Netzwerkeinstellungen. DHCP Snooping schützt vor falschen DHCP-Servern. Session Hijacking betrifft laufende Sitzungen. WLAN ist wegen Funkreichweite besonders zu schützen. Evil Twin imitiert ein echtes WLAN. Rogue Access Point ist ein unerlaubter Access Point. MAC-Filter allein ist keine starke Sicherheit. TLS-Zertifikatswarnungen nicht ignorieren. Segmentierung begrenzt Ausbreitung. IDS erkennt, IPS blockiert zusätzlich. DDoS-Schutz muss vorbereitet sein. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | DoS | Dienstverweigerung | | DDoS | verteilte Dienstverweigerung | | Botnet | viele fremdgesteuerte Systeme | | Volumenangriff | Überlastung durch Datenmenge | | Protokollangriff | Ausnutzung von Protokollmechanismen | | Anwendungsschichtangriff | Überlastung einer Anwendung | | Reflexionsangriff | Antworten fremder Systeme treffen Opfer | | Amplification | Verstärkung kleiner Anfragen | | Rate Limiting | Begrenzung von Anfragen | | Anycast | gleiche IP an mehreren Standorten | | Blackholing | Verwerfen von Verkehr | | MitM | Man-in-the-Middle | | Sniffing | Mitschneiden von Netzwerkverkehr | | Spoofing | Vortäuschen falscher Identität | | IP-Spoofing | gefälschte Quell-IP | | MAC-Spoofing | gefälschte MAC-Adresse | | ARP | Zuordnung IPv4 zu MAC im LAN | | ARP-Spoofing | Manipulation von ARP-Zuordnungen | | DNS | Namensauflösung | | DNS-Spoofing | Manipulation von DNS-Antworten | | DNS-Cache-Poisoning | falsche DNS-Antwort im Cache | | DNSSEC | Schutz der DNS-Integrität | | Rogue DHCP | unautorisierter DHCP-Server | | DHCP Snooping | Schutz vor falschen DHCP-Servern | | Session Hijacking | Übernahme einer laufenden Sitzung | | Evil Twin | gefälschter WLAN-Access-Point | | Rogue Access Point | unerlaubter Access Point | | 802.1X | Netzwerkzugangskontrolle | | IDS | Angriffserkennung | | IPS | Angriffserkennung mit Blockierung | --- **IHK-sichere Kurzformulierung** Netzwerkangriffe richten sich gegen Kommunikation, Erreichbarkeit, Adressierung oder Namensauflösung in Netzwerken. DoS und DDoS greifen die Verfügbarkeit von Diensten an, wobei DDoS von vielen verteilten Quellen ausgeht. Bei einem Man-in-the-Middle-Angriff befindet sich ein Angreifer zwischen zwei Kommunikationspartnern und kann Daten mitlesen oder manipulieren. Spoofing täuscht Identität oder Herkunft vor, zum Beispiel durch gefälschte IP-, MAC-, ARP- oder DNS-Informationen. Schutzmaßnahmen sind Firewalls, IDS/IPS, Netzwerksegmentierung, sichere WLAN-Konfiguration, TLS, VPN, DNSSEC, DHCP Snooping, Dynamic ARP Inspection, DDoS-Schutz, Rate Limiting, Monitoring und Logging. --- **Merksätze** Netzwerkangriffe treffen Kommunikation und Erreichbarkeit. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. DDoS-Schutz muss vorbereitet sein. Volumenangriff überlastet Bandbreite. Protokollangriff belastet Netzwerkmechanismen. Anwendungsschichtangriff trifft Dienste auf Schicht 7. Reflexionsangriff nutzt fremde Systeme. Amplification verstärkt Angriffsdaten. Rate Limiting begrenzt Anfragen. Anycast verteilt Verkehr. Blackholing verwirft Verkehr. MitM sitzt zwischen Client und Server. Sniffing schneidet Verkehr mit. Verschlüsselung schützt gegen Mitlesen. Spoofing täuscht Herkunft oder Identität vor. IP-Spoofing fälscht Quell-IP. MAC-Spoofing fälscht MAC-Adresse. ARP verbindet IPv4 und MAC. ARP-Spoofing manipuliert lokale Zuordnung. DNS übersetzt Namen in IP-Adressen. DNS-Spoofing führt zu falschen Zielen. DNSSEC schützt DNS-Integrität. Rogue DHCP verteilt falsche Einstellungen. DHCP Snooping schützt vor Rogue DHCP. Session Hijacking übernimmt Sitzungen. WLAN braucht starke Absicherung. Evil Twin imitiert echtes WLAN. Rogue Access Point ist unerlaubt. 802.1X kontrolliert Netzwerkzugang. Segmentierung begrenzt Ausbreitung. IDS erkennt. IPS blockiert zusätzlich. Netzwerk-Monitoring erkennt Auffälligkeiten. Logs und Mitschnitte helfen bei Analyse. # 16.5 Webangriffe: SQL Injection, XSS, CSRF und unsichere Webanwendungen Webanwendungen sind häufige Angriffsziele, weil sie oft öffentlich erreichbar sind und direkt mit Benutzern, Datenbanken, APIs und Backend-Systemen kommunizieren. Typische Webangriffe sind: - SQL Injection - Cross-Site Scripting - Cross-Site Request Forgery - Directory Traversal - File Upload Attack - Session Hijacking - Broken Authentication - Broken Access Control - unsichere API - unsichere Fehlerausgaben - unsichere Konfiguration Merksatz: Webangriffe nutzen häufig fehlerhafte Eingaben, fehlende Zugriffskontrollen oder unsichere Sitzungen aus. --- **Warum Webanwendungen gefährdet sind** Webanwendungen sind oft besonders angreifbar, weil sie: öffentlich erreichbar sind Benutzeranfragen verarbeiten Datenbanken nutzen Dateien entgegennehmen Sitzungen verwalten APIs bereitstellen externe Dienste anbinden mit sensiblen Daten arbeiten Merksatz: Je mehr Eingaben und Schnittstellen eine Anwendung hat, desto größer ist die Angriffsfläche. --- **Eingaben als Risiko** Viele Webangriffe beginnen mit Benutzereingaben. Beispiele für Eingaben: Loginformular Suchfeld Kontaktformular URL-Parameter Cookie HTTP-Header Datei-Upload API-Request JSON-Daten Formularfelder Problem: Die Anwendung vertraut Eingaben zu stark oder verarbeitet sie unsicher. Merksatz: Benutzereingaben niemals blind vertrauen. --- **Client und Server unterscheiden** Client: Browser oder App des Benutzers Server: Webserver, Anwendung, API oder Backend-System Wichtig: Prüfungen im Browser allein reichen nicht aus. Warum? Ein Angreifer kann Browserprüfungen umgehen und direkt eigene Anfragen an den Server senden. Merksatz: Sicherheitsprüfungen müssen serverseitig erfolgen. --- **Frontend-Validierung** Frontend-Validierung prüft Eingaben im Browser. Beispiel: Pflichtfeld prüfen E-Mail-Format prüfen Zeichenanzahl begrenzen Vorteil: bessere Benutzerführung Nachteil: leicht umgehbar Merksatz: Frontend-Validierung hilft Benutzern, ist aber keine Sicherheitsgrenze. --- **Backend-Validierung** Backend-Validierung prüft Eingaben auf dem Server. Sie ist sicherheitsrelevant. Beispiele: Datentyp prüfen Wertebereich prüfen erlaubte Zeichen prüfen Dateityp prüfen Berechtigung prüfen Pflichtfelder prüfen Länge begrenzen Merksatz: Sicherheitsrelevante Prüfung gehört ins Backend. --- **SQL Injection** SQL Injection ist ein Angriff auf Datenbankabfragen. Dabei schleust ein Angreifer SQL-Code in Eingaben ein. Ziel: Daten auslesen Daten verändern Login umgehen Daten löschen Datenbankstruktur ausspähen Rechte ausweiten Merksatz: SQL Injection nutzt unsicher zusammengesetzte Datenbankabfragen aus. --- **SQL Injection einfach erklärt** Eine Anwendung erwartet zum Beispiel: Benutzername und Passwort Wenn die Anwendung Eingaben unsicher direkt in SQL einfügt, kann ein Angreifer die Abfrage manipulieren. Problem: Eingabe wird nicht mehr nur als Wert behandelt, sondern als Teil des SQL-Befehls. Merksatz: Bei SQL Injection wird Eingabe zu Befehl. --- **Unsichere SQL-Abfrage als Prinzip** Unsicheres Prinzip: SQL-Befehl wird aus Text und Benutzereingabe zusammengebaut. Beispielgedanke: SELECT ... WHERE user = Eingabe AND password = Eingabe Wenn Eingabe nicht sauber behandelt wird, kann sie die Logik der Abfrage verändern. Merksatz: SQL nicht durch ungeprüftes Zusammenkleben von Text und Eingaben bauen. --- **Folgen von SQL Injection** Mögliche Folgen: Login ohne gültiges Passwort Auslesen von Kundendaten Auslesen von Passworthashes Verändern von Datensätzen Löschen von Tabellen Manipulation von Bestellungen Zugriff auf interne Informationen vollständige Kompromittierung der Anwendung Merksatz: SQL Injection kann sehr schwere Datenbankangriffe ermöglichen. --- **Schutz vor SQL Injection** Wichtige Schutzmaßnahmen: Prepared Statements parametrisierte Abfragen Eingabevalidierung keine SQL-Verkettung mit Benutzereingaben Rechte der Datenbankbenutzer begrenzen Fehlermeldungen nicht detailliert ausgeben Code Reviews Web Application Firewall als zusätzliche Schicht Merksatz: Parametrisierte Abfragen sind die wichtigste Maßnahme gegen SQL Injection. --- **Prepared Statements** Prepared Statements trennen SQL-Befehl und Werte. Die Datenbank erkennt: Das ist der SQL-Befehl. Das sind nur Werte. Dadurch wird verhindert, dass Benutzereingaben als SQL-Code ausgeführt werden. Merksatz: Prepared Statements behandeln Eingaben als Daten, nicht als Befehl. --- **Datenbankrechte begrenzen** Die Webanwendung sollte nicht mit einem Datenbankkonto arbeiten, das mehr Rechte hat als nötig. Beispiel: Anwendung muss nur lesen und schreiben, aber keine Tabellen löschen. Dann sollte das Datenbankkonto auch keine DROP-Rechte haben. Merksatz: Weniger Datenbankrechte begrenzen Schaden bei Angriffen. --- **Cross-Site Scripting** Cross-Site Scripting wird abgekürzt: XSS Bei XSS wird schädlicher Code in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Meist geht es um JavaScript im Browser. Merksatz: XSS greift Benutzer über die Webseite und den Browser an. --- **XSS einfach erklärt** Eine Webseite zeigt Benutzereingaben wieder an. Beispiel: Kommentar Profilname Suchbegriff Chatnachricht Wenn die Eingabe nicht korrekt behandelt wird, kann ein Angreifer Skriptcode einfügen. Dieser Code läuft dann im Browser anderer Benutzer. Merksatz: XSS entsteht, wenn Eingaben ungefiltert als aktive Webseite ausgegeben werden. --- **Folgen von XSS** Mögliche Folgen: Session-Cookies stehlen Benutzeraktionen auslösen Webseiteninhalt manipulieren Phishing innerhalb echter Webseite Tokens auslesen Benutzer umleiten Schadcode nachladen Formulardaten abgreifen Merksatz: XSS kann echte Webseiten für Angriffe gegen Benutzer missbrauchen. --- **Stored XSS** Stored XSS bedeutet: Schadcode wird dauerhaft gespeichert. Beispiel: Kommentar mit Schadcode wird in Datenbank gespeichert. Wenn andere Benutzer die Seite öffnen, wird der Schadcode ausgeführt. Merksatz: Stored XSS bleibt gespeichert und trifft mehrere Benutzer. --- **Reflected XSS** Reflected XSS bedeutet: Schadcode wird über eine Anfrage eingeschleust und direkt in der Antwort zurückgegeben. Beispiel: manipulierter Link enthält Schadcode. Benutzer klickt den Link, die Webseite gibt den Inhalt zurück, Browser führt ihn aus. Merksatz: Reflected XSS funktioniert oft über manipulierte Links. --- **DOM-based XSS** DOM-based XSS entsteht, wenn JavaScript im Browser unsicher mit Daten arbeitet. Dabei muss der Schadcode nicht unbedingt vom Server direkt eingefügt werden. Problematisch sind zum Beispiel: unsichere Verarbeitung von URL-Fragmenten unsichere DOM-Manipulation ungeprüftes innerHTML unsichere Client-Skripte Merksatz: DOM-XSS entsteht im Browser durch unsicheren JavaScript-Code. --- **Schutz vor XSS** Wichtige Schutzmaßnahmen: Ausgaben korrekt escapen Eingaben validieren Content Security Policy HttpOnly Cookies Secure Cookies SameSite Cookies sichere Frameworks nutzen keine ungeprüften HTML-Ausgaben Code Reviews gefährliche Funktionen vermeiden Merksatz: Gegen XSS ist korrektes Escaping bei der Ausgabe besonders wichtig. --- **Escaping** Escaping bedeutet: Sonderzeichen werden so umgewandelt, dass sie nicht als Code ausgeführt werden. Beispiel: Ein kleiner-als-Zeichen wird nicht als HTML-Tag interpretiert, sondern als sichtbares Zeichen ausgegeben. Merksatz: Escaping macht aus potenziellem Code normalen Text. --- **Content Security Policy** Content Security Policy wird abgekürzt: CSP Eine CSP ist eine Sicherheitsrichtlinie im Browser. Sie kann festlegen: welche Skripte erlaubt sind von welchen Quellen Inhalte geladen werden dürfen ob Inline-Skripte erlaubt sind ob externe Ressourcen erlaubt sind Merksatz: CSP begrenzt, welche Inhalte der Browser ausführen darf. --- **HttpOnly Cookie** Ein HttpOnly Cookie kann nicht direkt durch JavaScript gelesen werden. Vorteil: erschwert Cookie-Diebstahl bei XSS Wichtig: HttpOnly schützt nicht vor allen XSS-Folgen, aber reduziert ein wichtiges Risiko. Merksatz: HttpOnly schützt Cookies vor direktem JavaScript-Zugriff. --- **Secure Cookie** Ein Secure Cookie wird nur über HTTPS übertragen. Vorteil: Cookie wird nicht über unverschlüsselte HTTP-Verbindungen gesendet. Merksatz: Secure Cookies gehören zu HTTPS-Webanwendungen. --- **SameSite Cookie** SameSite steuert, ob Cookies bei seitenübergreifenden Anfragen mitgesendet werden. Es hilft besonders gegen CSRF. Mögliche Prinzipien: streng teilweise erlaubt ohne Einschränkung Merksatz: SameSite begrenzt Cookie-Versand bei fremden Webseiten. --- **Cross-Site Request Forgery** Cross-Site Request Forgery wird abgekürzt: CSRF Bei CSRF wird ein angemeldeter Benutzer dazu gebracht, unbewusst eine Aktion in einer Webanwendung auszulösen. Beispiel: Benutzer ist im Online-Portal angemeldet. Benutzer besucht eine bösartige Webseite. Diese Webseite löst im Hintergrund eine Anfrage an das Online-Portal aus. Merksatz: CSRF missbraucht eine bestehende Anmeldung für fremde Aktionen. --- **CSRF einfach erklärt** CSRF funktioniert, weil der Browser bei Anfragen an eine Webseite oft automatisch Cookies mitsendet. Wenn der Benutzer dort angemeldet ist, kann die Anfrage als gültig erscheinen. Mögliche Aktionen: E-Mail-Adresse ändern Passwortänderung starten Bestellung auslösen Einstellung ändern Benutzer hinzufügen Überweisung vorbereiten Merksatz: CSRF nutzt automatisch mitgesendete Sitzungsinformationen aus. --- **Schutz vor CSRF** Wichtige Schutzmaßnahmen: CSRF-Token SameSite Cookies Prüfung von Origin oder Referer erneute Bestätigung sensibler Aktionen MFA oder Passwortabfrage bei kritischen Aktionen keine zustandsändernden Aktionen per GET saubere Sessionverwaltung Merksatz: CSRF-Token schützen, weil fremde Seiten den gültigen Token nicht kennen. --- **CSRF-Token** Ein CSRF-Token ist ein zufälliger Wert, der in Formularen oder Anfragen mitgesendet wird. Die Anwendung prüft: Stimmt der Token zur Sitzung? Wenn nicht, wird die Aktion abgelehnt. Merksatz: CSRF-Token beweist, dass die Anfrage aus der echten Anwendung kommt. --- **SQL Injection, XSS und CSRF vergleichen** | Angriff | Ziel | Kernproblem | |---|---|---| | SQL Injection | Datenbank | Eingabe wird Teil von SQL | | XSS | Browser anderer Benutzer | Eingabe wird als Skript ausgeführt | | CSRF | angemeldete Sitzung | fremde Seite löst Aktion aus | Merksatz: SQL Injection trifft Datenbank. XSS trifft Browser. CSRF missbraucht Sitzung. --- **Directory Traversal** Directory Traversal bedeutet: Ein Angreifer versucht, über Pfadangaben auf Dateien außerhalb des erlaubten Bereichs zuzugreifen. Beispielprinzip: Statt erlaubter Datei wird versucht, über Pfadbestandteile in übergeordnete Verzeichnisse zu gelangen. Mögliche Ziele: Konfigurationsdateien Passwortdateien Quellcode Logdateien Systemdateien Merksatz: Directory Traversal nutzt unsichere Dateipfade aus. --- **Schutz vor Directory Traversal** Maßnahmen: Dateinamen validieren erlaubte Dateien per ID statt Pfad auswählen Pfade normalisieren und prüfen Zugriff auf festes Verzeichnis begrenzen keine direkten Benutzereingaben als Dateipfad nutzen Rechte des Webserver-Prozesses begrenzen Merksatz: Benutzer sollten keine freien Systempfade bestimmen können. --- **File Upload Attack** Bei einem File Upload Attack lädt ein Angreifer eine gefährliche Datei hoch. Beispiele: ausführbares Skript Webshell Malware manipuliertes Bild Datei mit falscher Endung übergroße Datei Archivbombe Mögliche Folgen: Codeausführung Malware-Verteilung Speicherüberlastung Angriff auf andere Benutzer Datenabfluss Merksatz: Datei-Uploads sind gefährlich, wenn Inhalt, Typ und Speicherort nicht geprüft werden. --- **Schutz bei Datei-Uploads** Maßnahmen: erlaubte Dateitypen begrenzen Dateigröße begrenzen MIME-Type prüfen Dateiendung prüfen Inhalt prüfen Malware-Scan Dateien außerhalb des Webroots speichern zufällige Dateinamen verwenden Ausführrechte verhindern Uploads getrennt verarbeiten Merksatz: Hochgeladene Dateien nie ungeprüft ausführbar speichern. --- **Webshell** Eine Webshell ist ein hochgeladenes oder eingeschleustes Skript, mit dem Angreifer Befehle auf einem Server ausführen können. Risiko: vollständige Serverübernahme Datenabfluss weitere Angriffe Backdoor Merksatz: Webshell = Fernsteuerung über Webskript. --- **Broken Authentication** Broken Authentication bedeutet: Die Anmeldung oder Sitzungsverwaltung ist unsicher. Beispiele: schwache Passwortrichtlinien kein MFA Session läuft zu lange Session-ID wird nicht erneuert unsichere Passwortzurücksetzung Tokens werden unsicher gespeichert Brute Force nicht begrenzt Merksatz: Broken Authentication gefährdet Benutzerkonten und Sitzungen. --- **Schutz gegen Broken Authentication** Maßnahmen: MFA starke Passwortrichtlinien Passwortmanager unterstützen Rate Limiting sichere Passwortzurücksetzung Session-Rotation nach Login kurze Sitzungslaufzeiten je nach Risiko sichere Token-Speicherung Login-Monitoring Merksatz: Anmeldung und Sitzungen müssen besonders geschützt werden. --- **Broken Access Control** Broken Access Control bedeutet: Benutzer können auf Funktionen oder Daten zugreifen, für die sie keine Berechtigung haben. Beispiele: Benutzer sieht fremde Rechnung normaler Benutzer ruft Adminfunktion auf URL-ID wird geändert und fremde Daten erscheinen API gibt mehr Daten zurück als erlaubt versteckte Schaltfläche reicht als Schutz Merksatz: Zugriffskontrolle muss serverseitig geprüft werden. --- **IDOR** IDOR steht für: Insecure Direct Object Reference Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen. Beispiel: /rechnung/1001 wird geändert zu: /rechnung/1002 Wenn die Anwendung nicht prüft, ob diese Rechnung zum Benutzer gehört, liegt ein Fehler vor. Merksatz: IDOR ist fehlende Zugriffskontrolle bei direkten Objekt-IDs. --- **Schutz gegen Broken Access Control** Maßnahmen: serverseitige Berechtigungsprüfung Rollen- und Rechtekonzept Zugriff pro Objekt prüfen keine Sicherheit nur über versteckte Buttons Standardmäßig Zugriff verweigern Adminfunktionen getrennt schützen API-Berechtigungen prüfen Tests mit verschiedenen Benutzerrollen Merksatz: Jeder Zugriff muss auf dem Server autorisiert werden. --- **Unsichere API** APIs sind Schnittstellen zwischen Anwendungen. Risiken: fehlende Authentifizierung fehlende Autorisierung zu viele Daten in Antwort keine Rate Limits unsichere Tokens unsichere CORS-Konfiguration fehlende Eingabeprüfung detaillierte Fehlermeldungen Merksatz: APIs brauchen dieselben Sicherheitsprüfungen wie Weboberflächen. --- **CORS** CORS steht für: Cross-Origin Resource Sharing CORS steuert, welche fremden Webseiten im Browser auf eine API zugreifen dürfen. Unsichere CORS-Konfigurationen können gefährlich sein, wenn zu viele Ursprünge erlaubt werden. Merksatz: CORS regelt Browserzugriffe zwischen verschiedenen Ursprüngen. --- **Rate Limiting bei APIs** APIs sollten Anfragen begrenzen. Schutz gegen: Brute Force Scraping DDoS auf Anwendungsebene Missbrauch von API-Schlüsseln unbeabsichtigte Überlastung Merksatz: APIs brauchen Rate Limits gegen Missbrauch und Überlastung. --- **Unsichere Fehlerausgaben** Fehlermeldungen können Angreifern helfen. Problematische Informationen: Datenbankfehler Pfade Stacktraces Versionsnummern interne IP-Adressen verwendete Frameworks SQL-Abfragen geheime Konfigurationen Merksatz: Fehlermeldungen für Benutzer knapp, Details nur intern loggen. --- **Security Headers** Security Headers sind HTTP-Header, die Browser-Sicherheitsfunktionen steuern. Beispiele: Content-Security-Policy Strict-Transport-Security X-Content-Type-Options Referrer-Policy X-Frame-Options oder frame-ancestors Merksatz: Security Headers härten Webanwendungen im Browser. --- **HSTS** HSTS steht für: HTTP Strict Transport Security HSTS weist Browser an, eine Webseite nur per HTTPS aufzurufen. Vorteil: Schutz vor Downgrade auf HTTP Merksatz: HSTS erzwingt HTTPS im Browser. --- **Clickjacking** Clickjacking bedeutet: Benutzer werden dazu gebracht, auf etwas zu klicken, ohne zu erkennen, was sie tatsächlich anklicken. Oft wird eine echte Webseite unsichtbar oder überlagert eingebettet. Schutz: X-Frame-Options Content-Security-Policy frame-ancestors Merksatz: Clickjacking täuscht Benutzer bei Klickaktionen. --- **Unsichere Konfiguration** Unsichere Webkonfigurationen sind häufig. Beispiele: Standardpasswörter Debug-Modus aktiv Verzeichnislisting aktiv unnötige Dienste alte TLS-Versionen unsichere Cipher Suites fehlende Security Headers Adminoberfläche öffentlich erreichbar Testdaten in Produktion Beispielseiten aktiv Merksatz: Sichere Webanwendungen brauchen sichere Konfiguration. --- **Verzeichnislisting** Verzeichnislisting bedeutet: Webserver zeigt den Inhalt eines Ordners an, wenn keine Startdatei vorhanden ist. Risiko: Dateien werden sichtbar, die nicht sichtbar sein sollten. Beispiele: Backups alte Versionen Konfigurationsdateien Uploads Skripte Merksatz: Verzeichnislisting auf Webservern deaktivieren. --- **Web Application Firewall** Web Application Firewall wird abgekürzt: WAF Eine WAF filtert HTTP- und HTTPS-Anfragen. Sie kann helfen gegen: SQL Injection XSS bekannte Angriffsmuster bösartige Bots verdächtige Parameter bestimmte Protokollverstöße Wichtig: Eine WAF ersetzt keine sichere Programmierung. Merksatz: WAF ist zusätzliche Schutzschicht, kein Ersatz für sicheren Code. --- **Secure Coding** Secure Coding bedeutet: Software wird von Anfang an sicher entwickelt. Dazu gehören: Eingabevalidierung Ausgabe-Escaping parametrisierte Datenbankabfragen sichere Authentifizierung Zugriffskontrolle sichere Fehlerbehandlung sichere Sessionverwaltung sichere Dateiverarbeitung Code Reviews Sicherheitstests Merksatz: Sicherheit muss in der Entwicklung mitgedacht werden. --- **Code Review** Code Review bedeutet: Quellcode wird von anderen Personen geprüft. Ziele: Fehler finden Sicherheitsprobleme erkennen Qualität verbessern Wissen teilen Standards einhalten Merksatz: Code Reviews helfen, Sicherheitsfehler früh zu finden. --- **Penetrationstest** Ein Penetrationstest ist eine geplante Sicherheitsprüfung, bei der Systeme kontrolliert auf Schwachstellen getestet werden. Wichtig: klarer Auftrag definierter Umfang erlaubter Zeitraum Dokumentation keine unkontrollierte Beschädigung Bericht mit Maßnahmen Merksatz: Penetrationstest ist kontrollierte Angriffssimulation. --- **Schwachstellenscan** Ein Schwachstellenscan sucht automatisiert nach bekannten Schwachstellen. Er prüft zum Beispiel: veraltete Software offene Ports bekannte CVEs unsichere Dienste fehlende Patches schwache TLS-Konfiguration Merksatz: Schwachstellenscan findet bekannte Probleme, ersetzt aber keinen vollständigen Penetrationstest. --- **OWASP** OWASP steht für: Open Worldwide Application Security Project OWASP ist bekannt für Sicherheitswissen zu Webanwendungen, zum Beispiel Listen häufiger Webrisiken. Für Prüfungen ist wichtig: Webanwendungen brauchen systematische Sicherheitsmaßnahmen. Merksatz: OWASP steht für praxisnahes Webanwendungs-Sicherheitswissen. --- **Typische Webschutzmaßnahmen** Wichtige Maßnahmen: Eingaben validieren Ausgaben escapen Prepared Statements CSRF-Token sichere Cookies Security Headers HTTPS HSTS MFA Rate Limiting Rollen- und Rechteprüfung sichere Datei-Uploads sichere Fehlerbehandlung Logging Monitoring Code Reviews WAF Patchmanagement Merksatz: Websicherheit braucht sichere Entwicklung, sichere Konfiguration und Überwachung. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist SQL Injection? - Wie schützt man sich vor SQL Injection? - Was sind Prepared Statements? - Was ist Cross-Site Scripting? - Was ist der Unterschied zwischen Stored XSS und Reflected XSS? - Wie schützt man sich vor XSS? - Was ist Cross-Site Request Forgery? - Wie schützen CSRF-Token? - Was ist Directory Traversal? - Warum sind Datei-Uploads gefährlich? - Was ist eine Webshell? - Was bedeutet Broken Authentication? - Was bedeutet Broken Access Control? - Was ist IDOR? - Warum muss Zugriff serverseitig geprüft werden? - Was ist CORS? - Warum brauchen APIs Rate Limiting? - Was ist HSTS? - Was ist Clickjacking? - Was ist eine WAF? - Warum ersetzt eine WAF keine sichere Programmierung? --- **Typische Prüfungsfallen** Frontend-Validierung ist keine Sicherheitsgrenze. Sicherheitsprüfung gehört ins Backend. SQL Injection betrifft Datenbankabfragen. Prepared Statements schützen gegen SQL Injection. XSS betrifft Browser anderer Benutzer. XSS-Schutz braucht korrektes Escaping. Stored XSS wird gespeichert. Reflected XSS kommt über Anfrage zurück. DOM-XSS entsteht im Browser. CSRF missbraucht bestehende Anmeldung. CSRF ist nicht dasselbe wie XSS. SameSite Cookies helfen gegen CSRF. Directory Traversal nutzt Dateipfade aus. Datei-Uploads nie ungeprüft ausführbar speichern. Webshell kann Server fernsteuerbar machen. Broken Authentication betrifft Anmeldung und Sitzung. Broken Access Control betrifft Berechtigungen. Versteckte Buttons sind keine Zugriffskontrolle. IDOR entsteht durch fehlende Objektprüfung. APIs brauchen Authentifizierung, Autorisierung und Rate Limits. Fehlerdetails nicht öffentlich anzeigen. HSTS erzwingt HTTPS. WAF ersetzt keinen sicheren Code. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Webangriff | Angriff auf Webanwendung oder API | | Eingabevalidierung | Prüfung von Benutzereingaben | | Frontend | Browser- oder Client-Seite | | Backend | Server-Seite | | SQL Injection | Einschleusen von SQL-Code | | Prepared Statement | getrennte SQL-Abfrage mit Parametern | | XSS | Cross-Site Scripting | | Stored XSS | dauerhaft gespeichertes XSS | | Reflected XSS | XSS über zurückgespiegelte Anfrage | | DOM-XSS | XSS durch Browser-DOM-Verarbeitung | | Escaping | Umwandeln von Sonderzeichen | | CSP | Content Security Policy | | HttpOnly | Cookie nicht per JavaScript lesbar | | Secure Cookie | Cookie nur über HTTPS | | SameSite | Cookie-Regel für fremde Seiten | | CSRF | Cross-Site Request Forgery | | CSRF-Token | Schutzwert gegen CSRF | | Directory Traversal | Zugriff über manipulierte Pfade | | File Upload Attack | Angriff über hochgeladene Datei | | Webshell | Webskript zur Fernsteuerung | | Broken Authentication | unsichere Anmeldung oder Sitzung | | Broken Access Control | fehlerhafte Zugriffskontrolle | | IDOR | Zugriff über unsichere Objekt-ID | | API | Programmierschnittstelle | | CORS | Cross-Origin Resource Sharing | | Rate Limiting | Begrenzung von Anfragen | | Security Headers | HTTP-Sicherheitsheader | | HSTS | HTTPS-Erzwingung | | Clickjacking | Täuschung bei Klickaktionen | | WAF | Web Application Firewall | | Secure Coding | sichere Softwareentwicklung | | Code Review | Prüfung von Quellcode | | Penetrationstest | kontrollierte Angriffssimulation | | Schwachstellenscan | automatisierte Suche bekannter Schwachstellen | | OWASP | Organisation für Webanwendungssicherheit | --- **IHK-sichere Kurzformulierung** Webangriffe richten sich gegen Webanwendungen, APIs, Sitzungen, Eingaben und Datenbanken. SQL Injection entsteht, wenn Benutzereingaben unsicher in Datenbankabfragen eingebaut werden; Schutz bieten Prepared Statements und parametrisierte Abfragen. Cross-Site Scripting schleust Skriptcode in Webseiten ein, der im Browser anderer Benutzer ausgeführt wird; Schutz bieten korrektes Escaping, sichere Frameworks, Content Security Policy und sichere Cookies. Cross-Site Request Forgery missbraucht eine bestehende Anmeldung, um ungewollte Aktionen auszulösen; Schutz bieten CSRF-Token und SameSite Cookies. Weitere Risiken sind unsichere Datei-Uploads, Directory Traversal, Broken Authentication, Broken Access Control, unsichere APIs und unsichere Konfiguration. Eine WAF kann unterstützen, ersetzt aber keine sichere Programmierung. --- **Merksätze** Webanwendungen sind häufig öffentlich erreichbar. Benutzereingaben niemals blind vertrauen. Frontend-Prüfung ist keine Sicherheitsgrenze. Sicherheitsprüfung gehört ins Backend. SQL Injection macht Eingabe zu SQL-Befehl. Prepared Statements trennen Befehl und Wert. Datenbankrechte begrenzen. XSS führt Skript im Browser aus. Stored XSS wird gespeichert. Reflected XSS kommt über Anfrage zurück. DOM-XSS entsteht im Browser. Escaping macht Code zu Text. CSP begrenzt ausführbare Inhalte. HttpOnly schützt Cookies vor JavaScript-Zugriff. Secure Cookie nur über HTTPS. SameSite hilft gegen CSRF. CSRF missbraucht bestehende Anmeldung. CSRF-Token schützt vor fremden Aktionen. SQL Injection, XSS und CSRF nicht verwechseln. Directory Traversal nutzt Pfade aus. Datei-Uploads streng prüfen. Webshell bedeutet Fernsteuerungsrisiko. Broken Authentication betrifft Anmeldung. Broken Access Control betrifft Rechte. IDOR ist fehlende Objektberechtigung. APIs brauchen dieselbe Sicherheit wie Weboberflächen. CORS nicht zu breit erlauben. Rate Limiting schützt APIs. Fehlerdetails nicht öffentlich anzeigen. Security Headers härten Browser-Schutz. HSTS erzwingt HTTPS. Clickjacking täuscht Klicks. WAF ist Zusatzschutz. WAF ersetzt keinen sicheren Code. Secure Coding früh einplanen. Code Reviews finden Fehler früh. Schwachstellenscan findet bekannte Probleme. Penetrationstest prüft kontrolliert tiefer. # 16.6 Schwachstellen, Patchmanagement und Hardening Schwachstellen sind Sicherheitslücken, die von Angreifern ausgenutzt werden können. Sie können entstehen durch: - Programmierfehler - veraltete Software - unsichere Standardkonfiguration - schwache Passwörter - fehlende Zugriffskontrolle - offene Ports - unnötige Dienste - falsche Berechtigungen - unsichere Protokolle - fehlende Updates - menschliche Fehler Merksatz: Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke. --- **Warum Schwachstellen gefährlich sind** Schwachstellen können dazu führen, dass Angreifer: Systeme übernehmen Daten auslesen Daten verändern Dienste stören Malware einschleusen Rechte ausweiten interne Systeme erreichen Sicherheitsfunktionen umgehen Merksatz: Schwachstellen sind oft der Einstiegspunkt für Angriffe. --- **Schwachstelle, Bedrohung und Risiko unterscheiden** | Begriff | Bedeutung | Beispiel | |---|---|---| | Schwachstelle | ausnutzbare Lücke | ungepatchter Server | | Bedrohung | mögliches schädliches Ereignis | Angreifer nutzt Lücke aus | | Risiko | Wahrscheinlichkeit und Auswirkung | Serverübernahme mit Datenabfluss | Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist die bewertete Gefahr. --- **Beispiele für technische Schwachstellen** Typische technische Schwachstellen: veraltetes Betriebssystem ungepatchter Webserver veraltete VPN-Appliance unsichere TLS-Version Standardpasswort offener RDP-Port öffentlich erreichbare Datenbank unsichere API fehlende Eingabeprüfung fehlerhafte Zugriffskontrolle veraltete Bibliothek unsicheres Container-Image Merksatz: Technische Schwachstellen entstehen oft durch alte Versionen oder falsche Konfiguration. --- **Beispiele für organisatorische Schwachstellen** Organisatorische Schwachstellen sind zum Beispiel: keine Zuständigkeiten keine regelmäßigen Updates keine Rechteprüfung kein Backup-Konzept keine Restore-Tests keine Sicherheitsrichtlinie kein Offboarding-Prozess keine Dokumentation keine Notfallplanung keine Schulung Merksatz: Organisation kann genauso Schwachstelle sein wie Technik. --- **Beispiele für menschliche Schwachstellen** Menschliche Schwachstellen entstehen durch: fehlendes Sicherheitsbewusstsein Passwort-Wiederverwendung unkritisches Öffnen von Anhängen Bestätigen unbekannter MFA-Anfragen Weitergabe von Zugangsdaten Umgehen von Prozessen fehlende Schulung Zeitdruck Gewohnheit Merksatz: Menschen brauchen klare Prozesse und Schulung, nicht nur technische Regeln. --- **CVE** CVE steht für: Common Vulnerabilities and Exposures CVE ist eine standardisierte Kennung für bekannte Schwachstellen. Beispielprinzip: CVE-Jahr-Nummer Eine CVE beschreibt eine bekannte Schwachstelle, damit Hersteller, Administratoren und Sicherheitswerkzeuge eindeutig darüber sprechen können. Merksatz: CVE ist eine eindeutige Kennung für bekannte Schwachstellen. --- **CVSS** CVSS steht für: Common Vulnerability Scoring System CVSS bewertet, wie kritisch eine Schwachstelle ist. Der Wert liegt üblicherweise zwischen: 0,0 und 10,0 Je höher der Wert, desto kritischer ist die Schwachstelle. Merksatz: CVSS bewertet die Kritikalität einer Schwachstelle. --- **CVSS richtig einordnen** Ein hoher CVSS-Wert bedeutet: Schwachstelle ist technisch kritisch. Aber für die Praxis muss zusätzlich geprüft werden: Ist das System betroffen? Ist der Dienst erreichbar? Gibt es bereits Ausnutzung? Gibt es Schutzmaßnahmen? Sind sensible Daten betroffen? Ist das System geschäftskritisch? Gibt es einen Patch? Gibt es einen Workaround? Merksatz: CVSS hilft bei Priorisierung, ersetzt aber keine Risikoanalyse. --- **Exploit** Ein Exploit ist eine Methode oder ein Code, mit dem eine Schwachstelle ausgenutzt wird. Beispiele: Exploit für veralteten Webserver Exploit für ungepatchte VPN-Appliance Exploit für fehlerhafte Bibliothek Exploit für unsichere Eingabeprüfung Merksatz: Exploit = Ausnutzung einer Schwachstelle. --- **Zero-Day-Schwachstelle** Eine Zero-Day-Schwachstelle ist eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist. Ein Zero-Day-Angriff nutzt diese Schwachstelle aus. Schutz ist schwieriger, aber möglich durch: Defense in Depth Least Privilege Netzwerksegmentierung EDR WAF Monitoring Härtung schnelle Reaktion Merksatz: Zero-Day bedeutet: Angriff vor verfügbarem regulärem Patch. --- **Patch** Ein Patch ist eine Korrektur oder Aktualisierung. Ein Patch kann beheben: Sicherheitslücke Programmfehler Stabilitätsproblem Kompatibilitätsproblem Merksatz: Patch = Korrektur oder Sicherheitsupdate. --- **Update und Upgrade unterscheiden** Update: kleinere Aktualisierung Fehlerbehebung Sicherheitskorrektur Versionspflege Upgrade: größere Versionsänderung neue Hauptversion neue Funktionen größere technische Änderung Merksatz: Update ist meist kleiner. Upgrade ist meist größer. --- **Patchmanagement** Patchmanagement bedeutet: Updates werden geplant, geprüft, verteilt und kontrolliert. Patchmanagement betrifft: Betriebssysteme Anwendungen Browser Serverdienste Datenbanken Firewalls Router Switches VPN-Gateways Firmware Container-Images Bibliotheken Cloud-Systeme Merksatz: Patchmanagement ist die organisierte Verwaltung von Sicherheitsupdates. --- **Warum Patchmanagement wichtig ist** Viele erfolgreiche Angriffe nutzen bekannte Schwachstellen, für die bereits Updates existieren. Ohne Patchmanagement bleiben Systeme unnötig angreifbar. Typische Folgen: Malware-Infektion Ransomware Datenabfluss Systemübernahme Ausfall laterale Bewegung im Netzwerk Merksatz: Ungepatchte Systeme sind leichte Ziele. --- **Patchmanagement-Ablauf** Ein sinnvoller Ablauf: 1. Systeme inventarisieren. 2. Schwachstelleninformationen prüfen. 3. Betroffenheit bewerten. 4. Kritikalität priorisieren. 5. Patch testen. 6. Wartungsfenster planen. 7. Patch ausrollen. 8. Funktion prüfen. 9. Erfolg dokumentieren. 10. Rest-Risiken bewerten. Merksatz: Patchmanagement braucht Überblick, Priorisierung, Test und Dokumentation. --- **Inventarisierung** Inventarisierung bedeutet: Es wird erfasst, welche Systeme, Software, Versionen und Komponenten vorhanden sind. Ohne Inventar ist unklar: Welche Systeme sind betroffen? Welche Version läuft? Wer ist verantwortlich? Wo muss gepatcht werden? Welche Systeme sind kritisch? Merksatz: Was nicht bekannt ist, kann nicht zuverlässig gepatcht werden. --- **Asset** Ein Asset ist ein Wert oder eine Ressource, die geschützt werden muss. Beispiele: Server Notebook Anwendung Datenbank Firewall Switch Cloud-Ressource Benutzerkonto Datenbestand Zertifikat API-Schlüssel Merksatz: Asset = schützenswerte Ressource. --- **Asset Management** Asset Management bedeutet: IT-Ressourcen werden erfasst, verwaltet bewertet und über ihren Lebenszyklus verfolgt. Wichtig für: Patchmanagement Lizenzmanagement Sicherheitsbewertung Kostenkontrolle Verantwortlichkeiten Notfallplanung Merksatz: Asset Management ist Grundlage für geordneten IT-Betrieb. --- **Priorisierung von Patches** Nicht alle Patches können immer gleichzeitig installiert werden. Priorisierung nach: Kritikalität der Schwachstelle Ausnutzbarkeit betroffene Systeme öffentliche Erreichbarkeit Geschäftskritikalität vorhandene Schutzmaßnahmen bekannte Angriffe Datenklassifizierung Aufwand und Risiko des Updates Merksatz: Kritische, ausnutzbare und öffentlich erreichbare Systeme zuerst patchen. --- **Notfallpatch** Ein Notfallpatch wird schnell eingespielt, wenn eine Schwachstelle besonders kritisch ist. Beispiele: aktive Ausnutzung bekannt öffentlich erreichbarer Dienst betroffen Ransomware nutzt Lücke aus keine ausreichende Schutzmaßnahme vorhanden Merksatz: Kritische Schwachstellen können außerplanmäßige Updates erfordern. --- **Wartungsfenster** Ein Wartungsfenster ist ein geplanter Zeitraum, in dem Änderungen durchgeführt werden. Ziele: Benutzer informieren Ausfallzeit planen Risiken reduzieren Rollback vorbereiten Verantwortliche erreichbar halten Merksatz: Wartungsfenster machen Änderungen planbar. --- **Rollback** Rollback bedeutet: Eine Änderung wird zurückgenommen. Beispiele: Patch deinstallieren Snapshot zurückspielen Konfiguration wiederherstellen alte Version aktivieren Backup wiederherstellen Wichtig: Rollback muss vor der Änderung geplant sein. Merksatz: Jede kritische Änderung braucht einen Rückweg. --- **Patch testen** Patches sollten geprüft werden, besonders bei kritischen Systemen. Zu prüfen: startet das System? läuft die Anwendung? funktionieren Dienste? gibt es Kompatibilitätsprobleme? funktionieren Schnittstellen? sind Performance-Probleme entstanden? funktioniert Backup weiterhin? Merksatz: Patchen ohne Test kann neue Störungen erzeugen. --- **Patch-Erfolg prüfen** Nach dem Patchen muss geprüft werden: Version aktualisiert? Schwachstelle geschlossen? Dienste laufen? Logs unauffällig? Monitoring grün? Benutzer können arbeiten? Schwachstellenscan bestätigt Erfolg? Merksatz: Patch abgeschlossen heißt: Wirkung und Betrieb geprüft. --- **Patchmanagement und Dokumentation** Dokumentiert werden sollten: betroffene Systeme alte Version neue Version Zeitpunkt Verantwortlicher Grund Testergebnis Rollback-Plan bekannte Probleme offene Rest-Risiken Merksatz: Dokumentation macht Änderungen nachvollziehbar. --- **Firmware-Updates** Firmware ist Software, die direkt auf Geräten läuft. Betroffene Geräte: Router Switches Firewalls Access Points Drucker NAS Serverhardware SSDs IoT-Geräte Firmware-Updates sind wichtig, weil Netzwerkgeräte oft dauerhaft erreichbar und sicherheitskritisch sind. Merksatz: Auch Netzwerkgeräte und Firmware müssen gepatcht werden. --- **Patchmanagement bei Netzwerkgeräten** Bei Netzwerkgeräten besonders beachten: Konfiguration sichern Firmware-Kompatibilität prüfen Wartungsfenster planen Redundanz prüfen Zugriff nach Update testen Rollback-Möglichkeit prüfen Monitoring beobachten Merksatz: Netzwerkgeräte-Updates brauchen besondere Vorsicht, weil sie Verbindungen beeinflussen. --- **Patchmanagement bei Servern** Bei Servern beachten: Dienste prüfen Abhängigkeiten prüfen Backups erstellen Wartungsfenster planen Neustarts berücksichtigen Anwendungskompatibilität prüfen Monitoring nach Update prüfen Merksatz: Serverpatches betreffen oft mehrere Dienste gleichzeitig. --- **Patchmanagement bei Clients** Bei Clients beachten: Betriebssystemupdates Browserupdates Office-Updates PDF-Reader E-Mail-Client VPN-Client Sicherheitssoftware Treiber lokale Anwendungen Merksatz: Clients sind häufige Einstiegspunkte und müssen aktuell bleiben. --- **Patchmanagement bei Cloud** Cloud-Patchverantwortung hängt vom Service-Modell ab. IaaS: Kunde patcht Betriebssystem, Anwendungen und eigene Dienste. PaaS: Anbieter patcht Plattform, Kunde patcht Anwendung, Code und Abhängigkeiten. SaaS: Anbieter patcht Anwendung, Kunde prüft Einstellungen, Benutzer, Rechte und Sicherheit. Merksatz: Cloud nimmt nicht jede Patchverantwortung ab. --- **Patchmanagement bei Containern** Container müssen ebenfalls gepflegt werden. Zu prüfen: Basisimage Bibliotheken Laufzeitumgebung Anwendungscode Paketabhängigkeiten Secrets im Image unsichere Konfiguration Container-Registry Maßnahmen: Images regelmäßig neu bauen Images scannen minimale Images nutzen veraltete Images ersetzen keine unnötigen Pakete installieren Merksatz: Container-Images altern und müssen aktualisiert werden. --- **Dependency Management** Dependency Management bedeutet: Abhängigkeiten einer Software werden verwaltet. Beispiele: Bibliotheken Frameworks Pakete Module Container-Basisimages Plugins Risiko: Eine verwundbare Bibliothek kann die ganze Anwendung gefährden. Merksatz: Auch Abhängigkeiten sind Teil der Sicherheit. --- **SBOM** SBOM steht für: Software Bill of Materials Eine SBOM listet Softwarebestandteile einer Anwendung auf. Beispiele: Bibliotheken Versionen Komponenten Abhängigkeiten Nutzen: schneller erkennen, ob eine bekannte Schwachstelle betroffen ist. Merksatz: SBOM ist eine Stückliste für Softwarebestandteile. --- **Schwachstellenscan** Ein Schwachstellenscan sucht automatisch nach bekannten Schwachstellen. Er prüft zum Beispiel: offene Ports Dienstversionen bekannte CVEs fehlende Patches unsichere TLS-Konfiguration Standarddienste schwache Konfigurationen verwundbare Bibliotheken Merksatz: Schwachstellenscan findet bekannte technische Probleme. --- **Grenzen von Schwachstellenscans** Ein Schwachstellenscan erkennt nicht alles. Grenzen: unbekannte Schwachstellen Logikfehler in Anwendungen komplexe Rechtefehler falsch bewertete Ergebnisse fehlende Zugangsdaten beim Scan Fehlalarme nicht erreichbare Systeme Merksatz: Schwachstellenscan unterstützt, ersetzt aber keine Sicherheitsanalyse. --- **False Positive und False Negative** False Positive: Ein Problem wird gemeldet, obwohl es nicht wirklich besteht. False Negative: Ein Problem wird nicht gemeldet, obwohl es besteht. Merksatz: Scan-Ergebnisse müssen bewertet werden. --- **Penetrationstest** Ein Penetrationstest ist eine kontrollierte Sicherheitsprüfung, bei der Angriffe simuliert werden. Ziel: Schwachstellen realistisch prüfen Angriffspfade erkennen Auswirkungen bewerten Maßnahmen ableiten Wichtig: schriftlicher Auftrag definierter Umfang erlaubter Zeitraum klare Regeln Abschlussbericht Merksatz: Penetrationstest ist kontrollierte Angriffssimulation. --- **Schwachstellenscan und Penetrationstest vergleichen** | Merkmal | Schwachstellenscan | Penetrationstest | |---|---|---| | Art | automatisiert | manuell und automatisiert | | Ziel | bekannte Schwachstellen finden | Angriffswege bewerten | | Tiefe | eher breit | tiefer und kontextbezogener | | Ergebnis | Liste möglicher Schwachstellen | bewerteter Sicherheitsbericht | | Grenze | Fehlalarme möglich | zeitlich und fachlich begrenzt | Merksatz: Scan findet Hinweise. Penetrationstest bewertet Angriffsrealität. --- **Hardening** Hardening bedeutet: Systeme werden sicherer konfiguriert, indem unnötige Funktionen entfernt und sichere Einstellungen gesetzt werden. Ziel: Angriffsfläche reduzieren Merksatz: Hardening reduziert unnötige Angriffsmöglichkeiten. --- **Warum Hardening wichtig ist** Viele Systeme werden mit Standardfunktionen ausgeliefert, die nicht immer benötigt werden. Beispiele: Standardkonten Beispieldateien Testseiten offene Dienste unnötige Module alte Protokolle unsichere Standardwerte Verzeichnislisting Merksatz: Standardkonfiguration ist nicht automatisch sicher. --- **Hardening-Grundregeln** Wichtige Grundregeln: unnötige Dienste deaktivieren offene Ports reduzieren Standardpasswörter ändern Standardkonten deaktivieren sichere Protokolle nutzen alte Protokolle abschalten Rechte minimieren Logging aktivieren sichere Konfiguration dokumentieren Zugriff beschränken Updates einspielen Merksatz: Nur aktivieren, was wirklich benötigt wird. --- **Betriebssystem-Hardening** Maßnahmen: unnötige Dienste deaktivieren lokale Firewall aktivieren Benutzerrechte begrenzen sichere Passwortrichtlinien automatische Updates planen Protokollierung aktivieren unsichere Freigaben entfernen Adminzugriffe begrenzen Standardkonten prüfen Systemdateien schützen Merksatz: Betriebssysteme brauchen sichere Grundkonfiguration. --- **Server-Hardening** Maßnahmen: nur benötigte Rollen installieren Dienste auf notwendige Ports begrenzen Adminzugänge beschränken TLS korrekt konfigurieren Sicherheitsheader setzen Fehlerausgaben reduzieren Logs aktivieren Dateirechte prüfen Backup-Zugriff schützen Monitoring einrichten Merksatz: Server sollen nur notwendige Dienste bereitstellen. --- **Webserver-Hardening** Maßnahmen: Verzeichnislisting deaktivieren unnötige Module entfernen alte TLS-Versionen deaktivieren Security Headers setzen Fehlermeldungen begrenzen Standardseiten entfernen Upload-Verzeichnisse absichern Dateirechte begrenzen Adminoberflächen schützen Logs aktivieren Merksatz: Webserver nicht mit unsicheren Standardfunktionen betreiben. --- **Datenbank-Hardening** Maßnahmen: nicht öffentlich erreichbar machen starke Authentifizierung Datenbankbenutzerrechte begrenzen Standardkonten deaktivieren Verschlüsselung prüfen Backups schützen Logging aktivieren Netzwerkzugriff einschränken Sicherheitsupdates einspielen keine Testdaten in Produktion Merksatz: Datenbanken gehören besonders geschützt. --- **Netzwerkgeräte-Hardening** Maßnahmen: Standardpasswörter ändern Managementzugang beschränken unsichere Protokolle deaktivieren SSH statt Telnet HTTPS statt HTTP SNMP sicher konfigurieren Firmware aktuell halten ungenutzte Ports deaktivieren Konfiguration sichern Logging an zentralen Server senden Merksatz: Netzwerkgeräte sind sicherheitskritische Infrastruktur. --- **Client-Hardening** Maßnahmen: keine lokalen Adminrechte automatische Updates EDR oder Antivirus Makros einschränken Application Control Festplattenverschlüsselung Bildschirmsperre sichere Browserkonfiguration USB-Regeln Firewall aktivieren Merksatz: Clients sind häufige Einstiegspunkte und müssen gehärtet werden. --- **Cloud-Hardening** Maßnahmen: MFA erzwingen IAM minimal berechtigen öffentliche IPs begrenzen Security Groups eng setzen Storage nicht öffentlich freigeben Audit-Logs aktivieren Verschlüsselung aktivieren Schlüsselverwaltung klären Kostenalarme setzen ungenutzte Ressourcen löschen Standardrollen prüfen Merksatz: Cloud-Hardening bedeutet sichere Konfiguration von Identitäten, Netzwerken, Daten und Diensten. --- **Container-Hardening** Maßnahmen: minimale Images verwenden keine Root-Ausführung, wenn nicht nötig keine Secrets im Image Images scannen nur vertrauenswürdige Registries Schreibrechte begrenzen Netzwerkzugriffe begrenzen Ressourcenlimits setzen unnötige Tools entfernen Images regelmäßig neu bauen Merksatz: Container sollten klein, aktuell und rechtearm sein. --- **Konfigurationsbaseline** Eine Baseline ist eine festgelegte Standardkonfiguration. Sie beschreibt, wie ein System sicher eingerichtet sein soll. Beispiele: erlaubte Dienste Passwortregeln Logging-Einstellungen Firewall-Grundregeln Update-Einstellungen TLS-Vorgaben Rechtevorgaben Merksatz: Baseline = definierter sicherer Grundzustand. --- **Configuration Drift** Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Baseline ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Installationen ungeprüfte Anpassungen Merksatz: Configuration Drift macht Systeme uneinheitlich und schwerer sicher zu betreiben. --- **Compliance-Scan** Ein Compliance-Scan prüft, ob Systeme bestimmte Vorgaben erfüllen. Beispiele: Passwortregeln aktiv? Logging aktiv? Firewall aktiv? Verschlüsselung aktiv? unsichere Dienste deaktiviert? Standardkonten deaktiviert? Patchstand korrekt? Merksatz: Compliance-Scan prüft Einhaltung definierter Sicherheitsvorgaben. --- **Change Management bei Sicherheit** Sicherheitsänderungen sollten geplant und dokumentiert werden. Beispiele: Firewall-Regel ändern Adminrolle vergeben Dienst öffnen Patch einspielen Zertifikat erneuern TLS-Version ändern neue VPN-Gruppe erstellen Merksatz: Auch Sicherheitsänderungen brauchen Kontrolle. --- **Vier-Augen-Prinzip** Vier-Augen-Prinzip bedeutet: kritische Aktionen werden von mindestens zwei Personen geprüft oder freigegeben. Beispiele: Adminrechte vergeben Firewall nach außen öffnen Backup löschen Produktivsystem ändern Zahlungsdaten ändern kritische Sicherheitseinstellung deaktivieren Merksatz: Vier-Augen-Prinzip reduziert Fehler und Missbrauch. --- **Regelmäßige Überprüfung** Sicherheitsmaßnahmen müssen regelmäßig geprüft werden. Zu prüfen: Patchstand offene Ports Benutzerrechte Adminrechte Firewall-Regeln Backups Restore-Tests Logs Zertifikate Cloud-Freigaben externe Zugänge Merksatz: Sicherheit ist ein laufender Prozess, kein einmaliger Zustand. --- **Typische Fehler bei Patchmanagement** Häufige Fehler: kein Inventar keine Zuständigkeit keine Priorisierung kritische Systeme werden vergessen Updates werden nie getestet kein Wartungsfenster kein Rollback-Plan Erfolg wird nicht geprüft Abhängigkeiten werden übersehen Firmware wird vergessen Container-Images bleiben alt Merksatz: Patchmanagement scheitert oft an Organisation, nicht nur an Technik. --- **Typische Fehler bei Hardening** Häufige Fehler: Standardpasswörter bleiben aktiv unnötige Dienste laufen offene Ports bleiben erreichbar alte Protokolle bleiben erlaubt Adminzugänge sind zu breit Logs sind deaktiviert Fehlermeldungen zeigen Details Cloud-Speicher ist öffentlich Testsysteme sind ungeschützt Baseline wird nicht kontrolliert Merksatz: Hardening muss überprüfbar und dauerhaft gepflegt sein. --- **Checkliste: Schwachstellen reduzieren** Assets erfassen. Versionen dokumentieren. Schwachstellenmeldungen prüfen. Kritikalität bewerten. Patches priorisieren. Updates testen. Wartungsfenster planen. Rollback vorbereiten. Patches ausrollen. Erfolg prüfen. Systeme härten. unnötige Dienste deaktivieren. Rechte begrenzen. Logs aktivieren. regelmäßige Scans durchführen. Maßnahmen dokumentieren. Merksatz: Schwachstellenmanagement verbindet Technik, Prozesse und Dokumentation. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist eine Schwachstelle? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist eine CVE? - Was ist CVSS? - Was ist ein Exploit? - Was ist ein Zero-Day? - Was ist Patchmanagement? - Warum ist Patchmanagement wichtig? - Welche Systeme müssen gepatcht werden? - Warum braucht man ein Inventar? - Wie priorisiert man Patches? - Was ist ein Notfallpatch? - Warum braucht man ein Wartungsfenster? - Was bedeutet Rollback? - Was ist Hardening? - Warum ist Standardkonfiguration nicht automatisch sicher? - Was ist eine Baseline? - Was bedeutet Configuration Drift? - Was ist ein Schwachstellenscan? - Was ist der Unterschied zwischen Schwachstellenscan und Penetrationstest? --- **Typische Prüfungsfallen** Schwachstelle, Bedrohung und Risiko nicht verwechseln. CVE benennt bekannte Schwachstellen. CVSS bewertet Kritikalität. Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse. Exploit nutzt eine Schwachstelle aus. Zero-Day hat noch keinen regulären Patch. Patchmanagement ist ein Prozess, nicht nur ein Klick auf Update. Ohne Inventar kein gutes Patchmanagement. Firmware und Netzwerkgeräte nicht vergessen. Container-Images müssen ebenfalls aktualisiert werden. Cloud nimmt nicht jede Patchpflicht ab. Patches priorisieren, nicht blind alles gleich behandeln. Kritische Systeme brauchen Test und Rollback. Hardening reduziert Angriffsfläche. Standardkonfiguration ist nicht automatisch sicher. Unnötige Dienste deaktivieren. Alte Protokolle abschalten. Baseline definiert sicheren Grundzustand. Configuration Drift regelmäßig prüfen. Schwachstellenscan findet bekannte Probleme, aber nicht alles. Penetrationstest ist kontrollierte Angriffssimulation. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit und Auswirkung eines Schadens | | Schutzmaßnahme | reduziert Risiko | | CVE | eindeutige Kennung bekannter Schwachstellen | | CVSS | Bewertung der Kritikalität einer Schwachstelle | | Exploit | Ausnutzung einer Schwachstelle | | Zero-Day | Schwachstelle ohne verfügbaren regulären Patch | | Patch | Korrektur oder Sicherheitsupdate | | Update | kleinere Aktualisierung | | Upgrade | größere Versionsänderung | | Patchmanagement | organisierte Verwaltung von Updates | | Inventarisierung | Erfassung vorhandener Systeme | | Asset | schützenswerte Ressource | | Asset Management | Verwaltung von IT-Ressourcen | | Notfallpatch | schneller Patch bei kritischer Schwachstelle | | Wartungsfenster | geplanter Änderungszeitraum | | Rollback | Rücknahme einer Änderung | | Firmware | Software auf Geräten | | Dependency Management | Verwaltung von Softwareabhängigkeiten | | SBOM | Stückliste von Softwarebestandteilen | | Schwachstellenscan | automatisierte Suche bekannter Schwachstellen | | False Positive | fälschlich gemeldetes Problem | | False Negative | nicht erkannter echter Fehler | | Penetrationstest | kontrollierte Angriffssimulation | | Hardening | sichere Systemhärtung | | Baseline | definierter sicherer Grundzustand | | Configuration Drift | Abweichung von Soll-Konfiguration | | Compliance-Scan | Prüfung auf Einhaltung von Vorgaben | | Vier-Augen-Prinzip | Prüfung durch mindestens zwei Personen | --- **IHK-sichere Kurzformulierung** Eine Schwachstelle ist eine ausnutzbare Sicherheitslücke in Technik, Konfiguration, Organisation oder Prozessen. Eine Bedrohung ist ein mögliches schädliches Ereignis, während Risiko die Kombination aus Eintrittswahrscheinlichkeit und Schadensauswirkung beschreibt. Bekannte Schwachstellen werden häufig mit CVE-Kennungen beschrieben und mit CVSS nach Kritikalität bewertet. Patchmanagement umfasst das Erfassen betroffener Systeme, Bewerten von Schwachstellen, Priorisieren, Testen, Einspielen und Dokumentieren von Updates. Hardening bedeutet, Systeme sicher zu konfigurieren, unnötige Dienste zu deaktivieren, Rechte zu begrenzen, unsichere Protokolle abzuschalten und sichere Baselines einzuhalten. Schwachstellenscans und Penetrationstests helfen, Sicherheitsprobleme zu erkennen und Maßnahmen abzuleiten. --- **Merksätze** Schwachstelle = ausnutzbare Lücke. Bedrohung = mögliches Schadereignis. Risiko = Wahrscheinlichkeit und Auswirkung. Schutzmaßnahme senkt Risiko. CVE benennt bekannte Schwachstellen. CVSS bewertet Kritikalität. Exploit nutzt Schwachstelle aus. Zero-Day hat noch keinen regulären Patch. Patch = Korrektur oder Sicherheitsupdate. Update kleiner, Upgrade größer. Patchmanagement ist ein Prozess. Ohne Inventar kein gutes Patchmanagement. Assets müssen bekannt sein. Kritische Patches priorisieren. Öffentlich erreichbare Systeme zuerst prüfen. Notfallpatch kann außerplanmäßig nötig sein. Wartungsfenster planen. Rollback vorbereiten. Patch-Erfolg prüfen. Firmware nicht vergessen. Netzwerkgeräte müssen aktualisiert werden. Clients sind häufige Einstiegspunkte. Cloud nimmt nicht jede Patchpflicht ab. Container-Images altern. Abhängigkeiten sind Teil der Sicherheit. SBOM zeigt Softwarebestandteile. Schwachstellenscan findet bekannte Probleme. False Positives prüfen. False Negatives bedenken. Penetrationstest prüft Angriffswege. Hardening reduziert Angriffsfläche. Standardkonfiguration ist nicht automatisch sicher. Unnötige Dienste deaktivieren. Rechte minimieren. Alte Protokolle abschalten. Baseline definiert sicheren Grundzustand. Configuration Drift vermeiden. Sicherheit regelmäßig überprüfen. Schwachstellenmanagement braucht Technik, Prozess und Dokumentation. # 16.7 Sicherheitsmaßnahmen: Firewall, IDS, IPS, EDR, SIEM und Backup Sicherheitsmaßnahmen schützen Systeme, Netzwerke, Daten und Benutzer vor Angriffen. Es gibt nicht die eine Maßnahme, die alles schützt. Stattdessen werden mehrere Schutzmaßnahmen kombiniert. Typische Sicherheitsmaßnahmen sind: - Firewall - Netzwerksegmentierung - IDS - IPS - Antivirus - EDR - SIEM - MFA - Backup - Patchmanagement - Hardening - Logging - Monitoring - Schulung - Incident Response Merksatz: IT-Sicherheit entsteht durch mehrere Schutzschichten. --- **Warum mehrere Schutzmaßnahmen nötig sind** Einzelne Schutzmaßnahmen können versagen. Beispiele: Firewall-Regel ist zu breit. Benutzer fällt auf Phishing herein. Antivirus erkennt neue Malware nicht. Patch ist noch nicht verfügbar. Backup wurde nicht getestet. Passwort wurde wiederverwendet. Adminrechte wurden zu großzügig vergeben. Deshalb braucht man mehrere Schutzschichten. Merksatz: Sicherheit darf nicht von einer einzigen Maßnahme abhängen. --- **Defense in Depth** Defense in Depth bedeutet: Sicherheit durch mehrere Schutzschichten. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring plus Schulung Wenn eine Schutzschicht versagt, sollen andere Schichten den Schaden begrenzen. Merksatz: Defense in Depth = mehrschichtige Verteidigung. --- **Prävention, Erkennung und Reaktion** Sicherheitsmaßnahmen lassen sich grob einteilen in: | Bereich | Ziel | Beispiele | |---|---|---| | Prävention | Angriff verhindern | Firewall, MFA, Patchmanagement | | Erkennung | Angriff erkennen | IDS, EDR, SIEM, Logging | | Reaktion | Schaden begrenzen | Incident Response, Isolation, Restore | Merksatz: Gute Sicherheit verhindert, erkennt und reagiert. --- **Firewall** Eine Firewall filtert Netzwerkverkehr anhand von Regeln. Sie entscheidet, ob Verkehr erlaubt oder blockiert wird. Typische Kriterien: Quelle Ziel Port Protokoll Richtung Zustand der Verbindung Anwendung je nach Firewalltyp Benutzer je nach System Merksatz: Firewall = kontrollierte Netzwerkgrenze. --- **Firewall-Aufgaben** Eine Firewall kann: interne Netze schützen Internetzugriffe filtern DMZ absichern VPN-Zugänge begrenzen Serverdienste schützen Netzwerkbereiche trennen unerwünschten Verkehr blockieren Verbindungsversuche protokollieren Merksatz: Firewalls begrenzen, welche Kommunikation erlaubt ist. --- **Paketfilter-Firewall** Eine Paketfilter-Firewall prüft einzelne Pakete anhand einfacher Merkmale. Beispiele: Quell-IP Ziel-IP Quellport Zielport Protokoll Vorteil: schnell grundlegend wirksam Nachteil: erkennt nicht immer den Zusammenhang einer Verbindung versteht Anwendungen nur begrenzt Merksatz: Paketfilter prüfen grundlegende Paketinformationen. --- **Stateful Firewall** Eine Stateful Firewall merkt sich Verbindungszustände. Sie erkennt, ob ein Paket zu einer bestehenden erlaubten Verbindung gehört. Vorteil: Rückverkehr kann automatisch korrekt zugeordnet werden. Beispiel: Client baut Verbindung zu Webserver auf. Antwortpakete werden als zugehörig erkannt. Merksatz: Stateful Firewall kennt den Zustand von Verbindungen. --- **Application Firewall** Eine Application Firewall prüft Verkehr auf Anwendungsebene. Beispiele: HTTP-Anfragen Webanwendungsangriffe ungewöhnliche Parameter SQL-Injection-Muster XSS-Muster Protokollverstöße Eine Web Application Firewall ist eine spezielle Form für Webanwendungen. Merksatz: Application Firewall schaut tiefer in Anwendungsverkehr. --- **Next-Generation Firewall** Eine Next-Generation Firewall kann mehr als einfache Portfilterung. Typische Funktionen: Stateful Inspection Anwendungserkennung Benutzerbezug IDS/IPS-Funktionen URL-Filter Malware-Erkennung VPN Logging Richtlinien nach Anwendungen Merksatz: Next-Generation Firewall kombiniert mehrere Sicherheitsfunktionen. --- **Firewall-Regeln richtig formulieren** Gute Firewall-Regeln sind: notwendig eindeutig dokumentiert möglichst eng nach Quelle, Ziel, Port und Protokoll definiert regelmäßig geprüft Schlechte Regel: Any to Any allow Bessere Regel: Webserver darf TCP 5432 zur Datenbank auf bestimmter IP nutzen. Merksatz: Erlaube nur, was wirklich benötigt wird. --- **Default Deny** Default Deny bedeutet: standardmäßig ist alles verboten, nur ausdrücklich erlaubter Verkehr ist erlaubt. Vorteil: weniger ungewollte Kommunikation bessere Kontrolle geringere Angriffsfläche Merksatz: Default Deny ist sicherer als pauschales Erlauben. --- **Firewall-Logging** Firewall-Logs zeigen, welcher Verkehr erlaubt oder blockiert wurde. Typische Inhalte: Zeit Quelle Ziel Port Protokoll Aktion Regelname Interface Benutzer je nach System Merksatz: Firewall-Logs helfen bei Fehlersuche und Sicherheitsanalyse. --- **Netzwerksegmentierung** Netzwerksegmentierung bedeutet: Netzwerke werden in getrennte Bereiche aufgeteilt. Beispiele: Clientnetz Servernetz Managementnetz Gastnetz IoT-Netz Produktionsnetz Backupnetz DMZ Vorteil: Angriffe können sich schlechter ausbreiten. Zugriffe können gezielter gesteuert werden. Merksatz: Segmentierung begrenzt Schaden und Ausbreitung. --- **VLANs als Segmentierung** VLANs trennen Netzwerke logisch auf Schicht 2. Beispiele: VLAN 10 Clients VLAN 20 Server VLAN 30 Gäste VLAN 40 Management Zwischen VLANs sollte kontrolliert geroutet und gefiltert werden. Merksatz: VLAN trennt logisch, Firewall-Regeln steuern den Verkehr dazwischen. --- **DMZ als Schutzmaßnahme** Eine DMZ ist ein gesonderter Netzwerkbereich für öffentlich erreichbare Dienste. Typische Systeme: Webserver Reverse Proxy Mail-Gateway VPN-Gateway DNS-Server Ziel: öffentliche Dienste vom internen Netz trennen. Merksatz: DMZ schützt interne Netze vor direktem Zugriff aus dem Internet. --- **IDS** IDS steht für: Intrusion Detection System Ein IDS erkennt verdächtige Aktivitäten und meldet sie. Es blockiert normalerweise nicht selbst, sondern erzeugt Alarme. Beispiele für Erkennung: Portscan bekannte Angriffssignatur verdächtiger Netzwerkverkehr ungewöhnliche Loginversuche Exploit-Versuch Merksatz: IDS erkennt Angriffe, blockiert aber nicht zwingend. --- **IPS** IPS steht für: Intrusion Prevention System Ein IPS erkennt verdächtige Aktivitäten und kann sie zusätzlich blockieren. Beispiele: Verbindung abbrechen Paket verwerfen Quelle blockieren Angriffsmuster stoppen Merksatz: IPS erkennt und verhindert Angriffe aktiv. --- **IDS und IPS vergleichen** | Merkmal | IDS | IPS | |---|---|---| | Bedeutung | Intrusion Detection System | Intrusion Prevention System | | Hauptaufgabe | erkennen und melden | erkennen und blockieren | | Wirkung | passiv oder beobachtend | aktiv eingreifend | | Risiko | Angriff wird nur gemeldet | Fehlalarm kann legitimen Verkehr blockieren | Merksatz: IDS meldet. IPS greift ein. --- **Signaturbasierte Erkennung** Signaturbasierte Erkennung sucht nach bekannten Mustern. Beispiele: bekannte Malware-Signatur bekannte Exploit-Anfrage bekannter Angriffspfad bekannter Hashwert bekannte Netzwerksequenz Vorteil: gut gegen bekannte Angriffe Nachteil: schwächer gegen neue oder veränderte Angriffe Merksatz: Signaturen erkennen Bekanntes. --- **Anomaliebasierte Erkennung** Anomaliebasierte Erkennung sucht nach ungewöhnlichem Verhalten. Beispiele: Benutzer meldet sich plötzlich aus fremdem Land an Server sendet ungewöhnlich viel Datenverkehr Client verbindet sich zu vielen internen Systemen Konto hat plötzlich viele Fehlversuche Prozess verschlüsselt viele Dateien Vorteil: kann neue Angriffe erkennen Nachteil: mehr Fehlalarme möglich Merksatz: Anomalieerkennung erkennt Abweichungen vom Normalverhalten. --- **False Positive und False Negative** False Positive: Ein Alarm wird ausgelöst, obwohl kein echter Angriff vorliegt. False Negative: Ein echter Angriff wird nicht erkannt. Beides ist problematisch. Merksatz: Sicherheitsalarme müssen bewertet und verbessert werden. --- **Antivirus** Antivirus-Software erkennt und blockiert bekannte Schadsoftware. Typische Funktionen: Dateiscan Echtzeitschutz Signaturprüfung Quarantäne Malware-Entfernung einfache Verhaltensprüfung Grenze: Antivirus allein reicht nicht gegen moderne Angriffe. Merksatz: Antivirus ist eine Schutzschicht, aber kein vollständiges Sicherheitskonzept. --- **EDR** EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte tiefer als klassischer Antivirus. Typische Funktionen: Prozessüberwachung Verhaltensanalyse Angriffserkennung Isolation eines Endgeräts Untersuchung von Vorfällen zentrale Verwaltung Reaktionsmaßnahmen Merksatz: EDR erkennt und untersucht Angriffe auf Endgeräten. --- **Endpoint** Ein Endpoint ist ein Endgerät oder System, das im Netzwerk genutzt wird. Beispiele: Notebook Desktop-PC Server virtuelle Maschine mobiles Gerät Cloud-VM Merksatz: Endpoint = Endsystem, auf dem Benutzer oder Dienste arbeiten. --- **EDR-Reaktionen** EDR kann bei einem Verdacht reagieren. Beispiele: Prozess beenden Datei isolieren Gerät vom Netzwerk trennen Verbindung blockieren Alarm erzeugen forensische Daten sammeln Datei in Quarantäne verschieben Merksatz: EDR ist nicht nur Erkennung, sondern auch Reaktion. --- **XDR** XDR steht für: Extended Detection and Response XDR erweitert Erkennung und Reaktion über mehrere Bereiche. Beispiele: Endgeräte E-Mail Netzwerk Cloud Identitäten Anwendungen Ziel: Ereignisse aus mehreren Quellen zusammenführen. Merksatz: XDR verbindet Sicherheitsdaten aus mehreren Bereichen. --- **SIEM** SIEM steht für: Security Information and Event Management Ein SIEM sammelt, speichert und analysiert Sicherheitsereignisse aus vielen Quellen. Quellen können sein: Firewalls Server Clients Cloud-Dienste IAM-Systeme VPN EDR IDS IPS Webserver Datenbanken Merksatz: SIEM ist zentrale Sicherheitslog-Auswertung. --- **SIEM-Aufgaben** Ein SIEM hilft bei: Angriffserkennung Korrelation von Ereignissen Alarmierung Nachvollziehbarkeit Compliance forensischer Analyse Reporting Incident Response Beispiel: Viele fehlgeschlagene Logins plus erfolgreicher Login aus fremdem Land plus Datenexport Das SIEM kann diese Ereignisse zusammenführen. Merksatz: SIEM erkennt Zusammenhänge, die einzelne Systeme allein nicht zeigen. --- **Korrelation** Korrelation bedeutet: mehrere Ereignisse werden miteinander in Beziehung gesetzt. Beispiel: Loginfehler danach erfolgreicher Login danach Rollenänderung danach Datenexport Ein einzelnes Ereignis wirkt vielleicht harmlos. Zusammen kann es verdächtig sein. Merksatz: Korrelation erkennt Muster über mehrere Logs hinweg. --- **SOC** SOC steht für: Security Operations Center Ein SOC überwacht Sicherheitsereignisse, bewertet Alarme und koordiniert Reaktionen. Aufgaben: Monitoring Analyse Alarmbewertung Incident Response Kommunikation Dokumentation Verbesserung von Regeln Merksatz: SOC ist die organisatorische Stelle für Sicherheitsüberwachung. --- **SOAR** SOAR steht für: Security Orchestration, Automation and Response SOAR automatisiert Sicherheitsabläufe. Beispiele: verdächtiges Konto automatisch sperren IP-Adresse blockieren Ticket erstellen EDR-Isolation auslösen Logdaten sammeln Benachrichtigung senden Merksatz: SOAR automatisiert Reaktionen auf Sicherheitsereignisse. --- **MFA als Schutzmaßnahme** MFA steht für: Multi-Faktor-Authentifizierung MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist. Faktoren können sein: Wissen: Passwort oder PIN Besitz: Smartphone, Token, Smartcard Sein: biometrisches Merkmal Merksatz: MFA reduziert Schaden durch gestohlene Passwörter. --- **Starke Authentifizierung** Starke Authentifizierung bedeutet: Anmeldung wird so abgesichert, dass ein einzelnes schwaches Passwort nicht ausreicht. Maßnahmen: MFA Hardwaretoken Zertifikate Conditional Access Risikoanalyse sichere Passwortregeln Passwortmanager Merksatz: Starke Anmeldung schützt Identitäten. --- **Least Privilege als Schutzmaßnahme** Least Privilege bedeutet: nur notwendige Rechte vergeben. Vorteile: weniger Schaden bei Kontoübernahme weniger Risiko durch Fehler weniger Angriffsfläche bessere Kontrolle Beispiele: Benutzer kein lokaler Admin Dienstkonto nur mit benötigten Rechten Datenbankkonto ohne unnötige Löschrechte Cloud-Rolle nur für konkrete Aufgabe Merksatz: Weniger Rechte bedeuten weniger möglicher Schaden. --- **Backup als Schutzmaßnahme** Backup schützt nicht direkt vor jedem Angriff, aber ermöglicht Wiederherstellung. Besonders wichtig bei: Ransomware versehentlichem Löschen Datenkorruption Fehlkonfiguration Hardwareausfall Systemkompromittierung Merksatz: Backup ist Schutz gegen Datenverlust und Ausfallfolgen. --- **Gutes Backup-Konzept** Ein gutes Backup-Konzept klärt: was gesichert wird wie oft gesichert wird wie lange gesichert wird wo gesichert wird wer Zugriff hat wie Wiederherstellung getestet wird wie Backups geschützt werden wie schnell wiederhergestellt werden muss wie viel Datenverlust erlaubt ist Merksatz: Backup ohne Restore-Test ist unvollständig. --- **Immutable Backup** Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht gelöscht oder verändert werden. Vorteile: Schutz vor Ransomware Schutz vor kompromittierten Adminzugängen Schutz vor versehentlicher Löschung Merksatz: Immutable Backups schützen Wiederherstellungsmöglichkeiten. --- **Restore-Test** Ein Restore-Test prüft, ob Wiederherstellung wirklich funktioniert. Zu prüfen: Daten vollständig? Anwendung startet? Rechte passen? Schlüssel vorhanden? Wiederherstellungszeit akzeptabel? Daten konsistent? Dokumentation korrekt? Merksatz: Nur getestete Backups sind verlässlich. --- **Logging als Schutzmaßnahme** Logging bedeutet: Ereignisse werden protokolliert. Wichtige Logs: Anmeldungen Adminaktionen Firewall-Entscheidungen Dateiänderungen Datenbankzugriffe VPN-Zugriffe Cloud-Audit-Logs EDR-Meldungen Webserver-Logs Merksatz: Logs machen Ereignisse nachvollziehbar. --- **Monitoring als Schutzmaßnahme** Monitoring überwacht Zustände und Metriken. Beispiele: ungewöhnliche Netzlast viele Loginfehler CPU-Spitzen Speicher voll Dienst nicht erreichbar Zertifikat läuft ab Backup fehlgeschlagen viele Firewall-Drops Merksatz: Monitoring erkennt Probleme früh. --- **Alarmierung** Alarmierung informiert Verantwortliche automatisch, wenn Grenzwerte oder Sicherheitsereignisse auftreten. Beispiele: Malware-Fund viele fehlgeschlagene Logins Adminrolle vergeben Backup fehlgeschlagen ungewöhnlicher Datenexport DDoS-Anzeichen Cloud-Kostenanstieg Merksatz: Alarmierung macht kritische Ereignisse sichtbar. --- **Security Awareness** Security Awareness bedeutet: Benutzer werden für Sicherheitsrisiken sensibilisiert. Themen: Phishing erkennen Passwörter sicher nutzen MFA-Anfragen richtig bewerten vertrauliche Daten schützen verdächtige Vorfälle melden sichere Nutzung von Cloud-Diensten Umgang mit USB-Geräten Social Engineering erkennen Merksatz: Schulung macht Benutzer zu einem Teil der Verteidigung. --- **Incident Response** Incident Response bedeutet: geplantes Vorgehen bei Sicherheitsvorfällen. Typische Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. --- **Containment** Containment bedeutet: einen Sicherheitsvorfall eindämmen. Beispiele: infiziertes Gerät isolieren Konto sperren API-Schlüssel widerrufen Firewall-Regel setzen VPN-Zugang deaktivieren kompromittierten Server vom Netz nehmen Ausbreitung stoppen Merksatz: Containment begrenzt Schaden und Ausbreitung. --- **Eradication** Eradication bedeutet: Ursache und Schadsoftware werden entfernt. Beispiele: Malware entfernen System neu aufsetzen Schwachstelle patchen Backdoor entfernen unsichere Konfiguration korrigieren kompromittierte Zugangsdaten ersetzen Merksatz: Eradication beseitigt die Ursache des Vorfalls. --- **Recovery** Recovery bedeutet: Systeme werden wiederhergestellt und kontrolliert in Betrieb genommen. Dazu gehören: Restore aus Backup Systeme prüfen Dienste starten Monitoring beobachten Benutzer informieren erneute Kompromittierung ausschließen Merksatz: Recovery bringt Systeme sicher zurück in den Betrieb. --- **Lessons Learned** Lessons Learned bedeutet: Nach einem Vorfall wird ausgewertet, was verbessert werden muss. Fragen: Wie kam es zum Vorfall? Was hat gut funktioniert? Was hat nicht funktioniert? Welche Maßnahmen fehlen? Welche Regeln müssen geändert werden? Welche Schulung ist nötig? Welche Technik muss verbessert werden? Merksatz: Jeder Vorfall sollte zu besserer Sicherheit führen. --- **Physische Sicherheitsmaßnahmen** IT-Sicherheit umfasst auch physischen Schutz. Beispiele: Zutrittskontrolle abschließbarer Serverraum Videoüberwachung Brandschutz USV Klimatisierung gesicherte Netzwerkschränke sichere Entsorgung von Datenträgern Merksatz: Ohne physischen Schutz kann technische Sicherheit umgangen werden. --- **Organisatorische Sicherheitsmaßnahmen** Organisatorische Maßnahmen regeln, wie Sicherheit umgesetzt wird. Beispiele: Sicherheitsrichtlinien Rollen und Verantwortlichkeiten Vier-Augen-Prinzip Freigabeprozesse Change Management Notfallhandbuch Berechtigungskonzept Schulungsplan Offboarding-Prozess Merksatz: Sicherheit braucht klare Prozesse und Verantwortlichkeiten. --- **Technische Sicherheitsmaßnahmen** Technische Maßnahmen schützen Systeme direkt. Beispiele: Firewall MFA Verschlüsselung EDR IDS IPS Backup Patchmanagement Hardening Netzwerksegmentierung Logging Monitoring Zugriffskontrolle Merksatz: Technische Maßnahmen wirken nur gut, wenn sie richtig konfiguriert und betrieben werden. --- **Personelle Sicherheitsmaßnahmen** Personelle Maßnahmen betreffen das Verhalten von Menschen. Beispiele: Schulungen Sensibilisierung klare Meldewege sichere Passwortnutzung Verhalten bei Phishing Umgang mit vertraulichen Daten Wissen über Social Engineering Merksatz: Menschen müssen wissen, wie sie sicher handeln sollen. --- **Sicherheitsmaßnahmen nach Angriffsziel** | Angriffsziel | passende Maßnahmen | |---|---| | Passwortdiebstahl | MFA, Passwortmanager, Schulung | | Malware | EDR, Patchmanagement, Rechtebegrenzung | | Ransomware | Backup, Immutable Backup, Segmentierung | | DDoS | DDoS-Schutz, Rate Limiting, CDN | | Webangriffe | Secure Coding, WAF, Code Review | | Datenabfluss | DLP, Verschlüsselung, Rechtekonzept | | Insider-Risiko | Logging, Least Privilege, Vier-Augen-Prinzip | | Kontoübernahme | MFA, Conditional Access, Monitoring | Merksatz: Maßnahme muss zum Risiko passen. --- **Typische Kombinationen in der Praxis** Beispiel Webserver: Firewall WAF Patchmanagement TLS Logging Monitoring Backup Rechtebegrenzung Beispiel Client: EDR Patchmanagement keine lokalen Adminrechte E-Mail-Schutz Makro-Schutz Schulung Beispiel Cloud: MFA IAM Security Groups Audit-Logs Verschlüsselung Backup Kostenalarme Merksatz: Unterschiedliche Systeme brauchen unterschiedliche Schutzpakete. --- **Typische Fehler bei Sicherheitsmaßnahmen** Häufige Fehler: nur eine Maßnahme einsetzen Firewall-Regeln nie prüfen Logs nicht aktivieren Alarme ignorieren Backups nicht testen MFA-Ausnahmen zu breit erlauben Adminrechte dauerhaft vergeben EDR nur installieren, aber nicht überwachen SIEM ohne klare Regeln betreiben Schulung vernachlässigen Incident Response nicht üben Merksatz: Sicherheitsmaßnahmen müssen betrieben, geprüft und verbessert werden. --- **Checkliste: Schutzmaßnahmen sinnvoll kombinieren** Risiken bestimmen. Schutzziele festlegen. Systeme inventarisieren. Firewall-Regeln prüfen. Segmentierung planen. MFA aktivieren. Rechte minimieren. Patchmanagement organisieren. Hardening durchführen. EDR einsetzen. Logs zentral sammeln. SIEM oder zentrale Auswertung nutzen. Backups schützen. Restore testen. Benutzer schulen. Incident Response vorbereiten. Maßnahmen regelmäßig prüfen. Merksatz: Sicherheit ist ein Prozess, kein einmaliger Zustand. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Defense in Depth? - Was ist eine Firewall? - Was ist der Unterschied zwischen Paketfilter und Stateful Firewall? - Was ist eine Next-Generation Firewall? - Was bedeutet Default Deny? - Warum ist Netzwerksegmentierung wichtig? - Was ist eine DMZ? - Was ist ein IDS? - Was ist ein IPS? - Was ist der Unterschied zwischen IDS und IPS? - Was ist EDR? - Was ist SIEM? - Was bedeutet Korrelation im SIEM? - Was ist ein SOC? - Was ist SOAR? - Warum ist MFA wichtig? - Warum ist Backup eine Sicherheitsmaßnahme? - Was ist ein Restore-Test? - Was ist Incident Response? - Was bedeutet Containment? - Warum sind Schulungen wichtig? --- **Typische Prüfungsfallen** Firewall ersetzt kein Patchmanagement. Antivirus ersetzt kein Sicherheitskonzept. IDS und IPS unterscheiden. IDS erkennt, IPS blockiert. EDR ist mehr als klassischer Antivirus. SIEM sammelt und korreliert Logs. SOC ist organisatorische Sicherheitsüberwachung. SOAR automatisiert Reaktionen. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Backup ohne Restore-Test ist unsicher. Immutable Backup schützt vor Manipulation. MFA schützt stark gegen Passwortmissbrauch, aber nicht gegen alles. Segmentierung begrenzt Ausbreitung. Default Deny ist sicherer als pauschales Erlauben. Logs müssen vor dem Vorfall aktiv sein. Alarme müssen bearbeitet werden. Schulungen sind Sicherheitsmaßnahme. Incident Response muss vorbereitet sein. Sicherheit braucht Technik, Organisation und Menschen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Sicherheitsmaßnahme | Maßnahme zur Risikoreduzierung | | Defense in Depth | mehrschichtige Verteidigung | | Prävention | Angriff verhindern | | Erkennung | Angriff feststellen | | Reaktion | auf Angriff reagieren | | Firewall | Filter für Netzwerkverkehr | | Paketfilter | prüft grundlegende Paketdaten | | Stateful Firewall | merkt sich Verbindungszustände | | Application Firewall | prüft Anwendungsebene | | NGFW | Next-Generation Firewall | | Default Deny | standardmäßig alles blockieren | | Segmentierung | Trennung von Netzbereichen | | VLAN | logische Netztrennung | | DMZ | Zone für öffentlich erreichbare Dienste | | IDS | Intrusion Detection System | | IPS | Intrusion Prevention System | | Signatur | bekanntes Angriffsmuster | | Anomalie | Abweichung vom Normalverhalten | | False Positive | falscher Alarm | | False Negative | nicht erkannter Angriff | | Antivirus | Schutz gegen bekannte Schadsoftware | | EDR | Endpoint Detection and Response | | Endpoint | Endgerät oder Endsystem | | XDR | erweiterte Erkennung und Reaktion | | SIEM | zentrale Sicherheitslog-Auswertung | | Korrelation | Verknüpfung mehrerer Ereignisse | | SOC | Security Operations Center | | SOAR | automatisierte Sicherheitsreaktion | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | minimale notwendige Rechte | | Backup | zusätzliche Datensicherung | | Immutable Backup | unveränderliches Backup | | Restore-Test | Prüfung der Wiederherstellung | | Logging | Ereignisprotokollierung | | Monitoring | Zustandsüberwachung | | Alerting | automatische Alarmierung | | Awareness | Sicherheitsbewusstsein | | Incident Response | Reaktion auf Sicherheitsvorfälle | | Containment | Eindämmung | | Eradication | Beseitigung der Ursache | | Recovery | Wiederherstellung | | Lessons Learned | Auswertung und Verbesserung | --- **IHK-sichere Kurzformulierung** Sicherheitsmaßnahmen sollen Risiken für Vertraulichkeit, Integrität und Verfügbarkeit reduzieren. Da einzelne Maßnahmen versagen können, werden mehrere Schutzschichten nach dem Prinzip Defense in Depth kombiniert. Firewalls begrenzen Netzwerkverkehr, Segmentierung trennt Netzbereiche, IDS erkennt Angriffe, IPS kann sie zusätzlich blockieren, EDR überwacht Endgeräte und SIEM sammelt und korreliert Sicherheitslogs. MFA schützt Identitäten, Least Privilege begrenzt Rechte, Backups und Restore-Tests sichern Wiederherstellung, und Incident Response regelt das Vorgehen bei Sicherheitsvorfällen. Gute IT-Sicherheit verbindet technische, organisatorische, personelle und physische Maßnahmen. --- **Merksätze** Sicherheit braucht mehrere Schutzschichten. Defense in Depth kombiniert Maßnahmen. Prävention verhindert. Erkennung erkennt. Reaktion begrenzt Schaden. Firewall filtert Netzwerkverkehr. Paketfilter prüft Paketdaten. Stateful Firewall kennt Verbindungen. Application Firewall prüft Anwendungsebene. Default Deny ist sicherer. Segmentierung begrenzt Ausbreitung. VLAN trennt logisch. DMZ schützt interne Netze. IDS erkennt Angriffe. IPS blockiert zusätzlich. Signaturen erkennen Bekanntes. Anomalien erkennen Abweichungen. False Positive ist falscher Alarm. False Negative ist verpasster Angriff. Antivirus ist nur eine Schutzschicht. EDR erkennt und reagiert auf Endgeräten. XDR verbindet mehrere Sicherheitsbereiche. SIEM sammelt und korreliert Logs. SOC überwacht Sicherheit organisatorisch. SOAR automatisiert Reaktionen. MFA schützt Identitäten. Least Privilege begrenzt Schaden. Backup hilft bei Wiederherstellung. Immutable Backup schützt Backups. Restore-Test beweist Backup-Nutzbarkeit. Logging macht Ereignisse nachvollziehbar. Monitoring erkennt Probleme. Alarmierung muss bearbeitet werden. Schulung ist Sicherheitsmaßnahme. Incident Response braucht Vorbereitung. Containment begrenzt Ausbreitung. Eradication beseitigt Ursache. Recovery stellt Betrieb wieder her. Lessons Learned verbessern Sicherheit. Sicherheit ist ein Prozess, kein einmaliger Zustand. # 16.8 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen Diese Seite fasst die wichtigsten Inhalte zu Angriffen, Schwachstellen, Schadsoftware, Phishing, Netzwerkangriffen, Webangriffen und Schutzmaßnahmen zusammen. Das Thema ist prüfungsrelevant, weil es viele Bereiche verbindet: - Informationssicherheit - Netzwerktechnik - Betriebssysteme - Anwendungen - Benutzerkonten - Cloud - Backup - Datenschutz - Monitoring - Incident Response Merksatz: IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. --- **Die drei wichtigsten Schutzziele** Die wichtigsten Schutzziele der Informationssicherheit sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit immer sauber unterscheiden. --- **Vertraulichkeit** Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten interne Dokumente Zugangsdaten Geschäftsgeheimnisse Angriffe auf Vertraulichkeit: Phishing Sniffing Spyware Datenabfluss unberechtigte Freigaben gestohlene Zugangsdaten Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. --- **Integrität** Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung wird manipuliert. Datenbankeintrag wird verändert. Konfigurationsdatei wird heimlich angepasst. Softwareupdate wird verfälscht. Angriffe auf Integrität: Man-in-the-Middle Malware SQL Injection Supply-Chain-Angriff unberechtigte Änderung Merksatz: Integrität schützt vor unbemerkter Manipulation. --- **Verfügbarkeit** Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webseite erreichbar Datenbank verfügbar Netzwerk funktioniert Dateien sind nutzbar Backup kann wiederhergestellt werden Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Systemausfall Merksatz: Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen. --- **CIA-Triade** CIA steht für: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. --- **Authentizität** Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die Nachricht wirklich vom angegebenen Absender? Merksatz: Authentizität schützt vor falscher Identität. --- **Nichtabstreitbarkeit** Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nachgewiesen werden und nicht glaubwürdig abgestritten werden. Beispiele: digitale Signatur Zeitstempel Audit-Log eindeutiges Benutzerkonto Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. --- **Schwachstelle, Bedrohung und Risiko** | Begriff | Bedeutung | |---|---| | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit und Auswirkung eines Schadens | | Schutzmaßnahme | reduziert ein Risiko | Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das Ereignis. Risiko ist die bewertete Gefahr. --- **Angriffsfläche** Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen Benutzerkonten VPN-Zugänge E-Mail APIs Cloud-Freigaben veraltete Software unsichere Dienste Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. --- **Angriffsfläche reduzieren** Maßnahmen: unnötige Dienste deaktivieren offene Ports reduzieren Standardkonten deaktivieren starke Authentifizierung nutzen Systeme patchen Rechte begrenzen Netzbereiche segmentieren öffentliche Freigaben prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Dienste und Zugänge entfernen. --- **Malware** Malware ist ein Oberbegriff für Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. --- **Virus** Ein Virus hängt sich häufig an Dateien oder Programme an und wird aktiv, wenn diese ausgeführt werden. Merksatz: Virus braucht oft eine Wirtsdatei oder Benutzeraktion. --- **Wurm** Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Merksatz: Wurm verbreitet sich selbstständig. --- **Trojaner** Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Merksatz: Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor. --- **Ransomware** Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Sie betrifft besonders: Verfügbarkeit und oft zusätzlich: Vertraulichkeit Merksatz: Ransomware greift Verfügbarkeit und bei Datenabfluss auch Vertraulichkeit an. --- **Double Extortion** Double Extortion bedeutet: Daten werden verschlüsselt und zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht. Merksatz: Double Extortion = Verschlüsselung plus Datenabfluss. --- **Schutz vor Ransomware** Wichtige Maßnahmen: Immutable Backups Offline-Backups regelmäßige Restore-Tests Patchmanagement EDR MFA Least Privilege keine lokalen Adminrechte Netzwerksegmentierung Monitoring schnelle Isolation betroffener Systeme Merksatz: Gegen Ransomware sind Backup, Rechtebegrenzung Segmentierung und schnelle Reaktion besonders wichtig. --- **Phishing** Phishing ist Täuschung, um Benutzer zur Preisgabe vertraulicher Informationen oder zu gefährlichen Aktionen zu bringen. Ziele: Passwörter MFA-Codes Zugangstokens Bankdaten Cloud-Zugänge VPN-Zugänge interne Informationen Merksatz: Phishing greift Menschen über Täuschung an. --- **Social Engineering** Social Engineering manipuliert Menschen, um Sicherheitsmaßnahmen zu umgehen. Angreifer nutzen: Zeitdruck Angst Autorität Hilfsbereitschaft Vertrauen Neugier Gewohnheit Merksatz: Social Engineering greift Verhalten und Prozesse an. --- **Spear Phishing und Whaling** Spear Phishing: gezieltes Phishing gegen bestimmte Personen oder Organisationen Whaling: Phishing gegen besonders wichtige Personen Beispiele für Whaling-Ziele: Geschäftsführung Finanzleitung Administratoren Personalabteilung Merksatz: Spear Phishing ist gezielt. Whaling trifft besonders wertvolle Ziele. --- **Smishing, Vishing und Quishing** | Begriff | Bedeutung | |---|---| | Smishing | Phishing per SMS | | Vishing | Phishing per Telefon | | Quishing | Phishing über QR-Code | Merksatz: Phishing ist nicht auf E-Mail beschränkt. --- **CEO-Fraud und BEC** CEO-Fraud: Angreifer geben sich als Führungskraft aus und fordern dringende Aktionen. BEC: Business E-Mail Compromise, Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation. Merksatz: CEO-Fraud und BEC nutzen Vertrauen, Autorität und Geschäftsprozesse. --- **Identitätsangriffe** Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen. Typische Formen: Brute Force Credential Stuffing Password Spraying Phishing Session Hijacking MFA-Missbrauch Account Takeover Merksatz: Wer Identitäten kontrolliert, kontrolliert oft den Zugriff. --- **Brute Force** Brute Force bedeutet: Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Rate Limiting Sperrmechanismen Monitoring Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. --- **Credential Stuffing** Credential Stuffing bedeutet: geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert. Schutz: eindeutige Passwörter Passwortmanager MFA Leak-Erkennung Merksatz: Credential Stuffing nutzt Passwort-Wiederverwendung. --- **Password Spraying** Password Spraying bedeutet: wenige häufige Passwörter werden gegen viele Konten getestet. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Benutzer. --- **MFA** MFA steht für: Multi-Faktor-Authentifizierung MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist. Merksatz: MFA reduziert Schaden durch gestohlene Passwörter. --- **MFA ist nicht unfehlbar** Mögliche Angriffe trotz MFA: MFA-Push-Fatigue gestohlene Session-Tokens Phishing mit Echtzeit-Weiterleitung kompromittiertes Endgerät Social Engineering beim Support SIM-Swapping bei SMS-MFA Merksatz: MFA ist sehr wichtig, aber kein vollständiger Ersatz für Sicherheitskonzept. --- **DoS und DDoS** DoS: Denial of Service DDoS: Distributed Denial of Service Unterschied: | Angriff | Bedeutung | |---|---| | DoS | Dienst wird gestört oder überlastet | | DDoS | verteilter DoS von vielen Quellen | Merksatz: DoS und DDoS greifen Verfügbarkeit an. --- **DDoS-Schutz** Maßnahmen: DDoS-Schutzdienst Provider-Unterstützung CDN Anycast Load Balancer Rate Limiting Firewall-Regeln WAF Monitoring Notfallplan Merksatz: DDoS-Schutz muss vorbereitet sein. --- **Man-in-the-Middle** Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Zugangsdaten abgreifen Sitzungen übernehmen Merksatz: MitM sitzt zwischen Sender und Empfänger. --- **Schutz vor Man-in-the-Middle** Maßnahmen: TLS korrekt nutzen Zertifikate prüfen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS sichere WLAN-Konfiguration DNS-Schutz MFA Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Es kann genutzt werden für: Fehlersuche oder missbraucht werden für: Abhören Passwortdiebstahl Sitzungsdiebstahl Merksatz: Sniffing ist Werkzeug und Risiko zugleich. --- **Spoofing** Spoofing bedeutet: Herkunft, Adresse oder Identität wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Identität oder Herkunft vor. --- **ARP-Spoofing** ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz. Mögliche Folge: Man-in-the-Middle Schutz: DHCP Snooping Dynamic ARP Inspection Segmentierung TLS Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. --- **DNS-Spoofing** DNS-Spoofing manipuliert die Namensauflösung. Folge: Benutzer wird zu falscher IP-Adresse geleitet. Schutz: vertrauenswürdige DNS-Resolver DNSSEC TLS-Zertifikatsprüfung sichere DHCP-Konfiguration Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. --- **Rogue DHCP** Rogue DHCP bedeutet: ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server Man-in-the-Middle Netzwerkstörung Schutz: DHCP Snooping Switchport-Sicherheit Monitoring physische Zugangskontrolle Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. --- **WLAN-Angriffe** Typische WLAN-Angriffe: Evil Twin Rogue Access Point unsichere Verschlüsselung falsches Captive Portal Deauthentication Mitschneiden unverschlüsselter Kommunikation Schutz: WPA2-Enterprise oder WPA3 802.1X starke Passwörter Zertifikatsprüfung Gastnetztrennung Rogue-AP-Erkennung Merksatz: WLAN braucht Verschlüsselung, Authentifizierung und Segmentierung. --- **Webangriffe** Typische Webangriffe: SQL Injection Cross-Site Scripting Cross-Site Request Forgery Directory Traversal File Upload Attack Broken Authentication Broken Access Control unsichere APIs unsichere Fehlerausgaben Merksatz: Webangriffe nutzen oft Eingaben, Sitzungen oder Berechtigungen aus. --- **SQL Injection** SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Schutz: Prepared Statements parametrisierte Abfragen Eingabevalidierung Datenbankrechte begrenzen Merksatz: SQL Injection macht Eingabe zu Datenbankbefehl. --- **Cross-Site Scripting** Cross-Site Scripting wird abgekürzt: XSS Dabei wird Skriptcode in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Schutz: Ausgabe escapen Eingaben validieren Content Security Policy HttpOnly Cookies sichere Frameworks Merksatz: XSS greift Benutzer über den Browser an. --- **CSRF** CSRF steht für: Cross-Site Request Forgery Dabei wird eine bestehende Anmeldung missbraucht, um ungewollte Aktionen auszulösen. Schutz: CSRF-Token SameSite Cookies Origin-Prüfung erneute Bestätigung kritischer Aktionen Merksatz: CSRF missbraucht eine gültige Sitzung. --- **SQL Injection, XSS und CSRF unterscheiden** | Angriff | Ziel | Kernproblem | |---|---|---| | SQL Injection | Datenbank | Eingabe wird SQL-Befehl | | XSS | Browser anderer Benutzer | Eingabe wird Skript | | CSRF | bestehende Sitzung | fremde Seite löst Aktion aus | Merksatz: SQL Injection trifft Datenbank. XSS trifft Browser. CSRF missbraucht Sitzung. --- **Broken Authentication** Broken Authentication bedeutet: Anmeldung oder Sitzungsverwaltung ist unsicher. Beispiele: kein MFA schwache Passwörter unsichere Passwortzurücksetzung zu lange Sessions Tokens unsicher gespeichert Merksatz: Broken Authentication gefährdet Konten und Sitzungen. --- **Broken Access Control** Broken Access Control bedeutet: Benutzer können auf Daten oder Funktionen zugreifen, für die sie keine Berechtigung haben. Beispiele: fremde Rechnung über geänderte ID anzeigen Adminfunktion als normaler Benutzer aufrufen API gibt fremde Daten zurück Merksatz: Zugriffskontrolle muss serverseitig geprüft werden. --- **IDOR** IDOR steht für: Insecure Direct Object Reference Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen. Merksatz: IDOR ist fehlende Objektberechtigung. --- **Schwachstellenmanagement** Schwachstellenmanagement bedeutet: Schwachstellen erkennen, bewerten, priorisieren, beheben und dokumentieren. Dazu gehören: Inventarisierung CVE-Bewertung CVSS-Einordnung Patchmanagement Schwachstellenscans Penetrationstests Hardening Dokumentation Merksatz: Schwachstellenmanagement ist ein dauerhafter Prozess. --- **CVE und CVSS** CVE: eindeutige Kennung für bekannte Schwachstellen CVSS: Bewertung der Kritikalität einer Schwachstelle Merksatz: CVE benennt. CVSS bewertet. --- **Exploit und Zero-Day** Exploit: Methode oder Code zur Ausnutzung einer Schwachstelle Zero-Day: Schwachstelle, für die noch kein regulärer Patch verfügbar ist oder die noch nicht öffentlich bekannt war Merksatz: Exploit nutzt eine Lücke. Zero-Day nutzt eine ungepatchte oder unbekannte Lücke. --- **Patchmanagement** Patchmanagement bedeutet: Updates werden geplant, getestet, verteilt geprüft und dokumentiert. Betroffen sind: Betriebssysteme Anwendungen Browser Datenbanken Firewalls Router Switches Firmware Container-Images Bibliotheken Cloud-Systeme Merksatz: Patchmanagement ist organisierte Update-Verwaltung. --- **Patchmanagement-Ablauf** Typischer Ablauf: 1. Systeme inventarisieren. 2. Schwachstellen prüfen. 3. Betroffenheit bewerten. 4. Kritikalität priorisieren. 5. Patch testen. 6. Wartungsfenster planen. 7. Patch ausrollen. 8. Funktion prüfen. 9. Erfolg dokumentieren. 10. Rest-Risiko bewerten. Merksatz: Patchmanagement braucht Inventar, Priorisierung, Test, Rollback und Dokumentation. --- **Hardening** Hardening bedeutet: Systeme werden sicherer konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren offene Ports reduzieren Standardpasswörter ändern alte Protokolle abschalten Rechte minimieren Logging aktivieren Adminzugriffe begrenzen Merksatz: Hardening reduziert Angriffsfläche. --- **Baseline** Eine Baseline ist ein definierter sicherer Grundzustand. Beispiele: erlaubte Dienste Passwortregeln Update-Einstellungen Logging-Pflicht Firewall-Grundregeln TLS-Vorgaben Rechtevorgaben Merksatz: Baseline = festgelegte sichere Standardkonfiguration. --- **Configuration Drift** Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Baseline ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Installationen Merksatz: Configuration Drift macht Systeme schwerer sicher zu betreiben. --- **Firewall** Eine Firewall filtert Netzwerkverkehr. Sie prüft zum Beispiel: Quelle Ziel Port Protokoll Richtung Verbindungszustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. --- **Default Deny** Default Deny bedeutet: standardmäßig ist alles verboten, nur ausdrücklich erlaubter Verkehr ist erlaubt. Merksatz: Default Deny ist sicherer als pauschales Erlauben. --- **IDS und IPS** IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS greift ein. --- **Antivirus, EDR und XDR** Antivirus: erkennt vor allem bekannte Schadsoftware EDR: Endpoint Detection and Response, erkennt und untersucht Angriffe auf Endgeräten XDR: Extended Detection and Response, verbindet mehrere Sicherheitsbereiche Merksatz: EDR ist umfassender als klassischer Antivirus. --- **SIEM, SOC und SOAR** SIEM: sammelt und korreliert Sicherheitslogs SOC: Security Operations Center, organisatorische Stelle für Sicherheitsüberwachung SOAR: automatisiert Sicherheitsreaktionen Merksatz: SIEM sammelt Daten. SOC bewertet. SOAR automatisiert Reaktionen. --- **Backup** Backup ist eine zusätzliche Sicherung zur Wiederherstellung. Wichtig: regelmäßig geschützt verschlüsselt getrennt dokumentiert getestet Merksatz: Backup ohne Restore-Test ist unsicher. --- **Immutable Backup** Immutable Backup bedeutet: Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schutz gegen: Ransomware versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt Wiederherstellungsmöglichkeiten. --- **Incident Response** Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Typische Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. --- **Containment, Eradication und Recovery** | Phase | Bedeutung | |---|---| | Containment | Vorfall eindämmen | | Eradication | Ursache beseitigen | | Recovery | Systeme wiederherstellen | Merksatz: Erst eindämmen, dann Ursache beseitigen, dann sicher wiederherstellen. --- **Defense in Depth** Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring plus Schulung Merksatz: Sicherheit darf nicht von einer einzigen Maßnahme abhängen. --- **Technische, organisatorische, personelle und physische Maßnahmen** | Maßnahmenart | Beispiele | |---|---| | technisch | Firewall, MFA, EDR, Backup, Verschlüsselung | | organisatorisch | Richtlinien, Prozesse, Verantwortlichkeiten | | personell | Schulung, Awareness, klare Meldewege | | physisch | Zutrittskontrolle, Serverraum, Brandschutz | Merksatz: Sicherheit besteht aus Technik, Organisation, Menschen und physischem Schutz. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die drei Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist Malware? - Was ist der Unterschied zwischen Virus und Wurm? - Was ist Ransomware? - Was ist Phishing? - Was ist Social Engineering? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist SQL Injection? - Was ist XSS? - Was ist CSRF? - Was ist CVE? - Was ist CVSS? - Was ist Patchmanagement? - Was ist Hardening? - Was ist eine Firewall? - Was ist der Unterschied zwischen IDS und IPS? - Was ist EDR? - Was ist SIEM? - Warum sind Backups wichtig? - Was ist Incident Response? - Was bedeutet Defense in Depth? --- **Typische Prüfungsfallen** Vertraulichkeit, Integrität und Verfügbarkeit nicht verwechseln. Ransomware betrifft nicht nur Verfügbarkeit, sondern oft auch Vertraulichkeit. Malware ist ein Oberbegriff. Virus und Wurm unterscheiden. Phishing ist nicht nur E-Mail. Social Engineering ist nicht rein technisch. DoS und DDoS unterscheiden. DDoS ist verteilt. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Herkunft oder Identität vor. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen gegen SQL Injection. Frontend-Validierung ist keine Sicherheitsgrenze. Zugriffskontrolle muss serverseitig erfolgen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse. Patchmanagement ist ein Prozess. Hardening ist sichere Konfiguration. Firewall ersetzt kein Patchmanagement. Antivirus ersetzt kein Sicherheitskonzept. IDS erkennt, IPS blockiert zusätzlich. EDR ist mehr als Antivirus. SIEM sammelt und korreliert Logs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Backup ohne Restore-Test ist unsicher. Security Awareness ist eine Schutzmaßnahme. Incident Response muss vorbereitet sein. Sicherheit ist ein Prozess, kein einmaliger Zustand. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | | Integrität | Schutz vor unbemerkter Veränderung | | Verfügbarkeit | Nutzbarkeit von Systemen und Daten | | Authentizität | Echtheit einer Identität oder Nachricht | | Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung | | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit und Auswirkung | | Angriffsfläche | Summe möglicher Angriffspunkte | | Malware | Schadsoftware | | Virus | Schadsoftware mit Wirtsdatei | | Wurm | selbstverbreitende Schadsoftware | | Trojaner | getarnte Schadsoftware | | Ransomware | erpresserische Verschlüsselung oder Sperrung | | Phishing | Täuschung zur Datenpreisgabe | | Social Engineering | Manipulation von Menschen | | Brute Force | systematisches Ausprobieren | | Credential Stuffing | Nutzung geleakter Zugangsdaten | | Password Spraying | wenige Passwörter gegen viele Konten | | DoS | Dienstverweigerung | | DDoS | verteilte Dienstverweigerung | | MitM | Man-in-the-Middle | | Sniffing | Mitschneiden von Verkehr | | Spoofing | Vortäuschen falscher Identität | | ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung | | DNS-Spoofing | Manipulation von DNS-Antworten | | Rogue DHCP | unautorisierter DHCP-Server | | Evil Twin | gefälschter WLAN-Access-Point | | SQL Injection | Einschleusen von SQL-Code | | XSS | Cross-Site Scripting | | CSRF | Cross-Site Request Forgery | | IDOR | unsichere direkte Objekt-ID | | CVE | Kennung bekannter Schwachstellen | | CVSS | Kritikalitätsbewertung | | Exploit | Ausnutzung einer Schwachstelle | | Zero-Day | ungepatchte oder unbekannte Schwachstelle | | Patchmanagement | organisierte Update-Verwaltung | | Hardening | sichere Systemhärtung | | Baseline | sicherer Grundzustand | | Configuration Drift | Abweichung von Soll-Konfiguration | | Firewall | Filter für Netzwerkverkehr | | IDS | Angriffserkennung | | IPS | Angriffserkennung mit Blockierung | | Antivirus | Schutz gegen bekannte Schadsoftware | | EDR | Endpoint Detection and Response | | XDR | Extended Detection and Response | | SIEM | Sicherheitslog-Auswertung | | SOC | Security Operations Center | | SOAR | automatisierte Sicherheitsreaktion | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | minimale notwendige Rechte | | Backup | zusätzliche Datensicherung | | Immutable Backup | unveränderliches Backup | | Restore-Test | Prüfung der Wiederherstellung | | Incident Response | Reaktion auf Sicherheitsvorfälle | | Defense in Depth | mehrschichtige Verteidigung | --- **IHK-sichere Gesamtformulierung** Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth. --- **Wichtigste Merksätze** IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist Wahrscheinlichkeit und Auswirkung. Angriffsfläche reduzieren. Malware ist Schadsoftware. Virus hängt sich an Dateien. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. Double Extortion bedeutet Verschlüsselung plus Datenabfluss. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Phishing ist nicht nur E-Mail. MFA schützt stark, aber nicht gegen alles. Passwörter nicht wiederverwenden. DoS und DDoS greifen Verfügbarkeit an. DDoS ist verteilt. MitM sitzt zwischen Sender und Empfänger. Sniffing kann nützlich sein, aber auch missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale Netze. DNS-Spoofing führt zu falschen Zielen. Rogue DHCP verteilt falsche Netzwerkeinstellungen. WLAN braucht starke Absicherung. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen vor SQL Injection. Escaping schützt vor XSS. CSRF-Token schützen vor CSRF. Zugriffskontrolle immer serverseitig prüfen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Patchmanagement ist ein Prozess. Hardening reduziert Angriffsfläche. Baseline definiert sicheren Grundzustand. Configuration Drift vermeiden. Firewall begrenzt Netzwerkzugriffe. Default Deny ist sicherer. IDS erkennt. IPS blockiert zusätzlich. EDR schützt Endgeräte tiefer als Antivirus. SIEM korreliert Sicherheitslogs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Restore-Test ist Pflicht. Immutable Backup schützt vor Manipulation. Incident Response vorbereiten. Defense in Depth kombiniert Schutzschichten. Sicherheit ist ein dauerhafter Prozess. # 16.7 Merksätze und Prüfungswissen zu Angriffen und Schutzmaßnahmen Diese Seite fasst die wichtigsten Inhalte zu Angriffen, Schwachstellen, Schadsoftware, Phishing, Netzwerkangriffen, Webangriffen und Schutzmaßnahmen zusammen. Das Thema ist prüfungsrelevant, weil es viele Bereiche verbindet: - Informationssicherheit - Netzwerktechnik - Betriebssysteme - Anwendungen - Benutzerkonten - Cloud - Backup - Datenschutz - Monitoring - Incident Response Merksatz: IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. --- **Die drei wichtigsten Schutzziele** Die wichtigsten Schutzziele der Informationssicherheit sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe bilden die Grundlage vieler Sicherheitsfragen. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit immer sauber unterscheiden. --- **Vertraulichkeit** Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten interne Dokumente Zugangsdaten Geschäftsgeheimnisse Angriffe auf Vertraulichkeit: Phishing Sniffing Spyware Datenabfluss unberechtigte Freigaben gestohlene Zugangsdaten Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. --- **Integrität** Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung wird manipuliert. Datenbankeintrag wird verändert. Konfigurationsdatei wird heimlich angepasst. Softwareupdate wird verfälscht. Angriffe auf Integrität: Man-in-the-Middle Malware SQL Injection Supply-Chain-Angriff unberechtigte Änderung Merksatz: Integrität schützt vor unbemerkter Manipulation. --- **Verfügbarkeit** Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webseite erreichbar Datenbank verfügbar Netzwerk funktioniert Dateien sind nutzbar Backup kann wiederhergestellt werden Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Systemausfall Merksatz: Verfügbarkeit schützt die Nutzbarkeit von IT-Systemen. --- **CIA-Triade** CIA steht für: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. --- **Authentizität** Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die Nachricht wirklich vom angegebenen Absender? Merksatz: Authentizität schützt vor falscher Identität. --- **Nichtabstreitbarkeit** Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nachgewiesen werden und nicht glaubwürdig abgestritten werden. Beispiele: digitale Signatur Zeitstempel Audit-Log eindeutiges Benutzerkonto Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. --- **Schwachstelle, Bedrohung und Risiko** | Begriff | Bedeutung | |---|---| | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit und Auswirkung eines Schadens | | Schutzmaßnahme | reduziert ein Risiko | Merksatz: Schwachstelle ist die Lücke. Bedrohung ist das Ereignis. Risiko ist die bewertete Gefahr. --- **Angriffsfläche** Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen Benutzerkonten VPN-Zugänge E-Mail APIs Cloud-Freigaben veraltete Software unsichere Dienste Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. --- **Angriffsfläche reduzieren** Maßnahmen: unnötige Dienste deaktivieren offene Ports reduzieren Standardkonten deaktivieren starke Authentifizierung nutzen Systeme patchen Rechte begrenzen Netzbereiche segmentieren öffentliche Freigaben prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Dienste und Zugänge entfernen. --- **Malware** Malware ist ein Oberbegriff für Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. --- **Virus** Ein Virus hängt sich häufig an Dateien oder Programme an und wird aktiv, wenn diese ausgeführt werden. Merksatz: Virus braucht oft eine Wirtsdatei oder Benutzeraktion. --- **Wurm** Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Merksatz: Wurm verbreitet sich selbstständig. --- **Trojaner** Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Merksatz: Trojaner täuscht Harmlosigkeit oder Nützlichkeit vor. --- **Ransomware** Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Sie betrifft besonders: Verfügbarkeit und oft zusätzlich: Vertraulichkeit Merksatz: Ransomware greift Verfügbarkeit und bei Datenabfluss auch Vertraulichkeit an. --- **Double Extortion** Double Extortion bedeutet: Daten werden verschlüsselt und zusätzlich wird mit Veröffentlichung gestohlener Daten gedroht. Merksatz: Double Extortion = Verschlüsselung plus Datenabfluss. --- **Schutz vor Ransomware** Wichtige Maßnahmen: Immutable Backups Offline-Backups regelmäßige Restore-Tests Patchmanagement EDR MFA Least Privilege keine lokalen Adminrechte Netzwerksegmentierung Monitoring schnelle Isolation betroffener Systeme Merksatz: Gegen Ransomware sind Backup, Rechtebegrenzung Segmentierung und schnelle Reaktion besonders wichtig. --- **Phishing** Phishing ist Täuschung, um Benutzer zur Preisgabe vertraulicher Informationen oder zu gefährlichen Aktionen zu bringen. Ziele: Passwörter MFA-Codes Zugangstokens Bankdaten Cloud-Zugänge VPN-Zugänge interne Informationen Merksatz: Phishing greift Menschen über Täuschung an. --- **Social Engineering** Social Engineering manipuliert Menschen, um Sicherheitsmaßnahmen zu umgehen. Angreifer nutzen: Zeitdruck Angst Autorität Hilfsbereitschaft Vertrauen Neugier Gewohnheit Merksatz: Social Engineering greift Verhalten und Prozesse an. --- **Spear Phishing und Whaling** Spear Phishing: gezieltes Phishing gegen bestimmte Personen oder Organisationen Whaling: Phishing gegen besonders wichtige Personen Beispiele für Whaling-Ziele: Geschäftsführung Finanzleitung Administratoren Personalabteilung Merksatz: Spear Phishing ist gezielt. Whaling trifft besonders wertvolle Ziele. --- **Smishing, Vishing und Quishing** | Begriff | Bedeutung | |---|---| | Smishing | Phishing per SMS | | Vishing | Phishing per Telefon | | Quishing | Phishing über QR-Code | Merksatz: Phishing ist nicht auf E-Mail beschränkt. --- **CEO-Fraud und BEC** CEO-Fraud: Angreifer geben sich als Führungskraft aus und fordern dringende Aktionen. BEC: Business E-Mail Compromise, Missbrauch oder Nachahmung geschäftlicher E-Mail-Kommunikation. Merksatz: CEO-Fraud und BEC nutzen Vertrauen, Autorität und Geschäftsprozesse. --- **Identitätsangriffe** Identitätsangriffe richten sich gegen Benutzerkonten und Anmeldungen. Typische Formen: Brute Force Credential Stuffing Password Spraying Phishing Session Hijacking MFA-Missbrauch Account Takeover Merksatz: Wer Identitäten kontrolliert, kontrolliert oft den Zugriff. --- **Brute Force** Brute Force bedeutet: Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Rate Limiting Sperrmechanismen Monitoring Merksatz: Brute Force wird durch Begrenzung und MFA erschwert. --- **Credential Stuffing** Credential Stuffing bedeutet: geleakte Zugangsdaten aus anderen Diensten werden erneut ausprobiert. Schutz: eindeutige Passwörter Passwortmanager MFA Leak-Erkennung Merksatz: Credential Stuffing nutzt Passwort-Wiederverwendung. --- **Password Spraying** Password Spraying bedeutet: wenige häufige Passwörter werden gegen viele Konten getestet. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Benutzer. --- **MFA** MFA steht für: Multi-Faktor-Authentifizierung MFA schützt, weil zusätzlich zum Passwort ein weiterer Faktor nötig ist. Merksatz: MFA reduziert Schaden durch gestohlene Passwörter. --- **MFA ist nicht unfehlbar** Mögliche Angriffe trotz MFA: MFA-Push-Fatigue gestohlene Session-Tokens Phishing mit Echtzeit-Weiterleitung kompromittiertes Endgerät Social Engineering beim Support SIM-Swapping bei SMS-MFA Merksatz: MFA ist sehr wichtig, aber kein vollständiger Ersatz für Sicherheitskonzept. --- **DoS und DDoS** DoS: Denial of Service DDoS: Distributed Denial of Service Unterschied: | Angriff | Bedeutung | |---|---| | DoS | Dienst wird gestört oder überlastet | | DDoS | verteilter DoS von vielen Quellen | Merksatz: DoS und DDoS greifen Verfügbarkeit an. --- **DDoS-Schutz** Maßnahmen: DDoS-Schutzdienst Provider-Unterstützung CDN Anycast Load Balancer Rate Limiting Firewall-Regeln WAF Monitoring Notfallplan Merksatz: DDoS-Schutz muss vorbereitet sein. --- **Man-in-the-Middle** Bei Man-in-the-Middle befindet sich ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Zugangsdaten abgreifen Sitzungen übernehmen Merksatz: MitM sitzt zwischen Sender und Empfänger. --- **Schutz vor Man-in-the-Middle** Maßnahmen: TLS korrekt nutzen Zertifikate prüfen Zertifikatswarnungen nicht ignorieren VPN in unsicheren Netzen HSTS sichere WLAN-Konfiguration DNS-Schutz MFA Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Es kann genutzt werden für: Fehlersuche oder missbraucht werden für: Abhören Passwortdiebstahl Sitzungsdiebstahl Merksatz: Sniffing ist Werkzeug und Risiko zugleich. --- **Spoofing** Spoofing bedeutet: Herkunft, Adresse oder Identität wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing ARP-Spoofing DNS-Spoofing E-Mail-Spoofing Merksatz: Spoofing täuscht Identität oder Herkunft vor. --- **ARP-Spoofing** ARP-Spoofing manipuliert die Zuordnung von IPv4-Adresse zu MAC-Adresse im lokalen Netz. Mögliche Folge: Man-in-the-Middle Schutz: DHCP Snooping Dynamic ARP Inspection Segmentierung TLS Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. --- **DNS-Spoofing** DNS-Spoofing manipuliert die Namensauflösung. Folge: Benutzer wird zu falscher IP-Adresse geleitet. Schutz: vertrauenswürdige DNS-Resolver DNSSEC TLS-Zertifikatsprüfung sichere DHCP-Konfiguration Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. --- **Rogue DHCP** Rogue DHCP bedeutet: ein unautorisierter DHCP-Server verteilt falsche Netzwerkeinstellungen. Mögliche Folgen: falsches Gateway falscher DNS-Server Man-in-the-Middle Netzwerkstörung Schutz: DHCP Snooping Switchport-Sicherheit Monitoring physische Zugangskontrolle Merksatz: Rogue DHCP verteilt falsche Netzwerkkonfiguration. --- **WLAN-Angriffe** Typische WLAN-Angriffe: Evil Twin Rogue Access Point unsichere Verschlüsselung falsches Captive Portal Deauthentication Mitschneiden unverschlüsselter Kommunikation Schutz: WPA2-Enterprise oder WPA3 802.1X starke Passwörter Zertifikatsprüfung Gastnetztrennung Rogue-AP-Erkennung Merksatz: WLAN braucht Verschlüsselung, Authentifizierung und Segmentierung. --- **Webangriffe** Typische Webangriffe: SQL Injection Cross-Site Scripting Cross-Site Request Forgery Directory Traversal File Upload Attack Broken Authentication Broken Access Control unsichere APIs unsichere Fehlerausgaben Merksatz: Webangriffe nutzen oft Eingaben, Sitzungen oder Berechtigungen aus. --- **SQL Injection** SQL Injection bedeutet: Angreifer schleust SQL-Code in Eingaben ein. Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Schutz: Prepared Statements parametrisierte Abfragen Eingabevalidierung Datenbankrechte begrenzen Merksatz: SQL Injection macht Eingabe zu Datenbankbefehl. --- **Cross-Site Scripting** Cross-Site Scripting wird abgekürzt: XSS Dabei wird Skriptcode in eine Webseite eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Schutz: Ausgabe escapen Eingaben validieren Content Security Policy HttpOnly Cookies sichere Frameworks Merksatz: XSS greift Benutzer über den Browser an. --- **CSRF** CSRF steht für: Cross-Site Request Forgery Dabei wird eine bestehende Anmeldung missbraucht, um ungewollte Aktionen auszulösen. Schutz: CSRF-Token SameSite Cookies Origin-Prüfung erneute Bestätigung kritischer Aktionen Merksatz: CSRF missbraucht eine gültige Sitzung. --- **SQL Injection, XSS und CSRF unterscheiden** | Angriff | Ziel | Kernproblem | |---|---|---| | SQL Injection | Datenbank | Eingabe wird SQL-Befehl | | XSS | Browser anderer Benutzer | Eingabe wird Skript | | CSRF | bestehende Sitzung | fremde Seite löst Aktion aus | Merksatz: SQL Injection trifft Datenbank. XSS trifft Browser. CSRF missbraucht Sitzung. --- **Broken Authentication** Broken Authentication bedeutet: Anmeldung oder Sitzungsverwaltung ist unsicher. Beispiele: kein MFA schwache Passwörter unsichere Passwortzurücksetzung zu lange Sessions Tokens unsicher gespeichert Merksatz: Broken Authentication gefährdet Konten und Sitzungen. --- **Broken Access Control** Broken Access Control bedeutet: Benutzer können auf Daten oder Funktionen zugreifen, für die sie keine Berechtigung haben. Beispiele: fremde Rechnung über geänderte ID anzeigen Adminfunktion als normaler Benutzer aufrufen API gibt fremde Daten zurück Merksatz: Zugriffskontrolle muss serverseitig geprüft werden. --- **IDOR** IDOR steht für: Insecure Direct Object Reference Dabei kann ein Benutzer durch Änderung einer ID auf fremde Objekte zugreifen. Merksatz: IDOR ist fehlende Objektberechtigung. --- **Schwachstellenmanagement** Schwachstellenmanagement bedeutet: Schwachstellen erkennen, bewerten, priorisieren, beheben und dokumentieren. Dazu gehören: Inventarisierung CVE-Bewertung CVSS-Einordnung Patchmanagement Schwachstellenscans Penetrationstests Hardening Dokumentation Merksatz: Schwachstellenmanagement ist ein dauerhafter Prozess. --- **CVE und CVSS** CVE: eindeutige Kennung für bekannte Schwachstellen CVSS: Bewertung der Kritikalität einer Schwachstelle Merksatz: CVE benennt. CVSS bewertet. --- **Exploit und Zero-Day** Exploit: Methode oder Code zur Ausnutzung einer Schwachstelle Zero-Day: Schwachstelle, für die noch kein regulärer Patch verfügbar ist oder die noch nicht öffentlich bekannt war Merksatz: Exploit nutzt eine Lücke. Zero-Day nutzt eine ungepatchte oder unbekannte Lücke. --- **Patchmanagement** Patchmanagement bedeutet: Updates werden geplant, getestet, verteilt geprüft und dokumentiert. Betroffen sind: Betriebssysteme Anwendungen Browser Datenbanken Firewalls Router Switches Firmware Container-Images Bibliotheken Cloud-Systeme Merksatz: Patchmanagement ist organisierte Update-Verwaltung. --- **Patchmanagement-Ablauf** Typischer Ablauf: 1. Systeme inventarisieren. 2. Schwachstellen prüfen. 3. Betroffenheit bewerten. 4. Kritikalität priorisieren. 5. Patch testen. 6. Wartungsfenster planen. 7. Patch ausrollen. 8. Funktion prüfen. 9. Erfolg dokumentieren. 10. Rest-Risiko bewerten. Merksatz: Patchmanagement braucht Inventar, Priorisierung, Test, Rollback und Dokumentation. --- **Hardening** Hardening bedeutet: Systeme werden sicherer konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren offene Ports reduzieren Standardpasswörter ändern alte Protokolle abschalten Rechte minimieren Logging aktivieren Adminzugriffe begrenzen Merksatz: Hardening reduziert Angriffsfläche. --- **Baseline** Eine Baseline ist ein definierter sicherer Grundzustand. Beispiele: erlaubte Dienste Passwortregeln Update-Einstellungen Logging-Pflicht Firewall-Grundregeln TLS-Vorgaben Rechtevorgaben Merksatz: Baseline = festgelegte sichere Standardkonfiguration. --- **Configuration Drift** Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Baseline ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Installationen Merksatz: Configuration Drift macht Systeme schwerer sicher zu betreiben. --- **Firewall** Eine Firewall filtert Netzwerkverkehr. Sie prüft zum Beispiel: Quelle Ziel Port Protokoll Richtung Verbindungszustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. --- **Default Deny** Default Deny bedeutet: standardmäßig ist alles verboten, nur ausdrücklich erlaubter Verkehr ist erlaubt. Merksatz: Default Deny ist sicherer als pauschales Erlauben. --- **IDS und IPS** IDS: Intrusion Detection System erkennt und meldet Angriffe IPS: Intrusion Prevention System erkennt und blockiert Angriffe zusätzlich Merksatz: IDS meldet. IPS greift ein. --- **Antivirus, EDR und XDR** Antivirus: erkennt vor allem bekannte Schadsoftware EDR: Endpoint Detection and Response, erkennt und untersucht Angriffe auf Endgeräten XDR: Extended Detection and Response, verbindet mehrere Sicherheitsbereiche Merksatz: EDR ist umfassender als klassischer Antivirus. --- **SIEM, SOC und SOAR** SIEM: sammelt und korreliert Sicherheitslogs SOC: Security Operations Center, organisatorische Stelle für Sicherheitsüberwachung SOAR: automatisiert Sicherheitsreaktionen Merksatz: SIEM sammelt Daten. SOC bewertet. SOAR automatisiert Reaktionen. --- **Backup** Backup ist eine zusätzliche Sicherung zur Wiederherstellung. Wichtig: regelmäßig geschützt verschlüsselt getrennt dokumentiert getestet Merksatz: Backup ohne Restore-Test ist unsicher. --- **Immutable Backup** Immutable Backup bedeutet: Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Schutz gegen: Ransomware versehentliche Löschung kompromittierte Adminzugänge Merksatz: Immutable Backup schützt Wiederherstellungsmöglichkeiten. --- **Incident Response** Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Typische Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. --- **Containment, Eradication und Recovery** | Phase | Bedeutung | |---|---| | Containment | Vorfall eindämmen | | Eradication | Ursache beseitigen | | Recovery | Systeme wiederherstellen | Merksatz: Erst eindämmen, dann Ursache beseitigen, dann sicher wiederherstellen. --- **Defense in Depth** Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring plus Schulung Merksatz: Sicherheit darf nicht von einer einzigen Maßnahme abhängen. --- **Technische, organisatorische, personelle und physische Maßnahmen** | Maßnahmenart | Beispiele | |---|---| | technisch | Firewall, MFA, EDR, Backup, Verschlüsselung | | organisatorisch | Richtlinien, Prozesse, Verantwortlichkeiten | | personell | Schulung, Awareness, klare Meldewege | | physisch | Zutrittskontrolle, Serverraum, Brandschutz | Merksatz: Sicherheit besteht aus Technik, Organisation, Menschen und physischem Schutz. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die drei Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist der Unterschied zwischen Schwachstelle, Bedrohung und Risiko? - Was ist Malware? - Was ist der Unterschied zwischen Virus und Wurm? - Was ist Ransomware? - Was ist Phishing? - Was ist Social Engineering? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist SQL Injection? - Was ist XSS? - Was ist CSRF? - Was ist CVE? - Was ist CVSS? - Was ist Patchmanagement? - Was ist Hardening? - Was ist eine Firewall? - Was ist der Unterschied zwischen IDS und IPS? - Was ist EDR? - Was ist SIEM? - Warum sind Backups wichtig? - Was ist Incident Response? - Was bedeutet Defense in Depth? --- **Typische Prüfungsfallen** Vertraulichkeit, Integrität und Verfügbarkeit nicht verwechseln. Ransomware betrifft nicht nur Verfügbarkeit, sondern oft auch Vertraulichkeit. Malware ist ein Oberbegriff. Virus und Wurm unterscheiden. Phishing ist nicht nur E-Mail. Social Engineering ist nicht rein technisch. DoS und DDoS unterscheiden. DDoS ist verteilt. MitM sitzt zwischen Kommunikationspartnern. Spoofing täuscht Herkunft oder Identität vor. DNSSEC schützt Integrität, nicht automatisch Vertraulichkeit. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen gegen SQL Injection. Frontend-Validierung ist keine Sicherheitsgrenze. Zugriffskontrolle muss serverseitig erfolgen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Hoher CVSS-Wert ersetzt keine eigene Risikoanalyse. Patchmanagement ist ein Prozess. Hardening ist sichere Konfiguration. Firewall ersetzt kein Patchmanagement. Antivirus ersetzt kein Sicherheitskonzept. IDS erkennt, IPS blockiert zusätzlich. EDR ist mehr als Antivirus. SIEM sammelt und korreliert Logs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Backup ohne Restore-Test ist unsicher. Security Awareness ist eine Schutzmaßnahme. Incident Response muss vorbereitet sein. Sicherheit ist ein Prozess, kein einmaliger Zustand. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | | Integrität | Schutz vor unbemerkter Veränderung | | Verfügbarkeit | Nutzbarkeit von Systemen und Daten | | Authentizität | Echtheit einer Identität oder Nachricht | | Nichtabstreitbarkeit | Nachweisbarkeit einer Handlung | | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit und Auswirkung | | Angriffsfläche | Summe möglicher Angriffspunkte | | Malware | Schadsoftware | | Virus | Schadsoftware mit Wirtsdatei | | Wurm | selbstverbreitende Schadsoftware | | Trojaner | getarnte Schadsoftware | | Ransomware | erpresserische Verschlüsselung oder Sperrung | | Phishing | Täuschung zur Datenpreisgabe | | Social Engineering | Manipulation von Menschen | | Brute Force | systematisches Ausprobieren | | Credential Stuffing | Nutzung geleakter Zugangsdaten | | Password Spraying | wenige Passwörter gegen viele Konten | | DoS | Dienstverweigerung | | DDoS | verteilte Dienstverweigerung | | MitM | Man-in-the-Middle | | Sniffing | Mitschneiden von Verkehr | | Spoofing | Vortäuschen falscher Identität | | ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung | | DNS-Spoofing | Manipulation von DNS-Antworten | | Rogue DHCP | unautorisierter DHCP-Server | | Evil Twin | gefälschter WLAN-Access-Point | | SQL Injection | Einschleusen von SQL-Code | | XSS | Cross-Site Scripting | | CSRF | Cross-Site Request Forgery | | IDOR | unsichere direkte Objekt-ID | | CVE | Kennung bekannter Schwachstellen | | CVSS | Kritikalitätsbewertung | | Exploit | Ausnutzung einer Schwachstelle | | Zero-Day | ungepatchte oder unbekannte Schwachstelle | | Patchmanagement | organisierte Update-Verwaltung | | Hardening | sichere Systemhärtung | | Baseline | sicherer Grundzustand | | Configuration Drift | Abweichung von Soll-Konfiguration | | Firewall | Filter für Netzwerkverkehr | | IDS | Angriffserkennung | | IPS | Angriffserkennung mit Blockierung | | Antivirus | Schutz gegen bekannte Schadsoftware | | EDR | Endpoint Detection and Response | | XDR | Extended Detection and Response | | SIEM | Sicherheitslog-Auswertung | | SOC | Security Operations Center | | SOAR | automatisierte Sicherheitsreaktion | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | minimale notwendige Rechte | | Backup | zusätzliche Datensicherung | | Immutable Backup | unveränderliches Backup | | Restore-Test | Prüfung der Wiederherstellung | | Incident Response | Reaktion auf Sicherheitsvorfälle | | Defense in Depth | mehrschichtige Verteidigung | --- **IHK-sichere Gesamtformulierung** Angriffe und Schutzmaßnahmen in der IT-Sicherheit beziehen sich auf den Schutz der Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Angriffe können technische Schwachstellen, unsichere Konfigurationen, menschliches Verhalten, Identitäten, Netzwerke, Webanwendungen oder Lieferketten ausnutzen. Typische Angriffe sind Malware, Ransomware, Phishing, Social Engineering, DoS, DDoS, Man-in-the-Middle, Spoofing, SQL Injection, Cross-Site Scripting und Cross-Site Request Forgery. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, Netzwerksegmentierung, MFA, Least Privilege, IDS/IPS, EDR, SIEM, Backups, Restore-Tests, Monitoring, Logging, Schulungen und Incident Response. Ein wirksames Sicherheitskonzept kombiniert mehrere technische, organisatorische, personelle und physische Maßnahmen nach dem Prinzip Defense in Depth. --- **Wichtigste Merksätze** IT-Sicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit. Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. Schwachstelle ist die Lücke. Bedrohung ist das mögliche Ereignis. Risiko ist Wahrscheinlichkeit und Auswirkung. Angriffsfläche reduzieren. Malware ist Schadsoftware. Virus hängt sich an Dateien. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. Double Extortion bedeutet Verschlüsselung plus Datenabfluss. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Phishing ist nicht nur E-Mail. MFA schützt stark, aber nicht gegen alles. Passwörter nicht wiederverwenden. DoS und DDoS greifen Verfügbarkeit an. DDoS ist verteilt. MitM sitzt zwischen Sender und Empfänger. Sniffing kann nützlich sein, aber auch missbraucht werden. Spoofing täuscht Identität oder Herkunft vor. ARP-Spoofing betrifft lokale Netze. DNS-Spoofing führt zu falschen Zielen. Rogue DHCP verteilt falsche Netzwerkeinstellungen. WLAN braucht starke Absicherung. SQL Injection betrifft Datenbanken. XSS betrifft Browser. CSRF missbraucht Sitzungen. Prepared Statements schützen vor SQL Injection. Escaping schützt vor XSS. CSRF-Token schützen vor CSRF. Zugriffskontrolle immer serverseitig prüfen. CVE benennt Schwachstellen. CVSS bewertet Kritikalität. Patchmanagement ist ein Prozess. Hardening reduziert Angriffsfläche. Baseline definiert sicheren Grundzustand. Configuration Drift vermeiden. Firewall begrenzt Netzwerkzugriffe. Default Deny ist sicherer. IDS erkennt. IPS blockiert zusätzlich. EDR schützt Endgeräte tiefer als Antivirus. SIEM korreliert Sicherheitslogs. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Restore-Test ist Pflicht. Immutable Backup schützt vor Manipulation. Incident Response vorbereiten. Defense in Depth kombiniert Schutzschichten. Sicherheit ist ein dauerhafter Prozess.