# 16.1 Angriffe und Schutzmaßnahmen IT-Systeme und Netzwerke sind vielen möglichen Angriffen ausgesetzt. Ein Angriff kann sich richten gegen: - Vertraulichkeit - Integrität - Verfügbarkeit - Identitäten - Daten - Anwendungen - Netzwerke - Endgeräte - Server - Cloud-Dienste Merksatz: IT-Sicherheit schützt nicht nur Technik, sondern auch Daten, Prozesse und Verfügbarkeit. --- **Grundziele der Informationssicherheit** Die drei wichtigsten Grundziele sind: Vertraulichkeit Integrität Verfügbarkeit Diese drei Begriffe werden oft als Schutzziele bezeichnet. Merksatz: Vertraulichkeit, Integrität und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit. --- **Vertraulichkeit** Vertraulichkeit bedeutet: Informationen dürfen nur von berechtigten Personen gelesen werden. Beispiele: Kundendaten Passwörter Personalakten Geschäftsgeheimnisse medizinische Daten interne Dokumente Zugangsdaten Angriffe auf Vertraulichkeit: Datenabfluss unberechtigter Zugriff Abhören Phishing gestohlene Zugangsdaten öffentlich freigegebene Cloud-Speicher Merksatz: Vertraulichkeit schützt vor unberechtigtem Lesen. --- **Integrität** Integrität bedeutet: Daten dürfen nicht unbemerkt verändert werden. Beispiele: Rechnung darf nicht manipuliert werden. Konfigurationsdatei darf nicht heimlich geändert werden. Softwarepaket darf nicht verfälscht werden. Logdatei darf nicht manipuliert werden. Angriffe auf Integrität: Manipulation Schadsoftware unberechtigte Änderungen Datenbankänderungen Man-in-the-Middle Supply-Chain-Angriffe Merksatz: Integrität schützt vor unbemerkter Veränderung. --- **Verfügbarkeit** Verfügbarkeit bedeutet: Systeme, Dienste und Daten sind bei Bedarf nutzbar. Beispiele: Webserver erreichbar E-Mail funktioniert Datenbank antwortet Backup kann wiederhergestellt werden Netzwerk ist verfügbar Cloud-Dienst läuft Angriffe auf Verfügbarkeit: DoS DDoS Ransomware Sabotage Überlastung Ausfall kritischer Komponenten Merksatz: Verfügbarkeit schützt die Nutzbarkeit von Systemen. --- **CIA-Triade** Die drei Schutzziele werden oft zusammengefasst als: Confidentiality Integrity Availability Deutsch: Vertraulichkeit Integrität Verfügbarkeit Merksatz: CIA-Triade = Vertraulichkeit, Integrität Verfügbarkeit. --- **Authentizität** Authentizität bedeutet: Die Echtheit einer Person, eines Systems oder einer Nachricht ist überprüfbar. Beispiele: Ist der Benutzer wirklich der richtige Benutzer? Ist der Server wirklich der richtige Server? Stammt die E-Mail wirklich vom angegebenen Absender? Ist das Zertifikat gültig? Merksatz: Authentizität schützt vor falscher Identität. --- **Nichtabstreitbarkeit** Nichtabstreitbarkeit bedeutet: Eine Handlung kann später nicht glaubwürdig abgestritten werden. Beispiel: Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden. Mittel: digitale Signatur Protokollierung Zeitstempel eindeutige Benutzerkonten Merksatz: Nichtabstreitbarkeit sorgt für Nachweisbarkeit. --- **Angriffsarten im Überblick** Typische Angriffsarten: - Phishing - Social Engineering - Malware - Ransomware - DoS und DDoS - Man-in-the-Middle - Passwortangriffe - Brute Force - Credential Stuffing - Spoofing - Sniffing - SQL Injection - Cross-Site Scripting - Zero-Day-Angriff - Supply-Chain-Angriff - Insider-Bedrohung Merksatz: Angriffe können technisch, organisatorisch oder menschlich ansetzen. --- **Angreiferziele** Angreifer verfolgen unterschiedliche Ziele. Beispiele: Daten stehlen Geld erpressen Systeme verschlüsseln Zugangsdaten sammeln Dienste lahmlegen Systeme übernehmen Spionage betreiben Sabotage durchführen Rechenleistung missbrauchen interne Bewegung im Netz erreichen Merksatz: Angriffe haben ein Ziel, auch wenn sie zunächst zufällig wirken. --- **Angriffsfläche** Angriffsfläche bedeutet: alle Stellen, an denen ein System angegriffen werden kann. Beispiele: offene Ports Webanwendungen VPN-Zugänge Benutzerkonten E-Mail Cloud-Portale APIs veraltete Software unsichere Freigaben mobile Geräte externe Dienstleister Merksatz: Je größer die Angriffsfläche, desto mehr mögliche Angriffspunkte. --- **Angriffsfläche reduzieren** Maßnahmen: unnötige Dienste deaktivieren offene Ports schließen alte Software entfernen Standardkonten deaktivieren Rechte begrenzen MFA aktivieren Netzsegmentierung nutzen Systeme patchen öffentliche Zugriffe prüfen sichere Konfiguration verwenden Merksatz: Nicht benötigte Angriffsfläche entfernen. --- **Schwachstelle** Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler, der ausgenutzt werden kann. Beispiele: veraltete Software unsichere Konfiguration schwaches Passwort fehlende Zugriffskontrolle Programmierfehler offener Adminport öffentlich freigegebener Speicher Merksatz: Schwachstelle = ausnutzbare Sicherheitslücke. --- **Bedrohung** Eine Bedrohung ist ein mögliches Ereignis, das Schaden verursachen kann. Beispiele: Angreifer Malware Feuer Diebstahl Stromausfall Fehlbedienung Datenverlust Insider Merksatz: Bedrohung = mögliches schädliches Ereignis. --- **Risiko** Risiko beschreibt, wie wahrscheinlich ein Schaden ist und wie groß die Auswirkung wäre. Vereinfacht: Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe Beispiel: Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko. Merksatz: Risiko verbindet Wahrscheinlichkeit und Auswirkung. --- **Schutzmaßnahme** Eine Schutzmaßnahme reduziert ein Risiko. Beispiele: Patch einspielen MFA aktivieren Firewall-Regel setzen Backup erstellen Benutzer schulen Rechte begrenzen Verschlüsselung nutzen Monitoring aktivieren Merksatz: Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung. --- **Technische Schutzmaßnahmen** Technische Schutzmaßnahmen sind zum Beispiel: Firewall Antivirus EDR IDS IPS Verschlüsselung MFA Patchmanagement Backup Netzwerksegmentierung Logging Monitoring Zugriffskontrolle sichere Konfiguration Merksatz: Technische Maßnahmen schützen Systeme direkt. --- **Organisatorische Schutzmaßnahmen** Organisatorische Schutzmaßnahmen sind zum Beispiel: Sicherheitsrichtlinien Schulungen Berechtigungskonzepte Notfallpläne Change Management Rollenverteilung Freigabeprozesse Offboarding Dokumentation Verantwortlichkeiten Merksatz: Organisation entscheidet, wie Sicherheit dauerhaft umgesetzt wird. --- **Personelle Schutzmaßnahmen** Personelle Schutzmaßnahmen betreffen Menschen. Beispiele: Schulung gegen Phishing klare Meldewege Sensibilisierung Vier-Augen-Prinzip sichere Passwortnutzung Umgang mit vertraulichen Daten Verhalten bei Sicherheitsvorfällen Merksatz: Menschen sind Teil der Sicherheit, nicht nur Risiko. --- **Physische Schutzmaßnahmen** Physische Schutzmaßnahmen schützen Räume, Geräte und Infrastruktur. Beispiele: Zutrittskontrolle abschließbare Serverräume Videoüberwachung Brandschutz USV Klimatisierung Schutz vor Diebstahl gesicherte Netzwerkschränke Merksatz: IT-Sicherheit beginnt auch bei physischem Schutz. --- **Defense in Depth** Defense in Depth bedeutet: mehrere Schutzschichten werden kombiniert. Beispiel: Firewall plus MFA plus Patchmanagement plus EDR plus Backup plus Monitoring Wenn eine Schutzschicht versagt, sollen andere Schichten weiter schützen. Merksatz: Defense in Depth = Sicherheit durch mehrere Schichten. --- **Least Privilege** Least Privilege bedeutet: Benutzer, Dienste und Systeme bekommen nur die Rechte, die sie wirklich benötigen. Beispiele: normaler Benutzer kein lokaler Administrator Dienstkonto nur Zugriff auf benötigte Datenbank VPN-Benutzer nur auf notwendige Systeme Cloud-Rolle nur mit benötigten Aktionen Merksatz: Weniger Rechte bedeuten weniger Schaden bei Missbrauch. --- **Need to Know** Need to Know bedeutet: Zugriff nur auf Informationen, die für die Aufgabe erforderlich sind. Beispiel: Personalabteilung sieht Personalakten. Support sieht technische Tickets. Praktikant sieht keine vertraulichen Finanzdaten. Merksatz: Nicht jeder muss alles wissen. --- **Zero Trust** Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Es wird geprüft: Benutzer Gerät Standort Risiko Anwendung Berechtigung MFA Gerätezustand Merksatz: Zero Trust heißt: immer prüfen, nie pauschal vertrauen. --- **Phishing** Phishing ist der Versuch, Benutzer zur Preisgabe vertraulicher Informationen zu verleiten. Ziele: Passwörter MFA-Codes Kreditkartendaten Zugangsdaten interne Informationen Typische Mittel: gefälschte E-Mails gefälschte Webseiten gefälschte Loginseiten angebliche Rechnungen angebliche Paketmeldungen angebliche Sicherheitswarnungen Merksatz: Phishing greift den Menschen über Täuschung an. --- **Spear Phishing** Spear Phishing ist gezieltes Phishing gegen bestimmte Personen oder Organisationen. Beispiel: Angreifer schreibt eine E-Mail, die genau zu einer Firma, einem Projekt oder einer Rolle passt. Spear Phishing wirkt oft glaubwürdiger als Massenphishing. Merksatz: Spear Phishing ist gezieltes Phishing. --- **Whaling** Whaling ist Phishing gegen besonders wichtige Personen. Beispiele: Geschäftsführung Administratoren Finanzleitung Personalabteilung Projektleitung Merksatz: Whaling richtet sich gegen besonders wertvolle Ziele. --- **Social Engineering** Social Engineering nutzt menschliches Verhalten aus. Beispiele: Vertrauen erschleichen Zeitdruck erzeugen Hilfsbereitschaft ausnutzen Autorität vortäuschen Angst erzeugen Neugier ausnutzen Merksatz: Social Engineering manipuliert Menschen statt Technik. --- **Schutz vor Phishing und Social Engineering** Maßnahmen: Schulungen klare Meldewege MFA E-Mail-Filter sichere Passwortmanager keine Links blind anklicken Absender prüfen ungewöhnliche Anfragen hinterfragen Vier-Augen-Prinzip bei Zahlungen Sensibilisierung für Druck und Täuschung Merksatz: Technik und Schulung gemeinsam schützen besser. --- **Malware** Malware ist Schadsoftware. Beispiele: Virus Wurm Trojaner Ransomware Spyware Keylogger Rootkit Botnet-Client Cryptominer Merksatz: Malware ist Software mit schädlicher Funktion. --- **Virus** Ein Virus hängt sich an Dateien oder Programme und verbreitet sich, wenn diese ausgeführt oder weitergegeben werden. Merksatz: Virus braucht meist eine Wirtsdatei oder Benutzeraktion. --- **Wurm** Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen. Gefahr: schnelle Ausbreitung hohe Netzlast Infektion vieler Systeme Ausnutzung ungepatchter Systeme Merksatz: Wurm verbreitet sich selbstständig. --- **Trojaner** Ein Trojaner tarnt sich als nützliches oder harmloses Programm, enthält aber Schadfunktionen. Beispiele: angebliches Tool manipulierte Installationsdatei Fake-Update gecrackte Software Merksatz: Trojaner täuscht Nützlichkeit vor. --- **Ransomware** Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Folgen: Daten nicht verfügbar Betriebsunterbrechung Erpressung Datenabfluss möglich hohe Wiederherstellungskosten Merksatz: Ransomware greift vor allem Verfügbarkeit und oft auch Vertraulichkeit an. --- **Schutz vor Ransomware** Maßnahmen: Offline- oder Immutable-Backups regelmäßige Restore-Tests Patchmanagement EDR Makros einschränken Least Privilege Netzwerksegmentierung MFA E-Mail-Schutz keine lokalen Adminrechte Monitoring schnelle Isolation infizierter Systeme Merksatz: Gegen Ransomware sind Backups, Rechtebegrenzung und Segmentierung besonders wichtig. --- **Spyware** Spyware spioniert Benutzer oder Systeme aus. Beispiele: Tastatureingaben aufzeichnen Bildschirm erfassen Browserdaten auslesen Zugangsdaten stehlen Benutzerverhalten beobachten Merksatz: Spyware sammelt heimlich Informationen. --- **Keylogger** Ein Keylogger zeichnet Tastatureingaben auf. Ziel: Passwörter Zugangsdaten Nachrichten vertrauliche Eingaben Merksatz: Keylogger stehlen Eingaben. --- **Rootkit** Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System. Ziel: Erkennung verhindern Kontrolle behalten Sicherheitssoftware umgehen System manipulieren Merksatz: Rootkits verstecken und verankern Angriffe tief im System. --- **Botnet** Ein Botnet ist ein Netzwerk kompromittierter Systeme, die von Angreifern gesteuert werden. Nutzung: DDoS Spam Credential Stuffing Malware-Verteilung Cryptomining Proxy-Missbrauch Merksatz: Botnet = viele fremdgesteuerte infizierte Systeme. --- **DoS** DoS steht für: Denial of Service Ziel: Ein Dienst wird durch Überlastung oder Störung unbenutzbar. Beispiel: Ein Server erhält so viele Anfragen, dass er nicht mehr antwortet. Merksatz: DoS greift die Verfügbarkeit an. --- **DDoS** DDoS steht für: Distributed Denial of Service Dabei kommt der Angriff von vielen Systemen gleichzeitig. Oft werden Botnetze genutzt. Merksatz: DDoS ist verteilter DoS-Angriff. --- **Schutz vor DoS und DDoS** Maßnahmen: DDoS-Schutzdienst Rate Limiting Load Balancer Content Delivery Network Firewall-Regeln Anycast Skalierung Monitoring Notfallplan Provider-Unterstützung Merksatz: DDoS-Schutz braucht Technik, Skalierung und Vorbereitung. --- **Man-in-the-Middle** Man-in-the-Middle wird oft abgekürzt: MitM Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern. Ziele: Daten mitlesen Daten verändern Sitzung übernehmen Zertifikatswarnungen ausnutzen Zugangsdaten abfangen Merksatz: MitM greift Kommunikation zwischen zwei Parteien an. --- **Schutz vor Man-in-the-Middle** Maßnahmen: TLS korrekt nutzen Zertifikate prüfen keine Zertifikatswarnungen ignorieren VPN in unsicheren Netzen HSTS bei Webdiensten sichere WLANs Zertifikat-Pinning je nach Anwendung starke Authentifizierung Merksatz: TLS schützt nur, wenn Zertifikate korrekt geprüft werden. --- **Sniffing** Sniffing bedeutet: Netzwerkverkehr wird mitgeschnitten oder beobachtet. Nützlich für Administratoren: Fehlersuche Analyse Protokollprüfung Gefährlich durch Angreifer: Zugangsdaten abfangen unverschlüsselte Daten lesen interne Kommunikation beobachten Merksatz: Sniffing ist Analysewerkzeug, kann aber missbraucht werden. --- **Spoofing** Spoofing bedeutet: eine falsche Identität oder Adresse wird vorgetäuscht. Beispiele: IP-Spoofing MAC-Spoofing DNS-Spoofing E-Mail-Spoofing ARP-Spoofing Merksatz: Spoofing täuscht Herkunft oder Identität vor. --- **ARP-Spoofing** ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz. Ziel: Verkehr über Angreifer leiten Man-in-the-Middle ermöglichen Kommunikation stören Merksatz: ARP-Spoofing greift lokale Layer-2-Kommunikation an. --- **DNS-Spoofing** DNS-Spoofing manipuliert Namensauflösung. Beispiel: Benutzer ruft bank.example auf, wird aber auf falsche IP geleitet. Schutz: DNSSEC sichere DNS-Server TLS-Zertifikatsprüfung Monitoring keine unsicheren DNS-Quellen Merksatz: DNS-Spoofing führt Namen zu falschen Zielen. --- **Passwortangriffe** Passwortangriffe versuchen, Zugangsdaten zu erraten, zu stehlen oder wiederzuverwenden. Typen: Brute Force Wörterbuchangriff Credential Stuffing Password Spraying Phishing Keylogger Merksatz: Passwortangriffe richten sich gegen Identitäten. --- **Brute Force** Brute Force bedeutet: viele mögliche Passwörter werden systematisch ausprobiert. Schutz: starke Passwörter MFA Sperrmechanismen Rate Limiting Monitoring keine Standardkonten Passwortmanager Merksatz: Brute Force wird durch Begrenzung und starke Authentifizierung erschwert. --- **Credential Stuffing** Credential Stuffing bedeutet: Angreifer nutzen bekannte Zugangsdaten aus früheren Datenlecks und probieren sie bei anderen Diensten aus. Schutz: keine Passwortwiederverwendung MFA Passwortmanager Leak-Prüfung ungewöhnliche Loginversuche erkennen Merksatz: Credential Stuffing nutzt wiederverwendete Passwörter. --- **Password Spraying** Password Spraying bedeutet: Ein Angreifer probiert wenige häufige Passwörter bei vielen Konten aus. Beispiel: Sommer2026! bei vielen Benutzern Ziel: Kontosperren vermeiden, weil pro Konto nur wenige Versuche auftreten. Merksatz: Password Spraying verteilt wenige Passwörter auf viele Konten. --- **Schutz vor Passwortangriffen** Maßnahmen: MFA starke Passwortrichtlinien Passwortmanager keine Wiederverwendung Rate Limiting Account Lockout mit Bedacht Monitoring Risikoanalyse bei Logins Schulung Standardkonten deaktivieren Merksatz: MFA ist eine der wichtigsten Maßnahmen gegen Passwortmissbrauch. --- **SQL Injection** SQL Injection ist ein Angriff auf Datenbankabfragen. Dabei schleust ein Angreifer SQL-Code in Eingaben ein. Mögliche Folgen: Daten auslesen Daten verändern Login umgehen Daten löschen Anwendung manipulieren Merksatz: SQL Injection nutzt unsichere Eingaben in Datenbankabfragen aus. --- **Schutz vor SQL Injection** Maßnahmen: Prepared Statements parametrisierte Abfragen Eingabevalidierung Rechte der Datenbankbenutzer begrenzen Fehlerausgaben vermeiden Web Application Firewall sichere Programmierung Code Reviews Merksatz: Parametrisierte Abfragen sind zentral gegen SQL Injection. --- **Cross-Site Scripting** Cross-Site Scripting wird abgekürzt: XSS Dabei wird schädlicher Code in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird. Mögliche Folgen: Sessiondiebstahl Manipulation von Webseiten Phishing im Browser Aktionen im Namen des Benutzers Merksatz: XSS greift Benutzer über den Browser an. --- **Schutz vor XSS** Maßnahmen: Eingaben validieren Ausgaben korrekt escapen Content Security Policy HttpOnly Cookies sichere Frameworks nutzen keine ungeprüften HTML-Ausgaben Code Reviews Merksatz: Gegen XSS müssen Ausgaben korrekt behandelt werden. --- **Zero-Day-Angriff** Ein Zero-Day-Angriff nutzt eine Schwachstelle, für die noch kein Patch verfügbar ist oder die dem Hersteller noch nicht bekannt ist. Schutz ist schwierig, aber möglich durch: Defense in Depth EDR Segmentierung Least Privilege Monitoring WAF Härtung schnelle Reaktion Merksatz: Zero-Day bedeutet: Schwachstelle wird ausgenutzt, bevor ein regulärer Patch verfügbar ist. --- **Supply-Chain-Angriff** Ein Supply-Chain-Angriff richtet sich gegen Lieferkette oder Abhängigkeiten. Beispiele: manipuliertes Softwareupdate kompromittierte Bibliothek infizierter Installer unsicherer Dienstleisterzugang kompromittiertes Repository Merksatz: Supply-Chain-Angriff trifft Systeme über vertrauenswürdige Lieferwege. --- **Schutz vor Supply-Chain-Angriffen** Maßnahmen: Softwarequellen prüfen Signaturen prüfen Abhängigkeiten überwachen Updates aus vertrauenswürdigen Quellen Dienstleisterzugriffe begrenzen Code Reviews SBOM Paketquellen absichern CI/CD schützen Merksatz: Lieferkette ist Teil der IT-Sicherheit. --- **Insider-Bedrohung** Insider sind Personen mit internem Zugriff, die absichtlich oder unabsichtlich Schaden verursachen. Beispiele: unzufriedener Mitarbeiter Fehler durch Administrator fahrlässiger Umgang mit Daten kompromittiertes internes Konto externer Dienstleister mit zu vielen Rechten Merksatz: Nicht jede Bedrohung kommt von außen. --- **Schutz vor Insider-Risiken** Maßnahmen: Least Privilege Vier-Augen-Prinzip Logging Rechteprüfung Offboarding Aufgabentrennung Sensibilisierung klare Prozesse Monitoring keine Sammelkonten Merksatz: Nachvollziehbarkeit und Rechtebegrenzung senken Insider-Risiken. --- **Patchmanagement** Patchmanagement bedeutet: Sicherheitsupdates werden geplant, getestet, verteilt und kontrolliert. Wichtig für: Betriebssysteme Anwendungen Firmware Netzwerkgeräte Firewalls Cloud-Systeme Container-Images Abhängigkeiten Merksatz: Ungepatchte Systeme sind häufige Angriffsziele. --- **Hardening** Hardening bedeutet: Systeme werden sicher konfiguriert, indem unnötige Funktionen deaktiviert und sichere Einstellungen gesetzt werden. Beispiele: unnötige Dienste deaktivieren Standardpasswörter ändern alte Protokolle abschalten sichere TLS-Versionen nutzen Adminzugriffe begrenzen Logging aktivieren Rechte minimieren Merksatz: Hardening reduziert Angriffsfläche. --- **Firewall** Eine Firewall filtert Netzwerkverkehr nach Regeln. Sie kann prüfen: Quelle Ziel Port Protokoll Richtung Zustand Anwendung je nach Firewalltyp Merksatz: Firewall begrenzt Netzwerkzugriffe. --- **IDS und IPS** IDS steht für: Intrusion Detection System Ein IDS erkennt verdächtige Aktivitäten und meldet sie. IPS steht für: Intrusion Prevention System Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren. Merksatz: IDS erkennt. IPS blockiert zusätzlich. --- **Antivirus und EDR** Antivirus erkennt bekannte Schadsoftware. EDR steht für: Endpoint Detection and Response EDR überwacht Endgeräte tiefer und hilft bei Erkennung, Analyse und Reaktion auf Angriffe. Merksatz: Antivirus erkennt Schadsoftware. EDR unterstützt Erkennung und Reaktion auf Endgeräten. --- **Backup als Schutzmaßnahme** Backup schützt nicht vor jedem Angriff, aber es ermöglicht Wiederherstellung. Wichtig: regelmäßige Backups getrennte Speicherung Immutable Backup Restore-Tests Verschlüsselung Zugriffsschutz Dokumentation Merksatz: Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen. --- **Monitoring und Logging als Schutzmaßnahme** Monitoring und Logging helfen, Angriffe zu erkennen und aufzuklären. Wichtige Logs: Anmeldungen Adminaktionen Firewall-Entscheidungen VPN-Zugriffe EDR-Meldungen DNS-Anfragen Webserver-Logs Cloud-Audit-Logs Merksatz: Was nicht protokolliert wird, ist später schwer nachvollziehbar. --- **Incident Response** Incident Response bedeutet: strukturierte Reaktion auf Sicherheitsvorfälle. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Sicherheitsvorfälle brauchen vorbereitete Abläufe. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was sind die Schutzziele der Informationssicherheit? - Was bedeutet Vertraulichkeit? - Was bedeutet Integrität? - Was bedeutet Verfügbarkeit? - Was ist Phishing? - Was ist Social Engineering? - Was ist Malware? - Was ist Ransomware? - Was ist der Unterschied zwischen DoS und DDoS? - Was ist Man-in-the-Middle? - Was ist Spoofing? - Was ist Brute Force? - Was ist Credential Stuffing? - Was ist SQL Injection? - Was ist Cross-Site Scripting? - Was ist ein Zero-Day-Angriff? - Was ist ein Supply-Chain-Angriff? - Was bedeutet Least Privilege? - Was ist Defense in Depth? - Was ist der Unterschied zwischen IDS und IPS? - Warum sind Backups wichtig gegen Ransomware? - Warum ist Patchmanagement wichtig? --- **Typische Prüfungsfallen** Vertraulichkeit, Integrität und Verfügbarkeit sauber unterscheiden. Ransomware betrifft Verfügbarkeit und oft auch Vertraulichkeit. Phishing ist Täuschung, nicht nur eine technische Lücke. Social Engineering greift Menschen an. DoS kommt von einer Quelle oder allgemein einem Angriffspunkt. DDoS ist verteilt. IDS erkennt, IPS kann blockieren. Backup verhindert keinen Angriff, hilft aber bei Wiederherstellung. Replikation ersetzt kein Backup. MFA schützt nicht vor allen Angriffen, senkt aber Passwortmissbrauch stark. Firewall ersetzt kein Patchmanagement. Verschlüsselung ersetzt keine Zugriffskontrolle. Antivirus ersetzt kein Sicherheitskonzept. Zero-Day ist nicht durch normales Patchen allein lösbar. Supply Chain betrifft Lieferwege und Abhängigkeiten. Least Privilege reduziert Schaden. Defense in Depth kombiniert mehrere Maßnahmen. Logs müssen vor dem Vorfall aktiv sein. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Vertraulichkeit | Schutz vor unberechtigtem Lesen | | Integrität | Schutz vor unbemerkter Veränderung | | Verfügbarkeit | Nutzbarkeit von Systemen und Daten | | Authentizität | Echtheit einer Identität oder Nachricht | | Nichtabstreitbarkeit | Handlung kann nachgewiesen werden | | Angriffsfläche | Summe möglicher Angriffspunkte | | Schwachstelle | ausnutzbare Sicherheitslücke | | Bedrohung | mögliches schädliches Ereignis | | Risiko | Wahrscheinlichkeit mal Auswirkung | | Schutzmaßnahme | reduziert Risiko | | Defense in Depth | mehrere Schutzschichten | | Least Privilege | minimale notwendige Rechte | | Need to Know | Zugriff nur bei Bedarf | | Zero Trust | kein automatisches Vertrauen | | Phishing | Täuschung zur Datenpreisgabe | | Spear Phishing | gezieltes Phishing | | Whaling | Phishing gegen wichtige Personen | | Social Engineering | Manipulation von Menschen | | Malware | Schadsoftware | | Virus | Schadsoftware mit Wirtsdatei | | Wurm | selbstverbreitende Schadsoftware | | Trojaner | getarnte Schadsoftware | | Ransomware | erpresserische Verschlüsselung oder Sperrung | | Spyware | Spionagesoftware | | Keylogger | zeichnet Tastatureingaben auf | | Rootkit | versteckt und verankert Schadsoftware | | Botnet | Netzwerk fremdgesteuerter Systeme | | DoS | Dienstverweigerung | | DDoS | verteilter DoS | | MitM | Man-in-the-Middle | | Sniffing | Mitschneiden von Verkehr | | Spoofing | Vortäuschen falscher Identität | | ARP-Spoofing | Manipulation lokaler IP-MAC-Zuordnung | | DNS-Spoofing | Manipulation von Namensauflösung | | Brute Force | systematisches Ausprobieren | | Credential Stuffing | Nutzung geleakter Zugangsdaten | | Password Spraying | wenige Passwörter gegen viele Konten | | SQL Injection | Einschleusen von SQL-Code | | XSS | Cross-Site Scripting | | Zero-Day | ungepatchte oder unbekannte Schwachstelle | | Supply Chain | Lieferkette und Abhängigkeiten | | Insider | interne Bedrohung | | Patchmanagement | Verwaltung von Sicherheitsupdates | | Hardening | sichere Systemkonfiguration | | IDS | Angriffserkennung | | IPS | Angriffserkennung mit Blockierung | | EDR | Endgeräteerkennung und Reaktion | | Incident Response | Reaktion auf Sicherheitsvorfälle | --- **IHK-sichere Kurzformulierung** Angriffe auf IT-Systeme können die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Least Privilege, Netzwerksegmentierung, Backups, Monitoring, Logging, IDS/IPS, EDR, Schulungen und Incident Response. Ein gutes Sicherheitskonzept kombiniert mehrere Maßnahmen nach dem Prinzip Defense in Depth. --- **Merksätze** Vertraulichkeit schützt vor Mitlesen. Integrität schützt vor Manipulation. Verfügbarkeit schützt Nutzbarkeit. CIA-Triade = Vertraulichkeit, Integrität, Verfügbarkeit. Authentizität prüft Echtheit. Nichtabstreitbarkeit schafft Nachweisbarkeit. Angriffsfläche reduzieren. Schwachstelle ist ausnutzbare Lücke. Bedrohung ist mögliches Schadereignis. Risiko = Wahrscheinlichkeit und Auswirkung. Schutzmaßnahmen senken Risiko. Defense in Depth kombiniert Schutzschichten. Least Privilege reduziert Schaden. Need to Know begrenzt Datenzugriff. Zero Trust vertraut nicht pauschal. Phishing täuscht Benutzer. Social Engineering manipuliert Menschen. Malware ist Schadsoftware. Wurm verbreitet sich selbstständig. Trojaner tarnt sich. Ransomware verschlüsselt oder sperrt. DoS greift Verfügbarkeit an. DDoS ist verteilter DoS. MitM sitzt zwischen Kommunikationspartnern. Sniffing kann Analyse oder Angriff sein. Spoofing täuscht Identität vor. Brute Force probiert systematisch. Credential Stuffing nutzt geleakte Zugangsdaten. SQL Injection greift Datenbankabfragen an. XSS greift Browserbenutzer an. Zero-Day ist schwer planbar. Supply Chain betrifft Lieferwege. Insider können intern Schaden verursachen. Patchmanagement schließt bekannte Lücken. Hardening reduziert Angriffsfläche. IDS erkennt. IPS blockiert zusätzlich. Backup hilft bei Wiederherstellung. Logs vor dem Vorfall aktivieren. Incident Response vorbereiten.