16.3 Angriffe und Schutzmaßnahmen
IT-SystemeViele undAngriffe Netzwerkebeginnen sindnicht vielenmit möglicheneiner Angriffentechnischen ausgesetzt.Schwachstelle,
sondern mit Täuschung.
EinAngreifer Angriffversuchen,
kannMenschen sichdazu richtenzu gegen:bringen,
- VertraulichkeitZugangsdaten einzugeben
- IntegritätLinks anzuklicken
- VerfügbarkeitAnhänge zu öffnen
- IdentitätenMFA-Anfragen zu bestätigen
- DatenGeld zu überweisen
- Anwendungenvertrauliche Informationen preiszugeben
- NetzwerkeSchadsoftware auszuführen
- EndgeräteSicherheitsregeln -zu Server
- Cloud-Diensteumgehen
Merksatz:
IT-SicherheitSocial schütztEngineering greift Menschen und Prozesse an,
nicht nur Technik,
sondern auch Daten,
Prozesse
und Verfügbarkeit.Technik.
GrundzieleWarum derPhishing Informationssicherheitso gefährlich ist
DiePhishing dreiist wichtigstengefährlich,
Grundzieleweil sind:es normale Arbeitsabläufe ausnutzt.
Vertraulichkeit
Integrität
Verfügbarkeit
Diese drei Begriffe werden oft als Schutzziele bezeichnet.
Merksatz:
Vertraulichkeit,
Integrität
und Verfügbarkeit sind die Grundpfeiler der IT-Sicherheit.
Vertraulichkeit
Vertraulichkeit bedeutet:
Informationen dürfen nur von berechtigten Personen gelesen werden.
Beispiele:
KundendatenRechnung Passwörterprüfen
PersonalaktenPaketbenachrichtigung Geschäftsgeheimnisseöffnen
medizinischePasswort Datenzurücksetzen
interneCloud-Datei Dokumenteansehen
ZugangsdatenBewerbung herunterladen
Supportanfrage beantworten
dringende Chef-Anweisung befolgen
AngriffeAngreifer aufnutzen Vertraulichkeit:dabei:
DatenabflussZeitdruck
unberechtigterVertrauen
ZugriffNeugier
AbhörenAngst
PhishingHilfsbereitschaft
gestohleneAutorität
Zugangsdaten
öffentlich freigegebene Cloud-SpeicherGewohnheit
Merksatz:
Vertraulichkeit schützt vor unberechtigtem Lesen.
Integrität
Integrität bedeutet:
Daten dürfen nicht unbemerkt verändert werden.
Beispiele:
Rechnung darf nicht manipuliert werden.
Konfigurationsdatei darf nicht heimlich geändert werden.
Softwarepaket darf nicht verfälscht werden.
Logdatei darf nicht manipuliert werden.
Angriffe auf Integrität:
Manipulation
Schadsoftware
unberechtigte Änderungen
Datenbankänderungen
Man-in-the-Middle
Supply-Chain-Angriffe
Merksatz:
Integrität schützt vor unbemerkter Veränderung.
Verfügbarkeit
Verfügbarkeit bedeutet:
Systeme,
Dienste
und Daten sind bei Bedarf nutzbar.
Beispiele:
Webserver erreichbar
E-Mail funktioniert
Datenbank antwortet
Backup kann wiederhergestellt werden
Netzwerk ist verfügbar
Cloud-Dienst läuft
Angriffe auf Verfügbarkeit:
DoS
DDoS
Ransomware
Sabotage
Überlastung
Ausfall kritischer Komponenten
Merksatz:
Verfügbarkeit schützt die Nutzbarkeit von Systemen.
CIA-Triade
Die drei Schutzziele werden oft zusammengefasst als:
Confidentiality
Integrity
Availability
Deutsch:
Vertraulichkeit
Integrität
Verfügbarkeit
Merksatz:
CIA-Triade = Vertraulichkeit,
Integrität
Verfügbarkeit.
Authentizität
Authentizität bedeutet:
Die Echtheit einer Person,
eines Systems
oder einer Nachricht ist überprüfbar.
Beispiele:
Ist der Benutzer wirklich der richtige Benutzer?
Ist der Server wirklich der richtige Server?
Stammt die E-Mail wirklich vom angegebenen Absender?
Ist das Zertifikat gültig?
Merksatz:
Authentizität schützt vor falscher Identität.
Nichtabstreitbarkeit
Nichtabstreitbarkeit bedeutet:
Eine Handlung kann später nicht glaubwürdig abgestritten werden.
Beispiel:
Eine digital signierte Bestellung kann einer Person oder Organisation zugeordnet werden.
Mittel:
digitale Signatur
Protokollierung
Zeitstempel
eindeutige Benutzerkonten
Merksatz:
Nichtabstreitbarkeit sorgt für Nachweisbarkeit.
Angriffsarten im Überblick
Typische Angriffsarten:
- Phishing -wirkt,
Socialweil Engineeringes - Malware
- Ransomware
- DoS und DDoS
- Man-in-the-Middle
- Passwortangriffe
- Brute Force
- Credential Stuffing
- Spoofing
- Sniffing
- SQL Injection
- Cross-Site Scripting
- Zero-Day-Angriff
- Supply-Chain-Angriff
- Insider-Bedrohung
Merksatz:
Angriffe können technisch,
organisatorisch
oder menschlich ansetzen.
Angreiferziele
Angreifer verfolgen unterschiedliche Ziele.
Beispiele:
Daten stehlen
Geld erpressen
Systeme verschlüsseln
Zugangsdaten sammeln
Dienste lahmlegen
Systeme übernehmen
Spionage betreiben
Sabotage durchführen
Rechenleistung missbrauchen
interne Bewegung im Netz erreichen
Merksatz:
Angriffe haben ein Ziel,
auch wenn sie zunächst zufällig wirken.
Angriffsfläche
Angriffsfläche bedeutet:
alle Stellen,
an denen ein System angegriffen werden kann.
Beispiele:
offene Ports
Webanwendungen
VPN-Zugänge
Benutzerkonten
E-Mail
Cloud-Portale
APIs
veraltete Software
unsichere Freigaben
mobile Geräte
externe Dienstleister
Merksatz:
Je größer die Angriffsfläche,
desto mehr mögliche Angriffspunkte.
Angriffsfläche reduzieren
Maßnahmen:
unnötige Dienste deaktivieren
offene Ports schließen
alte Software entfernen
Standardkonten deaktivieren
Rechte begrenzen
MFA aktivieren
Netzsegmentierung nutzen
Systeme patchen
öffentliche Zugriffe prüfen
sichere Konfiguration verwenden
Merksatz:
Nicht benötigte Angriffsfläche entfernen.
Schwachstelle
Eine Schwachstelle ist eine Sicherheitslücke oder ein Fehler,
der ausgenutzt werden kann.
Beispiele:
veraltete Software
unsichere Konfiguration
schwaches Passwort
fehlende Zugriffskontrolle
Programmierfehler
offener Adminport
öffentlich freigegebener Speicher
Merksatz:
Schwachstelle = ausnutzbare Sicherheitslücke.
Bedrohung
Eine Bedrohung ist ein mögliches Ereignis,
das Schaden verursachen kann.
Beispiele:
Angreifer
Malware
Feuer
Diebstahl
Stromausfall
Fehlbedienung
Datenverlust
Insider
Merksatz:
Bedrohung = mögliches schädliches Ereignis.
Risiko
Risiko beschreibt,
wie wahrscheinlich ein Schaden ist
und wie groß die Auswirkung wäre.
Vereinfacht:
Risiko = Eintrittswahrscheinlichkeit × Schadenshöhe
Beispiel:
Ein öffentlich erreichbarer Server mit alter Software hat ein hohes Risiko.
Merksatz:
Risiko verbindet Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahme
Eine Schutzmaßnahme reduziert ein Risiko.
Beispiele:
Patch einspielen
MFA aktivieren
Firewall-Regel setzen
Backup erstellen
Benutzer schulen
Rechte begrenzen
Verschlüsselung nutzen
Monitoring aktivieren
Merksatz:
Schutzmaßnahmen senken Eintrittswahrscheinlichkeit oder Auswirkung.
Technische Schutzmaßnahmen
Technische Schutzmaßnahmen sind zum Beispiel:
Firewall
Antivirus
EDR
IDS
IPS
Verschlüsselung
MFA
Patchmanagement
Backup
Netzwerksegmentierung
Logging
Monitoring
Zugriffskontrolle
sichere Konfiguration
Merksatz:
Technische Maßnahmen schützen Systeme direkt.
Organisatorische Schutzmaßnahmen
Organisatorische Schutzmaßnahmen sind zum Beispiel:
Sicherheitsrichtlinien
Schulungen
Berechtigungskonzepte
Notfallpläne
Change Management
Rollenverteilung
Freigabeprozesse
Offboarding
Dokumentation
Verantwortlichkeiten
Merksatz:
Organisation entscheidet,
wie Sicherheit dauerhaft umgesetzt wird.
Personelle Schutzmaßnahmen
Personelle Schutzmaßnahmen betreffen Menschen.
Beispiele:
Schulung gegen Phishing
klare Meldewege
Sensibilisierung
Vier-Augen-Prinzip
sichere Passwortnutzung
Umgang mit vertraulichen Datenmenschliches Verhalten bei Sicherheitsvorfällen
Merksatz:
Menschen sind Teil der Sicherheit,
nicht nur Risiko.
Physische Schutzmaßnahmen
Physische Schutzmaßnahmen schützen Räume,
Geräte
und Infrastruktur.
Beispiele:
Zutrittskontrolle
abschließbare Serverräume
Videoüberwachung
Brandschutz
USV
Klimatisierung
Schutz vor Diebstahl
gesicherte Netzwerkschränke
Merksatz:
IT-Sicherheit beginnt auch bei physischem Schutz.
Defense in Depth
Defense in Depth bedeutet:
mehrere Schutzschichten werden kombiniert.
Beispiel:
Firewall
plus
MFA
plus
Patchmanagement
plus
EDR
plus
Backup
plus
Monitoring
Wenn eine Schutzschicht versagt,
sollen andere Schichten weiter schützen.
Merksatz:
Defense in Depth = Sicherheit durch mehrere Schichten.
Least Privilege
Least Privilege bedeutet:
Benutzer,
Dienste
und Systeme bekommen nur die Rechte,
die sie wirklich benötigen.
Beispiele:
normaler Benutzer kein lokaler Administrator
Dienstkonto nur Zugriff auf benötigte Datenbank
VPN-Benutzer nur auf notwendige Systeme
Cloud-Rolle nur mit benötigten Aktionen
Merksatz:
Weniger Rechte bedeuten weniger Schaden bei Missbrauch.
Need to Know
Need to Know bedeutet:
Zugriff nur auf Informationen,
die für die Aufgabe erforderlich sind.
Beispiel:
Personalabteilung sieht Personalakten.
Support sieht technische Tickets.
Praktikant sieht keine vertraulichen Finanzdaten.
Merksatz:
Nicht jeder muss alles wissen.
Zero Trust
Zero Trust bedeutet:
keinem Zugriff automatisch vertrauen.
Es wird geprüft:
Benutzer
Gerät
Standort
Risiko
Anwendung
Berechtigung
MFA
Gerätezustand
Merksatz:
Zero Trust heißt:
immer prüfen,
nie pauschal vertrauen.ausnutzt.
Phishing
Phishing ist der Versuch,
Benutzer durch Täuschung zur Preisgabe vertraulicher Informationen zu verleiten.bringen.
Ziele:
Passwörter
MFA-Codes
KreditkartendatenZugangstokens
ZugangsdatenBankdaten
Kundendaten
interne Informationen
Cloud-Zugänge
VPN-Zugänge
E-Mail-Konten
Typische Mittel:
gefälschte E-MailsMail
gefälschte WebseitenWebseite
gefälschtes Loginformular
gefälschte LoginseitenRechnung
angeblichegefälschte RechnungenSicherheitswarnung
angeblichegefälschter Paketmeldungen
angebliche SicherheitswarnungenCloud-Link
Merksatz:
Phishing greifttäuscht denBenutzer,
Menschendamit sie selbst etwas Gefährliches tun.
Typischer Phishing-Ablauf
Ein typischer Ablauf:
1. Benutzer erhält eine täuschend echte Nachricht.
2. Nachricht erzeugt Druck oder Interesse.
3. Benutzer klickt Link oder öffnet Anhang.
4. Gefälschte Webseite fragt Zugangsdaten ab.
5. Benutzer gibt Daten ein.
6. Angreifer nutzt die Zugangsdaten.
7. Konto wird übernommen oder Malware wird ausgeführt.
Merksatz:
Phishing ist oft der Einstieg in größere Angriffe.
Phishing per E-Mail
E-Mail-Phishing ist besonders verbreitet.
Typische Merkmale:
angebliche Rechnung
angebliche Lieferung
angebliche Kontosperrung
angebliche Passwortwarnung
angebliche Cloud-Dateifreigabe
angebliche Bewerbung
angebliche Sicherheitsmeldung
angeblicher Chefauftrag
Merksatz:
E-Mail ist ein häufiger Einstiegspunkt für Angriffe.
Phishing per SMS
Phishing per SMS wird oft genannt:
Smishing
Typische Beispiele:
Paket konnte nicht zugestellt werden.
Konto wurde gesperrt.
Zahlung erforderlich.
Sicherheitsprüfung notwendig.
Link zur Sendungsverfolgung.
Risiko:
Benutzer klicken am Smartphone oft schneller auf Links.
Merksatz:
Smishing ist Phishing über TäuschungSMS.
an.Phishing per Telefon
Phishing per Telefon wird oft genannt:
Vishing
Dabei ruft ein Angreifer an und gibt sich zum Beispiel aus als:
IT-Support
Bankmitarbeiter
Chef
Dienstleister
Behörde
Sicherheitsabteilung
Ziel:
Zugangsdaten erhalten
MFA-Code erhalten
Fernwartung starten
Überweisung auslösen
interne Informationen bekommen
Merksatz:
Vishing ist Phishing per Telefon.
Phishing über Messenger
Angriffe können auch über Messenger laufen.
Beispiele:
angebliche Nachricht von Kollegen
gefälschter Supportkontakt
Link zu Cloud-Datei
dringende Zahlungsanweisung
angebliches Problem mit Benutzerkonto
QR-Code zu Loginseite
Merksatz:
Phishing ist nicht auf E-Mail beschränkt.
QR-Phishing
QR-Phishing wird auch Quishing genannt.
Dabei führt ein QR-Code auf eine gefälschte Webseite.
Risiko:
Link ist vor dem Scannen schwer erkennbar.
Smartphone zeigt Adresse oft nur verkürzt.
Benutzer erwarten bei QR-Codes schnelle Aktion.
Beispiele:
gefälschter Paketaufkleber
falsches WLAN-Portal
falsche Zahlungsseite
gefälschter Microsoft-Login
Plakat oder E-Mail mit QR-Code
Merksatz:
QR-Code nicht automatisch vertrauen.
Spear Phishing
Spear Phishing ist gezieltes Phishing gegen bestimmte PersonenPersonen,
Teams
oder Organisationen.
Beispiel:Angreifer nutzen oft Informationen wie:
AngreiferName
schreibtFirma
eineRolle
E-Mail,
die genau zu einer Firma,
einemlaufendes Projekt
oderbekannte einerKollegen
Rolleverwendete passt.Dienste
Signatur
Lieferanten
interne Begriffe
Spear PhishingDadurch wirkt oftdie Nachricht glaubwürdiger als Massenphishing.rdiger.
Merksatz:
Spear Phishing ist gezieltesgezielter Phishing.und glaubwürdiger als Massenphishing.
Whaling
Whaling ist Phishing gegen besonders wichtige Personen.
Beispiele:Ziele:
Geschäftsführung
Administratoren
Finanzleitung
Personalabteilung
Administratoren
Projektleitung
Geschäftsbereichsleitung
Warum gefährlich?
Diese Personen haben oft besondere Rechte,
Informationen
oder Entscheidungsbefugnisse.
Merksatz:
Whaling richtet sich gegen besonders wertvolle Ziele.
CEO-Fraud
CEO-Fraud ist eine Betrugsform, bei der Angreifer sich als Geschäftsführung oder Vorgesetzte ausgeben.
Typisches Ziel:
schnelle Überweisung
Änderung von Bankdaten
Herausgabe vertraulicher Informationen
Einkauf von Gutscheinkarten
Umgehung normaler Freigabeprozesse
Typische Merkmale:
sehr dringend
vertraulich
keine Rückfrage erwünscht
ungewöhnliche Zahlungsdaten
außerhalb normaler Prozesse
Merksatz:
CEO-Fraud nutzt Autorität und Zeitdruck.
Business E-Mail Compromise
Business E-Mail Compromise wird oft abgekürzt:
BEC
Dabei wird ein geschäftliches E-Mail-Konto kompromittiert oder täuschend echt nachgeahmt.
Ziele:
Rechnungsbetrug
Änderung von Kontodaten
interne Täuschung
Phishing aus echtem Konto
Zugriff auf Geschäftskommunikation
Merksatz:
BEC nutzt geschäftliche E-Mail-Kommunikation für Betrug.
Fake Login
Ein Fake Login ist eine gefälschte Anmeldeseite.
Sie sieht oft aus wie:
Microsoft 365
Google
VPN-Portal
Cloud-Speicher
Bank
Paketdienst
Unternehmensportal
Ziel:
Zugangsdaten abgreifen
Merksatz:
Gefälschte Loginseiten sind ein Kernmittel von Phishing.
Credential Harvesting
Credential Harvesting bedeutet:
Zugangsdaten werden gesammelt.
Beispiele:
gefälschte Loginseite
Keylogger
Phishing-Mail
manipulierte Anwendung
Malware
unsichere Datenbank
abgegriffene Browserdaten
Merksatz:
Credential Harvesting sammelt Zugangsdaten für spätere Angriffe.
Session Hijacking
Session Hijacking bedeutet:
Ein Angreifer übernimmt eine bestehende Sitzung.
Ziel:
Zugriff erhalten,
ohne das Passwort erneut eingeben zu müssen.
Mögliche Mittel:
gestohlene Session-Cookies
gestohlene Tokens
Malware im Browser
unsichere Verbindung
XSS
kompromittiertes Endgerät
Merksatz:
Session Hijacking greift die laufende Anmeldung an.
MFA-Bypass
MFA macht Angriffe schwerer, aber nicht unmöglich.
Mögliche Angriffe:
MFA-Push-Fatigue
Phishing mit Echtzeit-Weiterleitung
gestohlene Session-Tokens
kompromittiertes Endgerät
Social Engineering beim Support
unsichere Ausnahmen
SIM-Swapping bei SMS-MFA
Merksatz:
MFA ist wichtig,
aber keine alleinige Schutzmaßnahme.
MFA-Push-Fatigue
MFA-Push-Fatigue bedeutet:
Angreifer lösen viele MFA-Push-Anfragen aus.
Ziel:
Benutzer bestätigt aus Versehen,
aus Gewohnheit
oder genervt.
Schutz:
Number Matching
klare Anzeige von Ort und Anwendung
Schulung
Meldeweg für unerwartete MFA-Anfragen
Rate Limiting
verdächtige Anfragen blockieren
Merksatz:
Unerwartete MFA-Anfragen niemals bestätigen.
SIM-Swapping
SIM-Swapping bedeutet:
Angreifer übernehmen die Mobilfunknummer eines Opfers.
Ziel:
SMS-Codes empfangen
Passwortzurücksetzung durchführen
Konten übernehmen
Schutz:
SMS-MFA möglichst vermeiden
App-basierte MFA oder Hardwaretoken nutzen
Mobilfunkkonto schützen
ungewöhnliche Netzverluste beachten
Merksatz:
SMS als MFA-Faktor ist schwächer als sichere Authenticator- oder Hardwarelösungen.
Beispiele:Angreifer nutzen zum Beispiel:
VertrauenAutorität
erschleichenDringlichkeit
Zeitdruck erzeugenAngst
Hilfsbereitschaft
ausnutzen
Autorität vortäuschen
Angst erzeugenSympathie
Neugier
ausnutzenGewohnheit
Vertraulichkeit
Merksatz:
Social Engineering manipuliertnutzt MenschenPsychologie stattals Technik.Angriffsmittel.
Schutz vor Phishing und Social EngineeringPretexting
Maßnahmen:Pretexting bedeutet:
SchulungenAngreifer klareerfinden Meldewegeeine MFAglaubwürdige E-Mail-FilterGeschichte sichereoder PasswortmanagerRolle.
keineBeispiele:
angeblicher anklickenIT-Support
Absenderangeblicher prüfenneuer ungewöhnlicheMitarbeiter
Anfragenangeblicher hinterfragenDienstleister
Vier-Augen-Prinzipangebliche beiBank
Zahlungenangebliche SensibilisierungBehörde
fürangeblicher DruckKunde
undZiel:
Vertrauen erzeugen
Informationen erhalten
Aktionen auslösen
Merksatz:
TechnikPretexting undarbeitet Schulungmit gemeinsamerfundener schützenglaubwürdiger besser.Rolle.
MalwareBaiting
MalwareBaiting istbedeutet:
Angreifer legen einen Köder aus.
Beispiele:
VirusUSB-Stick Wurmmit TrojanerAufschrift Ransomware„Gehälter“
Spywarekostenloser KeyloggerDownload
Rootkitangebliches Botnet-ClientTool
CryptominerGutschein
Gewinnspiel
kostenlose Software
Ziel:
Benutzer soll etwas öffnen,
installieren
anschließen
oder Daten eingeben.
Merksatz:
MalwareBaiting istnutzt SoftwareNeugier mitoder schädlicher Funktion.Vorteilserwartung.
VirusTailgating
EinTailgating Virus hängt sich an Dateien oder Programme
und verbreitet sich,
wenn diese ausgeführt oder weitergegeben werden.
Merksatz:bedeutet:
VirusEine brauchtunberechtigte meistPerson einefolgt Wirtsdateieiner oderberechtigten Benutzeraktion.Person in einen geschützten Bereich.
Wurm
Ein Wurm verbreitet sich selbstständig über Netzwerke oder Schwachstellen.
Gefahr:Beispiele:
schnellePerson Ausbreitungfolgt hohedurch NetzlastSicherheitstür.
InfektionPerson vielerträgt Systemeangeblich Ausnutzungschwere ungepatchterKisten.
SystemePerson bittet freundlich,
die Tür aufzuhalten.
Merksatz:
WurmTailgating verbreitetumgeht sichphysische selbstständig.Zutrittskontrolle.
TrojanerShoulder Surfing
EinShoulder TrojanerSurfing tarntbedeutet:
Angreifer alsbeobachten nützlichesEingaben oder harmlosesBildschirme.
Programm,
enthält aber Schadfunktionen.Beispiele:
angeblichesPasswort Toolbeim manipulierteTippen Installationsdateiansehen
Fake-UpdatePIN gecrackteam SoftwareAutomaten beobachten
Bildschirm im Zug mitlesen
MFA-Code ablesen
Schutz:
Sichtschutzfolie
Bildschirm sperren
Umgebung beachten
keine sensiblen Eingaben in unsicheren Umgebungen
Merksatz:
TrojanerShoulder täuschtSurfing Nützlichkeitnutzt vor.Beobachtung.
RansomwareDumpster Diving
RansomwareDumpster verschlüsseltDiving Daten oder sperrt Systeme
und fordert Lösegeld.
Folgen:bedeutet:
DatenAngreifer nichtdurchsuchen verfügbarMüll Betriebsunterbrechungoder Erpressungentsorgte DatenabflussUnterlagen.
möglichZiele:
Passwörter
interne Dokumente
Netzwerkpläne
Rechnungen
Kundendaten
alte Datenträger
Notizzettel
Organigramme
Schutz:
Aktenvernichtung
sichere Datenträgervernichtung
Clean-Desk-Regel
Entsorgungsprozesse
Merksatz:
RansomwareAuch greiftentsorgte vorInformationen allemkönnen Verfügbarkeitsicherheitskritisch und oft auch Vertraulichkeit an.sein.
Schutz vor RansomwareIdentitätsangriffe
Maßnahmen:Identitätsangriffe richten sich gegen Benutzerkonten,
Rollen
und Anmeldungen.
Typische Angriffe:
Offline-Phishing
oderBrute Immutable-BackupsForce
regelmäßigeCredential Restore-TestsStuffing
PatchmanagementPassword EDRSpraying
MakrosSession einschränkenHijacking
LeastMFA-Missbrauch
PrivilegeKontoübernahme
Netzwerksegmentierung
MFA
E-Mail-Schutz
keine lokalen Adminrechte
Monitoring
schnelle Isolation infizierter SystemeRechteausweitung
Merksatz:
GegenWer RansomwareIdentität sindkontrolliert,
Backups,kontrolliert Rechtebegrenzungoft undden Segmentierung besonders wichtig.Zugriff.
SpywareAccount Takeover
SpywareAccount spioniertTakeover Benutzer oder Systeme aus.
Beispiele:bedeutet:
TastatureingabenEin aufzeichnenAngreifer Bildschirmübernimmt erfassenein BrowserdatenBenutzerkonto.
auslesenMögliche stehlenFolgen:
E-Mails beobachtenlesen
interne Daten abrufen
Phishing aus echtem Konto senden
Dateien löschen
Rechte ausnutzen
weitere Konten angreifen
Regeln oder Weiterleitungen einrichten
Merksatz:
Spyware sammelt heimlich Informationen.
Keylogger
Ein Keylogger zeichnet Tastatureingaben auf.
Ziel:
Passwörter
Zugangsdaten
Nachrichten
vertrauliche Eingaben
Merksatz:
Keylogger stehlen Eingaben.
Rootkit
Ein Rootkit versteckt Schadsoftware oder ermöglicht besonders tiefen Zugriff auf ein System.
Ziel:
Erkennung verhindern
Kontrolle behalten
Sicherheitssoftware umgehen
System manipulieren
Merksatz:
Rootkits verstecken und verankern Angriffe tief im System.
Botnet
Ein BotnetKontoübernahme ist ein Netzwerk kompromittierter Systeme,
die von Angreifern gesteuert werden.
Nutzung:
DDoS
Spam
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch
Merksatz:
Botnet = viele fremdgesteuerte infizierte Systeme.
DoS
DoS steht für:
Denial of Service
Ziel:
Ein Dienst wird durch Überlastung oder Störung unbenutzbar.
Beispiel:
Ein Server erhält so viele Anfragen,
dass er nicht mehr antwortet.
Merksatz:
DoS greift die Verfügbarkeit an.
DDoS
DDoS steht für:
Distributed Denial of Service
Dabei kommtoft der Angriff von vielen Systemen gleichzeitig.
Oft werden Botnetze genutzt.
Merksatz:
DDoS ist verteilter DoS-Angriff.
Schutz vor DoS und DDoS
Maßnahmen:
DDoS-Schutzdienst
Rate Limiting
Load Balancer
Content Delivery Network
Firewall-Regeln
Anycast
Skalierung
Monitoring
Notfallplan
Provider-Unterstützung
Merksatz:
DDoS-Schutz braucht Technik,
Skalierung
und Vorbereitung.
Man-in-the-Middle
Man-in-the-Middle wird oft abgekürzt:
MitM
Dabei sitzt ein Angreifer zwischen zwei Kommunikationspartnern.
Ziele:
Daten mitlesen
Daten verändern
Sitzung übernehmen
Zertifikatswarnungen ausnutzen
Zugangsdaten abfangen
Merksatz:
MitM greift Kommunikation zwischen zwei Parteien an.
Schutz vor Man-in-the-Middle
Maßnahmen:
TLS korrekt nutzen
Zertifikate prüfen
keine Zertifikatswarnungen ignorieren
VPN in unsicheren Netzen
HSTS bei Webdiensten
sichere WLANs
Zertifikat-Pinning je nach Anwendung
starke Authentifizierung
Merksatz:
TLS schützt nur,
wenn Zertifikate korrekt geprüft werden.
Sniffing
Sniffing bedeutet:
Netzwerkverkehr wird mitgeschnitten oder beobachtet.
NützlichStartpunkt für Administratoren:
Fehlersuche
Analyse
Protokollprüfung
Gefährlich durch Angreifer:
Zugangsdaten abfangen
unverschlüsselte Daten lesen
interne Kommunikation beobachten
Merksatz:
Sniffing ist Analysewerkzeug,
kann aber missbraucht werden.
Spoofing
Spoofing bedeutet:
eine falsche Identität oder Adresse wird vorgetäuscht.
Beispiele:
IP-Spoofing
MAC-Spoofing
DNS-Spoofing
E-Mail-Spoofing
ARP-Spoofing
Merksatz:
Spoofing täuscht Herkunft oder Identität vor.
ARP-Spoofing
ARP-Spoofing manipuliert die Zuordnung von IP-Adresse zu MAC-Adresse im lokalen Netz.
Ziel:
Verkehr über Angreifer leiten
Man-in-the-Middle ermöglichen
Kommunikation stören
Merksatz:
ARP-Spoofing greift lokale Layer-2-Kommunikation an.
DNS-Spoofing
DNS-Spoofing manipuliert Namensauflösung.
Beispiel:
Benutzer ruft bank.example auf,
wird aber auf falsche IP geleitet.
Schutz:
DNSSEC
sichere DNS-Server
TLS-Zertifikatsprüfung
Monitoring
keine unsicheren DNS-Quellen
Merksatz:
DNS-Spoofing führt Namen zu falschen Zielen.
Passwortangriffe
Passwortangriffe versuchen,
Zugangsdaten zu erraten,
zu stehlen
oder wiederzuverwenden.
Typen:
Brute Force
Wörterbuchangriff
Credential Stuffing
Password Spraying
Phishing
Keylogger
Merksatz:
Passwortangriffe richten sich gegen Identitäten.Angriffe.
Brute Force
Brute Force bedeutet:
viele mögliche Passwörter werden systematisch ausprobiert.
Schutz:
MFA
Rate Limiting
starke Passwörter
MFA
Sperrmechanismen
Rate Limiting
Monitoring
keine Standardkonten
Passwortmanager
Merksatz:
Brute Force wird durch Begrenzung und starke AuthentifizierungMFA erschwert.
Credential Stuffing
Credential Stuffing bedeutet:
Angreifer nutzen bekanntegeleakte Zugangsdaten aus früheren Datenlecks
und probieren sie bei anderen DienstenDiensten.
aus.Beispiel:
Passwort aus altem Webshop-Leak
wird am Firmenportal ausprobiert.
Schutz:
keine Passwortwiederverwendung
MFA
Passwortmanager
Leak-PrüfungErkennung
ungewöhnlicheriskante Loginversuche erkennen
Merksatz:
Credential Stuffing nutzt wiederverwendete Passwörter.
Password Spraying
Password Spraying bedeutet:
Ein Angreifer probiert wenige häufige Passwörter beiwerden vielengegen viele Konten aus.getestet.
Beispiel:Beispiele:
Willkommen2026!
Sommer2026!
bei vielen BenutzernPasswort123!
Ziel:
Kontosperren vermeiden,
weil pro Konto nur wenige Versuche auftreten.
Merksatz:
Password Spraying verteilt wenige Passwörter auf viele Konten.Benutzer.
Schutz vor PasswortangriffenPasswort-Wiederverwendung
Maßnahmen:Passwort-Wiederverwendung bedeutet:
MFAdasselbe starkePasswort Passwortrichtlinien
Passwortmanager
keine Wiederverwendung
Rate Limiting
Account Lockout mit Bedacht
Monitoring
Risikoanalysewird bei Loginsmehreren Diensten genutzt.
Problem:
Wird ein Dienst kompromittiert,
können Angreifer das Passwort bei anderen Diensten ausprobieren.
Schutz:
Passwortmanager
eindeutige Passwörter
MFA
Schulung
Standardkonten deaktivierenPasswort-Leak-Prüfung
Merksatz:
MFAEin istPasswort einedarf dernicht wichtigstenmehrfach Maßnahmengenutzt gegen Passwortmissbrauch.werden.
SQLStarke InjectionPasswörter
SQLStarke InjectionPasswörter sollten:
lang sein
nicht leicht erratbar sein
nicht wiederverwendet werden
nicht aus persönlichen Daten bestehen
nicht in Listen bekannter Passwörter vorkommen
Für viele Konten ist ein AngriffPasswortmanager auf Datenbankabfragen.sinnvoll.
Dabei schleust ein Angreifer SQL-Code in Eingaben ein.
Mögliche Folgen:Merksatz:
DatenLänge auslesenund DatenEinzigartigkeit verändernsind Loginwichtiger umgehenals Datenkomplizierte löschenMerkhilfen.
AnwendungPasswortmanager
Ein Passwortmanager hilft, für jeden Dienst ein eigenes starkes Passwort zu verwenden.
Vorteile:
eindeutige Passwörter
lange Passwörter
weniger Wiederverwendung
Erkennung falscher Webseiten möglich
sicherere Speicherung als Notizzettel
Merksatz:
SQLPasswortmanager Injectionunterstützt nutztstarke unsichereund Eingabeneindeutige in Datenbankabfragen aus.Passwörter.
Account Lockout
Account Lockout bedeutet:
Ein Konto wird nach mehreren fehlgeschlagenen Anmeldeversuchen gesperrt.
Vorteil:
Schutz vor SQLBrute InjectionForce
Maßnahmen:Risiko:
PreparedAngreifer Statementskönnen parametrisierteviele AbfragenKonten Eingabevalidierungabsichtlich Rechtesperren.
derDeshalb begrenzensinnvoll Fehlerausgabenkombinieren vermeidenmit:
Rate ApplicationLimiting
FirewallRisikoanalyse
sichereMFA
ProgrammierungMonitoring
Codedifferenzierten ReviewsSperrregeln
Merksatz:
ParametrisierteKontosperren Abfragenhelfen,
sindmüssen zentralaber gegensinnvoll SQLeingestellt Injection.sein.
Cross-SiteRate ScriptingLimiting
Cross-SiteRate ScriptingLimiting wirdbegrenzt,
abgekürzt:wie viele Anfragen oder Loginversuche in einer Zeit erlaubt sind.
Beispiele:
XSSmaximal DabeiLoginversuche wirdpro schädlicherMinute
Codebegrenzte inAPI-Anfragen
WebseitenVerzögerung eingeschleust,nach der im Browser anderer Benutzer ausgeführt wird.
Mögliche Folgen:
Sessiondiebstahl
Manipulation von Webseiten
Phishing im Browser
Aktionen im Namen des BenutzersFehlversuchen
Merksatz:
XSSRate greiftLimiting Benutzerbremst überautomatisierte den Browser an.Angriffe.
Schutz vor XSSCaptcha
Maßnahmen:Captcha soll prüfen,
ob ein Mensch oder ein automatisiertes Programm handelt.
Einsatz:
EingabenLoginformulare
validierenRegistrierungen
AusgabenPasswortzurücksetzung
korrektöffentliche escapenFormulare
ContentGrenze:
Captchas HttpOnly Cookies
sichere Frameworks nutzensind keine ungeprüftenvollständige HTML-Ausgaben
Code ReviewsSicherheitsmaßnahme.
Merksatz:
GegenCaptcha XSSerschwert müssenAutomatisierung,
Ausgabenersetzt korrektaber behandeltkeine werden.sichere Authentifizierung.
Zero-Day-AngriffPhishing-Erkennungsmerkmale
EinMögliche Zero-Day-Angriff nutzt eine Schwachstelle,
für die noch kein Patch verfügbar ist
oder die dem Hersteller noch nicht bekannt ist.
Schutz ist schwierig,
aber möglich durch:Warnzeichen:
Defenseungewöhnlicher inAbsender
Depthunerwarteter EDRAnhang
Segmentierungdringende LeastAufforderung
PrivilegeDrohung Monitoringmit WAFSperrung
Härtungungewöhnliche schnelleZahlungsaufforderung
ReaktionRechtschreib- oder Formatfehler
verkürzte Links
Domain passt nicht
Login wird über Link gefordert
vertrauliche Daten werden verlangt
Absenderadresse und Anzeigename passen nicht zusammen
Merksatz:
Zero-DayBei bedeutet:Druck,
Schwachstelleungewöhnlichem wirdLink
ausgenutzt,oder bevorDatenabfrage einvorsichtig regulärer Patch verfügbar ist.sein.
Supply-Chain-AngriffLinks prüfen
EinBei Supply-Chain-AngriffLinks richtet sich gegen Lieferkette oder Abhängigkeiten.
Beispiele:prüfen:
manipuliertespasst Softwareupdatedie kompromittierteDomain?
Bibliothekist infizierterdie InstallerVerbindung unsichererHTTPS?
Dienstleisterzugangist kompromittiertesdie RepositoryAdresse Merksatz:
Supply-Chain-Angriffgibt trifftes SystemeTippfehler in der Domain?
wird eine bekannte Marke nachgeahmt?
führt der Link über vertrauenswürdige Lieferwege.
Schutz vor Supply-Chain-Angriffen
Maßnahmen:
Softwarequellen prüfen
Signaturen prüfen
Abhängigkeiten überwachen
Updates aus vertrauenswürdigen Quellen
Dienstleisterzugriffe begrenzen
Code Reviews
SBOM
Paketquellen absichern
CI/CD schützen
Merksatz:
LieferketteWeiterleitungen?
ist Teiles ein verkürzter Link?
passt der IT-Sicherheit.Link erwarteten
Insider-Bedrohung
Insider sind Personen mit internem Zugriff,
die absichtlich oder unabsichtlich Schaden verursachen.
Beispiele:
unzufriedener Mitarbeiter
Fehler durch Administrator
fahrlässiger Umgang mit Daten
kompromittiertes internes Konto
externer Dienstleister mit zu vielen RechtenDienst?
Merksatz:
Nicht der sichtbare Text zählt,
sondern das echte Ziel des Links.
Anhänge prüfen
Gefährliche Anhänge können sein:
ausführbare Dateien
Makro-Dokumente
Archive mit Passwort
angebliche Rechnungen
Skripte
ISO-Dateien
LNK-Dateien
HTML-Dateien
manipulierte PDFs
Merksatz:
Unerwartete Anhänge immer kritisch prüfen.
Absender prüfen
Bei E-Mails ist der Anzeigename leicht fälschbar.
Zu prüfen:
echte Absenderadresse
Domain
Antwortadresse
Signatur
Schreibstil
Kontext
ungewöhnliche Anfrage
SPF,
DKIM
DMARC-Ergebnis je nach System
Merksatz:
Anzeigename allein beweist nichts.
SPF
SPF steht für:
Sender Policy Framework
SPF legt fest, welche Mailserver für eine Domain E-Mails senden dürfen.
Merksatz:
SPF prüft,
ob ein sendender Mailserver zur Domain passt.
DKIM
DKIM steht für:
DomainKeys Identified Mail
DKIM nutzt digitale Signaturen, um zu prüfen, ob eine E-Mail unterwegs verändert wurde und ob sie zur sendenden Domain passt.
Merksatz:
DKIM signiert E-Mails kryptografisch.
DMARC
DMARC steht für:
Domain-based Message Authentication,
Reporting and Conformance
DMARC baut auf SPF und DKIM auf.
Es legt fest, wie Empfänger mit E-Mails umgehen sollen, die SPF oder DKIM nicht bestehen.
Merksatz:
DMARC gibt Richtlinien für den Umgang mit verdächtigen E-Mails.
SPF, DKIM und DMARC einordnen
| Technik | Zweck |
|---|---|
| SPF | prüft erlaubte sendende Mailserver |
| DKIM | prüft Signatur und Veränderung |
| DMARC | legt Richtlinie und Berichte fest |
Wichtig:
Diese Techniken helfen gegen E-Mail-Spoofing,
verhindern aber nicht jede BedrohungPhishing-Mail.
kommtMerksatz:
SPF,
DKIM
und DMARC verbessern E-Mail-Authentizität.
Technische Schutzmaßnahmen gegen Phishing
Maßnahmen:
Spamfilter
Malwarefilter
Linkprüfung
Anhangprüfung
Sandboxing
SPF
DKIM
DMARC
MFA
Conditional Access
Passwortmanager
Webfilter
EDR
DNS-Filter
sichere Browserkonfiguration
Merksatz:
Phishing-Schutz braucht mehrere technische Schichten.
Organisatorische Schutzmaßnahmen gegen Phishing
Maßnahmen:
Schulungen
klare Meldewege
Phishing-Simulationen
Vier-Augen-Prinzip
Zahlungsprozesse absichern
Rückruf über bekannte Telefonnummer
Sicherheitsrichtlinien
Freigabeprozesse
Notfallplan bei Kontoübernahme
Merksatz:
Prozesse schützen dort,
wo Technik allein nicht reicht.
Verhalten bei verdächtiger Nachricht
Sinnvolles Vorgehen:
1. Nicht auf Links klicken.
2. Keine Anhänge öffnen.
3. Keine Zugangsdaten eingeben.
4. Absender und Domain prüfen.
5. Bei angeblichen internen Anfragen über bekannten Kanal nachfragen.
6. Nachricht melden.
7. Nicht weiterleiten,
wenn dadurch Risiko entsteht.
8. IT oder Sicherheitsverantwortliche informieren.
Merksatz:
Bei Verdacht zuerst stoppen,
prüfen
und melden.
Wenn Zugangsdaten eingegeben wurden
Sofortmaßnahmen:
Passwort ändern
MFA-Sitzungen prüfen
aktive Sitzungen beenden
IT informieren
Konto-Logs prüfen
Weiterleitungsregeln prüfen
verdächtige Geräte prüfen
Tokens widerrufen
betroffene Dienste prüfen
weitere Benutzer warnen
Merksatz:
Nach Phishing zählt schnelle Reaktion.
Wenn ein Anhang geöffnet wurde
Sofortmaßnahmen:
Gerät vom Netzwerk trennen
IT informieren
Datei nicht weiter öffnen
Zeitpunkt dokumentieren
E-Mail sichern
EDR oder Antivirus prüfen
Logs sichern
betroffene Konten prüfen
keine weiteren Systeme nutzen,
bis Bewertung erfolgt
Merksatz:
Nach verdächtigem Anhang Gerät schnell isolieren.
Kontoübernahme erkennen
Anzeichen:
unbekannte Loginorte
neue Weiterleitungsregeln
gelesene E-Mails ohne Benutzeraktion
gesendete Phishing-Mails
Passwortänderung
MFA-Änderung
neue Geräte
ungewöhnliche Dateienzugriffe
Rollenänderungen
verdächtige API-Aktivität
Merksatz:
Kontoübernahme zeigt sich oft in Logs und ungewöhnlichen Kontoeinstellungen.
E-Mail-Weiterleitungsregel als Risiko
Nach Kontoübernahme legen Angreifer oft Weiterleitungsregeln an.
Zweck:
E-Mails mitlesen
Rechnungen abfangen
Antworten verstecken
weitere Angriffe vorbereiten
Prüfen:
unbekannte Weiterleitungen
versteckte Regeln
Regeln zum Löschen
Regeln zum Verschieben
externe Empfänger
Merksatz:
Nach Kontoübernahme immer Weiterleitungsregeln prüfen.
Schutz vordurch Insider-RisikenConditional Access
Maßnahmen:Conditional Access kann Logins abhängig machen von:
LeastStandort
PrivilegeGerät
Vier-Augen-PrinzipMFA
LoggingRisiko
RechteprüfungBenutzergruppe
OffboardingAnwendung
AufgabentrennungNetzwerk
SensibilisierungGerätezustand
klareBeispiele:
Adminzugriff keinenur Sammelkontenmit MFA
Zugriff aus unbekanntem Land blockieren
Zugriff nur von verwalteten Geräten
Merksatz:
NachvollziehbarkeitConditional undAccess Rechtebegrenzungerschwert senkenmissbräuchliche Insider-Risiken.Logins.
PatchmanagementSchutz durch Schulung
PatchmanagementBenutzer bedeutet:sollten wissen:
Sicherheitsupdateswie Phishing aussieht
wie man Links prüft
wie man Anhänge bewertet
wie man verdächtige Nachrichten meldet
warum MFA-Anfragen nicht blind bestätigt werden
geplant,warum getestet,Passwörter verteilteindeutig undsein kontrolliert.müssen
WichtigZahlungsprozesse für:
Betriebssysteme
Anwendungen
Firmware
Netzwerkgeräte
Firewalls
Cloud-Systeme
Container-Images
Abhängigkeitenwerden
Merksatz:
UngepatchteSchulung Systememacht sind häufige Angriffsziele.
Hardening
Hardening bedeutet:
Systeme werden sicher konfiguriert,
indem unnötige Funktionen deaktiviert
und sichere Einstellungen gesetzt werden.
Beispiele:
unnötige Dienste deaktivieren
Standardpasswörter ändern
alte Protokolle abschalten
sichere TLS-Versionen nutzen
Adminzugriffe begrenzen
Logging aktivieren
Rechte minimieren
Merksatz:
Hardening reduziert Angriffsfläche.
Firewall
Eine Firewall filtert Netzwerkverkehr nach Regeln.
Sie kann prüfen:
Quelle
Ziel
Port
Protokoll
Richtung
Zustand
Anwendung je nach Firewalltyp
Merksatz:
Firewall begrenzt Netzwerkzugriffe.
IDS und IPS
IDS steht für:
Intrusion Detection System
Ein IDS erkennt verdächtige Aktivitäten
und meldet sie.
IPS steht für:
Intrusion Prevention System
Ein IPS kann verdächtige Aktivitäten zusätzlich blockieren.
Merksatz:
IDS erkennt.
IPS blockiert zusätzlich.
Antivirus und EDR
Antivirus erkennt bekannte Schadsoftware.
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte tiefer
und hilft bei Erkennung,
Analyse
und Reaktion auf Angriffe.
Merksatz:
Antivirus erkennt Schadsoftware.
EDR unterstützt Erkennung und Reaktion auf Endgeräten.
Backup als Schutzmaßnahme
Backup schützt nicht vor jedem Angriff,
aber es ermöglicht Wiederherstellung.
Wichtig:
regelmäßige Backups
getrennte Speicherung
Immutable Backup
Restore-Tests
Verschlüsselung
Zugriffsschutz
Dokumentation
Merksatz:
Backup ist eine Schutzmaßnahme gegen Datenverlust und Ransomware-Folgen.
Monitoring und Logging als Schutzmaßnahme
Monitoring und Logging helfen,
AngriffeBenutzer zu erkennenaktiven und aufzuklären.
Wichtige Logs:
Anmeldungen
Adminaktionen
Firewall-Entscheidungen
VPN-Zugriffe
EDR-Meldungen
DNS-Anfragen
Webserver-Logs
Cloud-Audit-Logs
Merksatz:
Was nicht protokolliert wird,
ist später schwer nachvollziehbar.
Incident Response
Incident Response bedeutet:
strukturierte Reaktion auf Sicherheitsvorfälle.
Schritte:
erkennen
bewerten
eindämmen
beseitigen
wiederherstellen
dokumentieren
verbessern
Merksatz:
Sicherheitsvorfälle brauchen vorbereitete Abläufe.Schutzfaktoren.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was sindist die Schutzziele der Informationssicherheit?
- Was bedeutet Vertraulichkeit?
- Was bedeutet Integrität?
- Was bedeutet Verfügbarkeit?Phishing?
- Was ist Spear Phishing?
- Was ist Whaling?
- Was ist Social Engineering?
- Was ist Malware?CEO-Fraud?
- Was ist Ransomware?Business E-Mail Compromise?
- Was ist der Unterschied zwischen DoS und DDoS?Smishing?
- Was ist Man-in-the-Middle?Vishing?
- Was ist Spoofing?Credential Harvesting?
- Was ist BruteSession Force?Hijacking?
- Was ist MFA-Push-Fatigue?
- Was ist SIM-Swapping?
- Was ist Pretexting?
- Was ist Tailgating?
- Was ist Shoulder Surfing?
- Was ist Credential Stuffing?
- Was ist SQLPassword Injection?Spraying?
- Welche Merkmale können auf Phishing hinweisen?
- Was istmachen Cross-SiteSPF, Scripting?DKIM und DMARC?
- WasWie istreagiert einman Zero-Day-Angriff?auf -eine Wasverdächtige ist ein Supply-Chain-Angriff?
- Was bedeutet Least Privilege?
- Was ist Defense in Depth?
- Was ist der Unterschied zwischen IDS und IPS?Phishing-Mail?
- Warum sind BackupsPasswortmanager wichtig gegen Ransomware?
- Warum ist Patchmanagement wichtig?sinnvoll?
Typische Prüfungsfallen
Vertraulichkeit,Phishing Integritätist undnicht Verfügbarkeitnur sauberE-Mail.
unterscheiden.Social RansomwareEngineering betrifftist Verfügbarkeitnicht undrein ofttechnisch.
auch Vertraulichkeit.Spear Phishing ist Täuschung,gezielt.
Whaling betrifft besonders wichtige Personen.
Smishing läuft über SMS.
Vishing läuft über Telefon.
CEO-Fraud nutzt Autorität.
BEC nutzt geschäftliche E-Mail-Kommunikation.
Anzeigename einer E-Mail beweist nichts.
HTTPS allein beweist nicht,
dass die Seite echt ist.
MFA ist wichtig,
aber nicht nurunfehlbar.
eineUnerwartete technischeMFA-Anfragen Lücke.nicht Socialbestätigen.
EngineeringCredential greiftStuffing Menschennutzt an.geleakte DoSPasswörter.
kommtPassword vonSpraying einerprobiert Quellewenige oderPasswörter allgemeinbei einemvielen Angriffspunkt.Konten.
DDoSPasswort-Wiederverwendung ist verteilt.gefährlich.
IDSSPF,
erkennt,DKIM
IPSund kannDMARC blockieren.helfen Backupgegen verhindertSpoofing,
keinen Angriff,
hilftverhindern aber beinicht Wiederherstellung.jedes ReplikationPhishing.
ersetztVerdächtige keinNachrichten Backup.
MFA schütztmelden,
nicht vorignorieren.
allenNach Angriffen,Kontoübernahme senktWeiterleitungsregeln aber Passwortmissbrauch stark.
Firewall ersetzt kein Patchmanagement.
Verschlüsselung ersetzt keine Zugriffskontrolle.
Antivirus ersetzt kein Sicherheitskonzept.
Zero-Day ist nicht durch normales Patchen allein lösbar.
Supply Chain betrifft Lieferwege und Abhängigkeiten.
Least Privilege reduziert Schaden.
Defense in Depth kombiniert mehrere Maßnahmen.
Logs müssen vor dem Vorfall aktiv sein.prüfen.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Spear Phishing | gezieltes Phishing |
| Whaling | Phishing gegen wichtige Personen |
| CEO-Fraud | Betrug durch angebliche Chef-Anweisung |
| BEC | Business E-Mail Compromise |
| Fake Login | gefälschte Anmeldeseite |
| Credential Harvesting | Sammeln von Zugangsdaten |
| Session Hijacking | Übernahme einer laufenden Sitzung |
| MFA-Bypass | Umgehung oder Missbrauch von MFA |
| MFA-Push-Fatigue | viele MFA-Anfragen zur Ermüdung |
| SIM-Swapping | Übernahme einer Mobilfunknummer |
| Social Engineering | Manipulation von Menschen |
| Brute Force | systematisches Ausprobieren |
| Credential Stuffing | Nutzung geleakter Zugangsdaten |
| Password Spraying | wenige Passwörter gegen viele Konten |
IHK-sichere Kurzformulierung
AngriffePhishing ist eine Form des Social Engineerings, bei der Angreifer Benutzer durch Täuschung dazu bringen, vertrauliche Informationen preiszugeben, Links anzuklicken, Anhänge zu öffnen oder gefährliche Aktionen auszuführen. Spear Phishing ist gezieltes Phishing, Whaling richtet sich gegen besonders wichtige Personen, Smishing erfolgt per SMS und Vishing per Telefon. Identitätsangriffe wie Credential Stuffing, Password Spraying, Brute Force, Session Hijacking und Kontoübernahmen zielen auf IT-Systeme können die Schutzziele Vertraulichkeit, IntegritätBenutzerkonten und Verfügbarkeit beeinträchtigen. Vertraulichkeit schützt vor unberechtigtem Lesen, Integrität vor unbemerkter Veränderung und Verfügbarkeit vor Ausfall oder Nichtnutzbarkeit. Typische Angriffe sind Phishing, Social Engineering, Malware, Ransomware, DoS, DDoS, Man-in-the-Middle, Spoofing, Passwortangriffe, SQL Injection, Cross-Site Scripting, Zero-Day- und Supply-Chain-Angriffe.Zugänge. Schutzmaßnahmen sind unter anderem Patchmanagement, Hardening, Firewalls, MFA, Leaststarke Privilege,eindeutige Netzwerksegmentierung,Passwörter, Backups,Passwortmanager, Monitoring, Logging, IDS/IPS, EDR, SchulungenSpam- und IncidentMalwarefilter, Response.SPF, EinDKIM, gutesDMARC, SicherheitskonzeptConditional kombiniertAccess, mehrereSchulungen, Maßnahmenklare nachMeldewege, dem Vier-Augen-Prinzip Defenseund inschnelle Depth.Reaktion bei verdächtigen Vorfällen.
Merksätze
Vertraulichkeit schützt vor Mitlesen.
Integrität schützt vor Manipulation.
Verfügbarkeit schützt Nutzbarkeit.
CIA-Triade = Vertraulichkeit,
Integrität,
Verfügbarkeit.
Authentizität prüft Echtheit.
Nichtabstreitbarkeit schafft Nachweisbarkeit.
Angriffsfläche reduzieren.
Schwachstelle ist ausnutzbare Lücke.
Bedrohung ist mögliches Schadereignis.
Risiko = Wahrscheinlichkeit und Auswirkung.
Schutzmaßnahmen senken Risiko.
Defense in Depth kombiniert Schutzschichten.
Least Privilege reduziert Schaden.
Need to Know begrenzt Datenzugriff.
Zero Trust vertraut nicht pauschal.
Phishing täuscht Benutzer.
Social Engineering manipuliert Menschen.
MalwarePhishing ist Schadsoftware.nicht Wurmnur verbreitetE-Mail.
sichSmishing selbstständig.= TrojanerSMS-Phishing.
tarntVishing sich.= RansomwareTelefon-Phishing.
verschlüsseltQuishing oder= sperrt.QR-Code-Phishing.
DoSSpear greift Verfügbarkeit an.
DDoSPhishing ist verteiltergezielt.
DoS.Whaling MitMtrifft sitztwichtige zwischenPersonen.
Kommunikationspartnern.CEO-Fraud Sniffingnutzt kannAutorität.
AnalyseBEC odernutzt Angriffgeschäftliche sein.E-Mails.
SpoofingFake täuschtLogin stiehlt Zugangsdaten.
Credential Harvesting sammelt Zugangsdaten.
Session Hijacking übernimmt Sitzungen.
MFA ist wichtig,
aber nicht unfehlbar.
Unerwartete MFA-Anfragen niemals bestätigen.
SIM-Swapping gefährdet SMS-MFA.
Pretexting nutzt erfundene Rollen.
Baiting nutzt Köder.
Tailgating umgeht Zutrittskontrolle.
Shoulder Surfing nutzt Beobachtung.
Dumpster Diving nutzt weggeworfene Informationen.
Identitättsangriffe vor.zielen auf Konten.
Account Takeover ist Kontoübernahme.
Brute Force probiert systematisch.
Credential Stuffing nutzt geleakte Zugangsdaten.
SQLPassword InjectionSpraying greiftverteilt Datenbankabfragenwenige an.Passwörter XSSauf greiftviele BrowserbenutzerKonten.
an.Passwörter Zero-Daynicht istwiederverwenden.
schwerPasswortmanager planbar.nutzen.
SupplyRate ChainLimiting betrifftbremst Lieferwege.Angriffe.
InsiderCaptcha könnenersetzt internkeine Schadensichere verursachen.Anmeldung.
PatchmanagementAnzeigename schließtbeweist bekanntenichts.
Lücken.Links Hardeningimmer reduziertauf Angriffsfläche.echte IDSDomain erkennt.prüfen.
IPSAnhänge blockiertkritisch zusätzlich.prüfen.
BackupSPF hilftprüft beierlaubte Wiederherstellung.Mailserver.
LogsDKIM vorsigniert demE-Mails.
VorfallDMARC aktivieren.legt IncidentRichtlinien Responsefest.
vorbereiten.Technik und Schulung gemeinsam schützen.
Verdächtige Nachrichten melden.
Nach Phishing schnell reagieren.
Nach Kontoübernahme Weiterleitungsregeln prüfen.