20.11 Trainer – Angriffe, Schutzmaßnahmen und IT-Sicherheit

Vertraulichkeit bedeutet:

Informationen dürfen nur von berechtigten Personen,
Systemen
oder Prozessen gelesen werden.

Beispielverletzung:

Kundendaten werden unberechtigt ausgelesen.

Passende Maßnahmen:

Verschlüsselung

Rechtekonzept

MFA

Zugriffskontrolle

DLP

Merksatz:

Vertraulichkeit schützt vor unberechtigtem Mitlesen.

Integrität bedeutet:

Daten dürfen nicht unbemerkt verändert werden.

Beispielverletzung:

Eine Konfigurationsdatei wird manipuliert.

Passende Maßnahmen:

Hashwerte

digitale Signaturen

Rechtebegrenzung

Versionskontrolle

Logging

Merksatz:

Integrität schützt vor unbemerkter Veränderung.

Verfügbarkeit bedeutet:

Systeme,
Dienste
und Daten stehen bei Bedarf zur Verfügung.

Beispielverletzung:

Ein Server ist durch DDoS nicht erreichbar.

Passende Maßnahmen:

Redundanz

Monitoring

Backup

DDoS-Schutz

Notfallplan

Merksatz:

Verfügbarkeit schützt Nutzbarkeit.

Merksatz:

Lesen = Vertraulichkeit.
Verändern = Integrität.
Ausfall = Verfügbarkeit.
Echtheit = Authentizität.

Schwachstelle:

ausnutzbare Lücke

Beispiel:

ungepatchter Server

Bedrohung:

mögliches schädliches Ereignis

Beispiel:

Angreifer nutzt die Lücke aus

Risiko:

bewertete Gefahr aus Wahrscheinlichkeit und Auswirkung

Beispiel:

Datenverlust durch Angriff auf den ungepatchten Server

Merksatz:

Schwachstelle = Lücke.
Bedrohung = mögliches Ereignis.
Risiko = bewertete Gefahr.

Malware bedeutet:

Schadsoftware

Beispiele:

Virus

Wurm

Trojaner

Ransomware

Spyware

Keylogger

Rootkit

Botnet-Client

Merksatz:

Malware ist der Oberbegriff für Schadsoftware.

Virus:

hängt sich an Dateien oder Programme an

verbreitet sich meist durch Ausführung oder Weitergabe

Wurm:

verbreitet sich selbstständig über Netzwerke

Trojaner:

tarnt sich als nützliches Programm,
enthält aber schädliche Funktionen

Merksatz:

Virus braucht oft Wirt.
Wurm verbreitet sich selbst.
Trojaner täuscht Nutzen vor.

Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und häufig Lösegeld fordert.

Betroffene Schutzziele:

Verfügbarkeit

bei Datenabfluss zusätzlich:
Vertraulichkeit

Passende Maßnahmen:

Offline-Backup

Immutable Backup

Patchmanagement

EDR

Segmentierung

Least Privilege

Restore-Test

Merksatz:

Ransomware betrifft vor allem Verfügbarkeit.

Ransomware versucht häufig, auch Backups zu löschen oder zu verschlüsseln.

Offline-Backups sind nicht dauerhaft verbunden.

Immutable Backups können für eine festgelegte Zeit nicht verändert oder gelöscht werden.

Dadurch bleibt eine Wiederherstellungsmöglichkeit erhalten.

Merksatz:

Backups müssen vor Angreifern geschützt werden.

Phishing ist Täuschung, um vertrauliche Daten oder Zugangsdaten zu erhalten.

Typische Kanäle:

E-Mail

SMS

Messenger

Telefon

QR-Code

gefälschte Webseite

Ziele:

Passwörter

MFA-Codes

Bankdaten

Zugangsdaten

Merksatz:

Phishing täuscht Benutzer zur Preisgabe von Daten.

Spear Phishing ist gezieltes Phishing gegen bestimmte Personen, Abteilungen oder Organisationen.

Merkmale:

persönlicher Bezug

glaubwürdiger Absender

Bezug auf echte Projekte

gezielte Vorbereitung

Merksatz:

Spear Phishing ist gezielt und oft glaubwürdiger.

Social Engineering nutzt menschliches Verhalten, Vertrauen, Hilfsbereitschaft oder Zeitdruck aus.

Beispiele:

falscher IT-Support

angeblicher Chef fordert Zahlung

gefälschter Lieferant

Besucher ohne Berechtigung

manipulierter Anruf

Merksatz:

Social Engineering greift Menschen an,
nicht nur Technik.

CEO-Fraud ist ein Betrug, bei dem sich Angreifer als Geschäftsführung oder Vorgesetzte ausgeben.

Ziel:

Zahlung auslösen

vertrauliche Daten erhalten

schnelle Entscheidung erzwingen

Typische Methode:

Autorität und Zeitdruck ausnutzen

Merksatz:

CEO-Fraud nutzt Autorität und Druck.

Brute Force bedeutet:

systematisches Ausprobieren vieler Passwörter.

Schutzmaßnahmen:

starke Passwörter

MFA

Account Lockout

Rate Limiting

Monitoring

Passwortmanager

Merksatz:

Brute Force probiert viele Möglichkeiten aus.

Password Spraying bedeutet:

ein häufiges Passwort wird gegen viele Konten getestet.

Beispiel:

Winter2026!

gegen viele Benutzerkonten.

Ziel:

Kontosperren vermeiden,
weil pro Konto nur wenige Versuche stattfinden.

Merksatz:

Password Spraying:
ein Passwort,
viele Konten.

Credential Stuffing nutzt bereits geleakte Zugangsdaten.

Prinzip:

bekannte E-Mail-Passwort-Kombinationen
werden bei anderen Diensten ausprobiert.

Grund:

Benutzer verwenden Passwörter oft mehrfach.

Schutzmaßnahmen:

MFA

Passwortmanager

einzigartige Passwörter

Leak-Prüfung

Monitoring

Merksatz:

Credential Stuffing nutzt wiederverwendete geleakte Passwörter.

Merksatz:

Brute Force = viele Versuche.
Spraying = ein Passwort, viele Konten.
Stuffing = geleakte Daten.

DoS steht für:

Denial of Service

Ziel:

einen Dienst überlasten oder nicht mehr verfügbar machen

Betroffenes Schutzziel:

Verfügbarkeit

Merksatz:

DoS greift Verfügbarkeit an.

DDoS steht für:

Distributed Denial of Service

Unterschied zu DoS:

Angriff kommt verteilt von vielen Systemen.

Häufige Quelle:

Botnetze

Schutzmaßnahmen:

DDoS-Schutz

CDN

Rate Limiting

Filterung

Provider-Schutz

Skalierung

Merksatz:

DDoS = verteilter Angriff auf Verfügbarkeit.

Man-in-the-Middle bedeutet:

Ein Angreifer sitzt zwischen zwei Kommunikationspartnern.

Ziele:

mitlesen

verändern

umleiten

Sitzung übernehmen

Betroffene Schutzziele:

Vertraulichkeit

Integrität

Schutzmaßnahmen:

TLS

Zertifikatsprüfung

VPN

HSTS

sichere WLANs

Merksatz:

MitM gefährdet Vertraulichkeit und Integrität.

Spoofing bedeutet:

Identität,
Adresse,
Absender
oder Herkunft wird vorgetäuscht.

Beispiele:

IP-Spoofing

MAC-Spoofing

DNS-Spoofing

E-Mail-Spoofing

ARP-Spoofing

Merksatz:

Spoofing täuscht Herkunft oder Identität vor.

ARP-Spoofing manipuliert ARP-Zuordnungen im lokalen Netz.

Ziel:

Datenverkehr umleiten

Man-in-the-Middle ermöglichen

Kommunikation stören

Schutzmaßnahmen:

Dynamic ARP Inspection

Netzwerksegmentierung

Switch-Sicherheitsfunktionen

Monitoring

Verschlüsselung höherer Schichten

Merksatz:

ARP-Spoofing betrifft lokale IPv4-Kommunikation.

DNS-Spoofing liefert falsche DNS-Antworten.

Ziel:

Benutzer auf falsche Server umleiten.

Risiken:

Phishing

Malware

Credential Theft

Man-in-the-Middle

Schutzmaßnahmen:

vertrauenswürdige DNS-Server

DNSSEC je nach Einsatz

TLS-Zertifikatsprüfung

Monitoring

Merksatz:

DNS-Spoofing manipuliert Namensauflösung.

SQL Injection bedeutet:

Angreifer schleust SQL-Code in Eingaben ein.

Ziele:

Daten auslesen

Daten verändern

Anmeldung umgehen

Daten löschen

Schutzmaßnahmen:

Prepared Statements

Parametrisierung

Eingabevalidierung

Rechtebegrenzung für Datenbankkonten

sichere Fehlerausgaben

Merksatz:

SQL Injection betrifft unsichere Datenbankabfragen.

XSS steht für:

Cross-Site Scripting

Dabei wird schädlicher Skriptcode in Webseiten eingeschleust, der im Browser anderer Benutzer ausgeführt wird.

Ziele:

Session stehlen

Benutzeraktionen manipulieren

Inhalte verändern

Phishing innerhalb einer Webseite

Schutzmaßnahmen:

Output Encoding

Eingabevalidierung

Content Security Policy

HttpOnly-Cookies

Merksatz:

XSS greift Benutzer im Browser an.

CSRF steht für:

Cross-Site Request Forgery

Dabei wird eine gültige Sitzung eines Benutzers missbraucht, um ungewollte Aktionen auszuführen.

Schutzmaßnahmen:

CSRF-Token

SameSite-Cookies

erneute Bestätigung kritischer Aktionen

Origin-Prüfung

Merksatz:

CSRF missbraucht eine bestehende Sitzung.

Merksatz:

SQLi betrifft Datenbankabfragen.
XSS betrifft Browser.
CSRF betrifft Sitzungen.

Ein Zero-Day ist eine Schwachstelle, für die es noch keinen bekannten oder verfügbaren Patch gibt oder die gerade erst bekannt wurde.

Risiko:

hohe Gefahr,
weil Standardmaßnahmen noch nicht vollständig verfügbar sind.

Merksatz:

Zero-Day = neue oder ungepatchte Schwachstelle.

Ein Supply-Chain-Angriff zielt auf Lieferketten, Softwareabhängigkeiten oder Dienstleister.

Beispiele:

kompromittiertes Update

manipuliertes Softwarepaket

unsichere Bibliothek

kompromittierter Dienstleisterzugang

Schutzmaßnahmen:

Signaturprüfung

Dependency-Scanning

Lieferantenprüfung

Least Privilege

Monitoring

Merksatz:

Supply-Chain-Angriff kommt über Abhängigkeiten.

Insider Threat bedeutet:

Gefahr durch Personen innerhalb der Organisation
oder mit berechtigtem Zugriff.

Beispiele:

absichtlicher Datenabfluss

fahrlässige Fehlkonfiguration

Missbrauch von Adminrechten

Zugriff nach Rollenwechsel nicht entfernt

Schutzmaßnahmen:

Least Privilege

Rechteprüfung

Vier-Augen-Prinzip

Logging

Offboarding

Merksatz:

Insider haben bereits Zugriff,
deshalb sind Rechte und Logs wichtig.

Least Privilege bedeutet:

Benutzer,
Dienste
und Prozesse erhalten nur die Rechte,
die sie wirklich benötigen.

Ziel:

Schaden bei Fehlern oder Angriffen begrenzen.

Merksatz:

So wenig Rechte wie möglich,
so viele wie nötig.

MFA steht für:

Multi-Faktor-Authentifizierung

Dabei werden mehrere Faktoren kombiniert.

Faktoren:

Wissen:
Passwort

Besitz:
Token,
Smartphone,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

MFA sorgt dafür,
dass ein Passwort allein nicht reicht.

Hardening bedeutet:

Systeme sicherer konfigurieren,
indem unnötige Funktionen deaktiviert
oder eingeschränkt werden.

Beispiele:

unnötige Dienste deaktivieren

Standardpasswörter ändern

unsichere Protokolle abschalten

Rechte begrenzen

sichere Einstellungen setzen

Logging aktivieren

Merksatz:

Hardening verringert die Angriffsfläche.

Patchmanagement sorgt dafür, dass Sicherheitsupdates geplant, getestet und eingespielt werden.

Ziel:

bekannte Schwachstellen schließen.

Merksatz:

Patchmanagement reduziert bekannte Risiken.

IDS:

Intrusion Detection System

erkennt und meldet Angriffe

IPS:

Intrusion Prevention System

erkennt Angriffe
und blockiert zusätzlich

Merksatz:

IDS meldet.
IPS blockiert.

EDR steht für:

Endpoint Detection and Response

Aufgabe:

Endgeräte überwachen

verdächtiges Verhalten erkennen

Reaktion ermöglichen

Angriffe analysieren

Merksatz:

EDR schützt und überwacht Endgeräte.

SIEM steht für:

Security Information and Event Management

Aufgabe:

Logs sammeln

Sicherheitsereignisse korrelieren

Alarme erzeugen

Vorfälle analysieren

Nachvollziehbarkeit verbessern

Merksatz:

SIEM verbindet Sicherheitsereignisse aus vielen Quellen.

B ist besser.

Begründung:

Wenn ein Dienst nicht mehr erreichbar oder nutzbar ist,
ist die Verfügbarkeit betroffen.

Merksatz:

Ausfall = Verfügbarkeit.

B ist besser.

Begründung:

Die Antwort nennt die konkrete Schutzwirkung.

Merksatz:

Maßnahme immer mit Wirkung erklären.

B ist besser.

Begründung:

Die Antwort erklärt,
wie Hardening wirkt
und warum es sicherheitsrelevant ist.

Merksatz:

Fachbegriff plus Wirkung nennen.