Die 4 Phasen eines Cyberangriffs und wo KMU ihn stoppen

Mehr als Sie denken. Aus LinkedIn holt er Namen und Funktionen, von der Website E-Mail-Adressen, aus der Presse die Lieferanten, aus Stellenanzeigen die interne Software. Dazu kommen Zugangsdaten von Mitarbeitenden aus Leaks anderer Dienste. Das Ergebnis ist ein gezielter Angriff: die Nachricht des vertrauten Lieferanten, der Anruf der Bank, der Loginversuch mit dem wiederverwendeten Passwort. Nichts davon hinterlässt sichtbare Spuren.

Die Bremse: Zugangsdaten entwerten und die öffentliche Angriffsfläche verkleinern. Ein eigenes Passwort pro Dienst, gespeichert in einem Passwortmanager, macht fremde Leaks wertlos. Weniger veröffentlichte Sammeladressen und eine klare Regel für Anfragen „im Namen von“ jemandem nehmen Social Engineering den Raum.

• Betrügerische E-Mails Zugangsdaten auf einem gefälschten Portal eingegeben oder ein Anhang, der Malware installiert.
• Zum Internet offene Zugänge RDP, VPN oder alte Portale, nur per Passwort geschützt.
• Bekannte Schwachstellen Firewall mit veralteter Firmware, Server ohne Patches, Windows 10 ohne Support.

Das eigentliche Eindringen dauert Minuten.

Die Bremse: MFA für jeden externen Zugang, damit gestohlene Zugangsdaten nichts öffnen; E-Mail-Filterung und ein Team, das Phishing erkennt und meldet; eingespielte Patches und eine Managed Firewall, die nur das Nötigste freigibt. Die meisten Angriffe auf KMU sollten hier enden.

Einmal drin, will der Eindringling drei Dinge: Administratorkonten, einen Weg zu den Servern und Zugriff auf die Sicherungskopien. Ist das Netz flach, verwaltet jeder Nutzer seinen eigenen PC und ist das Administratorpasswort auf allen Rechnern gleich, genügen Stunden. Es folgen ein abgeschalteter Virenschutz, angelegte Konten für die spätere Rückkehr und gelöschte oder verschlüsselte Backups.

Die Bremse:

• Segmentiertes Netz VLANs, die Arbeitsplätze, Server und Backups trennen (Leitfaden zur Segmentierung).
• Keine lokalen Administratoren Jede Person arbeitet mit den unbedingt nötigen Rechten.
• Unveränderliche, isolierte Kopien Außer Reichweite jedes Netzwerkkontos.
• Augen auf dem Netz NOC und Monitoring, im Tarif Premium 365 rund um die Uhr (24/7), um Logins zu ungewöhnlichen Zeiten, neue Konten oder auffälligen Datenverkehr zu erkennen, solange es noch Alarme sind.

Das ist die Logik der vier Zero-Trust-Schritte für KMU.

Der Zugang wird nie vollständig geschlossen sein: Es gibt immer einen falschen Klick und eine neue Schwachstelle. Den Schaden verhindert man nicht mehr. In der Ausbreitung macht ein segmentiertes, überwachtes Netz mit geschützten Kopien aus einem schweren Vorfall einen neu aufzusetzenden Arbeitsplatz. Dennoch ist es die Phase, die Unternehmen am meisten vernachlässigen, sie investieren in die Tür und in die Wiederherstellung und lassen das Innere ohne Trennwände.

Eindämmen. Der Schaden zeigt sich in verschlüsselten Dateien mit Lösegeldforderung, offengelegten oder verkauften Daten, betrügerischen Überweisungen oder ausgefallenen Diensten. Der Angreifer wählt den Zeitpunkt (Freitagabend, Vorabend eines Feiertags) um Zeit zu gewinnen. Ab dann zahlt man in Ausfalltagen, Wiederherstellungsberatern, Meldungen an CNPD und Kunden sowie mit dem Ruf.

Die Eindämmung: ein schriftlicher, geübter Reaktionsplan (wer schaltet was ab, wer spricht mit wem); geprüfte Kopien, die für den Angreifer unerreichbar sind, der Unterschied zwischen Wiederherstellung in Stunden und Verhandlungen mit Kriminellen; Disaster Recovery mit definierten Wiederherstellungszielen; und methodisch geführte erste Stunden, wie im Leitfaden zur Datenwiederherstellung direkt nach dem Vorfall beschrieben.

Rekonstruktion aus mehreren Vorfällen in KMU.

1. Dienstag: in der Buchhaltung trifft eine „Lieferantenrechnung“ ein; die Mitarbeiterin gibt ihre Zugangsdaten auf einem gefälschten Portal ein.
2. In derselben Nacht: der Angreifer öffnet das Postfach und beobachtet eine Woche lang. Er entdeckt einen Remote-Desktop-Zugang ohne zweiten Faktor.
3. Tage später: bereits im Netz nutzt er aus, dass die Nutzerin lokale Administratorin ist, sammelt Zugangsdaten und erreicht den Dateiserver und das Backup-NAS im selben Segment.
4. Donnerstagabend: er löscht die Kopien.
5. Samstag früh: er verschlüsselt alle Daten. Das Unternehmen bemerkt es erst am Montag.

Ein zweiter Faktor beim Fernzugang hätte alles in Phase 2 gestoppt. VLANs und isolierte Kopien hätten nur einen Server zur Wiederherstellung übrig gelassen. Ohne jede dieser Maßnahmen lautete die Rechnung: drei Wochen mit halber Kraft.

Wir analysieren Ihre Infrastruktur Phase für Phase und halten schriftlich fest, wo ein Angriff heute gestoppt würde und was fehlt, um ihn früher zu stoppen. Mehr zur Managed Cybersecurity von DataRoad: in 11 Jahren hat DataRoad keinen einzigen Sicherheitsvorfall verzeichnet. Unverbindliches Angebot.

Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch.

Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt.

*Anruf ins portugiesische Festnetz.