Angriffe und Schadsoftware erkennen und abwehren: Phishing, Malware, DDoS und Man-in-the-Middle
https://bildung.social/@oerinformatik/
https://oer-informatik.de/angriffe-schadsoftware
Cyberangriff, Malware, Ransomware, Virenschutz, Phishing, Social Engineering, DDoS, Man-in-the-Middle, ARP-Spoofing, DNS-Spoofing, Zero-Day-Exploit, Anomalieerkennung
tl/dr; (ca. 40 min Lesezeit): Die meisten erfolgreichen Angriffe beginnen nicht mit genialer Technik, sondern mit einem Klick, einer veralteten Software oder einem überlasteten Server. Du lernst die wichtigsten Arten von Schadsoftware zu unterscheiden, Phishing-Mails und Social Engineering zu erkennen und richtig zu reagieren, den Ablauf von DDoS- und Man-in-the-Middle-Angriffen (inklusive ARP-Spoofing, gefälschter DHCP-Server und DNS-Spoofing) zu erläutern, Exploits und Zero-Day-Lücken einzuordnen und Anzeichen eines erfolgreichen Angriffs zu erkennen. Zu jedem Angriff gehören passende technische und organisatorische Gegenmaßnahmen [AI-Assisted]. (Zuletzt geändert am 28.10.2026)
Dieser Artikel ist Teil einer Artikelreihe zur IT-Sicherheit: Schutzziele, Schwachstellen und Sicherheitsrisiken / Authentifizierung / Firewall, DMZ, Proxy und IDS/IPS / Systeme härten / Angriffe und Schadsoftware / Übungsaufgaben zu Angriffen und Schadsoftware
Dieser Artikel baut auf der Kann-Liste des Artikels Schutzziele, Schwachstellen und Sicherheitsrisiken auf.
Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast.
Als Grundlagen zu Angriffen und Schadsoftware kann ich nach Durchlesen des Artikels…
… „Malware“ als Oberbegriff erklären, mindestens fünf Arten von Schadsoftware nennen und ihnen ein typisches Merkmal zuordnen (Virus, Makrovirus, Wurm, Trojaner, Ransomware, Spyware/Keylogger, Adware, Backdoor, Scareware).
… beschreiben, wie ein Virenschutzprogramm arbeitet (Signaturen, Heuristik, Verhaltensanalyse), und weitere technische und organisatorische Empfehlungen gegen Schadsoftware erläutern.
… eine Gefahr durch Phishing beschreiben, Anzeichen einer Phishing-Mail an einem Beispiel erkennen und nennen und angeben, wie ich mich bei einer verdächtigen E-Mail richtig verhalte.
… Maßnahmen nennen, die ein Unternehmen gegen Phishing ergreift, und Verhaltensregeln nennen, die es seinen Beschäftigten vorgibt.
… einschätzen, warum auch bekannte Webseiten und öffentliche WLAN-Zugänge Risiken bergen und wie ein VPN und Prüfsummen schützen.
Darüber hinaus kann ich als Kernwissen für alle Fachrichtungen…
… den Begriff Cyberangriff erläutern und Beispiele nennen, Spam von Phishing abgrenzen und Social Engineering mit einem konkreten Angriffsszenario und seinen Gefahren erklären.
… beschreiben, wie Schadsoftware über eine Phishing-Mail ins Unternehmen gelangt, einen Ransomware-Angriff in Phasen gliedern und begründen, an welchen Stellen er sich erkennen und stoppen lässt.
… Probleme beim Einsatz von Virenscannern angeben und Symptome einer Kompromittierung erläutern.
… den Ablauf eines DDoS-Angriffs erläutern und Maßnahmen zur Abmilderung beschreiben.
… Man-in-the-Middle-Angriffe erläutern, ARP-Spoofing und gefälschte DHCP-Server als Wege „in die Mitte“ erklären und in Mitschnitten oder Netzwerkeinstellungen erkennen, Schutzfunktionen des Switches (DHCP Snooping, Dynamic ARP Inspection, Port-Security) beurteilen und DNS-Spoofing als Umleitung auf eine gefälschte Webseite beschreiben.
… die Begriffe Exploit, Exploitation und Zero-Day-Exploit erläutern und Arten von Exploits unterscheiden; einen beauftragten Penetrationstest von einem kriminellen Angriff abgrenzen (White, Grey und Black Hats).
… Schwachstellen nach Angriffsvektor (Hardware, Software, Mensch und Organisation) einordnen, ihr Risiko an einem konkreten Angriff begründen, passende Abwehrmaßnahmen zuordnen und Auswirkungen eines Angriffs auf vernetzte Anlagen und Netzwerkgeräte beschreiben.
… erläutern, wie Angriffe mit Monitoring und KI-gestützter Anomalieerkennung erkannt werden.
Ein Onlineshop ist an einem Montagmorgen nicht erreichbar. In der Buchhaltung öffnet jemand eine „Rechnung“, und am Nachmittag sind die Dateien auf dem Server verschlüsselt. Im Gäste-WLAN liest jemand die Anmeldedaten anderer mit. Hinter solchen Vorfällen stehen fast immer dieselben wenigen Angriffsmuster. Wer sie kennt, erkennt Angriffe früher, kann Kolleg*innen sinnvoll schulen und wählt Gegenmaßnahmen, die wirklich zum Angriff passen. Die Mindmap zeigt, welche Bereiche der Artikel behandelt.
Begriffe: Cyberangriff, Schwachstelle, Exploit
Ein Cyberangriff ist eine absichtliche Handlung, die darauf abzielt, IT-Systeme, Netze oder Daten zu stören, zu beschädigen, zu manipulieren oder sich unbefugt Zugriff darauf zu verschaffen. Er richtet sich damit immer gegen mindestens eines der Schutzziele Vertraulichkeit, Integrität oder Verfügbarkeit. Beispiele sind Schadsoftware, Phishing, Denial-of-Service-Angriffe, Man-in-the-Middle-Angriffe und das Ausnutzen von Sicherheitslücken.
Für die Beschreibung von Angriffen helfen einige Begriffe:
| Begriff | Bedeutung | Beispiel |
|---|---|---|
| Schwachstelle (vulnerability) | Fehler oder Lücke in Technik, Konfiguration oder Abläufen, die ausgenutzt werden kann | veraltete Webserver-Software, offenes Gäste-WLAN, fehlende Schulung |
| Angriffsvektor | Weg, auf dem ein Angriff ein System erreicht | E-Mail-Anhang, USB-Stick, offener Port, Funkverbindung, Telefonanruf |
| Exploit | Programm, Befehlsfolge oder Datei, die eine konkrete Schwachstelle ausnutzt | präpariertes PDF, das eine Lücke im Anzeigeprogramm auslöst |
| Exploitation | der Vorgang, eine Schwachstelle mit einem Exploit tatsächlich auszunutzen, um unbefugt Zugriff zu erhalten oder Code auszuführen | Angreifende übernehmen über die Lücke den Webserver |
| Schadsoftware (Malware) | Software, die unerwünschte, meist schädliche Funktionen ausführt | Ransomware, Trojaner |
Wer greift an? White Hats und Black Hats
Nicht jede Person, die in fremde Systeme eindringt, will schaden. Üblich ist die Unterscheidung nach den Zielen:
White-Hat-Hacker*innen greifen nur an, was sie angreifen dürfen: Ein Unternehmen beauftragt sie schriftlich, Umfang und Zeitraum sind vereinbart. Was sie finden, berichten sie vertraulich, damit die Lücken geschlossen werden – das ist die Idee eines Penetrationstests.
Black-Hat-Hacker*innen fragen niemanden. Sie suchen Lücken, um daraus Gewinn zu schlagen oder Schaden anzurichten: Sie erpressen Lösegeld, verkaufen gestohlene Daten, sabotieren Anlagen oder spionieren für Auftraggeber.
Grey-Hat-Hacker*innen liegen dazwischen: Sie suchen ohne Auftrag nach Lücken, melden sie aber meist dem Hersteller oder veröffentlichen sie. Auch das ist in Deutschland meist strafbar, sobald dabei Zugangssicherungen überwunden oder Daten abgefangen werden (§§ 202a ff. StGB); eine Ausnahme für Sicherheitsforschung ist bisher nur geplant.
Hinzu kommen Innentäter*innen (z. B. verärgerte Beschäftigte), organisierte Kriminalität mit „Ransomware as a Service“ und staatlich gesteuerte Gruppen, die Spionage oder Sabotage betreiben.
Schadsoftware (Malware)
Malware (von malicious software) ist der Oberbegriff für alle Programme, die ohne Wissen oder gegen den Willen der Nutzenden schädliche Funktionen ausführen. Die Arten unterscheiden sich darin, wie sie sich verbreiten und was sie tun:
| Art | typisches Merkmal |
|---|---|
| Virus | hängt sich an ein Wirtsprogramm oder eine Datei, wird beim Ausführen des Wirts aktiv und vervielfältigt sich, indem er weitere Dateien befällt; braucht dazu eine Aktion der Nutzenden |
| Makrovirus | Sonderform des Virus in Office-Dokumenten: kein eigenständiges Programm, sondern Code in einer Makrosprache (z. B. VBA), der beim Öffnen und Aktivieren der Makros ausgeführt wird |
| Wurm | eigenständiges Programm, das sich selbstständig über das Netz verbreitet, meist über Sicherheitslücken, ohne dass jemand eine Datei öffnen muss |
| Trojaner (Trojanisches Pferd) | gibt sich als nützliches Programm aus, enthält aber eine versteckte Schadfunktion, die beim Start des Programms aktiv wird; installiert oft weitere Schadsoftware |
| Backdoor (Hintertür) | ermöglicht Dritten einen versteckten Zugang zum System unter Umgehung der Anmeldung; wird oft von Trojanern eingerichtet |
| Ransomware | verschlüsselt Daten oder sperrt das System und fordert Lösegeld (ransom), meist in Kryptowährung |
| Spyware | spioniert Daten und Aktivitäten aus und sendet sie an Dritte |
| Keylogger | Unterart der Spyware: zeichnet Tastatureingaben auf, z. B. Benutzernamen und Passwörter |
| Adware | blendet neben der eigentlichen Funktion Werbung ein und wertet dazu oft das Nutzungsverhalten aus |
| Scareware | verunsichert mit gefälschten Warnungen („Ihr PC ist infiziert!“), damit Nutzende Schadsoftware installieren oder für ein nutzloses Produkt zahlen |
| Rootkit | versteckt sich und andere Schadsoftware tief im Betriebssystem vor Virenscannern und Administrator*innen |
| Bot | macht den Rechner fernsteuerbar; viele Bots bilden ein Botnetz, das z. B. Spam versendet oder DDoS-Angriffe ausführt |
Die Unterscheidung ist in der Praxis nicht scharf: Ein Trojaner kann eine Backdoor öffnen, über die später Ransomware nachgeladen wird. Zum Unterscheiden hilft meist ein typisches Merkmal, das die Art von den anderen unterscheidet (Virus: Wirtsdatei, Wurm: selbstständige Verbreitung im Netz, Trojaner: Tarnung als nützliches Programm, Ransomware: Verschlüsselung und Erpressung).
Warum Makroviren gefährlich sind
Office-Dokumente gelten als harmlos, deshalb werden sie häufig geöffnet und weitergeleitet. Ein Makrovirus nutzt das aus: Er ist in das Dokument eingebettet und startet, sobald jemand die Makros aktiviert. Dann kann er Dateien verändern oder löschen, weitere Schadsoftware aus dem Internet nachladen und sich in andere Dokumente kopieren, etwa in Vorlagen auf einer Dateifreigabe. Gegenmaßnahmen: Makros aus dem Internet zentral sperren (z. B. per Gruppenrichtlinie), nur signierte Makros zulassen, Dokumente lieber als PDF ohne aktive Inhalte austauschen.
Ransomware: ein Angriff in Phasen
Ransomware ist für Unternehmen besonders bedrohlich, weil sie die Verfügbarkeit aller Daten auf einen Schlag zerstört. Heutige Angriffe laufen nicht in Sekunden ab, sondern werden von Menschen über Tage oder Wochen gesteuert. Die frei nutzbare Wissensdatenbank MITRE ATT&CK beschreibt die Ziele, die Angreifende dabei nacheinander verfolgen, als Taktiken. Fasst man sie grob zusammen, ergeben sich fünf Phasen – und in jeder hinterlässt der Angriff Spuren, an denen er sich stoppen lässt:
| Phase | ATT&CK-Taktiken (Auswahl) | typische Spuren | Gegenmaßnahmen |
|---|---|---|---|
| 1. Erkunden und Vorbereiten | Reconnaissance, Resource Development | Namen und Technik des Ziels werden recherchiert, Domains und Server für den Angriff eingerichtet | sparsam mit öffentlichen Angaben umgehen, Hinweise auf ähnliche Domains beobachten |
| 2. Eindringen und Festsetzen | Initial Access, Execution, Persistence, Command and Control | geöffneter Anhang, neu gestartete Programme, Autostart-Einträge, regelmäßige Verbindungen zu unbekannten Servern | Schulung, Mailfilter für gefährliche Dateitypen, Updates, MFA für Fernzugänge, Endpoint-Schutz (EDR), ausgehenden Verkehr filtern |
| 3. Ausbreiten | Privilege Escalation, Credential Access, Discovery, Lateral Movement, Defense Evasion | ausgelesene Passwörter, Admin-Anmeldungen an ungewohnten Rechnern, abgeschalteter Virenschutz | getrennte Admin-Konten mit minimalen Rechten, Netzsegmentierung, Überwachung von Anmeldungen |
| 4. Einsammeln und Abziehen | Collection, Exfiltration | große Archive auf Servern, ungewöhnliche Uploads zu fremden Cloud-Speichern, oft nachts | Grenzwerte und Meldungen für ausgehende Datenmengen, unbekannte Speicherdienste sperren, Daten verschlüsselt ablegen |
| 5. Zuschlagen | Impact | Backups werden gelöscht, Dateien massenhaft umbenannt und verschlüsselt, Lösegeldforderung mit Veröffentlichungsdrohung (Double Extortion) | Sicherungen, die mit den normalen Admin-Rechten nicht löschbar sind, getestete Wiederherstellung, Notfallplan |
Nach dem Angriff beginnt die Arbeit des Opfers: Systeme werden bereinigt oder neu aufgesetzt, Zugangsdaten getauscht und die Ursache ermittelt, bevor der Betrieb nach einem vorbereiteten Wiederanlaufplan wieder hochfährt. Je früher in der Kette ein Angriff auffällt, desto kleiner ist dieser Aufwand.
Die 3-2-1-Regel für Backups heißt: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außer Haus. Häufig wird sie zur 3-2-1-1-0-Regel erweitert: eine Kopie offline oder unveränderbar und null Fehler beim regelmäßigen Wiederherstellungstest (siehe Datensicherung). Lösegeld zu zahlen ist keine Lösung: Es gibt keine Garantie für die Entschlüsselung, und die Täter*innen werden zu neuen Angriffen ermutigt.
Schutz vor Schadsoftware
Ein Virenschutzprogramm (Antivirensoftware, heute oft Teil einer Endpoint-Protection) arbeitet mit mehreren Verfahren:
Signaturerkennung: Dateien werden mit Mustern (Signaturen, Prüfsummen) bekannter Schadsoftware verglichen. Das ist zuverlässig, erkennt aber nur Bekanntes; die Signaturdatenbank braucht deshalb mehrmals täglich Nachschub vom Hersteller.
Heuristik: Der Code wird auf verdächtige Merkmale untersucht (z. B. Befehle zum Verschlüsseln vieler Dateien, Selbstkopie), damit auch neue Varianten auffallen.
Verhaltensanalyse: Programme werden während der Ausführung beobachtet; verdächtiges Verhalten (plötzlich Hunderte Dateien umbenennen) wird gestoppt. Unklare Dateien können in einer Sandbox (abgeschottete Testumgebung) ausprobiert werden.
Was ein Virenschutz nicht leistet: Er entscheidet nicht, welche Verbindungen ins Netz erlaubt sind – das ist Aufgabe der Firewall. Er schließt keine Sicherheitslücken – das tun Updates. Und er schützt nur, solange er im Hintergrund mitläuft; ein Scan „ab und zu“ kommt meist zu spät. Außerdem hat er Nebenwirkungen:
Fehlalarme (false positives): Harmlose Programme, auch selbst entwickelte Werkzeuge, landen in der Quarantäne.
Bremse für Server: Durchsucht der Scanner Datenbank- oder Postfachdateien bei jedem Lesen und Schreiben, werden die Dienste spürbar langsamer; Hersteller empfehlen dafür Ausnahmen.
Neue Fehlerquelle: Ein fehlerhaftes Update des Scanners kann Rechner reihenweise lahmlegen; zwei Scanner auf einem System behindern sich gegenseitig.
Trügerische Ruhe: Neue Schadsoftware (Zero-Day) bleibt anfangs oft unentdeckt.
Deshalb kommen weitere technische und organisatorische Maßnahmen dazu:
| technisch | organisatorisch |
|---|---|
| Betriebssystem und Anwendungen regelmäßig aktualisieren (Patchmanagement) | Beschäftigte regelmäßig sensibilisieren und schulen |
| Makros und aktive Inhalte aus E-Mail und Internet sperren | Regel: keine Software aus unsicheren Quellen, Installation nur durch die IT |
| E-Mail-Filter für Spam, Phishing und gefährliche Anhänge | Regel: keine unbekannten USB-Sticks oder Datenträger anschließen |
| Arbeiten ohne Administratorrechte | Meldeweg für Verdachtsfälle, der ohne Angst vor Ärger genutzt wird |
| Werbeblocker bzw. Filter für bekannte Schadseiten | regelmäßige, getestete Datensicherung und Notfallplan |
| Firewall, Netzsegmentierung, Application Whitelisting | klare Zuständigkeiten für Updates und Freigaben |
Viele dieser Maßnahmen gehören zur Systemhärtung.
Phishing, Spam und Social Engineering
Spam oder Phishing?
Spam sind unerwünschte, meist massenhaft und unverlangt versandte Nachrichten, oft mit Werbung. Spam ist lästig und kostet Zeit und Speicher, will aber in der Regel nichts stehlen.
Phishing (von password fishing) ist Betrug: Angreifende geben sich als vertrauenswürdige Stelle aus – Bank, Paketdienst, IT-Abteilung, Lieferant –, um an Zugangsdaten, Zahlungsdaten oder andere vertrauliche Informationen zu kommen oder um Schadsoftware unterzuschieben. Phishing nutzt dieselben Kanäle wie Spam, ist aber gezielt auf Täuschung angelegt. Varianten:
Spear-Phishing: auf eine bestimmte Person oder Abteilung zugeschnitten, mit echten Namen und Details, und dadurch besonders glaubwürdig.
CEO-Fraud (Chef-Masche): Eine E-Mail scheinbar von der Geschäftsführung verlangt eine dringende, vertrauliche Überweisung.
Smishing (per SMS), Vishing (per Telefon, voice), Quishing (QR-Code, der auf eine gefälschte Seite führt).
Welche Gefahr geht von Phishing aus?
Gestohlene Zugangsdaten: Angreifende melden sich als die betroffene Person an, lesen E-Mails, lösen Bestellungen oder Überweisungen aus und gelangen an sicherheitskritische Informationen.
Schadsoftware gelangt ins Unternehmen und wird zum Ausgangspunkt eines Ransomware-Angriffs.
Finanzieller Schaden durch gefälschte Rechnungen oder Überweisungen.
Datenschutzverletzung mit Meldepflicht und Imageschaden, wenn personenbezogene Daten abfließen.
Wie kommt Schadsoftware über eine Phishing-Mail ins Unternehmen?
Zwei Methoden sind typisch:
Präparierter Link: Die E-Mail enthält einen Link auf eine Webseite, die eine Sicherheitslücke im Browser ausnutzt (Drive-by-Download) oder zum Herunterladen einer „Rechnung“, eines „Updates“ oder eines „Sicherheitszertifikats“ auffordert, das in Wahrheit Schadsoftware ist.
Präparierter Anhang: Ein Office-Dokument mit Makro, ein ausführbares Programm (
.exe), eine Verknüpfung (.lnk), ein Skript oder ein Archiv (.zip,.iso), das solche Dateien enthält. Ein Doppelklick genügt.
Eine dritte Variante kommt ohne Schadsoftware aus: Der Link führt auf eine gefälschte Anmeldeseite, die die eingegebenen Zugangsdaten abgreift.
Phishing-Mails erkennen
| Anzeichen | worauf Du achtest |
|---|---|
| Absenderadresse passt nicht | Anzeigename „IT-Service“, Adresse aber it-service@mail-x7.example; Domain mit vertauschten oder ähnlichen Zeichen (csb-rad.example und csb-rаd.example mit kyrillischem a) |
| Link führt woanders hin | angezeigter Text ≠ tatsächliches Ziel; Ziel durch Überfahren mit der Maus prüfen, ohne zu klicken |
| Zeitdruck oder Drohung | „Ihr Konto wird in 12 Stunden gesperrt“, „letzte Mahnung“ |
| Aufforderung zur Eingabe vertraulicher Daten | Passwort, PIN, TAN, Kreditkartendaten – seriöse Stellen fragen danach nie per E-Mail |
| unpersönliche Anrede | „Sehr geehrter Kunde“ statt des Namens |
| unerwarteter Anhang | Rechnung ohne Bestellung, Bewerbung als .zip, Dokument mit „Bitte Makros aktivieren“ |
| ungewöhnliche Empfänger | viele Empfänger im CC oder „undisclosed recipients“ |
| Rechtschreib- und Grammatikfehler, fehlende Signatur | gilt heute nur noch eingeschränkt: Mit KI erzeugte Phishing-Mails sind oft fehlerfrei |
Kein einzelnes Merkmal beweist Phishing, und eine Mail ohne diese Merkmale kann trotzdem gefälscht sein. Im Zweifel hilft eine Rückfrage über einen bekannten Kanal (Telefonnummer aus dem Firmenverzeichnis, nicht aus der E-Mail).
Was tut das Unternehmen, was tun die Beschäftigten?
Schutz gegen Phishing hat zwei Seiten: Was das Unternehmen technisch und organisatorisch einrichtet, und welche Regeln die Beschäftigten im Alltag befolgen:
| Maßnahmen des Unternehmens | Verhaltensregeln für Beschäftigte |
|---|---|
| E-Mail-Programm bzw. Mailserver mit gutem Spam- und Phishing-Filter, Absenderprüfung mit SPF, DKIM und DMARC | keine Zugangsdaten per E-Mail oder Telefon herausgeben |
| gefährliche Anhänge blockieren oder in einer Sandbox prüfen, Makros aus dem Internet sperren | keine Links in unerwarteten E-Mails anklicken; Anmeldeseiten immer über Lesezeichen oder App aufrufen |
| Mehr-Faktor-Authentifizierung, möglichst phishing-resistent (z. B. FIDO2-Sicherheitsschlüssel) | keine Anhänge aus unbekannten oder unerwarteten Quellen öffnen, keine Makros aktivieren |
| regelmäßige Schulungen und Sensibilisierung | Absenderadresse und Linkziel prüfen, im Zweifel über bekannten Kanal nachfragen |
| simulierte Phishing-Kampagnen zu Übungszwecken | Verdachtsfälle sofort an die IT melden (Melde-Button), statt sie nur zu löschen |
| Hinweis „Externe E-Mail“ im Betreff, Meldefunktion im Mailprogramm | Überweisungs- oder Kontoänderungen nur nach Rückruf freigeben (Vier-Augen-Prinzip) |
Richtig reagieren
Du hast eine verdächtige E-Mail erhalten:
Nicht klicken, nicht antworten, keinen Anhang öffnen.
Die E-Mail über die Meldefunktion oder direkt an die IT-Abteilung melden – so kann die IT andere Postfächer warnen und den Absender sperren.
Danach die E-Mail löschen.
Du hast schon geklickt oder Daten eingegeben? Dann sofort die IT informieren, das Gerät vom Netz trennen (Kabel ziehen, WLAN aus), es aber nicht einfach weiter benutzen. Eingegebene Passwörter werden von einem anderen, sauberen Gerät aus geändert. Peinlichkeit kostet hier Zeit, und Zeit ist bei einem Angriff das Wichtigste.
Social Engineering
Social Engineering bedeutet, Menschen durch Täuschung, Druck oder Ausnutzen von Hilfsbereitschaft dazu zu bringen, vertrauliche Informationen preiszugeben, Schutzmaßnahmen zu umgehen oder selbst Schadsoftware zu installieren. Angegriffen wird nicht die Technik, sondern der Mensch. Phishing ist eine Form davon. Weitere Beispiele:
Pretexting: Ein Anruf „vom IT-Support“: „Wir müssen Ihr Postfach migrieren, nennen Sie mir bitte kurz Ihr Passwort.“
CEO-Fraud: siehe oben – Autorität und Zeitdruck.
Baiting: Ein USB-Stick mit der Aufschrift „Gehälter 2026“ liegt auf dem Parkplatz.
Tailgating: Jemand mit vollen Händen folgt Beschäftigten durch die gesicherte Tür.
Shoulder Surfing und Durchsuchen von Papiermüll (Dumpster Diving).
Vorbereitet werden solche Angriffe mit öffentlich zugänglichen Informationen: Ein Organigramm mit Namen, Durchwahlen und E-Mail-Adressen aller Beschäftigten auf der Webseite, Profile in Berufsnetzwerken oder Fotos vom Büro liefern genau die Details, die einen Anruf glaubwürdig machen.
Gefahren von Social Engineering: Es ist oft schwer zu erkennen, weil es echte Abläufe nachahmt; es umgeht technische Schutzmaßnahmen vollständig; die Folgen reichen von Datenlecks und kompromittierten Konten über finanzielle Verluste bis zur Installation von Schadsoftware. Schutz: Schulung und Awareness, klare Regeln (die IT fragt nie nach Passwörtern), Rückrufverfahren, Vier-Augen-Prinzip bei Zahlungen, sparsame Veröffentlichung von Mitarbeiterdaten (zentrale Funktionsadressen statt persönlicher Durchwahlen), Mehr-Faktor-Authentifizierung und Rechtevergabe nach dem Minimalprinzip.
Auch bekannte Webseiten und offene WLANs bergen Risiken
Bekannte Webseiten sind nicht automatisch sicher. Auch die Seite eines Geschäftspartners kann gehackt sein und Schadsoftware verteilen (Watering-Hole-Angriff), oder Werbebanner fremder Anbieter liefern Schadcode aus. Aktueller Browser, Virenschutz und Vorsicht bei Downloads sind also auch auf vertrauten Seiten nötig.
In öffentlichen, unverschlüsselten WLANs können andere Personen im selben Netz Datenverkehr mitlesen oder einen gefälschten Hotspot mit gleichem Namen betreiben (Evil Twin). Wer dort geschäftlich arbeitet, baut zuerst ein VPN auf: Alles, was das Gerät sendet, läuft dann verschlüsselt durch einen Tunnel bis ins Firmennetz – auch DNS-Anfragen und Programme, die selbst nicht verschlüsseln (siehe VPN). HTTPS allein schützt nur die einzelne Webverbindung. Das Gerät bleibt im fremden WLAN trotzdem erreichbar, deshalb gehört eine aktive lokale Firewall dazu.
Prüfsummen zeigen, ob Daten unterwegs verändert wurden (Integrität): Wer eine Datei herunterlädt, bildet selbst den Hashwert (z. B. SHA-256) und vergleicht ihn mit dem veröffentlichten Wert. Stimmen beide nicht überein, ist die Datei beschädigt oder ausgetauscht. Woher die Datei stammt, beweist eine Prüfsumme aber nicht: Wer die Download-Seite fälscht, fälscht die Prüfsumme gleich mit. Gegen gezielte Manipulation helfen nur kryptografische Verfahren wie HMAC oder digitale Signaturen (siehe Kryptografie).
Angriffe im Netz
Denial of Service und Distributed Denial of Service
Ein Denial-of-Service-Angriff (DoS) überlastet einen Server, Dienst oder eine Netzverbindung so stark, dass berechtigte Nutzer*innen ihn nicht mehr oder nur noch sehr eingeschränkt erreichen. Betroffen ist das Schutzziel Verfügbarkeit. Beim Distributed Denial of Service (DDoS) kommen die Anfragen aus sehr vielen verteilten Quellen gleichzeitig. Der Ablauf:
Botnetz aufbauen: Angreifende infizieren vorher Tausende Geräte mit Schadsoftware – PCs, aber vor allem schlecht gesicherte IoT-Geräte wie Kameras und Router – oder mieten ein fertiges Botnetz.
Steuern: Über einen Command-and-Control-Server (C&C) erhalten alle Bots gleichzeitig den Befehl, ein Ziel anzugreifen.
Fluten: Die Bots senden massenhaft Anfragen oder Pakete an das Ziel. Typische Varianten:
- volumenbasiert: die Internetanbindung wird mit Datenmengen verstopft, oft verstärkt durch Reflexion (kleine Anfragen mit gefälschter Absenderadresse an offene DNS- oder NTP-Server, die viel größere Antworten an das Opfer schicken),
- protokollbasiert: z. B. ein SYN-Flood, der halboffene TCP-Verbindungen anlegt, bis die Verbindungstabelle des Servers voll ist,
- auf Anwendungsebene: scheinbar normale, aber rechenintensive HTTP-Anfragen (Suche, Login), die die Anwendung oder Datenbank auslasten.
Wirkung: Server und Leitungen sind ausgelastet, legitime Anfragen gehen verloren. Oft dient der Angriff zur Erpressung („Zahle, dann hören wir auf“) oder lenkt von einem anderen Angriff ab.
Die Grafik fasst den Ablauf zusammen: Die Angreifenden steuern über den C&C-Server das Botnetz, die Bots fluten das Ziel, und Anfragen berechtigter Nutzer*innen gehen verloren.
Weil die Anfragen von vielen echten Geräten kommen, lässt sich ein DDoS-Angriff nicht einfach durch das Sperren einer Adresse abwehren. Abmildern lässt er sich durch:
- einen DDoS-Schutzdienst des Providers oder eines spezialisierten Anbieters, der den Verkehr vor dem eigenen Netz in einem Scrubbing Center filtert,
- ein Content Delivery Network (CDN), das Inhalte auf viele Server weltweit verteilt,
- Rate Limiting (begrenzte Anzahl Anfragen je Quelle und Zeit), Captchas, Geoblocking, SYN-Cookies,
- Lastverteilung, ausreichende Reserven bzw. automatisches Skalieren in der Cloud,
- Firewall und IDS/IPS, die Angriffsmuster erkennen (siehe Firewall, DMZ, Proxy und IDS/IPS),
- einen Notfallplan mit Ansprechperson beim Provider, damit im Ernstfall schnell umgeschaltet werden kann.
Man-in-the-Middle
Bei einem Man-in-the-Middle-Angriff (MitM) schaltet sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner. Beide glauben, direkt miteinander zu sprechen; tatsächlich läuft der gesamte Verkehr über den Angreifer. Er kann ihn mitlesen (Vertraulichkeit), verändern (Integrität) oder sich gegenüber jeder Seite als die andere ausgeben (Authentizität). Gefahren für ein Unternehmen:
- abgefangene Zugangsdaten, Kundendaten oder Geschäftsgeheimnisse,
- manipulierte Daten, z. B. eine geänderte Kontonummer in einer Rechnung oder falsche Steuerbefehle an eine Produktionsanlage,
- eingeschleuste Schadsoftware in heruntergeladene Dateien.
Wie kommt der Angreifer „in die Mitte“? Im lokalen Netz meist über ARP-Spoofing, im WLAN über einen gefälschten Hotspot, im Internet über DNS-Spoofing oder einen kompromittierten Router. Schutz bietet vor allem Verschlüsselung mit geprüfter Authentizität: TLS mit gültigen Zertifikaten (und Nutzende, die Zertifikatswarnungen ernst nehmen), HSTS, VPN bzw. Site-to-Site-VPN zwischen Standorten, SSH mit geprüften Schlüsseln. Selbst wenn der Angreifer dann Pakete umleitet, sieht er nur verschlüsselte Daten und kann sie nicht unbemerkt verändern.
ARP-Spoofing (ARP-Poisoning)
Im lokalen Netz ermittelt ein Rechner mit dem Address Resolution Protocol (ARP) zu einer IP-Adresse die passende MAC-Adresse und speichert die Antwort im ARP-Cache (siehe DHCP, DNS und ARP). ARP prüft nicht, ob eine Antwort echt ist, und Geräte übernehmen auch Antworten, nach denen sie gar nicht gefragt haben.
Beim ARP-Spoofing (auch ARP-Poisoning, „Vergiften“ des ARP-Caches) sendet der Angreifer gefälschte ARP-Nachrichten. Darin verknüpft er seine eigene MAC-Adresse mit der IP-Adresse eines legitimen Geräts, typischerweise des Standard-Gateways. Die Opfer tragen die falsche Zuordnung in ihren ARP-Cache ein und schicken ab sofort alle Pakete für das Gateway an den Angreifer. Macht er dasselbe gegenüber dem Gateway und leitet die Pakete weiter, merkt niemand etwas: Er sitzt als Man-in-the-Middle im Netz.
Die Grafik zeigt das Prinzip am Beispielnetz unten: Die gefälschten ARP-Antworten (rosa) vergiften die ARP-Caches von Laptop und Gateway, danach läuft der Datenverkehr (orange) über den Angreifer.
Ein Beispiel: Im Netz 10.110.0.0/24 hat das Gateway die IP 10.110.0.1 und die MAC 00:1a:2b:00:00:01; ein Gerät des Angreifers hat die MAC 02:66:66:00:00:66. Ein Paketmitschnitt auf dem Laptop 10.110.0.23 zeigt:
| Nr. | Quell-MAC | Ziel-MAC | Protokoll | Info |
|---|---|---|---|---|
| 1 | 00:1a:2b:00:00:01 | ff:ff:ff:ff:ff:ff | ARP | 10.110.0.1 is at 00:1a:2b:00:00:01 |
| 2 | 02:66:66:00:00:66 | 3c:22:fb:00:00:23 | ARP | 10.110.0.1 is at 02:66:66:00:00:66 |
| 3 | 02:66:66:00:00:66 | 3c:22:fb:00:00:23 | ARP | 10.110.0.1 is at 02:66:66:00:00:66 |
| 4 | 3c:22:fb:00:00:23 | 02:66:66:00:00:66 | DNS | Standard query A shop.example (10.110.0.23 → 10.110.0.1) |
| 5 | 02:66:66:00:00:66 | 00:1a:2b:00:00:01 | DNS | Standard query A shop.example (10.110.0.23 → 10.110.0.1) |
Zu erkennen ist der Angriff an zwei Stellen:
Eine IP-Adresse, zwei MAC-Adressen: Für
10.110.0.1meldet sich zuerst die echte MAC des Gateways (Nr. 1), dann wiederholt und ungefragt eine andere MAC (Nr. 2 und 3). Häufige ungefragte ARP-Antworten sind typisch für den Angriff.Doppelte Pakete: Dieselbe DNS-Anfrage erscheint zweimal. In Nr. 4 schickt der Laptop sie an die MAC des Angreifers, in Nr. 5 sendet der Angreifer sie mit seiner eigenen Quell-MAC an das echte Gateway weiter. Die IP-Adressen bleiben dabei gleich – nur auf Schicht 2 ist der Umweg sichtbar.
Gegenmaßnahmen: Dynamic ARP Inspection (DAI) auf dem Switch prüft ARP-Nachrichten gegen die Tabelle der per DHCP vergebenen Adressen (DHCP Snooping) und verwirft gefälschte; feste ARP-Einträge für das Gateway auf wichtigen Systemen; Netzsegmentierung, damit Angreifende nur ein kleines Netz erreichen; Erkennung durch IDS bzw. Monitoring; und vor allem Verschlüsselung (TLS, VPN), damit der Angreifer nichts Brauchbares mitliest. Port-Security reicht dagegen nicht: Sie beschränkt, welche MAC-Adressen an einem Switchport erlaubt sind. Ist das Gerät des Angreifers an seinem Port erlaubt – etwa ein übernommener Rechner eines Beschäftigten –, kann es trotzdem gefälschte ARP-Antworten senden (siehe Switches).
Gefälschter DHCP-Server (Rogue DHCP)
Ein zweiter Weg in die Mitte führt über DHCP. Ein Rechner, der neu ins Netz kommt, ruft per Broadcast nach einem DHCP-Server und übernimmt das erste passende Angebot: IP-Adresse, Standardgateway und DNS-Server (siehe DHCP, DNS und ARP). Ob ein Angebot vom richtigen Server stammt, prüft DHCP dabei nicht. Die Spezifikation warnt selbst davor: „Unauthorized DHCP servers may be easily set up.“ (RFC 2131, Abschnitt 7)
Betreibt ein Angreifer im lokalen Netz einen eigenen DHCP-Server und antwortet schneller als der echte, trägt er sich selbst als Gateway und DNS-Server ein. Alle Pakete in andere Netze laufen dann über sein Gerät, und er beantwortet jede Namensanfrage. Erkennbar ist das an Netzwerkeinstellungen, die nicht zum Netz passen (fremdes Gateway oder fremder DNS-Server), und an zwei verschiedenen Absendern von DHCP-Angeboten in einem Mitschnitt. Dasselbe passiert übrigens auch ohne böse Absicht, wenn jemand einen privaten Router oder ein Notebook mit Hotspot-Funktion ins Firmennetz hängt.
Gegenmaßnahme ist DHCP Snooping auf dem Switch: Nur Ports, an denen der echte DHCP-Server hängt, dürfen DHCP-Angebote senden; alle anderen werden verworfen. Die dabei entstehende Tabelle (welche IP gehört zu welcher MAC an welchem Port) nutzt Dynamic ARP Inspection gegen ARP-Spoofing. Port-Security hilft auch hier nur begrenzt, weil sie keine Inhalte prüft.
DNS-Spoofing: Umleitung auf gefälschte Webseiten
Beim DNS-Spoofing erhält ein Rechner auf die Frage „Welche IP-Adresse hat www.beispiel.example?“ eine falsche Antwort, die auf einen Server des Angreifers zeigt. Der Browser zeigt die gewohnte Adresse an, lädt aber eine gefälschte Webseite, die z. B. Zugangsdaten abgreift. Wege dorthin:
DNS-Cache-Poisoning: Der Angreifer sendet einem DNS-Server massenhaft gefälschte Antworten, bis eine davon als scheinbar echte Antwort in dessen Cache landet und an alle weitergegeben wird, die diesen Server fragen.
Manipulierte DNS-Einstellungen: Schadsoftware ändert die
hosts-Datei oder den eingetragenen DNS-Server; ein gehackter Router oder ein gefälschter DHCP-Server verteilt einen bösartigen DNS-Server.Manipulierte Einträge direkt auf einem DNS-Server, auf den der Angreifer Zugriff hat, oder ein übernommenes Konto beim Domain-Registrar (DNS-Hijacking).
Gegenmaßnahmen: DNSSEC (DNS-Antworten sind signiert, ein validierender Resolver erkennt Fälschungen), verschlüsselte DNS-Anfragen an einen vertrauenswürdigen Resolver (DNS over TLS bzw. HTTPS), Überwachung des DNS-Verkehrs, gehärtete Router und DHCP Snooping. Auf Anwendungsseite schützt TLS: Der gefälschte Server hat kein gültiges Zertifikat für den Namen, der Browser warnt. Geräte, die immer nur mit demselben Server sprechen, etwa Türschilder mit ihrem MQTT-Broker, können zusätzlich nur das eine erwartete Zertifikat akzeptieren (Zertifikats-Pinning).
Passwortangriffe und Funkverbindungen
Brute-Force: Passwörter werden durch massenhaftes Durchprobieren erraten, auch automatisiert mit Wörterbüchern oder geleakten Zugangsdaten (Credential Stuffing). Gegenmaßnahmen: Begrenzung bzw. Verzögerung der Anmeldeversuche, lange Passwörter, Mehr-Faktor-Authentifizierung (siehe Authentifizierung).
Funkverbindungen (WLAN, Bluetooth Low Energy, Funksensoren) lassen sich mit einfacher und billiger Hardware abhören. Ohne Verschlüsselung und Authentifizierung beim Koppeln können Angreifende Daten mitlesen, Befehle aufzeichnen und später erneut senden (Replay) oder Signale fälschen, z. B. GPS-Positionen (GPS-Spoofing). Gegenmaßnahmen: Verschlüsselung (WPA3, BLE Secure Connections), authentifiziertes Koppeln, Firmware-Updates.
Schwachstellen ausnutzen: Exploits und Zero-Day-Lücken
Ein Exploit nutzt eine konkrete Schwachstelle aus. Je nachdem, wo die Lücke liegt, unterscheidet man z. B.:
| Art | Beschreibung |
|---|---|
| Software-Exploit | nutzt Programmierfehler in Betriebssystem, Anwendung oder Bibliothek aus (z. B. Pufferüberlauf, fehlende Eingabeprüfung bei SQL-Injection), um Schadcode auszuführen oder Rechte zu erlangen |
| Zero-Day-Exploit | nutzt eine Lücke aus, die dem Hersteller zum Zeitpunkt des Angriffs noch nicht bekannt ist oder für die es noch keinen Patch gibt; der Hersteller hatte „null Tage“ Zeit, sie zu schließen |
| Remote- bzw. Netzwerk-Exploit | greift über das Netz an, ohne dass Angreifende Zugang zum Gerät haben, z. B. über einen offenen Dienst |
| Firmware-Exploit | zielt auf die fest eingebaute Software von Routern, Switches, Druckern oder Steuerungen; wer sie beherrscht, steuert das Gerät und alles, was hindurchläuft |
| IoT-Exploit | trifft vernetzte Kleingeräte wie Kameras, Sensoren oder smarte Steckdosen, die oft mit Werkspasswort und ohne Updates laufen – beliebter Nachschub für Botnetze |
| physischer Exploit | braucht Hände am Gerät: Starten von einem eigenen USB-Stick, Auslesen über eine Wartungsschnittstelle, ein als Tastatur getarnter USB-Stick |
Ein bekanntes Beispiel für eine Zero-Day-Lücke war Log4Shell in der Java-Bibliothek Log4j (Dezember 2021): Ein speziell aufgebauter Text in einem Eingabefeld oder Header genügte, damit ein Server beim Protokollieren Code aus dem Internet nachlud und ausführte. Weil die Bibliothek in unzähligen Anwendungen steckte, mussten weltweit Systeme in Eile gepatcht werden. Gegen Zero-Days hilft kein Patch – noch nicht. Wirksam sind dann mehrere Schutzschichten: Rechte minimieren, Netze segmentieren, ausgehende Verbindungen einschränken, Verhalten überwachen, eine Web Application Firewall vorschalten und Warnungen des BSI und der Hersteller verfolgen, um den Patch sofort einzuspielen, sobald er verfügbar ist.
Auch White Hats nutzen Exploits: Bei einem Penetrationstest spielen sie reale Angriffe kontrolliert nach. Das BSI gliedert einen solchen Test in fünf Phasen: Vorbereitung (Auftrag, Ziele, rechtliche Absicherung), Informationsbeschaffung und -auswertung, Bewertung der Informationen und Risikoanalyse, aktive Eindringversuche – hier findet die Exploitation statt – und Abschlussanalyse mit Bericht (BSI-Studie „Durchführungskonzept für Penetrationstests“).
Angriffe erkennen
Symptome einer Kompromittierung
Nicht jeder Angriff lässt sich verhindern. Umso wichtiger ist es, einen erfolgreichen Angriff früh zu bemerken. Mögliche Anzeichen auf einem Rechner oder im Netz:
- der Rechner wird spürbar langsamer, die CPU- oder Netzlast ist ohne Grund hoch, Lüfter laufen dauernd,
- unbekannte Programme, Prozesse, Desktop-Symbole oder Browser-Erweiterungen tauchen auf, die Startseite des Browsers ist verändert,
- Programme starten, beenden oder konfigurieren sich selbst, Sicherheitsprogramme sind deaktiviert,
- häufige Abstürze, ungewöhnliche Fehlermeldungen oder vermehrte Aufforderungen, Passwörter einzugeben oder Software herunterzuladen,
- Dateien sind verändert, verschlüsselt (neue Dateiendungen) oder gelöscht,
- aus dem eigenen Postfach werden E-Mails verschickt, die niemand geschrieben hat,
- Anmeldungen zu ungewöhnlichen Zeiten oder von fremden Orten, geänderte Passwörter, neue Benutzerkonten mit Adminrechten,
- Programme bauen von sich aus Internetverbindungen auf, große Datenmengen fließen nach außen.
Monitoring, SIEM und KI-gestützte Erkennung
Im Unternehmen sammelt ein SIEM (Security Information and Event Management) die Protokolle von Firewalls, Servern, Switches und Endgeräten, verknüpft sie und schlägt Alarm, etwa wenn im Orga-Netz plötzlich ein zweites Gerät DHCP-Angebote verschickt oder sich ein Admin-Konto nachts an fünf Servern nacheinander anmeldet. Ein IDS bzw. IPS erkennt Angriffsmuster im Netzverkehr.
Klassische Regeln erkennen nur, was jemand vorher beschrieben hat. KI-gestützte Anomalieerkennung lernt stattdessen aus Daten, wie der Normalbetrieb aussieht, und meldet Abweichungen. Wichtig ist, die richtige Messgröße zu wählen:
| Messgröße | so sieht es normalerweise aus | auffällige Abweichung | möglicher Angriff |
|---|---|---|---|
| Absender von DHCP-Angeboten und eingetragene Gateways je Netz | genau ein DHCP-Server, immer dasselbe Gateway | zweiter Absender, neues Gateway oder neuer DNS-Server bei Clients | Rogue DHCP, Man-in-the-Middle |
| Zuordnung von IP- zu MAC-Adressen | ändert sich nur beim Gerätetausch | Gateway-IP wechselt plötzlich die MAC-Adresse | ARP-Spoofing |
| fehlgeschlagene Anmeldungen je Konto und Quelle | vereinzelte Tippfehler zu Arbeitszeiten | Serien von Fehlversuchen, ein Konto von vielen Adressen | Brute-Force, Credential Stuffing |
| Anfragen je Pfad und Quelle bei einer Web-Anwendung | Last folgt dem Tagesverlauf und Ereignissen wie einer Freischaltung | Tausende Quellen im Gleichtakt, teure Pfade mit Zufallswerten | DDoS auf Anwendungsebene |
| Antworten auf DNS-Anfragen für eigene Namen | stabile Adressen | eigene Namen zeigen auf unbekannte Adressen | DNS-Spoofing |
| ausgehende Datenmenge je Rechner | wenige MB, tagsüber | Gigabytes nachts zu unbekannten Speicherdiensten | Datenabfluss vor Ransomware |
Grenzen: Das System braucht saubere Trainingsdaten aus einem Zeitraum ohne Angriff, erzeugt Fehlalarme bei legitimen Änderungen (Werbeaktion, neue Software) und ersetzt nicht die Bewertung durch Fachleute.
Auswirkungen auf vernetzte Anlagen
In Produktionsanlagen, Energiespeichern oder Gebäudetechnik steuern IT-Systeme physische Prozesse. Ein Angriff auf diese Ebene (Operational Technology, OT) hat deshalb Folgen über Datenverlust hinaus. Ein Beispiel ist die Gebäudeautomation einer Schule: Temperaturfühler, Heizungsregler und Lüftungsanlage tauschen ihre Werte über das Netz aus. Wer dort eindringt, kann gefälschte CO₂- oder Temperaturwerte einspeisen, sodass Räume überheizt oder nicht mehr gelüftet werden, Heizkreise im Winter abschalten (Frostschäden an Leitungen) oder die Anlage so lange stören, bis sie auf Notbetrieb schaltet und der Unterricht ausfallen muss. Gegenmaßnahmen sind ein vom Verwaltungsnetz getrenntes Anlagennetz, Fernwartung nur über abgesicherte Zugänge, aktuelle und gehärtete Steuerungen und ein Handbetrieb, der ohne Netz funktioniert.
Von der Schwachstelle zur Abwehrmaßnahme
Um Risiken greifbar zu machen, hilft es, von einer konkreten Schwachstelle auszugehen, den Angriffsvektor zu bestimmen und dann einen konkreten Angriff durchzuspielen. Erst daraus ergibt sich, welche Abwehr wirklich passt. Für die CSB-Rad GmbH, die Fahrräder herstellt und an Stationen verleiht, könnte das so aussehen:
| Schwachstelle | Angriffsvektor | konkreter Angriff | Abwehrmaßnahmen |
|---|---|---|---|
| Verleihstation mit Touchscreen steht im öffentlichen Raum, der USB-Anschluss im Gehäuse ist erreichbar | Hardware | Ein präparierter USB-Stick gibt sich als Tastatur aus und öffnet eine Hintertür ins Verleihsystem | Gehäuse verschließen, USB-Anschlüsse sperren, Kiosk-Modus, Station in eigenem Netz |
| Webshop nutzt ein Erweiterungsmodul, für das seit Monaten ein Sicherheitsupdate aussteht | Software | Über die bekannte Lücke werden Kundendaten ausgelesen oder Schadcode in die Bestellseite eingebaut | Patchmanagement, nicht benötigte Module entfernen, Web Application Firewall |
| Rechnungen von Lieferanten werden per E-Mail angenommen, Bankdaten ohne Rückfrage geändert | Mensch und Organisation | Gefälschte „neue Bankverbindung“ leitet eine Zahlung auf ein fremdes Konto | Rückruf über bekannte Nummer, Vier-Augen-Prinzip, Schulung der Buchhaltung |
| Funkschlösser der Leihräder senden den Öffnungsbefehl ohne Verschlüsselung | Hardware und Software | Befehl wird mitgeschnitten und später erneut gesendet (Replay), das Rad ist offen | verschlüsselte und authentifizierte Funkverbindung mit Einmalwerten, Firmware-Update |
Die drei Angriffsvektoren helfen beim Sammeln: Bei der Hardware sind es etwa alte Geräte ohne Firmware-Updates, frei zugängliche Anschlüsse und Netzwerkdosen oder Rechner, die ohne Firmware-Passwort von fremden Medien starten. Bei der Software sind es ausstehende Updates, unnötig erreichbare Dienste, zu großzügige Berechtigungen, Werkspasswörter und unverschlüsselt gespeicherte Daten. Beim Menschen und der Organisation sind es fehlende Regeln und Schulungen, Abläufe, die sich durch einen überzeugenden Anruf aushebeln lassen, und zu viele öffentliche Angaben über Personen und eingesetzte Technik.
Typische Fehler
Virus und Wurm verwechseln: Der Virus braucht eine Wirtsdatei und eine Aktion der Nutzenden, der Wurm verbreitet sich selbstständig über das Netz.
„Der Virenscanner schützt vor allem.“ Er erkennt vor allem Bekanntes und ersetzt weder Updates noch Firewall, Backups oder Schulung.
Spam und Phishing gleichsetzen: Spam ist unerwünschte Massenwerbung, Phishing ist gezielter Betrug mit gefälschter Identität.
Bei Phishing nur „löschen“ antworten: Wichtig ist das Melden an die IT, damit andere gewarnt werden.
DoS und DDoS vertauschen: Bei DDoS kommen die Anfragen aus vielen verteilten Quellen (Botnetz), deshalb hilft das Sperren einzelner Adressen nicht.
MitM nur als „Abhören“ beschreiben: Der Angreifer kann auch verändern und sich als Gegenstelle ausgeben.
Port-Security als Schutz vor ARP-Spoofing oder gefälschten DHCP-Servern nennen: Sie prüft MAC-Adressen am Port, nicht den Inhalt von ARP- oder DHCP-Nachrichten; dafür gibt es Dynamic ARP Inspection und DHCP Snooping.
Gegenmaßnahmen, die nicht zum Angriff passen: Gegen DDoS hilft keine Verschlüsselung, gegen MitM kein Rate Limiting. Prüfe immer, welches Schutzziel der Angriff trifft.
Leitfragen
- Woran unterscheiden sich Virus, Wurm, Trojaner und Ransomware?
Der Virus befällt eine Wirtsdatei und wird aktiv, wenn sie ausgeführt wird; der Wurm verbreitet sich selbstständig über das Netz; der Trojaner tarnt sich als nützliches Programm mit versteckter Schadfunktion; Ransomware verschlüsselt Daten und fordert Lösegeld. Siehe Abschnitt „Schadsoftware“.
- Wie arbeitet ein Virenscanner, und mit welchen Problemen musst Du rechnen?
Er vergleicht Dateien mit Signaturen bekannter Schadsoftware, sucht heuristisch nach verdächtigem Code und beobachtet das Verhalten von Programmen. Probleme: Fehlalarme, Leistungsverlust bei Datenbanken und Mailservern, Störungen durch fehlerhafte Updates, keine Erkennung neuer Schadsoftware. Siehe Abschnitt „Schutz vor Schadsoftware“.
- Woran erkennst Du eine Phishing-Mail, und wie reagierst Du richtig?
Anzeichen: unpassende Absenderadresse, Linkziel weicht vom angezeigten Text ab, Zeitdruck, Aufforderung zur Eingabe vertraulicher Daten, unpersönliche Anrede, unerwarteter Anhang. Reaktion: nicht klicken und nicht antworten, an die IT melden, dann löschen; wenn schon geklickt: sofort die IT informieren und das Gerät vom Netz trennen. Siehe Abschnitt „Phishing-Mails erkennen“ und „Richtig reagieren“.
- Was unterscheidet Spam von Phishing, und was ist Social Engineering?
Spam ist unerwünschte, massenhaft versandte Nachricht meist mit Werbung; Phishing ist Betrug, bei dem sich Angreifende als vertrauenswürdige Stelle ausgeben, um Daten zu stehlen oder Schadsoftware unterzuschieben. Social Engineering manipuliert Menschen durch Täuschung, damit sie Informationen preisgeben oder Schutzmaßnahmen umgehen, z. B. ein Anruf eines falschen IT-Supports. Siehe Abschnitt „Phishing, Spam und Social Engineering“.
- Wie läuft ein Ransomware-Angriff ab, und was hilft in welcher Phase?
Angelehnt an die MITRE-ATT&CK-Taktiken: Erkunden und Vorbereiten (sparsame öffentliche Angaben), Eindringen und Festsetzen (Schulung, Mailfilter, Updates, EDR), Ausbreiten (getrennte Admin-Konten, Segmentierung, Anmeldungen überwachen), Einsammeln und Abziehen (Grenzwerte für ausgehende Daten), Zuschlagen (nicht löschbare Sicherungen, getestete Wiederherstellung, Notfallplan). Weil der Angriff Tage dauert, lässt er sich an seinen Spuren oft rechtzeitig stoppen. Siehe Abschnitt „Ransomware: ein Angriff in Phasen“.
- Wie läuft ein DDoS-Angriff ab, und wie lässt er sich abmildern?
Angreifende steuern ein Botnetz aus vielen infizierten Geräten, das gleichzeitig massenhaft Anfragen an ein Ziel schickt, bis es für Berechtigte nicht mehr erreichbar ist. Abmildern: DDoS-Schutzdienst des Providers, CDN, Rate Limiting, Lastverteilung und Skalierung, IDS/IPS, Notfallplan. Siehe Abschnitt „Denial of Service“.
- Was ist ein Man-in-the-Middle-Angriff, und wie gelangt ein Angreifer im lokalen Netz „in die Mitte“?
Der Angreifer sitzt unbemerkt zwischen zwei Partnern und kann mitlesen, verändern und sich als Gegenstelle ausgeben. Beim ARP-Spoofing verknüpft er per gefälschter ARP-Antwort seine MAC mit der IP z. B. des Gateways (im Mitschnitt: dieselbe IP mit zwei MAC-Adressen, ungefragte ARP-Antworten, doppelte Pakete). Mit einem gefälschten DHCP-Server trägt er sich gleich selbst als Gateway und DNS-Server ein (erkennbar an fremden Einstellungen und zwei DHCP-Absendern). Schutz: Dynamic ARP Inspection, DHCP Snooping, Verschlüsselung; Port-Security reicht nicht. Siehe Abschnitt „ARP-Spoofing“ und „Gefälschter DHCP-Server“.
- Was ist ein Zero-Day-Exploit, und welche Arten von Exploits gibt es?
Ein Exploit nutzt eine Schwachstelle aus; beim Zero-Day-Exploit ist die Lücke dem Hersteller beim Angriff noch nicht bekannt oder noch nicht geschlossen, es gibt also noch keinen Patch. Arten: Software-, Remote-, Firmware-, IoT- und physische Exploits. Siehe Abschnitt „Exploits und Zero-Day-Lücken“.
- Woran erkennst Du, dass ein System kompromittiert ist, und wie hilft KI dabei?
Anzeichen: hohe Last ohne Grund, unbekannte Programme und Prozesse, veränderte Browser-Startseite, Abstürze, veränderte oder verschlüsselte Dateien, E-Mails ohne Wissen verschickt, ungewöhnliche Anmeldungen. KI-gestützte Anomalieerkennung lernt an gewählten Messgrößen den Normalbetrieb und meldet Abweichungen, z. B. Serien von Fehlanmeldungen oder einen zweiten DHCP-Server im Netz. Siehe Abschnitt „Angriffe erkennen“.
Links und weitere Informationen
DHCP, DNS und ARP und Switches (Port-Security)
VPN und Kryptografie
Bundesamt für Sicherheit in der Informationstechnik (BSI): Warnungen, Hinweise für Verbraucher*innen und Unternehmen, IT-Grundschutz
Hinweis zur Nachnutzung als Open Educational Resource (OER)
Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Angriffe und Schadsoftware erkennen und abwehren: Phishing, Malware, DDoS und Man-in-the-Middle” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/angriffe-schadsoftware veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/schutzmassnahmen. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.
[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]
