Angriffe und Schadsoftware erkennen und abwehren: Phishing, Malware, DDoS und Man-in-the-Middle
https://bildung.social/@oerinformatik/
https://oer-informatik.de/angriffe-schadsoftware
Cyberangriff, Malware, Ransomware, Virenschutz, Phishing, Social Engineering, DDoS, Man-in-the-Middle, ARP-Spoofing, DNS-Spoofing, Zero-Day-Exploit, Anomalieerkennung
tl/dr; (ca. 36 min Lesezeit): Die meisten erfolgreichen Angriffe beginnen nicht mit genialer Technik, sondern mit einem Klick, einer veralteten Software oder einem überlasteten Server. Du lernst die wichtigsten Arten von Schadsoftware zu unterscheiden, Phishing-Mails und Social Engineering zu erkennen und richtig zu reagieren, den Ablauf von DDoS- und Man-in-the-Middle-Angriffen (inklusive ARP- und DNS-Spoofing) zu erläutern, Exploits und Zero-Day-Lücken einzuordnen und Anzeichen eines erfolgreichen Angriffs zu erkennen. Zu jedem Angriff gehören passende technische und organisatorische Gegenmaßnahmen [AI-Assisted]. (Zuletzt geändert am 28.10.2026)
Dieser Artikel ist Teil einer Artikelreihe zur IT-Sicherheit: Schutzziele, Schwachstellen und Sicherheitsrisiken / Authentifizierung / Firewall, DMZ, Proxy und IDS/IPS / Systeme härten / Angriffe und Schadsoftware / Übungsaufgaben zu Angriffen und Schadsoftware
Dieser Artikel baut auf der Kann-Liste des Artikels Schutzziele, Schwachstellen und Sicherheitsrisiken auf.
Schon fit in diesem Thema? Nutze die Kann-Liste und die Leitfragen unter dem Artikel als Checkliste, ob Du die relevanten Kompetenzen bereits hast.
Als Grundlagen zu Angriffen und Schadsoftware kann ich nach Durchlesen des Artikels…
… „Malware“ als Oberbegriff erklären, mindestens fünf Arten von Schadsoftware nennen und ihnen ein typisches Merkmal zuordnen (Virus, Makrovirus, Wurm, Trojaner, Ransomware, Spyware/Keylogger, Adware, Backdoor, Scareware).
… beschreiben, wie ein Virenschutzprogramm arbeitet (Signaturen, Heuristik, Verhaltensanalyse), und weitere technische und organisatorische Empfehlungen gegen Schadsoftware erläutern.
… eine Gefahr durch Phishing beschreiben, Anzeichen einer Phishing-Mail an einem Beispiel erkennen und nennen und angeben, wie ich mich bei einer verdächtigen E-Mail richtig verhalte.
… Maßnahmen nennen, die ein Unternehmen gegen Phishing ergreift, und Verhaltensregeln nennen, die es seinen Beschäftigten vorgibt.
… einschätzen, warum auch bekannte Webseiten und öffentliche WLAN-Zugänge Risiken bergen und wie ein VPN und Prüfsummen schützen.
Darüber hinaus kann ich als Kernwissen für alle Fachrichtungen…
… den Begriff Cyberangriff erläutern und Beispiele nennen, Spam von Phishing abgrenzen und Social Engineering mit einem konkreten Angriffsszenario und seinen Gefahren erklären.
… beschreiben, wie Schadsoftware über eine Phishing-Mail ins Unternehmen gelangt, und die Phasen eines Ransomware-Angriffs mit je einer Gegenmaßnahme erläutern.
… Probleme beim Einsatz von Virenscannern angeben und Symptome einer Kompromittierung erläutern.
… den Ablauf eines DDoS-Angriffs erläutern und Maßnahmen zur Abmilderung beschreiben.
… Man-in-the-Middle-Angriffe erläutern, ARP-Spoofing (auch anhand eines englischen Textes) erklären, es in einem Paketmitschnitt erkennen und beurteilen, ob Port-Security dagegen hilft; DNS-Spoofing als Umleitung auf eine gefälschte Webseite beschreiben.
… die Begriffe Exploit, Exploitation und Zero-Day-Exploit erläutern und Arten von Exploits unterscheiden; White-Hat- und Black-Hat-Hacker*innen nach ihren Zielen unterscheiden.
… für Angriffsziele (Netz, Zutritt, Arbeitsplatz, Mensch) konkrete Risiken und Abwehrmaßnahmen angeben, Schwachstellen nach Angriffsvektor Hardware und Software nennen und Auswirkungen eines Angriffs auf vernetzte Anlagen beschreiben.
… erläutern, wie Angriffe mit Monitoring und KI-gestützter Anomalieerkennung erkannt werden.
Ein Onlineshop ist an einem Montagmorgen nicht erreichbar. In der Buchhaltung öffnet jemand eine „Rechnung“, und am Nachmittag sind die Dateien auf dem Server verschlüsselt. Im Gäste-WLAN liest jemand die Anmeldedaten anderer mit. Hinter solchen Vorfällen stehen fast immer dieselben wenigen Angriffsmuster. Wer sie kennt, erkennt Angriffe früher, kann Kolleg*innen sinnvoll schulen und wählt Gegenmaßnahmen, die wirklich zum Angriff passen. Die Mindmap zeigt, welche Bereiche der Artikel behandelt.
Begriffe: Cyberangriff, Schwachstelle, Exploit
Ein Cyberangriff ist eine absichtliche Handlung, die darauf abzielt, IT-Systeme, Netze oder Daten zu stören, zu beschädigen, zu manipulieren oder sich unbefugt Zugriff darauf zu verschaffen. Er richtet sich damit immer gegen mindestens eines der Schutzziele Vertraulichkeit, Integrität oder Verfügbarkeit. Beispiele sind Schadsoftware, Phishing, Denial-of-Service-Angriffe, Man-in-the-Middle-Angriffe und das Ausnutzen von Sicherheitslücken.
Für die Beschreibung von Angriffen helfen einige Begriffe:
| Begriff | Bedeutung | Beispiel |
|---|---|---|
| Schwachstelle (vulnerability) | Fehler oder Lücke in Technik, Konfiguration oder Abläufen, die ausgenutzt werden kann | veraltete Webserver-Software, offenes Gäste-WLAN, fehlende Schulung |
| Angriffsvektor | Weg, auf dem ein Angriff ein System erreicht | E-Mail-Anhang, USB-Stick, offener Port, Funkverbindung, Telefonanruf |
| Exploit | Programm, Befehlsfolge oder Datei, die eine konkrete Schwachstelle ausnutzt | präpariertes PDF, das eine Lücke im Anzeigeprogramm auslöst |
| Exploitation | der Vorgang, eine Schwachstelle mit einem Exploit tatsächlich auszunutzen, um unbefugt Zugriff zu erhalten oder Code auszuführen | Angreifende übernehmen über die Lücke den Webserver |
| Schadsoftware (Malware) | Software, die unerwünschte, meist schädliche Funktionen ausführt | Ransomware, Trojaner |
Wer greift an? White Hats und Black Hats
Nicht jede Person, die in fremde Systeme eindringt, will schaden. Üblich ist die Unterscheidung nach den Zielen:
White-Hat-Hacker*innen dringen im Auftrag und mit Erlaubnis der Eigentümer*innen in Netze oder Systeme ein, um Schwachstellen zu finden. Die Ergebnisse gehen an die Auftraggebenden, damit sie die Sicherheit verbessern können (z. B. bei einem Penetrationstest).
Black-Hat-Hacker*innen nutzen Schwachstellen ohne Erlaubnis aus, um sich persönliche, finanzielle oder sonstige Vorteile zu verschaffen oder um zu schaden (Erpressung, Datendiebstahl, Sabotage, Spionage).
Grey-Hat-Hacker*innen liegen dazwischen: Sie suchen ohne Auftrag nach Lücken, melden sie aber meist dem Hersteller oder veröffentlichen sie. Auch das ist in Deutschland meist strafbar, sobald dabei Zugangssicherungen überwunden oder Daten abgefangen werden (§§ 202a ff. StGB); eine Ausnahme für Sicherheitsforschung ist bisher nur geplant.
Hinzu kommen Innentäter*innen (z. B. verärgerte Beschäftigte), organisierte Kriminalität mit „Ransomware as a Service“ und staatlich gesteuerte Gruppen, die Spionage oder Sabotage betreiben.
Schadsoftware (Malware)
Malware (von malicious software) ist der Oberbegriff für alle Programme, die ohne Wissen oder gegen den Willen der Nutzenden schädliche Funktionen ausführen. Die Arten unterscheiden sich darin, wie sie sich verbreiten und was sie tun:
| Art | typisches Merkmal |
|---|---|
| Virus | hängt sich an ein Wirtsprogramm oder eine Datei, wird beim Ausführen des Wirts aktiv und vervielfältigt sich, indem er weitere Dateien befällt; braucht dazu eine Aktion der Nutzenden |
| Makrovirus | Sonderform des Virus in Office-Dokumenten: kein eigenständiges Programm, sondern Code in einer Makrosprache (z. B. VBA), der beim Öffnen und Aktivieren der Makros ausgeführt wird |
| Wurm | eigenständiges Programm, das sich selbstständig über das Netz verbreitet, meist über Sicherheitslücken, ohne dass jemand eine Datei öffnen muss |
| Trojaner (Trojanisches Pferd) | gibt sich als nützliches Programm aus, enthält aber eine versteckte Schadfunktion, die beim Start des Programms aktiv wird; installiert oft weitere Schadsoftware |
| Backdoor (Hintertür) | ermöglicht Dritten einen versteckten Zugang zum System unter Umgehung der Anmeldung; wird oft von Trojanern eingerichtet |
| Ransomware | verschlüsselt Daten oder sperrt das System und fordert Lösegeld (ransom), meist in Kryptowährung |
| Spyware | spioniert Daten und Aktivitäten aus und sendet sie an Dritte |
| Keylogger | Unterart der Spyware: zeichnet Tastatureingaben auf, z. B. Benutzernamen und Passwörter |
| Adware | blendet neben der eigentlichen Funktion Werbung ein und wertet dazu oft das Nutzungsverhalten aus |
| Scareware | verunsichert mit gefälschten Warnungen („Ihr PC ist infiziert!“), damit Nutzende Schadsoftware installieren oder für ein nutzloses Produkt zahlen |
| Rootkit | versteckt sich und andere Schadsoftware tief im Betriebssystem vor Virenscannern und Administrator*innen |
| Bot | macht den Rechner fernsteuerbar; viele Bots bilden ein Botnetz, das z. B. Spam versendet oder DDoS-Angriffe ausführt |
Die Unterscheidung ist in der Praxis nicht scharf: Ein Trojaner kann eine Backdoor öffnen, über die später Ransomware nachgeladen wird. In Aufgaben genügt es meist, das eine typische Merkmal zu nennen, das die Art von den anderen unterscheidet (Virus: Wirtsdatei, Wurm: selbstständige Verbreitung im Netz, Trojaner: Tarnung als nützliches Programm, Ransomware: Verschlüsselung und Erpressung).
Warum Makroviren gefährlich sind
Office-Dokumente gelten als harmlos, deshalb werden sie häufig geöffnet und weitergeleitet. Ein Makrovirus nutzt das aus: Er ist in das Dokument eingebettet und startet, sobald jemand die Makros aktiviert. Dann kann er Dateien verändern oder löschen, weitere Schadsoftware aus dem Internet nachladen und sich in andere Dokumente kopieren, etwa in Vorlagen auf einer Dateifreigabe. Gegenmaßnahmen: Makros aus dem Internet zentral sperren (z. B. per Gruppenrichtlinie), nur signierte Makros zulassen, Dokumente lieber als PDF ohne aktive Inhalte austauschen.
Ransomware: ein Angriff in Phasen
Ransomware ist für Unternehmen besonders bedrohlich, weil sie die Verfügbarkeit aller Daten auf einen Schlag zerstört. Moderne Angriffe laufen nicht in Sekunden ab, sondern über Tage oder Wochen in mehreren Phasen. In jeder Phase gibt es eine Chance, den Angriff zu stoppen:
| Phase | was geschieht | wirksame Gegenmaßnahmen |
|---|---|---|
| 1. Erstinfektion | Zugang über Phishing-Mail, Social Engineering, ungepatchte Server oder schwache Fernzugänge | Schulung, E-Mail-Filter, Virenschutz, Updates, Mehr-Faktor-Authentifizierung für Fernzugänge |
| 2. Rechteausweitung | weitere Schadsoftware nachladen, Administratorrechte erlangen | Arbeiten mit minimalen Rechten (Least Privilege), getrennte Admin-Konten, Endpoint-Schutz (EDR) |
| 3. Ausbreitung | sich im Netz von Rechner zu Rechner bewegen, Domänen-Admin werden | Netzsegmentierung, Monitoring, zeitnahe Updates, sichere Passwörter und MFA |
| 4. Datenabfluss | Daten und Datenbanken kopieren, Backups suchen und löschen | Netzwerkmonitoring, Alarm bei großen Uploads, Backups getrennt vom Netz (offline, unveränderbar) |
| 5. Verschlüsselung und Erpressung | Daten verschlüsseln, Lösegeld fordern, mit Veröffentlichung der gestohlenen Daten drohen (Double Extortion) | regelmäßige und getestete Backups nach der 3-2-1-Regel, Notfallplan |
| 6. Wiederherstellung | das betroffene Unternehmen bereinigt Systeme oder setzt sie neu auf und lässt den Betrieb wieder anlaufen | Notfallmanagement, Wiederanlaufpläne, Ursachenanalyse und Penetrationstest |
Die 3-2-1-Regel für Backups heißt: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine außer Haus. Häufig wird sie zur 3-2-1-1-0-Regel erweitert: eine Kopie offline oder unveränderbar und null Fehler beim regelmäßigen Wiederherstellungstest (siehe Datensicherung). Lösegeld zu zahlen ist keine Lösung: Es gibt keine Garantie für die Entschlüsselung, und die Täter*innen werden zu neuen Angriffen ermutigt.
Schutz vor Schadsoftware
Ein Virenschutzprogramm (Antivirensoftware, heute oft Teil einer Endpoint-Protection) arbeitet mit mehreren Verfahren:
Signaturerkennung: Dateien werden mit Mustern (Signaturen, Prüfsummen) bekannter Schadsoftware verglichen. Das ist zuverlässig, erkennt aber nur Bekanntes; die Signaturen müssen daher ständig – über das Internet – aktualisiert werden.
Heuristik: Der Code wird auf verdächtige Merkmale untersucht (z. B. Befehle zum Verschlüsseln vieler Dateien, Selbstkopie), damit auch neue Varianten auffallen.
Verhaltensanalyse: Programme werden während der Ausführung beobachtet; verdächtiges Verhalten (plötzlich Hunderte Dateien umbenennen) wird gestoppt. Unklare Dateien können in einer Sandbox (abgeschottete Testumgebung) ausprobiert werden.
Ein Virenscanner schützt nicht vor allem: Er blockiert nicht den Netzwerkverkehr (das macht die Firewall), er verhindert kein „Hacken“ über Sicherheitslücken, und er muss dauerhaft laufen statt nur bei Verdacht. Zudem bringt er eigene Probleme mit sich:
Fehlalarme (false positives): harmlose Programme werden gesperrt oder in Quarantäne verschoben, manchmal sogar Systemdateien.
Leistungsverlust bei zeitkritischen Anwendungen, etwa wenn Datenbankdateien oder Mailserver-Postfächer bei jedem Zugriff gescannt werden; dafür gibt es gezielte Ausnahmen.
Störungen und Abstürze durch fehlerhafte Updates der Signaturen oder der Scan-Engine, Konflikte zwischen zwei installierten Virenscannern.
Falsche Sicherheit: Neue Schadsoftware (Zero-Day) wird anfangs nicht erkannt.
Deshalb kommen weitere technische und organisatorische Maßnahmen dazu:
| technisch | organisatorisch |
|---|---|
| Betriebssystem und Anwendungen regelmäßig aktualisieren (Patchmanagement) | Beschäftigte regelmäßig sensibilisieren und schulen |
| Makros und aktive Inhalte aus E-Mail und Internet sperren | Regel: keine Software aus unsicheren Quellen, Installation nur durch die IT |
| E-Mail-Filter für Spam, Phishing und gefährliche Anhänge | Regel: keine unbekannten USB-Sticks oder Datenträger anschließen |
| Arbeiten ohne Administratorrechte | Meldeweg für Verdachtsfälle, der ohne Angst vor Ärger genutzt wird |
| Werbeblocker bzw. Filter für bekannte Schadseiten | regelmäßige, getestete Datensicherung und Notfallplan |
| Firewall, Netzsegmentierung, Application Whitelisting | klare Zuständigkeiten für Updates und Freigaben |
Viele dieser Maßnahmen gehören zur Systemhärtung.
Phishing, Spam und Social Engineering
Spam oder Phishing?
Spam sind unerwünschte, meist massenhaft und unverlangt versandte Nachrichten, oft mit Werbung. Spam ist lästig und kostet Zeit und Speicher, will aber in der Regel nichts stehlen.
Phishing (von password fishing) ist Betrug: Angreifende geben sich als vertrauenswürdige Stelle aus – Bank, Paketdienst, IT-Abteilung, Lieferant –, um an Zugangsdaten, Zahlungsdaten oder andere vertrauliche Informationen zu kommen oder um Schadsoftware unterzuschieben. Phishing nutzt dieselben Kanäle wie Spam, ist aber gezielt auf Täuschung angelegt. Varianten:
Spear-Phishing: auf eine bestimmte Person oder Abteilung zugeschnitten, mit echten Namen und Details, und dadurch besonders glaubwürdig.
CEO-Fraud (Chef-Masche): Eine E-Mail scheinbar von der Geschäftsführung verlangt eine dringende, vertrauliche Überweisung.
Smishing (per SMS), Vishing (per Telefon, voice), Quishing (QR-Code, der auf eine gefälschte Seite führt).
Welche Gefahr geht von Phishing aus?
Gestohlene Zugangsdaten: Angreifende melden sich als die betroffene Person an, lesen E-Mails, lösen Bestellungen oder Überweisungen aus und gelangen an sicherheitskritische Informationen.
Schadsoftware gelangt ins Unternehmen und wird zum Ausgangspunkt eines Ransomware-Angriffs.
Finanzieller Schaden durch gefälschte Rechnungen oder Überweisungen.
Datenschutzverletzung mit Meldepflicht und Imageschaden, wenn personenbezogene Daten abfließen.
Wie kommt Schadsoftware über eine Phishing-Mail ins Unternehmen?
Zwei Methoden sind typisch:
Präparierter Link: Die E-Mail enthält einen Link auf eine Webseite, die eine Sicherheitslücke im Browser ausnutzt (Drive-by-Download) oder zum Herunterladen einer „Rechnung“, eines „Updates“ oder eines „Sicherheitszertifikats“ auffordert, das in Wahrheit Schadsoftware ist.
Präparierter Anhang: Ein Office-Dokument mit Makro, ein ausführbares Programm (
.exe), eine Verknüpfung (.lnk), ein Skript oder ein Archiv (.zip,.iso), das solche Dateien enthält. Ein Doppelklick genügt.
Eine dritte Variante kommt ohne Schadsoftware aus: Der Link führt auf eine gefälschte Anmeldeseite, die die eingegebenen Zugangsdaten abgreift.
Phishing-Mails erkennen
| Anzeichen | worauf Du achtest |
|---|---|
| Absenderadresse passt nicht | Anzeigename „IT-Service“, Adresse aber it-service@mail-x7.example; Domain mit vertauschten oder ähnlichen Zeichen (csb-rad.example und csb-rаd.example mit kyrillischem a) |
| Link führt woanders hin | angezeigter Text ≠ tatsächliches Ziel; Ziel durch Überfahren mit der Maus prüfen, ohne zu klicken |
| Zeitdruck oder Drohung | „Ihr Konto wird in 12 Stunden gesperrt“, „letzte Mahnung“ |
| Aufforderung zur Eingabe vertraulicher Daten | Passwort, PIN, TAN, Kreditkartendaten – seriöse Stellen fragen danach nie per E-Mail |
| unpersönliche Anrede | „Sehr geehrter Kunde“ statt des Namens |
| unerwarteter Anhang | Rechnung ohne Bestellung, Bewerbung als .zip, Dokument mit „Bitte Makros aktivieren“ |
| ungewöhnliche Empfänger | viele Empfänger im CC oder „undisclosed recipients“ |
| Rechtschreib- und Grammatikfehler, fehlende Signatur | gilt heute nur noch eingeschränkt: Mit KI erzeugte Phishing-Mails sind oft fehlerfrei |
Kein einzelnes Merkmal beweist Phishing, und eine Mail ohne diese Merkmale kann trotzdem gefälscht sein. Im Zweifel hilft eine Rückfrage über einen bekannten Kanal (Telefonnummer aus dem Firmenverzeichnis, nicht aus der E-Mail).
Was tut das Unternehmen, was tun die Beschäftigten?
In Aufgaben wird oft getrennt gefragt, was das Unternehmen einrichtet und was es den Beschäftigten vorgibt:
| Maßnahmen des Unternehmens | Verhaltensregeln für Beschäftigte |
|---|---|
| E-Mail-Programm bzw. Mailserver mit gutem Spam- und Phishing-Filter, Absenderprüfung mit SPF, DKIM und DMARC | keine Zugangsdaten per E-Mail oder Telefon herausgeben |
| gefährliche Anhänge blockieren oder in einer Sandbox prüfen, Makros aus dem Internet sperren | keine Links in unerwarteten E-Mails anklicken; Anmeldeseiten immer über Lesezeichen oder App aufrufen |
| Mehr-Faktor-Authentifizierung, möglichst phishing-resistent (z. B. FIDO2-Sicherheitsschlüssel) | keine Anhänge aus unbekannten oder unerwarteten Quellen öffnen, keine Makros aktivieren |
| regelmäßige Schulungen und Sensibilisierung | Absenderadresse und Linkziel prüfen, im Zweifel über bekannten Kanal nachfragen |
| simulierte Phishing-Kampagnen zu Übungszwecken | Verdachtsfälle sofort an die IT melden (Melde-Button), statt sie nur zu löschen |
| Hinweis „Externe E-Mail“ im Betreff, Meldefunktion im Mailprogramm | Überweisungs- oder Kontoänderungen nur nach Rückruf freigeben (Vier-Augen-Prinzip) |
Richtig reagieren
Du hast eine verdächtige E-Mail erhalten:
Nicht klicken, nicht antworten, keinen Anhang öffnen.
Die E-Mail über die Meldefunktion oder direkt an die IT-Abteilung melden – so kann die IT andere Postfächer warnen und den Absender sperren.
Danach die E-Mail löschen.
Du hast schon geklickt oder Daten eingegeben? Dann sofort die IT informieren, das Gerät vom Netz trennen (Kabel ziehen, WLAN aus), es aber nicht einfach weiter benutzen. Eingegebene Passwörter werden von einem anderen, sauberen Gerät aus geändert. Peinlichkeit kostet hier Zeit, und Zeit ist bei einem Angriff das Wichtigste.
Social Engineering
Social Engineering bedeutet, Menschen durch Täuschung, Druck oder Ausnutzen von Hilfsbereitschaft dazu zu bringen, vertrauliche Informationen preiszugeben, Schutzmaßnahmen zu umgehen oder selbst Schadsoftware zu installieren. Angegriffen wird nicht die Technik, sondern der Mensch. Phishing ist eine Form davon. Weitere Beispiele:
Pretexting: Ein Anruf „vom IT-Support“: „Wir müssen Ihr Postfach migrieren, nennen Sie mir bitte kurz Ihr Passwort.“
CEO-Fraud: siehe oben – Autorität und Zeitdruck.
Baiting: Ein USB-Stick mit der Aufschrift „Gehälter 2026“ liegt auf dem Parkplatz.
Tailgating: Jemand mit vollen Händen folgt Beschäftigten durch die gesicherte Tür.
Shoulder Surfing und Durchsuchen von Papiermüll (Dumpster Diving).
Vorbereitet werden solche Angriffe mit öffentlich zugänglichen Informationen: Ein Organigramm mit Namen, Durchwahlen und E-Mail-Adressen aller Beschäftigten auf der Webseite, Profile in Berufsnetzwerken oder Fotos vom Büro liefern genau die Details, die einen Anruf glaubwürdig machen.
Gefahren von Social Engineering: Es ist oft schwer zu erkennen, weil es echte Abläufe nachahmt; es umgeht technische Schutzmaßnahmen vollständig; die Folgen reichen von Datenlecks und kompromittierten Konten über finanzielle Verluste bis zur Installation von Schadsoftware. Schutz: Schulung und Awareness, klare Regeln (die IT fragt nie nach Passwörtern), Rückrufverfahren, Vier-Augen-Prinzip bei Zahlungen, sparsame Veröffentlichung von Mitarbeiterdaten (zentrale Funktionsadressen statt persönlicher Durchwahlen), Mehr-Faktor-Authentifizierung und Rechtevergabe nach dem Minimalprinzip.
Auch bekannte Webseiten und offene WLANs bergen Risiken
Bekannte Webseiten sind nicht automatisch sicher. Auch die Seite eines Geschäftspartners kann gehackt sein und Schadsoftware verteilen (Watering-Hole-Angriff), oder Werbebanner fremder Anbieter liefern Schadcode aus. Die üblichen Schutzmaßnahmen – aktueller Browser, Virenschutz, keine unerwarteten Downloads – gelten also immer.
In öffentlichen, unverschlüsselten WLANs können andere Personen im selben Netz Datenverkehr mitlesen oder einen gefälschten Hotspot mit gleichem Namen betreiben (Evil Twin). Wer dort geschäftlich arbeitet, nutzt ein VPN: Der gesamte Datenverkehr ist dann verschlüsselt, als säße man im Firmennetz (siehe VPN). Zusätzlich schützt die lokale Firewall das Gerät selbst.
Prüfsummen sichern die Integrität übertragener Daten: Der Absender berechnet aus den Daten eine Kontrollsumme und schickt sie mit, der Empfänger berechnet sie erneut und vergleicht. Weichen die Werte ab, wurden die Daten verändert. Gegen gezielte Manipulation helfen nur kryptografische Verfahren wie HMAC oder digitale Signaturen (siehe Kryptografie).
Angriffe im Netz
Denial of Service und Distributed Denial of Service
Ein Denial-of-Service-Angriff (DoS) überlastet einen Server, Dienst oder eine Netzverbindung so stark, dass berechtigte Nutzer*innen ihn nicht mehr oder nur noch sehr eingeschränkt erreichen. Betroffen ist das Schutzziel Verfügbarkeit. Beim Distributed Denial of Service (DDoS) kommen die Anfragen aus sehr vielen verteilten Quellen gleichzeitig. Der Ablauf:
Botnetz aufbauen: Angreifende infizieren vorher Tausende Geräte mit Schadsoftware – PCs, aber vor allem schlecht gesicherte IoT-Geräte wie Kameras und Router – oder mieten ein fertiges Botnetz.
Steuern: Über einen Command-and-Control-Server (C&C) erhalten alle Bots gleichzeitig den Befehl, ein Ziel anzugreifen.
Fluten: Die Bots senden massenhaft Anfragen oder Pakete an das Ziel. Typische Varianten:
- volumenbasiert: die Internetanbindung wird mit Datenmengen verstopft, oft verstärkt durch Reflexion (kleine Anfragen mit gefälschter Absenderadresse an offene DNS- oder NTP-Server, die viel größere Antworten an das Opfer schicken),
- protokollbasiert: z. B. ein SYN-Flood, der halboffene TCP-Verbindungen anlegt, bis die Verbindungstabelle des Servers voll ist,
- auf Anwendungsebene: scheinbar normale, aber rechenintensive HTTP-Anfragen (Suche, Login), die die Anwendung oder Datenbank auslasten.
Wirkung: Server und Leitungen sind ausgelastet, legitime Anfragen gehen verloren. Oft dient der Angriff zur Erpressung („Zahle, dann hören wir auf“) oder lenkt von einem anderen Angriff ab.
Die Grafik fasst den Ablauf zusammen: Die Angreifenden steuern über den C&C-Server das Botnetz, die Bots fluten das Ziel, und Anfragen berechtigter Nutzer*innen gehen verloren.
Weil die Anfragen von vielen echten Geräten kommen, lässt sich ein DDoS-Angriff nicht einfach durch das Sperren einer Adresse abwehren. Abmildern lässt er sich durch:
- einen DDoS-Schutzdienst des Providers oder eines spezialisierten Anbieters, der den Verkehr vor dem eigenen Netz in einem Scrubbing Center filtert,
- ein Content Delivery Network (CDN), das Inhalte auf viele Server weltweit verteilt,
- Rate Limiting (begrenzte Anzahl Anfragen je Quelle und Zeit), Captchas, Geoblocking, SYN-Cookies,
- Lastverteilung, ausreichende Reserven bzw. automatisches Skalieren in der Cloud,
- Firewall und IDS/IPS, die Angriffsmuster erkennen (siehe Firewall, DMZ, Proxy und IDS/IPS),
- einen Notfallplan mit Ansprechperson beim Provider, damit im Ernstfall schnell umgeschaltet werden kann.
Man-in-the-Middle
Bei einem Man-in-the-Middle-Angriff (MitM) schaltet sich ein Angreifer unbemerkt zwischen zwei Kommunikationspartner. Beide glauben, direkt miteinander zu sprechen; tatsächlich läuft der gesamte Verkehr über den Angreifer. Er kann ihn mitlesen (Vertraulichkeit), verändern (Integrität) oder sich gegenüber jeder Seite als die andere ausgeben (Authentizität). Gefahren für ein Unternehmen:
- abgefangene Zugangsdaten, Kundendaten oder Geschäftsgeheimnisse,
- manipulierte Daten, z. B. eine geänderte Kontonummer in einer Rechnung oder falsche Steuerbefehle an eine Produktionsanlage,
- eingeschleuste Schadsoftware in heruntergeladene Dateien.
Wie kommt der Angreifer „in die Mitte“? Im lokalen Netz meist über ARP-Spoofing, im WLAN über einen gefälschten Hotspot, im Internet über DNS-Spoofing oder einen kompromittierten Router. Schutz bietet vor allem Verschlüsselung mit geprüfter Authentizität: TLS mit gültigen Zertifikaten (und Nutzende, die Zertifikatswarnungen ernst nehmen), HSTS, VPN bzw. Site-to-Site-VPN zwischen Standorten, SSH mit geprüften Schlüsseln. Selbst wenn der Angreifer dann Pakete umleitet, sieht er nur verschlüsselte Daten und kann sie nicht unbemerkt verändern.
ARP-Spoofing (ARP-Poisoning)
Im lokalen Netz ermittelt ein Rechner mit dem Address Resolution Protocol (ARP) zu einer IP-Adresse die passende MAC-Adresse und speichert die Antwort im ARP-Cache (siehe DHCP, DNS und ARP). ARP prüft nicht, ob eine Antwort echt ist, und Geräte übernehmen auch Antworten, nach denen sie gar nicht gefragt haben.
Beim ARP-Spoofing (auch ARP-Poisoning, „Vergiften“ des ARP-Caches) sendet der Angreifer gefälschte ARP-Nachrichten. Darin verknüpft er seine eigene MAC-Adresse mit der IP-Adresse eines legitimen Geräts, typischerweise des Standard-Gateways. Die Opfer tragen die falsche Zuordnung in ihren ARP-Cache ein und schicken ab sofort alle Pakete für das Gateway an den Angreifer. Macht er dasselbe gegenüber dem Gateway und leitet die Pakete weiter, merkt niemand etwas: Er sitzt als Man-in-the-Middle im Netz.
Die Grafik zeigt das Prinzip am Beispielnetz unten: Die gefälschten ARP-Antworten (rosa) vergiften die ARP-Caches von Laptop und Gateway, danach läuft der Datenverkehr (orange) über den Angreifer.
Ein Beispiel: Im Netz 10.110.0.0/24 hat das Gateway die IP 10.110.0.1 und die MAC 00:1a:2b:00:00:01; ein Gerät des Angreifers hat die MAC 02:66:66:00:00:66. Ein Paketmitschnitt auf dem Laptop 10.110.0.23 zeigt:
| Nr. | Quell-MAC | Ziel-MAC | Protokoll | Info |
|---|---|---|---|---|
| 1 | 00:1a:2b:00:00:01 | ff:ff:ff:ff:ff:ff | ARP | 10.110.0.1 is at 00:1a:2b:00:00:01 |
| 2 | 02:66:66:00:00:66 | 3c:22:fb:00:00:23 | ARP | 10.110.0.1 is at 02:66:66:00:00:66 |
| 3 | 02:66:66:00:00:66 | 3c:22:fb:00:00:23 | ARP | 10.110.0.1 is at 02:66:66:00:00:66 |
| 4 | 3c:22:fb:00:00:23 | 02:66:66:00:00:66 | DNS | Standard query A shop.example (10.110.0.23 → 10.110.0.1) |
| 5 | 02:66:66:00:00:66 | 00:1a:2b:00:00:01 | DNS | Standard query A shop.example (10.110.0.23 → 10.110.0.1) |
Zu erkennen ist der Angriff an zwei Stellen:
Eine IP-Adresse, zwei MAC-Adressen: Für
10.110.0.1meldet sich zuerst die echte MAC des Gateways (Nr. 1), dann wiederholt und ungefragt eine andere MAC (Nr. 2 und 3). Häufige ungefragte ARP-Antworten sind typisch für den Angriff.Doppelte Pakete: Dieselbe DNS-Anfrage erscheint zweimal. In Nr. 4 schickt der Laptop sie an die MAC des Angreifers, in Nr. 5 sendet der Angreifer sie mit seiner eigenen Quell-MAC an das echte Gateway weiter. Die IP-Adressen bleiben dabei gleich – nur auf Schicht 2 ist der Umweg sichtbar.
Gegenmaßnahmen: Dynamic ARP Inspection (DAI) auf dem Switch prüft ARP-Nachrichten gegen die Tabelle der per DHCP vergebenen Adressen (DHCP Snooping) und verwirft gefälschte; feste ARP-Einträge für das Gateway auf wichtigen Systemen; Netzsegmentierung, damit Angreifende nur ein kleines Netz erreichen; Erkennung durch IDS bzw. Monitoring; und vor allem Verschlüsselung (TLS, VPN), damit der Angreifer nichts Brauchbares mitliest. Port-Security reicht dagegen nicht: Sie beschränkt, welche MAC-Adressen an einem Switchport erlaubt sind. Ist das Gerät des Angreifers an seinem Port erlaubt – etwa ein übernommener Rechner eines Beschäftigten –, kann es trotzdem gefälschte ARP-Antworten senden (siehe Switches).
DNS-Spoofing: Umleitung auf gefälschte Webseiten
Beim DNS-Spoofing erhält ein Rechner auf die Frage „Welche IP-Adresse hat www.beispiel.example?“ eine falsche Antwort, die auf einen Server des Angreifers zeigt. Der Browser zeigt die gewohnte Adresse an, lädt aber eine gefälschte Webseite, die z. B. Zugangsdaten abgreift. Wege dorthin:
DNS-Cache-Poisoning: Der Angreifer sendet einem DNS-Server massenhaft gefälschte Antworten, bis eine davon als scheinbar echte Antwort in dessen Cache landet und an alle weitergegeben wird, die diesen Server fragen.
Manipulierte DNS-Einstellungen: Schadsoftware ändert die
hosts-Datei oder den eingetragenen DNS-Server; ein gehackter Router oder ein gefälschter DHCP-Server verteilt einen bösartigen DNS-Server.Manipulierte Einträge direkt auf einem DNS-Server, auf den der Angreifer Zugriff hat, oder ein übernommenes Konto beim Domain-Registrar (DNS-Hijacking).
Gegenmaßnahmen: DNSSEC (DNS-Antworten sind signiert, ein validierender Resolver erkennt Fälschungen), verschlüsselte DNS-Anfragen an einen vertrauenswürdigen Resolver (DNS over TLS bzw. HTTPS), Überwachung des DNS-Verkehrs, gehärtete Router und DHCP Snooping. Auf Anwendungsseite schützt TLS: Der gefälschte Server hat kein gültiges Zertifikat für den Namen, der Browser warnt. Bei festen Verbindungen, etwa einer Anlage zu ihrer Cloud-Plattform, können zusätzlich feste Adressen oder Zertifikats-Pinning eingesetzt werden.
Passwortangriffe und Funkverbindungen
Brute-Force: Passwörter werden durch massenhaftes Durchprobieren erraten, auch automatisiert mit Wörterbüchern oder geleakten Zugangsdaten (Credential Stuffing). Gegenmaßnahmen: Begrenzung bzw. Verzögerung der Anmeldeversuche, lange Passwörter, Mehr-Faktor-Authentifizierung (siehe Authentifizierung).
Funkverbindungen (WLAN, Bluetooth Low Energy, Funksensoren) lassen sich mit einfacher und billiger Hardware abhören. Ohne Verschlüsselung und Authentifizierung beim Koppeln können Angreifende Daten mitlesen, Befehle aufzeichnen und später erneut senden (Replay) oder Signale fälschen, z. B. GPS-Positionen (GPS-Spoofing). Gegenmaßnahmen: Verschlüsselung (WPA3, BLE Secure Connections), authentifiziertes Koppeln, Firmware-Updates.
Schwachstellen ausnutzen: Exploits und Zero-Day-Lücken
Ein Exploit nutzt eine konkrete Schwachstelle aus. Je nachdem, wo die Lücke liegt, unterscheidet man z. B.:
| Art | Beschreibung |
|---|---|
| Software-Exploit | nutzt Programmierfehler in Betriebssystem, Anwendung oder Bibliothek aus (z. B. Pufferüberlauf, fehlende Eingabeprüfung bei SQL-Injection), um Schadcode auszuführen oder Rechte zu erlangen |
| Zero-Day-Exploit | nutzt eine Lücke aus, die dem Hersteller zum Zeitpunkt des Angriffs noch nicht bekannt ist oder für die es noch keinen Patch gibt; der Hersteller hatte „null Tage“ Zeit, sie zu schließen |
| Remote- bzw. Netzwerk-Exploit | greift über das Netz an, ohne dass Angreifende Zugang zum Gerät haben, z. B. über einen offenen Dienst |
| Firmware-Exploit | nutzt Lücken in der Firmware von Routern, Switches, Druckern oder Steuerungen aus, um das Gerät zu übernehmen oder den Datenverkehr zu manipulieren |
| IoT-Exploit | zielt auf vernetzte Geräte (Kameras, Sensoren, smarte Steckdosen) mit Standardpasswörtern oder ungepatchter Software, oft um sie in ein Botnetz einzubinden |
| physischer Exploit | setzt physischen Zugang voraus, z. B. Booten von einem USB-Stick, Auslesen über eine Debug-Schnittstelle, präparierte USB-Geräte |
Ein bekanntes Beispiel für eine Zero-Day-Lücke war Log4Shell in der Java-Bibliothek Log4j (Dezember 2021): Ein speziell aufgebauter Text in einem Eingabefeld oder Header genügte, damit ein Server beim Protokollieren Code aus dem Internet nachlud und ausführte. Weil die Bibliothek in unzähligen Anwendungen steckte, mussten weltweit Systeme in Eile gepatcht werden. Gegen Zero-Days hilft kein Patch – noch nicht. Wirksam sind dann mehrere Schutzschichten: Rechte minimieren, Netze segmentieren, ausgehende Verbindungen einschränken, Verhalten überwachen, eine Web Application Firewall vorschalten und Warnungen des BSI und der Hersteller verfolgen, um den Patch sofort einzuspielen, sobald er verfügbar ist.
Auch White Hats nutzen Exploits: Bei einem Penetrationstest werden in festgelegten Phasen – Planung, Aufklärung (Reconnaissance), Scannen nach Schwachstellen, Exploitation, Post-Exploitation (wie weit kommt man von dort?), Bericht und Nachbereitung – reale Angriffe simuliert, um Lücken zu finden, bevor andere es tun.
Angriffe erkennen
Symptome einer Kompromittierung
Nicht jeder Angriff lässt sich verhindern. Umso wichtiger ist es, einen erfolgreichen Angriff früh zu bemerken. Mögliche Anzeichen auf einem Rechner oder im Netz:
- der Rechner wird spürbar langsamer, die CPU- oder Netzlast ist ohne Grund hoch, Lüfter laufen dauernd,
- unbekannte Programme, Prozesse, Desktop-Symbole oder Browser-Erweiterungen tauchen auf, die Startseite des Browsers ist verändert,
- Programme starten, beenden oder konfigurieren sich selbst, Sicherheitsprogramme sind deaktiviert,
- häufige Abstürze, ungewöhnliche Fehlermeldungen oder vermehrte Aufforderungen, Passwörter einzugeben oder Software herunterzuladen,
- Dateien sind verändert, verschlüsselt (neue Dateiendungen) oder gelöscht,
- aus dem eigenen Postfach werden E-Mails verschickt, die niemand geschrieben hat,
- Anmeldungen zu ungewöhnlichen Zeiten oder von fremden Orten, geänderte Passwörter, neue Benutzerkonten mit Adminrechten,
- Programme bauen von sich aus Internetverbindungen auf, große Datenmengen fließen nach außen.
Monitoring, SIEM und KI-gestützte Erkennung
Im Unternehmen sammelt ein SIEM (Security Information and Event Management) die Protokolle von Firewalls, Servern, Switches und Endgeräten, verknüpft sie und schlägt Alarm, etwa „verdächtiger ARP-Verkehr im Netz X, möglicher MitM-Angriff“. Ein IDS bzw. IPS erkennt Angriffsmuster im Netzverkehr.
Klassische Regeln erkennen nur, was jemand vorher beschrieben hat. KI-gestützte Anomalieerkennung lernt stattdessen aus Daten, wie der Normalbetrieb aussieht – übliche Datenmengen, Anmeldezeiten, Kommunikationspartner, DNS-Antworten –, und meldet Abweichungen:
| Angriff | Was ein lernendes System als Anomalie erkennen kann |
|---|---|
| DDoS | plötzlicher, starker Anstieg der Anfragen oder Datenmenge, ungewöhnlich viele verschiedene Quelladressen im Vergleich zu den üblichen Zugriffszahlen |
| Brute-Force | viele fehlgeschlagene Anmeldungen in kurzer Zeit, gleiche Benutzerkonten von vielen IP-Adressen, Anmeldungen zu untypischen Zeiten |
| Man-in-the-Middle | geänderte Kommunikationswege oder MAC-Zuordnungen, unbekannte Zertifikate oder plötzliche Änderungen der Verschlüsselung |
| DNS-Spoofing | neue IP-Adressen für bekannte Namen, plötzliche Häufung von DNS-Anfragen zu bestimmten Domains |
| Datenabfluss | große Uploads zu unbekannten Zielen, nächtlicher Verkehr von Rechnern, die sonst nachts ruhen |
Grenzen: Das System braucht saubere Trainingsdaten aus einem Zeitraum ohne Angriff, erzeugt Fehlalarme bei legitimen Änderungen (Werbeaktion, neue Software) und ersetzt nicht die Bewertung durch Fachleute.
Auswirkungen auf vernetzte Anlagen
In Produktionsanlagen, Energiespeichern oder Gebäudetechnik steuern IT-Systeme physische Prozesse. Ein Angriff auf diese Ebene (Operational Technology, OT) hat deshalb Folgen über Datenverlust hinaus. Übernimmt ein Angreifer etwa die Switches im Netz eines Batteriespeichers, kann er Messwerte verfälschen, sodass die Steuerung falsch lädt oder entlädt, Befehle an die Wechselrichter unterdrücken oder verändern, die Kommunikation ganz unterbrechen, sodass der Speicher in eine Sicherheitsabschaltung geht und nicht mehr zur Verfügung steht, oder den Verkehr mitschneiden, um später gezielter anzugreifen. Gegenmaßnahmen sind eine strikte Trennung von Büro- und Anlagennetz, gehärtete und aktuelle Netzwerkgeräte, Überwachung des Anlagennetzes und ein manueller Notbetrieb.
Konkrete Risiken und Abwehrmaßnahmen zuordnen
Eine bewährte Denkhilfe ist eine Tabelle aus Angriffsziel, allgemeiner Gefahr, konkretem Risiko und Abwehrmaßnahmen. Für eine Veranstaltungs- oder Schulumgebung könnte sie so aussehen:
| Angriffsziel | allgemeine Gefahr | konkretes Risiko | Abwehrmaßnahmen |
|---|---|---|---|
| Gäste-WLAN | Man-in-the-Middle, gefälschter Hotspot | Mitlesen von Anmeldedaten der Gäste, Angriffe auf das interne Netz | eigenes, vom internen Netz getrenntes WLAN mit Client-Isolation, WPA3, Captive Portal mit Nutzungsbedingungen, Monitoring |
| Zutrittssystem | Manipulation, gefälschte Karten oder Tickets | unbefugter Zutritt, Ausfall am Einlass | Firewall und Segmentierung, Updates, Notfallplan mit manueller Kontrolle |
| Server, Arbeitsplätze, Technik | physischer Zugriff, Einschleusen von Schadsoftware über USB | Datendiebstahl, Manipulation, Totalausfall | Zutrittskontrolle, abgeschlossener Serverraum, USB-Sperre, Verschlüsselung, Begleitpflicht für Externe |
| Menschen | Social Engineering, Phishing | übernommene Konten, Datenlecks, Malware | Schulung, MFA für kritische Konten, Rechte nach Minimalprinzip, Phishing-Simulation |
Ebenso lassen sich Schwachstellen nach Angriffsvektor sortieren: Bei der Hardware etwa veraltete Geräte ohne Updates, offene Schnittstellen (USB, Bluetooth, Debug-Ports), ungeschütztes BIOS/UEFI, Keylogger zwischen Tastatur und Rechner; bei der Software fehlende Updates, offene Ports und unnötige Dienste, schlecht geregelte Zugriffsrechte, fehlende Authentifizierung, unverschlüsselte Daten und Standardpasswörter.
Typische Fehler
Virus und Wurm verwechseln: Der Virus braucht eine Wirtsdatei und eine Aktion der Nutzenden, der Wurm verbreitet sich selbstständig über das Netz.
„Der Virenscanner schützt vor allem.“ Er erkennt vor allem Bekanntes und ersetzt weder Updates noch Firewall, Backups oder Schulung.
Spam und Phishing gleichsetzen: Spam ist unerwünschte Massenwerbung, Phishing ist gezielter Betrug mit gefälschter Identität.
Bei Phishing nur „löschen“ antworten: Wichtig ist das Melden an die IT, damit andere gewarnt werden.
DoS und DDoS vertauschen: Bei DDoS kommen die Anfragen aus vielen verteilten Quellen (Botnetz), deshalb hilft das Sperren einzelner Adressen nicht.
MitM nur als „Abhören“ beschreiben: Der Angreifer kann auch verändern und sich als Gegenstelle ausgeben.
Port-Security als Schutz vor ARP-Spoofing nennen: Sie prüft MAC-Adressen am Port, nicht den Inhalt von ARP-Nachrichten; dafür gibt es Dynamic ARP Inspection.
Gegenmaßnahmen, die nicht zum Angriff passen: Gegen DDoS hilft keine Verschlüsselung, gegen MitM kein Rate Limiting. Prüfe immer, welches Schutzziel der Angriff trifft.
Leitfragen
- Woran unterscheiden sich Virus, Wurm, Trojaner und Ransomware?
Der Virus befällt eine Wirtsdatei und wird aktiv, wenn sie ausgeführt wird; der Wurm verbreitet sich selbstständig über das Netz; der Trojaner tarnt sich als nützliches Programm mit versteckter Schadfunktion; Ransomware verschlüsselt Daten und fordert Lösegeld. Siehe Abschnitt „Schadsoftware“.
- Wie arbeitet ein Virenscanner, und mit welchen Problemen musst Du rechnen?
Er vergleicht Dateien mit Signaturen bekannter Schadsoftware, sucht heuristisch nach verdächtigem Code und beobachtet das Verhalten von Programmen. Probleme: Fehlalarme, Leistungsverlust bei Datenbanken und Mailservern, Störungen durch fehlerhafte Updates, keine Erkennung neuer Schadsoftware. Siehe Abschnitt „Schutz vor Schadsoftware“.
- Woran erkennst Du eine Phishing-Mail, und wie reagierst Du richtig?
Anzeichen: unpassende Absenderadresse, Linkziel weicht vom angezeigten Text ab, Zeitdruck, Aufforderung zur Eingabe vertraulicher Daten, unpersönliche Anrede, unerwarteter Anhang. Reaktion: nicht klicken und nicht antworten, an die IT melden, dann löschen; wenn schon geklickt: sofort die IT informieren und das Gerät vom Netz trennen. Siehe Abschnitt „Phishing-Mails erkennen“ und „Richtig reagieren“.
- Was unterscheidet Spam von Phishing, und was ist Social Engineering?
Spam ist unerwünschte, massenhaft versandte Nachricht meist mit Werbung; Phishing ist Betrug, bei dem sich Angreifende als vertrauenswürdige Stelle ausgeben, um Daten zu stehlen oder Schadsoftware unterzuschieben. Social Engineering manipuliert Menschen durch Täuschung, damit sie Informationen preisgeben oder Schutzmaßnahmen umgehen, z. B. ein Anruf eines falschen IT-Supports. Siehe Abschnitt „Phishing, Spam und Social Engineering“.
- Wie läuft ein Ransomware-Angriff ab, und was hilft in welcher Phase?
Erstinfektion (Schulung, Filter, Updates), Rechteausweitung (Least Privilege), Ausbreitung (Segmentierung, Monitoring), Datenabfluss (Alarm bei großen Uploads, Offline-Backups), Verschlüsselung (getestete Backups nach 3-2-1-Regel, Notfallplan), Wiederherstellung (Notfallmanagement). Siehe Abschnitt „Ransomware: ein Angriff in Phasen“.
- Wie läuft ein DDoS-Angriff ab, und wie lässt er sich abmildern?
Angreifende steuern ein Botnetz aus vielen infizierten Geräten, das gleichzeitig massenhaft Anfragen an ein Ziel schickt, bis es für Berechtigte nicht mehr erreichbar ist. Abmildern: DDoS-Schutzdienst des Providers, CDN, Rate Limiting, Lastverteilung und Skalierung, IDS/IPS, Notfallplan. Siehe Abschnitt „Denial of Service“.
- Was ist ein Man-in-the-Middle-Angriff, und wie erkennst Du ARP-Spoofing in einem Mitschnitt?
Der Angreifer sitzt unbemerkt zwischen zwei Partnern und kann mitlesen, verändern und sich als Gegenstelle ausgeben. Beim ARP-Spoofing verknüpft er per gefälschter ARP-Antwort seine MAC mit der IP z. B. des Gateways. Im Mitschnitt: dieselbe IP mit wechselnden MAC-Adressen, wiederholte ungefragte ARP-Antworten und jedes Paket doppelt (einmal an die MAC des Angreifers, einmal von ihm weitergeleitet). Schutz: Dynamic ARP Inspection, Verschlüsselung; Port-Security reicht nicht. Siehe Abschnitt „ARP-Spoofing“.
- Was ist ein Zero-Day-Exploit, und welche Arten von Exploits gibt es?
Ein Exploit nutzt eine Schwachstelle aus; beim Zero-Day-Exploit ist die Lücke dem Hersteller beim Angriff noch nicht bekannt oder noch nicht geschlossen, es gibt also noch keinen Patch. Arten: Software-, Remote-, Firmware-, IoT- und physische Exploits. Siehe Abschnitt „Exploits und Zero-Day-Lücken“.
- Woran erkennst Du, dass ein System kompromittiert ist, und wie hilft KI dabei?
Anzeichen: hohe Last ohne Grund, unbekannte Programme und Prozesse, veränderte Browser-Startseite, Abstürze, veränderte oder verschlüsselte Dateien, E-Mails ohne Wissen verschickt, ungewöhnliche Anmeldungen. KI-gestützte Anomalieerkennung lernt den Normalbetrieb und meldet Abweichungen, z. B. plötzlich viele fehlgeschlagene Anmeldungen oder neue IP-Adressen für bekannte Namen. Siehe Abschnitt „Angriffe erkennen“.
Links und weitere Informationen
DHCP, DNS und ARP und Switches (Port-Security)
VPN und Kryptografie
Bundesamt für Sicherheit in der Informationstechnik (BSI): Warnungen, Hinweise für Verbraucher*innen und Unternehmen, IT-Grundschutz
Hinweis zur Nachnutzung als Open Educational Resource (OER)
Dieser Artikel und seine Texte, Bilder, Grafiken, Code und sonstiger Inhalt sind - sofern nicht anders angegeben - lizenziert unter CC BY 4.0. Nennung gemäß TULLU-Regel bitte wie folgt: “Angriffe und Schadsoftware erkennen und abwehren: Phishing, Malware, DDoS und Man-in-the-Middle” von oer-informatik.de (H. Stein), Lizenz: CC BY 4.0. Der Artikel wurde unter https://oer-informatik.de/angriffe-schadsoftware veröffentlicht, die Quelltexte sind in weiterverarbeitbarer Form verfügbar im Repository unter https://gitlab.com/oer-informatik/it-sicherheit/schutzmassnahmen. Erstellt mit KI-Assistenz; von mir umfassend redaktionell überarbeitet, geprüft und freigegeben. Stand: 28.10.2026.
[Kommentare zum Artikel lesen, schreiben] / [Artikel teilen] / [gitlab-Issue zum Artikel schreiben]
