Übungsaufgaben zu Angriffen und Schadsoftware: Phishing, Malware, DDoS und Man-in-the-Middle

Je 1 Punkt für eine Stelle mit passender Erklärung, vier aus:

• Neue Bankverbindung, die nur über den Link zu sehen ist: Das Geld soll auf ein Konto der Täter*innen fließen. Ein echter Lieferant teilt einen Kontowechsel mit Ansprechperson und auf bekanntem Weg mit.
• Link-Text „Rechnung_2026-1187.pdf“, Ziel aber http://rechnung-portal.example/…: Der harmlose Dateiname verschleiert, dass der Klick auf eine fremde, nicht einmal verschlüsselte Webseite führt.
• Anmeldung mit dem Microsoft-Firmenkonto: Eine Rechnung lässt sich ohne Anmeldung lesen. Die Seite soll Benutzername und Passwort abgreifen.
• ZIP-Anhang: In Archiven lassen sich ausführbare Dateien oder Skripte an Filtern vorbeischmuggeln; ein Doppelklick genügt.
• „Sehr geehrter Kunde“, Gruß nur von „Buchhaltung“: Die Absender kennen weder Natalias Namen noch die echte Ansprechpartnerin Birgit Haas. Die Mail ist breit gestreut.
• Drei Sammeladressen als Empfänger: Die Täter*innen hoffen, dass irgendwer im Haus reagiert.
• Versand um 06:12 Uhr, Fehler „alte Konto“: schwache Hinweise, die allein nichts beweisen, aber ins Bild passen.

Je 1 Punkt:

1. Ungeeignet: Die Antwort landet bei den Täter*innen, bestätigt ihnen eine aktive Adresse und bringt höchstens eine neue, ebenso gefälschte Rechnung.
2. Ungeeignet: Die Seite kann auch das Handy angreifen oder dort nach dem Firmenkonto fragen. Das private Gerät hat keinen Schutz der Firma, und die IT erfährt nichts vom Angriff.
3. Richtig: Sie fragt über einen unabhängigen, bekannten Kanal nach. Zusätzlich meldet sie die Mail an die IT, ohne etwas darin anzuklicken.

Je 2 Punkte, zwei aus:

• Link mit Anmeldung: Ziel sind die Zugangsdaten des Firmenkontos. Damit lesen die Täter*innen Mails der Buchhaltung, verschicken in ihrem Namen gefälschte Rechnungen an Kund*innen und greifen auf Dateien in der Cloud zu, etwa Kundendaten oder Schließcodes.
• ZIP-Anhang: Ziel ist Schadsoftware auf dem Buchhaltungsrechner, etwa ein Trojaner, der später Ransomware nachlädt. Folgen: Ausfall der Buchhaltung, verschlüsselte Daten, abgeflossene personenbezogene Daten mit Meldepflicht.
• Neue Bankverbindung: Ziel ist eine Überweisung von 4.870 € auf ein Konto der Betrüger*innen. Das Geld ist meist verloren, und der echte Lieferant wartet weiter auf seine Zahlung.

Verschlimmerung (2 Punkte): Die Angreifenden hatten Stunden Zeit, das Konto zu nutzen, etwa Weiterleitungsregeln anzulegen, eine eigene MFA-Methode einzutragen oder Kund*innen anzuschreiben. Ohne die Mail kann die IT Absender und Link nicht sperren und die anderen Postfächer nicht bereinigen; die Kolleg*innen sind nicht gewarnt.

Schritte (je 1 Punkt, zwei aus): sofort die IT informieren; das Passwort von einem sauberen Gerät aus ändern bzw. das Konto sperren und alle Sitzungen abmelden lassen; prüfen lassen, ob Regeln, Weiterleitungen oder neue Anmeldemethoden angelegt wurden; die Mail aus dem Papierkorb holen und an die IT melden.

Stellungnahme (1 Punkt): Ein Filter fängt viel ab, aber frisch registrierte Domains und gezielte Mails kommen trotzdem durch. Am Ende entscheidet der Mensch vor dem Bildschirm.

Technisch (1 Punkt), eine aus: phishing-resistente Mehr-Faktor-Authentifizierung (z. B. FIDO2-Schlüssel), sodass das abgegriffene Passwort allein nichts nützt; ZIP-Archive mit ausführbaren Inhalten am Mailserver blockieren; Warnhinweis bei externen Absendern und neuen Domains.

Organisatorisch (1 Punkt), eine aus: Änderungen von Bankverbindungen nur nach Rückruf über die Lieferantenkartei und mit zweiter Freigabe; ein Meldeweg mit Melde-Button und der Zusage, dass Melden nie Ärger bringt; kurze, regelmäßige Schulungen mit echten Beispielen.

Je 1 Punkt für eine erkannte und richtig korrigierte Zeile:

• Wurm: Er ist ein eigenständiges Programm und verbreitet sich selbstständig über das Netz, meist über Sicherheitslücken, ohne dass jemand etwas anklickt. Dadurch befällt er viele Rechner.
• Trojaner: Er vervielfältigt sich nicht selbst (das tut der Virus). Er tarnt sich als nützliches Programm, das die Nutzenden selbst installieren.
• Spyware: Sie löscht nichts, sondern späht Eingaben, Dateien oder das Surfverhalten aus und schickt sie an Dritte; der Keylogger ist eine Unterart.

Die Zeilen Virus und Ransomware stimmen.

Je richtige Zeile 0,5 Punkte: 1 Trojaner, 2 Virus, 3 Wurm, 4 Ransomware, 5 Spyware (Keylogger), 6 Adware.

Erkennung (2 Punkte): Signaturen helfen nur bei bereits bekannter Schadsoftware. Hier hat die Verhaltensüberwachung angeschlagen: Viele Dateien in kurzer Zeit öffnen und neu schreiben ist das typische Muster von Ransomware. Ein harmloses Export-Tool kann sich genauso verhalten, dann ist es ein Fehlalarm (false positive). Ebenso möglich ist aber, dass die heruntergeladene Datei gar nicht die echte ist.

Vorgehen (2 Punkte): Die Datei in der Quarantäne lassen und nicht selbst freigeben; die Schul-IT und das Projektteam einschalten; prüfen, ob es wirklich die Datei des Projektteams ist (Herkunft des Downloads, Prüfsumme mit der Version im Projekt-Repository vergleichen); erst danach legt die IT gezielt eine Ausnahme an. Den Virenschutz abzuschalten ist keine Lösung.

Je 2 Punkte für eine passende Regel mit Begründung, zwei aus:

• Updates sofort installieren, auch wenn die Notebooks wochenlang im Schrank lagen – sonst nutzen Würmer und Exploits die bekannten Lücken.
• Mit einem eingeschränkten Konto arbeiten, nicht als Administrator*in – Schadsoftware kann sich dann nicht tief im System festsetzen.
• Programme nur über die Schul-IT oder den offiziellen Store installieren – Trojaner verstecken sich gern in Gratis-Tools von unbekannten Seiten.
• In Dokumenten aus E-Mails nie „Inhalt aktivieren“ anklicken – so starten Makroviren.
• Einen Werbeblocker bzw. Webfilter nutzen – er verhindert viele Drive-by-Downloads über verseuchte Werbung.
• Wichtige Dateien regelmäßig auf dem Schulserver sichern – das versperrt keinen Infektionsweg, begrenzt aber den Schaden nach Ransomware (mit dieser Begründung anrechnen).

Gefahr (3 Punkte): Die Datei enthält einen Makrovirus. Er ist kein eigenständiges Programm, sondern VBA-Code in der Tabelle, der startet, sobald jemand die Makros („Inhalt aktivieren“) zulässt. Dann lädt er weitere Schadsoftware aus dem Internet nach und kopiert sich in andere Tabellen auf Netzlaufwerken, verbreitet sich also weiter. Folge: Dateien werden ohne Hinweis verändert oder gelöscht, nachgeladene Schadsoftware kann z. B. Daten ausspionieren oder verschlüsseln.

Maßnahme (1 Punkt), eine aus: Makros nicht aktivieren bzw. Makros aus dem Internet zentral sperren lassen; unerwartete Anhänge nicht öffnen und der Schul-IT melden; Tabellen als PDF oder .xlsx ohne Makros austauschen; Virenschutz aktuell halten.

Je 1 Punkt:

1. Es fehlt die Absicht: Ein Cyberangriff ist eine gezielte Handlung, mit der jemand IT-Systeme, Netze oder Daten stören, manipulieren oder unbefugt nutzen will. Ein defektes Netzteil ist eine Störung, kein Angriff.
2. und 3. Die Begriffe sind vertauscht: Spam ist unverlangt und massenhaft verschickte Werbung – lästig, aber meist ohne Diebstahlsabsicht. Phishing ist Betrug, bei dem sich Angreifende als vertrauenswürdige Stelle ausgeben, um Zugangs- oder Zahlungsdaten zu erbeuten oder Schadsoftware unterzuschieben.
3. Ransomware verschlüsselt Daten oder sperrt das System und verlangt Lösegeld für die Freigabe; oft werden die Daten vorher gestohlen und mit ihrer Veröffentlichung gedroht.

Je 2 Punkte für einen erläuterten Unterschied mit Bezug zur Zeitleiste, zwei aus:

• Menschen steuern den Angriff: Ab Mo 08:41 wartet das Programm auf Befehle; von Di bis Do melden sich die Angreifenden gezielt an einzelnen Servern an. Ein Virus arbeitet dagegen automatisch nach seinem Programm.
• Lange Verweildauer: Zwischen Infektion und Verschlüsselung liegen fast fünf Tage. In dieser Zeit hätte der Angriff entdeckt werden können.
• Datendiebstahl vor der Verschlüsselung: Am Samstagmorgen werden zuerst 180 GB abgezogen. Selbst mit intakten Backups bleibt die Drohung, die Daten zu veröffentlichen (doppelte Erpressung).
• Backups werden gezielt zerstört: Die Angreifenden löschen zuerst die Sicherungen und verschlüsseln erst dann, nachts am Wochenende, wenn niemand reagiert.

Je Ereignis 0,5 Punkte: Mo 08:40 → Eindringen und Festsetzen; Mo 08:41 → Eindringen und Festsetzen (Verbindung zum Steuerserver); Di 02:15 → Ausbreiten; Di–Do → Ausbreiten; Sa 01:00–04:00 → Einsammeln und Abziehen; Sa 04:30–05:00 → Zuschlagen. Die Phase „Erkunden und Vorbereiten“ taucht in der Zeitleiste nicht auf, weil das Opfer sie nicht beobachten konnte.

Infektionsweg (2 Punkte): Die .iso-Datei ist ein Container. Windows bindet sie per Doppelklick als Laufwerk ein. Darin liegt keine PDF-Datei, sondern eine Verknüpfung mit PDF-Symbol, die ein Skript oder Programm startet; bei ausgeblendeten Dateiendungen ist der Unterschied nicht zu sehen. Das Programm lädt anschließend weitere Schadsoftware nach.

Weg ohne Anhang (1 Punkt): Ein Link führt auf eine Webseite, die eine Lücke im Browser ausnutzt (Drive-by-Download) oder zum Herunterladen eines angeblichen Dokuments oder Updates verleitet.

Je Ereignis 1 Punkt für die Begründung, warum nichts griff, und 2 Punkte für eine passende Maßnahme, z. B.:

Je Meldung 0,5 Punkte (zusammen 3 Punkte):

1. Verdächtig: Eine fremde Erweiterung oder Adware hat die Browsereinstellungen geändert.
2. Eher harmlos: Nach großen Updates laufen Indizierung und Optimierung im Hintergrund. Beobachten, ob es so bleibt.
3. Stark verdächtig: Das Postfach wird offenbar von Fremden benutzt – ein typisches Zeichen für ein übernommenes Konto.
4. Verdächtig: Schadsoftware schaltet den Schutz ab, bevor sie aktiv wird.
5. Akuter Befall: Ransomware verschlüsselt gerade Dateien.
6. Verdächtig: Eine fremde Anmeldung zeigt, dass Zugangsdaten bekannt sind.

Sofort bearbeiten (2 Punkte): Meldung 5, denn hier wächst der Schaden mit jeder Minute. Den betroffenen Rechner vom Netz trennen, das Teamlaufwerk schützen und den Notfallplan starten. Die Meldungen 3 und 6 folgen unmittelbar danach (Konten sperren, Passwörter ändern).

Argument dafür (1 Punkt): Auch Server werden befallen, etwa über die Dateiablage, über Admin-Werkzeuge oder ausgenutzte Lücken. Ein Scanner mit Verhaltensüberwachung erkennt viele bekannte Angriffswerkzeuge, wie das Werkzeug aus der Zeitleiste vom Dienstag.

Risiken gerade auf db01 (je 1 Punkt, zwei aus):

• Wird jede Datenbankdatei bei jedem Zugriff durchsucht, steigen die Antwortzeiten, und die App wird für alle Nutzenden langsamer.
• Hält der Scanner eine Datenbank- oder Logdatei für verdächtig und sperrt sie, bleibt die Datenbank stehen.
• Ein fehlerhaftes Update des Scanners kann den Server zum Absturz bringen.
• Der Scanner läuft mit sehr weitreichenden Rechten und ist selbst ein mögliches Angriffsziel.

Vorschlag (2 Punkte): Scanner installieren, aber die Verzeichnisse der Datenbankdateien und Logs nach Empfehlung des Datenbankherstellers vom Echtzeitscan ausnehmen; Verhaltensüberwachung aktiv lassen; Scanner-Updates zuerst auf einem Testserver einspielen; vollständige Scans der übrigen Ablage in ruhigen Nachtstunden.

Je Beobachtung 0,5 Punkte: 1 Hardware (offener physischer Netzzugang), 2 Hardware (veraltetes Netzwerkgerät), 3 Mensch und Organisation (Passwortregel), 4 Mensch und Organisation (Ablauf der Hotline), 5 Software (Konfiguration und Standardpasswort), 6 Hardware (ungeschützte Firmware). Andere begründete Zuordnungen sind ebenfalls richtig, z. B. 2 als Software (Firmware) oder 3 als Software (WLAN-Konfiguration).

Je Beobachtung 2 Punkte für den konkreten Angriff und 1 Punkt für die Abhilfe, z. B.:

• 5 Testdatenbank: Automatisierte Scanner durchsuchen das Internet ständig nach offenen Datenbanken und probieren Standardpasswörter aus. Wer hineinkommt, kopiert die Testdaten – oft echte Nutzerdaten – oder verschlüsselt sie und erpresst Lösegeld. Abhilfe: Datenbank nur über VPN bzw. aus dem internen Netz erreichbar machen, Passwort ändern, mit pseudonymisierten Testdaten arbeiten.
• 4 Hotline: Name und Geburtsdatum stehen oft in sozialen Netzwerken. Eine Angreiferin lässt sich so das Passwort eines fremden App-Kontos zurücksetzen und liest Chats und Treffpunkte mit, etwa um eine Person zu verfolgen. Abhilfe: Rücksetzung nur über die hinterlegte E-Mail-Adresse bzw. einen Code in der App.
• 1 Netzwerkdose: Ein Gast steckt ein präpariertes Gerät ein und ist im internen Netz, z. B. als gefälschter DHCP-Server. Abhilfe: ungenutzte Dosen abschalten oder 802.1X verlangen.
• 3 WLAN-Passwort: Alle Gäste können sich mit dem ausgehängten Passwort ins WLAN der Beschäftigten einwählen und dort interne Systeme angreifen oder Verkehr mitlesen. Abhilfe: getrenntes Gäste-WLAN mit eigenem Passwort, WLAN der Beschäftigten mit 802.1X.

Begriff (1 Punkt): Social Engineering nutzt menschliche Eigenschaften wie Hilfsbereitschaft, Respekt vor Autorität, Neugier oder Zeitdruck aus, damit Menschen Informationen preisgeben, Schutzmaßnahmen umgehen oder selbst Schadsoftware starten. Angegriffen wird der Mensch, nicht die Technik.

Angriff (3 Punkte), ein schlüssiger Ablauf, z. B.: Eine Angreiferin schickt Yusuf Demir eine „Bewerbung“ mit Anhang – er erwartet ja Bewerbungen und öffnet sie. Oder: Sie ruft am Empfang an, nennt Yusuf Demir als Auftraggeber und gibt sich als externe Vertretung der ausgeschiedenen Admin-Kollegin aus. Weil gerade niemand die Administration betreut, fragt keiner nach, und sie erhält VPN-Zugangsdaten. Die genannten Versionen verraten ihr außerdem, nach welchen bekannten Lücken sie suchen muss.

Änderungen (2 Punkte), zwei aus: Technik nur allgemein beschreiben (Windows-Arbeitsplätze, Linux-Server, Datenbanken), keine Versionsnummern; nicht verraten, dass die Stelle unbesetzt ist; eine Funktionsadresse (z. B. jobs@letsmeet.example) statt Name und Durchwahl; Bewerbungen nur über ein Portal oder als PDF annehmen.

Unterschied (3 Punkte): Beim Penetrationstest handeln White Hats mit ausdrücklicher, schriftlicher Erlaubnis der Let’s Meet GmbH; ohne diese Erlaubnis wäre das Eindringen auch für sie strafbar (§§ 202a ff. StGB). Ihr Ziel ist, Lücken zu finden und der Firma zu berichten, damit sie geschlossen werden. Black Hats dringen ohne Erlaubnis ein und wollen sich bereichern oder schaden, etwa durch Erpressung, Datendiebstahl oder Sabotage. Zudem gehen Tester*innen kontrolliert vor und behandeln alles, was sie sehen, vertraulich.

Vereinbarungen (je 1 Punkt, zwei aus): Umfang (welche Systeme und Adressbereiche, welche Methoden, z. B. auch Social Engineering); Zeitraum; Ansprechpersonen und ein Weg, den Test sofort abzubrechen; Umgang mit gefundenen Daten und Verschwiegenheit; Form des Abschlussberichts; Haftung bei Ausfällen.

Je 2 Punkte (1 Punkt Entscheidung, 1 Punkt Begründung):

1. Trifft nicht zu: Spear-Phishing nutzt gezielt echte Namen, und mit KI erzeugte Texte sind fehlerfrei. Entscheidend sind Absender, Linkziel und die Aufforderung in der Mail.
2. Trifft teilweise zu: HTTPS schützt den Inhalt der Verbindungen zu diesen Webseiten. Im fremden WLAN bleiben aber DNS-Anfragen, andere Programme (Chat, Synchronisation) und Metadaten ungeschützt, und interne Dienste sind ohne VPN gar nicht erreichbar. Das VPN verschlüsselt den gesamten Verkehr bis ins Firmennetz; eine aktive lokale Firewall gehört trotzdem dazu.
3. Trifft nicht zu: Die Prüfsumme zeigt nur, dass die Datei unverändert angekommen ist (Integrität). Wer die Download-Seite manipuliert, tauscht die Prüfsumme gleich mit aus. Die Herkunft belegt erst eine digitale Signatur des Herstellers.
4. Trifft nicht zu: Das Konto des Kollegen kann übernommen oder sein Rechner befallen sein. Auch intern gilt: Unerwartete Dateien erst nach Rückfrage öffnen; der Virenschutz prüft sie zusätzlich.

• CHK-03 hat nicht seine reservierte Adresse, und Gateway, DNS-Server und DHCP-Server sind 10.110.0.66 statt der Firewall 10.110.0.1. Alle Pakete in andere Netze, z. B. zum Info-Server 10.140.0.10, gehen deshalb zuerst an 10.110.0.66 (2 Punkte).
• Im Mitschnitt beantworten zwei Geräte die Anfrage: die Firewall (Nr. 3) und ein Gerät mit der MAC 02:0b:ad:00:00:42 (Nr. 2). Dessen Angebot kommt nach 7 ms, das der Firewall erst nach 29 ms; CHK-03 nimmt das erste Angebot an (Nr. 4 und 5) (2 Punkte).
• Verantwortlich ist ein nicht autorisierter DHCP-Server (Rogue DHCP) im VLAN 110 – ein Angreifer oder ein falsch eingerichtetes Gerät, z. B. ein Notebook mit Hotspot-Funktion. CHK-02 ist nicht betroffen, weil es seine Adresse schon um 07:48 von der Firewall bezogen hat (1 Punkt).

• DHCP prüft nicht, wer antwortet; jedes Gerät im Netz kann sich als DHCP-Server ausgeben (1 Punkt).
• Als „Router“ trägt der Angreifer sich selbst ein: Alle Pakete von CHK-03 in andere Netze laufen über sein Gerät, das sie an die Firewall weiterreicht. Als „Nameserver“ beantwortet er außerdem alle Namensanfragen und kann Namen auf eigene Server zeigen lassen. Damit sitzt er unbemerkt zwischen Terminal und Info-Server (2 Punkte).
• Gefährdet sind (2 Punkte): die Vertraulichkeit (Teilnehmendendaten und Anmeldedaten des Orga-Teams können mitgelesen werden), die Integrität (Check-in-Daten oder Sessionplan können verändert werden), die Authentizität (CHK-03 spricht womöglich mit einem falschen Server) und die Verfügbarkeit (der Umweg macht den Check-in langsam oder bricht ab).

Merkmale (je 1 Punkt, zwei aus): ungefragte, oft wiederholte ARP-Antworten, die eine fremde IP-Adresse (meist die des Gateways) mit der eigenen MAC verknüpfen; dieselbe IP-Adresse erscheint mit zwei verschiedenen MAC-Adressen; Pakete tauchen doppelt auf, einmal an die MAC des Angreifers und einmal von ihm weitergeleitet.

Abgrenzung (2 Punkte): Hier gibt sich niemand als 10.110.0.1 aus. CHK-03 bekommt offen ein anderes Gateway mit eigener IP-Adresse zugewiesen, und das Terminal schickt seine Pakete freiwillig dorthin. Gefälschte ARP-Antworten sind dafür nicht nötig. Der Weg wirkt allerdings nur bei Geräten, die gerade eine Adresse beziehen, z. B. nach einem Neustart.

1. Port-Security (2 Punkte): verhindert nur, dass an einem Port zusätzliche oder fremde MAC-Adressen auftauchen. Ein Angreifer an einem freien Port oder mit einem erlaubten Gerät (z. B. einem übernommenen Orga-Notebook) kann weiter DHCP-Angebote verschicken, denn Port-Security prüft keine Inhalte. Nachteil: viel Pflege, wenn beim Barcamp Geräte getauscht werden.
2. DHCP Snooping (2 Punkte): wirkt genau gegen diesen Angriff, denn DHCP-Angebote und -Bestätigungen von nicht vertrauenswürdigen Ports verwirft der Switch. Zugleich ist es die Grundlage für Dynamic ARP Inspection gegen ARP-Spoofing. Nachteil: Der Switch muss es können; bei einem Konfigurationsfehler bekommt niemand mehr eine Adresse.
3. Feste IP-Einstellungen (1 Punkt): schützen die Terminals, aber die Orga-Notebooks bleiben angreifbar; jede Handeingabe ist eine Fehlerquelle.

Empfehlung (1 Punkt): DHCP Snooping zusammen mit Dynamic ARP Inspection, ergänzt um abgeschaltete ungenutzte Ports bzw. 802.1X.

Umleitung (2 Punkte): Fragt der Browser nach dem Namen des Info-Servers, antwortet der DNS-Server des Angreifers mit der IP-Adresse eines eigenen Webservers, etwa 10.110.0.66 selbst. Dort liegt eine Kopie der Anmeldeseite, die eingegebene Passwörter speichert und die Anfrage danach an den echten Server weiterreicht (DNS-Spoofing).

Beurteilung (3 Punkte): HTTPS mit gültigem Zertifikat verhindert das grundsätzlich, denn der gefälschte Server besitzt kein vertrauenswürdiges Zertifikat für den Namen des Info-Servers, und der Browser warnt. Genau diese Warnung haben die Helfer*innen gesehen und weggeklickt – damit war der Schutz aufgehoben, die Zugangsdaten sind wahrscheinlich abgeflossen und müssen geändert werden. HTTPS schützt also nur, wenn Warnungen ernst genommen werden; HSTS sorgt dafür, dass sie sich gar nicht wegklicken lassen. Unverschlüsselte Dienste im selben Netz bleiben ohnehin ungeschützt.

Bewertung (3 Punkte): Der Sprung um 09:00 passt zur Freischaltung: viele Menschen, die sich anmelden wollen. Ab 09:06 ist das Bild anders: fast zwanzigmal so viele Anfragen wie um 09:00, fast alle auf die rechenintensive Suche, jeweils mit zufälligen Wörtern, die kein Zwischenspeicher abfangen kann. Jede Quelle schickt gleichmäßig knapp drei Anfragen pro Sekunde (9.000 / 3.200 ≈ 2,8) – über Minuten tippt kein Mensch so.

Organisation (2 Punkte): Die Angreifenden haben vorher viele Geräte – PCs, Router, Kameras – mit Schadsoftware zu einem Botnetz verbunden oder mieten ein solches. Über einen Steuerserver erhalten alle Bots gleichzeitig den Befehl, die Suche der Web-App mit scheinbar normalen Anfragen zu fluten, bis Server und Datenbank überlastet sind (Angriff auf Anwendungsebene).

Entscheidung (1 Punkt) und je verworfene Maßnahme 2 Punkte, z. B. für (3):

• (3) gewählt: trifft genau den angegriffenen Pfad; Anmeldung und Buchung bleiben nutzbar. Die Grenze senkt die Last auf höchstens 3.200 Anfragen je Sekunde (etwa ein Drittel), das Captcha hält die meisten Bots ganz ab.
• (1) schlechter: Die Liste der Quellen ändert sich laufend, neue Bots kommen hinzu. Hinter einer Adresse können viele echte Teilnehmende stehen (Schulnetz, Mobilfunk), die mitgesperrt würden.
• (2) schlechter, wenn nicht vorbereitet: Ein Schutzdienst des Providers ist wirksam, auch bei reinen Volumenangriffen, muss aber vertraglich vereinbart und eingerichtet sein; die Umschaltung dauert. Ist er schon vereinbart, ist (2) ebenso eine gute Wahl.

Eine gut begründete Entscheidung für (2) ist ebenfalls richtig.

Je 2 Punkte (1 Punkt Messgröße, 1 Punkt Abweichung), zwei aus:

• Fremder DHCP-Server: Absender der DHCP-Angebote je VLAN sowie Gateway und DNS-Server, die die Clients melden. Normal ist genau ein Absender (die Firewall-MAC); ein neuer Absender oder ein neues Gateway ist eine Anomalie.
• Lastspitze auf /suche: Anfragen je Pfad und Quelle, Anteil der Suchanfragen mit unbekannten Begriffen. Normal suchen wenige Besucher*innen nach Sessiontiteln; Tausende Quellen mit gleichmäßigem Takt und Zufallswörtern weichen davon ab.
• Passwort-Rateversuche: fehlgeschlagene Anmeldungen je Konto und je Quelle pro Minute, Uhrzeit und Herkunft der Anmeldungen. Normal sind vereinzelte Tippfehler aus dem Schulnetz; Serien von Fehlversuchen oder Anmeldungen von fremden Adressen nachts fallen auf.

Ein lernendes System braucht Daten aus einem längeren Normalbetrieb. Für ein Barcamp gibt es keinen Vergleichszeitraum; schon der Freischalttag selbst ist ein Ausnahmezustand. Das System meldet dann entweder sehr viele Fehlalarme, oder es lernt den Angriff als „normal“ mit. Die Alarme müssen ohnehin Fachleute bewerten (2 Punkte).

Ja: Die Lücke wird bereits ausgenutzt, und es gibt noch keinen Patch. Der Hersteller hatte keinen Vorlauf („null Tage“), sie zu schließen, bevor die Angriffe begannen. Für das Barcamp heißt das: Bis zum Update helfen nur andere Schutzschichten (2 Punkte).

Je 2 Punkte für eine Maßnahme mit passender Exploit-Art, drei aus:

• Türschilder in ein eigenes VLAN legen und nur die Verbindung zum MQTT-Broker erlauben, keinen Weg ins Internet oder ins Orga-Netz – gegen Remote-Exploits.
• Den Verkehr der Schilder überwachen und bei neuen Verbindungen Alarm schlagen – gegen Remote-Exploits, die trotzdem durchkommen.
• USB- und Wartungsanschlüsse verschließen, Schilder außer Reichweite befestigen und nach dem Barcamp kontrollieren – gegen physische Exploits.
• Firmware-Updates nur mit Herstellersignatur zulassen und die Update-Funktion bis zum offiziellen Patch sperren; keine Firmware aus Foren einspielen – gegen Firmware-Exploits.
• Notfallplan: Sessionplan zusätzlich auf Papier aushängen, falls Schilder ausfallen oder manipuliert werden (begleitende Maßnahme, keine Exploit-Art).

Gefahr (2 Punkte): Ohne PIN kann sich jede Person in Funkreichweite mit einem Schild koppeln und selbst eine falsche Raumbelegung anzeigen lassen. Mit einem Funkempfänger lassen sich zudem Konfigurationsdaten mitlesen und aufgezeichnete Befehle später erneut senden (Replay).

Abhilfe (1 Punkt), eine aus: Kopplung nur mit PIN bzw. BLE Secure Connections; Konfigurationsmodus nur per Taste am Gerät; Bluetooth während der Veranstaltung abschalten.

Gerät im Orga-Netz (2 Punkte): Es kann im VLAN 110 als falscher DHCP-Server oder per ARP-Spoofing den Verkehr einzelner Geräte umleiten und mitlesen. Die Wirkung bleibt auf dieses VLAN begrenzt, und Schutzfunktionen des Switches (DHCP Snooping, Dynamic ARP Inspection) können sie stoppen.

Übernommener Switch (2 Punkte): Der Angreifer kontrolliert alle angeschlossenen Geräte und VLANs. Er kann Ports abschalten (der Livestream der Keynote fällt aus), den Verkehr auf einen eigenen Port spiegeln und mitschneiden, den Stream umleiten oder fremde Inhalte einspielen, VLANs verbinden (Gäste erreichen interne Systeme) und genau die Schutzfunktionen abschalten, die gegen den ersten Fall helfen.

Einschätzung (1 Punkt): Der übernommene Switch ist schlimmer, weil die Infrastruktur und die Schutzmaßnahmen selbst betroffen sind. Deshalb gehört der Verwaltungszugang der Switches in ein eigenes Admin-Netz, mit starken Passwörtern und aktueller Firmware.