Ein Angriff kann lange unbemerkt bleiben, obwohl die Angreifer längst Zugriff auf wichtige Systeme haben. Dieser Artikel erklärt, was einen APT-Angriff auszeichnet, wie die Täter typischerweise vorgehen, woran Unternehmen und Privatanwender verdächtige Aktivitäten erkennen und welche Schutzmaßnahmen in Deutschland wirklich helfen.
APT-Angriffe bleiben oft lange unsichtbar und brauchen mehrere Schutzschichten
- APT steht für Advanced Persistent Threat und bezeichnet einen gezielten, langfristig angelegten Cyberangriff.
- Die Angreifer nutzen häufig Phishing, gestohlene Zugangsdaten oder ungepatchte Systeme als ersten Zugang.
- Nach dem Eindringen folgen meist Ausweitung von Rechten, laterale Bewegung und Datendiebstahl.
- Ein einzelnes Antivirenprogramm reicht selten aus. Entscheidend sind MFA, Segmentierung, Protokollierung und Überwachung.
- Bei einem Verdacht sollten Systeme nicht vorschnell gelöscht werden. Beweise sichern und professionell reagieren ist wichtiger.
Was einen APT-Angriff von gewöhnlichem Hacking unterscheidet
Bei einem Advanced Persistent Threat geht es nicht um einen schnellen Einbruch mit sofortiger Erpressung. Die Täter wählen ein konkretes Ziel aus, sammeln Informationen und versuchen, über Wochen oder Monate Zugriff zu behalten. Typische Ziele sind Behörden, Forschungseinrichtungen, Energieversorger, Industrieunternehmen und Anbieter wichtiger IT-Dienste.
Das Wort „persistent“ beschreibt die Ausdauer. Wird ein Zugang entdeckt, versuchen die Angreifer oft, über ein weiteres Konto, einen Fernzugriff oder einen kompromittierten Dienst im Netzwerk zu bleiben. „Advanced“ bedeutet dabei nicht zwingend, dass jede verwendete Schadsoftware neu oder besonders kompliziert ist. Häufig ist die Kombination aus Geduld, gestohlenen Zugangsdaten und genauer Vorbereitung entscheidend.
Ich halte die Bezeichnung APT deshalb für eine Angriffsmethode und keine einzelne Schadsoftware. Hinter einem solchen Vorfall kann eine staatlich unterstützte Gruppe, ein professionelles Spionagenetzwerk oder ein gut organisiertes kriminelles Team stehen. Nicht jeder lange Cyberangriff erfüllt automatisch die Kriterien eines APT.
| Angriffsform | Typisches Ziel | Erkennbares Merkmal |
|---|---|---|
| Phishing | Zugangsdaten oder Geld | Oft kurzfristig und breit gestreut |
| Ransomware | Erpressung durch Verschlüsselung | Schaden wird meist schnell sichtbar |
| APT | Spionage, Einfluss oder langfristiger Zugriff | Gezielt, mehrstufig und schwer erkennbar |
So läuft eine langfristige Kompromittierung typischerweise ab
Ein solcher Vorfall beginnt oft unspektakulär. Die Täter recherchieren zunächst Ansprechpartner, verwendete Software, Lieferanten und öffentlich erreichbare Systeme. Danach folgt der erste Zugriff, etwa über eine glaubwürdige E-Mail, eine bekannte Schwachstelle oder ein bereits gestohlenes Passwort.
Erster Zugang und Absicherung
Nach dem Eindringen versuchen die Angreifer, ihre Position zu stabilisieren. Dafür können sie zusätzliche Konten anlegen, Zugangsdaten stehlen oder legitime Fernwartungswerkzeuge missbrauchen. Genau das macht die Suche schwierig, denn im Protokoll sieht die Aktivität teilweise wie normale Administration aus.
Rechte ausweiten und Netzwerk erkunden
Im nächsten Schritt werden weitere Systeme und Benutzerkonten untersucht. Das sogenannte Credential Dumping bezeichnet das Auslesen gespeicherter oder zwischengespeicherter Zugangsdaten. Bei der lateralen Bewegung wechseln die Angreifer anschließend von einem bereits betroffenen System zu weiteren Rechnern, Servern oder Cloud-Diensten.
Ein häufig unterschätztes Risiko ist dabei der Fernzugriff. Ungewöhnliche RDP-Anmeldungen, neue VPN-Verbindungen oder administrative Zugriffe außerhalb der üblichen Arbeitszeiten sind nicht automatisch ein Beweis für einen Angriff, sollten aber untersucht werden. Das BSI weist ausdrücklich darauf hin, dass auch interne RDP-Verbindungen auf Auffälligkeiten geprüft werden müssen.
Daten sammeln und unauffällig abfließen lassen
APT-Gruppen verschlüsseln Daten nicht immer sofort. Sie suchen zunächst nach Konstruktionsplänen, Kundeninformationen, Zugangsdaten, Forschungsdaten oder internen Kommunikationsinhalten. Der Abfluss erfolgt oft in kleinen Mengen, damit kein einzelner Transfer sofort auffällt. Ungewöhnliche Datenmengen zu externen Zielen sind deshalb ein wichtiges Warnsignal.
Welche Anzeichen auf einen APT-Vorfall hindeuten
Ein einzelnes verdächtiges Ereignis reicht selten für eine sichere Bewertung. Aussagekräftiger ist die Kombination mehrerer Hinweise. In meiner Praxis ist gerade diese Verbindung entscheidend, weil ein einzelner fehlgeschlagener Login meist harmlos ist, ein neuer Administratorzugang zusammen mit nächtlichen Fernverbindungen aber eine ganz andere Bedeutung bekommt.
- Neue Benutzerkonten oder Berechtigungen, die niemand nachvollziehbar angelegt hat
- Erfolgreiche Anmeldungen aus ungewöhnlichen Ländern, Netzen oder zu untypischen Zeiten
- Deaktivierte Sicherheitssoftware oder gelöschte Protokolldateien
- Verbindungen von internen Geräten zu unbekannten externen Servern
- Plötzliche Nutzung von PowerShell, RDP, VPN oder Fernwartungsprogrammen durch ungewohnte Konten
- Ungewöhnliche DNS-Anfragen und kleine, regelmäßig wiederkehrende Datenübertragungen
- Verzögerte Systemprobleme, obwohl zunächst keine Dateien verschlüsselt oder gelöscht wurden
Für die technische Auswertung braucht ein Unternehmen zentral zusammengeführte Protokolle. Ein SIEM-System sammelt und korreliert Sicherheitsereignisse aus Servern, Endgeräten, Firewalls und Cloud-Diensten. Ein EDR-System überwacht dagegen einzelne Endgeräte und kann verdächtige Prozesse, Skripte oder Verbindungen genauer untersuchen.
Beide Systeme kosten Geld und erzeugen Fehlalarme, wenn sie schlecht konfiguriert sind. Eine kleinere Organisation fährt häufig besser mit einem betreuten Security-Dienst, der Warnungen rund um die Uhr bewertet, statt teure Werkzeuge ohne ausreichendes Personal einzusetzen.
Welche Schutzmaßnahmen den größten Unterschied machen
Schutz vor langfristigen Angriffen funktioniert nicht mit einer einzigen Sicherheitslösung. Ich würde die Prioritäten in dieser Reihenfolge setzen, weil sie die häufigsten Eintrittswege reduziert und gleichzeitig die spätere Aufklärung erleichtert.
Zugänge konsequent absichern
Für Administrationskonten, VPN, Cloud-Dienste und E-Mail sollte Mehrfaktor-Authentifizierung verpflichtend sein. Besonders sicher sind hardwarebasierte FIDO2-Schlüssel, weil sie deutlich schwerer durch gefälschte Login-Seiten abzufangen sind als reine SMS-Codes.
Zusätzlich brauchen privilegierte Konten eigene Geräte, kurze Sitzungszeiten und möglichst wenig Berechtigungen. Ein Administrator sollte nicht mit demselben Konto täglich E-Mails lesen. Dieses Prinzip der geringsten Rechte begrenzt den Schaden, wenn ein Benutzerkonto kompromittiert wird.
Netzwerk und Geräte trennen
Server, Bürogeräte, Gastnetz, Smart-Home-Komponenten und private Geräte sollten nicht unkontrolliert miteinander kommunizieren. Eine Netzwerksegmentierung verhindert zwar nicht jeden Einbruch, erschwert aber die Bewegung vom ersten infizierten Rechner zu wichtigen Systemen.
Für das vernetzte Zuhause gilt dasselbe in kleinerem Maßstab. Router, Kameras, Sprachassistenten und Smart-Home-Zentralen gehören möglichst in ein separates WLAN. Standardpasswörter, unnötige Portfreigaben und veraltete Firmware sind vermeidbare Schwachstellen.
Updates, Backups und Protokolle ernst nehmen
Sicherheitsupdates sollten nach Risiko priorisiert werden, nicht nach dem Motto „irgendwann bei Gelegenheit“. Internet erreichbare Systeme, VPN-Gateways, E-Mail-Server und Identitätsdienste verdienen die höchste Aufmerksamkeit. Ein Offline- oder unveränderbares Backup schützt außerdem vor späterer Sabotage und Erpressung.
Protokolle müssen lange genug erhalten bleiben, damit auch verzögerte Angriffe nachvollziehbar sind. Ohne historische Logdaten kann ein Unternehmen oft nicht mehr sicher sagen, wie lange ein Angreifer im Netzwerk war und welche Systeme betroffen sind.
Lesen Sie auch: Gefälschte WLANs erkennen und Evil-Twin-Angriffe abwehren
Mitarbeiter realistisch schulen
Phishing bleibt ein wichtiger Einstieg, aber reine Pflichtschulungen mit allgemeinen Beispielen bringen wenig. Besser sind kurze, regelmäßige Übungen, klare Meldewege und eine Kultur, in der verdächtige Nachrichten ohne Angst vor Schuldzuweisungen gemeldet werden.
Was bei einem Verdacht sofort passieren sollte
Wer einen möglichen APT-Vorfall entdeckt, sollte nicht reflexartig den betroffenen Rechner ausschalten oder Dateien löschen. Das kann wichtige Spuren vernichten und den Angreifern zeigen, dass sie entdeckt wurden. Zuerst sollten zuständige IT-Verantwortliche und ein Incident-Response-Team eingebunden werden.
- Verdächtige Konten und Geräte dokumentieren, ohne Beweise zu verändern.
- Betroffene Systeme vorsichtig isolieren, statt das gesamte Netzwerk unkontrolliert abzuschalten.
- Zugangsdaten priorisiert zurücksetzen, insbesondere für privilegierte Konten.
- Protokolle, Speicherabbilder und relevante Dateien forensisch sichern.
- Nach weiteren Zugängen suchen, bevor Systeme bereinigt oder neu installiert werden.
- Betroffene Kunden, Partner oder Behörden je nach Vorfall und Meldepflicht informieren.
Das BSI bietet für Unternehmen und Behörden Unterstützung bei der Vorfallbewertung, technischen Analyse und Reaktion. Bei kritischen Infrastrukturen können zusätzlich rechtliche Anforderungen an Angriffserkennung, Dokumentation und Meldung gelten. Eine vorher getestete Notfallplanung spart in dieser Phase mehr Zeit als jede spontane Einzelmaßnahme.
Wichtig ist die vollständige Bereinigung. Nur ein gefundenes Schadprogramm zu entfernen genügt nicht, wenn ein zweites Konto, ein geänderter Fernzugriff oder ein kompromittierter Cloud-Schlüssel bestehen bleibt. Erst wenn alle bekannten Persistenzmechanismen geprüft und Zugangsdaten erneuert wurden, kann der Wiederanlauf zuverlässig erfolgen.
Warum gute Vorbereitung bei APT-Angriffen wichtiger ist als perfekte Technik
Kein Unternehmen kann garantieren, niemals Ziel eines gezielten Angriffs zu werden. Entscheidend ist deshalb, ob ein Eindringen nach Stunden erkannt wird oder erst nach Monaten, und ob wichtige Daten wiederhergestellt werden können. Sichtbarkeit, klare Zuständigkeiten und getestete Backups sind in vielen Fällen wirksamer als ein weiteres Sicherheitsprodukt.
Mein pragmatischer Rat lautet, mit den Identitäten zu beginnen. MFA, getrennte Administrationskonten, aktuelle Systeme, zentrale Protokolle und segmentierte Netzwerke bilden ein solides Fundament. Wer danach regelmäßig übt, wie ein Vorfall gemeldet, isoliert und untersucht wird, reduziert nicht nur die technische Gefahr, sondern auch die teuren Verzögerungen im Ernstfall.
