# Angriffstechniken erklärt (FAQ)

> 69 Fragen zu Angriffstechniken erklärt, verständlich beantwortet: was zu prüfen ist, was NetSenX zeigt und was ein Sensor nicht sieht.

Source page: https://netsenx.com/de/faq/attacks

## Was ist laterale Bewegung in der Cybersicherheit?

Laterale Bewegung ist der Weg, auf dem sich ein Angreifer vom ersten kompromittierten Rechner auf weitere ausbreitet, typischerweise mit gestohlenen Zugangsdaten über Remote-Dienste wie SMB, RDP, SSH oder WinRM. MITRE ATT&CK führt sie als Taktik TA0008; Remote Services ist die Technik T1021.

https://netsenx.com/de/faq/what-is-lateral-movement-in-cybersecurity

## Wie erkennt man C2-Beaconing?

Achten Sie auf einen Host, der sich in nahezu regelmäßigen Abständen rund um die Uhr mit demselben externen Ziel verbindet und dabei kleine Nachrichten ähnlicher Größe schickt. Das Muster zeigt sich in Flow-Daten und Firewall-Logs, auch bei verschlüsseltem Verkehr, denn Zeitpunkte, Volumen und Ziel sind nicht verschlüsselt.

https://netsenx.com/de/faq/how-do-you-detect-c2-beaconing

## Lässt sich laterale Bewegung in verschlüsseltem Verkehr erkennen?

Weitgehend ja: Wer sich mit wem verbindet, über welchen Port, wann und wie viele Daten fließen, ist ohne Entschlüsselung sichtbar. Verborgen bleibt der Inhalt der Sitzung, etwa die Befehle in einer verschlüsselten Remote-Sitzung.

https://netsenx.com/de/faq/can-you-detect-lateral-movement-in-encrypted-traffic

## Welche Techniken aus MITRE ATT&CK sieht Netzwerkerkennung?

Die, die Verkehr zwischen Rechnern erzeugen, zum Beispiel Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) und Exfiltration Over C2 Channel (T1041). Techniken, die einen Host nie verlassen, sind Sache von Endpunkt-Werkzeugen.

https://netsenx.com/de/faq/which-mitre-att-ck-techniques-can-network-detection-see

## Was ist C2-Beaconing?

C2-Beaconing (Command and Control) ist Schadsoftware, die sich in regelmäßigen Abständen beim Server des Angreifers nach Befehlen erkundigt. Im Netz sieht das aus wie kleine Verbindungen zum selben Ziel alle paar Minuten, Tag und Nacht, oft mit etwas zufälliger Streuung, damit es weniger regelmäßig wirkt. Weil es ein zeitliches Muster ist, bleibt es auch in verschlüsseltem Verkehr sichtbar. Auch legitime Software meldet sich regelmäßig, etwa Update-Agenten, Überwachungswerkzeuge und Chat-Programme; entscheidend sind deshalb ein neues Ziel, ein Gerät, das es eigentlich nicht braucht, oder ein Rhythmus, der nie aufhört, auch nachts nicht. NetSenX erkennt Beaconing in jedem Plan, auch im Free-Plan, und erklärt im Alarm, welche Merkmale von Zeitverlauf und Ziel ihn ausgelöst haben.

https://netsenx.com/de/faq/what-is-c2-beaconing

## Was ist Datenexfiltration, und wie wird sie erkannt?

Exfiltration ist Datendiebstahl durch Kopieren aus Ihrem Netz, oft in einen Cloud-Speicher oder auf einen Server des Angreifers, und meist bevor Ransomware etwas verschlüsselt. Angreifer verteilen sie auf Nächte und Wochenenden oder halten jeden Transfer klein, um einfache Mengenalarme zu umgehen. Erkannt wird sie, indem man den ausgehenden Verkehr jedes Hosts mit seinem eigenen Normalzustand vergleicht: Ziel, Datenmenge und Tageszeit. Achten Sie besonders auf Uploads zu Cloud-Speicherdiensten oder zu Adressen, die kein anderer Host nutzt, wie es öffentliche Warnungen zu Ransomware-Gruppen immer wieder beschreiben. Verschlüsselung verbirgt den Inhalt einer Übertragung, nicht ihre Menge, ihr Ziel oder ihren Zeitpunkt. NetSenX erkennt ungewöhnliche ausgehende Datenmengen pro Host, in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/what-is-data-exfiltration

## Was bedeutet „Living off the Land“?

„Living off the Land“ heißt, dass Angreifer die Werkzeuge nutzen, die schon auf Ihren Systemen sind, etwa PowerShell, Remote Desktop oder Administrationsprogramme, statt eigener Schadsoftware. Virenschutz lässt sie oft durch, weil die Werkzeuge legitim sind. Verräterisch ist die ungewöhnliche Nutzung, etwa ein Konto, das sich dort anmeldet, wo es das nie getan hat, oder ein Arbeitsplatzrechner, der Sitzungen zu vielen Servern öffnet. Baselines normaler Aktivität helfen, ebenso eine Beschränkung, wer Administrationswerkzeuge überhaupt nutzen darf. NetSenX erkennt im Netz neue Sitzungen zwischen Hosts, Scans und laterale Bewegung, in jedem Plan. Was vollständig innerhalb eines Hosts geschieht, etwa ein Skript, das Dateien liest, läuft nie über das Netz und braucht Erkennung am Endpunkt.

https://netsenx.com/de/faq/what-is-living-off-the-land

## Lässt sich ein fremdes Gerät in unserem Netz erkennen?

Oft ja, wenn es kommuniziert. Ein kleiner Rechner oder eine WLAN-Bridge unter einem Schreibtisch muss den Angreifer erreichen und zeigt sich deshalb als Host mit Verbindungen nach außen, oft in regelmäßigen Abständen. Prüfen Sie Ihre Switches auf unbekannte MAC-Adressen und nutzen Sie Port Security oder 802.1X, wo möglich. NetSenX sieht den Verkehr der Hosts in überwachten Segmenten und erkennt Beaconing und ungewöhnliche Verbindungen; ein Gerät, das schweigt oder in einem nicht überwachten Segment steckt, bleibt unsichtbar.

https://netsenx.com/de/faq/can-a-rogue-device-on-our-network-be-detected

## Was ist MITRE ATT&CK?

MITRE ATT&CK ist eine freie, öffentliche Wissensbasis über die Taktiken und Techniken von Angreifern, aufgebaut von der gemeinnützigen Organisation MITRE aus realen Vorfällen und zweimal im Jahr aktualisiert. Taktiken sind die Ziele des Angreifers, etwa Erstzugang, Erkundung oder Exfiltration; Techniken sind die Wege dorthin, jede mit einer Kennung wie T1021 für Remotedienste. Verteidiger nutzen sie als gemeinsame Sprache: um einen Alarm zu beschreiben, Werkzeuge zu vergleichen und zu sehen, welche Techniken ihre Maßnahmen abdecken und welche nicht. Sie ist keine Checkliste zum Abhaken, und kein Produkt deckt jede Technik ab. NetSenX nennt im Alarm die ATT&CK-Technik, wo eine Erkennung einer entspricht, und zeigt in einer Abdeckungsansicht, welche Techniken Ihre aktivierten Erkennungen adressieren.

https://netsenx.com/de/faq/what-is-mitre-attack

## Was ist der Unterschied zwischen Taktik, Technik und Prozedur (TTP)?

Sie beschreiben einen Angriff auf drei Detailebenen. Eine Taktik ist das Ziel des Angreifers in einem bestimmten Moment, das Warum: Laterale Bewegung etwa bedeutet, von einem Rechner zu anderen zu gelangen. Eine Technik ist das Wie, etwa die Nutzung von Remotediensten, und eine Untertechnik grenzt das weiter ein, etwa auf Remote Desktop oder administrative SMB-Freigaben. Eine Prozedur ist die konkrete Art, wie eine bestimmte Gruppe vorgeht: welches Werkzeug, welcher Befehl, in welcher Reihenfolge. Zusammen heißen sie TTPs. Der Unterschied zählt für die Abwehr: Eine Prozedur zu blockieren, etwa den Datei-Hash eines Werkzeugs, ist leicht zu umgehen, während die Erkennung einer Technik, etwa eines Arbeitsplatzrechners, der plötzlich administrative Sitzungen zu vielen Servern öffnet, unabhängig vom Werkzeug funktioniert. Netzwerkerkennung arbeitet überwiegend auf der Ebene der Techniken, deshalb nennen NetSenX-Alarme Techniken statt Werkzeuge.

https://netsenx.com/de/faq/difference-between-a-tactic-a-technique-and-a-procedure

## Was ist Aufklärung (Reconnaissance) bei einem Cyberangriff?

Aufklärung ist das Sammeln von Informationen durch den Angreifer, bevor er handelt. In MITRE ATT&CK ist sie die erste Taktik und umfasst, was außerhalb Ihres Netzes geschieht: das Scannen Ihrer öffentlichen IP-Adressen nach offenen Diensten, das Sammeln von Mitarbeiternamen und E-Mail-Formaten von Ihrer Website und aus sozialen Netzwerken, die Recherche nach Ihren Lieferanten und die Suche nach geleakten Passwörtern. Vieles davon ist für Sie unsichtbar, weil es öffentliche Quellen nutzt. Sie können aber verringern, was dabei gefunden wird: ungenutzte Dienste zum Internet schließen, öffentliche Details über Ihre IT auf ein Minimum beschränken und prüfen, ob Firmenadressen in bekannten Datenlecks auftauchen. Scans Ihrer öffentlichen Adressen erscheinen in den Firewall-Logs, sind im Internet aber ständiges Hintergrundrauschen. Ist der Angreifer drin, folgt eine zweite Runde der Erkundung, die eine eigene Taktik ist und sich vom Netz aus viel leichter erkennen lässt.

https://netsenx.com/de/faq/what-is-reconnaissance-in-a-cyberattack

## Was ist Ressourcenentwicklung (Resource Development) in MITRE ATT&CK?

Ressourcenentwicklung ist die Vorbereitung von Werkzeugen und Infrastruktur für einen Angriff: Server mieten, verwechselbar ähnliche Domains registrieren, Konten kaufen oder stehlen, Schadsoftware oder Code-Signing-Zertifikate beschaffen oder bei einem Initial Access Broker den Zugang zu einem Opfer kaufen. Das geschieht auf der Seite des Angreifers, bevor etwas bei Ihnen ankommt, direkt erkennen lässt sich also wenig. Die Spuren tauchen später auf, und das ist nützlich: eine letzte Woche registrierte Domain, die der Ihres Lieferanten ähnelt, ein Ziel auf frisch gemieteten Cloud-Servern, ein Zertifikat, das wenige Tage vor der Verbindung ausgestellt wurde. Threat-Intelligence-Feeds und Warnungen veröffentlichen solche Infrastruktur. Registrieren Sie gängige Tippfehler Ihrer eigenen Domain und richten Sie DMARC ein, damit Ihr Name schwerer zu missbrauchen ist. NetSenX beobachtet nicht, wie Angreifer ihre Infrastruktur aufbauen; es sieht, wie sich Ihre Hosts damit verbinden, etwa als Beaconing zu einem neuen externen Server.

https://netsenx.com/de/faq/what-is-resource-development-in-mitre-attack

## Was ist der Erstzugang (Initial Access) bei einem Cyberangriff?

Erstzugang ist die Taktik, einen ersten Fuß in Ihr Netz zu bekommen. Die üblichen Wege sind Phishing, das jemanden eine Datei ausführen oder ein Passwort eingeben lässt, das Ausnutzen einer Schwachstelle in einem zum Internet offenen System wie einem VPN-Gateway oder einer Firewall, die Anmeldung an Remotediensten mit gestohlenen oder erratenen Passwörtern, der Missbrauch eines Lieferantenzugangs und Drive-by-Downloads von kompromittierten Websites. Die Ransomware-Warnungen von CISA nennen diese Wege immer wieder. Die meisten Abwehrmaßnahmen liegen außerhalb eines Netzwerksensors: zuerst die zum Internet offenen Geräte patchen, Multi-Faktor-Authentifizierung (MFA) bei jeder Fernanmeldung, E-Mail-Filterung und das Schließen nicht benötigter Dienste. Der Erstzugang selbst ist im Netz oft nur teilweise sichtbar, was danach kommt aber meist schon: Der kompromittierte Rechner kontaktiert den Server des Angreifers. NetSenX erkennt dieses Beaconing in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/what-is-initial-access

## Was bedeutet Ausführung (Execution) in MITRE ATT&CK?

Ausführung ist die Taktik, den Code des Angreifers auf einem System laufen zu lassen: ein Makro in einem Dokument, ein Skript, das ein getäuschter Benutzer startet, ein Befehl über ein Fernwartungswerkzeug oder eine geplante Aufgabe. Das geschieht im Host, also liegt auch die wichtigste Abwehr dort: Endpoint Detection and Response (EDR), Anwendungs-Allowlisting, blockierte Makros in Dateien aus dem Internet und eingeschränkte Skriptwerkzeuge für normale Benutzer. Ein Netzwerksensor sieht keinen Prozessstart. Er sieht die Folgen, die über das Netz laufen, und das reicht oft für einen Alarm: Das neue Programm lädt seine nächste Stufe herunter, ruft dann in regelmäßigen Abständen einen Server an, oder der Rechner beginnt, seine Nachbarn zu scannen. NetSenX erkennt das in jedem Plan; welches Programm auf dem Host es war, kann es nicht sagen, das ist eine Frage für Endpunktwerkzeuge.

https://netsenx.com/de/faq/what-is-execution-in-mitre-attack

## Was ist Persistenz bei einem Cyberangriff?

Persistenz ist die Art, wie Angreifer ihren Zugang über Neustarts, Passwortänderungen und Bereinigungen hinweg behalten: neue Konten, geplante Aufgaben und Dienste, Fernzugriffswerkzeuge, die wie legitime installiert sind, Web Shells auf Servern zum Internet, geänderte VPN- oder Firewall-Einstellungen und gestohlene Sitzungstoken für Cloud-Dienste. Die meiste Persistenz steckt in Hosts und Identitätssystemen und wird mit Endpunktwerkzeugen, Verzeichnisprüfungen und Konfigurationsvergleichen gefunden. Prüfen Sie regelmäßig auf Administratorkonten, die niemand erklären kann, nicht genehmigte Fernzugriffssoftware und Weiterleitungsregeln in Postfächern. Was Persistenz meist braucht, ist eine Verbindung zurück zum Angreifer, und die ist im Netz sichtbar: ein Host, der immer wieder denselben externen Server anruft, auch Wochen nach dem Abschluss eines Vorfalls. NetSenX erkennt dieses Beaconing in jedem Plan.

https://netsenx.com/de/faq/what-is-persistence-in-a-cyberattack

## Was ist Rechteausweitung (Privilege Escalation)?

Rechteausweitung heißt, dass der Angreifer begrenzten Zugang in mehr Macht verwandelt: vom normalen Benutzer zum lokalen Administrator und von dort zum Domänen- oder Cloud-Administrator. Er nutzt ungepatchte Schwachstellen, falsch konfigurierte Dienste, in Skripten oder Browsern gespeicherte Passwörter und Konten mit mehr Rechten, als ihre Aufgabe erfordert. Das geschieht überwiegend in Hosts und im Verzeichnis; Vorbeugung heißt deshalb patchen, Alltagskonten die lokalen Administratorrechte entziehen, eigene Administratorkonten nur für die Administration nutzen und regelmäßig prüfen, wer zu privilegierten Gruppen gehört. Ein Netzwerksensor sieht von der Ausweitung selbst wenig. Er sieht, was der Angreifer mit den neuen Rechten tut, und das betrifft typischerweise das Netz: Sitzungen zum Domänencontroller, administrative Verbindungen zu vielen Servern, Zugriff auf Backups. NetSenX erkennt diese laterale Bewegung in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/what-is-privilege-escalation

## Was ist die Taktik Stealth in MITRE ATT&CK?

Stealth ist die Taktik, schädliche Aktivität zu verbergen oder normal aussehen zu lassen. Seit Version 19 von MITRE ATT&CK, erschienen im April 2026, übernimmt sie einen großen Teil der früheren Taktik Defense Evasion, die in Stealth und Defense Impairment aufgeteilt wurde. Stealth umfasst Techniken wie das Tarnen als legitime Dateien oder Dienste, das Verstecken von Artefakten und das Verschleiern von Dateien, damit Werkzeuge und Menschen sie übersehen. Signaturbasierte Werkzeuge tun sich hier schwer, weil jedes Teil für sich gewöhnlich aussieht. Sichtbar bleibt Verhalten, das nicht zur Geschichte eines Hosts passt: ein regelmäßiger Rhythmus zu einem neuen Ziel oder ein Arbeitsplatzrechner, der plötzlich mit vielen Servern spricht. Wenn Sie Erkennungen auf ATT&CK abbilden, aktualisieren Sie Verweise auf Defense Evasion. NetSenX sucht solches Verhalten vom Netz aus in jedem Plan; es entschlüsselt nie Verkehr und beurteilt daher Muster, nicht Inhalte.

https://netsenx.com/de/faq/what-is-the-stealth-tactic-in-mitre-attack

## Was ist Defense Impairment in MITRE ATT&CK?

Defense Impairment ist die Taktik, Sicherheitsmaßnahmen abzuschalten, zu schwächen oder zu stören. MITRE ATT&CK hat sie in Version 19 im April 2026 eingeführt, als die frühere Taktik Defense Evasion in Stealth und Defense Impairment aufgeteilt wurde. Typische Beispiele sind das Abschalten von Virenschutz oder Endpunkt-Agenten, das Anhalten oder Löschen von Logs und das Ändern von Firewall-Regeln, damit der Verkehr des Angreifers durchkommt. Auf dem Host schützen Manipulationsschutz für Sicherheitswerkzeuge, ein Alarm, wenn ein Agent nicht mehr meldet, und Administratorrechte für nur wenige Personen. Das Netz liefert einen unabhängigen Blick: Ein Server, dessen Endpunkt-Agent verstummt ist, muss weiterhin das Netz nutzen, und NetSenX beobachtet sein Verhalten weiter, etwa Beaconing, Scans und Uploads, in jedem Plan. Den Zustand des Agenten selbst sieht es nicht; den zeigt die Endpunkt-Konsole, und ein täglicher Blick darauf lohnt sich.

https://netsenx.com/de/faq/what-is-defense-impairment-in-mitre-attack

## Was ist Zugriff auf Anmeldedaten (Credential Access) bei einem Cyberangriff?

Credential Access ist die Taktik, Passwörter, Hashes, Tickets und Token zu stehlen, damit sich der Angreifer als jemand Berechtigtes anmelden kann. Übliche Techniken sind das Auslesen von Anmeldedaten aus dem Arbeitsspeicher, das Lesen von in Browsern oder Skripten gespeicherten Passwörtern, das Raten oder Sprühen von Passwörtern gegen Anmeldedienste, das Mitschneiden im Netz mit Adversary-in-the-Middle-Tricks und das Anfordern von Diensttickets, um sie offline zu knacken. Abwehr sind Multi-Faktor-Authentifizierung (MFA), lange eindeutige Passwörter für Dienstkonten, weniger Administratoranmeldungen an normalen Arbeitsplätzen und Endpunktschutz gegen das Auslesen des Speichers. Ein Teil ist im Netz sichtbar, etwa viele fehlgeschlagene Verbindungen eines Hosts zu Anmeldediensten oder ARP-Tricks in einem Segment; das meiste geschieht in Hosts und im Verzeichnis. NetSenX sieht die Netzseite und vor allem, wofür gestohlene Anmeldedaten danach genutzt werden: neue Sitzungen zwischen Hosts.

https://netsenx.com/de/faq/what-is-credential-access

## Was ist Erkundung (Discovery) in MITRE ATT&CK?

Discovery ist der Angreifer, der schon drin ist und herausfindet, was Ihr Netz enthält: welche Hosts es gibt, welche Dienste sie anbieten, auf welchen Freigaben Dateien liegen, wer Administrator ist und wo die Backups sind. Typische Techniken sind das Scannen interner Adressbereiche, das Auflisten von Netzfreigaben, Abfragen des Verzeichnisses und das Auslesen der Konfiguration des Rechners, auf dem er sitzt. Anders als die Aufklärung von außen läuft die interne Erkundung über Ihr Netz und gehört deshalb zu den sichtbarsten Phasen: Ein Host verbindet sich plötzlich mit vielen internen Adressen auf SMB-, RDP- oder Datenbankports. Verzeichnisabfragen erscheinen eher in Identitäts-Logs als bei einem Flow-Sensor. Segmentierung begrenzt, was die Erkundung erreicht. NetSenX erkennt interne Scans in jedem Plan, auch im Free-Plan, und verknüpft sie ab dem Pro-Plan mit den folgenden Sitzungen.

https://netsenx.com/de/faq/what-is-discovery-in-mitre-attack

## Was ist Sammlung (Collection) in MITRE ATT&CK?

Collection ist das Zusammentragen der gewünschten Daten, bevor der Angreifer sie hinausbringt: Dateien von Freigaben an einen Ort kopieren, sie in Archive packen, Postfächer lesen, eine Datenbank exportieren, Bildschirmfotos machen. Oft zeigt sich das als ein Host, der plötzlich weit mehr von Dateiservern oder Datenbanken liest als je zuvor, manchmal nachts, gefolgt von einer Pause, in der die Archive entstehen. Audit-Logs von Dateien und Datenbanken zeigen, was gelesen wurde, und Endpunktwerkzeuge sehen das Anlegen der Archive. Im Netz sieht das Sammeln wie neue Sitzungen dieses Hosts zu vielen Dateiservern aus und der nächste Schritt, die Exfiltration, wie ungewöhnliche ausgehende Mengen von ihm. Begrenzen Sie, wer was lesen darf, besonders Dienstkonten mit breitem Dateizugriff. NetSenX erkennt neue Sitzungen zwischen Hosts und ungewöhnliche ausgehende Datenmengen pro Host in jedem Plan; welche Dateien in verschlüsselten Sitzungen gelesen wurden, sieht es nicht.

https://netsenx.com/de/faq/what-is-collection-in-mitre-attack

## Was ist Command and Control (C2) als ATT&CK-Taktik?

Command and Control ist die Taktik, mit der Angreifer mit den kompromittierten Systemen sprechen: Befehle senden, Ergebnisse empfangen und weitere Werkzeuge nachladen. Zu den Techniken gehören regelmäßige Meldungen über Webprotokolle, verschlüsselte Kanäle, legitime Cloud-Dienste oder Messaging-Plattformen als Relais, Tunnel durch DNS oder andere Protokolle, Nicht-Standard-Ports und Proxys, die den eigentlichen Server verbergen. Weil der Kanal existieren muss, damit der Angreifer handeln kann, gehört er zu dem, was sich am zuverlässigsten erkennen lässt, auch wenn der Inhalt verschlüsselt ist: Zeitverlauf, Ziel und Rhythmus verraten ihn. Bekannte schädliche Ziele zu blockieren hilft, erfasst aber keine neuen. NetSenX erkennt Beaconing in jedem Plan sowie DNS-Tunneling und vergleicht ab dem Starter-Plan TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPAN/TAP-Sensor.

https://netsenx.com/de/faq/what-is-command-and-control-in-mitre-attack

## Was ist die Taktik Impact in MITRE ATT&CK?

Impact ist das sichtbar gewordene Endziel des Angreifers: Daten für Lösegeld verschlüsseln, Systeme löschen, Dienste stoppen, Backups beschädigen, Websites verunstalten oder Daten und industrielle Prozesse manipulieren. In ATT&CK gehört auch das Verhindern der Wiederherstellung dazu, etwa das Löschen von Schattenkopien und Backup-Katalogen. In dieser Phase ist Eindämmung dringend, und Beweise sind gefährdet. Vorbeugung liegt früher: Offline-Backups, die der Angreifer nicht erreicht, Trennung von IT und Produktion und Alarme bei den vorangehenden Schritten. Die Verschlüsselung selbst geschieht auf Hosts; trifft sie Netzfreigaben, liest und überschreibt ein Client in kurzer Zeit große Datenmengen. NetSenX hat keine eigene Erkennung für den Verschlüsselungsschritt und stoppt ihn nicht; es beobachtet die Phasen davor, etwa Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen, in jedem Plan.

https://netsenx.com/de/faq/what-is-the-impact-tactic-in-mitre-attack

## Was ist die Cyber Kill Chain, und wie hängt sie mit MITRE ATT&CK zusammen?

Die Cyber Kill Chain ist ein 2011 von Lockheed Martin veröffentlichtes Modell, das einen Einbruch in sieben Phasen beschreibt: Aufklärung, Bewaffnung, Zustellung, Ausnutzung, Installation, Command and Control und Handeln am Ziel. Ihre Botschaft lautet: Der Angreifer muss in jeder Phase erfolgreich sein, der Verteidiger muss nur eine unterbrechen. MITRE ATT&CK ist detaillierter und passt besser zu dem, was nach dem ersten Fußfassen geschieht, mit vielen Taktiken und Hunderten von Techniken; die meisten Teams erklären der Geschäftsleitung einen Angriff deshalb mit der Kill Chain und planen ihre Erkennung mit ATT&CK. Beide führen zum selben praktischen Punkt: Angriffe bestehen aus Schritten, und jeder Schritt ist eine Gelegenheit, etwas zu bemerken. Für ein kleines Unternehmen sind die späteren Phasen, Command and Control, Bewegung im Netz und Datenabfluss, der Ort, an dem Netzwerkerkennung wie NetSenX am meisten beiträgt.

https://netsenx.com/de/faq/what-is-the-cyber-kill-chain

## Wie kann ein kleines Team MITRE ATT&CK nutzen, um Lücken in seiner Erkennung zu finden?

Beginnen Sie mit den Angriffen, denen Sie am wahrscheinlichsten begegnen, nicht mit der ganzen Matrix. Nehmen Sie zwei oder drei aktuelle öffentliche Warnungen, die zu Ihrer Branche passen, etwa eine CISA-Warnung zu einer Ransomware-Gruppe, listen Sie die genannten Techniken auf und fragen Sie bei jeder: Würden wir sie verhindern, würden wir sie sehen, und wo? Halten Sie die Antwort pro Technik fest: Endpunkt, Identität, E-Mail, Netz oder nichts. Relevante Lücken sind die Schritte, bei denen jede Antwort nichts lautet. Testen Sie dann ein oder zwei davon mit einer einfachen Übung, statt der Tabelle zu vertrauen. Zielen Sie nicht auf volle Abdeckung, sondern auf mindestens ein verlässliches Signal in jeder Phase eines typischen Angriffs. NetSenX nennt in seinen Alarmen die ATT&CK-Technik, wo eine zutrifft, und zeigt in einer Abdeckungsansicht, welche Techniken Ihre aktivierten Erkennungen adressieren; das füllt die Netzspalte dieser Übung.

https://netsenx.com/de/faq/how-to-use-mitre-attack-to-find-gaps-in-detection

## Was passiert, nachdem ein Angreifer ins Netz gelangt ist?

Meist dieselbe Abfolge. Der Angreifer sichert seinen Stützpunkt, damit er einen Neustart übersteht, kontaktiert seinen eigenen Server für Anweisungen, sieht sich um, um zu lernen, was das Netz enthält, stiehlt oder erweitert Anmeldedaten, zieht zu wertvolleren Systemen wie Dateiservern, Domänencontroller und Backup-Server, sammelt Daten, schickt sie hinaus und verschlüsselt erst dann, bei Ransomware. Manche Schritte dauern Minuten, andere Wochen. Die meisten laufen über das Netz: regelmäßige Meldungen an einen neuen externen Server, ein Host, der interne Bereiche scannt, neue Administratorsitzungen zwischen Rechnern, ungewöhnliche Uploads. Deshalb ist Netzwerkerkennung nach dem ersten Fußfassen wertvoll, auch wenn der Einstieg unsichtbar war. NetSenX erkennt Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Datenmengen in jedem Plan, auch im Free-Plan, in den überwachten Segmenten.

https://netsenx.com/de/faq/what-happens-after-an-attacker-gets-in

## Kann Virenschutz oder EDR allein laterale Bewegung erkennen?

Teilweise. Endpoint Detection and Response (EDR) sieht, was auf jedem Rechner geschieht, auf dem es läuft, etwa den Start eines Fernwartungswerkzeugs oder das Auslesen von Anmeldedaten, und gutes EDR erkennt auf diese Weise viel laterale Bewegung. Was ihm entgeht, sind Hosts ohne Agent wie Drucker, Kameras, Appliances und unverwaltete Server, Agenten, die Angreifer abgeschaltet haben, und Bewegung mit legitimen Werkzeugen und gültigen Passwörtern, die auf jedem einzelnen Rechner normal aussieht. Das Netz sieht die Beziehung zwischen Hosts: einen Arbeitsplatzrechner, der plötzlich administrative Sitzungen zu Servern öffnet, die er nie genutzt hat. Deshalb arbeiten beide am besten zusammen. NetSenX erkennt laterale Bewegung und Scans in jedem Plan, auch im Free-Plan, und korreliert ab dem Pro-Plan Hosts zu einer Geschichte; was in einem Host läuft, sieht es nicht, das bleibt Aufgabe des EDR.

https://netsenx.com/de/faq/can-antivirus-or-edr-alone-catch-lateral-movement

## Warum ist ein flaches Netz gefährlich?

Weil einen Angreifer, der hineinkommt, nichts davon abhält, alles zu erreichen. In einem flachen Netz sitzen alle Rechner, Drucker und Server im selben Segment und können sich mit allen anderen verbinden; ein infizierter Laptop erreicht also direkt den Dateiserver, den Backup-Server, die Buchhaltung und die Produktionsmaschinen. Segmentierung teilt das Netz in Zonen, etwa Arbeitsplätze, Server, Backups, Gäste, Drucker und Kameras sowie Produktion, mit Firewall-Regeln, die nur die Verbindungen erlauben, die jede Zone braucht. Sie muss nicht perfekt sein, um zu helfen: Schon die Trennung der Backups und der wichtigsten Server von gewöhnlichen Arbeitsplätzen blockiert die schädlichsten Wege. Flache Netze erschweren zudem die Erkennung, weil alles mit allem spricht. Die Netzwerkkarte von NetSenX zeigt in jedem Plan, wer tatsächlich mit wem spricht, ein guter Ausgangspunkt, um Ihre Zonen zu ziehen.

https://netsenx.com/de/faq/why-is-a-flat-network-dangerous

## Warum sehen Update-Agenten und Überwachungswerkzeuge wie Beaconing aus?

Weil sie sich gleich verhalten: Sie kontaktieren in regelmäßigen Abständen, Tag und Nacht, einen Server, um nach Updates zu fragen, ihren Status zu melden oder Konfiguration zu holen. Backup-Agenten, Virenschutz, Fernwartungswerkzeuge, Zeitsynchronisation und viele Geschäftsanwendungen tun das. Deshalb erzeugen einfache Regeln, die nur auf regelmäßige Zeitabstände schauen, viel Rauschen. Was Schadsoftware unterscheidet, ist der Kontext: ein Ziel, das sonst niemand im Unternehmen nutzt, eine kürzlich registrierte Domain oder ein gemieteter Server, ein Gerät ohne Grund für solche Software, ein Rhythmus, der an einem bestimmten Tag begonnen hat, oder Verkehr, der nicht zu dem Programm passt, das der Host ausführen soll. NetSenX beurteilt Beaconing anhand der eigenen Geschichte jedes Hosts und seines Ziels, erklärt jeden Alarm und lässt Sie bekannte Software als Fehlalarm markieren, wobei die Entscheidung im Audit-Log festgehalten wird.

https://netsenx.com/de/faq/why-do-update-agents-look-like-beaconing

## Was ist DNS-Tunneling?

DNS-Tunneling bedeutet, Daten oder Befehle in DNS-Abfragen zu verstecken, also in den Anfragen, mit denen jedes Gerät Namen in Adressen übersetzt. Weil fast jedes Netz DNS durchlässt, nutzen Angreifer es als Kanal: Daten werden in lange, zufällig wirkende Subdomains einer Domain kodiert, die sie kontrollieren, und ihr Nameserver antwortet mit Anweisungen. Das ist langsam, kommt aber durch Firewalls, die alles andere blockieren, und dient sowohl als Command and Control als auch dazu, Daten in kleinen Stücken zu stehlen. Anzeichen sind viele eindeutige, lange Subdomains unter einer Domain, ungewöhnliche Eintragstypen wie TXT und ein Host, der weit mehr DNS-Abfragen stellt als üblich. Wenn alle Geräte nur Ihre eigenen Resolver nutzen dürfen und deren Abfragen protokolliert werden, wird es sichtbar. NetSenX erkennt DNS-Tunneling; Abfragen, die Geräte verschlüsselt an Resolver außerhalb Ihres Netzes senden, sieht es nicht.

https://netsenx.com/de/faq/what-is-dns-tunnelling

## Können Daten über DNS gestohlen werden, ohne dass es jemand merkt?

Ja, wenn niemand auf DNS achtet. Daten, die über DNS-Abfragen abfließen, erscheinen nicht als großer Upload, weil jede Abfrage nur einige Dutzend Bytes trägt, und viele Firewalls lassen DNS ohne Prüfung durch. Sichtbar wird es im Muster: Ein Host stellt Tausende Abfragen nach Subdomains derselben unbekannten Domain, mit langen, zufällig wirkenden Namen, die sich nie wiederholen, oft in gleichmäßigem Takt. Um es sichtbar zu machen, lassen Sie Geräte nur Ihre eigenen DNS-Resolver nutzen, sperren Sie direktes DNS ins Internet an der Firewall, bewahren Sie Resolver-Logs auf und prüfen Sie Domains mit ungewöhnlich vielen eindeutigen Subdomains. DNS-Filterdienste ergänzen Sperrlisten bekannter Tunneling-Domains. NetSenX erkennt DNS-Tunneling in überwachten Segmenten; andere DNS-basierte Techniken wie algorithmisch erzeugte Domains gehören heute nicht zu dem, wobei es Alarm schlägt.

https://netsenx.com/de/faq/can-data-be-stolen-through-dns-without-anyone-noticing

## Kann sich Schadsoftware in DNS over HTTPS verstecken, und sehen wir sie dann noch?

Sie kann, und die Sichtbarkeit sinkt. DNS over HTTPS (DoH) schickt Namensabfragen in gewöhnlichem verschlüsseltem Webverkehr an einen Resolver, oft einen öffentlichen, sodass Ihr eigener DNS-Server und seine Logs sie nie sehen. Browser und manche Betriebssysteme können es von selbst einschalten, und Schadsoftware kann damit sowohl ihre Abfragen als auch getunnelte Daten verbergen. Was Sie trotzdem tun können: Browser und Geräte per Richtlinie auf Ihren eigenen Resolver einstellen, bekannte öffentliche DoH-Resolver an der Firewall sperren, wo das zu Ihrer Umgebung passt, und jedem Gerät nachgehen, das gleichmäßigen verschlüsselten Verkehr an einen DoH-Resolver schickt und Ihren DNS-Server ignoriert. Ein Netzwerksensor sieht die Verbindung zum Resolver, Zeitverlauf und Menge, aber nicht die Namen darin. NetSenX entschlüsselt nie Verkehr und kann DoH-Abfragen daher nicht lesen; das Beaconing-Muster kann es trotzdem erkennen.

https://netsenx.com/de/faq/can-malware-hide-in-dns-over-https

## Was ist langsame Datenexfiltration (Low and Slow), und wie wird sie erkannt?

Low-and-Slow-Exfiltration ist Datendiebstahl in kleinen Mengen über lange Zeit, sodass keine einzelne Übertragung auffällt: ein paar hundert Megabyte jede Mittagspause einen Monat lang oder ein stetiges Rinnsal in der Nacht, oft zu einem Cloud-Speicher, den viele legitim nutzen. Einfache Bandbreitenalarme übersehen das, weil sie nach Spitzen suchen. Erkannt wird es, indem man jeden Host über Tage und Wochen mit seiner eigenen Geschichte vergleicht: Ein Server, der mittags nie hochgeladen hat, tut es jetzt täglich, oder ein Arbeitsplatzrechner schickt zur selben Stunde ein wenig an dasselbe neue Ziel. Cloud-Speicher- und Proxy-Logs können es pro Benutzer zeigen. Achten Sie auf die Gesamtmenge pro Host und Ziel über eine Woche, nicht nur pro Stunde. NetSenX beurteilt ausgehende Mengen anhand der üblichen Ziele, Mengen und Tageszeiten jedes Hosts, in jedem Plan.

https://netsenx.com/de/faq/what-is-low-and-slow-data-exfiltration

## Warum übersehen einfache Bandbreitenalarme Datendiebstahl?

Weil sie die falsche Frage stellen. Ein Bandbreitenalarm fragt, ob eine Leitung stärker ausgelastet ist als ein fester Grenzwert; Datendiebstahl ist meist so angelegt, dass er darunter bleibt. Angreifer senden in Portionen, nachts oder zu Stoßzeiten, wenn ein paar hundert Megabyte zwischen Backups und Videokonferenzen verschwinden, und zu Cloud-Speichern, die auch Ihre Belegschaft nutzt, sodass auch Ziellisten nicht anschlagen. Ein fester Grenzwert löst außerdem bei jeder großen legitimen Übertragung aus, und irgendwann liest niemand mehr die Alarme. Die nützliche Frage gilt jedem Host: Sendet dieser Rechner mehr, an ein anderes Ziel oder zu einer anderen Zeit als sonst? Dafür braucht es eine Baseline pro Host statt pro Leitung. NetSenX führt eine solche Baseline und erkennt ungewöhnliche ausgehende Datenmengen pro Host in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/why-do-bandwidth-alarms-miss-data-theft

## Wie sieht Cobalt-Strike-Aktivität im Netz aus?

Cobalt Strike ist ein kommerzielles Werkzeug für autorisierte Red-Team-Übungen, das Kriminelle in großem Stil missbrauchen, oft in gecrackten Versionen, um kompromittierte Rechner zu steuern. Im Netz meldet sich sein Implantat, Beacon genannt, in einem eingestellten Intervall bei einem Teamserver, meist über HTTPS, manchmal über DNS oder zwischen internen Hosts über SMB. Anzeichen sind regelmäßige Verbindungen mit Streuung zu einem Ziel, das sonst niemand nutzt, Standard- oder kaum geänderte Einstellungen in Webanfragen und Zertifikaten, TLS-Client-Fingerabdrücke, die zu veröffentlichten für bekannte Konfigurationen passen, und SMB-Verbindungen zwischen Arbeitsplätzen, die sonst nicht miteinander sprechen. Viele Betreiber ändern ihre Konfiguration genau, um diese Zeichen zu vermeiden; Verhalten zählt deshalb mehr als Indikatoren. NetSenX erkennt Beaconing und laterale Bewegung in jedem Plan und vergleicht ab dem Starter-Plan TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPAN/TAP-Sensor.

https://netsenx.com/de/faq/what-does-cobalt-strike-look-like-on-the-network

## Sind interne Portscans ein Zeichen für einen Eindringling?

Oft ja, es sei denn, Sie wissen, wer scannt. In einem Firmennetz gibt es einige legitime Scanner, etwa einen Schwachstellenscanner, ein Inventarisierungswerkzeug, ein Netzmanagementsystem oder einen Druckertreiber, der nach Geräten sucht, und sie sollten bekannt, geplant und dokumentiert sein. Ein gewöhnlicher Arbeitsplatzrechner, ein Drucker oder eine Kamera, die sich plötzlich in kurzer Zeit mit vielen internen Adressen oder vielen Ports verbinden, ist etwas anderes: eines der deutlichsten Zeichen, dass jemand nach dem Eindringen das Netz kartiert, und es kommt meist früh, vor dem eigentlichen Schaden. Führen Sie eine Liste genehmigter Scanner und ihrer Adressen, damit sich ein Alarm in Sekunden prüfen lässt, und gehen Sie allem anderen noch am selben Tag nach. NetSenX erkennt Scans in jedem Plan, auch im Free-Plan, auch von Geräten ohne Agent, wenn es sie von einem SPAN- oder TAP-Port aus beobachtet.

https://netsenx.com/de/faq/is-internal-port-scanning-a-sign-of-an-intruder

## Woran erkennen wir, dass jemand in unserem internen Netz Passwörter rät?

Sehen Sie an zwei Stellen nach: in den Logs des Ziels und im Muster im Netz. Die Logs des Ziels, auf einem Dateiserver, einem Remote-Desktop-Host, einem SSH-Server oder dem Domänencontroller, zeigen die fehlgeschlagenen Anmeldungen selbst und die versuchten Kontonamen; viele Fehlschläge über viele Konten von einer Quelle sind Password Spraying, viele für ein Konto sind Brute Force. Das Netz zeigt die Quelle: einen Host, der wiederholt kurze Verbindungen zu einem Anmeldedienst aufbaut, oft auf mehreren Servern. Brute Force auf Remote Desktop oder SSH innerhalb des LAN ist nicht normal; er bedeutet einen kompromittierten Rechner oder einen nicht genehmigten Test. Sperren oder bremsen Sie wiederholte Fehlschläge, verlangen Sie Multi-Faktor-Authentifizierung (MFA), wo möglich, und untersuchen Sie den Quellhost. NetSenX sieht die wiederholten Verbindungen zwischen Hosts in überwachten Segmenten und erkennt Scans und laterale Bewegung, die typischerweise dazugehören; die Zahl der fehlgeschlagenen Anmeldungen steht im Log des Servers.

https://netsenx.com/de/faq/how-to-know-if-someone-is-guessing-passwords-internally

## Wie erkennen wir große Uploads von einem Server in einen Cloud-Speicher?

Vergleichen Sie den ausgehenden Verkehr jedes Servers mit seinem eigenen Normalzustand und sehen Sie bei Cloud-Speicherzielen genau hin. Viele Server müssen nie viel ins Internet senden; ein Datenbank- oder Dateiserver, der Gigabytes zu einem Filesharing- oder Cloud-Speicherdienst hochlädt, ist daher schon für sich ungewöhnlich, und Ransomware-Warnungen beschreiben Werkzeuge wie Rclone, die genau so vor der Verschlüsselung eingesetzt werden. Praktische Schritte: Beschränken Sie, welche Server überhaupt ins Internet dürfen, protokollieren Sie ausgehende Verbindungen an Firewall oder Proxy und prüfen Sie wöchentlich die Mengen pro Server zu Cloud-Speichern. Wo Sie einen Cloud-Dienst offiziell nutzen, trennen Sie dessen legitime Ziele am Proxy nach Möglichkeit von privaten Konten. NetSenX erkennt ungewöhnliche ausgehende Datenmengen pro Host mit Ziel und Zeitpunkt in jedem Plan; den Inhalt verschlüsselter Uploads oder das Zielkonto sieht es nicht.

https://netsenx.com/de/faq/how-to-detect-large-uploads-to-cloud-storage-from-a-server

## Was ist der Missbrauch von PsExec oder Admin-Freigaben, und warum meldet der Virenschutz ihn nicht?

PsExec und ähnliche Werkzeuge führen Befehle auf einem entfernten Rechner aus, indem sie einen kleinen Dienst über dessen administrative Dateifreigaben kopieren und starten; Fernverwaltungsprotokolle wie WinRM und Remote Desktop erledigen Ähnliches. Administratoren nutzen sie täglich, deshalb lässt der Virenschutz sie meist durch: Das Werkzeug ist signiert und legitim, nur der Zusammenhang stimmt nicht. Angreifer nutzen sie, um sich von einem Rechner auf viele auszubreiten, Ransomware gleichzeitig auf alle Server zu verteilen oder Skripte mit gestohlenen Administratorzugangsdaten auszuführen. Verräterisch ist, wer sie wann und von wo nutzt: ein Arbeitsplatzrechner, der um 1:30 Uhr administrative Sitzungen zu Servern öffnet, die er nie genutzt hat, oder ein Konto, das binnen Minuten Dutzende Hosts berührt. Beschränken Sie, welche Rechner andere verwalten dürfen. NetSenX erkennt solche neuen administrativen Sitzungen zwischen Hosts in jedem Plan als laterale Bewegung.

https://netsenx.com/de/faq/what-is-psexec-and-admin-share-abuse

## Können sich Angreifer mit gestohlenen Passwörtern und ohne Schadsoftware durch unser Netz bewegen?

Ja, und das ist verbreitet. Mit gültigen Zugangsdaten kann sich ein Angreifer wie jeder Mitarbeitende an Remote Desktop, VPN, SSH, Dateifreigaben und Cloud-Diensten anmelden und die bereits installierten Administrationswerkzeuge nutzen. Der Virenschutz hat nichts zu erkennen, weil es keine schädliche Datei gibt, und jede einzelne Anmeldung kann für sich normal aussehen. Verräterisch ist das Muster: ein Konto, das sich von einem nie genutzten Rechner, zu ungewöhnlicher Stunde, in kurzer Zeit an vielen Systemen anmeldet; ein Arbeitsplatzrechner, der plötzlich mit Servern spricht; ein Dienstkonto, das interaktiv genutzt wird. Multi-Faktor-Authentifizierung (MFA), getrennte Administratorkonten und Grenzen dafür, welche Rechner sich mit welchen verbinden dürfen, sind die wichtigsten Abwehrmaßnahmen. NetSenX sieht die Netzseite davon, neue Sitzungen zwischen Hosts und Scans, in jedem Plan; die Anmeldeereignisse in Ihrem Verzeichnis sieht es nicht, die zeigen Identitäts-Logs.

https://netsenx.com/de/faq/can-attackers-move-with-stolen-passwords-and-no-malware

## Sollten wir laterale Bewegung über Authentifizierungs-Logs oder über Netzflüsse erkennen?

Über beides, denn jede Quelle sieht, was der anderen entgeht. Authentifizierungs-Logs aus Verzeichnis, Servern und VPN zeigen, welches Konto sich wo mit welcher Methode angemeldet hat und ob es fehlschlug; sie sind die beste Quelle für gestohlene Zugangsdaten, aber nur für Systeme, die protokollieren, die Logs aufbewahren und dorthin schicken, wo jemand sie liest. Netzflüsse zeigen, welcher Host sich mit welchem verbunden hat, auf welchem Port, wie oft und wie viel, für jedes Gerät in einem überwachten Segment, auch für jene, die keine Logs führen: Drucker, Appliances, unverwaltete Server. Kontonamen zeigen sie nicht. In der Praxis ist eine neue Sitzung zwischen zwei Hosts, die nie miteinander gesprochen haben, ein Netzsignal, und das Konto dahinter eine Identitätsfrage. NetSenX deckt die Netzseite in jedem Plan ab; kombinieren Sie es mit den Anmelde-Logs Ihres Verzeichnisses oder einem SIEM, in das NetSenX ab dem Business-Plan exportieren kann.

https://netsenx.com/de/faq/authentication-logs-or-network-flows-for-lateral-movement

## Was ist graphbasierte Erkennung lateraler Bewegung?

Graphbasierte Erkennung behandelt Ihr Netz als Karte, wer mit wem spricht: Jeder Host ist ein Punkt, jede Verbindung eine Linie, und die Karte wird über die Zeit mit ihrer üblichen Form verglichen. Laterale Bewegung zeigt sich als neue Linien, die nicht passen, etwa ein Arbeitsplatzrechner, der plötzlich mit mehreren Servern verbunden ist, eine Kette von Sprüngen von einem Rechner zum nächsten oder eine Gruppe von Hosts, die alle dieselbe neue externe Adresse erreichen. Der Vorteil ist der Kontext: Eine einzelne neue Verbindung kann harmlos sein, ein neuer Pfad vom Laptop eines Benutzers über einen Dateiserver zum Backup-Server dagegen nicht. Der Ansatz wird seit Jahren in der Forschung untersucht. Ab dem Pro-Plan korreliert NetSenX Hosts in einem solchen Graphen, sodass ein Scan mit anschließenden neuen Remote-Sitzungen oder mehrere Hosts mit Beaconing zu einem Ziel als eine Geschichte erscheinen statt als verstreute Alarme.

https://netsenx.com/de/faq/what-is-graph-based-lateral-movement-detection

## Übersehen regelbasierte Sicherheitswerkzeuge neue Angriffswege?

Oft ja, konstruktionsbedingt. Eine Regel beschreibt etwas bereits Bekanntes: einen Datei-Hash, eine Domain, eine Abfolge von Ereignissen, die jemand schon gesehen hat. Sie ist präzise und günstig und wirkt gut gegen Massen-Schadsoftware. Sie versagt, wenn Angreifer ein Detail ändern, legitime Werkzeuge nutzen oder einen Weg durch Ihr Netz nehmen, für den niemand eine Regel geschrieben hat, etwa über einen neuen Server, ein vergessenes Lieferantenkonto oder eine ungewöhnliche Kette von Sprüngen. Verhaltensbasierte Erkennung stellt eine andere Frage: Tut dieser Host etwas, was er im Vergleich zu seiner eigenen Geschichte und zu vergleichbaren Hosts noch nie getan hat? Sie findet neue Wege, braucht aber Zeit, um das Normale zu lernen, und ihre Alarme erfordern Urteilsvermögen. Ausgereifte Umgebungen kombinieren beides. NetSenX erkennt Verhalten im Netz, etwa Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen, und erklärt jeden Alarm, damit Sie einen neuen Angriffsweg von einem neuen Geschäftsprozess unterscheiden können.

https://netsenx.com/de/faq/do-rule-based-tools-miss-new-attack-paths

## Warum sollte ein Drucker unser Netz scannen, und können Drucker andere Rechner angreifen?

Ein Drucker, der sich plötzlich binnen Minuten mit Hunderten interner Adressen verbindet, ist entweder falsch konfiguriert oder kompromittiert. Manche Drucker und ihre Treiber suchen legitim nach Geräten oder Scan-Zielordnern, aber dieses Muster ist regelmäßig und begrenzt; ganze Adressbereiche zu kartieren, ist es nicht. Drucker laufen mit vollständigen Betriebssystemen, oft mit alter Firmware, Standardpasswörtern, Weboberflächen und gespeicherten Adressbüchern; ein Angreifer kann einen übernehmen und als stille Basis zum Scannen, Weiterleiten von Verbindungen oder Ablegen von Werkzeugen nutzen, in dem Wissen, dass niemand seine Logs liest. Aktualisieren Sie die Firmware, ändern Sie das Standardpasswort, schalten Sie nicht benötigte Dienste ab und setzen Sie Drucker in ein eigenes Segment, das den Druckserver erreicht, aber nicht jeden Rechner. NetSenX erkennt Scans in jedem Plan, von einem SPAN- oder TAP-Port aus, ohne Software auf dem Drucker.

https://netsenx.com/de/faq/why-would-a-printer-scan-our-network

## Wie stoppen wir einen Angreifer, der schon in unserem Netz ist?

Erst eindämmen, dann entfernen, in einem abgestimmten Zug. Finden Sie unauffällig so viel wie möglich heraus: welche Hosts und Konten beteiligt sind, wie der Angreifer hinein- und hinausgelangt und wo seine Werkzeuge liegen. Handeln Sie dann gemeinsam: betroffene Hosts am Switch oder an der Firewall isolieren, ihre externen Ziele sperren, kompromittierte Konten von einem sauberen Gerät aus deaktivieren oder zurücksetzen und den Einstiegsweg schließen, etwa ein VPN-Konto oder einen exponierten Dienst. Stückweises Vorgehen warnt den Angreifer, der dann auf andere Hosts ausweicht oder Systeme zu beschädigen beginnt. Holen Sie eine Incident-Response-Firma hinzu, falls noch nicht geschehen, und führen Sie ein Protokoll. Bauen Sie nach der Eindämmung betroffene Rechner neu auf und beobachten Sie das Netz wochenlang genau. NetSenX entfernt keine Angreifer; es zeigt vom Netz aus, welche Hosts beteiligt sind und wohin sie sich verbinden, also das, was ein Eindämmungsplan braucht, und erkennt danach erneute Aktivität.

https://netsenx.com/de/faq/how-to-stop-an-attacker-already-in-our-network

## Wie schnell bewegen sich Angreifer, wenn sie einmal drin sind?

Manchmal binnen einer Stunde, manchmal über Wochen. Gruppen mit automatisierten Werkzeugen und gestohlenen Administratorpasswörtern erreichen Server nach dem ersten Fußfassen sehr schnell, andere warten, erkunden und kopieren Daten, bevor sie handeln. Sicherheitsanbieter veröffentlichen Messungen der sogenannten Breakout Time, die aber ihre eigenen Kunden und Methoden beschreiben; behandeln Sie jede einzelne Zahl deshalb mit Vorsicht. Die praktische Folgerung ist in jedem Fall dieselbe: Gehen Sie davon aus, dass Ihnen nach dem ersten Zeichen wenig Zeit bleibt. Legen Sie vorab fest, wer nachts einen Host isolieren darf, sorgen Sie dafür, dass Alarme eine Person erreichen, die sie liest, und halten Sie Arbeitsplätze und Server durch Segmentierung getrennt, damit der Weg des Angreifers länger wird. NetSenX erkennt die Schritte, die meist auf das Fußfassen folgen, Beaconing, Scans und laterale Bewegung, in jedem Plan, und genau daraus entsteht die Zeit zum Reagieren.

https://netsenx.com/de/faq/how-fast-do-attackers-move-once-inside

## Woran erkennen wir, ob der Rechner für das Online-Banking infiziert ist?

Suchen Sie nach Zeichen am Rechner und im Netz, und senken Sie das Risiko in jedem Fall. Am Rechner: unerwartete Fernzugriffswerkzeuge, Pop-ups, die erneut nach Bankdaten fragen, Browser-Erweiterungen, die Sie nicht installiert haben, abgeschaltete Sicherheitssoftware. Im Netz: der Rechner, der in regelmäßigen Abständen, Tag und Nacht, einen unbekannten externen Server kontaktiert, denn so halten Banking-Trojaner und Fernzugriffstrojaner Kontakt zu ihren Betreibern. Auch die Warnungen Ihrer Bank zu neuen Geräten oder geänderten Empfängern zählen. Am sichersten ist ein eigener Rechner oder ein separates Benutzerkonto nur für das Banking, ohne E-Mail, mit aktuellen Updates und Vier-Augen-Freigabe für Zahlungen über einem Limit. NetSenX erkennt Beaconing von diesem Rechner in jedem Plan; was im Browser geschieht, sieht es nicht, und es ersetzt nicht die Sicherheitsprüfungen der Bank.

https://netsenx.com/de/faq/is-the-pc-we-use-for-online-banking-infected

## Woran würden wir merken, dass unsere ERP-Datenbank aus dem Unternehmen kopiert wurde?

Am Blick darauf, was der Datenbankserver nach außen gesendet hat, nicht an der Datenbank selbst. Ein ERP-Export mit Kunden, Preisen oder Lohndaten ist groß, und der Server, auf dem er liegt, spricht normalerweise mit der ERP-Anwendung, dem Backup-System und einigen Benutzern, nicht mit dem Internet. Anzeichen sind eine große ausgehende Übertragung von diesem Server oder von einem Arbeitsplatzrechner, der gerade einen großen Export gezogen hat, besonders nachts oder zu einem Cloud-Speicher; eine Datenbank-Dump-Datei, die auf einer Freigabe auftaucht; oder kurz zuvor eine neue Remote-Sitzung zum Server. Beschränken Sie den Internetzugang von Datenbankservern und protokollieren Sie Exporte im ERP selbst. NetSenX erkennt ungewöhnliche ausgehende Datenmengen pro Host mit Ziel und Zeitpunkt in jedem Plan; welche Tabellen in einer verschlüsselten Übertragung steckten, sieht es nicht.

https://netsenx.com/de/faq/how-would-we-know-if-our-erp-database-was-copied-out

## Kann Netzwerküberwachung einen Backup-Upload von Datendiebstahl unterscheiden?

Meist ja, sobald sie das Backup kennt. Ein legitimes Backup oder eine Cloud-Synchronisierung läuft von bekannten Hosts zu bekannten Zielen zu festen Zeiten, mit ähnlichen Mengen Nacht für Nacht, und beginnt an dem Tag, an dem der Job eingerichtet wurde. Diebstahl unterscheidet sich meist in mindestens einem Punkt: ein Host, der nie hochlädt, ein neues Ziel, eine ungewöhnliche Uhrzeit oder eine Menge weit über dem Normalen dieses Hosts. Nutzt der Diebstahl denselben Cloud-Anbieter wie Ihre Backups, unterscheiden sich Konto und genaues Ziel, was ein Proxy oder die Logs des Anbieters besser zeigen als Flow-Daten. NetSenX vergleicht die Uploads jedes Hosts mit seiner eigenen Geschichte und erklärt den Alarm, sodass der nächtliche Backup-Job erkennbar bleibt; schlägt er doch an, markieren Sie ihn einmal als Fehlalarm, und die Entscheidung wird im Audit-Log festgehalten.

https://netsenx.com/de/faq/can-network-monitoring-tell-a-backup-from-data-theft

## Warum sollte sich ein normaler Arbeitsplatzrechner nachts mit dem Domänencontroller verbinden?

Der meiste Verkehr von Arbeitsplätzen zum Domänencontroller ist harmlos: Anmeldungen, Gruppenrichtlinien, Zeitsynchronisation und Namensauflösung laufen rund um die Uhr, auch nachts. Nicht normal ist es, wenn ein Arbeitsplatzrechner eine interaktive Remote-Sitzung zum Domänencontroller öffnet, etwa Remote Desktop oder Fernverwaltung, oder dessen administrative Freigaben nutzt, besonders von einem Rechner, der jemandem außerhalb der IT gehört, und zu einer Stunde, in der niemand arbeitet. Das ist ein typischer Schritt, bevor ein Angreifer das Verzeichnis übernimmt, Konten anlegt oder Ransomware überall verteilt. Beschränken Sie administrativen Zugriff auf Domänencontroller auf wenige dedizierte Administrationsrechner. NetSenX erkennt solche neuen administrativen Sitzungen zwischen Hosts in jedem Plan als laterale Bewegung und verknüpft sie ab dem Pro-Plan mit den Scans, die oft vorausgehen.

https://netsenx.com/de/faq/why-would-a-workstation-connect-to-the-domain-controller-at-night

## Was ist ARP-Spoofing, und wie erkennen wir es in einem kleinen Büronetz?

Beim ARP-Spoofing gibt sich ein Gerät im lokalen Netz fälschlich als Router oder anderer Host aus, damit der für diese bestimmte Verkehr durch es hindurchläuft. So kann ein Angreifer unverschlüsselten Verkehr lesen, Anmeldedaten abgreifen oder Verbindungen manipulieren, und es funktioniert nur innerhalb desselben Segments, etwa von einem kompromittierten PC oder einem Gerät an einer freien Netzwerkdose. Auf verwalteten Switches verhindert Dynamic ARP Inspection zusammen mit DHCP Snooping es; Port Security und 802.1X begrenzen, wer sich anschließen darf; die Verschlüsselung interner Dienste begrenzt den Schaden. Ohne verwaltete Switches achten Sie auf eine MAC-Adresse, die mehrere IP-Adressen beansprucht, besonders die des Gateways. Ein Sensor im Segment sieht solche widersprüchlichen Meldungen, und die Netzwerkkarte von NetSenX zeigt die Geräte in überwachten Segmenten, sodass ein Neuling auffällt.

https://netsenx.com/de/faq/what-is-arp-spoofing-and-how-to-detect-it

## Kann jemand in unserem WLAN den Verkehr anderer Benutzer mitlesen?

Das hängt von der WLAN-Sicherheit ab und davon, was darüber verschlüsselt ist. In einem offenen Netz oder einem, in dem alle dasselbe Passwort kennen, kann jemand im Netz mit etwas Aufwand den Verkehr anderer sehen oder umleiten; WPA3 erschwert passives Mitlesen erheblich, und WPA2 oder WPA3 Enterprise mit persönlichen Anmeldungen trennt Benutzer besser. Client-Isolation in Gästenetzen verhindert, dass Geräte überhaupt miteinander sprechen. In der Praxis ist der meiste Verkehr heute durch HTTPS geschützt; die größeren Risiken sind Umleitungen auf gefälschte Anmeldeseiten und Angriffe auf Geräte, die noch unverschlüsselte Protokolle nutzen, etwa alte Drucker oder Kameras. Halten Sie Gäste in einem isolierten Netz und Beschäftigte bei persönlichen Anmeldungen. NetSenX verwaltet kein WLAN; in überwachten Segmenten zeigt es, welche Geräte mit welchen sprechen, und erkennt Scans eines Neulings.

https://netsenx.com/de/faq/can-someone-on-our-wi-fi-read-other-users-traffic

## Wie viel Zeit bleibt uns, wenn Ransomware Dateifreigaben zu bearbeiten beginnt?

Sehr wenig: oft Minuten bis Stunden, je nachdem, wie viele Daten es gibt und wie viele Rechner gleichzeitig verschlüsseln. Beginnt die Verschlüsselung, lesen und überschreiben ein oder mehrere Clients in kurzer Zeit große Datenmengen auf Netzfreigaben, und Benutzer finden Dateien, die sich nicht mehr öffnen lassen. Dann geht Eindämmung vor: Trennen Sie die verschlüsselnden Hosts vom Netz, nehmen Sie betroffene Freigaben offline oder schalten Sie sie auf Nur-Lesen und schützen Sie notfalls den Backup-Server, indem Sie ihm den Netzzugang kappen. Legen Sie vorab fest, wer das tun darf, ohne zu fragen. Das eigentliche Zeitfenster liegt früher, in den Tagen mit Beaconing, Scans und lateraler Bewegung vor der Verschlüsselung. NetSenX hat keine eigene Erkennung für den Verschlüsselungsschritt selbst; es beobachtet diese früheren Schritte in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/how-much-time-once-ransomware-touches-file-shares

## Können wir sehen, welches Programm auf einem Server einen großen Upload ausgelöst hat?

Nicht allein aus dem Netz. Ein Netzwerksensor sieht, welcher Host wie viel wohin und wann gesendet hat, manchmal auch Protokoll und Servernamen; das Programm, das die Verbindung geöffnet hat, ist nur auf dem Host selbst bekannt. Dafür brauchen Sie Endpoint Detection and Response (EDR) oder die Verbindungsprotokollierung des Betriebssystems auf wichtigen Servern, und Sie sollten Prozess- und Netzereignisse gemeinsam aufzeichnen, damit sich eine Übertragung später ihrem Prozess zuordnen lässt. Firewalls und Proxys mit Benutzerauthentifizierung können das Konto ergänzen. In der Praxis sagt Ihnen der Netzalarm, welchen Server und welche Minute Sie ansehen müssen, sodass der Prozess schnell gefunden ist. NetSenX erkennt ungewöhnliche ausgehende Datenmengen pro Host mit Zeitpunkt und Ziel in jedem Plan; den Prozess oder Benutzer dahinter nennt es nicht.

https://netsenx.com/de/faq/can-we-see-which-program-made-a-large-upload

## Was ist ein Lieferkettenangriff?

Ein Lieferkettenangriff erreicht Sie über jemanden, dem Sie vertrauen: einen Softwarehersteller, dessen Update manipuliert wurde, einen IT-Dienstleister, dessen Fernwartungswerkzeug missbraucht wird, einen Lieferanten mit VPN-Zugang zu Ihrem Netz oder einen gehackten Partner, über dessen E-Mail Ihnen schädliche Rechnungen geschickt werden. Er funktioniert, weil Zugang oder Software legitim sind und deshalb die Prüfungen passieren, die Sie bei Fremden anwenden. Abwehr heißt wissen, welche Lieferanten worauf Zugriff haben, jedem nur den nötigsten Zugang und eigene Konten mit Multi-Faktor-Authentifizierung (MFA) geben, Zugänge deaktivieren, wenn sie nicht gebraucht werden, und in Verträgen nach ihrer Sicherheit fragen. NIS2 nennt die Sicherheit der Lieferkette in Artikel 21 unter den Risikomanagementmaßnahmen im Bereich Cybersicherheit. NetSenX sieht nicht, wie ein manipuliertes Update entsteht; es sieht, was der Zugang oder die Software des Lieferanten danach in Ihrem Netz tut, etwa Beaconing oder neue Sitzungen.

https://netsenx.com/de/faq/what-is-a-supply-chain-attack

## Was ist eine Zero-Day-Lücke, und lässt sie sich erkennen?

Eine Zero-Day-Lücke ist eine Schwachstelle, die Angreifer ausnutzen, bevor der Hersteller einen Fix veröffentlicht hat; Patchen hilft also noch nicht, und Signaturen gibt es keine. Zero-Days sind teuer und werden oft gegen Systeme zum Internet eingesetzt, etwa VPN-Gateways, Firewalls und Dateitransferserver. Erkennung stützt sich deshalb auf das, was nach dem Exploit geschieht: eine Appliance, die plötzlich mit neuen externen Servern spricht, ein Webserver, der das interne Netz zu scannen beginnt, neue Administratorsitzungen, abfließende Daten. Verringern Sie die Angriffsfläche, indem Sie so wenige Dienste wie möglich aus dem Internet erreichbar halten, Verwaltungsoberflächen hinter ein VPN stellen und Herstellerwarnungen sowie den Katalog Known Exploited Vulnerabilities von CISA verfolgen, damit Sie patchen, sobald ein Fix erscheint. NetSenX erkennt nicht den Exploit selbst; es erkennt das folgende Verhalten, etwa Beaconing, Scans und ungewöhnliche ausgehende Mengen, in jedem Plan.

https://netsenx.com/de/faq/what-is-a-zero-day-and-can-it-be-detected

## Was ist der Unterschied zwischen Brute Force und Password Spraying?

Beide raten Passwörter, aber in entgegengesetzter Richtung. Brute Force probiert viele Passwörter an einem Konto, was meist eine Kontosperre auslöst und in den Logs des Ziels deutlich sichtbar ist. Password Spraying probiert ein oder zwei gängige Passwörter, etwa Jahreszeit plus Jahr, an vielen Konten, bleibt unter den Sperrgrenzen und verteilt die Versuche oft über Stunden oder mehrere Dienste. Spraying ist häufiger gegen VPN, Webmail und Cloud-Anmeldungen, wo Kontonamen leicht zu erraten sind. Die Abwehr ist für beide gleich: Multi-Faktor-Authentifizierung (MFA), das Verbot gängiger Passwörter und Alarme bei fehlgeschlagenen Anmeldungen über viele Konten von einer Quelle. Im Unternehmen erscheint beides im Netz als ein Host, der wiederholt kurze Verbindungen zu Anmeldediensten aufbaut. NetSenX zeigt diese Verbindungen zwischen Hosts; Fehlerzahlen und versuchte Konten stehen in den Logs des Servers oder des Identitätsanbieters.

https://netsenx.com/de/faq/difference-between-brute-force-and-password-spraying

## Was ist Credential Stuffing?

Beim Credential Stuffing nehmen Angreifer E-Mail-Passwort-Paare, die bei anderen Websites geleakt wurden, und probieren sie automatisiert an Ihren Anmeldungen aus, in der Annahme, dass Menschen Passwörter wiederverwenden. Ziel sind Dienste zum Internet wie Webmail, VPN, Kundenportale und Cloud-Anwendungen, und die Versuche kommen von vielen Adressen gleichzeitig, sodass sie oft wie eine normale Mischung von Anmeldungen mit leicht erhöhter Fehlerquote aussehen. Abwehr sind Multi-Faktor-Authentifizierung (MFA), eine Regel gegen Passwort-Wiederverwendung, der Abgleich von Firmenadressen mit bekannten Leak-Sammlungen und Ratenbegrenzungen auf Anmeldeseiten. Für die Konten Ihrer Kunden bieten Sie MFA an und achten auf viele fehlgeschlagene Anmeldungen über verschiedene Konten. Ein Netzwerksensor im Unternehmen sieht davon wenig, weil es an Ihren öffentlichen Diensten oder bei einem Cloud-Anbieter geschieht. NetSenX sieht, wofür eine erfolgreiche Anmeldung danach genutzt wird, wenn sie zu Aktivität in Ihrem internen Netz führt.

https://netsenx.com/de/faq/what-is-credential-stuffing

## Was ist Kerberoasting?

Kerberoasting ist ein Angriff auf Active Directory, bei dem ein beliebiger angemeldeter Benutzer Diensttickets für Konten anfordert, unter denen Dienste laufen, die Tickets mitnimmt und offline knackt, um die Passwörter dieser Konten zu erhalten. Er braucht keine besonderen Rechte, ist leise und wirkt am besten gegen Dienstkonten mit schwachen, alten Passwörtern, die oft weitreichende Rechte haben. Abwehr sind lange Zufallspasswörter für Dienstkonten, am besten verwaltete Dienstkonten mit automatischer Rotation, starke Verschlüsselungstypen für Kerberos und Alarme in den Verzeichnis-Logs, wenn ein Host in kurzer Zeit viele Diensttickets anfordert. Die Ticketanforderungen sind Verzeichnisereignisse und eher für Identitätsüberwachung sichtbar als für einen Flow-Sensor. NetSenX schlägt nicht bei Kerberos-Aktivität an; es sieht, wofür die geknackten Konten danach genutzt werden, etwa für neue administrative Sitzungen zu Servern.

https://netsenx.com/de/faq/what-is-kerberoasting

## Was ist Pass-the-Hash?

Bei Pass-the-Hash nutzt ein Angreifer den gespeicherten Hash eines Passworts, entnommen aus Speicher oder Festplatte eines kompromittierten Rechners, um sich als dieser Benutzer anzumelden, ohne das Passwort selbst je zu kennen. Das funktioniert mit der älteren NTLM-Authentifizierung, die in vielen Netzen noch verbreitet ist, und erlaubt es dem Angreifer, mit der Identität eines Administrators von Rechner zu Rechner zu ziehen. Zur Abwehr gehören: keine Anmeldungen mit Domänenadministratorkonten an gewöhnlichen Arbeitsplätzen, ein eigenes lokales Administratorpasswort auf jedem Rechner, Schutzmechanismen gegen das Auslesen von Anmeldedaten aus dem Speicher, Einschränken oder Abschalten von NTLM, wo möglich, und Endpunktschutz. Der Hash-Diebstahl geschieht auf einem Host; die Wiederverwendung erscheint im Netz als administrative Verbindungen zwischen Rechnern, die sonst nicht miteinander sprechen. NetSenX erkennt diese laterale Bewegung in jedem Plan; das Authentifizierungsprotokoll selbst untersucht es nicht.

https://netsenx.com/de/faq/what-is-pass-the-hash

## Was ist ein Drive-by-Download?

Ein Drive-by-Download infiziert einen Rechner, wenn jemand einfach eine Webseite besucht: eine kompromittierte legitime Website, eine schädliche Werbeanzeige oder eine Seite, die sich als Browser-Update oder CAPTCHA ausgibt und den Benutzer dazu bringt, etwas auszuführen. Die CISA-Warnung zur Ransomware-Gruppe Interlock, AA25-203A vom 22. Juli 2025, beschreibt Drive-by-Downloads von kompromittierten legitimen Websites und die ClickFix-Technik, bei der eine gefälschte Aufforderung den Benutzer überredet, einen Befehl einzufügen und auszuführen. Abwehr sind aktuelle Browser und Betriebssysteme, DNS- und Webfilterung, die Unterbindung eingefügter Skripte und die Vermittlung, dass eine Website nie verlangt, einen Befehl auszuführen. Läuft einmal etwas, meldet es sich meist nach Hause: NetSenX erkennt das daraus folgende Beaconing zu einem neuen externen Server in jedem Plan.

https://netsenx.com/de/faq/what-is-a-drive-by-download

## Was ist ein Botnetz, und woran erkennen wir, dass eines unserer Geräte dazugehört?

Ein Botnetz ist ein Netz infizierter Rechner, Router, Kameras und anderer Geräte, die ein Krimineller fernsteuert und für Spam, Credential Stuffing, Denial-of-Service-Angriffe oder als Relais für andere Straftaten vermietet. Die Besitzer merken es selten, weil das Gerät weiter funktioniert; der Preis sind Ihre Bandbreite, Ihre öffentliche Adresse auf Sperrlisten und ein Angreifer mit Stützpunkt in Ihrem Netz. Anzeichen sind ein Gerät, das in regelmäßigen Abständen einen Steuerungsserver kontaktiert, plötzliche Schübe ausgehender Verbindungen zu vielen Adressen, Mails von einem Gerät, das keine Mails senden sollte, oder eine Meldung Ihres Providers oder nationalen CERT. Aktualisieren Sie Geräte mit Internetzugang, ändern Sie ihre Standardpasswörter und sperren Sie ausgehende Mails außer vom Mailserver. NetSenX erkennt Beaconing und ungewöhnliche ausgehende Mengen pro Host in jedem Plan, auch bei Geräten, auf denen kein Agent laufen kann.

https://netsenx.com/de/faq/what-is-a-botnet

## Was ist ein Fernzugriffstrojaner (RAT)?

Ein Fernzugriffstrojaner ist Schadsoftware, die einem Angreifer die volle Kontrolle über einen Rechner gibt: Er kann den Bildschirm sehen, Tastatureingaben aufzeichnen, Dateien öffnen, die Kamera einschalten, Befehle ausführen und den Rechner als Sprungbrett ins Netz nutzen. Er kommt meist über Phishing-Anhänge, gefälschte Software-Downloads oder gecrackte Programme und hält eine Verbindung zu seinem Betreiber, entweder dauerhaft offen oder durch Meldungen in Abständen. Auf dem Rechner sind Endpunktschutz und Anwendungskontrolle die wichtigste Abwehr. Im Netz ist die Verbindung zum Betreiber das verlässlichste Zeichen: kleiner, regelmäßiger Verkehr zu einem unbekannten Ziel, oft über HTTPS oder einen ungewöhnlichen Port, manchmal über einen legitimen Cloud-Dienst weitergeleitet. NetSenX erkennt dieses Beaconing in jedem Plan und vergleicht ab dem Starter-Plan TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPAN/TAP-Sensor.

https://netsenx.com/de/faq/what-is-a-remote-access-trojan

## Was ist ein Initial Access Broker?

Ein Initial Access Broker ist ein Krimineller, der in Unternehmen einbricht und diesen Zugang an andere verkauft, statt ihn selbst zu nutzen: VPN-Anmeldungen, Zugangsdaten für Remote Desktop, eine Web Shell auf einem Server oder die Kontrolle über einen infizierten Laptop. Ransomware-Gruppen und andere Kriminelle kaufen solchen Zugang auf kriminellen Marktplätzen und beginnen von dort ihren Angriff, manchmal Wochen später. Für ein Opfer hat das zwei Folgen. Der erste Einbruch kann leise sein und mit dem späteren Schaden scheinbar nichts zu tun haben, und wer verschlüsselt, ist vielleicht nicht der, der eingedrungen ist. Und die Zeit zwischen Zugang und Angriff ist eine Chance: Konten, die von ungewöhnlichen Orten genutzt werden, ein neues Fernzugriffswerkzeug oder ein Server, der eine externe Adresse anruft, lassen sich finden, bevor der Käufer kommt. NetSenX erkennt das Beaconing und die neuen Sitzungen, die solcher Zugang meist erzeugt, in jedem Plan; die Anmeldungen zeigen Identitäts-Logs.

https://netsenx.com/de/faq/what-is-an-initial-access-broker

## Was ist eine Web Shell?

Eine Web Shell ist ein kleines schädliches Skript auf einem Webserver, meist über eine Schwachstelle in einer Anwendung zum Internet platziert, mit dem ein Angreifer über gewöhnliche Webanfragen Befehle auf dem Server ausführen kann. Sie ist ein gängiger Weg, den Zugang zu ausgenutzten Systemen wie Dateitransferservern, Mailservern oder Content-Management-Systemen zu behalten, und geht im normalen Webverkehr unter. Anzeichen sind neue oder geänderte Skriptdateien in Webverzeichnissen, Webserver-Prozesse, die Kommandozeilen starten, und der Server selbst, der sich plötzlich mit dem Internet oder mit internen Rechnern verbindet, mit denen er nie gesprochen hat. Patchen Sie Anwendungen zum Internet zügig, überwachen Sie Webverzeichnisse auf Änderungen und begrenzen Sie, was der Webserver erreichen kann. Die Datei ist auf dem Host sichtbar; NetSenX sieht das folgende Netzverhalten, etwa einen öffentlich erreichbaren Server, der das interne Netz scannt oder ungewöhnliche Mengen nach außen sendet, in jedem Plan.

https://netsenx.com/de/faq/what-is-a-web-shell

## Was ist Protokoll-Tunneling?

Protokoll-Tunneling heißt, eine Art von Verkehr in einer anderen zu verstecken, damit er Firewalls passiert und harmlos aussieht: Befehle oder gestohlene Daten, verpackt in DNS-Abfragen, gewöhnliche Webanfragen, ICMP-Pings oder eine SSH-Verbindung. Angreifer nutzen es, um einen Steuerkanal offen zu halten, wenn direkte Verbindungen blockiert sind, oder um über einen einzigen kompromittierten Host interne Systeme zu erreichen. Es zeigt sich an Protokollen, die sich seltsam verhalten: DNS-Abfragen mit langen Zufallsnamen, Pings mit weit mehr Daten als üblich, eine SSH-Sitzung, die tagelang läuft und viele Daten bewegt, oder ein Host, der Verbindungen für andere weiterleitet. Begrenzen Sie, welche Protokolle von welchen Hosts das Netz verlassen dürfen, und zwingen Sie DNS über Ihre eigenen Resolver. NetSenX erkennt DNS-Tunneling sowie Beaconing und ungewöhnliche ausgehende Mengen in jedem Plan; es entschlüsselt nie Verkehr, ein verschlüsselter Tunnel wird also nach seinem Muster beurteilt.

https://netsenx.com/de/faq/what-is-protocol-tunnelling

## Warum nutzen Angreifer legitime Fernzugriffswerkzeuge?

Weil sie vertrauenswürdig wirken. Fernwartungs- und Fernverwaltungswerkzeuge sind signiert, weit verbreitet und an Firewalls freigegeben, der Virenschutz meldet sie deshalb selten, und ihr Verkehr geht wie jede legitime Sitzung in die Cloud des Herstellers. Angreifer installieren sie nach dem Eindringen oder missbrauchen vorhandene, um einen Zugang zu behalten, der eine Passwortänderung übersteht. Die CISA-Warnungen zu Gruppen wie Akira und Medusa beschreiben genau diese Nutzung von Fernzugriffssoftware. Führen Sie eine Liste der Werkzeuge, die Ihr Unternehmen tatsächlich nutzt, blockieren Sie die Installation anderer, verlangen Sie Multi-Faktor-Authentifizierung (MFA) für die erlaubten und entfernen Sie die, die niemand braucht. Im Netz zeigt sich ein unerwartetes Werkzeug als Host, der sich regelmäßig mit einem Fernzugriffsanbieter verbindet, den er nie genutzt hat. NetSenX erkennt solche neuen regelmäßigen Meldungen in jedem Plan als Beaconing; ob ein Werkzeug genehmigt ist, entscheiden Sie.

https://netsenx.com/de/faq/why-do-attackers-use-legitimate-remote-access-tools

## Was ist Wiper-Schadsoftware?

Ein Wiper zerstört Daten, statt sie für Lösegeld festzuhalten: Er überschreibt Dateien, Festplattenstrukturen oder Firmware, sodass Systeme nicht mehr starten oder Daten sich nicht wiederherstellen lassen. Er dient der Sabotage, manchmal getarnt als Ransomware mit einer Lösegeldforderung, die ins Leere führt, und Unternehmen können als Kollateralschaden getroffen werden, wenn er sich über gemeinsame Lieferanten oder Netze ausbreitet. Weil es nichts zu verhandeln gibt, sind Offline-Backups und ein getesteter Wiederherstellungsplan die einzige echte Antwort. Die Schritte vor dem Löschen ähneln anderen Einbrüchen: Zugang, Command and Control, Bewegung zu vielen Rechnern, manchmal über zentrale Verwaltungswerkzeuge, die den Wiper gleichzeitig überall verteilen. NetSenX erkennt das Löschen selbst nicht, es geschieht auf Hosts; es beobachtet die früheren Schritte, etwa Beaconing, Scans und laterale Bewegung, in jedem Plan.

https://netsenx.com/de/faq/what-is-wiper-malware

## Was ist Cryptojacking, und können wir es im Netz sehen?

Cryptojacking heißt, dass Kriminelle Ihre Rechner, Server oder Cloud-Konten nutzen, um auf eigene Rechnung Kryptowährung zu schürfen. Daten werden dabei selten gestohlen, aber es kostet Strom und Cloud-Ausgaben, bremst Systeme, verschleißt Hardware und zeigt, dass jemand einen Weg hinein hat, oft über einen ungepatchten Server zum Internet oder gestohlene Cloud-Schlüssel. Auf dem Host zeigt es sich als anhaltend hohe Prozessorlast durch einen unbekannten Prozess. Im Netz halten Miner eine langlebige Verbindung zu einem Mining-Pool, oft auf ungewöhnlichen Ports, mit kleinen regelmäßigen Nachrichten in beide Richtungen rund um die Uhr. Sperren Sie bekannte Mining-Pool-Ziele an der Firewall, wo das möglich ist, achten Sie auf unerklärliche Rechenleistung in Cloud-Rechnungen und patchen Sie Server zum Internet. NetSenX erkennt regelmäßige, dauerhafte Verbindungen zu einem neuen externen Ziel in jedem Plan als Beaconing; die Prozessorlast ist Sache der Endpunkt- oder Cloud-Überwachung.

https://netsenx.com/de/faq/what-is-cryptojacking

FAQ: https://netsenx.com/de/faq