# Lässt sich Schadsoftware allein an Flow-Statistiken erkennen?

Oft ja, denn Schadsoftware muss sich auf bestimmte Weise verhalten, um nützlich zu sein, und dieses Verhalten zeigt sich in den Flows. Flow-Datensätze beschreiben jede Verbindung: Quelle und Ziel, Ports, Startzeit, Dauer sowie Bytes und Pakete in jede Richtung. Ein kompromittiertes Gerät, das sich in regelmäßigen Abständen bei seinem Steuerserver meldet, erzeugt einen erkennbaren Rhythmus, das Beaconing; eines, das das Netz erkundet, berührt in kurzer Zeit viele interne Hosts und Ports, also Scans und laterale Bewegung; eines, das Daten stiehlt, sendet weit mehr als sonst, oft nachts. Nichts davon braucht Entschlüsselung, und die Forschung zur Analyse verschlüsselten Verkehrs zeigt seit Jahren, dass Zeit- und Größenmuster viel Information tragen. Die Grenzen: Eine einzelne Verbindung zu einem bekannten Cloud-Dienst kann harmlos aussehen, und geduldige Angreifer versuchen, unauffällig zu bleiben. Deshalb funktioniert Flow-Analyse am besten gegen eine Basislinie dessen, was für jedes Gerät normal ist. NetSenX erkennt Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Datenvolumen in jedem Plan, auch im Free-Plan.

FAQ: [Verschlüsselung und verschlüsselter Verkehr](https://netsenx.com/de/faq/encryption) · https://netsenx.com/de/faq/can-malware-be-detected-from-flow-statistics

## Weiterlesen

- https://netsenx.com/de/encrypted-traffic-analysis
- https://netsenx.com/de/what-is-ndr

## Verwandte Fragen

- [Kann verschlüsselter Verkehr verraten, was darin steckt?](https://netsenx.com/de/faq/can-encrypted-traffic-reveal-what-is-inside)
- [Sind Netzwerk-Metadaten personenbezogene Daten nach der DSGVO?](https://netsenx.com/de/faq/is-network-metadata-personal-data-under-gdpr)
- [Kann man sich über eine HTTPS-Website Schadsoftware einfangen?](https://netsenx.com/de/faq/can-you-get-malware-from-an-https-website)
- [Kann HTTPS-Verkehr durch einen Man-in-the-Middle abgefangen werden?](https://netsenx.com/de/faq/can-https-traffic-be-intercepted)
- [Was ist JA4-TLS-Fingerprinting?](https://netsenx.com/de/faq/what-is-ja4-tls-fingerprinting)