Was ist…? Netzwerk- und Sicherheitsbegriffe

Eine Firewall ist ein Gerät oder Programm, das nach festgelegten Regeln entscheidet, welche Netzwerkverbindungen erlaubt sind, und den Rest blockiert. Sie sitzt meist zwischen Ihrem Büronetz und dem Internet und manchmal zwischen internen Segmenten, etwa zwischen Büro-PCs und Produktionsmaschinen. Eine Regel kann lauten: Rechner im Büro dürfen das Internet über Web-Ports erreichen, aber niemand von außen den Dateiserver. Eine Firewall ist unverzichtbar, prüft Verbindungen aber nur gegen ihre Regeln; einen Eindringling, der eine erlaubte Verbindung nutzt, bemerkt sie nicht. Netzwerkerkennung beobachtet, was innerhalb dieser erlaubten Verbindungen geschieht.

Ein Router ist das Gerät, das ein Netz mit einem anderen verbindet und den Verkehr dazwischen weiterleitet, meist Ihr Büronetz mit dem Internet. Er entscheidet, wohin jedes Datenpaket als Nächstes geht, ähnlich einem Briefverteilzentrum. In kleinen Büros übernimmt der Router oft auch die Rolle der Firewall, des WLAN-Zugangspunkts und des Geräts, das Rechnern Adressen zuteilt. Weil alles, was Ihr Netz verlässt, durch ihn läuft, ist er sicherheitsrelevant: Halten Sie seine Software aktuell, ändern Sie das Standardpasswort des Administrators, schalten Sie die Fernverwaltung aus dem Internet ab und prüfen Sie ab und zu die Liste der verbundenen Geräte.

Ein Netzwerk-Switch ist das Gerät mit vielen Anschlüssen, das Rechner, Drucker und Server in einem Büro miteinander verbindet und jeden Verkehr nur an das Gerät schickt, für das er bestimmt ist. Nicht verwaltete Switches funktionieren einfach nach dem Einstecken. Verwaltete Switches lassen sich konfigurieren: Sie können das Netz in getrennte Segmente (VLANs) aufteilen und Verkehr auf einen Überwachungsport kopieren, eine Funktion namens Port-Spiegelung oder SPAN. Über diese Kopie sieht ein Netzwerksensor den Verkehr zwischen Geräten, ohne im Weg zu stehen. Wenn Sie Netzwerküberwachung planen, prüfen Sie, ob Ihr Hauptswitch verwaltet ist.

Ein VLAN (Virtual Local Area Network) ist eine Möglichkeit, ein physisches Netz über Switch-Einstellungen in mehrere getrennte Netze aufzuteilen, sodass Geräte in einem VLAN nicht direkt mit Geräten in einem anderen sprechen können. Ein Unternehmen kann Büro-PCs, Gäste-WLAN, Kartenterminals und Kameras in verschiedene VLANs legen und nur die Verbindungen erlauben, die jede Gruppe braucht. Das begrenzt, wie weit sich eine Infektion ausbreitet. Ein VLAN ist nur so gut wie die Regeln zwischen den VLANs, meist auf Router oder Firewall eingestellt, und diese Regeln verschieben sich mit der Zeit. Den Verkehr zwischen Segmenten zu beobachten zeigt, ob die geplante Trennung wirklich hält.

Eine IP-Adresse (Internet Protocol) ist die Nummer, die ein Gerät im Netz kennzeichnet, damit Daten zu ihm gelangen, wie eine Postanschrift für Rechner. Im Büro haben Geräte meist private Adressen wie 192.168.1.20, die aus dem Internet nicht direkt erreichbar sind; der Router hat eine öffentliche Adresse, die die Außenwelt sieht. Adressen können sich ändern, wenn sich ein Gerät neu verbindet, deshalb erfassen Sicherheitswerkzeuge auch den Gerätenamen oder die Hardwareadresse. Nennt ein Alarm eine IP-Adresse, ist der erste Schritt meist herauszufinden, welches Gerät diese Adresse zu diesem Zeitpunkt hatte.

Eine MAC-Adresse (Media Access Control) ist eine Hardwarekennung, die in jede Netzwerkschnittstelle eingebaut ist, etwa in den WLAN- oder Kabelanschluss eines Laptops, geschrieben als sechs Zeichenpaare wie 3C:22:FB:1A:4D:90. Geräte im selben lokalen Netz nutzen sie, um einander Daten zuzustellen. Anders als die IP-Adresse ändert sie sich bei einer neuen Verbindung meist nicht und hilft daher, ein Gerät über die Zeit wiederzuerkennen, auch wenn moderne Telefone und Laptops im WLAN aus Datenschutzgründen oft zufällige MAC-Adressen verwenden. Netzwerkinventare nutzen MAC-Adressen zusammen mit Gerätenamen, um Geräte zu unterscheiden.

DHCP (Dynamic Host Configuration Protocol) ist der Dienst, der jedem Gerät beim Verbinden automatisch eine IP-Adresse und grundlegende Netzwerkeinstellungen gibt, damit niemand sie von Hand eintragen muss. In kleinen Büros übernimmt das meist der Router, in größeren Unternehmen ein Server. Der DHCP-Server führt eine Liste, welches Gerät wann welche Adresse erhalten hat, die sogenannten Leases. Diese Liste ist sicherheitsrelevant: Sie hilft herauszufinden, welches Gerät eine in einem Alarm genannte Adresse hatte, und sie zeigt Geräte, von deren Anschluss Sie nichts wussten. Bewahren Sie diese Aufzeichnungen so lange auf, wie eine Untersuchung sie brauchen könnte.

DNS (Domain Name System) ist das Verzeichnis des Internets: Es übersetzt Namen wie netsenx.com in die IP-Adressen, die Rechner für eine Verbindung brauchen. Jedes Mal, wenn jemand eine Website öffnet oder eine Anwendung einen Server kontaktiert, findet meist zuerst eine DNS-Abfrage statt. Das macht DNS für die Sicherheit nützlich: Die Namen, die ein Gerät abfragt, zeigen, wohin es will, auch zu einem Schadsoftware-Server oder einem nicht freigegebenen KI-Dienst. Angreifer missbrauchen DNS ebenfalls, etwa indem sie Daten in Abfragen verstecken, was DNS-Tunneling heißt. DNS über eigene Resolver zu leiten und deren Logs aufzubewahren hilft bei Untersuchungen.

NAT (Network Address Translation) ist die Technik, mit der ein Router vielen Geräten mit privaten Adressen erlaubt, sich eine öffentliche Internetadresse zu teilen. Verbindet sich ein PC in Ihrem Büro mit einer Website, ersetzt der Router die private Adresse des PCs durch seine eigene öffentliche und merkt sich, welche Antwort zu welchem Gerät gehört. Durch NAT sind Ihre Bürogeräte standardmäßig nicht direkt aus dem Internet erreichbar, was hilft, doch NAT ist keine Firewall: Portweiterleitungen können bewusst einen Weg nach innen öffnen. Für Untersuchungen bedeutet NAT, dass Außenstehende nur die Adresse des Routers sehen; welches interne Gerät es war, müssen Ihre eigenen Logs zeigen.

Ein Netzwerkport ist eine Nummer, die angibt, für welchen Dienst auf einem Gerät eine Verbindung bestimmt ist, sodass ein Rechner zugleich Webserver, Mailserver und Fernzugang betreiben kann. Übliche Beispiele: Port 443 für sichere Websites, 22 für Fernverwaltung per SSH, 3389 für Remote Desktop und 445 für Dateifreigaben. Ein Port gilt als offen, wenn ein Dienst auf ihm lauscht. Offene, aus dem Internet erreichbare Ports sind ein häufiges Einfallstor, deshalb sollten Sie wissen, welche Sie haben. Ein Portscan bedeutet, dass jemand viele Ports prüft, um offene zu finden.

Ein Netzwerkpaket ist eine kleine Dateneinheit, die über ein Netz gesendet wird; größere Nachrichten, Dateien und Webseiten werden in viele Pakete zerlegt und am anderen Ende wieder zusammengesetzt. Jedes Paket hat einen Kopf, wie der Umschlag eines Briefes, mit Absender- und Empfängeradresse und Ports, und einen Inhalt. Verschlüsselung schützt den Inhalt, doch ein großer Teil des Kopfes bleibt lesbar, damit das Netz das Paket zustellen kann. Sicherheitswerkzeuge, die Pakete erfassen, können diese Köpfe und einige unverschlüsselte Protokollfelder lesen; NetSenX tut das, wo Paketerfassung eingeschaltet ist, und entschlüsselt den Inhalt nie.

Ein Netzwerkprotokoll ist ein vereinbartes Regelwerk dafür, wie Geräte Daten austauschen, damit sich Technik verschiedener Hersteller versteht. Manche Protokolle transportieren Daten (TCP und UDP), manche finden Adressen (DHCP, ARP), übersetzen Namen (DNS), schützen Daten (TLS) oder dienen bestimmten Zwecken, wie SSH für Fernverwaltung, SMB für Dateifreigaben oder Modbus für Industriemaschinen. Sicherheitswerkzeuge erkennen Protokolle, um zu verstehen, was eine Verbindung tut. Ein unerwartetes Protokoll, etwa Fernverwaltungsverkehr von einem Drucker oder Industriebefehle von einem Büro-Laptop, ist oft ein Hinweis, dem man nachgehen sollte.

Ein Subnetz ist ein Bereich von IP-Adressen, der einen Abschnitt eines Netzes bildet, etwa 192.168.10.0 bis 192.168.10.255 für das Büro und ein anderer Bereich für die Server. Ein Netz in Subnetze aufzuteilen, meist zusammen mit VLANs, gruppiert Geräte und lässt Router oder Firewall den Verkehr zwischen den Gruppen steuern. Administratoren schreiben Subnetze in einer Kurzform wie 192.168.10.0/24, wobei die Zahl nach dem Schrägstrich angibt, wie groß der Bereich ist. In Sicherheitsberichten bedeutet ein Scan eines Subnetzes, dass ein Gerät an viele Adressen in diesem Bereich geklopft hat, oft ein Zeichen dafür, dass jemand das Netz kartiert.

Ein LAN (Local Area Network) ist das Netz innerhalb eines Gebäudes oder Standorts, das dessen Rechner, Drucker und Server verbindet. Ein WAN (Wide Area Network) verbindet Netze über Entfernungen, etwa mehrere Büros desselben Unternehmens oder einen Standort mit dem Internet. Verkehr innerhalb des LAN läuft oft nie über die Firewall am Internetrand, sodass eine Firewall allein nicht sieht, wie ein kompromittierter PC den Dateiserver nebenan angreift. Diesen internen Verkehr, manchmal Ost-West-Verkehr genannt, beobachtet Netzwerkerkennung an einem Spiegelport. Verbindungen zwischen Standorten, oft VPNs, verdienen dieselbe Aufmerksamkeit.

Ein Proxyserver ist ein Vermittler, der Verbindungen im Auftrag anderer Geräte aufbaut: Ein Rechner bittet den Proxy um eine Webseite, und der Proxy holt sie. Unternehmen nutzen Proxys, um Websites zu filtern, Webzugriffe zu protokollieren oder Inhalte zwischenzuspeichern. Manche Proxys prüfen verschlüsselten Verkehr, indem sie ihn entschlüsseln und neu verschlüsseln, was ein Unternehmenszertifikat auf jedem Gerät erfordert und Datenschutzfragen aufwirft. Auch Angreifer nutzen Proxys, um die Herkunft ihres Verkehrs zu verschleiern. Sieht ein Netzwerksensor Verbindungen, die sich bei einem unerwarteten Proxy oder Anonymisierungsdienst häufen, hat er etwas Prüfenswertes gefunden. NetSenX entschlüsselt nie Verkehr und arbeitet nicht als Proxy.

Ein Netzwerk-TAP (Test Access Point) ist ein kleines Hardwaregerät an einem Netzwerkkabel, das den gesamten durchlaufenden Verkehr auf einen Überwachungsport kopiert, ohne den ursprünglichen Verkehr zu verändern oder zu verzögern. Es erfüllt dieselbe Aufgabe wie ein Spiegelport an einem verwalteten Switch, funktioniert aber an jedem Kabel und verliert keine Pakete, wenn der Switch ausgelastet ist. TAPs sind verbreitet, wo Switches nicht verwaltet sind, in Industrienetzen oder wenn ein Prüfer eine unabhängige Kopie möchte. Mit NetSenX beobachtet ein Agent auf einem Host an einem TAP das ganze Segment und zählt als ein Gerät.

NetFlow und ähnliche Formate wie IPFIX und sFlow sind Zusammenfassungen von Netzwerkverbindungen, die Router und Switches exportieren können: wer mit wem gesprochen hat, über welche Ports, wann und wie viele Bytes und Pakete. Ein Flussdatensatz ist wie eine Telefonrechnung: Er listet Anrufe auf, nicht das Gesagte. Flussdaten helfen bei der Kapazitätsplanung und beim Erkennen ungewöhnlicher Volumen oder Ziele, und sie sind günstiger zu speichern als der vollständige Verkehr. Details wie DNS-Antworten oder den TLS-Handshake übersehen sie. NetSenX liest seine eigene Kopie des Verkehrs von einem Agenten oder Spiegelport, statt sich nur auf exportierte Flussdatensätze zu verlassen.

ARP (Address Resolution Protocol) ist das Verfahren, mit dem Geräte im lokalen Netz die Hardwareadresse zu einer IP-Adresse finden, etwa um Verkehr an den Router zu liefern. Weil ARP jeder eingehenden Antwort vertraut, kann ein Angreifer im selben Netz falsche Antworten senden und sich als Router oder anderes Gerät ausgeben. Das ist ARP-Spoofing, und es erlaubt dem Angreifer, durchlaufenden Verkehr mitzulesen oder zu verändern, eine Form des Man-in-the-Middle-Angriffs. Verwaltete Switches haben Schutzfunktionen dagegen. NetSenX meldet ARP-Spoofing ab dem Pro-Plan in den Segmenten, die es überwacht.

TCP (Transmission Control Protocol) und UDP (User Datagram Protocol) sind die beiden wichtigsten Arten, wie Daten durch Netze reisen. TCP baut eine Verbindung auf, nummeriert die Pakete und sendet verlorene erneut, sodass alles vollständig und in der richtigen Reihenfolge ankommt; Websites, E-Mail und Dateiübertragungen nutzen es. UDP schickt Pakete einfach ohne Prüfung, was schneller ist und zu Sprachanrufen, Video, DNS-Abfragen und einem Teil des neueren Webverkehrs passt. Für Sicherheitswerkzeuge zählt der Unterschied: Eine TCP-Verbindung hat einen klaren Anfang und ein klares Ende, UDP-Verkehr muss das Werkzeug selbst gruppieren. Scans und Fluten können beide nutzen.

ICMP (Internet Control Message Protocol) überträgt Steuer- und Fehlermeldungen zwischen Geräten, etwa Host nicht erreichbar. Ping ist das einfachste Werkzeug, das es nutzt: Es schickt eine kurze Nachricht an eine Adresse und wartet auf eine Antwort, um zu prüfen, ob ein Gerät erreichbar ist und wie schnell. Administratoren nutzen Ping täglich. Angreifer auch, um vor einem Scan herauszufinden, welche Adressen aktiv sind, und Fluten von ICMP-Nachrichten können eine Leitung oder ein Gerät überlasten. Viele Firewalls begrenzen ICMP aus dem Internet. NetSenX meldet ICMP-Fluten in jedem Plan.

SMB (Server Message Block) ist das Protokoll, das die meisten Büronetze für Datei- und Druckerfreigaben nutzen, etwa wenn Sie ein Dokument auf einem Netzlaufwerk öffnen. Weil es Zugriff auf Unternehmensdaten gibt und auch zur Fernverwaltung dient, stützen sich Angreifer stark darauf, sobald sie im Netz sind: um Daten zu kopieren, sich auf andere Maschinen auszubreiten und bei Ransomware-Angriffen Dateien auf Freigaben zu verschlüsseln. SMB sollte nie aus dem Internet erreichbar sein. Im Netz ist ein Arbeitsplatzrechner, der plötzlich SMB-Sitzungen zu vielen Servern öffnet, ein klassisches Zeichen lateraler Bewegung, das NetSenX in jedem Plan markiert.

Ein Domänencontroller ist der Server, der in vielen Unternehmensnetzen Anmeldungen prüft und die zentrale Liste von Benutzern, Rechnern und Berechtigungen führt, typischerweise mit Microsofts Active Directory. Meldet sich jemand an einem Firmenrechner an, bestätigt der Domänencontroller, wer die Person ist und worauf sie zugreifen darf. Das macht ihn zum wertvollsten Ziel eines Angreifers: Wer ihn kontrolliert, kontrolliert die Konten des Unternehmens. Schützen Sie ihn mit getrennten Administratorkonten, möglichst mit Mehrfaktor-Authentifizierung und mit engem Netzwerkzugriff. Ein Arbeitsplatzrechner, der plötzlich auf ungewöhnliche Weise mit dem Domänencontroller spricht, verdient eine Prüfung.

NTP (Network Time Protocol) hält die Uhren von Rechnern und Netzwerkgeräten mit einer genauen Zeitquelle synchron. Das klingt nebensächlich, doch jedes Log, jeder Alarm und jede Vorfallschronologie hängt davon ab. Geht die Firewall fünf Minuten vor, der Server zwei Stunden nach und hat ein Kamerarekorder das falsche Jahr, kann niemand rekonstruieren, was in welcher Reihenfolge geschah, und Belege für Versicherer, Prüfer oder Behörden werden schwach. Richten Sie alle Geräte auf dieselbe zuverlässige Zeitquelle aus, prüfen Sie gelegentlich, ob sie übereinstimmen, und halten Sie fest, welche Zeitzone Ihre Logs nutzen. Es ist eine der günstigsten Sicherheitsmaßnahmen überhaupt.

Syslog ist ein seit Langem etablierter Standard, um Logmeldungen von Geräten wie Firewalls, Switches, Routern und Servern an einen zentralen Ort zu senden. Statt dass jedes Gerät ein eigenes kleines Log führt, das nach wenigen Tagen überschrieben wird, schicken alle ihre Meldungen an einen Logserver oder ein SIEM (Security Information and Event Management). Zentrale Logs kann ein Angreifer schwerer löschen, und sie lassen sich leichter durchsuchen, wenn Sie wissen müssen, was geschah. Prüfen Sie, ob Ihre wichtigen Geräte Syslog irgendwohin senden, ob die Uhren stimmen und ob der Speicher genug Historie für eine Untersuchung aufbewahrt.

SNMP (Simple Network Management Protocol) erlaubt Administratoren, Netzwerkgeräte wie Switches, Drucker und Router zu überwachen und manchmal zu konfigurieren: ihren Zustand, Verkehrszähler und Einstellungen. Es ist sehr verbreitet und sehr alt. Ältere Versionen schützen den Zugriff nur mit einem gemeinsamen Wort, dem Community String, oft auf dem Standardwert public oder private belassen, sodass jeder im Netz Geräteeinstellungen lesen oder sogar ändern kann. Nutzen Sie nach Möglichkeit SNMP Version 3 mit richtigen Zugangsdaten, ändern Sie Standardwerte und beschränken Sie, welche Hosts Geräte abfragen dürfen. SNMP-Verkehr von einem unerwarteten Host kann darauf hindeuten, dass jemand das Netz kartiert.

Ein Endpunkt ist ein Gerät am Ende einer Netzwerkverbindung, das Menschen oder Programme direkt nutzen: Laptops, Desktop-PCs, Server, Telefone und Tablets, manchmal auch Drucker oder Terminals. Endpunktsicherheit ist der Schutz, der auf diesen Geräten installiert wird, vom Virenschutz bis zum EDR (Endpoint Detection and Response). Der Begriff ist wichtig, weil viele Sicherheitsprodukte nur Endpunkte abdecken. Geräte, auf denen solche Software nicht läuft, etwa Kameras, Gebäudesteuerungen oder Industriemaschinen, sind dadurch nicht geschützt, ebenso wenig ein Endpunkt, dessen Schutz abgeschaltet wurde. Netzwerkerkennung beobachtet sie alle über ihren Verkehr.

Im Netzwerk ist ein Host jedes Gerät mit einer Adresse, das Verkehr sendet oder empfängt: ein PC, ein Server, ein Drucker, ein Telefon, eine Kamera oder eine virtuelle Maschine. Sicherheitswerkzeuge sprechen von Hosts statt von Rechnern, weil an Angriffen oft Geräte beteiligt sind, die niemand für Rechner hält. Sagt ein Alarm, ein Host betreibe Beaconing oder Scans, ist die erste Aufgabe herauszufinden, welches physische oder virtuelle Gerät es ist und wem es gehört. In der Preisgestaltung von NetSenX bedeutet ein Gerät einen Host, auf dem der NetSenX-Agent läuft; ein Agent an einem Spiegelport beobachtet jeden Host in diesem Segment.

Eine DMZ (demilitarisierte Zone) ist ein eigenes Netzwerksegment für Server, die aus dem Internet erreichbar sein müssen, etwa ein öffentlicher Webserver, ein Mail-Gateway oder ein Fernzugangs-Gateway, getrennt vom internen Netz. Wird einer dieser exponierten Server kompromittiert, begrenzen die Firewall-Regeln zwischen DMZ und internem Netz, was der Angreifer als Nächstes erreichen kann. Die Idee ist einfach: Was zum Internet zeigt, sollte nicht neben Ihrem Dateiserver stehen. Beobachten Sie Verkehr aus der DMZ zu internen Systemen genau; ein DMZ-Server, der neue Sitzungen nach innen aufbaut, ist ein starkes Warnzeichen.

Ingress-Verkehr sind Daten, die von außen in Ihr Netz kommen; Egress-Verkehr sind Daten, die es verlassen. Traditionell fließt der meiste Aufwand in den eingehenden Verkehr, also darin, Angreifer an der Tür abzuwehren. Der ausgehende Verkehr verdient ebenso viel Aufmerksamkeit, denn fast jeder Angriff muss etwas nach außen senden: Schadsoftware, die ihren Steuerserver anruft, gestohlene Daten, die hochgeladen werden, oder Mitarbeitende, die Firmendateien an nicht freigegebene Dienste schicken. Einfache Regeln für ausgehenden Verkehr, etwa ausgehendes DNS nur von eigenen Resolvern zu erlauben, helfen bereits. NetSenX beobachtet ausgehenden Verkehr genau: Beaconing zu externen Servern und ungewöhnliches ausgehendes Datenvolumen lösen in jedem Plan Alarme aus.

Nord-Süd-Verkehr fließt zwischen Ihrem Netz und der Außenwelt, etwa von einem Büro-PC ins Internet; Ost-West-Verkehr fließt zwischen Geräten innerhalb Ihres Netzes, etwa von einem PC zum Dateiserver. Die Firewall am Rand sieht Nord-Süd-Verkehr, meist aber nicht Ost-West. Ist ein Angreifer einmal drin, ist der Großteil seiner Arbeit Ost-West: Scans, Anmeldungen auf anderen Maschinen, das Kopieren von Daten auf einen Zwischenserver. Deshalb zeigt sich laterale Bewegung im internen Verkehr, gesehen von einem Spiegelport innerhalb des Netzes. NetSenX beobachtet beide Richtungen in den Segmenten, die es überwacht.

Bandbreite ist, wie viele Daten eine Verbindung pro Sekunde transportieren kann, wie die Breite einer Straße; Latenz ist, wie lange Daten unterwegs sind, wie die Fahrzeit. Ein Videoanruf braucht mäßige Bandbreite und niedrige Latenz; ein nächtliches Backup braucht Bandbreite, verträgt aber Latenz. Beides zählt für die Sicherheit auf zwei Arten. Ein plötzlicher Anstieg der ausgehenden Bandbreite eines Geräts kann Datendiebstahl oder eine Schadsoftware-Infektion bedeuten. Und Sicherheitswerkzeuge, die im Verkehrsweg sitzen, können Latenz hinzufügen, passive Sensoren an einem Spiegelport dagegen nicht, weil sie nur eine Kopie erhalten.

WPA2 und WPA3 (Wi-Fi Protected Access, Versionen 2 und 3) sind die Sicherheitsstandards, die WLAN-Verkehr verschlüsseln und regeln, wer einem Funknetz beitreten darf. WPA3 ist neuer und schützt besser gegen das Erraten von Passwörtern. Nutzen Sie im Büro WPA2 oder WPA3 mit einem starken Passwort, besser noch den Enterprise-Modus, in dem sich jede Person mit eigenem Konto anmeldet, sodass sich der Zugang eines ausscheidenden Mitarbeiters entfernen lässt, ohne das Passwort für alle zu ändern. Halten Sie Gäste in einem eigenen Netz, das interne Geräte nicht erreicht. Alte Standards wie WEP und WPA sollten nicht mehr verwendet werden.

Eine API (Application Programming Interface) ist eine festgelegte Art, wie ein Programm mit einem anderen spricht, etwa damit Ihre Buchhaltungssoftware Banktransaktionen abruft oder ein Ticketsystem Sicherheitsalarme empfängt. APIs sind meist durch Schlüssel oder Token geschützt, die wie Passwörter für Programme wirken. Diese Schlüssel sind für Angreifer wertvoll; bewahren Sie sie daher sicher auf, geben Sie jedem nur die nötigen Rechte, tauschen Sie sie regelmäßig aus und entfernen Sie sie, wenn eine Integration nicht mehr genutzt wird. NetSenX bietet API-Zugriff ab dem Pro-Plan, sodass Alarme und Daten in Ihre eigenen Werkzeuge fließen können.

Single Sign-on (SSO) erlaubt es, sich einmal mit einem Firmenkonto anzumelden und dann viele Anwendungen ohne eigenes Passwort für jede zu nutzen. Ein zentraler Identitätsanbieter prüft die Anmeldung, idealerweise mit Mehrfaktor-Authentifizierung, und teilt jeder Anwendung mit, wer die Person ist, oft über einen Standard wie SAML oder OpenID Connect. SSO ist gut für die Sicherheit, weil es weniger Passwörter zu stehlen gibt und ausscheidende Mitarbeitende überall zugleich den Zugang verlieren, sobald ihr Konto deaktiviert wird. Die Kehrseite: Das zentrale Konto wird sehr wertvoll und muss gut geschützt werden. In NetSenX gibt es SSO mit SAML im Enterprise-Plan.

NAC (Network Access Control) prüft Geräte, bevor sie ins Netz dürfen, etwa indem ein Switch-Port oder ein WLAN ein Firmenzertifikat, ein aktuelles Betriebssystem oder eine bekannte Hardwareadresse verlangt, bevor es sie einlässt. Unbekannte Geräte können abgewiesen oder in ein Gästenetz geschickt werden. NAC senkt das Risiko, dass sich jemand einfach an einer Wanddose einsteckt, beobachtet aber nicht, was zugelassene Geräte danach tun: Ein kompromittierter Firmenlaptop besteht die Prüfung. Netzwerkerkennung ergänzt NAC, indem sie das Verhalten beobachtet, sobald Geräte im Netz sind.

Malware ist jede Software, die geschrieben wurde, um einem Computer oder Netzwerk zu schaden: Daten stehlen, Dateien für ein Lösegeld verschlüsseln, Nutzer ausspähen oder einem Angreifer die Fernsteuerung geben. Viren, Würmer, Trojaner, Ransomware und Spyware sind alles Arten von Malware. Meist gelangt sie über einen E-Mail-Anhang, einen bösartigen Link, einen gefälschten Download oder einen ungepatchten, aus dem Internet erreichbaren Dienst ins Unternehmen. Virenschutz und EDR suchen auf jedem Rechner danach. Sobald Malware läuft, muss sie meist über das Netzwerk kommunizieren, mit ihrem Betreiber oder mit anderen Rechnern, und genau diesen Verkehr beobachtet ein Netzwerksensor wie NetSenX.

Alle drei sind Malware, verbreiten sich aber unterschiedlich. Ein Virus hängt sich an eine Datei oder ein Programm und verbreitet sich, wenn jemand diese Datei öffnet oder weitergibt. Ein Wurm verbreitet sich selbstständig über das Netzwerk, meist über eine Schwachstelle und ohne Zutun eines Nutzers, deshalb kann er in Minuten Hunderte Rechner infizieren. Ein Trojaner gibt sich als etwas Nützliches aus, etwa als Rechnung oder kostenloses Tool, sodass der Nutzer ihn freiwillig installiert; er kopiert sich nicht selbst, öffnet aber oft eine Hintertür. Für Verteidiger ist der Wurm im Netzwerk am lautesten, weil er schnell scannt und viele Rechner kontaktiert.

Ein DDoS-Angriff (Distributed Denial of Service) überflutet eine Website, einen Server oder eine Internetleitung mit so viel Verkehr aus so vielen Quellen, dass echte Nutzer nicht mehr durchkommen. Der Verkehr stammt meist aus einem Botnetz gekaperter Rechner, deshalb hilft es nicht, eine einzelne Adresse zu sperren. Solche Angriffe dienen oft der Erpressung oder sollen ein Sicherheitsteam ablenken, während etwas anderes passiert. Schutz bieten Ihr Internetanbieter, Ihr Hoster oder ein spezialisierter DDoS-Schutzdienst, die die Flut abfangen, bevor sie Sie erreicht. Ein Erkennungswerkzeug in Ihrem Netzwerk stoppt keinen DDoS-Angriff; es kann zeigen, ob Ihre eigenen Rechner an einem beteiligt sind.

Bei einem Brute-Force-Angriff werden Passwörter nacheinander ausprobiert, bis eines passt, etwa bei einem E-Mail-Login, einem VPN, einem Remote-Desktop oder einem SSH-Server. Moderne Varianten nutzen Listen geleakter Passwörter oder probieren ein gängiges Passwort an vielen Konten aus (Password Spraying), um Sperren zu umgehen. Die Abwehr ist bekannt: lange, einzigartige Passwörter, Zwei-Faktor-Authentifizierung, Kontosperre nach Fehlversuchen und keine Login-Dienste, die aus dem ganzen Internet erreichbar sind. Maßgeblich sind die Login-Protokolle des Dienstes selbst. Im Netzwerk bilden viele fehlgeschlagene Verbindungen zu einem Login-Dienst in kurzer Zeit ein sichtbares Muster, und NetSenX sucht in jedem Tarif danach, im Verkehr, den es sieht.

Ein Portscan prüft, welche Netzwerkports auf einem Rechner oder in einem Adressbereich offen sind, um herauszufinden, welche Dienste laufen, etwa Web, Dateifreigabe oder Remote-Desktop. Administratoren scannen ihre eigenen Netzwerke zur Inventarisierung. Angreifer scannen, um einen Weg hinein zu finden, und sobald sie drin sind, scannen sie erneut von innen, um das nächste Ziel zu suchen. Scans aus dem Internet treffen jede öffentliche Adresse den ganzen Tag und sind überwiegend Rauschen. Ein Scan, der von einem Rechner in Ihrem Netzwerk ausgeht, ist etwas anderes und oft eines der ersten sichtbaren Zeichen eines Eindringlings. NetSenX erkennt Scans in jedem Tarif.

Bei einem Man-in-the-Middle-Angriff schiebt sich der Angreifer heimlich zwischen zwei Parteien, die glauben, direkt miteinander zu kommunizieren, etwa zwischen einen Laptop und den Router oder zwischen einen Nutzer und eine Website. Von dort kann er den Verkehr mitlesen, Passwörter stehlen oder Übertragenes verändern. Übliche Methoden sind gefälschte WLAN-Hotspots, ARP-Spoofing im lokalen Netz und Tricks, die ein Gerät dem falschen Server vertrauen lassen. Verschlüsselung mit korrekt geprüften Zertifikaten, wie bei HTTPS, vereitelt die meisten Versuche. NetSenX meldet ARP-Spoofing ab dem Pro-Tarif und deckt damit die häufigste Form dieses Angriffs im lokalen Netz ab.

Eine Schwachstelle ist ein Fehler oder eine Lücke, die ein Angreifer nutzen kann, um etwas zu tun, was er nicht können sollte: eigenen Code ausführen, Daten lesen oder einen Login umgehen. Das kann ein Softwarefehler sein, ein nie geändertes Standardpasswort, ein falsch konfigurierter Dienst oder ein altes Protokoll, das noch eingeschaltet ist. Schwachstellen in verbreiteten Produkten erhalten öffentliche Kennungen und Schweregrade, sodass Sie prüfen können, ob Sie betroffen sind. Nicht jede ist gleich wichtig: Eine Lücke in einem aus dem Internet erreichbaren VPN-Gateway ist weit dringender als eine in einem Programm, das niemand erreichen kann. Der erste Schritt ist zu wissen, was Sie betreiben und was erreichbar ist.

Ein Exploit ist ein Stück Code oder eine Technik, die eine bestimmte Schwachstelle ausnutzt, um ein System zu dem zu bringen, was der Angreifer will. Die Schwachstelle ist das offene Fenster, der Exploit ist derjenige, der hindurchsteigt. Sobald ein Exploit für ein verbreitetes Produkt veröffentlicht ist, durchsuchen Angreifer oft innerhalb von Tagen, manchmal Stunden, das ganze Internet nach verwundbaren Systemen. Deshalb ist schnelles Patchen von Systemen mit Internetzugang so wichtig. Nach einem erfolgreichen Exploit baut der Angreifer meist neue Verbindungen auf, lädt Werkzeuge nach oder wechselt auf andere Rechner, und diese Aktivität kann im Netzwerk sichtbar sein, auch wenn der Exploit selbst es nicht war.

Ein Sicherheitspatch ist ein Update eines Software- oder Hardwareherstellers, das eine Schwachstelle behebt. Patches gibt es für Betriebssysteme, Browser, Bürosoftware, Firewalls, VPN-Gateways, Drucker und Industriegeräte. Sie zeitnah einzuspielen, gehört zu den wirksamsten Sicherheitsmaßnahmen überhaupt, weil die meisten Angriffe bekannte Schwachstellen nutzen und keine neuen. Patchen Sie zuerst die Systeme mit Internetzugang, dann alles andere nach einem festen Plan. Manche Systeme lassen sich nicht patchen, etwa alte Rechner, die eine Produktion steuern; sie brauchen anderen Schutz, zum Beispiel ein eigenes Netzsegment und die Überwachung dessen, womit sie kommunizieren.

Eine CVE (Common Vulnerabilities and Exposures) ist eine öffentliche Kennung für eine bekannte Sicherheitslücke, geschrieben etwa als CVE-2024-3400: das Jahr, dann eine Nummer. Die Liste wird von der MITRE Corporation mit Partnerorganisationen geführt, und die CVE-Nummer erlaubt Herstellern, Sicherheitsteams und Werkzeugen, über genau dasselbe Problem zu sprechen. Veröffentlicht ein Hersteller einen Sicherheitshinweis, nennt er die behobenen CVEs. Lesen Sie, dass eine CVE aktiv ausgenutzt wird, prüfen Sie, ob Sie das betroffene Produkt in der betroffenen Version einsetzen, und patchen Sie oder wenden Sie den Workaround des Herstellers an. Die EU betreibt außerdem eine eigene Schwachstellendatenbank, geführt von der ENISA.

CVSS (Common Vulnerability Scoring System) gibt einer Schwachstelle einen Schweregrad von 0 bis 10, abhängig davon, ob sie über das Netzwerk angreifbar ist, ob ein Login nötig ist und was ein Angreifer damit tun kann. Werte ab 9,0 gelten als kritisch. Der Score hilft beim Sortieren, beschreibt aber die Schwachstelle allgemein, nicht Ihre Lage. Eine kritische Lücke in einem System, das niemand erreicht, kann weniger wiegen als eine mittlere in Ihrem VPN mit Internetzugang. Verbinden Sie den Score mit zwei Fragen: Ist das bei uns erreichbar, und wird es bekanntermaßen gerade ausgenutzt?

Ein Zero-Day ist eine Schwachstelle, die Angreifer kennen und ausnutzen, bevor der Hersteller einen Patch veröffentlicht hat; Verteidiger hatten also null Tage Zeit zum Patchen. Zero-Days sind wertvoll und werden vor allem bei gezielten Angriffen eingesetzt, manche verbreiten sich später aber breit. Weil es keinen Patch und oft noch keine Signatur gibt, sehen Werkzeuge, die nur nach Bekanntem suchen, den Exploit selbst nicht. Was hilft, ist das, was danach passiert: Der kompromittierte Rechner verhält sich anders, baut Verbindungen zu neuen Zielen auf, scannt oder bewegt Daten. Verhaltensbasierte Erkennung im Netzwerk zielt auf diese Phase, und gute Backups sowie Segmentierung begrenzen den Schaden.

TTPs steht für Tactics, Techniques and Procedures (Taktiken, Techniken und Prozeduren): wie ein Angreifer vorgeht, nicht welche Datei oder Adresse er nutzt. Eine Taktik ist das Ziel, etwa hineinkommen, unentdeckt bleiben oder Daten stehlen. Eine Technik ist der Weg dorthin, etwa Passwörter stehlen oder sich mit Fernwartungswerkzeugen zwischen Rechnern bewegen. Prozeduren sind die konkreten Schritte einer bestimmten Gruppe. Das MITRE-ATT&CK-Framework ist der gemeinsame Katalog dieser Techniken. TTPs sind wichtig, weil Angreifer Adressen und Dateien leicht wechseln, ihre Gewohnheiten aber nur langsam ändern; Verhaltenserkennung hält deshalb länger als das Blockieren einer Liste bekannter Indikatoren.

Threat Intelligence sind Informationen über Angreifer und ihre Methoden, die Ihnen bei der Abwehr helfen: bekannte bösartige Adressen und Domains, Datei-Fingerabdrücke, Beschreibungen aktiver Kampagnen und der Branchen, auf die sie zielen. Sie stammen von Sicherheitsanbietern, nationalen CSIRTs, Branchenverbänden und öffentlichen Quellen. Am nützlichsten sind sie, wenn sie aktuell und für Sie relevant sind; eine Liste mit einer Million alter Adressen erzeugt vor allem Rauschen. Für ein kleines Unternehmen ist die praktische Form meist das, was in vorhandene Werkzeuge eingebaut ist, plus Warnungen des BSI oder Ihres nationalen CSIRT zu aktiv ausgenutzten Lücken. Sie ergänzt die Beobachtung des eigenen Netzwerks, ersetzt sie aber nicht.

Die Angriffsfläche ist alles, was ein Angreifer nutzen könnte, um hineinzukommen: Server mit Internetzugang, VPN-Gateways, E-Mail-Konten, Fernzugriffswerkzeuge, Cloud-Dienste, Telefone und Laptops der Belegschaft, Dienstleister mit Zugang und sogar ungenutzte offene Ports. Je größer sie ist, desto mehr gibt es zu verteidigen. Sie zu verkleinern ist oft billiger, als sie zu verteidigen: Schalten Sie ungenutzte Dienste ab, schließen Sie Fernzugänge, die aus dem ganzen Internet erreichbar sind, entfernen Sie alte Konten und beschränken Sie den Zugang von Dienstleistern. Eine gute erste Übung ist eine Liste dessen, was Sie ins Internet stellen; sie ist meist länger als erwartet.

Ein Threat Actor ist derjenige, der hinter einem Angriff steht: eine kriminelle Gruppe, ein staatlich unterstütztes Team, ein Hacktivist, eine Einzelperson oder ein Innentäter wie ein unzufriedener Mitarbeiter. Der Begriff wird verwendet, weil ein Mensch oder eine Gruppe die Entscheidungen trifft, nicht eine Software. Die meisten Angriffe auf kleine und mittlere Unternehmen kommen von kriminellen Gruppen, denen es um Geld geht, meist per Ransomware, Erpressung oder Rechnungsbetrug, und sie wählen ihre Opfer nach Gelegenheit, nicht nach Namen. Zu wissen, welche Akteure Ihre Branche angreifen, hilft bei der Frage, wo Sie zuerst investieren, doch die Grundschutzmaßnahmen sind für fast alle dieselben.

Eine APT (Advanced Persistent Threat) ist ein fähiger, gut ausgestatteter Angreifer, oft staatlich unterstützt, der gezielt bestimmte Organisationen angreift und lange unbemerkt im Netzwerk bleiben will, meist zur Spionage oder Sabotage. Advanced, weil er eigene Werkzeuge und sorgfältige Methoden nutzt; persistent, weil er immer wiederkommt. Ziele sind Behörden, Verteidigung, Energie und deren Zulieferer, und so geraten auch mittelständische Unternehmen ins Visier. Solche Angreifer meiden auffällige Malware und nutzen normale Admin-Werkzeuge, deshalb sind die Spuren vor allem Verhaltensmuster: ungewöhnliche Verbindungen zwischen internen Rechnern und leiser, regelmäßiger Kontakt zu externen Servern.

Ein False Positive ist ein Alarm zu etwas Harmlosem: Das Werkzeug meldet einen Angriff, aber es war ein Backup-Job oder eine neue Software. Ein False Negative ist ein Angriff, den das Werkzeug übersehen hat. Jedes Erkennungswerkzeug macht beide Arten von Fehlern, und sie ziehen in entgegengesetzte Richtungen: Machen Sie es empfindlicher, gibt es mehr Fehlalarme; machen Sie es leiser, übersehen Sie mehr. Zu viele False Positives sind auf ihre Weise gefährlich, weil Menschen aufhören, Alarme zu lesen. Fragen Sie beim Vergleich von Werkzeugen, wie sie mit Fehlalarmen umgehen und wie Sie einen markieren, statt einer einzelnen Genauigkeitszahl zu vertrauen.

Ein SOC (Security Operations Center) ist ein Team samt seinen Werkzeugen, das die Sicherheitsalarme einer Organisation beobachtet, untersucht und auf Vorfälle reagiert, oft rund um die Uhr. Große Unternehmen betreiben ein eigenes. Die meisten kleinen und mittleren Unternehmen können keines besetzen; sie kaufen den Dienst bei einem Managed-Security-Anbieter ein oder verlassen sich auf ein oder zwei IT-Leute, die Alarme während der Arbeitszeit prüfen. Welches Modell Sie auch haben: Die Werkzeuge sollten wenige Alarme erzeugen, auf die ein Mensch reagieren kann. NetSenX ist kein SOC-Dienst; es liefert Ihrem Team oder Ihrem Dienstleister die Netzwerkalarme mit ihrem Kontext.

Ein CSIRT (Computer Security Incident Response Team), auch CERT genannt, ist ein Team, das Sicherheitsvorfälle bearbeitet. Jedes EU-Land hat ein nationales CSIRT, in Deutschland ist es beim BSI angesiedelt. Nach der NIS2-Richtlinie melden betroffene Unternehmen erhebliche Vorfälle an ihr CSIRT oder die zuständige Behörde: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats. Nationale CSIRTs veröffentlichen auch Warnungen zu ausgenutzten Schwachstellen, die sich zu abonnieren lohnen. Große Unternehmen haben manchmal ein eigenes internes CSIRT. NetSenX verfolgt die NIS2-Meldefristen in jedem Tarif.

Ein Penetrationstest, kurz Pentest, ist ein autorisierter Angriff auf Ihre Systeme durch Sicherheitsfachleute, um Schwächen zu finden, bevor echte Angreifer es tun. Die Tester versuchen, aus dem Internet hineinzukommen, oder starten im internen Netzwerk, als wären sie ein Eindringling oder ein böswilliger Mitarbeiter, und berichten dann, was sie erreicht haben und wie es zu beheben ist. Ein Pentest ist eine Momentaufnahme eines Zeitpunkts und eines Umfangs, meist einige Tage Arbeit. Er lohnt sich einmal im Jahr oder nach größeren Änderungen. Er ist auch ein guter Test Ihrer Erkennung: Fragen Sie danach, ob und wann Ihre Werkzeuge die Tester bemerkt haben.

In Sicherheitsübungen spielt das Red Team den Angreifer und das Blue Team verteidigt. Eine Red-Team-Übung ist breiter als ein Penetrationstest: Sie verfolgt ein Ziel, etwa das Lesen der Finanzfreigabe, mit allen realistischen Mitteln und bleibt dabei verdeckt, prüft also Menschen und Prozesse ebenso wie Technik. Das Blue Team ist, wer erkennt und reagiert, oft das IT- oder Sicherheitsteam. Arbeiten beide Seiten offen zusammen und teilen, was funktioniert hat, spricht man von Purple Teaming. Die Angriffssimulation (Breach and Attack Simulation) von NetSenX im Business-Tarif führt sichere, simulierte Angriffsschritte aus, damit Sie prüfen können, was Ihre Erkennung bemerkt.

Ein Schwachstellenscan ist eine automatische Prüfung Ihrer Systeme gegen eine Datenbank bekannter Schwachstellen und schwacher Einstellungen, etwa fehlender Patches, Standardpasswörter oder veralteter Verschlüsselung. Ein Scanner betrachtet, was jeder Rechner preisgibt, und erstellt eine Liste von Befunden mit Schweregraden. Er ist billiger und häufiger als ein Penetrationstest, findet aber nur bekannte Probleme und kann nicht beurteilen, wie sie zusammenspielen. Scannen Sie regelmäßig von außen alles, was Sie ins Internet stellen, und intern mindestens alle paar Monate. Rechnen Sie mit vielen Befunden; beginnen Sie mit denen auf Systemen mit Internetzugang, die bekanntermaßen ausgenutzt werden.

Ein Honeypot ist ein Köder: ein falscher Server, ein Gerät oder ein Konto, das so eingerichtet ist, dass kein berechtigter Nutzer es je anfassen muss. Weil sich niemand damit verbinden sollte, ist jede Verbindung per Definition verdächtig, was einen Alarm mit fast keinen Fehlalarmen ergibt. Honeypots im Internet ziehen ständige Scans an und dienen vor allem der Erforschung von Angreiferverhalten. Im Firmennetz kann eine einfache Köder-Dateifreigabe oder eine falsche Login-Seite einen Eindringling erwischen, der sich umsieht. Honeypots müssen sorgfältig isoliert werden, damit sie nicht selbst zum Weg ins echte Netzwerk werden.

Eine Sandbox ist eine abgeschottete Umgebung, in der eine verdächtige Datei oder ein Link gefahrlos geöffnet werden kann, um zu sehen, was passiert, ohne echte Systeme zu gefährden. E-Mail-Sicherheitsdienste schicken Anhänge oft vor der Zustellung in eine Sandbox: Versucht die Datei, weiteren Code nachzuladen, Systemeinstellungen zu ändern oder seltsame Server zu kontaktieren, wird sie blockiert. Sandboxes fangen viel ab, aber Malware-Autoren kennen sie; manche Malware wartet, prüft, ob sie beobachtet wird, oder wird nur auf dem Rechner eines echten Nutzers aktiv. Deshalb ist die Sandbox eine Schicht unter mehreren, neben Endgeräteschutz und Netzwerkbeobachtung.

Eine Allowlist führt auf, was erlaubt ist, alles andere wird blockiert. Eine Denylist führt auf, was blockiert wird, alles andere ist erlaubt. Firewalls, E-Mail-Filter und Anwendungskontrollen nutzen beides. Allowlists sind strenger und sicherer, etwa wenn ein Produktionsrechner nur mit den drei Systemen sprechen darf, die er braucht, aber ihre Pflege kostet Arbeit. Denylists sind einfacher, stoppen aber nur, was schon als schädlich bekannt ist. Die Begriffe ersetzen die älteren Whitelist und Blacklist. In der Erkennung bedeutet Allowlist außerdem, bekannte harmlose Aktivität, etwa einen Backup-Server, zu markieren, damit sie keine Alarme mehr auslöst.

Ein IDS (Intrusion Detection System) beobachtet den Netzwerkverkehr und schlägt Alarm, wenn es etwas sieht, das zu einem bekannten Angriffsmuster passt. Ein IPS (Intrusion Prevention System) sitzt im Verkehrsweg und kann ihn auch blockieren. Viele Firewalls enthalten heute ein IPS. Beide stützen sich vor allem auf Signaturen bekannter Angriffe, sind also stark gegen bekannte Bedrohungen und schwächer gegen neue Methoden oder Angreifer, die normale Werkzeuge nutzen. Ein IPS, das fälschlich blockiert, stoppt auch Geschäftsverkehr. NDR (Network Detection and Response) ergänzt verhaltensbasierte Analyse. NetSenX ist ein NDR: Es beobachtet und alarmiert, sitzt nicht im Verkehrsweg und blockiert selbst keinen Verkehr.

SOAR (Security Orchestration, Automation and Response) ist Software, die Sicherheitswerkzeuge verbindet und die Routineschritte bei einem Alarm automatisiert: Kontext sammeln, ein Ticket eröffnen, einen Laptop isolieren, eine Adresse sperren, die richtige Person informieren. Sie arbeitet mit Playbooks, also festgelegten Schrittfolgen für jede Art von Vorfall. SOAR lohnt sich für Teams, die täglich viele Alarme bearbeiten, und erfordert Aufwand bei Einrichtung und Pflege. Kleine Teams erzielen den größten Teil des Nutzens oft mit einfacheren Anbindungen. NetSenX sendet Alarme ab dem Pro-Tarif an Slack oder per Webhook und exportiert sie ab dem Business-Tarif an ein SIEM.

DLP-Werkzeuge (Data Loss Prevention) sollen verhindern, dass sensible Daten wie Kundenlisten, Kartennummern oder Konstruktionspläne das Unternehmen auf falschem Weg verlassen: per E-Mail verschickt, in eine private Cloud geladen oder auf einen USB-Stick kopiert. Sie erkennen Inhalte und wenden Regeln an, und sie müssen sorgfältig eingerichtet werden, damit sie normale Arbeit nicht blockieren. NetSenX ist kein DLP-Werkzeug und liest den Inhalt Ihres Verkehrs nicht. In jedem Tarif meldet es aber ungewöhnliche ausgehende Übertragungen, etwa wenn ein Rechner plötzlich weit mehr Daten an eine externe Adresse sendet als sonst, was oft das sichtbare Zeichen eines Diebstahls ist.

Ein Audit-Log ist eine Aufzeichnung darüber, wer was wann getan hat: wer sich angemeldet hat, wer eine Einstellung geändert, einen Bericht exportiert oder einen Alarm geschlossen hat. Ein gutes Audit-Log lässt sich nachträglich nicht unbemerkt bearbeiten und bewahrt Einträge lange genug auf, um bei einer Untersuchung zu helfen. Prüfer und Aufsichtsbehörden verlangen Audit-Logs, weil sie zeigen, dass Kontrollen tatsächlich gelebt und nicht nur aufgeschrieben werden. Nach einem Vorfall rekonstruieren Sie die Ereignisse mit dem Audit-Log. NetSenX führt in jedem Tarif ein Audit-Log der Aktionen in Ihrem Konto und ergänzt ab dem Starter-Tarif für Alarme einen Nachweispfad, der jede nachträgliche Änderung sichtbar macht.

Die Dwell Time ist die Zeit, die ein Angreifer in einem Netzwerk verbringt, bevor er entdeckt wird. Der Bericht M-Trends 2026 von Mandiant nennt einen weltweiten Median von 14 Tagen für die 2025 untersuchten Vorfälle, und viele Einbrüche dauern weit länger. Je länger die Dwell Time, desto mehr kann der Angreifer erkunden, stehlen und vorbereiten; Ransomware-Gruppen kartieren ein Netzwerk deshalb oft tagelang, bevor sie verschlüsseln. Die Dwell Time sinkt, wenn jemand das Innere des Netzwerks beobachtet, nicht nur den Rand. Verkürzt wird sie durch das Erkennen früher Schritte wie interner Scans, regelmäßiger Meldungen an einen externen Server oder ungewöhnlicher Verbindungen zwischen Rechnern.

MTTD (Mean Time to Detect) ist die durchschnittliche Zeit zwischen dem Beginn eines Angriffs und dem Moment, in dem ihn jemand bemerkt. MTTR (Mean Time to Respond, manchmal to Recover) ist die durchschnittliche Zeit vom Bemerken bis zur Eindämmung oder Behebung. Beide messen, wie gut ein Sicherheitsprogramm funktioniert, und beide sollten mit der Zeit sinken. Für ein kleines Unternehmen sind ehrliche grobe Zahlen nützlicher als präzise: Wann haben wir zuletzt etwas gefunden, wie haben wir es gefunden und wie lange hat es gedauert, bis wir gehandelt haben? Lautet die Antwort, dass jemand von außen Bescheid gegeben hat, ist die Erkennung die Lücke, die zuerst zu schließen ist.

Schatten-IT ist jede Software, jeder Cloud-Dienst und jedes Gerät, das Beschäftigte ohne Wissen oder Freigabe der IT für die Arbeit nutzen: ein privates Konto zum Teilen von Dateien, ein kostenloses Projektwerkzeug, ein privater Router im Lager, eine Browsererweiterung. Meist beginnt es in guter Absicht, weil Menschen ihre Arbeit erledigen wollen. Das Risiko: Firmendaten landen an Orten, die niemand absichert, sichert oder löschen kann, wenn jemand geht. Alles zu verbieten funktioniert selten. Besser ist es, herauszufinden, was genutzt wird, freigegebene Alternativen anzubieten und eine einfache Regel festzulegen. NetSenX zeigt die Geräte, die es in Ihrem Netzwerk sieht, und meldet ab dem Pro-Tarif die Nutzung von KI-Diensten.

Eine Datenpanne ist jeder Sicherheitsvorfall, bei dem Daten verloren gehen, gestohlen, zerstört, verändert oder von jemandem eingesehen werden, der sie nicht sehen sollte. Dafür braucht es keinen Hacker: Eine E-Mail mit Kundendaten an die falsche Adresse ist ebenfalls eine Datenpanne. Nach der DSGVO muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Bekanntwerden der Aufsichtsbehörde gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen; bei hohem Risiko sind die Betroffenen zu benachrichtigen. Der Bericht IBM Cost of a Data Breach 2025 beziffert die durchschnittlichen weltweiten Kosten auf 4,44 Millionen US-Dollar.