# Wurde ich gehackt? (FAQ)

> 35 Fragen zu Wurde ich gehackt?, verständlich beantwortet: was zu prüfen ist, was NetSenX zeigt und was ein Sensor nicht sieht.

Source page: https://netsenx.com/de/faq/signs

## Woran erkenne ich, dass unser Firmennetz kompromittiert ist?

Achten Sie auf verändertes Verhalten: neue Ziele ausgehender Verbindungen, Verbindungen in regelmäßigen Abständen, Anmeldungen zu ungewöhnlichen Zeiten, ein Rechner, der mit vielen anderen spricht, und ungewöhnliches ausgehendes Volumen. Jedes Anzeichen lässt sich in Firewall-, DNS- und Verzeichnis-Logs prüfen. Zwei oder mehr zusammen sind eine Untersuchung wert; kontinuierliche Netzwerküberwachung achtet jeden Tag darauf, nicht nur an dem Tag, an dem Sie nachsehen.

https://netsenx.com/de/faq/how-do-i-know-if-my-business-network-has-been-compromised

## Kann ein Angreifer jahrelang unbemerkt im Netzwerk bleiben?

Ja. Im gemeinsamen Advisory AA24-038A vom 7. Februar 2024 berichteten CISA, NSA und FBI, dass Akteure von Volt Typhoon den Zugang zu den IT-Umgebungen einiger Opfer mindestens fünf Jahre lang gehalten hatten. Angreifer, die dieselben Administrationswerkzeuge nutzen wie Ihre IT, hinterlassen kaum Signaturen; deshalb zählt das Verhalten im Netzwerk.

https://netsenx.com/de/faq/can-an-attacker-stay-inside-a-network-for-years-without-being-noticed

## Welche kostenlosen Prüfungen kann ich heute machen?

Exportieren Sie die häufigsten Ziele ausgehender Verbindungen aus Firewall oder DNS-Server und sehen Sie sich die seltenen an; prüfen Sie erfolgreiche Anmeldungen außerhalb der Geschäftszeiten; zählen Sie, wie viele interne Hosts jeder Arbeitsplatzrechner über SMB, RDP, SSH und WinRM anspricht; und vergleichen Sie das ausgehende Volumen jedes Servers mit seinem eigenen Durchschnitt.

https://netsenx.com/de/faq/what-free-checks-can-i-run-today

## Ersetzt NetSenX Antivirus oder EDR?

Nein. NetSenX ergänzt die Netzwerksicht: Es sieht Geräte ohne Agent und die Bewegung zwischen Hosts. Was in jedem einzelnen Rechner passiert, deckt weiterhin der Endpunktschutz ab. Der Free-Plan hat kein Zeitlimit und braucht keine Kreditkarte, sodass Sie zuerst sehen, was er in Ihrem eigenen Netzwerk findet.

https://netsenx.com/de/faq/does-netsenx-replace-antivirus-or-edr

## Kann mein kleines Unternehmen gehackt werden, ohne dass ich es merke?

Ja. Angreifer, die gestohlene Passwörter und die Administrationswerkzeuge Ihrer Systeme nutzen, bleiben oft lange unbemerkt: Nichts geht kaputt, also schaut niemand hin. Verräterisch ist ihr Verhalten, etwa ein Rechner, der sich in regelmäßigen Abständen bei einem neuen externen Server meldet, ein Gerät, das sich mit vielen anderen verbindet, oder Uploads in der Nacht. NetSenX erkennt Beaconing, Scans, Lateral Movement und ungewöhnliche ausgehende Datenmengen in jedem Plan, auch im Free-Plan. Aktivität, die das Netz nie berührt, sieht es nicht.

https://netsenx.com/de/faq/can-my-small-business-be-hacked-without-me-knowing

## Wenn ein Gerät in unserem Netz gehackt ist, sind die anderen dann gefährdet?

Oft ja. Ein Angreifer, der einen Rechner kontrolliert, nutzt ihn, um sich umzusehen und weiterzuziehen: Er scannt nach anderen Hosts, probiert die auf dem ersten Rechner gespeicherten Passwörter und verbindet sich über Administrationsprotokolle wie SMB, RDP oder SSH. In einem flachen Netz, in dem jeder Rechner jeden Server erreicht, bremst ihn nichts. Drei kostenlose Maßnahmen begrenzen, wie weit er kommt: Segmentieren Sie das Netz so, dass Arbeitsplatzrechner keine Server erreichen, die sie nicht brauchen, entziehen Sie Alltagskonten die lokalen Administratorrechte und verwenden Sie für jedes System ein eigenes Passwort. NetSenX erkennt die Scans und die neuen Sitzungen zwischen Hosts, die dabei entstehen, in jedem Plan, auch im Free-Plan. Was der Angreifer im ersten Rechner tut, bevor etwas das Netz berührt, sieht es nicht.

https://netsenx.com/de/faq/if-one-device-is-hacked-are-the-others-at-risk

## Ist langsames Internet ein Zeichen für einen Hackerangriff?

Selten für sich allein. Langsamkeit hat meist gewöhnliche Ursachen: ein Backup, ein Betriebssystem-Update, eine Videokonferenz, eine ausgelastete Leitung. Genauer hinsehen sollten Sie, wenn Verkehr dazukommt, den Sie nicht erklären können, etwa ein Server, der nachts große Datenmengen hochlädt, ein Rechner, der sich in regelmäßigen Abständen mit einem unbekannten Ziel verbindet, oder ein Gerät, das nie viel gesendet hat und plötzlich viel sendet. Beginnen Sie bei Firewall oder Router: Welche interne Adresse belegt die Bandbreite, und wohin geht der Verkehr? Ist es ein bekannter Job, sind Sie fertig. Ein Performance-Monitor zeigt, dass eine Leitung ausgelastet ist; NetSenX zeigt ungewöhnliche ausgehende Datenmengen pro Host, gemessen am eigenen Normalzustand dieses Hosts, und ob das Muster nach Datenabfluss aussieht.

https://netsenx.com/de/faq/is-slow-internet-a-sign-of-a-hack

## Unser Virenschutz hat sich selbst abgeschaltet. Ist das ein Zeichen für einen Einbruch?

Das kann es sein. Das Abschalten von Sicherheitswerkzeugen ist ein häufiger früher Schritt von Angreifern und Ransomware, weil es einen Zeugen beseitigt, bevor die eigentliche Arbeit beginnt. Prüfen Sie in der Endpunkt-Konsole, wer oder was die Einstellung wann geändert hat, suchen Sie auf dem Rechner nach neuen Administratorkonten, neuen Diensten und geplanten Aufgaben und isolieren Sie ihn, wenn Sie die Änderung nicht erklären können. Fragen Sie den Support des Herstellers, ob ein Update das verursacht haben kann; manchmal ist das die Antwort. Das ist ein Hinweis vom Endpunkt: Ein Netzwerksensor sieht keine geänderte Einstellung auf einem Rechner. Er kann aber zeigen, ob sich dieser Rechner danach im Netz ungewöhnlich verhält, etwa einen neuen externen Server in regelmäßigen Abständen kontaktiert oder Sitzungen zu anderen Hosts öffnet, was NetSenX in jedem Plan erkennt.

https://netsenx.com/de/faq/antivirus-turned-off-by-itself

## Wie sehe ich unbekannte Geräte im Firmennetzwerk?

Beginnen Sie mit dem, was Sie schon haben: den DHCP-Leases auf Router oder Server, den MAC-Adresstabellen der Switches und der Client-Liste des WLAN-Controllers. Gleichen Sie sie mit Ihrem Inventar ab und gehen Sie allem nach, was sich nicht erklären lässt; die erste Hälfte einer MAC-Adresse nennt den Hersteller, was oft verrät, ob es ein Drucker, ein Telefon oder ein kleiner Rechner ist. Port Security oder 802.1X lässt unbekannte Geräte gar nicht erst ins Netz. Die Netzwerkkarte von NetSenX zeigt in jedem Plan die Hosts, die in überwachten Segmenten gesehen werden, und mit wem sie sprechen, sodass ein neues Gerät auffällt, sobald es zu kommunizieren beginnt. Ein Gerät, das schweigt oder in einem nicht überwachten Segment steckt, erscheint dort nicht.

https://netsenx.com/de/faq/how-to-see-unknown-devices-on-the-company-network

## Lässt sich feststellen, wer mit dem Firmen-WLAN verbunden ist?

Ja, am Access Point oder WLAN-Controller: Seine Client-Liste zeigt jedes verbundene Gerät mit MAC-Adresse, Signalstärke und oft einem Gerätenamen. Gleichen Sie sie mit dem ab, was Sie erwarten, und prüfen Sie in den DHCP-Leases des Routers, welche Geräte kürzlich eine Adresse bezogen haben. Einige Einstellungen machen die Liste verlässlicher: ein eigenes Gästenetz für Besucher und private Telefone, ein WLAN-Passwort, das sich beim Ausscheiden von Mitarbeitenden ändert, und WPA2 oder WPA3 Enterprise mit persönlichen Anmeldungen statt eines gemeinsamen Schlüssels. Moderne Telefone verwenden in jedem Netz eine andere MAC-Adresse, eine unbekannte Adresse beweist also noch keinen Eindringling. NetSenX verwaltet kein WLAN, aber seine Netzwerkkarte zeigt die Geräte, die in überwachten Segmenten kommunizieren, sodass ein Neuling auffällt, der interne Server erreicht.

https://netsenx.com/de/faq/can-you-tell-who-is-connected-to-the-company-wi-fi

## Kann jemand über eine freie Netzwerkdose in unser Büronetz gelangen?

Ja, wenn die Dose auf einen aktiven Switch-Port gepatcht ist. Ein Besucher, ein Dienstleister oder ein Eindringling kann einen Laptop anschließen oder einen kleinen Rechner wie einen Raspberry Pi hinter einem Drucker zurücklassen, der dann innerhalb Ihrer Firewall sitzt. Vorbeugung ist günstig: Trennen Sie ungenutzte Switch-Ports, nutzen Sie 802.1X oder zumindest Port Security, damit nur bekannte Geräte Zugang bekommen, legen Sie Besprechungsräume und Empfang in ein Gästenetz und schauen Sie bei Rundgängen hinter Drucker und unter Schreibtische. Erkennung ist die zweite Ebene. Die Netzwerkkarte von NetSenX zeigt in jedem Plan neue Geräte, die in überwachten Segmenten zu kommunizieren beginnen, und NetSenX erkennt ein verstecktes Gerät, das sich in regelmäßigen Abständen nach außen meldet, als Beaconing. Erreicht das Gerät den Angreifer über eine eigene Mobilfunkverbindung, ist nur sichtbar, was es in Ihrem Netz tut, etwa Scans; ein Gerät, das nur zuhört, bleibt unsichtbar.

https://netsenx.com/de/faq/can-someone-get-into-our-network-through-a-free-wall-socket

## Wie lange bleiben Angreifer in einem Netz, bevor sie entdeckt werden?

Meist Tage bis Wochen, manchmal deutlich länger. Der Bericht M-Trends 2026 von Mandiant beziffert die weltweite mittlere Verweildauer (Median), also die Zeit vom Beginn eines Einbruchs bis zu seiner Entdeckung, auf 14 Tage für die 2025 untersuchten Vorfälle. Ein Median verdeckt einen langen Ausläufer: Die Hälfte dieser Einbrüche dauerte länger. Die Verweildauer ist kurz, wenn der Angreifer laut vorgeht wie bei Ransomware, und lang, wenn es um stillen Zugang oder Datendiebstahl geht; Einbrüche, die eine externe Stelle entdeckt, liefen bisher meist länger als solche, die ein Unternehmen selbst findet. Verkürzt wird sie durch den Blick auf Verhalten, nicht nur auf Signaturen: regelmäßige Meldungen an einen neuen externen Server, Scans, neue Sitzungen zwischen Hosts. NetSenX erkennt das in jedem Plan, auch im Free-Plan, in den überwachten Segmenten.

https://netsenx.com/de/faq/how-long-do-attackers-stay-in-a-network-before-they-are-found

## Woran erkenne ich, dass mein Rechner im Büronetz überwacht wird?

Die meiste Überwachung hinterlässt nichts, was man auf dem Bildschirm sieht. Prüfen Sie deshalb, was installiert ist und wer den Rechner verwaltet. Firmenüberwachung erscheint normalerweise in der Liste der installierten Programme oder Verwaltungsprofile und sollte in einer schriftlichen Richtlinie beschrieben sein; fragen Sie im Zweifel die IT oder die Personalabteilung. Hinweise auf etwas nicht Genehmigtes sind ein Fernzugriffswerkzeug, das Sie nicht installiert haben, Mauszeiger oder Fenster, die sich von selbst bewegen, eine neue Browser-Erweiterung, eine Kamera-LED, die angeht, oder abgeschaltete Sicherheitssoftware. Im Netz ist ein Rechner, der regelmäßig Daten an einen unbekannten externen Server sendet, das deutlichste technische Zeichen. NetSenX beobachtet Geräte und Verbindungen, nie Menschen: Solches Beaconing erkennt es in jedem Plan, was im Rechner läuft, sieht es aber nicht.

https://netsenx.com/de/faq/signs-a-computer-is-being-monitored-on-the-office-network

## Lässt sich erkennen, ob jemand den Verkehr in unserem Netz mitschneidet?

Meist nicht direkt. Passives Mitschneiden, also ein Gerät, das nur zuhört, sendet nichts und hinterlässt deshalb kaum Spuren. Erkennen lässt sich die Arbeit, die ein Angreifer leisten muss, um Verkehr zu sehen, der nicht für ihn bestimmt ist. In einem geswitchten Netz muss er ihn umleiten, etwa per ARP-Spoofing, oder sich an einen Spiegelport, einen Hub oder einen TAP hängen. Switch-Funktionen wie Dynamic ARP Inspection und DHCP Snooping verhindern die Umleitung, Port Security begrenzt, wer sich anschließen darf, und die Verschlüsselung interner Dienste mit HTTPS, SSH und SMB-Verschlüsselung macht mitgeschnittenen Verkehr deutlich weniger brauchbar. Ein Sensor am Segment sieht ungewöhnliche ARP-Meldungen und das neue Gerät, das zu kommunizieren beginnt; ein Lauscher, der völlig still bleibt, ist für NetSenX unsichtbar wie für jeden Netzwerksensor.

https://netsenx.com/de/faq/can-you-detect-someone-sniffing-traffic-on-the-network

## Kann ein Hacker in unserem Netz Daten von allen Rechnern und Servern stehlen?

Von vielen, wenn das Netz es zulässt. Ist er einmal drin, erreicht ein Angreifer jedes System, das der kompromittierte Rechner erreicht, und meldet sich überall dort an, wo gespeicherte oder gestohlene Passwörter funktionieren. Freigegebene Ordner, ein Dateiserver, den alle lesen können, und ein einziges Administratorpasswort auf allen Rechnern machen diese Liste lang. Drei Dinge verkürzen sie: Segmente, die Arbeitsplatzrechner von Servern fernhalten, die sie nicht brauchen, Konten mit den geringsten Rechten, mit denen man noch arbeiten kann, und Multi-Faktor-Authentifizierung (MFA) für Fernzugriff und Administratoranmeldungen. Gestohlene Daten müssen außerdem zweimal über das Netz: wenn der Angreifer Dateien von anderen Hosts einsammelt und wenn er sie nach außen schickt. NetSenX erkennt neue Sitzungen zwischen Hosts und ungewöhnliche ausgehende Datenmengen pro Host, in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/can-a-hacker-on-our-network-steal-data-from-every-computer

## Wie kommt ein Angreifer von unserer öffentlichen IP-Adresse zu den internen Rechnern?

Über einen Dienst, der unter dieser Adresse antwortet, oder über einen Menschen. Die öffentliche IP-Adresse allein ist keine Tür; die offenen Ports dahinter sind es. Angreifer durchsuchen das gesamte Internet nach Remote Desktop, VPN-Gateways, Firewalls mit Fernverwaltung, Mail- und Webservern und probieren dann gestohlene Passwörter oder bekannte Schwachstellen an allem, was antwortet. Der andere häufige Weg umgeht die öffentliche Adresse ganz: Eine Phishing-Mail bringt einen Mitarbeitenden dazu, etwas auszuführen, und der infizierte Rechner meldet sich danach selbst beim Angreifer. Prüfen Sie von außen, welche Ports Sie offen haben, schließen Sie alles Unnötige, stellen Sie den Rest hinter ein VPN mit Multi-Faktor-Authentifizierung (MFA) und patchen Sie zuerst die Geräte, die zum Internet zeigen. In überwachten Segmenten zeigt NetSenX, welche Hosts von außen erreicht werden, und erkennt das Beaconing, das auf eine Infektion folgt.

https://netsenx.com/de/faq/how-does-an-attacker-get-from-our-public-ip-to-internal-machines

## Sind Drucker, Kameras und andere Bürogeräte ein Einfallstor für Angreifer?

Ja, und oft ein bequemes. Drucker, IP-Kameras, Videorekorder, Smart-TVs und Türsysteme laufen mit kleinen Betriebssystemen, die selten aktualisiert werden, oft noch Standardpasswörter haben und keinen Virenschutz ausführen können. Angreifer nutzen sie auf zwei Arten: als versteckten Stützpunkt, auf den niemand achtet, und als Ausgangspunkt, um den Rest des Netzes zu scannen. Ändern Sie Standardpasswörter, aktualisieren Sie die Firmware, schalten Sie ungenutzte Dienste ab und setzen Sie diese Geräte in ein eigenes Netzsegment, aus dem sie Ihre Server nicht erreichen und das Internet nur so weit, wie sie es brauchen. Weil Sie dort keinen Agenten installieren können, beobachten Sie sie aus dem Netz: Von einem SPAN- oder TAP-Port aus sieht NetSenX ihre Ziele und erkennt Beaconing und Scans, in jedem Plan, ohne Software auf dem Gerät.

https://netsenx.com/de/faq/are-printers-and-cameras-a-way-in-for-attackers

## Ist unser Smart-TV oder das Konferenzraumsystem ein Sicherheitsrisiko im Büronetz?

Das kann es sein. Smart-TVs, Bildschirmfreigabe-Boxen und Konferenzsysteme sind Computer mit Mikrofonen, Kameras und Netzzugang, die nach dem Zeitplan ihrer Hersteller aktualisiert werden, wenn überhaupt. Viele kontaktieren den ganzen Tag die Cloud des Herstellers, auch im Standby, und manche nehmen Bildschirmfreigaben von jedem im selben Netz an. Setzen Sie sie in ein eigenes Netzsegment, aus dem sie weder Ihre Dateiserver noch die darauf präsentierten Laptops erreichen, schalten Sie ungenutzte Funktionen ab, ändern Sie Standardpasswörter und spielen Sie Updates ein. Prüfen Sie dann, was sie tatsächlich tun: Von einem SPAN- oder TAP-Port aus sieht NetSenX ihre Ziele und erkennt Beaconing und Scans in jedem Plan, ohne Software auf dem Gerät. Ob eine Hersteller-Cloud im Ausland akzeptabel ist, entscheiden Sie; NetSenX zeigt den Verkehr, es bewertet nicht den Hersteller.

https://netsenx.com/de/faq/is-our-smart-tv-or-conference-system-a-security-risk

## Eine Anmeldung von einem neuen Ort: Einbruch oder ein Mitarbeiter mit neuem Gerät?

Oft ist es der Mitarbeiter, aber sicher wissen Sie es erst nach einer Prüfung. Anmeldungen aus einem neuen Land oder über einen neuen Anbieter entstehen durch Reisen, ein neues Telefon oder ein Mobilfunknetz, das über eine andere Stadt läuft, aber eben auch, wenn jemand ein gestohlenes Passwort benutzt. Fragen Sie die Person direkt, über einen anderen Kanal als das betroffene Konto, ob sie es war. Sehen Sie dann in die Identitäts-Logs des Dienstes: Wurde die Multi-Faktor-Authentifizierung (MFA) abgeschlossen, wurden Postfachregeln oder neue Geräte hinzugefügt, und hat sich dasselbe Konto innerhalb einer Stunde an zwei weit entfernten Orten angemeldet? Diese Beweise liegen in den Logs Ihres Identitätsanbieters, Ihres VPN und Ihrer SaaS-Dienste, nicht im Netz. NetSenX ergänzt die Netzseite, etwa ein Gerät, das danach zu scannen beginnt oder neue Sitzungen zu Servern öffnet; Identitätsereignisse sieht es nicht, und es verknüpft keine Anmeldung mit einer Person.

https://netsenx.com/de/faq/login-from-a-new-location-breach-or-new-device

## Hinterlassen Angreifer etwas, nachdem wir unsere Rechner neu aufgesetzt haben?

Manchmal, denn ein Neuaufsetzen säubert nur die Rechner, die Sie neu aufgesetzt haben. Was überlebt, liegt meist woanders: gestohlene Passwörter und Sitzungstoken, Konten, die der Angreifer im Verzeichnis oder in Cloud-Diensten angelegt hat, ein Fernzugriffswerkzeug auf einem Server, den niemand neu installiert hat, geplante Skripte auf einer Dateifreigabe, geänderte Firewall-Regeln oder ein Backup, das seine Werkzeuge schon enthielt. Bevor Sie einen Vorfall für abgeschlossen erklären, setzen Sie alle möglicherweise betroffenen Zugangsdaten zurück, prüfen Sie überall neue Konten, Weiterleitungsregeln für E-Mails und Fernzugriffssoftware, vergleichen Sie Firewall- und VPN-Einstellungen mit einer geprüften Kopie und stellen Sie nur aus Backups von vor dem Einbruch wieder her. Beobachten Sie das Netz danach mehrere Wochen genau. Erneute Verbindungen zu den Servern des Angreifers sind ein typisches Zeichen für Übersehenes; NetSenX erkennt C2-Beaconing in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/do-attackers-leave-traces-after-a-rebuild

## Können wir unser Firmennetz kostenlos auf Botnetz-Infektionen prüfen?

Zum Teil, ja. Mehrere nationale Stellen bieten kostenlose Dienste an: In Spanien prüft der Antibotnet-Dienst von INCIBE, ob Ihre öffentliche IP-Adresse in Meldungen über infizierte Geräte auftaucht, und nationale CERTs anderer Länder leiten ähnliche Meldungen an die Betreiber betroffener Netze weiter; fragen Sie Ihren Internetanbieter, ob er sie an Sie weitergibt. Kostenlose Prüfungen auf Ihrer Seite helfen ebenfalls: das Protokoll blockierter ausgehender Verbindungen Ihrer Firewall, DNS-Logs mit Anfragen nach bekannten schädlichen Domains und jedes Gerät, das rund um die Uhr denselben externen Server anspricht. Eine Reputationsprüfung sagt Ihnen, dass hinter Ihrer öffentlichen Adresse etwas gemeldet wurde, nicht welches Gerät es war. NetSenX erkennt C2-Beaconing pro Host in jedem Plan, auch im Free-Plan, und zeigt damit auf das Gerät selbst.

https://netsenx.com/de/faq/can-we-check-for-botnet-infections-for-free

## Was ist ein Compromise Assessment, und brauchen wir eines?

Ein Compromise Assessment ist eine zeitlich begrenzte Untersuchung, die eine Frage beantwortet: Ist gerade ein Angreifer in unserer Umgebung, oder war er es vor Kurzem? Fachleute werten Beweise von Endpunkten, aus Logs und aus dem Netz auf Spuren eines Einbruchs aus, statt wie ein Penetrationstest zu prüfen, ob ein Einbruch möglich ist. Sinnvoll ist es vor einer Übernahme, nachdem ein Lieferant oder ein Unternehmen Ihrer Branche angegriffen wurde, wenn Sie ein undokumentiertes Netz übernehmen oder wenn etwas Seltsames passiert ist, das niemand erklären konnte. Fragen Sie den Anbieter, welche Daten er braucht, wie weit er zurückblicken kann und was er nicht abdeckt. Die Qualität hängt von den Beweisen ab, die schon vorhanden sind: Netzhistorie, die vor Beginn aufgezeichnet wurde, ist mehr wert als alles, was danach gesammelt wird. NetSenX bewahrt Alarme und ihre Begründungen für die Historie Ihres Plans auf: 30 Tage im Free-Plan, länger in den bezahlten Plänen.

https://netsenx.com/de/faq/what-is-a-compromise-assessment

## Ein Unternehmen unserer Branche wurde gehackt. Wie prüfen wir, ob wir die Nächsten sind?

Finden Sie heraus, wie es angegriffen wurde, und prüfen Sie genau diesen Weg bei sich. Lesen Sie die öffentliche Erklärung, die Warnung Ihres nationalen CSIRT oder Branchenverbands und Berichte, die die Methode nennen: ein ausgenutztes VPN oder eine Firewall, ein gemeinsamer Lieferant, Phishing, eine bekannte Ransomware-Gruppe. Kriminelle Gruppen nutzen dieselbe Schwachstelle oder denselben Lieferantenzugang oft gegen viele Unternehmen gleichzeitig; wenn Sie Software oder einen Dienstleister mit dem Opfer teilen, fragen Sie den Anbieter direkt. Patchen Sie das genannte Produkt, prüfen Sie Fernzugänge und Lieferantenkonten und vergewissern Sie sich, dass Ihre Backups offline und wiederherstellbar sind. Suchen Sie dann im Netz nach den frühen Schritten: neue externe Server, die in regelmäßigen Abständen kontaktiert werden, interne Scans und neue Administratorsitzungen. NetSenX erkennt das in jedem Plan, auch im Free-Plan; was in nicht überwachten Segmenten geschieht, kann es Ihnen nicht sagen.

https://netsenx.com/de/faq/a-company-in-our-sector-was-hacked-are-we-next

## Worauf sollten wir in unserem Netz achten, nachdem ein Partner oder Branchenkollege angegriffen wurde?

Auf jede Verbindung zu ihm und auf alles Neue. Beginnen Sie mit dem, was Sie verbindet: gemeinsame VPN-Tunnel, Fernzugriffskonten, die er auf Ihren Systemen nutzt, Dateiübertragungen, E-Mail-Verläufe und gemeinsame Cloud-Ordner. Sperren oder ändern Sie diese Zugangsdaten, bis er bestätigt, was betroffen war, und behandeln Sie seine E-Mails mit Bitten um geänderte Zahlungsdaten mit Vorsicht, weil Angreifer gestohlene Mailverläufe weiterverwenden. Nennt seine Warnung oder Erklärung Indikatoren einer Kompromittierung wie IP-Adressen, Domains oder Datei-Hashes, durchsuchen Sie Ihre Firewall-, Proxy- und DNS-Logs der letzten Wochen danach. Achten Sie dann auf Verhalten: Hosts, die plötzlich in regelmäßigen Abständen neue externe Server erreichen, Scans, ungewöhnliche Uploads. NetSenX erkennt das in jedem Plan, und seine Netzwerkkarte zeigt, wer in den überwachten Segmenten mit wem spricht.

https://netsenx.com/de/faq/what-to-look-for-after-a-partner-company-is-breached

## Wir hatten letztes Jahr einen Vorfall. Wie stellen wir sicher, dass wir eine Wiederholung erkennen würden?

Machen Sie aus dem Vorfall des letzten Jahres einen Test. Schreiben Sie jeden Schritt des Angreifers auf, vom ersten Zugang bis zu dem Moment, in dem Sie ihn bemerkt haben, und fragen Sie bei jedem Schritt, welche Kontrolle oder welches Log ihn heute sehen würde. Schließen Sie dann die Lücken: War der Einstieg ein VPN-Konto ohne Multi-Faktor-Authentifizierung (MFA), prüfen Sie, ob inzwischen jedes Fernzugriffskonto sie hat; haben Sie erst bei der Verschlüsselung etwas bemerkt, klären Sie, welcher frühere Schritt über das Netz lief und ob heute etwas darauf anschlagen würde. Eine Tabletop-Übung oder eine Breach-and-Attack-Simulation spielt das Szenario ohne echten Schaden nach. NetSenX deckt die Netzschritte ab, die die meisten Vorfälle gemeinsam haben, etwa Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Datenmengen, in jedem Plan; die Breach-and-Attack-Simulation gibt es ab dem Business-Plan. Was nur im Inneren eines Hosts geschieht, braucht Endpunktschutz.

https://netsenx.com/de/faq/how-to-detect-a-repeat-of-last-years-incident

## Warum erfahren Unternehmen so oft von außen von einem Einbruch?

Weil intern niemand an der richtigen Stelle hingesehen hat. Ein Kunde erhält eine gefälschte Rechnung aus Ihrem gehackten Postfach, eine Bank meldet seltsame Überweisungen, Polizei oder ein nationales CERT finden Ihre Daten auf einem Server von Kriminellen, oder die Angreifer verkünden es auf ihrer Leak-Seite. Im Unternehmen waren die Zeichen oft da, aber ungelesen: Firewall-Logs, die niemand prüft, ein als Rauschen geschlossener Virenschutz-Alarm, ein Server, der nachts hochlädt. Die M-Trends-Berichte von Mandiant haben wiederholt gezeigt, dass Einbrüche, die eine externe Stelle entdeckt, länger liefen als solche, die ein Unternehmen selbst fand. Wer es von außen erfährt, verliert zudem die Kontrolle über Zeitplan und Botschaft. Wer liest, was ohnehin durch das Netz läuft, ändert das; NetSenX macht daraus erklärte Alarme zu Beaconing, Scans, lateraler Bewegung und ungewöhnlichen Uploads, in jedem Plan, auch im Free-Plan.

https://netsenx.com/de/faq/why-companies-learn-about-breaches-from-outsiders

## Wie unterscheiden wir einen Netzangriff von einem großen Update oder Backup?

Mit den Fragen wer, wohin und wann, und dem Vergleich mit dem Normalzustand. Ein Backup bewegt Daten von bekannten Hosts zu einem bekannten Ziel, meist zu einer festen Zeit und jede Nacht in ähnlicher Menge. Ein Update lädt in einem kurzen Schub von den Servern des Herstellers auf viele Hosts herunter. Diebstahl sieht anders aus: Ein Host, der selten hochlädt, sendet viel, an ein Ziel, das sonst niemand nutzt, zu einer Stunde, in der er normalerweise ruhig ist, oder ein Arbeitsplatzrechner liest plötzlich viele Dateifreigaben. Führen Sie eine kurze Liste Ihrer geplanten Jobs mit Hosts und Uhrzeiten, damit jeder einen Alarm damit abgleichen kann. NetSenX misst jeden Host an seinen eigenen üblichen Zielen, Datenmengen und Tageszeiten, erklärt bei jedem Alarm, welche Netzmerkmale ihn ausgelöst haben, und lässt Sie einen Alarm als Fehlalarm markieren, wobei die Entscheidung im Audit-Log festgehalten wird.

https://netsenx.com/de/faq/how-to-tell-a-network-attack-from-an-update-or-backup

## Woher wissen wir, wie der Normalzustand in unserem Netz aussieht?

Indem Sie ihn festhalten, bevor Sie ihn brauchen. Normal ist eine Beschreibung, wer mit wem wann und wie viel kommuniziert: welche Server jeder Arbeitsplatzrechner nutzt, welche externen Dienste er erreicht, wann Backups laufen, welche Geräte nachts still sind. Die meisten kleinen Unternehmen haben das nie aufgeschrieben, weshalb sich eine seltsame Verbindung mitten in einem Vorfall schwer beurteilen lässt. Beginnen Sie mit einer einfachen Liste Ihrer Server, geplanten Jobs, Fernzugriffswerkzeuge und der Lieferanten, die sich von außen verbinden. Firewall- und DNS-Logs einer gewöhnlichen Woche geben ein erstes Bild. NetSenX lernt den Normalzustand jedes Hosts aus dem Verkehr in den überwachten Segmenten und vergleicht jede neue Verbindung damit, und seine Netzwerkkarte zeigt in jedem Plan, wer mit wem spricht. Ein neu installierter Sensor braucht Zeit mit Ihrem eigenen Verkehr, bevor sein Bild vom Normalzustand verlässlich ist, und NetSenX sagt Ihnen, wenn es noch nicht genug Daten hat.

https://netsenx.com/de/faq/how-do-we-know-what-normal-looks-like-on-our-network

## Was ist ein Indicator of Compromise (IOC)?

Ein Indicator of Compromise ist ein Beweisstück, das auf einen Angriff auf ein System hindeutet: eine IP-Adresse oder Domain, die bekanntermaßen von Angreifern genutzt wird, der Hash einer schädlichen Datei, ein verdächtiger Dateiname, der TLS-Fingerabdruck eines bekannten Schadsoftware-Clients oder eine Konfigurationsänderung, die eine Schadsoftware vornimmt. Warnungen von CISA, nationalen CERTs und Sicherheitsforschenden veröffentlichen sie, damit andere ihre eigenen Logs durchsuchen können. Sie sind nützlich und kurzlebig: Angreifer wechseln Server und kompilieren ihre Werkzeuge neu, sodass eine Adresse, die letzten Monat schädlich war, heute jemand Unbeteiligtem gehören kann. Deshalb ergänzen Indikatoren den Blick auf Verhalten, statt ihn zu ersetzen. Durchsuchen Sie Firewall-, Proxy- und DNS-Logs nach den Indikatoren jeder Warnung, die Sie betrifft. Ab dem Starter-Plan vergleicht NetSenX TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPAN/TAP-Sensor, und Verhalten wie Beaconing erkennt es in jedem Plan.

https://netsenx.com/de/faq/what-is-an-indicator-of-compromise

## Unser Virenschutz zeigt überall Grün. Können wir trotzdem kompromittiert sein?

Ja. Virenschutz und Endpunktwerkzeuge suchen auf dem Rechner nach bekannten schädlichen Dateien und verdächtigem Verhalten, und sie können nur von Rechnern berichten, auf denen sie installiert sind und laufen. Angreifer, die sich mit einem gestohlenen Passwort anmelden und die vorhandenen Administrationswerkzeuge nutzen, liefern ihnen wenig Anlass, und ein Drucker, eine Kamera oder ein Server ohne Agent meldet gar nichts. Ein abgeschaltetes Werkzeug kann zudem ruhig statt rot aussehen. Prüfen Sie, welche Rechner tatsächlich an die Konsole melden, wann sich jeder zuletzt gemeldet hat und ob einer seit Tagen schweigt. Ergänzen Sie dann einen zweiten, unabhängigen Blick: das Netz. In den überwachten Segmenten beobachtet NetSenX das Verhalten, das darüber läuft, etwa Beaconing zu einem neuen externen Server, Scans, neue Sitzungen zwischen Hosts und ungewöhnliche Uploads, in jedem Plan, auch im Free-Plan, unabhängig davon, ob ein Host überhaupt einen Agenten hat.

https://netsenx.com/de/faq/antivirus-shows-green-can-we-still-be-compromised

## Ein Administratorkonto ist aufgetaucht, an dessen Anlage sich niemand erinnert. Was nun?

Behandeln Sie es als Vorfall, bis Sie eine Erklärung haben. Neue Administratorkonten sind ein gängiger Weg für Angreifer, sich den Zugang zu sichern, und sie tragen oft unauffällige Namen, etwa eine Abwandlung eines Dienst- oder Supportkontos. Löschen Sie es nicht sofort: Deaktivieren Sie es, notieren Sie Namen, Erstellungszeit und wer oder was es angelegt hat, und sichern Sie die Verzeichnis- und System-Logs, die das zeigen, bevor sie überschrieben werden. Fragen Sie dann die naheliegenden Beteiligten, etwa Ihren IT-Dienstleister oder einen Softwareanbieter, ob sie es angelegt haben. War es niemand, suchen Sie nach weiteren Änderungen aus derselben Zeit, setzen Sie die Passwörter der übrigen Administratoren von einem sauberen Gerät aus zurück und rufen Sie Ihren Incident-Response-Dienstleister an. Das Konto selbst ist ein Identitätsbeweis, den ein Netzwerksensor nicht sieht; NetSenX zeigt, ob Hosts, die zu dieser Zeit genutzt wurden, zu scannen oder neue Sitzungen zu Servern zu öffnen begannen.

https://netsenx.com/de/faq/an-administrator-account-appeared-that-nobody-created

## Ein Server sendet nachts Daten nach außen. Was sollten wir prüfen?

Zuerst, ob es ein Job ist, den Sie kennen. Sehen Sie sich Uhrzeit, Ziel und Datenmenge an und vergleichen Sie sie mit Ihrem Backup-Zeitplan, Software-Updates und jeder Synchronisierung mit einem Cloud-Dienst. Ein bekanntes Backup geht zu einer festen Zeit an ein bekanntes Ziel. Ist das Ziel neu, die Menge ungewöhnlich oder der Server zu dieser Stunde sonst ruhig, suchen Sie auf dem Server selbst den verantwortlichen Prozess, prüfen Sie, wer sich kurz vorher angemeldet hat, und sehen Sie im Firewall- oder Proxy-Log nach, seit wann es geschieht. Trennen Sie den Server vom Internet, wenn die Übertragung weiterläuft und niemand sie erklären kann. NetSenX erkennt ungewöhnliche ausgehende Datenmengen pro Host in jedem Plan und bewahrt Zeitpunkt, Ziel und Menge jedes Alarms für die Historie Ihres Plans auf; welche Dateien in einer verschlüsselten Übertragung steckten, sieht es nicht.

https://netsenx.com/de/faq/a-server-sends-data-out-at-night-what-to-check

## Unsere öffentliche IP-Adresse steht auf einer Blockliste. Heißt das, wir wurden gehackt?

Nicht unbedingt, aber es heißt, dass sich etwas hinter dieser Adresse schlecht verhalten hat oder so gemeldet wurde. Häufige Ursachen sind ein kompromittiertes Postfach oder Gerät, das Spam versendet, ein mit Schadsoftware infizierter Rechner, der zu einem Botnetz gehört, ein offener Dienst, den andere missbrauchen, oder eine Adresse, die jemand anderem gehörte, bevor Ihr Anbieter sie Ihnen zugewiesen hat. Sehen Sie nach, um welche Liste es sich handelt und welchen Grund sie nennt, prüfen Sie die Logs von Mailserver und Firewall auf ungewöhnliche ausgehende Mails oder Verbindungen und ändern Sie das Passwort jedes Postfachs, das unerwartete Nachrichten verschickt hat. Beantragen Sie die Entfernung erst, wenn die Ursache behoben ist, sonst landen Sie erneut auf der Liste. Eine Blockliste zeigt auf Ihre öffentliche Adresse, die sich viele Geräte teilen; NetSenX erkennt Beaconing und ungewöhnlichen ausgehenden Verkehr pro Host, in jedem Plan, was Ihnen hilft, das Gerät zu finden.

https://netsenx.com/de/faq/our-ip-address-is-on-a-blocklist-are-we-hacked

## Eine Kollegin sagt, die Maus habe sich von selbst bewegt. Steuert jemand den Rechner?

Möglicherweise, also prüfen Sie es, statt es abzutun. Viele Fälle erklärt die Hardware: eine defekte Maus, ein Funkempfänger, der ein anderes Gerät aufnimmt, oder ein Touchpad, das auf einen Ärmel reagiert. Die andere Erklärung ist Fernsteuerung, durch Ihren eigenen IT-Support oder durch jemand anderen mit einem Fernzugriffswerkzeug. Fragen Sie die IT, ob in diesem Moment jemand verbunden war, sehen Sie sich installierte Programme und laufende Fernwartungswerkzeuge an und prüfen Sie, ob danach neue Konten, Passwortänderungen oder Zahlungen folgten. Kann es niemand erklären, trennen Sie den Rechner vom Netz, lassen Sie ihn eingeschaltet und rufen Sie Ihren Incident-Response-Dienstleister an. Fernsteuerungswerkzeuge brauchen eine Netzverbindung, oft zu einem Relay-Server des Herstellers, der Verkehr ist also sichtbar: NetSenX zeigt die Verbindungen dieses Rechners und erkennt regelmäßige Meldungen an einen neuen externen Server als Beaconing, in jedem Plan.

https://netsenx.com/de/faq/the-mouse-moved-by-itself-is-someone-controlling-the-computer

## Wie prüfen wir einen verdächtigen Rechner, ohne den Angreifer zu warnen?

Erst beobachten, dann handeln, und zwar alles auf einmal. Ein Angreifer, der bemerkt, dass jemand hinsieht, löscht womöglich Spuren, wechselt auf einen anderen Rechner oder startet die Verschlüsselung früher. Vermeiden Sie deshalb auffällige Schritte wie das Zurücksetzen des Benutzerpassworts oder einen vollständigen Scan, bevor Sie einen Plan haben. Sammeln Sie zuerst unauffällig, was geht: die Historie der Endpunkt-Konsole, Firewall- und DNS-Logs und die Verbindungen, die der Rechner aufbaut. Legen Sie mit Ihrem Incident-Response-Dienstleister fest, welche Konten und Hosts eingedämmt werden, und tun Sie es dann gemeinsam: isolieren, Zugangsdaten von einem sauberen Gerät aus zurücksetzen und die Ziele des Angreifers im selben kurzen Zeitfenster sperren. Arbeiten Sie von einem sauberen Gerät aus und besprechen Sie den Vorfall nicht über ein möglicherweise kompromittiertes Postfach. Ein NetSenX-Sensor an einem SPAN- oder TAP-Port beobachtet, ohne den Rechner zu berühren, und seine Alarme nennen Ziele, Zeitpunkte und Datenmengen, die ein Eindämmungsplan braucht.

https://netsenx.com/de/faq/how-to-check-a-suspicious-computer-without-alerting-the-attacker

FAQ: https://netsenx.com/de/faq