# Woran Sie erkennen, ob jemand in Ihrem Netzwerk ist

> Die Anzeichen, dass ein Eindringling schon im Firmennetz ist, kostenlose Prüfungen für Admins und wo Netzwerkerkennung hilft. Mit Datum und Quellen.

Source page: https://netsenx.com/de/is-someone-inside-your-network

Zuletzt geprüft: 6. November 2026

Jemand ist in Ihrem Netzwerk, wenn ein Angreifer funktionierenden Zugang zu mindestens einem Ihrer Rechner oder Konten hat und ihn nutzt, um sich umzusehen, auf andere Systeme zu wechseln oder Daten abzuziehen. Ein Alarm geht dabei selten los. Die Anzeichen sind kleine Verhaltensänderungen: ein Host, der in regelmäßigen Abständen ein neues Ziel kontaktiert, ein Konto, das sich dort anmeldet, wo es das nie getan hat, ein Server, der weit mehr Daten nach außen schickt als sonst. Die meisten lassen sich heute noch kostenlos mit Logs prüfen, die ein Administrator ohnehin hat.

## Der Fakt, mit dem Sie planen sollten

Am 7. Februar 2024 berichteten CISA, NSA und FBI gemeinsam mit Partnerbehörden im Advisory AA24-038A, dass Akteure von Volt Typhoon den Zugang zu den IT-Umgebungen einiger Opfer mindestens fünf Jahre lang gehalten hatten, überwiegend mit den Administrationswerkzeugen der Opfer selbst statt mit Malware.

Quelle: [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)

## Was Ihr Netzwerk nach 18:00 Uhr verlässt

**Beispieldaten, keine erfasste Erkennung**

Eine beispielhafte Nacht im Netzwerk eines kleinen Unternehmens: sechs Gerätearten, vier Arten von Zielen. Bewegen Sie die Uhr und sehen Sie, was hinausgeht, wie viel und welche Verbindungen einen Alarm auslösen würden. Größe allein ist kein Signal: Die große Übertragung des Backups ist normal, ein kleiner Upload von einem Rechner, der sonst aus ist, nicht.

| Gerät | Seine übliche Nacht |
|---|---|
| Buchhaltungs-PC | Zu Bürozeiten mit Geschäftsdiensten und einigen KI-Werkzeugen beschäftigt; nachts ruhig. |
| ERP-Server | Etwas Synchronisierung mit Geschäftsdiensten jede Stunde, Tag und Nacht. |
| Fernseher im Besprechungsraum | Kleine Updates vom Hersteller. |
| Videorekorder (CCTV) | Ein gleichmäßiger Strom in die Cloud des Herstellers. |
| Entwickler-Laptop | Geschäftsdienste und KI-Werkzeuge zu Bürozeiten; nachts ruhig. |
| Backup-Server | Jede Nacht eine große Kopie zum üblichen Backup-Anbieter. |

### 03:00 Der Buchhaltungs-PC lädt nachts hoch

Ungewöhnliches ausgehendes Datenvolumen: Dieser Rechner sendet nachts normalerweise nichts und nie an dieses Ziel. NetSenX vergleicht die Uploads jedes Hosts mit seinen eigenen üblichen Zielen, Volumen und Tageszeiten, deshalb fällt der Upload auf, obwohl er neben dem Backup klein ist.

### 00:00 Der Entwickler-Laptop meldet sich alle fünf Minuten

Command-and-Control-Beaconing: kleine, regelmäßige Verbindungen zu einem neuen Ziel, die ganze Nacht. Das Volumen ist winzig; die Regelmäßigkeit verrät es. In jedem Plan, auch im Free-Plan.

### 02:00 Der ERP-Server sendet ein Archiv an einen gemieteten Cloud-Server

Ungewöhnliches ausgehendes Datenvolumen zu einem Ziel, das dieser Server nie genutzt hat. Gemietete Cloud-Server erscheinen außerdem in der Cloud-Prüfliste, damit Sie sie prüfen.

Was ein Netzwerksensor hier nicht sieht: Dateinamen und Inhalte in verschlüsselten Sitzungen und welches Programm auf dem Gerät die Daten gesendet hat. Das sieht der Endpoint-Schutz (EDR).

## Worauf Sie achten sollten, und was Sie heute kostenlos prüfen können

Keines dieser Anzeichen beweist allein einen Einbruch. Jedes ist schnell geprüft, und zwei oder mehr zusammen verdienen eine Untersuchung.

1. **Neue oder seltene Ziele ausgehender Verbindungen** Ein Host, der eine Domain oder IP-Adresse kontaktiert, die sonst niemand im Unternehmen nutzt, besonders eine kürzlich registrierte. Prüfung: Exportieren Sie die häufigsten Ziele der letzten 30 Tage aus Firewall oder DNS-Server und sehen Sie sich die an, die nur ein einziger Host angesprochen hat.
2. **Verbindungen in regelmäßigen Abständen** Malware, die sich bei ihrem Betreiber meldet, verbindet sich oft alle paar Minuten, Tag und Nacht, mit kleinen Nachrichten ähnlicher Größe. Prüfung: Sortieren Sie in Firewall- oder Proxy-Logs die Verbindungen eines Hosts zu einem Ziel nach Zeit und suchen Sie einen gleichmäßigen Takt außerhalb der Arbeitszeit.
3. **Anmeldungen zu ungewöhnlichen Zeiten oder von ungewöhnlichen Orten** Erfolgreiche Anmeldungen nachts, aus Ländern ohne eigene Beschäftigte oder von Konten, die sich normalerweise nie interaktiv anmelden, etwa Dienstkonten. Prüfung: Sehen Sie sich die erfolgreichen Anmeldungen der letzten 30 Tage in Ihrem Verzeichnisdienst oder Identity-Provider an, gefiltert auf Zeiten außerhalb der Geschäftszeiten.
4. **Ein Rechner spricht mit vielen** Ein Arbeitsplatzrechner, der sich mit Dutzenden interner Hosts über Administrationsports wie SMB (445), RDP (3389), SSH (22) oder WinRM (5985 und 5986) verbindet, scannt oder bewegt sich lateral. Prüfung: Zählen Sie in den Flow-Daten von Firewall oder Switch die unterschiedlichen internen Ziele je Quell-Host auf diesen Ports.
5. **Ungewöhnliches ausgehendes Datenvolumen** Ein Server, der plötzlich Gigabytes hochlädt, oft nachts oder zu einem Cloud-Speicher, den er sonst nicht nutzt. Prüfung: Vergleichen Sie die ausgehenden Bytes jedes Hosts in dieser Woche mit seinem eigenen Durchschnitt.
6. **Neue Admin-Konten, Aufgaben und Dienste** Konten, die Administratorgruppen hinzugefügt wurden, neue geplante Aufgaben oder Dienste und Fernzugriffswerkzeuge, die niemand freigegeben hat. Prüfung: Listen Sie die Mitglieder privilegierter Gruppen sowie kürzlich angelegte Aufgaben und Dienste auf Ihren Servern auf und klären Sie, wer jeden Eintrag angelegt hat.

## Was NetSenX heute leistet

- Beobachtet, wie sich jeder Host im Netzwerk verhält, und markiert C2-Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Datenvolumen, in jedem Plan, auch im Free-Plan.
- Sieht Geräte ohne Agent, etwa Drucker, Kameras und Steuerungen, weil ein Agent an einem SPAN- oder TAP-Port das ganze Segment beobachtet.
- Erklärt jeden Alarm in verständlicher Sprache und nennt die Netzwerkmerkmale hinter seiner Bewertung, sodass auch ein kleines Team einen Einbruch von einem neuen Backup-Job unterscheiden kann.
- Schreibt Alarme, Entscheidungen der Analysten und Konfigurationsänderungen in ein Audit-Log und verfolgt die Fristen aus Art. 23 NIS2, falls sich ein Vorfall als erheblich herausstellt.

## Was NetSenX nicht leistet

NetSenX sieht nicht, was in einem Host geschieht, ohne das Netzwerk zu berühren, etwa einen schädlichen Prozess, der sich nirgendwohin verbindet; das ist Aufgabe des Endpunktschutzes (EDR). Es entschlüsselt nie Verkehr und kann den Inhalt einer verschlüsselten Sitzung daher nicht lesen. Es ersetzt keine Incident Response: Einen Host isolieren und neu aufsetzen bleibt Sache Ihres Teams oder Ihres Dienstleisters. Ein Alarm ist ein Grund nachzusehen, kein Beweis für einen Einbruch.

## Fragen von Käufern

### Woran erkenne ich, dass unser Firmennetz kompromittiert ist?

Achten Sie auf verändertes Verhalten: neue Ziele ausgehender Verbindungen, Verbindungen in regelmäßigen Abständen, Anmeldungen zu ungewöhnlichen Zeiten, ein Rechner, der mit vielen anderen spricht, und ungewöhnliches ausgehendes Volumen. Jedes Anzeichen lässt sich in Firewall-, DNS- und Verzeichnis-Logs prüfen. Zwei oder mehr zusammen sind eine Untersuchung wert; kontinuierliche Netzwerküberwachung achtet jeden Tag darauf, nicht nur an dem Tag, an dem Sie nachsehen.

### Kann ein Angreifer jahrelang unbemerkt im Netzwerk bleiben?

Ja. Im gemeinsamen Advisory AA24-038A vom 7. Februar 2024 berichteten CISA, NSA und FBI, dass Akteure von Volt Typhoon den Zugang zu den IT-Umgebungen einiger Opfer mindestens fünf Jahre lang gehalten hatten. Angreifer, die dieselben Administrationswerkzeuge nutzen wie Ihre IT, hinterlassen kaum Signaturen; deshalb zählt das Verhalten im Netzwerk.

### Welche kostenlosen Prüfungen kann ich heute machen?

Exportieren Sie die häufigsten Ziele ausgehender Verbindungen aus Firewall oder DNS-Server und sehen Sie sich die seltenen an; prüfen Sie erfolgreiche Anmeldungen außerhalb der Geschäftszeiten; zählen Sie, wie viele interne Hosts jeder Arbeitsplatzrechner über SMB, RDP, SSH und WinRM anspricht; und vergleichen Sie das ausgehende Volumen jedes Servers mit seinem eigenen Durchschnitt.

### Ersetzt NetSenX Antivirus oder EDR?

Nein. NetSenX ergänzt die Netzwerksicht: Es sieht Geräte ohne Agent und die Bewegung zwischen Hosts. Was in jedem einzelnen Rechner passiert, deckt weiterhin der Endpunktschutz ab. Der Free-Plan hat kein Zeitlimit und braucht keine Kreditkarte, sodass Sie zuerst sehen, was er in Ihrem eigenen Netzwerk findet.

## Quellen

- [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)
- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie Ihre Pflichten mit Ihrer nationalen Behörde oder Ihrer Rechtsberatung.

## Verwandte Seiten

- [Laterale Bewegung und C2-Beaconing erkennen](https://netsenx.com/de/detect-lateral-movement-c2-beaconing)
- [Who is really inside your network? (Artikel auf Englisch)](https://netsenx.com/de/blog/2026-10-02_who-is-inside-your-network)
- [NDR, EDR und SIEM im Vergleich](https://netsenx.com/de/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Verschlüsselten Verkehr analysieren](https://netsenx.com/de/encrypted-traffic-analysis)
- [Preise und der Free-Plan](https://netsenx.com/de/pricing)