Angriffspfad einfach erklärt
Stellen Sie sich vor, ein Einbrecher will an den Tresor in der Chefetage. Die Haustür ist abgeschlossen, aber ein Kellerfenster steht auf Kipp. Im Treppenhaus gibt es keine Kontrolle. Die Tür zum Sekretariat ist nur angelehnt, und dort hängt am Schlüsselbrett der Schlüssel zum Tresorraum. Jede dieser Nachlässigkeiten wirkt für sich harmlos. Zusammen ergeben sie einen bequemen Angriffspfad bis zum Ziel.
So funktionieren auch Angriffspfade in der IT. Ein Angreifer braucht selten die eine große Sicherheitslücke. Er verbindet mehrere kleine: ein geknacktes Passwort, eine zu großzügige Berechtigung, einen Server ohne aktuelle Updates. Schritt für Schritt arbeitet er sich vor, bis er Kundendaten, die Finanzbuchhaltung oder die Kontrolle über das gesamte Netzwerk erreicht.
Für die Verteidigung ist das eine gute Nachricht: Wer den Pfad kennt, muss nicht alle Schwächen gleichzeitig beheben. Oft genügt es, ein entscheidendes Glied der Kette zu entfernen.
So funktioniert ein Angriffspfad
Angriffspfade in Unternehmensnetzen folgen meist einem wiederkehrenden Muster:
- Erster Zugang: Der Angreifer bekommt einen Fuß in die Tür, etwa über eine Phishing-Mail, ein erbeutetes Passwort oder eine Schwachstelle in einem aus dem Internet erreichbaren System.
- Umsehen: Er erkundet das Netzwerk. Welche Server gibt es, welche Konten haben welche Rechte? Im Windows-Netzwerk gibt das Active Directory bereitwillig Auskunft, denn viele Informationen darf dort jedes angemeldete Konto lesen.
- Rechte ausweiten: Mit einer Privilege Escalation verschafft er sich höhere Rechte, etwa Administratorrechte auf dem befallenen Rechner.
- Seitwärts bewegen: Mit erbeuteten Zugangsdaten springt er von System zu System. Fachleute nennen das Lateral Movement.
- Ziel erreichen: Am Ende stehen zum Beispiel Domänen-Administratorrechte – also die Kontrolle über alle Konten und Rechner –, der Zugriff auf sensible Daten oder die Möglichkeit, Systeme zu verschlüsseln.
Die frei zugängliche Wissensdatenbank MITRE ATT&CK beschreibt diese Phasen und die Techniken realer Angreifer im Detail. Für Windows-Netzwerke gibt es zudem Analysewerkzeuge, die Konten, Gruppen und Berechtigungen als Netz aus Verbindungen darstellen. So werden Pfade sichtbar, die in keiner Konfigurationsübersicht auffallen.
Ein Beispiel aus der Praxis
Ein Großhändler lässt prüfen, wie weit ein Angreifer mit dem Konto einer einzigen Mitarbeiterin käme – etwa nach einer erfolgreichen Phishing-Mail. Das Prüfteam findet folgenden Pfad:
- Das Passwort des lokalen Administratorkontos – des Verwaltungskontos auf jedem einzelnen Rechner – ist auf allen Arbeitsplatzrechnern identisch. Wer es nach einer Rechteausweitung auf einem Rechner erbeutet, kommt auf alle anderen.
- Auf einem dieser Rechner hat sich kürzlich ein Helpdesk-Mitarbeiter angemeldet. Spuren seiner Zugangsdaten liegen noch im Arbeitsspeicher und lassen sich auslesen.
- Das Helpdesk-Konto hat – ein Überbleibsel aus einem früheren Projekt – Administratorrechte auf einem Dateiserver. Dort meldet sich regelmäßig ein Domänen-Administrator an, dessen Zugangsdaten sich auf demselben Weg abgreifen lassen.
Jeder Punkt wirkt für sich unspektakulär. Zusammen führen sie in wenigen Schritten zur Kontrolle über die gesamte Domäne. Am wirksamsten ist hier eine einfache Regel: Domänen-Administratoren melden sich nur noch an dafür vorgesehenen Systemen an. Das unterbricht nicht nur diesen, sondern viele ähnliche Pfade. Individuelle lokale Passwörter und bereinigte Helpdesk-Rechte schließen die übrigen Lücken.
Warum ist das für Unternehmen wichtig?
Viele Prüfungen bewerten Schwachstellen einzeln. Dann landet eine Fehlkonfiguration mit „niedrigem“ Risiko weit hinten auf der Liste – obwohl sie das entscheidende Glied einer Kette sein kann. Erst der Blick auf den gesamten Pfad zeigt, welche Maßnahmen wirklich Vorrang haben.
Für Angreifer ist das Verketten von Schwächen Alltag. Gerade bei Ransomware-Angriffen versuchen Täter, schnell weitreichende Rechte zu erlangen, um Erpressungssoftware auf möglichst viele Systeme gleichzeitig zu verteilen. Wer seine Angriffspfade kennt, setzt begrenztes Budget und knappe Zeit dort ein, wo sie am meisten bewirken.
So schützen Sie sich
- Vom Ernstfall ausgehen: Planen Sie so, als wäre ein Arbeitsplatzrechner bereits kompromittiert („Assume Breach“). Wie weit käme ein Angreifer von dort?
- Berechtigungen minimieren: Jedes Konto erhält nur die Rechte, die es wirklich braucht. Das gilt besonders für Dienst- und Helpdesk-Konten.
- Administratorkonten trennen: Verwenden Sie hoch privilegierte Konten nur auf dafür vorgesehenen Systemen, nie auf normalen Arbeitsplatzrechnern.
- Lokale Passwörter individualisieren: So lässt sich ein erbeutetes Administratorpasswort nicht auf allen Rechnern nutzen.
- Netzwerk segmentieren: Trennen Sie Bereiche wie Verwaltung, Produktion und Server voneinander – mehr dazu unter Segmentierung.
- Pfade regelmäßig analysieren: Lassen Sie Ihre Umgebung aus Angreifersicht prüfen und beheben Sie zuerst die Schwächen, die mehrere Pfade zugleich öffnen.
Wie Rootsektor unterstützt
In einer Active-Directory-Analyse machen wir die Angriffspfade in Ihrer Windows-Domäne sichtbar und zeigen, an welcher Stelle Sie sie am wirksamsten unterbrechen. Auch in Penetrationstests verketten wir Befunde so, wie es ein echter Angreifer tun würde. Kritische Schwachstellen melden wir schon während des Tests sofort – telefonisch oder per E-Mail an die vereinbarte Ansprechperson. Ein Festpreisangebot nach dem Scoping erhalten Sie über die Seite Pentest-Angebot.