Was sind IDS und IPS?

IDS und IPS einfach erklärt

Eine Firewall entscheidet anhand fester Regeln, welche Verbindungen erlaubt sind – ähnlich einer Pforte, die nur Personen mit gültigem Ausweis durchlässt. Ein IDS schaut genauer hin. Es analysiert den Datenverkehr oder die Vorgänge auf einem System und sucht nach Anzeichen für einen Angriff, auch wenn die Verbindung an sich erlaubt ist.

Ein Vergleich: Ein IDS ist wie eine Alarmanlage mit Bewegungsmeldern. Sie meldet Eindringlinge, hält sie aber nicht auf – reagieren müssen andere. Ein IPS gleicht eher einem Türsteher, der verdächtige Gäste gar nicht erst hereinlässt. Dafür weist er gelegentlich auch harmlose Gäste ab, wenn er sich irrt.

So funktionieren IDS und IPS

Nach dem Einsatzort unterscheidet man zwei Varianten:

• Netzwerkbasiert (NIDS/NIPS): Das System überwacht den Datenverkehr an zentralen Punkten, etwa am Internetübergang oder zwischen Netzsegmenten.
• Hostbasiert (HIDS/HIPS): Das System läuft auf einem einzelnen Server oder Rechner und überwacht dort etwa Anmeldungen, Prozesse und Dateiänderungen.

Bei der Erkennung gibt es zwei Ansätze:

1. Signaturbasiert: Das System vergleicht den Verkehr mit bekannten Angriffsmustern, ähnlich wie ein Virenscanner. Das ist zuverlässig bei bekannten Angriffen, aber blind für neue.
2. Anomaliebasiert: Das System lernt, was „normal“ ist, und meldet Abweichungen – etwa einen Server, der plötzlich nachts große Datenmengen ins Internet schickt. So lassen sich auch neue Angriffe finden, allerdings mit mehr Fehlalarmen.

Der technische Unterschied: Ein IDS erhält meist eine Kopie des Datenverkehrs, etwa über einen Spiegel-Port am Netzwerkverteiler (Switch), und beobachtet nur. Ein IPS sitzt direkt im Datenstrom und kann Verbindungen sofort unterbrechen. Deshalb muss es besonders sorgfältig eingestellt werden.

Beide haben Grenzen. Verschlüsselter Datenverkehr verbirgt seinen Inhalt. Angreifer, die mit gestohlenen Zugangsdaten und legitimen Verwaltungswerkzeugen arbeiten, sehen aus wie normale Administratoren. Und zu viele Fehlalarme führen dazu, dass echte Warnungen untergehen. Deshalb ergänzt man IDS und IPS um weitere Bausteine. EDR erkennt verdächtiges Verhalten direkt auf Laptops und Servern. Ein SIEM führt Meldungen aus vielen Quellen zusammen.

Ein Beispiel aus der Praxis

Ein Krankenhaus betreibt ein IDS am Übergang zwischen dem Verwaltungsnetz und dem Netz der Medizingeräte. In einer Red-Teaming-Übung – einem beauftragten, verdeckten Angriff – bewegt sich das Red Team mit erbeuteten Zugangsdaten durch das Verwaltungsnetz. Als es das Netz nach offenen Diensten absucht, schlägt das IDS tatsächlich Alarm. Die Meldung landet jedoch in einem Sammelpostfach, das nur gelegentlich gelesen wird.

Erst die gemeinsame Auswertung nach der Übung bringt das ans Licht. Das Krankenhaus legt daraufhin feste Zuständigkeiten und eine Rufbereitschaft für kritische Alarme fest. In einer anschließenden Purple-Teaming-Sitzung, in der Angreifer und Verteidiger gemeinsam üben, schärft es seine Erkennungsregeln.

Warum ist das für Unternehmen wichtig?

Kein Schutz ist lückenlos. Wie groß der Schaden eines Angriffs wird, hängt deshalb stark davon ab, wie schnell er auffällt. Angreifer, die sich über längere Zeit unbemerkt im Netz bewegen, können Daten abziehen und Ransomware vorbereiten.

Auch der Gesetzgeber setzt auf Erkennung. In Deutschland sind Betreiber kritischer Anlagen nach § 31 Abs. 2 BSI-Gesetz (BSIG) verpflichtet, Systeme zur Angriffserkennung einzusetzen. Unternehmen, die unter NIS2 fallen, müssen erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK melden – die frühe Erstmeldung innerhalb von 24 Stunden. Das setzt voraus, dass Angriffe überhaupt bemerkt werden.

Entscheidend ist dabei weniger die Technik als der Prozess dahinter. Ein IDS, dessen Alarme niemand bewertet, ist wie eine Alarmanlage, die in einem leeren Gebäude heult.

So schützen Sie sich

• Messpunkte festlegen: Überwachen Sie den Internetübergang, die Übergänge zwischen Netzsegmenten und besonders schützenswerte Bereiche wie Server- oder Produktionsnetze.
• Schrittweise vorgehen: Starten Sie im reinen Erkennungsmodus, passen Sie die Regeln an Ihre Umgebung an und blockieren Sie erst dann gezielt.
• Alarme auswerten: Führen Sie Meldungen zentral zusammen und legen Sie Zuständigkeiten fest – auch außerhalb der Geschäftszeiten. Das kann etwa ein SOC übernehmen, also ein Team, das Ihre IT kontinuierlich überwacht.
• Aktuell bleiben: Halten Sie Signaturen und Regeln auf dem neuesten Stand.
• Kombinieren: Ergänzen Sie die Netzwerküberwachung um EDR und eine gute Protokollierung.
• Reaktion üben: Legen Sie fest, wer bei einem Alarm was tut, und spielen Sie den Ernstfall durch.
• Wirksamkeit testen: Prüfen Sie Ihre Erkennung mit realistischen Angriffen statt nur anhand von Herstellerangaben.

Wie Rootsektor unterstützt

Bei unserer Leistung Red Teaming & APT-Simulation greifen wir verdeckt an und protokollieren jeden Schritt mit Zeitstempel. So sehen Sie genau, was Ihr IDS, Ihr EDR oder Ihr SIEM erkannt hat – und was nicht. Als Variante bzw. Ergänzung des Red Teamings bieten wir Purple Teaming an: Wir spielen Angriffstechniken Schritt für Schritt durch, und Ihr Team passt seine Erkennungsregeln direkt an. Für ein passendes Szenario nehmen Sie gern Kontakt mit uns auf; ein Angebot erhalten Sie auch über unser Pentest-Angebot.