Was ist Lateral Movement?

Lateral Movement einfach erklärt

Ein Einbrecher steigt durch ein Kellerfenster in ein Bürogebäude ein. Er landet in einem Lagerraum – dort gibt es nichts Wertvolles. Findet er jedoch einen Schlüsselbund, kann er Tür für Tür weitergehen, bis er im Büro der Geschäftsführung vor dem Tresor steht. Genau das ist Lateral Movement in der IT.

Der erste übernommene Rechner – etwa der Laptop einer Mitarbeiterin nach einer Phishing-Mail – ist für Angreifer selten das eigentliche Ziel. Er ist nur der Einstieg. Von dort suchen sie nach Zugangsdaten, Verbindungen und Schwachstellen, die sie weiterbringen. Mit jedem Schritt wächst ihr Zugriff, bis sie die Systeme erreichen, auf die sie es abgesehen haben: Dateiserver, Datensicherungen, Buchhaltung oder die zentrale Benutzerverwaltung.

Oft geschieht das über Tage oder Wochen, ohne dass jemand etwas bemerkt. Denn Angreifer nutzen dabei häufig dieselben Werkzeuge, mit denen auch die IT-Administration täglich arbeitet.

So funktioniert Lateral Movement

1. Umsehen: Der Angreifer erkundet das Netzwerk. Welche Rechner und Server gibt es, welche Freigaben sind erreichbar, wer ist wo angemeldet?
2. Zugangsdaten sammeln: Er sucht gespeicherte Passwörter und liest Passwort-Hashes aus dem Arbeitsspeicher aus. Ein Hash ist eine Art mathematischer Fingerabdruck eines Passworts.
3. Weiterspringen: Mit der Beute meldet er sich an anderen Systemen an – über Fernwartungsfunktionen, Dateifreigaben oder Verwaltungswerkzeuge, die Windows ohnehin mitbringt. Bei Pass-the-Hash braucht er dafür nicht einmal das eigentliche Passwort.
4. Rechte ausweiten: Auf jedem neuen System sucht er nach Wegen zu höheren Rechten (Privilege Escalation), bis er Administratorrechte für das gesamte Netzwerk besitzt.
5. Ziel erreichen: Am Ende stehen Datendiebstahl, Sabotage oder die Verschlüsselung aller Systeme durch Ransomware.

Die öffentliche Wissensdatenbank MITRE ATT&CK, die das Vorgehen realer Angreifer beschreibt, führt Lateral Movement als eigene Taktik – also als eigenen Abschnitt eines Angriffs – mit zahlreichen Techniken.

Ein Beispiel aus der Praxis

Ein Steuerberatungsbüro mit zwei Standorten erhält eine präparierte Bewerbung per E-Mail. Eine Mitarbeiterin öffnet den Anhang, und auf ihrem Rechner startet unbemerkt Schadsoftware. Der Angreifer stellt fest, dass auf allen Arbeitsplätzen dasselbe lokale Administratorpasswort gesetzt ist. Mit dem ausgelesenen Hash meldet er sich nacheinander an weiteren Rechnern an. Auf einem davon war kurz zuvor der IT-Dienstleister mit einem Domänen-Administratorkonto angemeldet – dessen Zugangsdaten liegen noch im Arbeitsspeicher. Damit gelangt der Angreifer auf den Server mit den Mandantendaten und an die Datensicherung. Eine Segmentierung des Netzes und getrennte Administratorkonten hätten diesen Weg an mehreren Stellen unterbrochen.

Warum ist das für Unternehmen wichtig?

Den ersten Einbruch kann auch ein gut geschütztes Unternehmen nicht immer verhindern – eine einzige überzeugende Phishing-Mail genügt. Entscheidend ist deshalb, wie weit ein Angreifer danach kommt. Kann er sich frei bewegen, wird aus einem infizierten Laptop schnell ein Ausfall des gesamten Unternehmens.

Zugleich ist Lateral Movement eine Phase, in der Angreifer auffallen können. Sie melden sich an ungewohnten Rechnern an, nutzen Konten zu ungewöhnlichen Zeiten und greifen auf Systeme zu, die diese Konten sonst nie verwenden. Wer solche Muster erkennt, kann einen Angriff stoppen, bevor großer Schaden entsteht.

So schützen Sie sich

• Netz segmentieren: Trennen Sie Arbeitsplätze, Server, Verwaltung und Produktion voneinander. Arbeitsplatzrechner müssen in der Regel nicht direkt miteinander kommunizieren.
• Lokale Administratorpasswörter einzigartig machen: Werkzeuge wie Windows LAPS vergeben für jeden Rechner ein eigenes, regelmäßig wechselndes Passwort.
• Administratorkonten trennen: Nutzen Sie für die Verwaltung eigene Konten und ein Stufenmodell, das Konten für Arbeitsplätze, Server und zentrale Systeme strikt trennt.
• Zweiten Faktor verlangen: Schützen Sie Fernzugänge und administrative Zugriffe mit Multi-Faktor-Authentifizierung, also einer zusätzlichen Bestätigung etwa per App.
• Bewegungen erkennen: Lösungen zur Angriffserkennung auf Endgeräten (EDR) und eine zentrale Auswertung der Anmeldeprotokolle machen ungewöhnliche Zugriffe sichtbar.
• Reaktion vorbereiten: Legen Sie fest, wer bei einem Verdacht entscheidet und betroffene Systeme isoliert.

Wie Rootsektor unterstützt

Wie weit ein Angreifer in Ihrem Netz käme, zeigt eine realistische Angriffssimulation. Im Rahmen von Red Teaming & APT-Simulation bewegen wir uns kontrolliert durch Ihre Umgebung und prüfen zugleich, ob Ihre Erkennung anschlägt und Ihr Team reagiert. Als Variante bzw. Ergänzung des Red Teamings bieten wir Purple Teaming an: Wir spielen die Techniken gemeinsam mit Ihrem Verteidigungsteam Schritt für Schritt durch. Für einen fokussierten Blick auf das interne Netz eignet sich ein Penetrationstest für Netzwerk & Infrastruktur.