Living off the Land: Wenn Hacker Ihre eigenen Werkzeuge gegen Sie einsetzen

Stellen Sie sich folgende Situation vor: 

Ein Mitarbeiter aus Ihrem Unternehmen erhält einen Anruf über Microsoft Teams. Der Anrufer stellt sich als Kollege aus dem IT-Support vor. Er erklärt, dass aktuell technische Probleme auftreten und die IT bereits daran arbeitet. Um die Störung zu beheben, bittet er darum, Quick Assist zu starten und den Bildschirm freizugeben. 

Die Anfrage wirkt plausibel. Das Werkzeug ist bereits auf dem Rechner installiert. Der Anrufer spricht souverän, kennt offensichtlich interne Abläufe und erzeugt den Eindruck, helfen zu wollen. 

Würden Sie den Betrugsversuch erkennen? 

Genau dieses Szenario war Ausgangspunkt eines realen Sicherheitsvorfalls, den Microsoft untersucht hat. Ein Angreifer kontaktierte mehrere Beschäftigte eines Unternehmens über Teams und gab sich als IT-Support aus. Nachdem zwei Mitarbeitende misstrauisch geworden waren, gewährte eine dritte Person schließlich den gewünschten Fernzugriff. Damit begann die eigentliche Kompromittierung. Der Angreifer erlangte Zugang, brachte das Opfer zur Eingabe von Zugangsdaten auf einer gefälschten Website und nutzte anschließend legitime Werkzeuge, um sich unauffällig im Unternehmensumfeld zu bewegen. 

Der Vorfall zeigt, wie sich die Bedrohungslandschaft verändert hat. Viele moderne Angriffe beginnen nicht mehr mit einer Sicherheitslücke oder einer auffälligen Schadsoftware. Sie beginnen mit Vertrauen. 

Was bedeutet „Living off the Land“? 

Der Begriff Living off the Land, häufig als LOTL abgekürzt, beschreibt eine Angriffsmethode, bei der Cyberkriminelle vorhandene Werkzeuge, Systemfunktionen und legitime Software missbrauchen, anstatt eigene Schadsoftware einzusetzen. 

Für Sie und Ihr Unternehmen bedeutet das: Der Angreifer nutzt häufig dieselben Werkzeuge, die auch Ihre IT-Abteilung täglich verwendet. 

Dazu gehören beispielsweise: 

• PowerShell 

• Windows-Kommandozeile 

• RDP 

• Fernwartungslösungen 

• Administrationswerkzeuge 

• Netzwerkdiagnose-Tools 

• Remote-Monitoring- und Management-Lösungen 

Auf den ersten Blick wirkt nichts davon verdächtig. 

Genau das macht diese Angriffe so gefährlich. 

Aus Sicht des Angreifers bietet LOTL mehrere Vorteile. Die verwendeten Programme sind in vielen Unternehmen bereits freigegeben, verfügen über gültige Signaturen und gehören zum normalen Betriebsalltag. Dadurch sinkt die Wahrscheinlichkeit, dass Sicherheitslösungen sofort Alarm schlagen. Internationale Sicherheitsbehörden beschreiben LOTL deshalb als eine Methode, mit der Aktivitäten im normalen System- und Netzwerkverhalten verborgen werden können. 

Vielleicht stellen Sie sich jetzt die Frage: 

„Nutzen wir solche Werkzeuge überhaupt?“ 

Die ehrliche Antwort lautet fast immer: Ja. 

Praktisch jedes Unternehmen verwendet heute legitime Administrationswerkzeuge, Cloud-Plattformen, Fernwartungslösungen oder Automatisierungsskripte. 

Die Herausforderung besteht deshalb nicht darin, diese Werkzeuge zu verbieten. Die Herausforderung besteht darin, Missbrauch zu erkennen. 

Warum Angreifer legitime Werkzeuge bevorzugen 

Wenn Sie an einen Cyberangriff denken, haben Sie wahrscheinlich Bilder von Viren, Ransomware oder unbekannter Schadsoftware im Kopf. 

Die Realität moderner Angriffe sieht oft deutlich unspektakulärer aus. Denn Angreifer wissen, dass Unternehmen zunehmend in Endpoint Security, Malware-Erkennung und Bedrohungsschutz investieren. Deshalb versuchen sie, gar nicht erst als „klassischer Angreifer“ aufzufallen. Stattdessen nutzen sie dieselben Werkzeuge wie Administratoren. 

PowerShell ist hierfür ein gutes Beispiel. Das Werkzeug ist ein elementarer Bestandteil moderner Windows-Umgebungen und ermöglicht die Automatisierung zahlreicher Aufgaben. Gleichzeitig kann PowerShell genutzt werden, um Systeme zu erkunden, zusätzliche Befehle auszuführen oder weitere Komponenten nachzuladen. 

Dasselbe gilt für Fernwartungslösungen. Programme wie AnyDesk, TeamViewer, ScreenConnect, Splashtop oder Quick Assist wurden entwickelt, um Anwender zu unterstützen und Systeme effizient zu verwalten. Dieselben Funktionen ermöglichen jedoch auch einem Angreifer die interaktive Steuerung eines Rechners. 

Aus Sicht eines Cyberkriminellen ist das ideal. Denn: Warum eine aufwendige Schadsoftware entwickeln, wenn bereits alle notwendigen Werkzeuge im Unternehmen vorhanden sind? 

Der Angriff beginnt oft lange vor der Technik 

Die meisten erfolgreichen LOTL-Angriffe starten nicht mit einer technischen Aktion. 

Sie beginnen bei einem Menschen. 

Versetzen Sie sich für einen Moment in die Lage eines Mitarbeitenden: 

Der Posteingang läuft über. Es treffen plötzlich Dutzende oder sogar Hunderte unerwartete E-Mails ein. Parallel klingelt das Telefon oder ein Teams-Anruf geht ein. Eine angebliche Support-Mitarbeiterin erklärt, dass die IT bereits von dem Problem weiß und nun dringend handeln müsse. 

In dieser Situation entsteht Stress. Der Mitarbeitende möchte den Vorfall schnell lösen und ist dankbar für Unterstützung. Genau dieses Verhalten machen sich viele Angreifer zunutze. 

Microsoft dokumentierte mehrere Kampagnen, bei denen Täter zunächst sogenannte Mail-Bombing-Techniken einsetzten und anschließend per Teams Kontakt aufnahmen. Die Opfer erhielten den Eindruck, dass die Hilfe unmittelbar mit dem gerade erlebten Problem zusammenhängt. Tatsächlich war beides Teil desselben Angriffs. 

Auch die Gruppe Scattered Spider verfolgt einen ähnlichen Ansatz. Die Täter geben sich als Helpdesk-Mitarbeiter aus, veranlassen Passwort-Resets, manipulieren MFA-Prozesse oder überzeugen Anwender davon, legitime Fernwartungslösungen zu installieren. 

Die eigentliche Schwachstelle ist dabei weder Teams noch Quick Assist. 

Die eigentliche Schwachstelle ist die menschliche Bereitschaft, zu helfen und auf scheinbar legitime Anfragen zu reagieren. 

So läuft ein Living-off-the-Land-Angriff ab 

Wenn der erste Zugriff gelingt, beginnt häufig die nächste Phase. 

Stellen Sie sich vor, der Angreifer hätte tatsächlich Zugriff auf einen Arbeitsplatz in Ihrem Unternehmen erhalten. Welche Schritte wären als Nächstes notwendig? 

In den meisten Fällen würde er zunächst Informationen sammeln: 

• Welche Benutzer sind angemeldet? 

• Welche Systeme existieren? 

• Welche Berechtigungen sind verfügbar? 

• Welche Server können erreicht werden? 

• Wo liegen sensible Daten? 

Für diese Aufgaben reichen oftmals Standardbefehle und Systemwerkzeuge vollkommen aus. Genau solche Aktivitäten wurden beispielsweise bei Angriffen der Rhysida-Ransomware beobachtet. Dort kamen unter anderem PowerShell, RDP und verschiedene Windows-Befehle zur Erkundung und Bewegung innerhalb der Umgebung zum Einsatz. 

Das Tückische daran: 

Jeder einzelne Schritt kann legitim aussehen. 

Ihr Administrator nutzt möglicherweise dieselben Werkzeuge. Auch RDP-Verbindungen, PowerShell-Befehle oder Fernwartungssitzungen sind grundsätzlich nichts Ungewöhnliches. 

Erst wenn alle Einzelteile zusammengesetzt werden, wird aus normalen Aktivitäten eine verdächtige Angriffskette. 

Genau deshalb betonen Behörden wie CISA immer wieder, dass die Nutzung eines bestimmten Werkzeugs allein noch keinen Angriff beweist. 

Der entscheidende Faktor ist der Kontext. 

Warum klassische Sicherheitsansätze häufig zu kurz greifen 

Wenn Sie bereits in Cybersecurity investiert haben, könnten Sie sich fragen, ob Ihre vorhandenen Sicherheitslösungen solche Aktivitäten nicht ohnehin erkennen sollten. 

Leider ist die Antwort oft komplizierter: Traditionelle Schutzmechanismen wurden primär entwickelt, um schädliche Dateien, bekannte Malware oder eindeutige Indikatoren eines Angriffs zu erkennen. Living-off-the-Land-Angriffe funktionieren jedoch anders. Hier gibt es häufig keine verdächtige Datei: 

Keinen klassischen Trojaner. Keine auffällige Schadsoftware. 

Stattdessen sehen Sicherheitsteams PowerShell, RDP, Fernwartungssoftware oder Administrationswerkzeuge. Alles Aktivitäten, die prinzipiell auch legitim sein könnten. Deshalb lautet die zentrale Frage heutzutage nicht mehr: 

„Welches Werkzeug wurde verwendet?“ 

Sondern: 

„Passt dieses Verhalten zu dem Benutzer, dem System und dem Zeitpunkt?“ 

Eine PowerShell-Ausführung durch Ihr IT-Team am Montagmorgen ist vermutlich unkritisch. Eine PowerShell-Ausführung durch einen Vertriebsmitarbeiter um 02:17 Uhr nachts könnte dagegen einen genaueren Blick wert sein. 

Diese Form der Verhaltensanalyse gewinnt deshalb immer stärker an Bedeutung. 

Warum MDR hier einen entscheidenden Unterschied machen kann 

Genau an dieser Stelle stoßen viele Unternehmen mit eigenen Ressourcen an Grenzen. 

Um Living-off-the-Land-Angriffe zuverlässig zu erkennen, müssen Identitäten, Endpunkte, Netzwerke, Cloud-Dienste und Benutzeraktivitäten kontinuierlich überwacht werden. Hinzu kommt die Herausforderung, Millionen einzelner Ereignisse richtig einzuordnen. Für die meisten mittelständischen Unternehmen ist das rund um die Uhr kaum realistisch. 

Managed Detection and Response (MDR) wurde genau für diese Herausforderung entwickelt. 

Ein MDR-Service betrachtet nicht nur einzelne Warnmeldungen, sondern analysiert Zusammenhänge. Verdächtige Identitätsereignisse werden mit Endpunktaktivitäten, Netzwerkverbindungen und Cloud-Logs korreliert. Dadurch werden Verhaltensmuster sichtbar, die bei einer isolierten Betrachtung unauffällig erscheinen würden. Es werden zudem nicht nur einzelne Warnmeldungen betrachtet, sondern Zusammenhänge analysiert. 

Gerade bei Living-off-the-Land-Angriffen ist das entscheidend. 

Denn der gefährliche Teil ist selten ein einzelnes Ereignis. Es ist die Kombination vieler scheinbar normaler Aktivitäten. Die Empfehlungen internationaler Behörden unterstreichen genau diesen Ansatz. Zentrales Logging, kontinuierliche Baseline-Erstellung, Verhaltensanalyse und die Korrelation verschiedener Datenquellen gehören zu den wichtigsten Maßnahmen gegen LOTL-basierte Angriffe. 

Was Sie heute konkret tun können 

Auch wenn sich Living-off-the-Land-Angriffe nicht vollständig verhindern lassen, können Sie das Risiko erheblich reduzieren. 

Fragen Sie sich: 

• Wissen Sie, welche Fernwartungswerkzeuge in Ihrem Unternehmen eingesetzt werden? 

• Sind nicht benötigte Lösungen deaktiviert? 

• Gibt es einen definierten Prozess zur Verifizierung von IT-Anrufen? 

• Werden PowerShell- und Benutzeraktivitäten umfassend protokolliert? 

• Ist Ihre Teams-Kommunikation für externe Kontakte sinnvoll eingeschränkt? 

• Können verdächtige Aktivitäten auch außerhalb der Geschäftszeiten erkannt werden? 

Zusätzlich sollten Sie Helpdesk-Prozesse regelmäßig überprüfen, MFA-Verfahren absichern und Mitarbeitende gezielt für Vishing- und Social-Engineering-Angriffe sensibilisieren. 

Denn in vielen Fällen entscheidet kein technisches Sicherheitsprodukt über den Erfolg eines Angriffs, sondern die Reaktion eines einzelnen Mitarbeitenden. 

Fazit: Das Problem ist nicht das Werkzeug 

Living-off-the-Land-Angriffe zeigen, wie moderne Bedrohungsakteure heute vorgehen. Sie verlassen sich zunehmend auf legitime Werkzeuge, vorhandene Berechtigungen und menschliches Vertrauen statt auf auffällige Malware. 

Wenn Sie Ihr eigenes Unternehmen betrachten, sollten Sie deshalb nicht nur fragen, ob PowerShell, Quick Assist oder andere Fernwartungslösungen vorhanden sind. 

Fragen Sie sich vielmehr: 

Würden Sie erkennen, wenn jemand diese Werkzeuge gegen Sie einsetzt? 

Genau diese Fähigkeit entscheidet heute häufig über den Unterschied zwischen einer frühzeitig gestoppten Aktivität und einem Vorfall, der sich tagelang oder sogar wochenlang unbemerkt entwickelt. 

Wenn ein Angriff wie normale IT-Arbeit aussieht, reicht klassische Erkennung allein nicht mehr aus. Dann kommt es darauf an, Verhalten zu verstehen, Zusammenhänge zu erkennen und verdächtige Muster frühzeitig zu identifizieren. 

Genau deshalb werden kontinuierliche Überwachung, Verhaltensanalyse und MDR für viele Unternehmen zu einem zentralen Bestandteil moderner Cyberabwehr.