Cybersecurity Archives - Page 4 of 21

Die 10 besten Datenschutz-Tools: Schützen Sie Ihre Daten ganz einfach

Posted on 25. Juni 202521. August 2025 by ForeNova

Haben Sie sich schon einmal gefragt, wer alles Ihre Aktivitäten im Netz mitverfolgt?

Angesichts zunehmender Online-Bedrohungen ist es heute unerlässlich, die eigenen Daten zuverlässig zu schützen. Datenschutz im Internet ist längst keine Option mehr, sondern Pflicht.

Ob im öffentlichen WLAN oder im eigenen Heimnetz: Wer die passenden Privacy-Tools nutzt, schützt sich wirksam vor neugierigen Blicken. Wir haben die zehn besten Datenschutz-Tools für Sie zusammengestellt – damit Ihre Daten sicher und Ihr digitales Leben geschützt bleibt.

Wichtige Punkte

Entdecken Sie die besten Privacy-Tools, um Ihre Daten vor neugierigen Blicken zu schützen.

Wählen Sie aus einer Vielzahl an Lösungen – von VPNs bis zu sicheren E-Mail-Diensten -, passend für unterschiedliche Datenschutzbedürfnisse.

Erfahren Sie, wie diese Tools Anonymität ermöglichen, Tracker blockieren und Daten verschlüsseln.

Finden Sie heraus, welche Datenschutzlösungen am besten zu Ihrem digitalen Alltag passen, und treffen Sie eine informierte Wahl.

Die Bedeutung von Datenschutz-Tools für den täglichen Schutz im Netz

Online-Bedrohungen gehören für Techniknutzer zum Alltag. Mit den richtigen Privacy-Tools lässt sich die eigene Cybersicherheit deutlich stärken. Ein VPN wirkt dabei wie ein persönlicher Schutzschild im Netz: Es verschlüsselt Daten und verbirgt den Standort. Passwort-Manager helfen, starke Passwörter sicher zu verwahren und verringern so das Risiko von Datenlecks.

Zusätzlich sorgen verschlüsselte Messenger und E-Mail-Dienste dafür, dass Unterhaltungen privat bleiben. Datenschutzfreundliche Browser blockieren Tracker, die Nutzeraktivitäten aufzeichnen. Eine Zwei-Faktor-Authentifizierung (2FA) schützt Konten zusätzlich vor unbefugtem Zugriff. Wer diese Tools konsequent nutzt, macht einen großen Schritt hin zu mehr Sicherheit und schützt persönliche Informationen zuverlässig vor Cyberangriffen.

1. VPN-Dienste

Virtuelle private Netzwerke (VPNs) sind für alle, die ihre Online-Privatsphäre ernst nehmen, mittlerweile unverzichtbar. Sie verschlüsseln den gesamten Internetverkehr, verbergen die IP-Adresse und schaffen einen sicheren, verschlüsselten Übertragungskanal. So bleibt das Surfen anonym – und Inhalte, die regional gesperrt sind, werden zugänglich.

Proton VPN

Proton VPN bietet eine zuverlässige Möglichkeit, sich mit mehr Privatsphäre und Sicherheit im Internet zu bewegen. Es stellt eine verschlüsselte Verbindung her, die Ihre Online-Aktivitäten vor dem Zugriff durch Dritte – wie Internetanbieter oder Tracker – schützt.

Dank strenger Schweizer Datenschutzgesetze verfolgt Proton VPN eine strikte No-Logs-Politik: Weder Browserverlauf noch Online-Aktivitäten werden gespeichert. Zudem ermöglicht der Dienst den Zugriff auf Inhalte, die in bestimmten Regionen gesperrt sein können, und sorgt insgesamt für mehr digitale Freiheit beim Surfen.

IVPN

IVPN ist ein Virtual Private Network-Dienst, der speziell auf Datenschutz und Sicherheit ausgelegt ist. Er sorgt für verschlüsselte Internetverbindungen und schützt so vor der Überwachung durch Dritte wie Internetanbieter.

Transparenz und eine strikte No-Logs-Politik stehen im Mittelpunkt: Nutzerdaten zum Surfverhalten werden nicht gespeichert. Zu den Funktionen gehören Multi-Hop-Verbindungen, bei denen der Datenverkehr über mehrere Server geleitet wird, sowie AntiTracker, der Werbung und Web-Tracker blockiert.

Mullvad

Mullvad VPN ist ein Dienst, der besonderen Wert auf digitale Privatsphäre legt. Er verschlüsselt den Internetverkehr und leitet ihn über das eigene Netzwerk, um Online-Aktivitäten vor Internetanbietern und neugierigen Dritten zu verbergen.

Ein zentrales Merkmal von Mullvad: Es werden keinerlei Nutzerdaten protokolliert. Für die Kontoerstellung genügt eine anonyme Nummer – persönliche Angaben wie E-Mail-Adressen sind nicht nötig.

2. Passwortmanager

Passwortmanager machen Online-Sicherheit einfacher, indem sie Anmeldedaten sicher verwahren und dabei unterstützen, für jedes Konto starke und einzigartige Passwörter zu erstellen.

Proton Pass

Proton Pass ist ein sicherer Passwort-Manager und zugleich ein Organizer für digitale Identitäten. Er hilft dabei, für verschiedene Online-Konten starke, einzigartige Passwörter zu erstellen und diese in einem verschlüsselten Tresor aufzubewahren. Neben Passwörtern lassen sich auch Notizen und andere vertrauliche Informationen sicher speichern.

Praktisch: Mit der Funktion zur Erstellung von E-Mail-Aliasnamen bleibt die eigentliche E-Mail-Adresse verborgen, wenn man sich bei neuen Diensten registriert.

1Password

1Password ist ein Passwort-Manager, der dabei unterstützt, starke und einzigartige Passwörter für Online-Konten zu erstellen, sicher zu speichern und bequem zu verwalten. Alle Daten werden verschlüsselt und sind geräteübergreifend verfügbar – so bleibt die Nutzung komplexer Zugangsdaten einfach und sicher.

Neben Passwörtern lassen sich auch andere sensible Informationen wie Kreditkartendaten, sichere Notizen oder Softwarelizenzen geschützt ablegen.

Keepass XC

KeePass XC ist ein kostenloser und quelloffener Passwort-Manager. Er speichert Passwörter sowie andere sensible Daten wie Notizen und Dateianhänge in einer verschlüsselten Datenbank. Diese wird mit einem Master-Passwort, einer Schlüsseldatei oder einer Kombination aus beidem gesichert.

KeePass XC ist speziell für die Offline-Nutzung konzipiert und setzt auf volle lokale Datenkontrolle – die Passwortdatenbank bleibt ausschließlich auf dem eigenen Gerät und wird nicht in der Cloud abgelegt.

Psono

Psono ist ein Open-Source-Passwortmanager, der dabei unterstützt, digitale Zugangsdaten sicher zu speichern und zu verwalten. Er ermöglicht es, für verschiedene Online-Konten starke, einzigartige Passwörter zu erstellen und verschlüsselt abzulegen.

Der Dienst lässt sich entweder selbst hosten – so bleibt die volle Datenkontrolle auf den eigenen Servern – oder bequem über eine gehostete Version nutzen.

3. Verschlüsselte Messenger-Apps

Sichere Messenger-Apps sind unverzichtbar für alle, die beim Austausch von Nachrichten besonderen Wert auf Privatsphäre legen. Sie bewahren Gespräche vor unbefugtem Zugriff und neugierigen Blicken.

Signal

Signal gilt dank seiner Ende-zu-Ende-Verschlüsselung als Vorreiter unter den sicheren Messenger-Apps. Nur Sender und Empfänger können die Nachrichten lesen – so bleiben Unterhaltungen wirklich privat. Da Signal Open Source ist, wird der Code regelmäßig geprüft, was die App zu einer verlässlichen Wahl für alle macht, die Wert auf Datenschutz legen.

Briar

Briar ist eine Open-Source-Messenger-App, die speziell für sichere und widerstandsfähige Kommunikation entwickelt wurde – auch unter schwierigen Bedingungen. Anders als herkömmliche Messenger benötigt Briar keinen zentralen Server, sondern verbindet Nutzer direkt: entweder über das Internet (mit Tor) oder lokal über Bluetooth und WLAN. So bleibt der Austausch selbst dann möglich, wenn der Internetzugang eingeschränkt oder zensiert ist.

Element

Element ist eine Open-Source-Messenger-App, die auf dem Matrix-Protokoll basiert und sichere, dezentrale Kommunikation ermöglicht. Alle Nachrichten, Anrufe und Dateien sind Ende-zu-Ende-verschlüsselt, sodass Unterhaltungen ausschließlich unter den Teilnehmern privat bleiben.

4. Datenschutzfreundliche Browser

Datenschutzfreundliche Browser schützen Ihre Online-Aktivitäten vor Tracking und Überwachung. Mit Funktionen und Einstellungen, die Privatsphäre zur Priorität machen, sind sie unverzichtbar für alle, die ihre digitalen Spuren so gering wie möglich halten wollen.

Brave

Der Brave-Browser stellt Datenschutz in den Mittelpunkt: Er blockiert Werbung und Tracker automatisch, sorgt für schnelleres Surfen und schützt die Privatsphäre im Netz. Über das spezielle Basic Attention Token-System können Nutzer sogar Belohnungen erhalten und ihre Aufmerksamkeit in einen echten Wert verwandeln.

Firefox

Firefox ist ein weiterer bewährter Browser für alle, die Wert auf Datenschutz legen. Mit zahlreichen Einstellungsmöglichkeiten lässt sich das Surferlebnis individuell gestalten. Dank Transparenz und Open-Source-Entwicklung genießen Nutzer Vertrauen in die Integrität und Sicherheit des Browsers.

Mullvad Browser

Der Mullvad Browser ist ein Webbrowser, der zusammen mit dem Tor-Projekt entwickelt wurde und speziell darauf ausgelegt ist, den Datenschutz zu stärken und digitale Fingerabdrücke zu minimieren. Er reduziert die Menge an einzigartigen Informationen, die der Browser an Websites übermittelt, und erschwert so die Nachverfolgung von Online-Aktivitäten.

5. Secure Email Providers

Vertrauenswürdige E-Mail-Dienste sichern Nachrichten durch Verschlüsselung ab, sodass nur die vorgesehenen Empfänger Zugriff darauf haben – und unbefugter Zugriff ausgeschlossen bleibt.

ProtonMail

ProtonMail schützt E-Mails mit Ende-zu-Ende-Verschlüsselung zuverlässig vor unbefugtem Zugriff.

Dank der strengen Schweizer Datenschutzgesetze genießen Nutzer zusätzlichen Schutz. Die benutzerfreundliche Oberfläche sorgt dafür, dass verschlüsselte E-Mail-Kommunikation unkompliziert und für jeden leicht nutzbar ist.

Tutanota

Tutanota verschlüsselt jede E-Mail und schützt Ihre Kommunikation zuverlässig – ganz ohne störende Werbung. Dank Open-Source-Entwicklung bleibt alles transparent, und Nutzer können nachvollziehen, wie ihre Daten verwaltet und gesichert werden.

Mailbox.Org

Mailbox.org ist ein E-Mail-Dienst, der Datenschutz und Sicherheit in den Vordergrund stellt. Neben den üblichen E-Mail-Funktionen bietet er auch eine Online-Office-Suite, Cloud-Speicher und Kalenderfunktionen.

Ein zentrales Merkmal: Mailbox.org arbeitet nach strengen deutschen Datenschutzgesetzen und garantiert so einen hohen Schutz Ihrer Daten.

6. Multifactor Authentication Tools

Ente Auth

Ente Auth ist eine Authentifizierungs-App, die zeitbasierte (TOTP) und HMAC-basierte (HOTP) Einmalpasswörter erstellt. Damit lässt sich für Online-Konten eine zusätzliche Sicherheitsebene über das normale Passwort hinaus einrichten.

Besonders hervorzuheben ist der Fokus auf Verschlüsselung und die nahtlose Synchronisierung über mehrere Geräte hinweg.

Aegis Authenticator

Aegis Authenticator ist eine kostenlose Open-Source-App zur Erstellung von Einmalpasswörtern (OTP) für die Zwei-Faktor-Authentifizierung (2FA). Unterstützt werden sowohl zeitbasierte (TOTP) als auch HMAC-basierte (HOTP) Verfahren.

Nutzer können ihre 2FA-Schlüssel sicher und verschlüsselt direkt auf dem eigenen Gerät ablegen – geschützt durch ein Master-Passwort oder biometrische Authentifizierung.

7. Anti-Tracking-Erweiterungen

Anti-Tracking-Erweiterungen schützen die Privatsphäre im Netz, indem sie Tracker blockieren, die das Surfverhalten überwachen.

Privacy Badger

Privacy Badger blockiert Tracker automatisch und stärkt so die Online-Privatsphäre – ganz ohne aufwendige Einstellungen. Beim Surfen lernt die Erweiterung ständig dazu und passt sich an, um auch neue Bedrohungen effektiv abzuwehren. Die einfache Bedienoberfläche macht es jedem leicht, mehr Schutz zu erreichen.

Ghostery

Ghostery bietet umfassenden Schutz vor Tracking, blockiert störende Werbung und Tracker und sorgt so für ein angenehmeres Surfen. Die detaillierte Tracker-Analyse zeigt, welche Unternehmen die Online-Aktivitäten verfolgen, und schafft so Transparenz. Über das benutzerfreundliche Dashboard lassen sich die Datenschutzeinstellungen individuell anpassen – volle Kontrolle über die eigenen Daten inklusive.

8. Sichere Cloud-Speicherlösungen

Geschützte Cloud-Speicherdienste nutzen Verschlüsselung, um Daten vor unbefugtem Zugriff zu sichern. Sie bieten sowohl Privatpersonen als auch Unternehmen sichere Möglichkeiten zur Speicherung sensibler Dateien.

Tresorit

Tresorit bietet Ende-zu-Ende-Verschlüsselung für Cloud-Speicher und schützt Ihre Daten effektiv vor unbefugtem Zugriff. Dank der Zero-Knowledge-Richtlinie hat ausschließlich der Nutzer Zugriff auf seine Dateien. Die benutzerfreundliche Oberfläche macht den sicheren Umgang mit Dateien für alle – unabhängig von technischen Vorkenntnissen – einfach und zugänglich.

Proton Drive

Proton Drive ist ein verschlüsselter Cloud-Speicherdienst, der Datenschutz und Sicherheit in den Fokus stellt. Dateien und Dokumente werden mit Ende-zu-Ende-Verschlüsselung gespeichert, sodass ausschließlich der Nutzer Zugriff auf seine Daten hat.

Peergos

Peergos ist eine dezentrale Plattform für Dateispeicherung und Kommunikation, die durchgängig Ende-zu-Ende verschlüsselt ist. Sie gibt Nutzern volle Kontrolle über ihre Daten, indem sie dem Dienstanbieter den Zugriff oder die Zensur von Inhalten unmöglich macht.

Auf Basis eines Peer-to-Peer-Netzwerks können Dateien sicher gespeichert, geteilt und verschlüsselte Nachrichten ausgetauscht werden.

9. Dateifreigabe und Synchronisation

Send

Send ist eine sichere Lösung für Dateifreigabe und Synchronisation, die Teams dabei unterstützt, digital Assets effizient zu verwalten und zusammenzuarbeiten. Die zentralisierte Plattform ermöglicht das Speichern, Teilen und Synchronisieren von Dateien über verschiedene Geräte und Standorte hinweg – einfach und zugänglich.

Onionshare

Onionshare ist ein Open-Source-Werkzeug für sichere und anonyme Kommunikation über das Tor-Netzwerk. Es erlaubt das Teilen von Dateien, das Hosten von Webseiten sowie private Chats – ganz ohne zentrale Server und ohne Preisgabe von Identität oder Standort.

Freedom Box

Freedom Box ist ein Open-Source-Personalserver, der Einzelpersonen und kleinen Gemeinschaften ermöglicht, ihre Online-Dienste und Daten selbst zu verwalten. Dabei wird günstige, energieeffiziente Hardware wie Einplatinencomputer in eine sichere und private Zentrale für vielfältige digitale Anwendungen verwandelt.

9. Sichere E-Mail-Programme

Thunderbird

Thunderbird ist ein kostenloser, quelloffener Desktop-E-Mail-Client der Mozilla-Community. Er vereint die Verwaltung von E-Mail-Konten, Newsfeeds und Chats in einer flexiblen und leistungsstarken Anwendung.

Mit Fokus auf Datenschutz und Nutzerkontrolle bleiben alle Daten lokal auf dem eigenen Rechner – eine sichere Alternative zu webbasierten Diensten, die oft persönliche Informationen sammeln.

Apple Mail

Apple Mail ist der vorinstallierte E-Mail-Client auf macOS-, iOS-, iPadOS- und watchOS-Geräten und bietet ein nahtloses, integriertes Erlebnis für die Verwaltung von E-Mails innerhalb des Apple-Ökosystems. Die übersichtliche und intuitive Benutzeroberfläche erleichtert das Senden, Empfangen und Organisieren von Nachrichten.

Fairmail

Fairmail ist ein quelloffener, datenschutzfokussierter E-Mail-Client für Android. Er bietet umfangreiche Funktionen zur Verwaltung mehrerer E-Mail-Konten und legt dabei besonderen Wert auf den Schutz der Nutzerdaten sowie die Minimierung von Tracking.

10. Eigene Cyber-Resilienz stärken

Jeder Techniknutzer sollte Datenschutz-Tools wegen ihrer Sicherheitsfunktionen einsetzen. Die digitale Welt ist voller Gefahren – von komplexen Phishing-Angriffen bis zu massiven Datenlecks, die persönliche und finanzielle Sicherheit bedrohen. Mit Tools wie VPNs, die den Internetverkehr schützen, und Passwortmanagern, die Konten absichern, baust du eine essenzielle Verteidigung auf.

Dabei geht es nicht nur darum, digitale Spuren zu verschleiern oder zu kontrollieren. Diese Tools bieten unverzichtbaren Schutz, bewahren deine Privatsphäre und reduzieren Risiken wie Identitätsdiebstahl, Finanzbetrug und gezielte Cyberangriffe. Wer auf diese sicherheitsstarken Datenschutz-Werkzeuge setzt, navigiert selbstbewusster und widerstandsfähiger durch die digitale Welt.

Fragen zu diesen Tools?

Bei Fragen steht Ihnen das Forenova-Team gerne zur Verfügung!

Was ist Infostealer-Malware?

Posted on 23. Juni 202521. August 2025 by ForeNova

Infostealers are a type of malicious software (malware) designed to infiltrate computer systems and steal sensitive information. They collect various types of data that are used by cybercriminals to gain access to restricted data, such as

Bank/Card information

Personal data (home address, security number, phone number, etc.)

Browser history data and cookies information

Crypto wallets and keys

Device-specific details (OS name, version, IP, installed software, etc.)

Infostealers are the most frequent type of attack in 2025

In 2024, infostealer malware infected approximately 4.3 million devices, compromising around 3.9 billion credentials, including passwords and other sensitive data.

Malware-as-a-Service on the rise

Underground forums represent a great source for potential hackers with minimal technical expertise to purchase this type of service (malware-as-a-service).

The rise in cryptocurrency adoption

As the acceptance of cryptocurrency expands globally, hackers stand to gain significant returns on investment by obtaining wallet/key information.

Remote workforce & more online accounts than ever

People manage more online accounts and digital assets than ever before, and with more employees working from home on potentially less secure networks, it creates the perfect storm conditions for hackers to exploit.

How do Infostealers get in?

1. The classic bait and switch with phishing attackers distributing malicious payloads through deceptive communications.

These often take the form of malicious document attachments that exploit application vulnerabilities when opened. They also employ links directing users to credential harvesting sites or malware downloads disguised as legitimate resources.

2. Compromised Websites

Hackers can unknowingly distribute malware on regular websites. Some attacks automatically download malicious files when you simply visit an infected site.

Harmful ads placed on legitimate websites can redirect visitors to dangerous content. Software downloads may contain hidden malware alongside the intended program.

3. Social Engineering

Criminals may pretend to be technical support staff to convince victims to grant them remote access to computers. Deceptive messages on social media platforms exploit existing relationships to spread malicious links. Public QR codes can also lead individuals to risky websites.

4. Trojan Horse in Supply Chain

Attackers often target the software development and distribution process, which may alter legitimate software updates to include malicious code. Many applications‘ development libraries and components are also susceptible to compromise.

Most popular Infostealer variants

RedLine Stealer

RedLine Stealer was frequently cited as one of the most dominant infostealers throughout 2023 and 2024. One report indicated it was responsible for 43% of observed infostealer infections in 2024. It targets credentials, cookies, credit card details, FTP clients, cryptocurrency wallets, and specific files.

LummaC2 Infostealer

LumnaC2 saw a significant surge in detections in late 2024. Reports indicate massive increases in detections (e.g., a 369% increase from H2 vs. H1 2024, according to ESET), and it’s often listed among the top 3 most prevalent stealers. It targets crypto wallets, browser data (profiles, cookies, credentials), 2FA extensions, and system information.

Rise Pro

Rise Pro is one of the most significant stealers, according to some reports (e.g., Kaspersky data places it second only to RedLine for 2024 infections).

Racoon Stealer

While its main developer was arrested, leading to a temporary dip, updated versions emerged, and it remains a frequently mentioned threat, particularly noted in some regional reports (like LACNIC for Latin America/Caribbean) and historical data. It steals a wide range of credentials and crypto wallets.

What IT Managers Can Do Today to Protect Against Infostealers

Start by disabling browser-based password storage across all endpoints and enforce the use of enterprise-grade password managers. This helps eliminate one of the most common data sources targeted by infostealers.

Ensure that MFA is phishing-resistant by using hardware tokens or app-based push notifications rather than SMS codes.

Next, segment your high-risk and legacy systems. Machines running outdated operating systems or OT equipment that can’t support modern EDR agents should be isolated using firewall rules and VLAN segmentation to prevent lateral movement.

Secure endpoint and browser configurations by removing unnecessary software and plugins. Block installation of unsigned apps or browser extensions not vetted by your team. This reduces the potential attack surface significantly.

Proactively monitor early signs of infostealer activity. Watch for unusual outbound connections, reuse of credentials from unknown IPs, or browser processes behaving abnormally.

Traditional antivirus and firewall solutions aren’t built to detect credential theft as it happens. That’s where Managed Detection and Response (MDR) comes in.

With solutions like NovaMDR, small and medium-sized businesses can gain:

We conduct 24/7 behavioral monitoring of endpoints, networks, and cloud activity to detect abnormal data exfiltration in real-time.

We ensure expert validation of threats to prevent false positives from overshadowing genuine alerts.

We detect credential theft by spotting anomalies such as logins from new geographies, cookie harvesting behaviors, and password dumping tools.

We deliver immediate response capabilities such as isolating infected endpoints, halting suspicious processes, or triggering password resets.

Ready to stop infostealers before they ruin your business? Check out NovaMDR.

Optimierung Ihrer Sicherheitsstrategie: Bedrohungsmodellierung für proaktives Threat Hunting

Posted on 13. Juni 202521. August 2025 by ForeNova

Die Kombination aus Bedrohungsmodellierung und proaktivem Threat Hunting ermöglicht es, Cyberbedrohungen frühzeitig zu erkennen und wirksam zu verhindern. Der besondere Mehrwert der Bedrohungsmodellierung liegt in ihrer Fähigkeit, potenzielle Schwachstellen und Angriffsszenarien bereits vor der Einführung neuer Anwendungen oder Systemplattformen zu identifizieren.

Threat Hunting hingegen konzentriert sich auf die Auswertung von Sicherheitstelemetrie, um verdächtige Aktivitäten zu analysieren – insbesondere solche, die bestehende Schutzmechanismen umgangen haben.

Viele Unternehmen, denen es schwerfällt, qualifizierte Fachkräfte für Threat Hunting und Bedrohungsmodellierung zu rekrutieren und langfristig zu binden, setzen auf Managed Detection and Response (MDR)-Anbieter wie ForeNova.

Wichtige Erkenntnisse

Threat Modeling bietet einen strukturierten Ansatz zur Identifikation potenzieller Bedrohungen und Schwachstellen
Die Einbindung von Threat Modeling in die Sicherheitsstrategie stärkt die Fähigkeit zur frühzeitigen Bedrohungserkennung
Die Wirksamkeit des Modells hängt maßgeblich von Aktualität und Vollständigkeit der Bedrohungsszenarien ab
Erkenntnisse aus dem Threat Modeling sollten systematisch in tägliche Sicherheitsprozesse einfließen
Eine Kultur kontinuierlicher Verbesserung entsteht durch die Kombination aus Threat Modeling und proaktivem Threat Hunting

Grundlagen der Bedrohungsmodellierung

Die Bedrohung durch Cyberangriffe erstreckt sich auf sämtliche Bereiche der IT- und Digitalinfrastruktur eines Unternehmens. Angesichts der Vielzahl potenzieller Schwachstellen ist es entscheidend, jene zu identifizieren, die im Ernstfall den größten Schaden verursachen könnten. Threat Modeling hat sich dabei als proaktiver Ansatz etabliert: Es ermöglicht, potenziell ausnutzbare Schwachstellen frühzeitig zu bewerten und deren Risikopotenzial systematisch einzuordnen.

Grundlagen der Techniken und Taktiken der Bedrohungsmodellierung

Um den Schutz neuer Architekturen oder Anwendungen realistisch einzuschätzen, greifen Sicherheitsingenieure auf unterschiedliche Angriffsvektoren und -methoden zurück. So lässt sich prüfen, ob die bestehenden Sicherheitskontrollen wirksam sind.

TDie Bedrohungsmodellierung gliedert sich in vier zentrale Schritte:

Systeme dokumentieren: Welche Anwendungs- und Systementwicklungsprojekte sind aktuell in der Organisation in Arbeit?
Angriffsvektoren definieren: Mit welchen Angriffsszenarien oder potenziellen Störungen ist zu rechnen?
Sicherheitskontrollen erfassen und aktivieren: Sind aktuelle Security-Tools vorhanden, die auch fortschrittliche Bedrohungen abwehren können?
Ergebnisse analysieren: Konnten die vorhandenen Schutzmaßnahmen die simulierten Angriffe auf potenzielle Schwachstellen erfolgreich abwehren?

Durch die Kombination aus Bedrohungsmodellierung und Angriffssimulation lässt sich das tatsächliche Risiko gezielt bewerten und priorisieren.

Synergien zwischen Threat Modeling und Threat Hunting

Threat Modeling ist die ideale Ergänzung für ein wirkungsvolles Threat Hunting. Die daraus gewonnenen Erkenntnisse ermöglichen es Hunting-Teams, sich gezielt auf priorisierte Risikobereiche innerhalb der digitalen Infrastruktur zu konzentrieren.

Darüber hinaus liefert das Bedrohungsmodell entscheidungsrelevante Informationen für die Unternehmensführung – etwa als Grundlage dafür, eine Anwendung oder ein System nicht in den Produktivbetrieb zu überführen.

Sicherheitslage stärken durch gezielte Bedrohungsmodellierung

Die globale Bedrohungslage befindet sich im ständigen Wandel.

Damit steigt die Bedeutung eines präzisen Verständnisses darüber, wie neue Angriffsmuster kritische Unternehmensressourcen gefährden können. Threat Hunter, die diese Entwicklungen frühzeitig erkennen, tragen wesentlich zur Risikominimierung und zur Stärkung der Sicherheitsarchitektur bei.

Bedrohungsmodellierung liefert die analytische Grundlage, um bestehende Abwehrmechanismen realistisch zu bewerten. In Kombination mit proaktivem Threat Hunting entsteht ein tieferes Verständnis dafür, wie sich Veränderungen im Bedrohungsumfeld auf verschiedene Angriffsvektoren auswirken. Diese Erkenntnisse ermöglichen es Unternehmen, ihre Sicherheitsstrategie dynamischer zu gestalten – einschließlich Anpassungen bei der Bedrohungsreaktion, der Systemarchitektur und der Ressourcenzuweisung.

Wird die Bedrohungsmodellierung jedoch isoliert betrachtet und nicht mit aktiver Bedrohungssuche verknüpft, bleiben wertvolle Potenziale ungenutzt – und Ressourcen werden ineffizient eingesetzt.

Praktische Tipps für eine effektive Bedrohungsmodellierung im Threat Hunting

Sicherheitsteams verfügen über verschiedene Ansätze, um Bedrohungsmodellierung effektiv in das Threat Hunting zu integrieren. Der erste Schritt eines jeden Bedrohungsmodellierungsprojekts besteht darin, ein passendes Framework auszuwählen. Zu den gängigen Modellen zählen STRIDE, PASTA, Trike und VAST.

Diese Frameworks verfolgen ähnliche Zielsetzungen: Sie unterstützen dabei, das Risikopotenzial bestimmter digitaler Assets zu bewerten und zentrale Schwachstellen bestehender Sicherheitsmechanismen zu identifizieren.

Die Wahl des geeigneten Frameworks sollte sich an der jeweiligen Plattform und den angestrebten Ergebnissen orientieren. STRIDE eignet sich besonders zur Bewertung von Softwareanwendungen, während PASTA ideal ist, um realistische Angriffsszenarien zu simulieren und dabei die Fähigkeit der Sicherheitsarchitektur zur Erkennung, Abwehr und Behebung gezielt zu prüfen.

Nach der Auswahl eines geeigneten Frameworks ist es entscheidend, die Aktivitäten aus der Bedrohungsmodellierung nahtlos in bestehende Threat-Hunting-Tools zu integrieren. Dazu zählen unter anderem Plattformen für Security Information and Event Management (SIEM), Extended Detection and Response (XDR) sowie Endpoint Detection and Response (EDR).

Diese Tools ermöglichen es, die bei der Modellierung entstandenen Analyseartefakte zentral zu speichern und mit zusätzlichen Kontextdaten anzureichern, die für den finalen Modellierungsbericht von hoher Relevanz sind.

Viele dieser Artefakte umfassen gezielte Versuche, Schwachstellen über verschiedene Angriffsflächen hinweg auszunutzen. Die Modellierungsstrategie besteht unter anderem darin, unterschiedliche Angriffsvektoren zu simulieren, um potenzielle Umgehungsmöglichkeiten bestehender Sicherheitsmechanismen sichtbar zu machen. Auf dieser Grundlage lassen sich gezielte Maßnahmen zur Risikominimierung entwickeln.

Many artifacts from threat hunting tools become part of the threat modeling analysis, including attempts to breach the various attack surfaces. Part of the threat modeling strategy is targeting different attack surfaces with varying vectors of attack, looking for vulnerabilities and exploits that bypass the defense tools. By discovering these bypasses, security teams can create a strategy to reduce the risk.

Dabei gilt: Nicht jede identifizierte Schwachstelle stellt automatisch ein hohes Sicherheitsrisiko dar. Die Bedrohungsmodellierung bietet jedoch eine fundierte Grundlage, um Prioritäten zu setzen – und ermöglicht es Threat-Hunting-Teams, sich auf jene digitalen Assets zu konzentrieren, deren Kompromittierung besonders schwerwiegende geschäftliche oder finanzielle Folgen hätte.

Häufige Fehler in der Bedrohungsmodellierung – und wie sie vermieden werden können

Methoden zur Bedrohungsmodellierung sind kein starres Regelwerk, sondern verlangen ein hohes Maß an Flexibilität und Anpassungsfähigkeit. Sicherheitsteams sollten den Modellierungsprozess daher als dynamischen Zyklus begreifen, der kontinuierlich weiterentwickelt werden muss. Jede Iteration erfordert eine erneute Bewertung der eingesetzten Methoden – je nach gewähltem Framework, zu prüfender Anwendung, Netzwerkinfrastruktur oder Cloud-Plattform.

Zentral ist dabei, dass die Bedrohungsmodellierung mit den sich wandelnden Mechanismen zur Bedrohungserkennung abgestimmt bleibt. Die Anwendung eines Frameworks wie PASTA unterscheidet sich grundlegend von der Verwendung von Trike – sowohl in Bezug auf Methodik als auch auf Zielsetzung. Die Wahl eines neuen Frameworks kann zudem eine engere Abstimmung zwischen verschiedenen Teams erfordern.

Fehlt diese interdisziplinäre Zusammenarbeit – etwa zwischen dem Sicherheitsteam und der Anwendungsentwicklung – drohen unvollständige Risikoanalysen. In der Folge kann nicht zuverlässig beurteilt werden, ob die bestehenden Sicherheitsmechanismen ausreichen, um zukünftige Angriffe effektiv abzuwehren.

Integration von Bedrohungsmodellierung in Sicherheitsabläufe

Die Bedrohungsmodellierung spielt eine zentrale Rolle für die Effektivität sicherheitsrelevanter Abläufe (SecOps) – sowohl in der Erkennung als auch in der Reaktion auf Bedrohungen. Ein entscheidender Aspekt ist dabei die Bewertung, ob die aktuell eingesetzten Cybersicherheitslösungen in der Lage sind, moderne Angriffe – insbesondere durch KI-gesteuerte Bedrohungen – wirksam zu erkennen, abzuwehren und zu dokumentieren.

Doch die Bedeutung der Bedrohungsmodellierung endet nicht bei der Vorfallreaktion. Sie muss auch in die kontinuierliche Sicherheitsüberwachung integriert werden. Da es für Unternehmen kaum möglich ist, sämtliche Ressourcen lückenlos zu überwachen oder jede Sicherheitsverletzung im Detail zu analysieren, entsteht zwangsläufig ein Abdeckungsrisiko. Hier schafft das Bedrohungsmodell Abhilfe, indem es eine risikobasierte Priorisierung ermöglicht.

Auf Basis dieser Risikoanalyse lassen sich Überwachungskapazitäten gezielt dort einsetzen, wo die potenziellen Auswirkungen am größten sind. SecOps-Teams können die priorisierte Risikoliste aus der Bedrohungsmodellierung direkt übernehmen und ihre Überwachungsstrategie entsprechend ausrichten.

Eine erfolgreiche Integration der Bedrohungsmodellierung in die Sicherheitsprozesse erhöht nicht nur die Effizienz der Teams, sondern verbessert auch die gesamte Sicherheitslage des Unternehmens. In Verbindung mit proaktivem Threat Hunting entsteht so ein wirksames und zukunftsfähiges Schutzkonzept.

Fazit

Bedrohungsmodelle prägen die Arbeitsweise moderner Threat-Hunting-Teams maßgeblich. In Kombination mit proaktivem Threat Hunting ermöglichen sie die Aufdeckung bislang unbekannter Bedrohungen, Indikatoren für Kompromittierung und charakteristischer Angriffsmuster. Sicherheitsoperationszentren benötigen daher eine durchdachte Bedrohungsmodellierungsstrategie, um ihre Jagdprozesse gezielter auszurichten und bestehende Sicherheitsmaßnahmen gegen versteckte Angriffe zu validieren.

Die Integration von Bedrohungsmodellierung in die Bedrohungssuche verbessert nicht nur die Identifikation und Analyse von Bedrohungen, sondern erhöht auch die Präzision bei deren Erkennung.

Unternehmen, die ihre Cybersicherheitsstrategie auf ein höheres Niveau heben möchten, profitieren von der Zusammenarbeit mit spezialisierten Anbietern von Managed Detection and Response (MDR). ForeNova bietet über die reine Endpunkt-Telemetrie hinaus umfassende Sicherheitskompetenz und unterstützt Organisationen mit kontinuierlicher Überwachung – ein echter Mehrwert für eine widerstandsfähige Bedrohungsabwehr.

Die ultimative Threat-Hunting-Checkliste für Cybersicherheitsexperten

Posted on 5. Juni 202521. August 2025 by ForeNova

Threat Hunting ist ein proaktiver Ansatz, der von Sicherheits-, Risikomanagement- und IT-Teams verfolgt wird, um potenzielle Cyberbedrohungen frühzeitig zu identifizieren, zu bewerten und zu dokumentieren – noch bevor sie aktiv werden.

Damit diese Maßnahme dauerhaft Mehrwert schafft, müssen Security Operations Teams (SecOps) einen klar strukturierten und reproduzierbaren Prozess etablieren. Eine standardisierte Checkliste für die Bedrohungssuche bietet SecOps eine bewährte Methode, um relevante Telemetriedaten aus Netzwerken, Endpunkten, Zero-Trust-Authentifizierungsprotokollen und Endgeräten systematisch zu erfassen. Durch die konsequente Durchführung interner Threat-Hunting-Initiativen stärken Unternehmen ihre gesamte Sicherheitsarchitektur nachhaltig.

Was sind die zentralen Erkenntnisse zum Threat Hunting?

Threat Hunting versetzt Unternehmen in eine offensive Position im Bereich Cybersicherheit – weg von reaktiver Verteidigung hin zu proaktivem Handeln. Die dafür eingesetzten Ressourcen sind eine lohnende Investition in die eigene Sicherheitsstrategie. Im Folgenden finden sich einige Schlüsselpunkte, die Unternehmen berücksichtigen sollten, um ihre Threat-Hunting-Strategie wirksam zu etablieren und langfristig aufrechtzuerhalten.

Die zentrale Rolle proaktiven Threat Huntings für eine widerstandsfähige Netzwerkarchitektur erkennen
Schlüsselelemente und bewährte Strategien für eine effektive Bedrohungssuche identifizieren
Tools zur Datenerfassung und -analyse gezielt für eine umfassende Bedrohungserkennung einsetzen
Den Mehrwert fortschrittlicher Erkennungstechnologien wie EDR (Endpoint Detection and Response) und IDS (Intrusion Detection System) nutzen
Sicherheitsstrategien durch kontinuierliche Anpassung an neue Bedrohungsszenarien fortlaufend optimieren

Die Checkliste für die Bedrohungssuche verstehen

SecOps-Teams, die aktiv nach Bedrohungen im Unternehmensumfeld suchen, nutzen Threat Hunting als Fundament für eine effektive und zielgerichtete Erkennungsstrategie.

Diese Vorgehensweise hilft dabei, Schwachstellen, Indikatoren für Kompromittierung (IoCs), menschliche Fehler in der Konfigurationsverwaltung sowie Unstimmigkeiten bei der Behebung kritischer Sicherheitslücken aufzudecken. Das Identifizieren von IoCs ist besonders entscheidend, da es auf potenzielle Schwachstellen in der bestehenden Threat-Detection-Strategie hinweist.

Warum proaktives Threat Hunting unverzichtbar ist

Cyberbedrohungen entwickeln sich kontinuierlich weiter. Hacker setzen zunehmend auf KI-gestützte Tools, um Angriffe wie E-Mail-Phishing, Denial-of-Service-Attacken (DoS) oder das Hijacking von Browser-Sitzungen zu automatisieren. Diese Werkzeuge optimieren ihre Angriffsmuster dynamisch – basierend auf bisherigen Erfolgen oder Misserfolgen.

Um diesen Entwicklungen zu begegnen, greifen SecOps-Teams selbst auf KI-basierte Threat-Hunting-Tools zurück. Sie nutzen umfassende Erkennungsregeln, automatisierte Risikobewertungen und standardisierte Reaktionsmechanismen, um verdächtige Aktivitäten effizient zu erkennen und zu beheben.

Ziel ist es, durch Automatisierung menschliche Fehler zu minimieren, Alarmmüdigkeit zu vermeiden und eine präzisere Analyse von Angriffsmustern zu ermöglichen.

Warum Threat Hunting für Cybersicherheitsexperten entscheidend ist

Ohne eine aktive Bedrohungssuche verbleiben SecOps-Teams und Unternehmen in einem rein reaktiven Modus. Angesichts der Masse KI-gestützter Angriffe führt dieser Ansatz unweigerlich in eine ausweglose Situation. Threat Hunting ist daher ein zentrales Element, um den Wandel hin zu einer proaktiven Sicherheitskultur einzuleiten.

Durch die gezielte Suche nach Indikatoren für Kompromittierung (IoCs) sowie nach Taktiken, Techniken und Verfahren (TTPs) aus dem MITRE-ATT&CK-Framework können Unternehmen ihre Verteidigungsmaßnahmen frühzeitig anpassen – bevor Angreifer zuschlagen.

Zentrale Bestandteile von Threat-Hunting-Tools und Ressourcenzuweisung

Beim Erstellen einer Checkliste zur Bedrohungssuche sollten SecOps-Teams den Prozess in vier klar definierte Phasen unterteilen. So stellen sie sicher, dass die Umsetzung effektiv, wiederholbar und flexibel bleibt.

PreparationVorbereitung

In der Vorbereitungsphase legen SecOps-Teams gemeinsam mit der Geschäftsleitung die konkreten Ziele der Bedrohungssuche fest. Sobald diese Ziele klar definiert sind, gilt es, eine Übersicht über alle relevanten Informationsquellen zu erstellen. Die meisten SecOps-Teams verfügen über Zugriff auf globale Threat-Intelligence-Feeds und Open-Source-Daten, die sie in ihre Analysen einbeziehen können.

Ein weiterer zentraler Schritt in dieser Phase ist die Auswahl und Aktivierung geeigneter Tools zur Unterstützung des gesamten Prozesses – etwa Endpoint-Security-Agenten, Next-Generation Firewalls, Network Detection and Response (NDR)-Lösungen oder Intrusion-Prevention-Systeme.

Datenerfassung

Threat Hunting ist nur dann effektiv, wenn aussagekräftige Telemetriedaten aus vertrauenswürdigen Quellen gesammelt werden. Der Einsatz von Endpoint-Sicherheitsagenten ermöglicht die Erfassung relevanter und hochwertiger Informationen.

Zusätzlichen Mehrwert bietet die Datengewinnung aus Netzwerkkomponenten wie Firewalls, Border-Routern sowie aus Cloud-Sicherheitslösungen – insbesondere CASB-Systemen (Cloud Access Security Broker). Auch Zero-Trust-Authentifizierungsprotokolle stellen eine äußerst wertvolle Telemetriequelle dar. Sobald festgelegt ist, welche Quellen genutzt werden, muss bestimmt werden, in welchem Umfang Daten erfasst und wo diese gespeichert werden sollen. SIEM-Lösungen (Security Information and Event Management) gelten dabei weiterhin als zentrale Plattform zur strukturierten Analyse.

Ein unausgewogenes Datenvolumen – sei es zu gering oder zu umfangreich – erschwert die Generierung verwertbarer Erkenntnisse. Insbesondere eine unzureichende Datenbasis kann zu fehlerhaften Bedrohungserkennungen führen.

Erkennungsmethode

Nach Abschluss der Datenerfassungsphase folgt die Entwicklung eines strukturierten Erkennungsprozesses. Dabei wird definiert, wie sich die gesammelten Informationen innerhalb eines nachvollziehbaren Ablaufs auswerten lassen, um fundierte Erkenntnisse über potenzielle Bedrohungen zu gewinnen.

Den Ausgangspunkt bildet die Erstellung einer belastbaren Baseline. Anschließend erfolgt der Abgleich mit etablierten IoC-Quellen (Indicators of Compromise), um mögliche Übereinstimmungen mit erkannten Anomalien zu identifizieren. Zu den häufig genutzten Quellen zählen unter anderem Rückmeldungen von IBM, BlackBerry Global Intelligence, VirusTotal sowie Informationen der Cybersecurity and Infrastructure Security Agency (CISA).

Erweiterte Analyse mit KI und Machine Learning

Bevor künstliche Intelligenz (KI) und maschinelles Lernen (ML) Einzug hielten, setzten SecOps-Teams auf eine Mischung aus verhaltensbasierten Analysen und signaturbasierten Erkennungsmethoden, um gesammelte Daten mit Bedrohungsdatenfeeds abzugleichen.

Heute ermöglichen KI- und ML-basierte Tools eine deutlich schnellere und präzisere Auswertung. Auf Basis historischer Telemetriedaten lassen sich Muster effizient erkennen und fundierte Rückschlüsse auf potenzielle Bedrohungen ziehen.

Fokussierung auf kritische Problembereiche basierend auf Risiko und Auswirkungen

Nach Festlegung der eingesetzten Tools, der Datenerfassung und der Erkennungsstrategie gilt es im nächsten Schritt, gezielt zu bestimmen, wo innerhalb der Unternehmensumgebung mit der Bedrohungssuche begonnen werden sollte.

Zwar wäre eine umfassende Analyse sämtlicher Netzwerkaktivitäten, Kontoanmeldungen und TCP-Verbindungen über Border-Router, Switching-Core, Cloud-Instanzen und Endpunkte ideal – in der Praxis ist dies jedoch kaum realisierbar. Stattdessen ist eine priorisierte Fokussierung notwendig: auf die Angriffsvektoren mit dem größten Schadenspotenzial und die am stärksten gefährdeten Assets.

Ein häufig genutztes Angriffsszenario ist beispielsweise E-Mail-Phishing im Rahmen von Ransomware-Kampagnen. Schwächen in der E-Mail-Sicherheit werden gezielt ausgenutzt, indem gut getarnte, mit Malware versehene Links versendet werden. Viele Nutzer klicken diese an – und lösen damit unbeabsichtigt eine Ransomware-Attacke aus.

In der Folge muss gezielt nach typischen Ransomware-Mustern gesucht werden – etwa nach lateraler Bewegung zwischen Hosts im selben Netzwerksegment oder nach Kommunikationsversuchen der Malware mit externen Command-and-Control-Servern.

Ein weiterer verbreiteter Angriffsvektor ist die Ausnutzung schwacher oder standardisierter Passwörter in Active-Directory-Administratorgruppen. Ein erfolgreicher Zugriff erlaubt es Angreifern, privilegierte Rechte zu erweitern und andere Administratoren zu entfernen – ein effektiver und oft erfolgreicher Angriffspfad.

Solche Angriffsvektoren können sich zu Einzelereignissen oder vollständigen Kill-Chain-Angriffen entwickeln, die in der Regel mit einer Datenexfiltration enden. Die Folgen für das Unternehmen sind gravierend: mögliche Klagen, Verstöße gegen regulatorische Vorgaben und der Verlust des Vertrauens seitens Kunden, Mitarbeitenden und Geschäftspartnern.

Dokumentation und Berichterstattung der Ergebnisse

Effektives Threat Hunting dient dazu, Schwachstellen, bestehende Persistenzangriffe sowie potenzielle zukünftige Exploits zu identifizieren. Nach Abschluss einer solchen Maßnahme gilt es, die Erkenntnisse systematisch zu dokumentieren – inklusive konkreter Handlungsempfehlungen zur Risikominderung. Diese Dokumentation ist nicht nur essenziell für interne Sicherheitsverbesserungen, sondern auch hilfreich bei der Beantragung von Cyberversicherungen, der Vorbereitung auf SOC-2-Audits oder im Falle eines Sicherheitsvorfalls gegenüber Strafverfolgungsbehörden.

Hier sind wichtige Komponenten aufgeführt, die alle Berichte zur Bedrohungssuche enthalten sollten.

Zusammenfassung: Darstellung der wichtigsten Aspekte der Bedrohungssuche, einschließlich verwendeter Methoden, Datenquellen, eingesetzter Tools sowie der analysierten Bereiche innerhalb der Unternehmensumgebung
Empfehlungen zur Behebung: Priorisierung der Maßnahmen auf Basis des CVSS-Scores (Common Vulnerability Scoring System), um eine risikobasierte Fokussierung von hoch- bis niedrigkritischen Schwachstellen zu ermöglichen
Relevante Problembereiche: Beschreibung auffälliger oder unerwarteter Schwachstellen, die entweder sofortige Aufmerksamkeit erfordern oder sich künftig zu größeren Risiken entwickeln könnten
Fazit: Bereitstellung relevanter Nachweise und Zusammenfassung, inwiefern die durchgeführte Bedrohungssuche zur Risikominimierung beigetragen hat

Kontinuierliche Weiterentwicklung der Threat-Hunting-Strategien

Unternehmen, die auf Threat Hunting setzen, sollten ergänzend eine Strategie zur kontinuierlichen Sicherheitsüberwachung etablieren. Managed Detection and Response (MDR)-Services – wie jene von ForeNova – ermöglichen eine lückenlose Überwachung geschäftskritischer Systeme zwischen den einzelnen Hunting-Maßnahmen. Zudem unterstützen MDR-Dienste dabei, potenzielle Schwachstellen zu identifizieren, die im Rahmen früherer Analysen möglicherweise übersehen wurden – und tragen so zu einer ganzheitlichen Absicherung der IT-Infrastruktur bei.

Missbrauch des Windows-RDP: Eine sicherheitskritische Analyse

Posted on 23. Mai 202521. August 2025 by ForeNova

In October 2024, the Global Threat Intelligence Group (GTIG) tracked an email phishing campaign targeting European governments and the military. GTIG tracked this phishing attack to a unit called UNC5837. UNC5837 is believed to be a suspected Russian-nexus espionage hacker outfit.

Im Oktober 2024 verfolgte die Global Threat Intelligence Group (GTIG) eine E-Mail-Phishing-Kampagne, die sich gezielt gegen europäische Regierungsstellen und das Militär richtete. Die Spur führte zu einer Einheit namens UNC5837, die als russisch-nahestehende Spionagegruppe eingestuft wird.

Im Anhang der Phishing-E-Mails befand sich eine RDP-Datei. Nutzer, die versuchten, diese zu öffnen, lösten unbeabsichtigt eine sogenannte „Rogue-RDP“-Sitzung aus.

Das Remote Desktop Protocol (RDP) wird üblicherweise für den Fernzugriff auf Workstations und Server genutzt. Allein seine Präsenz wird in vielen Organisationen jedoch nicht automatisch als Bedrohung wahrgenommen – ein gefährlicher Trugschluss.

RDP als Einfallstor bei der EU? Von einem Einzelfall kann keine Rede sein.

Dieser RDP-Angriff sollte als deutliches Warnsignal für alle Organisationen verstanden werden, die Remote Desktop Protocol weiterhin ohne ausreichende Schutzmaßnahmen nutzen. Wer auf Sicherheitsvorkehrungen verzichtet, riskiert ähnliche Konsequenzen wie die betroffenen EU-Behörden.

Fakt: Schwache Passwörter im RDP-Zugriff erhöhen signifikant das Risiko erfolgreicher Brute-Force-Angriffe und damit schwerwiegender Sicherheitsverletzungen.

Fakt: Die Nutzung von RDP mit Standard-Sicherheitseinstellungen begünstigt unautorisierte Proxy-Sitzungen – insbesondere auf Laufwerksfreigaben und Dateisysteme.

Fakt: Ohne den Einsatz fortschrittlicher Monitoring-Tools oder MDR-Dienste bleiben frühe Anzeichen eines Rogue-RDP-Angriffs in der Regel unentdeckt.

Folgen der RDP-Angriffe in Europa

Die gezielte Attacke von UNC5837 auf europäische Regierungen und deren militärische Forschungs- und Entwicklungsprogramme macht die eigentliche Absicht der Gruppe deutlich. Besonders alarmierend ist ihre Fähigkeit, lokale Laufwerksressourcen aus der Ferne auf eigene Server umzuleiten – eine Technik, die eine simultane und weitgehend unentdeckte Datenexfiltration ermöglicht.

Dabei stehen nicht nur technische Informationen auf dem Spiel: NATO-Kriegspläne, Truppenbewegungen und selbst politische Differenzen im Zusammenhang mit dem Ukraine-Krieg könnten auf diese Weise kompromittiert werden.

Solche Angriffe wurden bereits mehrfach beobachtet – auch bei anderen europäischen Regierungen. Zum Einsatz kamen dabei bekannte RDP-Tools, darunter gezielte Port- und Crawler-Scans, mit denen sich Schwachstellen effektiv ausnutzen lassen.

Besonders brisant: Einige dieser Angriffe wurden direkt aus der europäischen Cloud-Infrastruktur von Microsoft heraus initiiert.

Die RDP-Waffe der UNC5837-Gruppe im Überblick

Der Missbrauch des Remote Desktop Protocol (RDP) als Angriffsvektor ist kein neues Phänomen. Sicherheitsteams weltweit kennen die Schwachstellen des Protokolls – ebenso wie die Risiken, die durch Phishing-Kampagnen entstehen.

Im vorliegenden Fall tarnte sich die Phishing-Mail als Mitteilung zu einem angeblichen Gemeinschaftsprojekt von Amazon, Microsoft und der Staatlichen Sicherheits- und Kommunikationsagentur der Ukraine. Der Anhang enthielt eine RDP-Datei, die angeblich projektbezogene Inhalte bereitstellen sollte. Besonders perfide: Die Absender warnten explizit davor, persönliche Daten einzugeben, und forderten die Empfänger auf, etwaige Fehlermeldungen zu ignorieren – mit dem Hinweis, das System würde automatisch eine Sicherheitsmeldung an die zuständige IT-Abteilung senden.

In der beigefügten RDP-Datei waren Konfigurationsbefehle eingebettet, die definieren, welche Funktionen während der Remote-Sitzung verfügbar sind. So erhielten Angreifer Zugriff auf Tastatur, Maus, Drucker, lokale Laufwerke – und nicht zuletzt auf die Zwischenablage des kompromittierten Windows-Systems.

PyRDP: Turning Known RDP Utilization into a Rogue Tool

PyRDP: Vom legitimen Tool zur Waffe im Schattennetz

PyRDP ist ein Proxy-Werkzeug, das gezielt dazu eingesetzt wurde, RDP in diesem Angriff zu automatisieren und gleichzeitig einer Erkennung zu entgehen. Dabei werden keine klassischen Schwachstellen ausgenutzt oder offengelegt – stattdessen erweitert PyRDP die Steuerungsmöglichkeiten zugunsten des unautorisierten Remote-Benutzers.

Im konkreten Fall nutzte der Angreifer PyRDP auf einem Man-in-the-Middle-(MiTM)-Server, um die Zugangsdaten der Nutzer abzugreifen.

Diese Art von Anmeldedaten-Diebstahl ermöglicht es, bestehende Laufwerkszuordnungen des Opfers gezielt auf einen manipulierten RDP-Server umzuleiten – ohne dass der Angriff direkt auffällt.heft tool extends the hacker’s ability to redirect the victim’s drive mappings to a rogue RDP server.

Warum diese Kill Chain globale CERT-Teams alarmiert

Moderne SecOps-Systeme sind darauf ausgelegt, auffällige Verhaltensmuster in Anwendungen, abweichende Nutzerinteraktionen sowie verdächtige Datenabflüsse an Remote-Server zu erkennen. Doch genau hier zeigt sich die Raffinesse des Angriffs von UNC5837: Die Angreifer nutzten die RemoteApp-Funktion gezielt als Ablenkung – getarnt als harmloser „AWS Secure Storage Connection Stability Test“.

Ein derartiges Verhalten kann während einer RDP-Sitzung leicht als unkritisch eingestuft und von Sicherheitsverantwortlichen übersehen werden.

RemoteApp ist eine optionale RDP-Funktion, bei der Programme zwar auf einem Remote-Server ausgeführt, jedoch als normale Fensteranwendungen auf dem Client-System dargestellt werden. Diese Technik erlaubt es Angreifern, bösartige Programme lokal erscheinen zu lassen, ohne dass diese tatsächlich auf dem Rechner des Opfers gespeichert oder ausgeführt werden müssen.

Eine Analyse ergab, dass die eingesetzte RemoteApp nicht lokal installiert oder aktiv war – ein gängiges Verfahren, das auch von legitimen Sicherheitsteams genutzt wird, um Anwendungen wie Outlook.exe, Word.exe oder Excel.exe auf entfernten RDP-Servern auszuführen.

Im vorliegenden Fall nutzte UNC5837 RemoteApp, um über eine verschlüsselte Verbindung gezielt Befehlszeilenanweisungen auf RDP-Servern der UNC58776-Infrastruktur auszuführen. Dadurch wurden fortschrittliche Endpoint-Schutzsysteme daran gehindert, den Start lokaler .exe-Dateien zu erkennen.

Der beunruhigendste Aspekt: Der Angriff basierte nicht auf einer ausgenutzten Schwachstelle, sondern auf der bewussten Erweiterung legitimer RDP-Funktionen. Das wirft eine zentrale Frage auf: Worauf genau sollen Sicherheitsteams künftig achten, um vergleichbare Angriffe rechtzeitig zu erkennen und zu verhindern?

Aktuelle und zukünftige Sicherheitsrisiken im Zusammenhang mit RDP

Wie bei vielen frühen Microsoft-Technologien lag der Fokus bei der Entwicklung des Remote Desktop Protocol (RDP) vor allem auf Benutzerfreundlichkeit und Funktionalität – weniger auf Sicherheit. RDP bietet leistungsstarke Features wie End-to-End-Verschlüsselung, die Remote-Ausführung von Programmen und die Unterstützung vollständig virtualisierter Desktop-Umgebungen.

Diese Anwendungsfälle bleiben für viele Unternehmen relevant – und damit auch das Risiko.

Die interne Einschränkung von RDP-ähnlichen Funktionen ist zwar ein sinnvoller erster Schritt. Doch mit dem zunehmenden Umstieg auf hybride Cloud-Infrastrukturen im Rahmen digitaler Transformationsstrategien entstehen neue Angriffspunkte. Insbesondere die Nutzung von RDP in Cloud-Instanzen kann dabei zur sicherheitskritischen Schwachstelle werden.

Das Unvermeidbare verhindern

Microsofts Remote Desktop Protocol (RDP) bietet verschiedene Sicherheitsfunktionen, darunter Netzwerkebene-Authentifizierung, Verschlüsselung und granulare Zugriffskontrollen. Die Authentifizierung auf Netzwerkebene verlangt eine Nutzerverifizierung noch vor Aufbau der eigentlichen Sitzung – ein wirksamer Schutzmechanismus. Verschlüsselung verhindert das Abhören sensibler Daten, und durch Zugriffskontrollen lassen sich Berechtigungen gezielt verwalten und der Zugriff auf kritische Ressourcen einschränken.

Trotz dieser Schutzmechanismen bleibt RDP ein lohnendes Angriffsziel. Brute-Force-Attacken zählen weiterhin zu den größten Risiken, insbesondere bei schwachen Passwörtern und fehlenden Sperrmechanismen nach fehlgeschlagenen Login-Versuchen. Ohne zusätzliche Schutzebenen ist RDP zudem anfällig für Man-in-the-Middle-Angriffe, Session-Hijacking oder das Auslesen von Netzwerkverkehr durch Sniffing.

Empfehlungen

Um Angriffe über RDP-Ressourcenumleitung wirksam zu unterbinden, reicht eine einzelne Schutzmaßnahme nicht aus. Der gezielte Einsatz mehrerer Angriffsvektoren innerhalb der Kill Chain von UNC5837 verdeutlicht, wie wichtig ein mehrschichtiger Sicherheitsansatz ist. Nur durch die Kombination verschiedener Verteidigungsmechanismen lässt sich ein wirksamer Schutz gegen komplexe Bedrohungen gewährleisten.

Erweiterte Protokollierung für Windows-Systemems

Protokolldaten lieferten SecOps-Ingenieuren entscheidende Hinweise zur schnellen Erkennung unautorisierter RDP-Sitzungen – etwa wenn RDP unerwartet auf einer oder mehreren Windows-Workstations aktiv wurde. Durch den Einsatz erweiterter Detection- und Response-Plattformen (XDR) sowie KI-gestützter MDR-Dienste lassen sich solche Aktivitäten noch schneller und präziser identifizieren.

Erweiterte E-Mail-Sicherheit zur Erkennung von RDP-Dateien

Unternehmen sollten auf fortschrittliche E-Mail-Sicherheitslösungen setzen, die künstliche Intelligenz nutzen, um Anhänge gezielt nach verdächtigen Dateitypen zu durchsuchen – insbesondere nach RDP-Konfigurationsdateien, die mit externen Adressen verknüpft sind.

Aktivierung von Windows-Sicherheitsrichtlinien

Der Angriff von UNC5837 basierte auf regulären RDP-Funktionen – gerade deshalb ist das Aktivieren restriktiver OS-Richtlinien essenziell. Dazu zählen das Blockieren von Remote-Umleitungen für Laufwerke, Tastatureingaben und Mausaktionen sowie das Sperren verdächtiger Registrierungseinträge.

Fazit und Empfehlungen

This attack highlights that even the best-intentioned IT tools, such as RDP, can be compromised and used maliciously. Enabling proactive monitoring, strong defensive layers, and awareness training keeps attacks like this from happeningDer vorliegende Angriff zeigt deutlich, dass selbst etablierte IT-Werkzeuge wie das Remote Desktop Protocol (RDP) gezielt kompromittiert und für kriminelle Zwecke missbraucht werden können. Nur durch proaktive Überwachung, mehrschichtige Sicherheitsarchitekturen und kontinuierliche Sensibilisierung der Mitarbeitenden lassen sich derartige Angriffe effektiv verhindern.

Unternehmen, die mit Fachkräftemangel im Bereich IT-Security zu kämpfen haben, sollten in Erwägung ziehen, einen MDR-Anbieter wie ForeNova zu beauftragen. Dessen KI-gestützte Überwachungs-, Protokollierungs- und automatisierte Response-Funktionen bieten eine wirkungsvolle Grundlage, um unautorisierte RDP-Sitzungen frühzeitig zu erkennen und den Diebstahl sensibler Daten und Zugangsdaten zu verhindern..

Noodlophile InfoStealer enttarnt: Wie KI-Werbung auf Facebook eine Python-basierte Datendiebstahl-Kette auslöste

Posted on 20. Mai 202521. August 2025 by ForeNova

Angreifer nutzten Facebook, um KI-generierte Werbeanzeigen zu schalten und Nutzer auf eine manipulierte Website zu locken. Die Anzeige versprach, Standbilder in lebendige Videos zu verwandeln. Nachdem ein gefälschter Fortschrittsbalken 100 % erreicht hatte, wurde den Nutzern ein ZIP-Archiv zum Download angeboten, das Folgendes enthielt:

Unter den entpackten Dateien befand sich eine ausführbare Datei mit dem irreführenden Namen „Video Luma MachineAI.mp4.exe“. Zwischen „.mp4“ und „.exe“ wurden mehrere Unicode-No-Break-Space-Zeichen (\xe2\xa0\x80) eingefügt, um die Datei als harmloses Video erscheinen zu lassen. Der Ordner „5.0.0.1886“ war sowohl mit dem System- als auch dem Versteckt-Attribut versehen und wurde daher standardmäßig im Dateiexplorer nicht angezeigt.

Beim Doppelklick auf die .exe-Datei wird „Capcut.exe“ im Verzeichnis „5.0.0.1886“ ausgeführt, woraufhin sich der ursprüngliche Prozess beendet.

„Capcut.exe“ ist eine .NET-Anwendung. Nach dem Start ruft sie wiederholt „https[:]//google.com“ auf und pausiert kurz. Anschließend werden im Verzeichnis „5.0.0.1886\software“ Dateien umbenannt: „meta“ wird zu „image.exe“ und „Document.docx“ zu „install.bat“. Die neue „image.exe“ ist in Wirklichkeit WinRAR, und „install.bat“ wird direkt im Anschluss ausgeführt.

Das Batch-Skript dekodiert „Document.pdf“ in „ppIuqewlq.rar“ und extrahiert diese Datei anschließend mithilfe von „image.exe“ (WinRAR) still und ohne Benutzerinteraktion nach %LOCALAPPDATA%\SoftwareHost. Das für die Extraktion verwendete Passwort lautet: TONGDUCKIEMDEVELOPER2025. Der entpackte Inhalt umfasst eine vollständige Python-Laufzeitumgebung samt aller benötigten Abhängigkeiten. Die Datei „srchost.exe“ ist in Wirklichkeit eine umbenannte „python.exe“.

Über „srchost.exe“ lädt die Malware externen Code nach und führt ihn aus. Das heruntergeladene Skript verwendet exec(), um ein serialisiertes (marshaled) Python-Objekt auszuführen. Dieses Objekt wurde anschließend für Analysezwecke dekompiliert.

Die disassemblierten Opcodes umfassen über 60.000 Zeilen – größtenteils bedeutungslose Instruktionen, die gezielt die Analyse erschweren sollen. Die relevanten Befehle befinden sich in den letzten 500 Zeilen. Zur Unterstützung der Analyse wurden KI-gestützte Tools eingesetzt, um aus den Opcodes den ursprünglichen Python-Code zu rekonstruieren.

Auch wenn der mithilfe von KI rekonstruierte Code möglicherweise nicht exakt dem Original entspricht, bietet er eine nützliche Grundlage für die manuelle Überprüfung. Im weiteren Verlauf wird ein weiteres marshaled-Objekt entdeckt, das auf dieselbe Weise dekompiliert wird, um den Quellcode zu extrahieren.

Der finale Code führt gezielten Datendiebstahl durch und hat es auf folgende Informationen abgesehen: Browser-Cookies, Browserverlauf und gespeicherte Zugangsdaten, Gespeicherte Kreditkartendaten, Facebook-Zugangsdaten und Kontoinformationen:

Sämtliche gestohlenen Daten werden in einem Archiv zusammengefasst, über einen Telegram-Bot übertragen und anschließend vom System des Opfers gelöscht.