Die HellCat-Ransomware trat erstmals im Jahr 2024 in Erscheinung. Sie verbreitet sich hauptsächlich über Spear-Phishing-E-Mail-Anhänge sowie durch das Ausnutzen von Schwachstellen in Anwendungen wie Atlassian Jira und Palo Alto PAN-OS (z. B. CVE-2024-0012 und CVE-2024-9474). HellCat folgt dem Ransomware-as-a-Service-Modell (RaaS) und richtet sich gezielt gegen besonders wertvolle Ziele und Regierungsorganisationen. Die Gruppe stellt Partnern Werkzeuge und Infrastruktur zur Verfügung – im Gegenzug erhalten sie einen Anteil an den Lösegeldeinnahmen.
Analyse
Nach der Ausführung zeigt die Ransomware eine Lösegeldforderung mit dem Dateinamen „README.txt“ an. Die Opfer werden darin aufgefordert, die Angreifer über einen Onion-Link oder per E-Mail zu kontaktieren. Die Nachricht enthält außerdem ein Benutzerkonto und ein Passwort.
Details zur Payload
The HellCat payload is a standard 64-bit PE file, approximately 18KB in size, capable of encrypting specific directories or the full disDie HellCat-Payload ist eine standardmäßige 64-Bit-PE-Datei mit einer Größe von etwa 18 KB. Sie kann gezielt bestimmte Verzeichnisse oder ganze Laufwerke verschlüsseln.
Verschlüsselungsmethode
HellCat verwendet AES im CBC-Modus zur Dateiverschlüsselung. Der AES-Schlüssel selbst wird zusätzlich mit RSA verschlüsselt.
Mechanismus zur Selbstlöschung
HellCat nutzt darüber hinaus Windows-Befehle zur Selbstlöschung. Wenn die Ransomware-Datei noch vorhanden ist, versucht sie wiederholt, sich selbst zu löschen. Der entsprechende Befehl wird in eine Datei geschrieben und ausgeführt. Während dieses Vorgangs wird die Lösegeldforderung „README.txt“ geöffnet.
Regelmäßige Updates Überprüfen und aktualisieren Sie regelmäßig alle Software- und Betriebssysteme – insbesondere sicherheitskritische Anwendungen wie Atlassian Jira und Palo Alto PAN-OS – um bekannte Schwachstellen (z. B. CVE-2024-0012 und CVE-2024-9474) zu schließen.
Prinzip der minimalen Rechtevergabe Beschränken Sie den Zugriff auf Systeme und Daten strikt auf das, was Nutzer für ihre Rolle benötigen. So stellen Sie sicher, dass nur autorisierte Personen sensible Informationen und kritische Systeme erreichen können.
Sicherheitsüberwachung und Reaktion Setzen Sie auf eine kontinuierliche Überwachung von Sicherheitsereignissen sowie auf etablierte Mechanismen zur Incident Response, um Bedrohungen frühzeitig zu erkennen und Schäden zu minimieren.
Die BlackLock-Ransomware (auch bekannt als El Dorado oder Eldorado) trat erstmals im März 2024 auf und folgt dem Ransomware-as-a-Service-Modell (RaaS). Sie nutzt eine Doppel-Erpressungsstrategie: Daten werden verschlüsselt und gleichzeitig sensible Informationen entwendet. Zielsysteme sind Windows-, VMware-ESXi- und Linux-Umgebungen. Die Opfer stammen aus unterschiedlichsten Branchen und Regionen.
Malware-Analyse
Malware-Analyse
Die Datei erfordert Administratorrechte und muss über die Kommandozeile gestartet werden – ein Doppelklick reicht nicht aus.
Nach dem Start wird folgendes Protokoll ausgegeben:
Ransom note content：HOW_RETURN_YOUR_DATA.TXT
Beispiel für verschlüsselte Dateien:
Analyse
Windows-Version
Beispiel für verschlüsselte Dateien:
Parameter
Beschreibung
-path
Legt den Pfad der zu verschlüsselnden Datei fest
-skip-local
Legt den Pfad der zu verschlüsselnden Datei fest
-n <subnet>
Definiert freigegebene Ressourcen im CIDR-Format (z. B. 192.168.5.0/24)
-d <domain>
Gibt die Domäne an
-u <username>
Gibt das SMB-Konto an
-p <password>
SGibt das SMB-Passwort an
-skip-net
SkipÜberspringt die Verschlüsselung von freigegebenen Verzeichnissen
Bei Angabe gültiger Benutzeranmeldedaten kann die Ransomware Dateien in freigegebenen Netzwerken über das SMB-Protokoll verschlüsseln.
Protokolle werden per WebSocket an die IP-Adresse 173.44.141[.]152 übertragen – mit dem Origin-Header „http://logger“.
Um Spuren zu verwischen, führt die Eldorado-Ransomware einen PowerShell-Befehl aus, der die Verschlüsselungsdateien mit Zufallsdaten überschreibt und anschließend löscht. Wird der Parameter „-keep“ angegeben, wird dieser Schritt übersprungen.
Die Linux-Variante ist einfacher aufgebaut und unterstützt lediglich den Parameter „-path“.
Sie verschlüsselt rekursiv alle Dateien im angegebenen Verzeichnis – unter Verwendung desselben Verschlüsselungsalgorithmus wie in der Windows-Version.
„90 % berichten von einem drastischen Anstieg der Angriffe auf ihre Angriffsfläche.“
Die Angriffsfläche hat sich von einem einfachen Vektor zu einem dynamischen Sicherheitsereignis entwickelt – angetrieben von künstlicher Intelligenz und maschinellem Lernen. Früher sahen sich kleine und mittlere Unternehmen täglich mit Tausenden von Sicherheitsvorfällen konfrontiert; heute sind es Millionen – und das im selben Zeitraum.
ForeNova erkennt die Notwendigkeit, Angriffsflächen zu reduzieren – und unterstützt Kunden dabei, gleichzeitig ihre Betriebskosten zu senken.
Wie lässt sich die externe Angriffsfläche wirksam reduzieren?
Die Reduzierung der externen Angriffsfläche beginnt mit fünf aufeinander aufbauenden Schritten. Jeder Schritt basiert auf dem vorherigen – mit dem Ziel, die Gesamtangriffsfläche zu verkleinern, nicht das Risiko zu erhöhen.
1. Asset Discovery und Bestandsverwaltung
Nicht verwaltete Geräte, unautorisierte WLAN-Zugangspunkte und nicht genehmigte virtuelle Instanzen in der privaten Cloud eines Unternehmens sind typische Anzeichen für Schatten-IT. Mitarbeitende, Auftragnehmer und externe Partner richten eigene Netzwerke und Anwendungsplattformen ein und greifen auf Remote-Systeme zu – oft unter Umgehung der IT-Kontrollen und unter Missachtung geltender Richtlinien.
Dieses Verhalten schafft zahlreiche potenzielle Schwachstellen im Unternehmensnetzwerk. Hacker, die gezielt Netzwerke, Cloud-Instanzen und öffentlich zugängliche Anwendungen scannen, stoßen schnell auf diese Angriffsflächen. Die meisten dieser Schatten-IT-Komponenten bleiben ungepatcht und damit besonders anfällig für Angriffe.
KMU, die solches Verhalten eindämmen wollen, sollten Tools zur Asset-Erkennung und Bestandsverwaltung einsetzen. Diese Lösungen identifizieren sowohl neue als auch bereits zugelassene Geräte im Netzwerk. IT-Abteilungen können so nicht autorisierte Geräte, Anwendungen und Hosts aufspüren. CIOs und CISOs erhalten damit die nötigen Mittel, um unerwünschte Zugriffe zu blockieren – und die Angriffsfläche nachhaltig zu reduzieren.
2. Schwachstellenmanagement und Priorisierung
Um Schwachstellen wirksam zu erkennen, müssen KMUs in Tools für die kontinuierliche Überwachung investieren. Durch den Einsatz gegnerischer KI werden Schwachstellen heute deutlich schneller ausgenutzt. Wer in Schwachstellenmanagement investiert, sollte dieses daher mit einem leistungsfähigen Patch-Management und automatisierten Incident-Response-Funktionen kombinieren.
Manuelle Prozesse zur Schwachstellenbehebung und Vorfallreaktion stoßen zunehmend an ihre Grenzen – zu groß ist das Risiko durch menschliche Fehler und die Überlastung durch Alarmflut. Automatisierung in diesen Bereichen ist für KMUs unverzichtbar, um der zunehmenden Bedrohung durch KI-gestützte Angriffe zu begegnen. Gleichzeitig sinkt das Risiko von Konfigurationsfehlern oder falsch angewendeten Patches.
Nach der Einrichtung eines durchgängigen Workflows für Scans, Behebung und Berichterstattung können KMUs Schutzprioritäten für ihre einzelnen Assets festlegen. Diese Priorisierungen sollten flexibel bleiben – denn sobald Schwachstellen behoben sind, verschieben sich die Risikozonen innerhalb der Angriffsfläche dynamisch.
3. Überwachung und Management der Angriffsfläche
Solange KMUs nur zögerlich in Ressourcen investieren – etwa in automatisierte Reaktions- und Behebungsmechanismen –, werden Hacker weiterhin erfolgreich Sicherheitslücken ausnutzen.
Hinzu kommen die hohen Kosten für moderne, KI-basierte Cybersicherheitslösungen sowie die Herausforderung, qualifiziertes Sicherheitspersonal zu gewinnen und zu halten. Daher wenden sich viele KMUs an Anbieter von Managed Detection and Response (MDR) wie ForeNova.
MDR-Dienstleister helfen dabei, das Risiko durch externe Angriffsflächen deutlich zu senken, indem sie:
die Kosten für die zukunftssichere Gestaltung der Sicherheitsarchitektur reduzieren
rund um die Uhr Überwachung, Reaktion und Behebung ermöglichen
Sicherheitskosten senken, indem sie eigene MDR-Experten statt interner Teams einsetzen
auf erfahrene Spezialisten zurückgreifen, die mit KI-gestützten Angriffsmethoden bestens vertraut sind
4. Zugriffskontrolle und Absicherung des Sicherheitsperimeters
Ein weiterer zentraler Aspekt der IT-Sicherheitsarchitektur ist die Kontrolle von Zugriffsrechten sowie die gezielte Absicherung des Sicherheitsperimeters.
Über Jahre hinweg setzten Brute-Force-Angriffe Zugriffssysteme unter Druck – indem sie Benutzerkonten mit unzähligen Passwort-Versuchen bombardierten, in der Hoffnung auf einen Treffer. Als Gegenmaßnahme führten Sicherheitsteams Login-Beschränkungen ein. Diese Strategie hatte jedoch einen Haken: Viele legitime Nutzer wurden dadurch ebenfalls blockiert, was Brute-Force-Angriffe zunehmend in Richtung Denial-of-Service-Angriffe (DoS) verschob.
Was ist Multi-Faktor-Authentifizierung (MFA)?
Um modernen Cyberangriffen zu begegnen, setzen Sicherheitsexperten zunehmend auf Multi-Faktor-Authentifizierung (MFA). Diese zusätzliche Schutzebene ergänzt das klassische Passwortverfahren und erhöht die Sicherheit beim Zugriff erheblich. Dennoch ist MFA kein Allheilmittel – selbst diese Lösungen wurden in der Vergangenheit bereits mehrfach kompromittiert.
Was ist Zugriffskontrolle mit minimalen Rechten?
Das Prinzip der minimalen Rechtevergabe („Least Privilege“) stellt sicher, dass Benutzer und Anwendungen nur genau die Zugriffsrechte erhalten, die sie wirklich benötigen. Dadurch wird die Angriffsfläche deutlich verkleinert. Im Falle einer Kompromittierung begrenzt diese Strategie das Schadenspotenzial und erhöht die allgemeine Systemsicherheit.
Sicherheitsteams kombinieren dieses Prinzip mit Multi-Faktor-Authentifizierung (MFA), automatisierter Behebung und Incident Response. So entsteht eine robuste Verteidigungslinie zur Absicherung des Sicherheitsperimeters. Zusätzlich setzen viele KMUs auf Firewalls der nächsten Generation, Endpoint-Sicherheitslösungen und Intrusion-Prevention-Systeme, um ihre Perimeterverteidigung weiter zu stärken.
Der Wert der Netzwerksegmentierung
Ein weiterer zentraler Baustein für eine effektive Zugriffskontrolle und die Absicherung des Sicherheitsperimeters ist die Netzwerksegmentierung. Ursprünglich diente sie als statische Sicherheitsmaßnahme, die auf der Authentifizierung von Zugangsdaten sowie der Sicherheitsbewertung (Cyberhygiene) des jeweiligen Geräts basierte. Geräte mit fehlenden Patches oder bekannten Schwachstellen wurden automatisch isoliert.
Moderne Segmentierungsrichtlinien sind eng mit dem Prinzip der minimalen Rechtevergabe verknüpft. Sicherheitsverantwortliche definieren genau, welche Hosts ein Benutzer – abhängig von seiner Rolle – erreichen darf. So wird der Netzwerkzugriff gezielt eingeschränkt und die potenzielle Angriffsfläche erheblich reduziert.
Diese Vorgehensweise hat sich auch als wirksame Abwehr gegen Ransomware erwiesen, da sie laterale Bewegungen innerhalb eines Netzwerks verhindert. Angreifer, die versuchen, über Fernzugriff auf Managementkonsolen oder Anwendungen zuzugreifen, werden durch diese Richtlinien blockiert. Verbindungen sind nur von spezifischen Quell-IP-Adressen zu klar definierten internen Netzwerken und Hosts erlaubt.
5. Wie geht man mit Risiken durch Drittanbieter um?
In vielen Unternehmen kommen auch Kontrollsysteme, Netzwerkgeräte und Anwendungen von Drittanbietern zum Einsatz. Obwohl diese IT-Ressourcen nicht zum eigenen Unternehmen gehören, erweitern sie beim Einbinden ins Unternehmensnetzwerk automatisch die Angriffsfläche.
Viele dieser Systeme werden gemeinsam mit dem Anbieter oder vollständig remote betrieben. KMUs, die solche Drittanbieter-Komponenten hosten, sollten mindestens über Lesezugriff auf die Verwaltungsebene verfügen. So lassen sich die betreffenden Assets im eigenen Inventarsystem erfassen und überwachen.
Die Erweiterung der Monitoring-Funktionen auf Drittanbieter ist heute gängige Praxis. Die größere Herausforderung liegt meist in der Bereitstellung von Patches und weiteren Sicherheitsmaßnahmen. Wird ein externes Netzwerk oder eine gehostete Anwendung kompromittiert, können Angreifer unter Umständen auch in das eigene Unternehmensnetzwerk eindringen.
Für diese Art von IT-Ressourcen sind Netzwerksegmentierung, Zugriff mit minimalen Rechten und Multi-Faktor-Authentifizierung (MFA) besonders wichtig.
KMUs, die bereits stark mit der Absicherung ihrer eigenen Systeme beschäftigt sind, stehen hier vor zusätzlichen Aufgaben: Ihre IT-Sicherheitsteams müssen nun auch Sicherheitsvorfälle von externen API-Konnektoren, Anwendungen und Netzwerkgeräten überwachen und darauf reagieren – selbst wenn diese gar nicht im eigenen Besitz sind.
Wie geht man mit dynamischen Veränderungen der Angriffsfläche um?
Angriffsflächen sind hochdynamisch – sie verändern sich ständig. KMUs erweitern ihre Systeme laufend: Neue Benutzer werden hinzugefügt, Geräte entfernt, Anwendungen installiert oder ganze Unternehmen übernommen. Diese Dynamik erfordert den Einsatz fortschrittlicher Technologien wie künstlicher Intelligenz (KI) und maschinellen Lernens (ML), um flexibel und sicher zu bleiben. Jeder neue Benutzer kann potenzielle Schwachstellen mitbringen – und veraltete, nicht entfernte Geräte erhöhen das Risiko zusätzlich.
KMUs, die in moderne Bestandsverwaltung investieren, erhalten frühzeitig Warnungen über Veränderungen in ihrer Angriffsfläche. In diesem Zusammenhang werden Zugriffskontrollen und die Absicherung des Perimeters zur ersten Verteidigungslinie im Unternehmensnetzwerk. Sicherheitsverantwortliche müssen diese erweiterten Maßnahmen aktiv steuern und einsetzen, um eine effektive Verwaltung und Eindämmung der Angriffsfläche zu gewährleisten.
MDR wird zur strategischen Notwendigkeit
Die Reduzierung des Angriffsrisikos ist kein einmaliges Projekt – und darf nicht nur während der Budgetplanung berücksichtigt werden. Ohne eine ganzheitlich abgesicherte IT-Umgebung, bestehend aus Zugriffskontrolle, externem Perimeter, internem Netzwerk, Cloud-Instanzen und Drittanbieterplattformen, bleiben KMUs anfällig für ständige Cyberangriffe.
Tatsächlich gehen rund 80 % der Sicherheitsvorfälle auf externe Bedrohungen wie Phishing oder Ransomware zurück. Das zwingt Unternehmen dazu, ihre Sicherheitsmaßnahmen zu stärken und Reaktionsprozesse zu automatisieren.
Zugriffskontrolle, Asset-Management, Risikobewertung, kontinuierliches Monitoring, automatisierte Vorfallreaktion, Behebung und Eindämmung von Sicherheitsvorfällen gehören längst zum Tagesgeschäft moderner IT-Security-Teams.
Managed Detection and Response (MDR)-Anbieter unterstützen Unternehmen dabei, diese Herausforderungen zu meistern – entweder als Ergänzung zum bestehenden Sicherheitsteam oder als vollständiger Outsourcing-Partner. Sie bringen fundiertes Know-how in der Risikominimierung ein und setzen adaptive Sicherheitskontrollen gezielt ein: von der Asset-Inventarisierung über Zugriffskontrollen und Perimeter-Härtung bis hin zu automatisierter Incident Response, Monitoring, Behebung und Compliance-Reporting.
Gerade KMUs, die sich mit zunehmenden Bedrohungen ihrer Angriffsfläche konfrontiert sehen, profitieren von einer Partnerschaft mit MDR-Anbietern wie ForeNova.
Digitale Transformationen, Unternehmensübernahmen und -verkleinerungen verändern kontinuierlich die Angriffsfläche (Attack Surface, AS) eines Unternehmens.
Hacker, die künstliche Intelligenz (KI) und Tools für maschinelles Lernen (ML) einsetzen, scannen die Angriffsfläche (AS) ihrer Ziele nach bekannten Schwachstellen und Sicherheitslücken im digitalen Fußabdruck eines Unternehmens.
Unternehmen, die regelmäßig Schwachstellenbewertungen ihrer internen und externen Angriffsflächen durchführen, verringern deutlich das Risiko eines erfolgreichen Cyberangriffs.
Definition und Bedeutung des Angriffsflächenmanagements
Jedes Gerät, jede Anwendung, jede Cloud-Instanz und jedes Netzwerkgerät ist Teil der Angriffsfläche (Attack Surface, AS). Unternehmen erweitern diese kontinuierlich – etwa durch neue Mitarbeitende, zusätzliche Anwendungsportale oder cloudbasierte Instanzen. Auch das Hinzufügen neuer Endgeräte wie Telefone, Tablets oder PCs vergrößert die Angriffsfläche stetig. Diese dynamische Entwicklung macht ein strukturiertes internes und externes Angriffsflächenmanagement (Attack Surface Management, ASM) unerlässlich.
Unternehmen, die strategisch investieren, nutzen Asset-Management-Tools, um Netzwerkgeräte, Server, Workstations, mobile Endgeräte und Cloud-Instanzen zu erfassen und zu verwalten. Die Anlagenverwaltung unterstützt zudem dabei, neue Geräte sowie ausgemusterte Komponenten innerhalb der gesamten Angriffsfläche (AS) im Blick zu behalten.
Das Blockieren nicht zugelassener Geräte sowie unautorisierter Zugriffe auf Anwendungen und Cloud-Instanzen ist entscheidend, um Schwachstellen der Angriffsfläche (AS) zu reduzieren und die Sicherheitslage des Unternehmens zu verbessern.
Welche Kategorien von Angriffsflächen gibt es?
Die Angriffsfläche (AS) eines Unternehmens wächst, wenn Organisationen ihre Geschäftsziele weiterentwickeln. Strategische Entscheidungen auf Führungsebene – etwa zur Verbesserung des Kundendienstes – können neue Risiken schaffen. Die Integration cloudbasierter Drittanbieter-Anwendungen, der Einsatz ausgelagerter Remote-Call-Center sowie die Nutzung von Mitarbeitergeräten (BYOD) vergrößern die Angriffsfläche erheblich und bleiben zentrale Herausforderungen für das Angriffsflächenmanagement (ASM).
Das Risiko einer Angriffsfläche lässt sich in verschiedene Teilbereiche innerhalb eines Unternehmens gliedern, darunter:
Netzwerk
Netzwerkgeräte wie Switches, Router, Firewalls, Zero-Trust-Architekturen und Intrusion-Prevention-Systeme bilden einen wesentlichen Teil der Angriffsfläche eines Unternehmens. Wie Anwendungen weisen auch diese Geräte potenzielle Schwachstellen auf. Viele dieser Schwachstellen bleiben bestehen, da IT-Abteilungen häufig zögern, betroffene Geräte aus dem Produktionsnetzwerk zu entfernen, um Sicherheitsupdates oder Patches einzuspielen. Dieses Zögern erhöht das Risiko eines erfolgreichen Angriffs zusätzlich.
Anwendungen
Sowohl intern entwickelte als auch extern gehostete Anwendungen vergrößern die Angriffsfläche (AS) eines Unternehmens. Wie Netzwerkgeräte weisen auch geschäftskritische Anwendungen zahlreiche Schwachstellen auf, die über die gesamte Angriffsfläche hinweg ausgenutzt werden können. Ein zusätzliches Risiko entsteht durch die Nutzung von Software-as-a-Service (SaaS)-Anwendungen: Trotz des Betriebs und der Verwaltung durch Drittanbieter bleibt das Unternehmen für die darin gespeicherten Daten verantwortlich. Mit der Speicherung sensibler Informationen in einer SaaS-Anwendung wird diese Plattform zu einem integralen Bestandteil der eigenen Angriffsfläche – samt aller damit verbundenen Risiken.
Cloud-Instanzen
Cloud-Instanzen lassen sich heute dank Lösungen von Anbietern wie VMware, Microsoft oder Open-Source-Plattformen mit nur wenigen Klicks oder über RPA-Skripte (Robotic Process Automation) schnell und unkompliziert bereitstellen. Sie sind sofort einsatzbereit – und jede neue Instanz vergrößert automatisch die Angriffsfläche (AS) des Unternehmens.
Virtuelle Hosts, die für Datenspeicherung, Anwendungen oder Cybersicherheitstools genutzt werden, können Schwachstellen enthalten, die Angreifenden potenzielle Einstiegspunkte bieten. Unternehmen, die ihre Cloud-Präsenz ausweiten, müssen daher sicherstellen, dass geeignete Governance- und Sicherheitskontrollen auf allen Instanzen aktiviert sind, um diese erweiterten Angriffsflächen wirksam zu schützen.
Geräte
Das Erfassen und Überwachen mobiler Geräte wie Tablets, Apple- und Android-Uhren, Smartphones und PCs gehört zum Aufgabenbereich des Attack Surface Management (ASM). Diese Endgeräte sind besonders anfällig für Cyberangriffe – vor allem, wenn sie nicht regelmäßig aktualisiert werden, selbst dann, wenn automatische Updates aktiviert sind. Sobald Mitarbeitende, Auftragnehmende oder Partner über ihre persönlichen Geräte auf Unternehmensdaten und -anwendungen zugreifen, vergrößert sich die Angriffsfläche des Unternehmens erheblich.
Umgang mit dynamischen Angriffsflächen
Dynamische Angriffsflächen entstehen zunehmend als Nebenprodukt erfolgreicher Automatisierungsprozesse. Wenn Unternehmen etwa automatisiert virtuelle Maschinen hochfahren, um die Kapazität ihrer Website zu erweitern, entsteht damit zugleich eine zusätzliche Angriffsfläche. Auch das automatisierte Bereitstellen oder Entfernen von Anwendungen auf Benutzergeräten vergrößert das Angriffspotenzial – insbesondere, wenn neue Anwendungen erstmals in die IT-Umgebung eingebunden werden.
Effektive Strategien zur Verwaltung von Angriffsflächen müssen die dynamische Natur automatisierter Systeme berücksichtigen. Schlecht konzipierte Automatisierungstools können erhebliche Sicherheitslücken in Cloud-Umgebungen verursachen und das Risikoniveau deutlich erhöhen.
Regelmäßige Schwachstellenbewertungen und kontinuierliche Scans helfen dabei, dynamische Angriffsflächen, die durch Automatisierung entstehen, frühzeitig zu erkennen und abzusichern.
Herausforderungen bei der Verwaltung der Angriffsfläche
Zu den risikobehafteten Handlungen von Mitarbeitenden, Auftragnehmern und externen Anbietern zählen unter anderem das unautorisierte Anschließen von WLAN-Routern, das Installieren nicht genehmigter Anwendungen auf Endgeräten oder das eigenmächtige Hinzufügen von Active-Directory-Zugangsdaten zu Administratorgruppen. Solche Maßnahmen fallen unter den Begriff Schatten-IT.
Schatten-IT erhöht das Risiko für Unternehmen erheblich. Ohne den Einsatz von Asset-Management-Tools und regelmäßigen Schwachstellenscans zur Erkennung nicht autorisierter Geräte und Anwendungen (Rogue Devices), bleiben Unternehmen anfällig für Cyberangriffe.
Rückkehr ins Büro: Neue Herausforderungen für die IT-Sicherheit
IT-Führungskräfte stehen vor der komplexen Herausforderung, mit widersprüchlichen Vorgaben und Unsicherheiten rund um die Rückkehr an den Arbeitsplatz umzugehen. Viele Unternehmen befinden sich noch in der Findungsphase: Während einige Arbeitgeber auf eine vollständige Rückkehr ins Büro bestehen, verfolgen andere hybride Modelle mit ein bis zwei Präsenztagen pro Woche.
Beide Ansätze bergen erhebliche Risiken für die Cybersicherheit. Die gleichzeitige Unterstützung von Mitarbeitenden im Homeoffice, im Büro oder im Wechselbetrieb stellt hohe Anforderungen an IT-Management und Sicherheitskonzepte. Selbst bei implementierten Zero-Trust-Architekturen greifen viele Beschäftigte weiterhin von zu Hause aus auf sensible Systeme und Daten zu – und stellen damit ein potenzielles Sicherheitsrisiko dar.
Zudem bringen einige Mitarbeitende bei ihrer Rückkehr ins Büro unerlaubte Endgeräte mit und schließen diese unbemerkt an das Unternehmensnetzwerk an – ein typisches Verhalten im Bereich der Schatten-IT.
Die wachsende Komplexität und Dynamik der Angriffsflächen zwingt IT-Verantwortliche dazu, Investitions- und Betriebskosten sorgfältig abzuwägen. Dazu gehören unter anderem die Einführung von Lösungen zur Bestandsverfolgung sowie häufigere Risikobewertungen, um die Sicherheitslage dauerhaft im Blick zu behalten.
Praktische Ansätze zur Reduzierung der Angriffsfläche
Die wirksame Verringerung der Angriffsfläche erfordert das gemeinsame Engagement aller Unternehmensbereiche – von der Führungsebene über den Vorstand bis hin zu den Fachabteilungen.
Führungsteams initiieren etwa Unternehmensübernahmen oder genehmigen die Einstellung neuer Mitarbeitender. Abteilungen schließen Verträge mit SaaS-Anbietern, um interne und externe Services aus der Cloud bereitzustellen. Der Vorstand trifft wirtschaftliche Kernentscheidungen wie den Kauf von Immobilien, den Aufbau von Partnerschaften mit Drittanbietern oder Maßnahmen zur Einhaltung gesetzlicher Vorschriften.
All diese Entscheidungen sollen das Unternehmenswachstum fördern – insbesondere die Umsatzsteigerung, ein zentrales Ziel jeder Organisation. Doch die zunehmende Komplexität der digitalen Infrastruktur und damit die wachsende Angriffsfläche können langfristig höhere Kosten verursachen als das Umsatzwachstum einbringt.
Die folgenden Beispiele zeigen praxisnahe Maßnahmen, mit denen Unternehmen ihre Angriffsfläche verkleinern und Sicherheitsrisiken gezielt reduzieren können:
Technologische Komplexität reduzieren
Unternehmen, die aus buchhalterischen Gründen weiterhin veraltete Geräte einsetzen, setzen sich einem erheblichen Risiko aus. Der fortlaufende Betrieb veralteter, leistungsschwacher Geräte, Anwendungen und Netzwerke schafft unnötige Angriffsflächen, die besonders anfällig für Cyberangriffe sind.
Häufig werden moderne Lösungen angeschafft, um ältere Technologien schrittweise abzulösen. Der parallele Betrieb alter und neuer Systeme – sogenannte Doppellösungen – ist dabei nicht unüblich, erhöht jedoch die Angriffsfläche erheblich, solange die veralteten Komponenten noch nicht vollständig außer Betrieb genommen wurden.
Zero Trust zur Konsolidierung der Zugriffskontrolle einführen
Die Konsolidierung von Zugriffskontrollen, cloudbasierten Zugängen und veralteten VPN-Lösungen erfordert eine Neuausrichtung. Viele dieser überholten Technologien wurden im Zuge der COVID-19-Pandemie eingeführt – einem Ereignis, das nun weitgehend überwunden ist. Unternehmen haben heute die Chance, ihre Angriffsfläche gezielt zu reduzieren, indem sie eine Zero-Trust-Strategie einführen, die alle Zugriffsarten umfasst: Remote-Zugriffe, cloudbasierte Anwendungen sowie den Zugriff externer Auftragnehmer auf sensible Unternehmensressourcen.
Lösungen wie Zero Trust Network Access (ZTNA), Cloud Access Security Broker (CASB) und Software-defined Wide Area Networks (SD-WAN) ermöglichen eine sichere, zentral verwaltete Zugriffsinfrastruktur. Sie schaffen einen einheitlichen Einstiegspunkt für den Fernzugriff und tragen gleichzeitig wesentlich zur Verringerung der Angriffsfläche bei.
Fortschritte im risikobasierten Schwachstellenmanagement
Jedes Element innerhalb der Angriffsfläche kann Schwachstellen aufweisen – manche mit geringem, andere mit potenziell gravierendem Risiko, etwa im Fall von Zero-Day-Angriffen. Wie Schwachstellen bewertet werden, ist ein dynamischer Prozess, der sich fortlaufend an neue Bedrohungslagen anpasst.
Traditionelle Ansätze zur Risikobewertung – etwa das Common Vulnerability Scoring System (CVSS) – stoßen hierbei an ihre Grenzen. Selbst bekannte und ausgenutzte Schwachstellen erhalten oft nicht die angemessene Risikostufe, da CVSS auf statischen Werten basiert.
Das risikobasierte Schwachstellenmanagement (Risk-Based Vulnerability Management, RBVM) verfolgt einen anderen Ansatz: Es bewertet Schwachstellen kontextabhängig auf Basis ihrer tatsächlichen Auswirkungen auf das Unternehmen. Dieser dynamische Bewertungsansatz ist essenziell, da sich die Angriffsflächen vieler Organisationen stetig verändern – und mit ihnen das Risikoniveau.
Wird ein anfälliges System erfolgreich abgesichert, passt RBVM die Risikobewertung entsprechend nach unten an – eine Flexibilität, die CVSS in seiner ursprünglichen Form nicht bietet.
Risikopriorisierung basierend auf Ausnutzbarkeit und Auswirkungen
Unternehmen verfügen nicht über die Ressourcen, jedes System umfassend aufzurüsten oder jede Schwachstelle zu beseitigen. Deshalb ist es entscheidend, Risiken nach ihrer Ausnutzbarkeit und den potenziellen Auswirkungen zu priorisieren – mit dem Ziel, die Angriffsfläche gezielt zu verkleinern und den Schutz kritischer Produktionssysteme dauerhaft sicherzustellen.
Der Einsatz risikobasierter Schwachstellenmanagement-Systeme (RBVM) ermöglicht eine dynamische Strategie: Sie identifizieren jene Bereiche der Angriffsfläche, die den größten Handlungsbedarf aufweisen – sei es durch gezielte Abhilfemaßnahmen, den Einsatz zusätzlicher Sicherheitstools oder die vollständige Modernisierung mit Next-Gen-Lösungen und -Architekturen.
Letztlich steht jedes Unternehmen vor der Abwägung: Ist der Aufwand für Behebung, Absicherung oder Ersatz eines Angriffsvektors gerechtfertigt im Vergleich zu potenziellen Ausfallzeiten und entstehenden Kosten? RBVM liefert hier die Entscheidungsgrundlage – insbesondere in Kombination mit regelmäßigen Schwachstellenbewertungen.
Schwachstellen zu beseitigen, ohne dabei das Risiko zu minimieren oder die Angriffsfläche zu verringern, ist keine effektive Nutzung von Ressourcen. Die beste Strategie ist es, sich auf jene Risikobereiche zu konzentrieren, die das größte Bedrohungspotenzial bergen – und dort gezielt die Angriffsfläche zu reduzieren.
Endpunktsicherheit und Compliance durchsetzen
Endgeräte machen einen wesentlichen Teil der gesamten Angriffsfläche eines Unternehmens aus.
Die Investition in Unified Endpoint Management (UEM) ermöglicht es Unternehmen, Governance- und Compliance-Richtlinien konsequent umzusetzen. UEM-Plattformen übernehmen eine zentrale Rolle bei der Verwaltung sämtlicher Endpunktressourcen – von der ersten Bereitstellung bis zur Außerbetriebnahme.
Durch die ganzheitliche Verwaltung des gesamten Endpunkt-Lebenszyklus lässt sich die Angriffsfläche effektiv verkleinern und das Sicherheitsrisiko deutlich senken. Darüber hinaus trägt der Einsatz von UEM maßgeblich dazu bei, unerwünschtes Schatten-IT-Verhalten frühzeitig zu erkennen und zu unterbinden.
Mitarbeiterschulungen zu Cybersicherheit und Angriffsflächen sind unerlässlich
Einer der wirksamsten Hebel zur Reduzierung der Angriffsfläche und zur Eindämmung von Schatten-IT-Risiken ist die gezielte Schulung der Mitarbeitenden. Früher bestand zwischen Sicherheitsteams und der übrigen Belegschaft häufig kaum direkter Austausch. Sicherheitsmaßnahmen liefen oft im Hintergrund ab und wurden selten transparent kommuniziert.
Durch regelmäßige Schulungen und Sensibilisierungsmaßnahmen entwickeln Mitarbeitende ein besseres Verständnis für Cyberrisiken – insbesondere in Zeiten wachsender Angriffsflächen. Aktionen wie das Installieren neuer Software oder das Anschließen privater Geräte erscheinen zunächst harmlos, können aber erhebliche Sicherheitsrisiken nach sich ziehen.
Erhalten Mitarbeitende klare und nachvollziehbare Informationen über die Folgen solcher Maßnahmen, steigt die Bereitschaft, sicherheitskonformes Verhalten zu zeigen. Anstatt unbedacht nicht autorisierte Software zu installieren, hinterfragen sie ihr Handeln – und tragen so aktiv zur Reduzierung der Angriffsfläche bei.
Die Rolle von Schwachstellenbewertungen im Umgang mit Angriffsflächen
CEOs und Vorstände benötigen klare Einblicke in die Schwächen und Stärken ihres Unternehmens. Schwachstellenbewertungen liefern genau diese Transparenz – und bilden die Grundlage für fundierte, risikobasierte Entscheidungen auf Führungsebene.
Der Mensch bleibt dabei die größte Schwachstelle. Fehlerhafte Konfigurationen von Netzwerken oder Anwendungen, Insider-Bedrohungen wie Datendiebstahl oder finanzielle Veruntreuung können den Ruf eines Unternehmens über Jahre hinweg beschädigen. Selbst modernste Sicherheitslösungen bieten keinen vollständigen Schutz vor solchen Risiken.
Schwachstellenbewertungen zeigen auf, wo innerhalb der Angriffsfläche eines Unternehmens die größten Gefahren für Cyberangriffe oder Betriebsunterbrechungen lauern. Dieses Wissen erlaubt es der Führungsebene, gezielte Maßnahmen zur Risikominderung und Behebung kritischer Schwachstellen zu ergreifen.
Blinde Flecken im Netzwerk, ungenutzte Cloud-Ressourcen und unzureichend geschultes Sicherheitspersonal erhöhen das Risiko zusätzlich. Schwachstellenanalysen liefern den notwendigen Überblick über diese Risikofaktoren – insbesondere in Unternehmen mit dynamischen, sich ständig verändernden Angriffsflächen. Kontinuierliche Bewertung und Anpassung sind deshalb unerlässlich.
Fazit und zukunftsgerichtete Empfehlungen
Schwachstellenscans sollten ein fester Bestandteil des täglichen Cybersicherheits- und Angriffsflächenmanagements sein. Unternehmen, die lediglich vierteljährlich scannen, um regulatorische Vorgaben zu erfüllen, verfehlen das Ziel, ihre Angriffsfläche wirksam zu verkleinern und reale Risiken zu minimieren.
Organisationen, die auf professionelle Schwachstellenanalysen durch spezialisierte Anbieter wie ForeNova setzen, erzielen deutliche Sicherheitsgewinne.
Forenova liefert die wichtigsten Säulen aus jeder Bewertung:
Die Identifizierung von Schwachstellen in den Cybersecurity-Schutzfunktionen des Unternehmens ist von großem Nutzen
Klassifizierung jedes Risikos mit einer risikobasierten Scoring-Methode
Vorherige Analyse, welcher Teil der Angriffsfläche ein höheres Risiko darstellt
Empfehlungen für Abhilfemaßnahmen anbieten
Die regelmäßige Durchführung von Schwachstellenbewertungen ermöglicht es Unternehmen, ihre Ressourcen strategisch einzusetzen – dort, wo das Bedrohungspotenzial am höchsten ist. Nur so lassen sich Risiken nachhaltig senken und die Angriffsfläche effektiv.
Herkömmliches IT-Personal kommt aus verschiedenen Bereichen, darunter Serververwaltung, Desktop-Support, Telekommunikation und Netzwerktechnik. In jedem Bereich sind in irgendeiner Form Elemente der Cybersicherheits-Verteidigungsschichten eingebettet.
Ein Cybersecurity-Experte zu werden, geht über die Platzierung eines Host-basierten Intrusion Prevention Agents auf einem Server oder die Konfiguration privater VLANs zur Netzwerksegmentierung hinaus. Das Gleiche gilt für Cybersecurity-Experten, die nicht den gleichen Wissensstand bei der Verwaltung von Servern, der Konfiguration von Routern und Switches oder der automatischen Bereitstellung eines Desktop- Images haben.
Das Fachwissen im Bereich der Cybersicherheit ist mehr als nur zu verstehen, wie Angriffe erfolgen, was das Unternehmen tun kann, um Angriffe zu erkennen und zu verhindern, und ob es weiterhin als Torwächter für Verteidigungsinstrumente fungiert.
Unternehmen mit herkömmlichem IT-Personal, die ihr Wissen und ihre Fachkenntnisse im Bereich Cybersicherheit aufstocken möchten, müssen Managed Detection and Response (MDR) wie ForeNova engagieren. Forenova, ein globaler Anbieter von MDR-Diensten, hilft Unternehmen, ihre Ressourcen mit einem umfassenden Hintergrundwissen im Bereich der Cybersicherheitserkennung und -prävention aufzustocken.
Möchten Sie mehr über Forenova und seine Dienstleistungen im Bereich Ressourcenerweiterung und MDR erfahren? Klicken Sie hier, um noch heute eine Demonstration der NovaMDR-Plattform zu vereinbaren!
Typische IT-Verantwortlichkeiten im Vergleich zu den Anforderungen an die Cybersicherheit
Zu den klassischen IT-Aufgaben gehören der Kauf von Laptops und Servern, die Erstellung virtueller Maschinen und die Installation von Software, um nur einige Beispiele zu nennen. IT- Abteilungen decken viele alltägliche Technologiefunktionen ab, darunter den Zugang zu lokalen
Netzwerken und zum Internet, drahtlose Verbindungen und die Verwaltung verschiedener Datenquellen.
Das Cybersecurity-Personal konzentriert sich auf die Verbesserung der Sicherheitslage des Unternehmens. Da die Compliance-Vorschriften jedoch eine Aufgabentrennung vorschreiben, untersteht das Cybersicherheitsteam, einschließlich des Security Operations Center (SecOps), einer anderen Organisationsstruktur. Die klassische IT untersteht dem Chief Information Officer (CIO), während das Cybersicherheitsteam dem Chief Information Security Officer (CISO) untersteht. In einigen Organisationen untersteht der CISO dem CIO oder dem Chief Financial Officer (CFO).
Die meisten Cybersicherheitsabteilungen betrachten die klassische IT als ihren internen Kunden. Zu ihren Aufgaben gehört die Verwaltung aller defensiven Cybersecurity-Tools, einschließlich Firewalls, Fernzugriff, Eindringschutz, Endpunktsicherheit, Anwendungssicherheit und physische Sicherheitskontrollen.
Eine weitere kritische Komponente der Cybersicherheitsmitarbeiter ist die Besetzung und Unterstützung aller SecOps-Funktionen mit den entsprechenden Sicherheitskompetenzen. Zu diesen Funktionen gehört die 24×7-Überwachung aller Cybersicherheitsprotokolle und Verteidigungswerkzeuge auf der Suche nach Cyberangriffen. Zu diesen Angriffen gehören E- Mail-Phishing, Ransomware-Angriffe, Datenexfiltration oder Identitätsdiebstahl. Qualifizierte Cybersicherheitsexperten, darunter Ingenieure, Architekten und Experten für die Modellierung von Bedrohungen, verfügen über einzigartige und entscheidende Fähigkeiten zur Bekämpfung dieser Bedrohungen.
Die Fähigkeiten, die für die Mitarbeit in Cybersicherheits- und SecOps-Teams erforderlich sind, unterscheiden sich stark von denen, die für klassische IT-Ressourcen benötigt werden.
Qualifikationslücke zwischen IT und Cybersicherheit
Die Qualifikationslücke wird immer größer, da immer mehr Unternehmen mit einer zunehmenden Anzahl von Cybersecurity-Angriffen konfrontiert sind, die alle Elemente ihrer Unternehmensnetzwerke, Cloud-Instanzen und Anwendungen betreffen. Je mehr IT- Ressourcen in einem Unternehmen eingesetzt werden, desto größer sind die Sicherheitsbedrohungen gegen die immer größer werdende Angriffsfläche.
IT-Mitarbeiter, insbesondere Netzwerktechniker, Cloud-Architekten und Mobilitätsingenieure, lernen Elemente des Cybersicherheitsschutzes, die für ihren Bereich spezifisch sind. SecOps- Teams und Sicherheitsarchitekten arbeiten mit klassischen IT-Ingenieuren zusammen, um eine neue Cloud-Umgebung zu schaffen, interne Audits durchzuführen oder umfassendere defensive Cybersecurity-Kontrollen zum Schutz verschiedener IT-Plattformen zu ermöglichen.
IT-Ingenieure investieren gleichberechtigt in kontinuierliche Schulungen und Kenntnisse in ihren jeweiligen Bereichen. Cybersicherheitsteams halten sich auch über die neuesten Cyberangriffe und neue Technologien auf dem Laufenden, einschließlich künstlicher Intelligenz und Tools für
maschinelles Lernen, und verbessern kontinuierlich ihre Fähigkeit, die Automatisierung zu nutzen, um Angriffe ohne menschliches Zutun zu stoppen.
CIOs und CISOs setzen auf kontinuierliche Weiterbildung und Automatisierung, um ihre verschiedenen Serviceanforderungen zu erfüllen. Diese Führungskräfte nutzen die Automatisierung auch, um der ständigen Herausforderung zu begegnen, Talente einzustellen und zu halten. Einige Unternehmen versuchen, IT- und Cybersicherheitsingenieure übergreifend auszubilden, um Personal- und Budgetdefizite auszugleichen.
CISOs und CIOs erkennen, dass diese Strategie ein längerfristiges Risiko für das Unternehmen darstellt, auch wenn sie Cross-Training als vorübergehende Überbrückung nutzen.
Die Risiken der Doppelrolle
Auch wenn die Schaffung von Doppelrollen zur Behebung von Personalengpässen eine vorübergehende Erleichterung und Deckung bieten kann, werden IT- und Cybersicherheitsteams letztendlich bei der Beherrschung ihrer jeweiligen technologischen Disziplinen zurückbleiben.
Cybersecurity-Ingenieure sind nach wie vor sehr gefragt. Viele sind zwar bereit, sich weiterzubilden, vor allem außerhalb ihres derzeitigen Fachgebiets, aber viele ziehen es vor, im Bereich der Cybersicherheit zu bleiben.
Klassische IT-Ingenieure, die in Cybersicherheitsschulungen investieren, schätzen auch das Erlernen neuer Fähigkeiten. Wenn sie jedoch Zeit außerhalb des traditionellen Bereichs verbringen, laufen die meisten Ingenieure Gefahr, hinter die neuesten Innovationen und Fähigkeiten ihrer aktuellen IT- Tools und -Lösungen zurückzufallen.
Kombination von Fachleuten für Cybersicherheit und IT- Personal
Die Förderung kompetenter IT- und Cybersicherheitsingenieure, die sich auf die kontinuierliche Verbesserung ihrer Fähigkeiten in ihrem wichtigsten Bereich konzentrieren, hilft dem
Unternehmen, ihre Talente optimal zu nutzen. Dadurch wird sichergestellt, dass die IT- Ressourcen richtig eingesetzt werden und dass das richtige Maß an Cybersicherheitstools aktiviert und aufrechterhalten wird.
Diese Strategie trägt auch zur Verringerung des organisatorischen Risikos bei. Die Herausforderung, IT- und Cybersicherheitstalente zu halten, zwingt die leitenden Führungsteams dazu, sich zusammenzuschließen oder die Vergabe von Unteraufträgen an externe Ressourcen in Betracht zu ziehen.
Durch die Nutzung von Vertragsressourcen können Unternehmen ihre verschiedenen IT- und Cybersicherheitsteams fast sofort mit Experten ausstatten. Mit Hilfe von Personalverstärkungen können Unternehmen notwendige Rollen besetzen, anstatt einen Vollzeitmitarbeiter einzustellen. Diese externen Ressourcen verfügen oft über jahrelange Erfahrung in den Bereichen IT und Cybersicherheit.
Die Entwicklung eines gemischten Modells interner und externer IT- und Cybersicherheitsressourcen in einem Team, insbesondere für kleine und mittlere Unternehmen (KMU), trägt zur Kostensenkung bei und fördert eine bessere Zusammenarbeit. Das Risiko einer übermäßigen Querschulung ist im Vergleich zu größeren Unternehmen weitaus geringer.
In diesen kleineren Organisationen übernehmen IT- und Cybersicherheitsmitarbeiter mehrere Aufgaben. Diese sich überschneidenden Aufgaben werden oft zur Realität, insbesondere wenn die Organisation mit der Finanzierung von zu kämpfen hat. Diese Überschneidung von Teams ermöglicht die Entwicklung eines Abdeckungsmodells für den Fall, dass ein Wissensträger die Organisation verlässt oder in den Urlaub geht.
Burnout und Mangel an Arbeitskräften
Die Zusammenlegung von IT- und Cybersicherheitsteams bringt für Unternehmen erhebliche Vorteile mit sich. Ein Problem für alle Unternehmen ist jedoch, dass die Mitarbeiter durch die Übernahme mehrerer Aufgaben ausgebrannt werden. CIOs und CISOs, die ihre Gesamtkosten für IT und Cybersicherheit senken wollen, belasten ihre Mitarbeiter enorm, was letztendlich dazu führt, dass Mitarbeiter das Unternehmen verlassen und sich eine andere Stelle suchen.
Selbst bei Investitionen in die Sicherheitsautomatisierung, erweiterte Erkennungs- und Reaktionsmöglichkeiten sowie die Aufstockung des Personals durch externe Ressourcen sind Führungskräfte, die sich dafür entscheiden, Mitarbeiter unter Druck zu setzen, immer noch mit dem Problem des Burnouts konfrontiert.
Das Ersetzen wertvoller interner Talente wird zu einer noch größeren Herausforderung, insbesondere wenn diese Mitarbeiter bereits seit mehreren Jahren im Unternehmen tätig sind und über wertvolle Stammeskenntnisse über Unternehmensnetzwerke, Anwendungen und Cybersicherheitskontrollen verfügen.
Das Risiko, wertvolle Ressourcen und deren Stammeswissen zu verlieren, birgt ernsthafte Risiken für das Unternehmen. Es ist fast unmöglich, Talente mit jahrelanger interner Erfahrung zu ersetzen.
Unternehmen streben längerfristige Beziehungen mit Managed-Service-Anbietern an, um alle oder die meisten IT- und Cybersicherheitsfunktionen auszulagern. Unternehmen, die ein Festkostenmodell für ihre IT- und Cybersicherheitsfunktionen schaffen wollen, treffen häufig diese Entscheidung und verringern so das Gesamtrisiko des Unternehmens in Bezug auf Personalengpässe.
Die Rolle von Managed Detection and Response (MDR)
Anbieter von Managed Detection and Response (MDR) werden immer mehr zu strategischen und taktischen Ressourcen für CISOs und CIOs. MDR-Anbieter wie Forenova haben sich auf bestimmte Cybersecurity-Fähigkeiten spezialisiert und verfügen über Erfahrung in der Automatisierung von Incident Response, Endpunktsicherheit und Compliance-Berichterstattung.
NovaMDR, die führende Plattform von Forenova, ist so konzipiert, dass sie Protokolldateien aus verschiedenen Quellen akzeptiert, darunter Microsoft M365 und andere Sicherheitsarchitekturen. NovaMDR hilft Unternehmen, die Kosten für den SecOps-Betrieb zu senken, indem es rund um die Uhr Überwachung, schnelle Reaktion auf Vorfälle und Protokollverwaltung bietet und gleichzeitig ein geschätzter Partner für Ihre IT- und Cybersicherheitsteams ist.
MDR-Anbieter helfen bei der Schaffung eines kostengünstigen, hochflexiblen Supportmodells als Personalergänzung oder als vollständig ausgelagertes Engagement. CIOs und CISOs bevorzugen MDR-Anbieter wie Forenova, um verschiedene Compliance- und Datenschutzbestimmungen zu erfüllen.
NIS2, DORA, KRITIS und andere erfordern eine 24×7-Überwachung von kritischen Hosts, Anwendungen und Portalen. Die NovaMDR-Plattform von Forenova hilft mit ihren verschiedenen Serviceangeboten bei der Erfüllung von Compliance-Vorgaben.
Warum ForeNova?
Ziehen Sie in Erwägung, einen MDR-Anbieter als Personalverstärkung oder ausgelagerten Partner einzusetzen? Forenova setzt weiterhin den Goldstandard bei MDR-Dienstleistungen. Die verschiedenen Serviceangebote des Unternehmens sind so gestaltet, dass sie KMUs und mittelständischen Unternehmen eine dringend benötigte Cybersecurity-Defensivstrategie zu einem erschwinglichen Preis bieten.
Die einzigartige Fähigkeit von ForeNova, seine MDR-Serviceangebote auf verschiedene Branchen wie das Gesundheitswesen, die Automobilindustrie, das Bildungswesen und den
Einzelhandel abzustimmen, macht das Unternehmen zu einem bevorzugten Partner meiner CISOs und CISOs.
Advanced Persistent Threats (APTs) sind gezielte Angriffe, die darauf abzielen, Netzwerke zu infiltrieren und Zugang zu wertvollen Daten zu erlangen. Um die aktuellen Herausforderungen, vor denen Deutschland und andere Länder stehen, besser zu verstehen, bietet sich ein Blick auf das Wachstum des APT-Schutzmarktes an.
Der Markt für Advanced Persistent Threat Protection wird bis 2025 ein Volumen von 14,6 Milliarden US-Dollar erreichen, bei einer jährlichen Wachstumsrate von 16,1 % zwischen 2020 und 2025.
Der Markt für Cybersicherheitslösungen, die speziell auf APT-Angriffe ausgerichtet sind, wächst, da die Bedrohung in allen Industrien und Ländern weiter ansteigt. Ransomware, Denial-of-Service-Angriffe (DoS) und der Diebstahl geistigen Eigentums gehören zu den Angriffsvektoren, die von APTs ausgenutzt werden.
Forenova, ein globaler Anbieter von Managed Detection and Response (MDR)-Diensten, kennt die wachsende Bedrohung durch APT-Angriffe auf hochsensible Branchen in Deutschland. Diese APTs haben es gezielt auf wertvolle Daten abgesehen, insbesondere auf den Diebstahl geistigen Eigentums.
Deutsche Industrieunternehmen setzen auf MDR-Anbieter wie Forenova, um Unterstützung bei der 24/7-Überwachung, der automatisierten Reaktionsfähigkeit auf Sicherheitsvorfälle und einer besseren Transparenz gegenüber APT-Bedrohungen zu erhalten.
Möchten Sie mehr über die NovaMDR-Plattform von Forenova erfahren?
Klicken Sie hier, um noch heute eine Demo mit dem Forenova-Engineering-Team zu vereinbaren!
Auswirkungen von APT-Angriffen auf den Industriesektor in Deutschland?
Bitkom prognostizierte für 2023 Kosten in Höhe von 206 Milliarden Euro (224 Milliarden US-Dollar) durch IT-Diebstahl, Datenlecks, Spionage und Sabotage in Deutschland. Laut einer Umfrage unter mehr als 1.000 Unternehmen überschreiten die Schäden damit bereits im dritten Jahr in Folge die Marke von 200 Milliarden Euro.
Staatlich gesteuerte Cyberangriffe auf die wertvolle deutsche Industrie stehen an zweiter Stelle nach der Industriespionage. Beide Angriffsvektoren werden zunehmend komplexer und raffinierter.
In den Angriffsvektoren verbergen sich komplexe automatisierte Kill Chains, die gegnerische KI-Tools nutzen. Diese Kill Chains kombinieren mehrere simulierte Angriffe, darunter:
Distributed-Denial-of-Service-Angriffe (DDoS) auf Edge-Architekturen, einschließlich Webportale, Zero-Trust-Umgebungen und SASE-basierte Instanzen.
Fortgeschrittene E-Mail-Angriffe auf Standortleiter, Produktionsteams und Betriebsgruppen sind weit verbreitet.
Die deutsche Industrie sieht sich zunehmend mit Ransomware-Angriffen durch E-Mail-Phishing konfrontiert. Ziel dieser Angriffe ist es, Unternehmen zu erpressen, kritische Produktionssysteme lahmzulegen oder globale Lieferaufträge an falsche Lieferanten umzuleiten.
Die Kill Chain umfasst zudem Social-Engineering-Angriffe, physische Eindringversuche und die anhaltende Gefahr durch Insider-Bedrohungen.
Zunahme von Insider-Bedrohungen in der Industrie
Industrieunternehmen stehen vor einer doppelten Herausforderung: Netzwerkbenutzer können sensible Daten exfiltrieren, was Betriebsstörungen und Produktionsverzögerungen verursacht, während das Unternehmen die Angriffe untersucht.
Umgang mit staatlich gesteuerten APT-Gruppen
Staatlich gesteuerte Angriffe erweitern die Angriffsfläche um eine zusätzliche Dimension. China, Russland, Nordkorea, Vietnam, Nigeria, Südafrika und andere Staaten tragen weltweit zur APT-Bedrohung bei.
APT-Gruppen, die von Nationalstaaten finanziert werden, stellen Cybersicherheitsteams in allen Branchen vor große Herausforderungen. Die meisten dieser Gruppen verfügen über umfangreiche finanzielle Mittel, Zugriff auf staatlich geförderte Forschung und Sicherheitswerkzeuge sowie ein Talentpool aus den Streitkräften der jeweiligen Länder.
Diese APT-Gruppe hat deutsche Unternehmen in Branchen wie Pharma und Technologie ins Visier genommen und erfolgreich wertvolles geistiges Eigentum gestohlen.
Eine staatlich unterstützte chinesische APT-Gruppe betreibt Cyber-Spionage im nationalen Interesse. Sie setzt ausgeklügelte Spear-Phishing-Angriffe, Malware und Zero-Day-Schwachstellen ein, um Regierungen, Unternehmen und politische Organisationen weltweit zu attackieren.
Judgment Panda nimmt politische Akteure in den USA, Deutschland und Hongkong sowie kritische Infrastrukturen und die Industrie ins Visier.
Welche Branchen der deutschen Industrie sind die attraktivsten Ziele für Hacker?
Früher konzentrierten sich APT-Gruppen auf Cyberangriffe mit dem Ziel, Geld zu stehlen, finanziellen Betrug durch E-Mail-Phishing zu begehen und mittels Ransomware Lösegeld von ihren Opfern zu erpressen.
APT-Gruppen, die sich auf die deutsche Industrie konzentrieren, verfolgen das Ziel, Betriebsstörungen zu verursachen, geistiges Eigentum zu stehlen und/oder Cyberangriffe durchzuführen – da dies weitaus profitabler ist.
Industrieunternehmen, die ungeplante Produktionsausfälle erleiden, verzeichnen finanzielle Verluste von 900 bis 17.000 US-Dollar pro Minute. Dieselben Cyberangriffe führen zudem zu erheblichen Störungen in der Lieferkette, die die Fertigungsprozesse unterstützt.
Hacker, die es auf wertvolle Industrieunternehmen abgesehen haben, können Malware in Benutzergeräten, hostbasierten Anwendungsplattformen und robotergesteuerten Steuereinheiten platzieren. Diese Schadsoftware bleibt oft unentdeckt, da viele Geräte und Hosts nur selten Software-Updates erhalten.
Diese gezielt platzierten Malware-Dateien wurden höchstwahrscheinlich durch eine E-Mail-Phishing-Kampagne eingeschleust.
Automobilindustrie
Wie andere deutsche Industrieunternehmen ist auch die deutsche Automobilbranche weiterhin verschiedenen Cyberangriffen ausgesetzt – sowohl auf Mitarbeiter als auch auf Partner in der Lieferkette und Netzwerke.
Der Volkswagen-Datenverstoß legte die Informationen von 800.000 E-Auto-Kunden offen. Neben diesem Sicherheitsvorfall war Volkswagen auch von Diebstahl geistigen Eigentums betroffen. Im Jahr 2015 kompromittierten Hacker fast 19.000 Dokumente, die sich auf Forschungs- und Entwicklungsprojekte des Unternehmens bezogen. Allerdings wurde der Vorfall erst 2024 öffentlich bekannt.
Chemieindustrie
Zwei ehemalige Mitarbeiter des Chemiekonzerns Lanxess stahlen geistiges Eigentum, darunter Geschäftsgeheimnisse und Informationen zum Bau von Kernreaktoren der nächsten Generation.
Zu den Käufern dieser Geschäftsgeheimnisse gehörte ein chinesisches Unternehmen, das die gestohlenen Informationen nutzen wollte, um ein konkurrierendes Produkt gegen Lanxess zu entwickeln.
Maschinenbau
Staatlich gesteuerte Hacker und Hacktivisten nehmen weltweit Industrieunternehmen wie VARTA ins Visier.
Im Februar 2024 kompromittierten Hacker die Systeme der VARTA AG, was zu Störungen in der globalen Batterieproduktion und in der Lieferkette führte. Zwei Wochen später machte VARTA das volle Ausmaß der Bedrohung öffentlich und kündigte aus Sicherheitsgründen eine vorübergehende Abschaltung der IT-Systeme sowie eine Produktionsunterbrechung an.
Pharmaceutical
APT 27, eine chinesische Hackergruppe, die für Angriffe auf westliche Regierungsbehörden bekannt ist, nahm auch BfV, ein deutsches Pharma- und Technologieunternehmen, ins Visier.
Neben dem Diebstahl von Geschäftsgeheimnissen und geistigem Eigentum versuchten die Hacker, in die Netzwerke von Kunden und Dienstleistern einzudringen, um mehrere Unternehmen gleichzeitig zu kompromittieren.
Forscher entdeckten zudem eine neue Erpressergruppe namens Morpheus, die seit dem 12. Dezember 2024 aktiv ist. Die Gruppe behauptet, durch Datendiebstahl Arrotex Pharmaceuticals (Australien) und PUS GmbH (Deutschland) kompromittiert zu haben.
Die Rolle von Managed Detection and Response (MDR)
MDR-Anbieter wie Forenova spielen eine entscheidende Rolle dabei, APT-Gruppen an erfolgreichen Angriffen zu hindern. Forenovas Expertise in proaktiver Überwachung, Observability, automatisierter Reaktionsfähigkeit auf Sicherheitsvorfälle und Threat Modeling schützt Kunden vor einer Vielzahl von Cyberangriffen.
NovaMDR, Forenovas bahnbrechender Service, verarbeitet Log-Daten von Endgeräten, Microsoft M365 und weiteren Quellen. Durch den Einsatz von KI- und ML-Funktionen analysiert NovaMDR diese Daten in Echtzeit und ermöglicht eine schnelle Erkennung von Angriffen. Diese Reaktionsfähigkeit, kombiniert mit der Verarbeitung von Log-Daten und einer automatisierten Reaktion auf Sicherheitsvorfälle, hilft dabei, selbst die ersten Anzeichen eines Ransomware-Angriffs einzudämmen.
Die Fähigkeit von NovaMDR, frühe Anzeichen von Angriffen zu erkennen und zu bewältigen, senkt zudem die Personalkosten für die Reaktion auf Sicherheitsvorfälle. Unternehmen, die auf Anbieter wie Forenova setzen, können ihre personellen Ressourcen effizienter nutzen und in andere Bereiche verlagern.
Der Einsatz von NovaMDR in der Industrie eröffnet zahlreiche Vorteile. Automobilhersteller, die die TISAX-Anforderungen erfüllen müssen, können NovaMDR nutzen, um kritische Cybersicherheitskontrollen zu überwachen. Dies trägt zum Schutz der verschiedenen Lieferkettenverbindungen und Anwendungen bei, die im Rahmen dieser Compliance-Vorgaben erforderlich sind.
Deutsche Chemieunternehmen können NovaMDR ebenfalls nutzen, um Intrusion-Prevention-Tools, Firewalls und E-Mail-Systeme zu überwachen. Besonders IoT-Geräte, die für die Steuerung von Chemikalienverteilungssystemen, Umweltkontrollen und Durchflussregelungen zuständig sind, profitieren von dieser zusätzlichen Sicherheitsmaßnahme.
Deutsche Maschinenbauunternehmen, die auf Industrial 5.0-Robotik und Automatisierung umsteigen, können von der Überwachung dieser Systeme durch Forenova profitieren. Hacker, die Ransomware einsetzen, versuchen, die Steuerungseinheiten dieser automatisierten Werkzeuge zu übernehmen und so den Betrieb vollständig lahmzulegen. Die Fähigkeit von NovaMDR, Log-Daten in Echtzeit zu verarbeiten und automatisierte Reaktionsmaßnahmen einzuleiten, schützt Produktionslinien vor Cyberangriffen und gewährleistet einen reibungslosen Betrieb.
Wie andere deutsche Industrieunternehmen treiben auch Pharmaunternehmen die globale Vernetzung und Zusammenarbeit in ihren Forschungsplattformen voran. Diese Transformation birgt jedoch erhebliche Risiken. Organisationen, die gemeinsam an Heilmitteln für AIDS und COVID-19 forschen, sind verstärkt dem Diebstahl geistigen Eigentums durch Insider ausgesetzt. Dazu können Auftragnehmer, unzufriedene Mitarbeiter oder sogar Wettbewerber gehören.
Die Fähigkeit von NovaMDR, M365-Log-Daten zu verarbeiten, ermöglicht die Erkennung verdächtiger Aktivitäten, wie das Kopieren wertvoller Daten auf ein USB-Gerät oder das Versenden sensibler Dateien per E-Mail.
Why Forenova?
Deutschland verfügt über einige der weltweit fortschrittlichsten Fertigungstechniken. Dennoch waren über zwei Drittel der deutschen Unternehmen bereits von Sicherheitsverstößen betroffen. Angreifer, darunter mutmaßliche ausländische Geheimdienste, versuchen gezielt, Geschäftsgeheimnisse zu stehlen.
Forenovas Expertise in der frühzeitigen Erkennung persistenter Bedrohungen über E-Mail-, Endpunkt- oder Netzwerkkanäle trägt dazu bei, das Risiko für deutsche Industrieunternehmen zu minimieren.
Durch die Kombination aus Fachwissen über globale APT-Hackergruppen, den Einsatz von Künstlicher Intelligenz (AI) und Machine Learning (ML) zur Abwehr von Bedrohungen sowie Unterstützung bei der Compliance-Berichterstattung entwickelt sich Forenova zunehmend zu einem strategischen Servicepartner. Das Unternehmen hilft seinen Kunden, APT-Angriffe zu verhindern und den Diebstahl geistigen Eigentums zu unterbinden.
Abonnieren Sie unseren Newsletter und erhalten Sie wertvolle Branchen-Insights, Produkt-Updates und aktuelle Analysen von ForeNova direkt in Ihr Postfach.
* Datenschutzrichtlinie
Wir verwenden Brevo als unsere Marketing-Plattform. Indem Sie das Formular absenden, erklären Sie sich einverstanden, dass die von Ihnen angegebenen persönlichen Informationen an Brevo zur Bearbeitung übertragen werden, gemäß den Datenschutzrichtlinien von Brevo.
Please wait while you are redirected to the right page...
When you visit our website, ForeNova and third parties can place cookies on your computer. These cookies are
used to improve your website experience and provide more personalized services to you, both on this website
and through other media. To find out more about the cookies we use, see our
Privacy Policy.
If you reject all cookies, except one strictly necessary cookie, we
won't track your information when you visit our site. In order to comply with your preferences, we'll have to
use just one tiny cookie so that you're not asked to make this choice again.
