Schlagwort: Erkennung von Bedrohungen

Der Feierabend-Laptop als Einfallstor: Unterschätzte Risiken im hybriden Arbeitsalltag 

Posted on by ForeNova

Ihr Laptop klappt nach Feierabend nicht einfach zu. Ihr privates Gerät, Ihr Heimnetzwerk und Ihre Cloud-Logins bleiben Teil der Unternehmens-IT, oft ohne zentrale Sicherheitskontrolle. Genau dort entstehen Risiken, die viele Organisationen noch unterschätzen. 

Die Sicherheitsgrenze ist verschwunden 

Es ist 18:30 Uhr. Ihr Arbeitstag ist offiziell vorbei. Trotzdem beantworten Sie noch schnell eine Teams-Nachricht, öffnen ein Dokument aus OneDrive oder prüfen eine E-Mail auf Ihrem privaten Laptop. Derselbe Browser, in dem Sie das tun, enthält auch Ihre Shopping-Accounts, Ihre Social-Media-Profile, persönliche Erweiterungen und vielleicht auch die Zugangsdaten zu Ihren Unternehmensdiensten. Was Ihnen im Moment bequem erscheint, kann für Angreifer zur willkommenen Abkürzung werden. 

Im hybriden Arbeitsmodell verlagert sich die Angriffsfläche aus dem kontrollierten Unternehmensnetz in Ihre private Umgebung. Nicht nur Ihr Arbeitslaptop ist relevant, sondern auch Ihr Router, Ihr Browser, Ihr Smartphone, Ihre Cloud-Sitzungen und die privaten Geräte, die Sie „nur kurz“ verwenden. Aktuelle Analysen nennen unter anderem Identity Abuse, Phishing, kompromittierte Endgeräte, SaaS-Exposure und unzureichend geschützte Fernzugänge als zentrale Risiken. 

Und: 52 Prozent der Sicherheitsvorfälle betrafen 2025 Remote-Geräte oder Remote-Verbindungen. Diese Zahl beweist für sich genommen wenig, sie zeigt aber, wie stark sich die Angriffsfläche vergrößert hat und wie schwer sie inzwischen zu kontrollieren ist. 

„Nur kurz privat“ ist kein Sicherheitsmodell 

Warum greifen Sie überhaupt zum privaten Gerät? Die Gründe sind selten dramatisch. Der Firmenlaptop liegt nicht griffbereit oder ist bereits ausgeschaltet. Eine Datei soll schnell noch geprüft oder weitergeleitet werden. Privater und beruflicher Kontext vermischen sich in Ihrem Browser fast von selbst. SaaS-Tools wie Microsoft 365, Google Workspace, Slack, Teams, Ihr CRM oder Ihre Projektmanagement-Plattform funktionieren dort ohnehin ohne klassische VPN-Hürde. Und für einen schnellen Textentwurf oder eine Übersetzung greifen Sie vielleicht zu einem privaten KI-Tool, weil es einfach schneller geht. 

Der kritische Punkt dabei ist nicht, dass Sie fahrlässig handeln. Das Risiko entsteht aus Bequemlichkeit, Zeitdruck und einem Arbeitsalltag, in dem viele Unternehmenssysteme browser- und cloudbasiert erreichbar sind. Nur verfügt Ihr privates Gerät häufig nicht über einheitliche Verschlüsselung, zentrale Updates, Endpoint Detection and Response, eine saubere Inventarisierung oder klare Richtlinien für installierte Anwendungen. 

Bring-your-own-device (BYOD) ist deshalb nicht pauschal verboten oder unsicher. Der Unterschied liegt in der Kontrolle. Ein verwaltetes Gerät ist nicht automatisch sicher, aber ein unverwaltetes Gerät schafft blinde Flecken bei Patch-Stand, Schadsoftware, Datenablage und Incident Response, die Ihnen im Alltag gar nicht auffallen. 

Ihr Heimnetzwerk wird Teil der Unternehmens-IT 

Denken Sie kurz an Ihren Heimrouter. Sie betrachten ihn wahrscheinlich als rein private Infrastruktur, dabei laufen darüber Ihre geschäftliche Kommunikation, Ihre Cloud-Zugriffe und Ihre Authentifizierungsprozesse. 

NSA und FBI warnen davor, dass Angreifer weltweit verwundbare SOHO-Router ausnutzen, um Zugangsdaten abzugreifen. Als Sofortmaßnahmen empfehlen die Behörden aktuelle Firmware, den Austausch von Standard-Zugangsdaten, das Abschalten extern erreichbarer Fernadministration und den Ersatz nicht mehr unterstützter Geräte. 

Microsoft berichtete 2026 zudem über eine Kampagne, in der kompromittierte Heim- und Kleinbüro-Router für DNS-Manipulation genutzt wurden. Angreifer ändern dabei die DNS-Einstellungen, sodass Ihre Webanfragen über kontrollierte Infrastruktur umgeleitet oder ausgespäht werden können. Die Folge können Credential Theft, manipulierte Logins oder Adversary-in-the-Middle-Angriffe sein, obwohl der Unternehmensdienst selbst korrekt abgesichert ist. 

Ein sicherer Cloud-Login schützt Sie also nicht vollständig, wenn das Netzwerkgerät davor bereits kompromittiert ist. Ihr Router entscheidet mit darüber, wohin Ihre Browser, Apps und Endgeräte ihre Anfragen tatsächlich senden. 

Ihr Browser wird zum Arbeitsplatz und zum Angriffsziel 

In Ihrem hybriden Arbeitsalltag ist der Browser wahrscheinlich Ihre eigentliche Arbeitsumgebung. E-Mail, Cloud-Speicher, CRM, Marketing-Tools, Analytik, Projektmanagement und Videokonferenzen erreichen Sie alle über Tabs. Genau deshalb sind Ihre Browserprofile, gespeicherten Passwörter, Cookies und aktiven Sitzungen für Angreifer besonders wertvoll. 

Ein Infostealer muss nicht unbedingt Ihr Unternehmenspasswort knacken. Er kann Ihre gespeicherten Browserdaten, Session-Cookies oder Authentifizierungstokens abgreifen. Damit können Angreifer unter Umständen Ihre bestehende Sitzung übernehmen, ohne dass Sie Ihr Passwort erneut eingeben. Aktuelle Remote-Work-Risikoanalysen nennen Session Hijacking und Identity Abuse ausdrücklich als relevante Gefahren. 

Phishing endet nicht mit Ihrem Arbeitstag 

Phishing funktioniert besonders gut, wenn Ihre Aufmerksamkeit nachlässt. Nach Feierabend klicken Sie eine vermeintliche Rechnung, eine Teams-Benachrichtigung, eine Paketmeldung oder eine Passwortwarnung eher schnell an, statt sie sorgfältig zu prüfen. 

Aktuelle Quellen nennen Phishing weiterhin als dominanten Einstiegspunkt für Angriffe im Remote-Kontext, eine Analyse beziffert den Anteil von Phishing an initialen Angriffen auf 43 Prozent. Gleichzeitig entwickeln sich die Methoden weiter. Neben klassischen E-Mails nehmen Voice-Phishing, gefälschte Login-Seiten, MFA-Fatigue und KI-gestützte Täuschungen zu. 

Stellen Sie sich folgende Situation vor: Eine E-Mail warnt Sie vor einer angeblich ablaufenden Microsoft-365-Sitzung. Sie klicken am privaten Laptop auf den Link und geben Ihre Zugangsdaten auf einer täuschend echten Seite ein. Direkt danach erhalten Sie eine Push-Anfrage auf Ihrem Smartphone. Weil Sie glauben, die Anmeldung selbst ausgelöst zu haben, bestätigen Sie sie. Der Angreifer hat nun nicht nur Ihr Passwort, sondern eine gültige Sitzung. 

Multi-Faktor-Authentisierung (MFA) bleibt für Sie essenziell, aber nicht jede MFA-Methode schützt Sie gleich gut. Phishing-resistente Verfahren wie Passkeys oder hardwaregestützte Sicherheitsschlüssel sind robuster als reine Push-Freigaben, die Sie unter Zeitdruck schnell bestätigen können, ohne genau hinzusehen. 

Shadow IT und private KI-Tools 

Shadow IT entsteht nicht nur durch unbekannte Softwareinstallationen. Sie beginnt oft harmlos, mit einem privaten Cloud-Speicher, einem Online-PDF-Tool, einer Browser-Erweiterung, einem kostenlosen Transkriptionswerkzeug oder einem nicht freigegebenen KI-Chatbot. Wenn Sie dort Kundendaten, Kampagnenentwürfe, Vertragsinhalte, interne Reports oder Zugangsdaten verarbeiten, verlassen diese möglicherweise die kontrollierte Unternehmensumgebung, ohne dass Sie es beabsichtigen. 

Aktuelle Quellen zu hybrider Arbeit nennen Shadow IT, SaaS-Exposure und unverwaltete Anwendungen ausdrücklich als Sicherheitsrisiken. Sie empfehlen Transparenz über genutzte Tools, klare Freigabeprozesse und DLP-Maßnahmen für Cloud- und KI-Anwendungen. 

Wenn Ihnen keine freigegebenen, leicht nutzbaren Werkzeuge für Übersetzung, Content-Erstellung oder Dateikonvertierung zur Verfügung stehen, suchen Sie sich vermutlich selbst eine Lösung. Das ist menschlich, aber genau hier entsteht die Lücke, die Angreifer ausnutzen. 

Ein Angriff beginnt oft außerhalb des Firmenlaptops 

Ihr „Feierabend-Laptop“ ist nicht zwingend der Rechner, auf dem später Ransomware ausgeführt wird. Er kann der Ort sein, an dem Ihre Credentials, Cookies oder MFA-Freigaben abgegriffen werden. Der eigentliche Zugriff auf Unternehmenssysteme erfolgt danach oft von ganz anderer Stelle. 

Das ist auch der Grund, warum große Sicherheitsvorfälle selten nur eine Ursache haben. Remote Work löst einen Breach nicht automatisch aus, kann aber vorhandene Schwächen verstärken: mangelnde Geräteverwaltung, wiederverwendete Passwörter, fehlende Asset-Transparenz, unklare Verantwortlichkeiten und unzureichende Sicherheitsprozesse. 

Maßnahmen für Unternehmen 

Die folgende Priorisierung hilft Ihnen dabei, im Unternehmen die richtigen Hebel zuerst anzusetzen. 

Priorität Maßnahme Relevanz 
1 Phishing-resistente MFA einführen Reduziert Risiken durch gestohlene Passwörter und versehentliche Push-Freigaben 
2 Verwaltete Geräte als Standard etablieren Ermöglicht Patch-Management, Verschlüsselung, EDR und schnelles Sperren verlorener Geräte 
3 Private Zugriffe klar regeln Definiert, welche Systeme von privaten Geräten erreichbar sein dürfen und welche nicht 
4 Heimnetzwerke in Security-Awareness aufnehmen Router-Firmware, Standardpasswörter und Fernwartung sind relevante Sicherheitsfaktoren 
5 Cloud- und KI-Tools freigeben statt ignorieren Verringert Schatten-IT und sorgt für kontrollierte Datenverarbeitung 
6 Least Privilege und Zero Trust umsetzen Beschränkt Schäden, wenn ein Account oder Gerät kompromittiert wird 

Die wirksamste Policy ist nicht die strengste, sondern die, die Sie,  Ihre Kolleginnen und Kollegen, sowie Angestellte im Alltag tatsächlich nutzen. Wenn Mitarbeitende sicher arbeiten sollen, müssen sichere Wege mindestens so einfach sein wie die private Abkürzung. 

Maßnahmen, die Sie selbst umsetzen können 

  • Trennen Sie berufliche und private Nutzung durch separate Benutzerkonten oder Browserprofile. 
  • Speichern Sie Firmenzugänge nicht dauerhaft in Ihrem privaten Browser. 
  • Aktualisieren Sie Ihre Router-Firmware, ändern Sie Standardpasswörter und deaktivieren Sie die Fernadministration, sofern Sie sie nicht benötigen. 
  • Bestätigen Sie keine MFA-Anfrage, die Sie nicht eindeutig einer selbst gestarteten Anmeldung zuordnen können. 
  • Laden Sie keine vertraulichen Dateien oder Daten in nicht freigegebene Cloud-, KI- oder Konvertierungsdienste hoch. 
  • Melden Sie verdächtige Anzeichen wie ein verlorenes Gerät, eine unbekannte Browser-Erweiterung oder eine ungewöhnliche Login-Warnung sofort, statt abzuwarten. 

Die fünf Fragen an Sie 

Beantworten Sie sich selbst ehrlich: 

  1. Nutzen Sie auf Ihrem privaten Gerät denselben Browser für private und berufliche Konten? 
  1. Sind Betriebssystem, Browser und Router-Firmware auf Ihren Geräten aktuell? 
  1. Wird Ihr Router noch vom Hersteller unterstützt und ist die Fernadministration deaktiviert? 
  1. Bestätigen Sie MFA-Anfragen manchmal reflexartig, ohne genau hinzusehen? 
  1. Nutzen Sie private Cloud-, KI- oder Browser-Tools für berufliche Inhalte? 

Je öfter Ihre Antwort „Ja“ lautet, desto eher benötigt Ihr Unternehmen klare technische und organisatorische Leitplanken. Die Risiken entstehen nicht durch mangelnde Disziplin einzelner Mitarbeitender, sondern durch die Lücke zwischen realem Arbeitsverhalten und Sicherheitskonzept. 

Fazit 

Der Feierabend-Laptop ist kein Randthema der IT-Sicherheit. Er steht stellvertretend für eine Arbeitswelt, in der Ihre Unternehmenszugänge nicht mehr an einen festen Arbeitsplatz gebunden sind. Wenn Sie hybride Arbeit sicher gestalten wollen, reicht es nicht, nur den Firmenlaptop zu schützen. Es geht um Identitäten, Browser-Sitzungen, Heimnetzwerke, Cloud-Zugriffe und die alltäglichen Abkürzungen dazwischen, die Sie jeden Tag nehmen, ohne groß darüber nachzudenken. 

Firewall und Antivirus reichen nicht mehr: Warum klassischer Schutz gegen moderne Angriffe versagt 

Posted on by ForeNova

Vermutlich schlafen auch Sie etwas ruhiger, weil auf Ihren Rechnern ein Antivirus-Programm läuft und eine Firewall den Netzwerkzugang bewacht. Das ist verständlich: Firewall und Antivirus gelten seit Jahrzehnten als das Fundament der IT-Sicherheit, und genau das sind sie auch. Aber eben nur das Fundament. Wenn Sie glauben, damit sei Ihr Unternehmen gegen Einbrecher gesichert, übersehen Sie leicht, dass moderne Angreifer längst nicht mehr durch die Tür einbrechen. Sie nutzen Fenster, Dachluken und manchmal sogar den eigenen Hausschlüssel. 

Die unbequeme Wahrheit: Klassischer Schutz ist inzwischen nur noch die Basis einer Sicherheitsstrategie, nicht mehr die Lösung. Moderne Angriffe sind gezielt darauf ausgelegt, genau diese Tools zu umgehen. Wenn Sie sich ausschließlich darauf verlassen, tragen Sie ein trügerisches Sicherheitsgefühl, das im Ernstfall teuer wird. Das gilt besonders für kleine und mittlere Unternehmen, denen oft weder das Budget noch das Personal für ein eigenes großes Security-Team zur Verfügung steht. 

Wie klassischer Schutz eigentlich funktioniert 

Um zu verstehen, warum Firewall und Antivirus versagen, lohnt sich ein Blick darauf, wie sie arbeiten. Beide verfolgen denselben Grundansatz: Sie sind reaktiv und kennen nur, was bereits bekannt ist. 

Antivirus erkennt Bedrohungen über eine Signaturdatenbank. Jede Datei wird mit einer Liste bekannter Malware-Signaturen verglichen und blockiert, sobald ein Treffer erzielt wird. Das funktioniert zuverlässig gegen bekannte, bereits verbreitete Schadsoftware und versagt bei allem, was noch nicht in der Datenbank steht. 

Firewalls wiederum regeln den Netzwerkverkehr an der Grenze Ihres Netzwerks. Sie prüfen anhand von Regeln, Ports und IP-Adressen, welcher Datenverkehr ein- und ausgehen darf. Auch hier gilt: Alles, was die Regeln nicht kennen oder was legitim aussieht, wird durchgelassen. 

Das Kernproblem beider Technologien liegt in ihrer Natur: Sie sind darauf ausgelegt, bekannte Bedrohungen zu stoppen, nicht darauf, unbekannte zu erkennen.  

Warum moderne Angreifer diese Grenzen umgehen 

Angreifer haben diese Schwächen längst erkannt und ihre Taktiken entsprechend angepasst. Statt auffälliger Schaddateien setzen sie auf Methoden, die unter dem Radar der klassischen Tools fliegen. Fünf Beispiele, die Sie kennen sollten: 

  • Fileless-Angriffe und Living-off-the-Land. Statt eigener Malware nutzen Angreifer legitime Systemwerkzeuge wie PowerShell, die auf jedem Windows-Rechner ohnehin vorhanden sind. Es gibt keine Schaddatei und keine Signatur, also auch nichts, was ein Antivirus erkennen könnte. 
  • Gestohlene Zugangsdaten statt Malware. Der CrowdStrike Global Threat Report 2026 zeigt, dass 82 Prozent der Detections im Jahr 2025 malware-frei waren. Angreifer loggten sich schlicht mit gestohlenen oder erratenen Zugangsdaten ein. Ihre Firewall sieht in diesem Fall nur normalen, legitimen Traffic.
  • Zero-Day-Exploits. Die Zeit zwischen der Entdeckung einer Sicherheitslücke und ihrer Ausnutzung schrumpft dramatisch. Ein prominentes Beispiel: Der Chrome-Zero-Day CVE-2025-1023 wurde bereits 48 Stunden nach seiner Entdeckung in Phishing-Kampagnen eingesetzt, lange bevor eine Signatur dafür existierte. 
  • Verschlüsselter Traffic und Cloud-Apps. Firewalls können den Inhalt verschlüsselter Verbindungen nicht einsehen. Und weil Ihre Daten heute über Cloud-Plattformen, mobile Geräte und Remote-Arbeitsplätze fließen, verschwindet der klassische Netzwerkperimeter zunehmend. 
  • Insider-Bedrohungen und Lateral Movement. Angriffe bewegen sich nach dem ersten Zugriff intern weiter, von System zu System. Diese Bewegung findet innerhalb Ihres Netzwerks statt, genau dort, wo die Perimeter-Firewall keinen Blick mehr hat. 

Die Grenzen von Firewall und Antivirus im Detail 

Die folgende Gegenüberstellung zeigt, wo klassischer Schutz stark ist und wo er strukturell an seine Grenzen stößt: 

Klassischer Schutz kann Klassischer Schutz kann nicht 
Bekannte Malware per Signatur blockieren Unbekannte, fileless Angriffe erkennen 
Netzwerkperimeter nach Regeln kontrollieren Verschlüsselten Traffic prüfen 
Auffällige Ports und IPs sperren Gestohlene Zugangsdaten erkennen 
Einzelne Rechner schützen Laterale Bewegung im Netzwerk sehen 
Basisabsicherung bieten Auf Zero-Days und Anomalien reagieren 

Hinzu kommt ein praktischer Schwachpunkt, den Sie im Alltag vermutlich schon erlebt haben: Fehlkonfiguration. Eine Firewall, die nicht sauber eingerichtet und gepflegt wird, gibt mehr Freiheit, als sie kontrolliert. Und ein Antivirus, dessen Signaturen nicht aktuell sind, schützt Sie nur gegen die Bedrohungen von gestern. 

Das Fazit ist eindeutig: Firewall und Antivirus sind notwendig, aber nicht hinreichend. Wenn Sie sie als alleinige Verteidigung betrachten, verlassen Sie sich auf Werkzeuge, die gegen die Angriffe von heute systematisch ins Leere laufen. 

Was stattdessen nötig ist: der moderne Ansatz 

Die Antwort auf moderne Angriffe ist kein einzelnes Tool, sondern ein Paradigmenwechsel: weg von reiner Prävention, hin zu Sichtbarkeit, Erkennung und Reaktion: 

  • Detection & Response statt nur Prevention. Statt nur zu verhindern, dass etwas eindringt, geht es darum, Angriffe zu erkennen und schnell zu beantworten. EDR-Lösungen überwachen Ihre Endpoints, XDR erweitert den Blick über mehrere Ebenen hinweg. 
  • Zero-Trust-Architektur. Das alte Modell „innen vertraut, außen misstrauisch“ ist überholt. Zero Trust bedeutet: Keinem Gerät, keinem Nutzer und keiner Verbindung wird implizit vertraut, jede wird kontinuierlich verifiziert. 
  • Verhaltensbasierte, KI-gestützte Erkennung. Statt statischer Signaturen analysieren moderne Systeme Anomalien im Verhalten, etwa ungewöhnliche Prozessabläufe oder verdächtige Zugriffszeiten. So lassen sich auch unbekannte Angriffe identifizieren. 
  • Layered Security (Defense in Depth). Sicherheit entsteht aus mehreren, sich ergänzenden Schichten. Fällt eine aus, fängt die nächste den Angriff ab. Firewall und Antivirus sind dabei nur die erste, nicht die letzte Verteidigungslinie. 

Diese Anforderungen sind übrigens längst nicht mehr nur eine Empfehlung: Regularien wie NIS-2 verlangen von immer mehr Unternehmen den Nachweis kontinuierlicher Überwachung und schneller Reaktionsfähigkeit. Wer heute noch ausschließlich auf Prävention setzt, gerät also nicht nur technisch, sondern auch regulatorisch ins Hintertreffen. 

MDR als Antwort auf die Lücke 

Genau hier setzt Managed Detection and Response (MDR) an. MDR verbindet moderne Erkennungstechnologie mit menschlicher Expertise: Ein spezialisiertes Security-Team überwacht Ihre Netzwerke und Endpoints rund um die Uhr, analysiert verdächtige Aktivitäten und reagiert aktiv auf Angriffe, bevor daraus echter Schaden entsteht. 

Warum das gerade jetzt zählt, zeigt ein Blick auf die Zahlen aus dem vorherigen Abschnitt: Wenn Angreifer im Schnitt nur 48 Minuten benötigen, um sich nach dem ersten Zugriff im Netzwerk auszubreiten, reicht eine Alarmmeldung allein nicht mehr aus. Es braucht ein Team, das rund um die Uhr wach ist und in genau diesem Zeitfenster reagieren kann, nicht erst am nächsten Morgen. 

Für kleine und mittlere Unternehmen ist das oft der entscheidende Vorteil. Denn die wenigsten Mittelständler haben das Budget oder die Fachkräfte, um eine eigene, durchgehend besetzte Security-Operation aufzubauen. MDR schließt diese Lücke: Sie erhalten die Fähigkeiten eines professionellen Security-Teams, ohne selbst eines aufbauen zu müssen. Genau mit diesem Anspruch bieten wir NovaMDR™ als zugängliche Alternative zu einem eigenen SOC für den deutschen Mittelstand und MSP/MSSP-Partner. Erfahren Sie hier mehr über unsere Lösung. 

Fazit 

Firewall und Antivirus sind und bleiben die Basis jeder IT-Sicherheit. Aber sie sind allein nicht mehr genug. Moderne Angriffe, ob fileless, signaturfrei oder auf gestohlenen Zugangsdaten aufbauend, umgehen diese klassischen Tools systematisch. Wenn Sie Ihr Unternehmen ernsthaft schützen wollen, sollten Sie den Fokus von reiner Prävention auf Erkennung und Reaktion verlagern: mit verhaltensbasierter Überwachung, Zero-Trust-Prinzipien und im Idealfall mit einem Managed-Detection-and-Response-Ansatz, der Sichtbarkeit, Expertise und schnelle Reaktion in einer Lösung bündelt. 

Denn heute gilt: Klassischer Schutz beantwortet die Frage „Was ist schon bekannt?“. Moderne Sicherheit muss die Frage beantworten: „Was passiert gerade in meinem Netzwerk?“ 

Die ultimative Threat-Hunting-Checkliste für Cybersicherheitsexperten

Posted on by ForeNova

Threat Hunting ist ein proaktiver Ansatz, der von Sicherheits-, Risikomanagement- und IT-Teams verfolgt wird, um potenzielle Cyberbedrohungen frühzeitig zu identifizieren, zu bewerten und zu dokumentieren – noch bevor sie aktiv werden.

Damit diese Maßnahme dauerhaft Mehrwert schafft, müssen Security Operations Teams (SecOps) einen klar strukturierten und reproduzierbaren Prozess etablieren. Eine standardisierte Checkliste für die Bedrohungssuche bietet SecOps eine bewährte Methode, um relevante Telemetriedaten aus Netzwerken, Endpunkten, Zero-Trust-Authentifizierungsprotokollen und Endgeräten systematisch zu erfassen. Durch die konsequente Durchführung interner Threat-Hunting-Initiativen stärken Unternehmen ihre gesamte Sicherheitsarchitektur nachhaltig.

Was sind die zentralen Erkenntnisse zum Threat Hunting?

Threat Hunting versetzt Unternehmen in eine offensive Position im Bereich Cybersicherheit – weg von reaktiver Verteidigung hin zu proaktivem Handeln. Die dafür eingesetzten Ressourcen sind eine lohnende Investition in die eigene Sicherheitsstrategie. Im Folgenden finden sich einige Schlüsselpunkte, die Unternehmen berücksichtigen sollten, um ihre Threat-Hunting-Strategie wirksam zu etablieren und langfristig aufrechtzuerhalten.

  • Die zentrale Rolle proaktiven Threat Huntings für eine widerstandsfähige Netzwerkarchitektur erkennen
  • Schlüsselelemente und bewährte Strategien für eine effektive Bedrohungssuche identifizieren
  • Tools zur Datenerfassung und -analyse gezielt für eine umfassende Bedrohungserkennung einsetzen
  • Den Mehrwert fortschrittlicher Erkennungstechnologien wie EDR (Endpoint Detection and Response) und IDS (Intrusion Detection System) nutzen
  • Sicherheitsstrategien durch kontinuierliche Anpassung an neue Bedrohungsszenarien fortlaufend optimieren

Die Checkliste für die Bedrohungssuche verstehen

SecOps-Teams, die aktiv nach Bedrohungen im Unternehmensumfeld suchen, nutzen Threat Hunting als Fundament für eine effektive und zielgerichtete Erkennungsstrategie.

Diese Vorgehensweise hilft dabei, Schwachstellen, Indikatoren für Kompromittierung (IoCs), menschliche Fehler in der Konfigurationsverwaltung sowie Unstimmigkeiten bei der Behebung kritischer Sicherheitslücken aufzudecken. Das Identifizieren von IoCs ist besonders entscheidend, da es auf potenzielle Schwachstellen in der bestehenden Threat-Detection-Strategie hinweist.

Warum proaktives Threat Hunting unverzichtbar ist

Cyberbedrohungen entwickeln sich kontinuierlich weiter. Hacker setzen zunehmend auf KI-gestützte Tools, um Angriffe wie E-Mail-Phishing, Denial-of-Service-Attacken (DoS) oder das Hijacking von Browser-Sitzungen zu automatisieren. Diese Werkzeuge optimieren ihre Angriffsmuster dynamisch – basierend auf bisherigen Erfolgen oder Misserfolgen.

Um diesen Entwicklungen zu begegnen, greifen SecOps-Teams selbst auf KI-basierte Threat-Hunting-Tools zurück. Sie nutzen umfassende Erkennungsregeln, automatisierte Risikobewertungen und standardisierte Reaktionsmechanismen, um verdächtige Aktivitäten effizient zu erkennen und zu beheben.

Ziel ist es, durch Automatisierung menschliche Fehler zu minimieren, Alarmmüdigkeit zu vermeiden und eine präzisere Analyse von Angriffsmustern zu ermöglichen.

Warum Threat Hunting für Cybersicherheitsexperten entscheidend ist

Ohne eine aktive Bedrohungssuche verbleiben SecOps-Teams und Unternehmen in einem rein reaktiven Modus. Angesichts der Masse KI-gestützter Angriffe führt dieser Ansatz unweigerlich in eine ausweglose Situation. Threat Hunting ist daher ein zentrales Element, um den Wandel hin zu einer proaktiven Sicherheitskultur einzuleiten.

Durch die gezielte Suche nach Indikatoren für Kompromittierung (IoCs) sowie nach Taktiken, Techniken und Verfahren (TTPs) aus dem MITRE-ATT&CK-Framework können Unternehmen ihre Verteidigungsmaßnahmen frühzeitig anpassen – bevor Angreifer zuschlagen.

Zentrale Bestandteile von Threat-Hunting-Tools und Ressourcenzuweisung

Beim Erstellen einer Checkliste zur Bedrohungssuche sollten SecOps-Teams den Prozess in vier klar definierte Phasen unterteilen. So stellen sie sicher, dass die Umsetzung effektiv, wiederholbar und flexibel bleibt.

PreparationVorbereitung

In der Vorbereitungsphase legen SecOps-Teams gemeinsam mit der Geschäftsleitung die konkreten Ziele der Bedrohungssuche fest. Sobald diese Ziele klar definiert sind, gilt es, eine Übersicht über alle relevanten Informationsquellen zu erstellen. Die meisten SecOps-Teams verfügen über Zugriff auf globale Threat-Intelligence-Feeds und Open-Source-Daten, die sie in ihre Analysen einbeziehen können.

Ein weiterer zentraler Schritt in dieser Phase ist die Auswahl und Aktivierung geeigneter Tools zur Unterstützung des gesamten Prozesses – etwa Endpoint-Security-Agenten, Next-Generation Firewalls, Network Detection and Response (NDR)-Lösungen oder Intrusion-Prevention-Systeme.

Datenerfassung

Threat Hunting ist nur dann effektiv, wenn aussagekräftige Telemetriedaten aus vertrauenswürdigen Quellen gesammelt werden. Der Einsatz von Endpoint-Sicherheitsagenten ermöglicht die Erfassung relevanter und hochwertiger Informationen.

Zusätzlichen Mehrwert bietet die Datengewinnung aus Netzwerkkomponenten wie Firewalls, Border-Routern sowie aus Cloud-Sicherheitslösungen – insbesondere CASB-Systemen (Cloud Access Security Broker). Auch Zero-Trust-Authentifizierungsprotokolle stellen eine äußerst wertvolle Telemetriequelle dar. Sobald festgelegt ist, welche Quellen genutzt werden, muss bestimmt werden, in welchem Umfang Daten erfasst und wo diese gespeichert werden sollen. SIEM-Lösungen (Security Information and Event Management) gelten dabei weiterhin als zentrale Plattform zur strukturierten Analyse.

Ein unausgewogenes Datenvolumen – sei es zu gering oder zu umfangreich – erschwert die Generierung verwertbarer Erkenntnisse. Insbesondere eine unzureichende Datenbasis kann zu fehlerhaften Bedrohungserkennungen führen.

Erkennungsmethode

Nach Abschluss der Datenerfassungsphase folgt die Entwicklung eines strukturierten Erkennungsprozesses. Dabei wird definiert, wie sich die gesammelten Informationen innerhalb eines nachvollziehbaren Ablaufs auswerten lassen, um fundierte Erkenntnisse über potenzielle Bedrohungen zu gewinnen.

Den Ausgangspunkt bildet die Erstellung einer belastbaren Baseline. Anschließend erfolgt der Abgleich mit etablierten IoC-Quellen (Indicators of Compromise), um mögliche Übereinstimmungen mit erkannten Anomalien zu identifizieren. Zu den häufig genutzten Quellen zählen unter anderem Rückmeldungen von IBM, BlackBerry Global Intelligence, VirusTotal sowie Informationen der Cybersecurity and Infrastructure Security Agency (CISA).

Erweiterte Analyse mit KI und Machine Learning

Bevor künstliche Intelligenz (KI) und maschinelles Lernen (ML) Einzug hielten, setzten SecOps-Teams auf eine Mischung aus verhaltensbasierten Analysen und signaturbasierten Erkennungsmethoden, um gesammelte Daten mit Bedrohungsdatenfeeds abzugleichen.

Heute ermöglichen KI- und ML-basierte Tools eine deutlich schnellere und präzisere Auswertung. Auf Basis historischer Telemetriedaten lassen sich Muster effizient erkennen und fundierte Rückschlüsse auf potenzielle Bedrohungen ziehen.

Fokussierung auf kritische Problembereiche basierend auf Risiko und Auswirkungen

Nach Festlegung der eingesetzten Tools, der Datenerfassung und der Erkennungsstrategie gilt es im nächsten Schritt, gezielt zu bestimmen, wo innerhalb der Unternehmensumgebung mit der Bedrohungssuche begonnen werden sollte.

Zwar wäre eine umfassende Analyse sämtlicher Netzwerkaktivitäten, Kontoanmeldungen und TCP-Verbindungen über Border-Router, Switching-Core, Cloud-Instanzen und Endpunkte ideal – in der Praxis ist dies jedoch kaum realisierbar. Stattdessen ist eine priorisierte Fokussierung notwendig: auf die Angriffsvektoren mit dem größten Schadenspotenzial und die am stärksten gefährdeten Assets.

Ein häufig genutztes Angriffsszenario ist beispielsweise E-Mail-Phishing im Rahmen von Ransomware-Kampagnen. Schwächen in der E-Mail-Sicherheit werden gezielt ausgenutzt, indem gut getarnte, mit Malware versehene Links versendet werden. Viele Nutzer klicken diese an – und lösen damit unbeabsichtigt eine Ransomware-Attacke aus.

In der Folge muss gezielt nach typischen Ransomware-Mustern gesucht werden – etwa nach lateraler Bewegung zwischen Hosts im selben Netzwerksegment oder nach Kommunikationsversuchen der Malware mit externen Command-and-Control-Servern.

Ein weiterer verbreiteter Angriffsvektor ist die Ausnutzung schwacher oder standardisierter Passwörter in Active-Directory-Administratorgruppen. Ein erfolgreicher Zugriff erlaubt es Angreifern, privilegierte Rechte zu erweitern und andere Administratoren zu entfernen – ein effektiver und oft erfolgreicher Angriffspfad.

Solche Angriffsvektoren können sich zu Einzelereignissen oder vollständigen Kill-Chain-Angriffen entwickeln, die in der Regel mit einer Datenexfiltration enden. Die Folgen für das Unternehmen sind gravierend: mögliche Klagen, Verstöße gegen regulatorische Vorgaben und der Verlust des Vertrauens seitens Kunden, Mitarbeitenden und Geschäftspartnern.

Dokumentation und Berichterstattung der Ergebnisse

Effektives Threat Hunting dient dazu, Schwachstellen, bestehende Persistenzangriffe sowie potenzielle zukünftige Exploits zu identifizieren. Nach Abschluss einer solchen Maßnahme gilt es, die Erkenntnisse systematisch zu dokumentieren – inklusive konkreter Handlungsempfehlungen zur Risikominderung. Diese Dokumentation ist nicht nur essenziell für interne Sicherheitsverbesserungen, sondern auch hilfreich bei der Beantragung von Cyberversicherungen, der Vorbereitung auf SOC-2-Audits oder im Falle eines Sicherheitsvorfalls gegenüber Strafverfolgungsbehörden.

Hier sind wichtige Komponenten aufgeführt, die alle Berichte zur Bedrohungssuche enthalten sollten.

  • Zusammenfassung: Darstellung der wichtigsten Aspekte der Bedrohungssuche, einschließlich verwendeter Methoden, Datenquellen, eingesetzter Tools sowie der analysierten Bereiche innerhalb der Unternehmensumgebung
  • Empfehlungen zur Behebung: Priorisierung der Maßnahmen auf Basis des CVSS-Scores (Common Vulnerability Scoring System), um eine risikobasierte Fokussierung von hoch- bis niedrigkritischen Schwachstellen zu ermöglichen
  • Relevante Problembereiche: Beschreibung auffälliger oder unerwarteter Schwachstellen, die entweder sofortige Aufmerksamkeit erfordern oder sich künftig zu größeren Risiken entwickeln könnten
  • Fazit: Bereitstellung relevanter Nachweise und Zusammenfassung, inwiefern die durchgeführte Bedrohungssuche zur Risikominimierung beigetragen hat

Kontinuierliche Weiterentwicklung der Threat-Hunting-Strategien

Unternehmen, die auf Threat Hunting setzen, sollten ergänzend eine Strategie zur kontinuierlichen Sicherheitsüberwachung etablieren. Managed Detection and Response (MDR)-Services – wie jene von ForeNova – ermöglichen eine lückenlose Überwachung geschäftskritischer Systeme zwischen den einzelnen Hunting-Maßnahmen. Zudem unterstützen MDR-Dienste dabei, potenzielle Schwachstellen zu identifizieren, die im Rahmen früherer Analysen möglicherweise übersehen wurden – und tragen so zu einer ganzheitlichen Absicherung der IT-Infrastruktur bei.

Noodlophile InfoStealer enttarnt: Wie KI-Werbung auf Facebook eine Python-basierte Datendiebstahl-Kette auslöste

Posted on by ForeNova

Angreifer nutzten Facebook, um KI-generierte Werbeanzeigen zu schalten und Nutzer auf eine manipulierte Website zu locken. Die Anzeige versprach, Standbilder in lebendige Videos zu verwandeln. Nachdem ein gefälschter Fortschrittsbalken 100 % erreicht hatte, wurde den Nutzern ein ZIP-Archiv zum Download angeboten, das Folgendes enthielt:

Unter den entpackten Dateien befand sich eine ausführbare Datei mit dem irreführenden Namen „Video Luma MachineAI.mp4.exe“. Zwischen „.mp4“ und „.exe“ wurden mehrere Unicode-No-Break-Space-Zeichen (\xe2\xa0\x80) eingefügt, um die Datei als harmloses Video erscheinen zu lassen. Der Ordner „5.0.0.1886“ war sowohl mit dem System- als auch dem Versteckt-Attribut versehen und wurde daher standardmäßig im Dateiexplorer nicht angezeigt.

Beim Doppelklick auf die .exe-Datei wird „Capcut.exe“ im Verzeichnis „5.0.0.1886“ ausgeführt, woraufhin sich der ursprüngliche Prozess beendet.

„Capcut.exe“ ist eine .NET-Anwendung. Nach dem Start ruft sie wiederholt „https[:]//google.com“ auf und pausiert kurz. Anschließend werden im Verzeichnis „5.0.0.1886\software“ Dateien umbenannt: „meta“ wird zu „image.exe“ und „Document.docx“ zu „install.bat“. Die neue „image.exe“ ist in Wirklichkeit WinRAR, und „install.bat“ wird direkt im Anschluss ausgeführt.

Das Batch-Skript dekodiert „Document.pdf“ in „ppIuqewlq.rar“ und extrahiert diese Datei anschließend mithilfe von „image.exe“ (WinRAR) still und ohne Benutzerinteraktion nach %LOCALAPPDATA%\SoftwareHost. Das für die Extraktion verwendete Passwort lautet: TONGDUCKIEMDEVELOPER2025. Der entpackte Inhalt umfasst eine vollständige Python-Laufzeitumgebung samt aller benötigten Abhängigkeiten. Die Datei „srchost.exe“ ist in Wirklichkeit eine umbenannte „python.exe“.

Über „srchost.exe“ lädt die Malware externen Code nach und führt ihn aus. Das heruntergeladene Skript verwendet exec(), um ein serialisiertes (marshaled) Python-Objekt auszuführen. Dieses Objekt wurde anschließend für Analysezwecke dekompiliert.

Die disassemblierten Opcodes umfassen über 60.000 Zeilen – größtenteils bedeutungslose Instruktionen, die gezielt die Analyse erschweren sollen. Die relevanten Befehle befinden sich in den letzten 500 Zeilen. Zur Unterstützung der Analyse wurden KI-gestützte Tools eingesetzt, um aus den Opcodes den ursprünglichen Python-Code zu rekonstruieren.

Auch wenn der mithilfe von KI rekonstruierte Code möglicherweise nicht exakt dem Original entspricht, bietet er eine nützliche Grundlage für die manuelle Überprüfung. Im weiteren Verlauf wird ein weiteres marshaled-Objekt entdeckt, das auf dieselbe Weise dekompiliert wird, um den Quellcode zu extrahieren.

Der finale Code führt gezielten Datendiebstahl durch und hat es auf folgende Informationen abgesehen: Browser-Cookies, Browserverlauf und gespeicherte Zugangsdaten, Gespeicherte Kreditkartendaten, Facebook-Zugangsdaten und Kontoinformationen:

Sämtliche gestohlenen Daten werden in einem Archiv zusammengefasst, über einen Telegram-Bot übertragen und anschließend vom System des Opfers gelöscht.

HellCat Ransomware im Überblick: Eine neue Angriffswelle im Zeitalter von RaaS

Posted on by ForeNova

Zusammenfassung

Die HellCat-Ransomware trat erstmals im Jahr 2024 in Erscheinung. Sie verbreitet sich hauptsächlich über Spear-Phishing-E-Mail-Anhänge sowie durch das Ausnutzen von Schwachstellen in Anwendungen wie Atlassian Jira und Palo Alto PAN-OS (z. B. CVE-2024-0012 und CVE-2024-9474). HellCat folgt dem Ransomware-as-a-Service-Modell (RaaS) und richtet sich gezielt gegen besonders wertvolle Ziele und Regierungsorganisationen. Die Gruppe stellt Partnern Werkzeuge und Infrastruktur zur Verfügung – im Gegenzug erhalten sie einen Anteil an den Lösegeldeinnahmen.

Analyse

Nach der Ausführung zeigt die Ransomware eine Lösegeldforderung mit dem Dateinamen „README.txt“ an. Die Opfer werden darin aufgefordert, die Angreifer über einen Onion-Link oder per E-Mail zu kontaktieren. Die Nachricht enthält außerdem ein Benutzerkonto und ein Passwort.

Details zur Payload

The HellCat payload is a standard 64-bit PE file, approximately 18KB in size, capable of encrypting specific directories or the full disDie HellCat-Payload ist eine standardmäßige 64-Bit-PE-Datei mit einer Größe von etwa 18 KB. Sie kann gezielt bestimmte Verzeichnisse oder ganze Laufwerke verschlüsseln.

Verschlüsselungsmethode

HellCat verwendet AES im CBC-Modus zur Dateiverschlüsselung. Der AES-Schlüssel selbst wird zusätzlich mit RSA verschlüsselt.

Mechanismus zur Selbstlöschung

HellCat nutzt darüber hinaus Windows-Befehle zur Selbstlöschung. Wenn die Ransomware-Datei noch vorhanden ist, versucht sie wiederholt, sich selbst zu löschen. Der entsprechende Befehl wird in eine Datei geschrieben und ausgeführt. Während dieses Vorgangs wird die Lösegeldforderung „README.txt“ geöffnet.

Indikatoren für eine Kompromittierung (IOC)

SHA256 Hashes of HellCat Samples93aa8b0f950a7ea7f0cee2ba106efaacf673bb2b504ca0b9e87f9ea41acfb599
5b492a70c2bbded7286528316d402c89ae5514162d2988b17d6434ead5c8c274
Onion Link hellcakbszllztlyqbjzwcbdhfrodx55wq77kmftp4bhnhsnn5r3odad.onion
File Extensions Excluded from Encryption .dll
.sys
.exe
.drv
.com
.cat

Empfehlungen

  • Regelmäßige Updates
    Überprüfen und aktualisieren Sie regelmäßig alle Software- und Betriebssysteme – insbesondere sicherheitskritische Anwendungen wie Atlassian Jira und Palo Alto PAN-OS – um bekannte Schwachstellen (z. B. CVE-2024-0012 und CVE-2024-9474) zu schließen.
  • Prinzip der minimalen Rechtevergabe
    Beschränken Sie den Zugriff auf Systeme und Daten strikt auf das, was Nutzer für ihre Rolle benötigen. So stellen Sie sicher, dass nur autorisierte Personen sensible Informationen und kritische Systeme erreichen können.
  • Sicherheitsüberwachung und Reaktion
    Setzen Sie auf eine kontinuierliche Überwachung von Sicherheitsereignissen sowie auf etablierte Mechanismen zur Incident Response, um Bedrohungen frühzeitig zu erkennen und Schäden zu minimieren.

BlackLock Ransomware Vertiefung: Eine plattformübergreifende, doppelte Erpressungsbedrohung

Posted on by ForeNova

Schadsoftware-Datei im Überblick

Malware-FamilieBlackLock
Veröffentlichungsdatum25. Februar 2025
BedrohungstypRansomware
KurzbeschreibungDie BlackLock-Ransomware (auch bekannt als El Dorado oder Eldorado) trat erstmals im März 2024 auf und folgt dem Ransomware-as-a-Service-Modell (RaaS). Sie nutzt eine Doppel-Erpressungsstrategie: Daten werden verschlüsselt und gleichzeitig sensible Informationen entwendet. Zielsysteme sind Windows-, VMware-ESXi- und Linux-Umgebungen. Die Opfer stammen aus unterschiedlichsten Branchen und Regionen.

Malware-Analyse

Malware-Analyse

Die Datei erfordert Administratorrechte und muss über die Kommandozeile gestartet werden – ein Doppelklick reicht nicht aus.

Nach dem Start wird folgendes Protokoll ausgegeben:

Ransom note content：HOW_RETURN_YOUR_DATA.TXT

Beispiel für verschlüsselte Dateien:

Analyse

Windows-Version

Beispiel für verschlüsselte Dateien:

ParameterBeschreibung
-pathLegt den Pfad der zu verschlüsselnden Datei fest
-skip-localLegt den Pfad der zu verschlüsselnden Datei fest
-n <subnet>Definiert freigegebene Ressourcen im CIDR-Format (z. B. 192.168.5.0/24)
-d <domain>Gibt die Domäne an
-u <username>Gibt das SMB-Konto an
-p <password>SGibt das SMB-Passwort an
-skip-netSkipÜberspringt die Verschlüsselung von freigegebenen Verzeichnissen

Bei Angabe gültiger Benutzeranmeldedaten kann die Ransomware Dateien in freigegebenen Netzwerken über das SMB-Protokoll verschlüsseln.

Protokolle werden per WebSocket an die IP-Adresse 173.44.141[.]152 übertragen – mit dem Origin-Header „http://logger“.

Um Spuren zu verwischen, führt die Eldorado-Ransomware einen PowerShell-Befehl aus, der die Verschlüsselungsdateien mit Zufallsdaten überschreibt und anschließend löscht. Wird der Parameter „-keep“ angegeben, wird dieser Schritt übersprungen.

$f=; 
while(Test-Path -Path $f) 
{ 
$o=new-object byte[] 10485760; 
(new-object Random).NextBytes($o); 
[IO.File]::WriteAllBytes($f,$o); 
Remove-Item -Path $f; 
Sleep 1; 
}

Linux-Version

Die Linux-Variante ist einfacher aufgebaut und unterstützt lediglich den Parameter „-path“.

Sie verschlüsselt rekursiv alle Dateien im angegebenen Verzeichnis – unter Verwendung desselben Verschlüsselungsalgorithmus wie in der Windows-Version.

Indikatoren für eine Kompromittierung (IOC)

SHA256 Windows1375e5d7f672bfd43ff7c3e4a145a96b75b66d8040a5c5f98838f6eb0ab9f27b
7f21d5c966f4fd1a042dad5051dfd9d4e7dfed58ca7b78596012f3f122ae66dd
cb0b9e509a0f16eb864277cd76c4dcaa5016a356dd62c04dff8f8d96736174a7
0622aed252556af50b834ae16392555e51d67b3a4c67a6836b98534a0d14d07d
8badf1274da7c2bd1416e2ff8c384348fc42e7d1600bf826c9ad695fb5192c74
SHA256 Linuxb2266ee3c678091874efc3877e1800a500d47582e9d35225c44ad379f12c70de
dc4092a476c29b855a9e5d7211f7272f04f7b4fca22c8ce4c5e4a01f22258c33
Schädliche IP-Adresse173.44.141.152
Dateiname der LösegeldforderungHOW_RETURN_YOUR_DATA.TXT
Dateierweiterungen verschlüsselter Dateien.63npoxa6、.00000001
Darknet-URLshttp://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid.onion
Darknet-URLshttp://panela3eefdzfzxzxcshfnbustdprtlhlbe3x2fqomdz7t33iqtzvjyd.onion/Url=ddb34da5-dce4-4b46-8f7d-4674ab38be9d
Kommandozeilevssadmin delete shadows /all /quiet
DireVom Verschlüsselungsprozess ausgeschlossene VerzeichnisseWindows, programdata, program files, program files (x86), $recycle.bin, all users, winnt, appdata, application data, local settings, boot
Von der Verschlüsselung ausgeschlossene Dateienntldr, ntdetect.com, autoexec.bat, ntuser.dat, ntuser.dat.log, iconcache.db, bootsect.bak, bootfont.bin, bootmgr, thumbs.db
Ausgeschlossene Dateierweiterungen.00000001, .exe, .dll, .sys, .msi, .ini, .inf, .lnk,.63npoxa6

Immer up to date!

Abonnieren Sie unseren Newsletter und erhalten Sie wertvolle Branchen-Insights, Produkt-Updates und aktuelle Analysen von ForeNova direkt in Ihr Postfach.

Wir verwenden Brevo als unsere Marketing-Plattform. Indem Sie das Formular absenden, erklären Sie sich einverstanden, dass die von Ihnen angegebenen persönlichen Informationen an Brevo zur Bearbeitung übertragen werden, gemäß den Datenschutzrichtlinien von Brevo.