Schlagwort: Erkennung von Bedrohungen

Firewall und Antivirus reichen nicht mehr: Warum klassischer Schutz gegen moderne Angriffe versagt 

Posted on by ForeNova

Vermutlich schlafen auch Sie etwas ruhiger, weil auf Ihren Rechnern ein Antivirus-Programm läuft und eine Firewall den Netzwerkzugang bewacht. Das ist verständlich: Firewall und Antivirus gelten seit Jahrzehnten als das Fundament der IT-Sicherheit, und genau das sind sie auch. Aber eben nur das Fundament. Wenn Sie glauben, damit sei Ihr Unternehmen gegen Einbrecher gesichert, übersehen Sie leicht, dass moderne Angreifer längst nicht mehr durch die Tür einbrechen. Sie nutzen Fenster, Dachluken und manchmal sogar den eigenen Hausschlüssel. 

Die unbequeme Wahrheit: Klassischer Schutz ist inzwischen nur noch die Basis einer Sicherheitsstrategie, nicht mehr die Lösung. Moderne Angriffe sind gezielt darauf ausgelegt, genau diese Tools zu umgehen. Wenn Sie sich ausschließlich darauf verlassen, tragen Sie ein trügerisches Sicherheitsgefühl, das im Ernstfall teuer wird. Das gilt besonders für kleine und mittlere Unternehmen, denen oft weder das Budget noch das Personal für ein eigenes großes Security-Team zur Verfügung steht. 

Wie klassischer Schutz eigentlich funktioniert 

Um zu verstehen, warum Firewall und Antivirus versagen, lohnt sich ein Blick darauf, wie sie arbeiten. Beide verfolgen denselben Grundansatz: Sie sind reaktiv und kennen nur, was bereits bekannt ist. 

Antivirus erkennt Bedrohungen über eine Signaturdatenbank. Jede Datei wird mit einer Liste bekannter Malware-Signaturen verglichen und blockiert, sobald ein Treffer erzielt wird. Das funktioniert zuverlässig gegen bekannte, bereits verbreitete Schadsoftware und versagt bei allem, was noch nicht in der Datenbank steht. 

Firewalls wiederum regeln den Netzwerkverkehr an der Grenze Ihres Netzwerks. Sie prüfen anhand von Regeln, Ports und IP-Adressen, welcher Datenverkehr ein- und ausgehen darf. Auch hier gilt: Alles, was die Regeln nicht kennen oder was legitim aussieht, wird durchgelassen. 

Das Kernproblem beider Technologien liegt in ihrer Natur: Sie sind darauf ausgelegt, bekannte Bedrohungen zu stoppen, nicht darauf, unbekannte zu erkennen.  

Warum moderne Angreifer diese Grenzen umgehen 

Angreifer haben diese Schwächen längst erkannt und ihre Taktiken entsprechend angepasst. Statt auffälliger Schaddateien setzen sie auf Methoden, die unter dem Radar der klassischen Tools fliegen. Fünf Beispiele, die Sie kennen sollten: 

  • Fileless-Angriffe und Living-off-the-Land. Statt eigener Malware nutzen Angreifer legitime Systemwerkzeuge wie PowerShell, die auf jedem Windows-Rechner ohnehin vorhanden sind. Es gibt keine Schaddatei und keine Signatur, also auch nichts, was ein Antivirus erkennen könnte. 
  • Gestohlene Zugangsdaten statt Malware. Der CrowdStrike Global Threat Report 2026 zeigt, dass 82 Prozent der Detections im Jahr 2024 malware-frei waren. Angreifer loggten sich schlicht mit gestohlenen oder erratenen Zugangsdaten ein. Ihre Firewall sieht in diesem Fall nur normalen, legitimen Traffic.
  • Zero-Day-Exploits. Die Zeit zwischen der Entdeckung einer Sicherheitslücke und ihrer Ausnutzung schrumpft dramatisch. Ein prominentes Beispiel: Der Chrome-Zero-Day CVE-2025-1023 wurde bereits 48 Stunden nach seiner Entdeckung in Phishing-Kampagnen eingesetzt, lange bevor eine Signatur dafür existierte. 
  • Verschlüsselter Traffic und Cloud-Apps. Firewalls können den Inhalt verschlüsselter Verbindungen nicht einsehen. Und weil Ihre Daten heute über Cloud-Plattformen, mobile Geräte und Remote-Arbeitsplätze fließen, verschwindet der klassische Netzwerkperimeter zunehmend. 
  • Insider-Bedrohungen und Lateral Movement. Angriffe bewegen sich nach dem ersten Zugriff intern weiter, von System zu System. Diese Bewegung findet innerhalb Ihres Netzwerks statt, genau dort, wo die Perimeter-Firewall keinen Blick mehr hat. 

Die Grenzen von Firewall und Antivirus im Detail 

Die folgende Gegenüberstellung zeigt, wo klassischer Schutz stark ist und wo er strukturell an seine Grenzen stößt: 

Klassischer Schutz kann Klassischer Schutz kann nicht 
Bekannte Malware per Signatur blockieren Unbekannte, fileless Angriffe erkennen 
Netzwerkperimeter nach Regeln kontrollieren Verschlüsselten Traffic prüfen 
Auffällige Ports und IPs sperren Gestohlene Zugangsdaten erkennen 
Einzelne Rechner schützen Laterale Bewegung im Netzwerk sehen 
Basisabsicherung bieten Auf Zero-Days und Anomalien reagieren 

Hinzu kommt ein praktischer Schwachpunkt, den Sie im Alltag vermutlich schon erlebt haben: Fehlkonfiguration. Eine Firewall, die nicht sauber eingerichtet und gepflegt wird, gibt mehr Freiheit, als sie kontrolliert. Und ein Antivirus, dessen Signaturen nicht aktuell sind, schützt Sie nur gegen die Bedrohungen von gestern. 

Das Fazit ist eindeutig: Firewall und Antivirus sind notwendig, aber nicht hinreichend. Wenn Sie sie als alleinige Verteidigung betrachten, verlassen Sie sich auf Werkzeuge, die gegen die Angriffe von heute systematisch ins Leere laufen. 

Was stattdessen nötig ist: der moderne Ansatz 

Die Antwort auf moderne Angriffe ist kein einzelnes Tool, sondern ein Paradigmenwechsel: weg von reiner Prävention, hin zu Sichtbarkeit, Erkennung und Reaktion: 

  • Detection & Response statt nur Prevention. Statt nur zu verhindern, dass etwas eindringt, geht es darum, Angriffe zu erkennen und schnell zu beantworten. EDR-Lösungen überwachen Ihre Endpoints, XDR erweitert den Blick über mehrere Ebenen hinweg. 
  • Zero-Trust-Architektur. Das alte Modell „innen vertraut, außen misstrauisch“ ist überholt. Zero Trust bedeutet: Keinem Gerät, keinem Nutzer und keiner Verbindung wird implizit vertraut, jede wird kontinuierlich verifiziert. 
  • Verhaltensbasierte, KI-gestützte Erkennung. Statt statischer Signaturen analysieren moderne Systeme Anomalien im Verhalten, etwa ungewöhnliche Prozessabläufe oder verdächtige Zugriffszeiten. So lassen sich auch unbekannte Angriffe identifizieren. 
  • Layered Security (Defense in Depth). Sicherheit entsteht aus mehreren, sich ergänzenden Schichten. Fällt eine aus, fängt die nächste den Angriff ab. Firewall und Antivirus sind dabei nur die erste, nicht die letzte Verteidigungslinie. 

Diese Anforderungen sind übrigens längst nicht mehr nur eine Empfehlung: Regularien wie NIS-2 verlangen von immer mehr Unternehmen den Nachweis kontinuierlicher Überwachung und schneller Reaktionsfähigkeit. Wer heute noch ausschließlich auf Prävention setzt, gerät also nicht nur technisch, sondern auch regulatorisch ins Hintertreffen. 

MDR als Antwort auf die Lücke 

Genau hier setzt Managed Detection and Response (MDR) an. MDR verbindet moderne Erkennungstechnologie mit menschlicher Expertise: Ein spezialisiertes Security-Team überwacht Ihre Netzwerke und Endpoints rund um die Uhr, analysiert verdächtige Aktivitäten und reagiert aktiv auf Angriffe, bevor daraus echter Schaden entsteht. 

Warum das gerade jetzt zählt, zeigt ein Blick auf die Zahlen aus dem vorherigen Abschnitt: Wenn Angreifer im Schnitt nur 48 Minuten benötigen, um sich nach dem ersten Zugriff im Netzwerk auszubreiten, reicht eine Alarmmeldung allein nicht mehr aus. Es braucht ein Team, das rund um die Uhr wach ist und in genau diesem Zeitfenster reagieren kann, nicht erst am nächsten Morgen. 

Für kleine und mittlere Unternehmen ist das oft der entscheidende Vorteil. Denn die wenigsten Mittelständler haben das Budget oder die Fachkräfte, um eine eigene, durchgehend besetzte Security-Operation aufzubauen. MDR schließt diese Lücke: Sie erhalten die Fähigkeiten eines professionellen Security-Teams, ohne selbst eines aufbauen zu müssen. Genau mit diesem Anspruch bieten wir NovaMDR™ als zugängliche Alternative zu einem eigenen SOC für den deutschen Mittelstand und MSP/MSSP-Partner. Erfahren Sie hier mehr über unsere Lösung. 

Fazit 

Firewall und Antivirus sind und bleiben die Basis jeder IT-Sicherheit. Aber sie sind allein nicht mehr genug. Moderne Angriffe, ob fileless, signaturfrei oder auf gestohlenen Zugangsdaten aufbauend, umgehen diese klassischen Tools systematisch. Wenn Sie Ihr Unternehmen ernsthaft schützen wollen, sollten Sie den Fokus von reiner Prävention auf Erkennung und Reaktion verlagern: mit verhaltensbasierter Überwachung, Zero-Trust-Prinzipien und im Idealfall mit einem Managed-Detection-and-Response-Ansatz, der Sichtbarkeit, Expertise und schnelle Reaktion in einer Lösung bündelt. 

Denn heute gilt: Klassischer Schutz beantwortet die Frage „Was ist schon bekannt?“. Moderne Sicherheit muss die Frage beantworten: „Was passiert gerade in meinem Netzwerk?“ 

Die ultimative Threat-Hunting-Checkliste für Cybersicherheitsexperten

Posted on by ForeNova

Threat Hunting ist ein proaktiver Ansatz, der von Sicherheits-, Risikomanagement- und IT-Teams verfolgt wird, um potenzielle Cyberbedrohungen frühzeitig zu identifizieren, zu bewerten und zu dokumentieren – noch bevor sie aktiv werden.

Damit diese Maßnahme dauerhaft Mehrwert schafft, müssen Security Operations Teams (SecOps) einen klar strukturierten und reproduzierbaren Prozess etablieren. Eine standardisierte Checkliste für die Bedrohungssuche bietet SecOps eine bewährte Methode, um relevante Telemetriedaten aus Netzwerken, Endpunkten, Zero-Trust-Authentifizierungsprotokollen und Endgeräten systematisch zu erfassen. Durch die konsequente Durchführung interner Threat-Hunting-Initiativen stärken Unternehmen ihre gesamte Sicherheitsarchitektur nachhaltig.

Was sind die zentralen Erkenntnisse zum Threat Hunting?

Threat Hunting versetzt Unternehmen in eine offensive Position im Bereich Cybersicherheit – weg von reaktiver Verteidigung hin zu proaktivem Handeln. Die dafür eingesetzten Ressourcen sind eine lohnende Investition in die eigene Sicherheitsstrategie. Im Folgenden finden sich einige Schlüsselpunkte, die Unternehmen berücksichtigen sollten, um ihre Threat-Hunting-Strategie wirksam zu etablieren und langfristig aufrechtzuerhalten.

  • Die zentrale Rolle proaktiven Threat Huntings für eine widerstandsfähige Netzwerkarchitektur erkennen
  • Schlüsselelemente und bewährte Strategien für eine effektive Bedrohungssuche identifizieren
  • Tools zur Datenerfassung und -analyse gezielt für eine umfassende Bedrohungserkennung einsetzen
  • Den Mehrwert fortschrittlicher Erkennungstechnologien wie EDR (Endpoint Detection and Response) und IDS (Intrusion Detection System) nutzen
  • Sicherheitsstrategien durch kontinuierliche Anpassung an neue Bedrohungsszenarien fortlaufend optimieren

Die Checkliste für die Bedrohungssuche verstehen

SecOps-Teams, die aktiv nach Bedrohungen im Unternehmensumfeld suchen, nutzen Threat Hunting als Fundament für eine effektive und zielgerichtete Erkennungsstrategie.

Diese Vorgehensweise hilft dabei, Schwachstellen, Indikatoren für Kompromittierung (IoCs), menschliche Fehler in der Konfigurationsverwaltung sowie Unstimmigkeiten bei der Behebung kritischer Sicherheitslücken aufzudecken. Das Identifizieren von IoCs ist besonders entscheidend, da es auf potenzielle Schwachstellen in der bestehenden Threat-Detection-Strategie hinweist.

Warum proaktives Threat Hunting unverzichtbar ist

Cyberbedrohungen entwickeln sich kontinuierlich weiter. Hacker setzen zunehmend auf KI-gestützte Tools, um Angriffe wie E-Mail-Phishing, Denial-of-Service-Attacken (DoS) oder das Hijacking von Browser-Sitzungen zu automatisieren. Diese Werkzeuge optimieren ihre Angriffsmuster dynamisch – basierend auf bisherigen Erfolgen oder Misserfolgen.

Um diesen Entwicklungen zu begegnen, greifen SecOps-Teams selbst auf KI-basierte Threat-Hunting-Tools zurück. Sie nutzen umfassende Erkennungsregeln, automatisierte Risikobewertungen und standardisierte Reaktionsmechanismen, um verdächtige Aktivitäten effizient zu erkennen und zu beheben.

Ziel ist es, durch Automatisierung menschliche Fehler zu minimieren, Alarmmüdigkeit zu vermeiden und eine präzisere Analyse von Angriffsmustern zu ermöglichen.

Warum Threat Hunting für Cybersicherheitsexperten entscheidend ist

Ohne eine aktive Bedrohungssuche verbleiben SecOps-Teams und Unternehmen in einem rein reaktiven Modus. Angesichts der Masse KI-gestützter Angriffe führt dieser Ansatz unweigerlich in eine ausweglose Situation. Threat Hunting ist daher ein zentrales Element, um den Wandel hin zu einer proaktiven Sicherheitskultur einzuleiten.

Durch die gezielte Suche nach Indikatoren für Kompromittierung (IoCs) sowie nach Taktiken, Techniken und Verfahren (TTPs) aus dem MITRE-ATT&CK-Framework können Unternehmen ihre Verteidigungsmaßnahmen frühzeitig anpassen – bevor Angreifer zuschlagen.

Zentrale Bestandteile von Threat-Hunting-Tools und Ressourcenzuweisung

Beim Erstellen einer Checkliste zur Bedrohungssuche sollten SecOps-Teams den Prozess in vier klar definierte Phasen unterteilen. So stellen sie sicher, dass die Umsetzung effektiv, wiederholbar und flexibel bleibt.

PreparationVorbereitung

In der Vorbereitungsphase legen SecOps-Teams gemeinsam mit der Geschäftsleitung die konkreten Ziele der Bedrohungssuche fest. Sobald diese Ziele klar definiert sind, gilt es, eine Übersicht über alle relevanten Informationsquellen zu erstellen. Die meisten SecOps-Teams verfügen über Zugriff auf globale Threat-Intelligence-Feeds und Open-Source-Daten, die sie in ihre Analysen einbeziehen können.

Ein weiterer zentraler Schritt in dieser Phase ist die Auswahl und Aktivierung geeigneter Tools zur Unterstützung des gesamten Prozesses – etwa Endpoint-Security-Agenten, Next-Generation Firewalls, Network Detection and Response (NDR)-Lösungen oder Intrusion-Prevention-Systeme.

Datenerfassung

Threat Hunting ist nur dann effektiv, wenn aussagekräftige Telemetriedaten aus vertrauenswürdigen Quellen gesammelt werden. Der Einsatz von Endpoint-Sicherheitsagenten ermöglicht die Erfassung relevanter und hochwertiger Informationen.

Zusätzlichen Mehrwert bietet die Datengewinnung aus Netzwerkkomponenten wie Firewalls, Border-Routern sowie aus Cloud-Sicherheitslösungen – insbesondere CASB-Systemen (Cloud Access Security Broker). Auch Zero-Trust-Authentifizierungsprotokolle stellen eine äußerst wertvolle Telemetriequelle dar. Sobald festgelegt ist, welche Quellen genutzt werden, muss bestimmt werden, in welchem Umfang Daten erfasst und wo diese gespeichert werden sollen. SIEM-Lösungen (Security Information and Event Management) gelten dabei weiterhin als zentrale Plattform zur strukturierten Analyse.

Ein unausgewogenes Datenvolumen – sei es zu gering oder zu umfangreich – erschwert die Generierung verwertbarer Erkenntnisse. Insbesondere eine unzureichende Datenbasis kann zu fehlerhaften Bedrohungserkennungen führen.

Erkennungsmethode

Nach Abschluss der Datenerfassungsphase folgt die Entwicklung eines strukturierten Erkennungsprozesses. Dabei wird definiert, wie sich die gesammelten Informationen innerhalb eines nachvollziehbaren Ablaufs auswerten lassen, um fundierte Erkenntnisse über potenzielle Bedrohungen zu gewinnen.

Den Ausgangspunkt bildet die Erstellung einer belastbaren Baseline. Anschließend erfolgt der Abgleich mit etablierten IoC-Quellen (Indicators of Compromise), um mögliche Übereinstimmungen mit erkannten Anomalien zu identifizieren. Zu den häufig genutzten Quellen zählen unter anderem Rückmeldungen von IBM, BlackBerry Global Intelligence, VirusTotal sowie Informationen der Cybersecurity and Infrastructure Security Agency (CISA).

Erweiterte Analyse mit KI und Machine Learning

Bevor künstliche Intelligenz (KI) und maschinelles Lernen (ML) Einzug hielten, setzten SecOps-Teams auf eine Mischung aus verhaltensbasierten Analysen und signaturbasierten Erkennungsmethoden, um gesammelte Daten mit Bedrohungsdatenfeeds abzugleichen.

Heute ermöglichen KI- und ML-basierte Tools eine deutlich schnellere und präzisere Auswertung. Auf Basis historischer Telemetriedaten lassen sich Muster effizient erkennen und fundierte Rückschlüsse auf potenzielle Bedrohungen ziehen.

Fokussierung auf kritische Problembereiche basierend auf Risiko und Auswirkungen

Nach Festlegung der eingesetzten Tools, der Datenerfassung und der Erkennungsstrategie gilt es im nächsten Schritt, gezielt zu bestimmen, wo innerhalb der Unternehmensumgebung mit der Bedrohungssuche begonnen werden sollte.

Zwar wäre eine umfassende Analyse sämtlicher Netzwerkaktivitäten, Kontoanmeldungen und TCP-Verbindungen über Border-Router, Switching-Core, Cloud-Instanzen und Endpunkte ideal – in der Praxis ist dies jedoch kaum realisierbar. Stattdessen ist eine priorisierte Fokussierung notwendig: auf die Angriffsvektoren mit dem größten Schadenspotenzial und die am stärksten gefährdeten Assets.

Ein häufig genutztes Angriffsszenario ist beispielsweise E-Mail-Phishing im Rahmen von Ransomware-Kampagnen. Schwächen in der E-Mail-Sicherheit werden gezielt ausgenutzt, indem gut getarnte, mit Malware versehene Links versendet werden. Viele Nutzer klicken diese an – und lösen damit unbeabsichtigt eine Ransomware-Attacke aus.

In der Folge muss gezielt nach typischen Ransomware-Mustern gesucht werden – etwa nach lateraler Bewegung zwischen Hosts im selben Netzwerksegment oder nach Kommunikationsversuchen der Malware mit externen Command-and-Control-Servern.

Ein weiterer verbreiteter Angriffsvektor ist die Ausnutzung schwacher oder standardisierter Passwörter in Active-Directory-Administratorgruppen. Ein erfolgreicher Zugriff erlaubt es Angreifern, privilegierte Rechte zu erweitern und andere Administratoren zu entfernen – ein effektiver und oft erfolgreicher Angriffspfad.

Solche Angriffsvektoren können sich zu Einzelereignissen oder vollständigen Kill-Chain-Angriffen entwickeln, die in der Regel mit einer Datenexfiltration enden. Die Folgen für das Unternehmen sind gravierend: mögliche Klagen, Verstöße gegen regulatorische Vorgaben und der Verlust des Vertrauens seitens Kunden, Mitarbeitenden und Geschäftspartnern.

Dokumentation und Berichterstattung der Ergebnisse

Effektives Threat Hunting dient dazu, Schwachstellen, bestehende Persistenzangriffe sowie potenzielle zukünftige Exploits zu identifizieren. Nach Abschluss einer solchen Maßnahme gilt es, die Erkenntnisse systematisch zu dokumentieren – inklusive konkreter Handlungsempfehlungen zur Risikominderung. Diese Dokumentation ist nicht nur essenziell für interne Sicherheitsverbesserungen, sondern auch hilfreich bei der Beantragung von Cyberversicherungen, der Vorbereitung auf SOC-2-Audits oder im Falle eines Sicherheitsvorfalls gegenüber Strafverfolgungsbehörden.

Hier sind wichtige Komponenten aufgeführt, die alle Berichte zur Bedrohungssuche enthalten sollten.

  • Zusammenfassung: Darstellung der wichtigsten Aspekte der Bedrohungssuche, einschließlich verwendeter Methoden, Datenquellen, eingesetzter Tools sowie der analysierten Bereiche innerhalb der Unternehmensumgebung
  • Empfehlungen zur Behebung: Priorisierung der Maßnahmen auf Basis des CVSS-Scores (Common Vulnerability Scoring System), um eine risikobasierte Fokussierung von hoch- bis niedrigkritischen Schwachstellen zu ermöglichen
  • Relevante Problembereiche: Beschreibung auffälliger oder unerwarteter Schwachstellen, die entweder sofortige Aufmerksamkeit erfordern oder sich künftig zu größeren Risiken entwickeln könnten
  • Fazit: Bereitstellung relevanter Nachweise und Zusammenfassung, inwiefern die durchgeführte Bedrohungssuche zur Risikominimierung beigetragen hat

Kontinuierliche Weiterentwicklung der Threat-Hunting-Strategien

Unternehmen, die auf Threat Hunting setzen, sollten ergänzend eine Strategie zur kontinuierlichen Sicherheitsüberwachung etablieren. Managed Detection and Response (MDR)-Services – wie jene von ForeNova – ermöglichen eine lückenlose Überwachung geschäftskritischer Systeme zwischen den einzelnen Hunting-Maßnahmen. Zudem unterstützen MDR-Dienste dabei, potenzielle Schwachstellen zu identifizieren, die im Rahmen früherer Analysen möglicherweise übersehen wurden – und tragen so zu einer ganzheitlichen Absicherung der IT-Infrastruktur bei.

Noodlophile InfoStealer enttarnt: Wie KI-Werbung auf Facebook eine Python-basierte Datendiebstahl-Kette auslöste

Posted on by ForeNova

Angreifer nutzten Facebook, um KI-generierte Werbeanzeigen zu schalten und Nutzer auf eine manipulierte Website zu locken. Die Anzeige versprach, Standbilder in lebendige Videos zu verwandeln. Nachdem ein gefälschter Fortschrittsbalken 100 % erreicht hatte, wurde den Nutzern ein ZIP-Archiv zum Download angeboten, das Folgendes enthielt:

Unter den entpackten Dateien befand sich eine ausführbare Datei mit dem irreführenden Namen „Video Luma MachineAI.mp4.exe“. Zwischen „.mp4“ und „.exe“ wurden mehrere Unicode-No-Break-Space-Zeichen (\xe2\xa0\x80) eingefügt, um die Datei als harmloses Video erscheinen zu lassen. Der Ordner „5.0.0.1886“ war sowohl mit dem System- als auch dem Versteckt-Attribut versehen und wurde daher standardmäßig im Dateiexplorer nicht angezeigt.

Beim Doppelklick auf die .exe-Datei wird „Capcut.exe“ im Verzeichnis „5.0.0.1886“ ausgeführt, woraufhin sich der ursprüngliche Prozess beendet.

„Capcut.exe“ ist eine .NET-Anwendung. Nach dem Start ruft sie wiederholt „https[:]//google.com“ auf und pausiert kurz. Anschließend werden im Verzeichnis „5.0.0.1886\software“ Dateien umbenannt: „meta“ wird zu „image.exe“ und „Document.docx“ zu „install.bat“. Die neue „image.exe“ ist in Wirklichkeit WinRAR, und „install.bat“ wird direkt im Anschluss ausgeführt.

Das Batch-Skript dekodiert „Document.pdf“ in „ppIuqewlq.rar“ und extrahiert diese Datei anschließend mithilfe von „image.exe“ (WinRAR) still und ohne Benutzerinteraktion nach %LOCALAPPDATA%\SoftwareHost. Das für die Extraktion verwendete Passwort lautet: TONGDUCKIEMDEVELOPER2025. Der entpackte Inhalt umfasst eine vollständige Python-Laufzeitumgebung samt aller benötigten Abhängigkeiten. Die Datei „srchost.exe“ ist in Wirklichkeit eine umbenannte „python.exe“.

Über „srchost.exe“ lädt die Malware externen Code nach und führt ihn aus. Das heruntergeladene Skript verwendet exec(), um ein serialisiertes (marshaled) Python-Objekt auszuführen. Dieses Objekt wurde anschließend für Analysezwecke dekompiliert.

Die disassemblierten Opcodes umfassen über 60.000 Zeilen – größtenteils bedeutungslose Instruktionen, die gezielt die Analyse erschweren sollen. Die relevanten Befehle befinden sich in den letzten 500 Zeilen. Zur Unterstützung der Analyse wurden KI-gestützte Tools eingesetzt, um aus den Opcodes den ursprünglichen Python-Code zu rekonstruieren.

Auch wenn der mithilfe von KI rekonstruierte Code möglicherweise nicht exakt dem Original entspricht, bietet er eine nützliche Grundlage für die manuelle Überprüfung. Im weiteren Verlauf wird ein weiteres marshaled-Objekt entdeckt, das auf dieselbe Weise dekompiliert wird, um den Quellcode zu extrahieren.

Der finale Code führt gezielten Datendiebstahl durch und hat es auf folgende Informationen abgesehen: Browser-Cookies, Browserverlauf und gespeicherte Zugangsdaten, Gespeicherte Kreditkartendaten, Facebook-Zugangsdaten und Kontoinformationen:

Sämtliche gestohlenen Daten werden in einem Archiv zusammengefasst, über einen Telegram-Bot übertragen und anschließend vom System des Opfers gelöscht.

HellCat Ransomware im Überblick: Eine neue Angriffswelle im Zeitalter von RaaS

Posted on by ForeNova

Zusammenfassung

Die HellCat-Ransomware trat erstmals im Jahr 2024 in Erscheinung. Sie verbreitet sich hauptsächlich über Spear-Phishing-E-Mail-Anhänge sowie durch das Ausnutzen von Schwachstellen in Anwendungen wie Atlassian Jira und Palo Alto PAN-OS (z. B. CVE-2024-0012 und CVE-2024-9474). HellCat folgt dem Ransomware-as-a-Service-Modell (RaaS) und richtet sich gezielt gegen besonders wertvolle Ziele und Regierungsorganisationen. Die Gruppe stellt Partnern Werkzeuge und Infrastruktur zur Verfügung – im Gegenzug erhalten sie einen Anteil an den Lösegeldeinnahmen.

Analyse

Nach der Ausführung zeigt die Ransomware eine Lösegeldforderung mit dem Dateinamen „README.txt“ an. Die Opfer werden darin aufgefordert, die Angreifer über einen Onion-Link oder per E-Mail zu kontaktieren. Die Nachricht enthält außerdem ein Benutzerkonto und ein Passwort.

Details zur Payload

The HellCat payload is a standard 64-bit PE file, approximately 18KB in size, capable of encrypting specific directories or the full disDie HellCat-Payload ist eine standardmäßige 64-Bit-PE-Datei mit einer Größe von etwa 18 KB. Sie kann gezielt bestimmte Verzeichnisse oder ganze Laufwerke verschlüsseln.

Verschlüsselungsmethode

HellCat verwendet AES im CBC-Modus zur Dateiverschlüsselung. Der AES-Schlüssel selbst wird zusätzlich mit RSA verschlüsselt.

Mechanismus zur Selbstlöschung

HellCat nutzt darüber hinaus Windows-Befehle zur Selbstlöschung. Wenn die Ransomware-Datei noch vorhanden ist, versucht sie wiederholt, sich selbst zu löschen. Der entsprechende Befehl wird in eine Datei geschrieben und ausgeführt. Während dieses Vorgangs wird die Lösegeldforderung „README.txt“ geöffnet.

Indikatoren für eine Kompromittierung (IOC)

SHA256 Hashes of HellCat Samples93aa8b0f950a7ea7f0cee2ba106efaacf673bb2b504ca0b9e87f9ea41acfb599
5b492a70c2bbded7286528316d402c89ae5514162d2988b17d6434ead5c8c274
Onion Link hellcakbszllztlyqbjzwcbdhfrodx55wq77kmftp4bhnhsnn5r3odad.onion
File Extensions Excluded from Encryption .dll
.sys
.exe
.drv
.com
.cat

Empfehlungen

  • Regelmäßige Updates
    Überprüfen und aktualisieren Sie regelmäßig alle Software- und Betriebssysteme – insbesondere sicherheitskritische Anwendungen wie Atlassian Jira und Palo Alto PAN-OS – um bekannte Schwachstellen (z. B. CVE-2024-0012 und CVE-2024-9474) zu schließen.
  • Prinzip der minimalen Rechtevergabe
    Beschränken Sie den Zugriff auf Systeme und Daten strikt auf das, was Nutzer für ihre Rolle benötigen. So stellen Sie sicher, dass nur autorisierte Personen sensible Informationen und kritische Systeme erreichen können.
  • Sicherheitsüberwachung und Reaktion
    Setzen Sie auf eine kontinuierliche Überwachung von Sicherheitsereignissen sowie auf etablierte Mechanismen zur Incident Response, um Bedrohungen frühzeitig zu erkennen und Schäden zu minimieren.

BlackLock Ransomware Vertiefung: Eine plattformübergreifende, doppelte Erpressungsbedrohung

Posted on by ForeNova

Schadsoftware-Datei im Überblick

Malware-FamilieBlackLock
Veröffentlichungsdatum25. Februar 2025
BedrohungstypRansomware
KurzbeschreibungDie BlackLock-Ransomware (auch bekannt als El Dorado oder Eldorado) trat erstmals im März 2024 auf und folgt dem Ransomware-as-a-Service-Modell (RaaS). Sie nutzt eine Doppel-Erpressungsstrategie: Daten werden verschlüsselt und gleichzeitig sensible Informationen entwendet. Zielsysteme sind Windows-, VMware-ESXi- und Linux-Umgebungen. Die Opfer stammen aus unterschiedlichsten Branchen und Regionen.

Malware-Analyse

Malware-Analyse

Die Datei erfordert Administratorrechte und muss über die Kommandozeile gestartet werden – ein Doppelklick reicht nicht aus.

Nach dem Start wird folgendes Protokoll ausgegeben:

Ransom note content：HOW_RETURN_YOUR_DATA.TXT

Beispiel für verschlüsselte Dateien:

Analyse

Windows-Version

Beispiel für verschlüsselte Dateien:

ParameterBeschreibung
-pathLegt den Pfad der zu verschlüsselnden Datei fest
-skip-localLegt den Pfad der zu verschlüsselnden Datei fest
-n <subnet>Definiert freigegebene Ressourcen im CIDR-Format (z. B. 192.168.5.0/24)
-d <domain>Gibt die Domäne an
-u <username>Gibt das SMB-Konto an
-p <password>SGibt das SMB-Passwort an
-skip-netSkipÜberspringt die Verschlüsselung von freigegebenen Verzeichnissen

Bei Angabe gültiger Benutzeranmeldedaten kann die Ransomware Dateien in freigegebenen Netzwerken über das SMB-Protokoll verschlüsseln.

Protokolle werden per WebSocket an die IP-Adresse 173.44.141[.]152 übertragen – mit dem Origin-Header „http://logger“.

Um Spuren zu verwischen, führt die Eldorado-Ransomware einen PowerShell-Befehl aus, der die Verschlüsselungsdateien mit Zufallsdaten überschreibt und anschließend löscht. Wird der Parameter „-keep“ angegeben, wird dieser Schritt übersprungen.

$f=; 
while(Test-Path -Path $f) 
{ 
$o=new-object byte[] 10485760; 
(new-object Random).NextBytes($o); 
[IO.File]::WriteAllBytes($f,$o); 
Remove-Item -Path $f; 
Sleep 1; 
}

Linux-Version

Die Linux-Variante ist einfacher aufgebaut und unterstützt lediglich den Parameter „-path“.

Sie verschlüsselt rekursiv alle Dateien im angegebenen Verzeichnis – unter Verwendung desselben Verschlüsselungsalgorithmus wie in der Windows-Version.

Indikatoren für eine Kompromittierung (IOC)

SHA256 Windows1375e5d7f672bfd43ff7c3e4a145a96b75b66d8040a5c5f98838f6eb0ab9f27b
7f21d5c966f4fd1a042dad5051dfd9d4e7dfed58ca7b78596012f3f122ae66dd
cb0b9e509a0f16eb864277cd76c4dcaa5016a356dd62c04dff8f8d96736174a7
0622aed252556af50b834ae16392555e51d67b3a4c67a6836b98534a0d14d07d
8badf1274da7c2bd1416e2ff8c384348fc42e7d1600bf826c9ad695fb5192c74
SHA256 Linuxb2266ee3c678091874efc3877e1800a500d47582e9d35225c44ad379f12c70de
dc4092a476c29b855a9e5d7211f7272f04f7b4fca22c8ce4c5e4a01f22258c33
Schädliche IP-Adresse173.44.141.152
Dateiname der LösegeldforderungHOW_RETURN_YOUR_DATA.TXT
Dateierweiterungen verschlüsselter Dateien.63npoxa6、.00000001
Darknet-URLshttp://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid.onion
Darknet-URLshttp://panela3eefdzfzxzxcshfnbustdprtlhlbe3x2fqomdz7t33iqtzvjyd.onion/Url=ddb34da5-dce4-4b46-8f7d-4674ab38be9d
Kommandozeilevssadmin delete shadows /all /quiet
DireVom Verschlüsselungsprozess ausgeschlossene VerzeichnisseWindows, programdata, program files, program files (x86), $recycle.bin, all users, winnt, appdata, application data, local settings, boot
Von der Verschlüsselung ausgeschlossene Dateienntldr, ntdetect.com, autoexec.bat, ntuser.dat, ntuser.dat.log, iconcache.db, bootsect.bak, bootfont.bin, bootmgr, thumbs.db
Ausgeschlossene Dateierweiterungen.00000001, .exe, .dll, .sys, .msi, .ini, .inf, .lnk,.63npoxa6

Cybersecurity-Alarm-Müdigkeit bei IT-Sicherheitsoperationen im Gesundheitswesen

Posted on by ForeNova

Stellen Sie sich vor, Sie hätten einen Job, bei dem Sie nichts weiter tun, als auf Ereignisse zu reagieren, für die es keine klare Lösung gibt. Während Sie versuchen, ein Problem zu lösen, tauchen 10 weitere auf, dann 20, und dann 30. Cybersecurity-Teams leben mit dieser Realität von zunehmendem Alarmaufkommen, Alarmmüdigkeit, Fehlalarmen und Hunderttausenden von tatsächlichen Bedrohungen, die in das Krankenhausnetzwerk eindringen.

Ein Jahrzehnt nach einem wichtigen Artikel der AACN Advanced Critical Care ist die Alarmmüdigkeit nach wie vor ein Thema für Forscher, Kliniker und Organisationen.

„Das führt zu verpassten Alarmen, medizinischen Fehlern, die zum Tod von Patienten führen, zu erhöhter Arbeitsbelastung, Burnout, sinkender Arbeitszufriedenheit und behindert die Genesung von Patienten.“

Erleben Sie eine Zunahme von Cyberangriffen auf Ihre medizinischen Aufzeichnungen und andere Datenquellen?

Lernen Sie mit dem NovaMDR-Angebot des ForeNova-Teams einen neuen Ansatz für die Cybersicherheit und einen besseren Weg kennen, mit der überwältigenden Menge an übermäßigen Warnungen umzugehen!

Klicken Sie hier, um noch heute eine Demo mit dem Team von ForeNova zu vereinbaren.

Wie hat sich die Alert Fatigue auf das Gesundheitswesen ausgewirkt?

Angesichts der Zunahme von Cyberangriffen und deren Auswirkungen auf die SecOps-Ressourcen wissen Hacker, dass es nur eine Frage der Zeit ist, bis ihre Angriffsvektoren ihre Ziele innerhalb eines Gesundheitsnetzwerks finden. Hacker, wie auch Krankenhäuser und medizinische Dienstleister, investieren weiterhin in KI und ML, um die Geschwindigkeit und Komplexität ihrer Angriffe zu erhöhen.

Gesundheitsdienstleister, die sich mit Investitionen in KI-Defensiv-Tools, zusätzlichen Schulungen und der Einstellung von SecOps-Talenten, einschließlich qualifizierter Sicherheitsanalysten, zurückhalten, setzen ihre Anwendungen, Krankenakten und alle IP-fähigen medizinischen Geräte schnell internen und externen Hackern aus.

Im Gesundheitswesen zum Beispiel hat sich die Zahl der Cyberangriffe und böswilligen Aktivitäten schnell verdreifacht, sobald ein medizinischer Anbieter von Papier auf elektronische Krankenakten(EMR) umgestiegen ist.

Diese Zunahme von Angriffsvektoren in Kombination mit dem Mangel an personellen Ressourcen und aktualisierten Tools, die auf künstlicher Intelligenz (KI) und maschinellem Lernen (ML) basieren, schuf eine unhaltbare Arbeitsumgebung für SecOps-Ingenieure und andere Mitglieder der Organisation. Die Ermüdung der Mitarbeiter im Gesundheitswesen hält an.

Dieses ständige Aufholspiel wurde zur interessanten Realität, mit der sich Sicherheitsingenieure täglich auseinandersetzen müssen. Sie versuchen, echte Bedrohungen zu beseitigen, während sie gleichzeitig mit immer mehr Sicherheitswarnungen zu kämpfen haben, die sich als Fehlalarme herausstellen. Die Geschwindigkeit und das schiere Volumen von Cyberangriffen nehmen täglich in jedem Marktsektor zu, einschließlich Gesundheitswesen, Finanzwesen und Regierung. Alarme mit hoher Priorität vermischen sich mit Alarmen auf niedriger Ebene, da immer mehr ältere Sicherheitssysteme die neuen Alarme nicht verstehen können, einschließlich der Malware-Aktivitäten der nächsten Generation.

Hacker nutzen die KI, um ihre verschiedenen Angriffsvektoren schnell anzupassen, ihre Ziele zu ändern und das Angriffsvolumen innerhalb von Sekunden zu erhöhen.

KI-Defensiv-Tools sind unerlässlich, um KI-Offensiv-Tools zu stoppen, die von Hackern eingesetzt werden.

Auswirkungen von Alert Fatigue auf den Schutz von Patientendaten

Eine Studie aus dem Jahr 2023 ergab, dass sich 62 % der IT-Mitarbeiter im Gesundheitswesen nicht auf die zunehmenden Cybersecurity-Bedrohungen vorbereitet fühlen.

Wenn Sie mit den KI-gestützten Cyberangriffen auf Gesundheitssysteme nicht Schritt halten, führt dies zu Datenschutzverletzungen, Kontoübernahmen und sogar zur Abschaltung wichtiger Geräte in der Notaufnahme. Die zunehmende Zahl von Sicherheitsvorfällen ist nur ein Teil des Problems. Die Ermüdung durch Benachrichtigungen, die Anpassung der Alarmschwellen und die allgemeine psychische Gesundheit werden zu noch größeren Herausforderungen für Gesundheitsdienstleister.

Warum sind Gesundheitsdienstleister ein bevorzugtes Ziel für Hacker?

EHRs sind für Cyberkriminelle wertvoll, da sie medizinische Aufzeichnungen, Diagnosen und Abrechnungsinformationen enthalten. Die durchschnittlichen Kosten einer Datenpanne belaufen sich auf 10,93 Millionen Dollar, womit das Gesundheitswesen die am stärksten betroffene Branche ist.

„Berichte zeigen, dass der Wert einer Gesundheitsakte bis zu 1.000 Dollar betragen kann, während im Dark Web eine Kreditkartennummer 5 Dollar und eine Sozialversicherungsnummer 1 Dollar wert ist.“

Ransomware ist weiterhin ein wichtiger Angriffsvektor

„Ransomware ist eine erhebliche Bedrohung für das Gesundheitswesen und macht laut ENISA 54% der Cybervorfälle aus.

Alarmingly, nearly half led to data breaches, like the Vice Society attack on the Parisian maternity hospital Pierre Rouquès—Les Bluets. After the hospital refused to pay the ransom, the Vice Society released 150 GB of patient data on the dark web.

Was sind die wichtigsten Cyberangriffe auf das Gesundheitswesen in Deutschland im Jahr 2024?

Wie andere in der EU waren auch deutsche Gesundheitsdienstleister im Jahr 2024 mit einer beträchtlichen Anzahl von Cyberangriffen konfrontiert. Diese Angriffe konzentrieren sich auf mehrere Angriffsvektoren, darunter Phishing, was zu Ransomware-Malware führt, Angriffe auf Internet-of-Things (IoT)-Geräte und die Datenexfiltration aus EMR-Systemen.

Da die Medizinbranche weiterhin in die digitale Transformation, einschließlich Cloud-basierter Anwendungen, investiert, wird sich die Müdigkeit wahrscheinlich auf ihre SecOps-Ressourcen auswirken.

Bezirkskrankenhaus Mittelfranken

Das Bezirkskrankenhaus Mittelfranken ist eines von vielen Opfern von Hackerangriffen. In den letzten Monaten haben die Angriffe auf Krankenhäuser besonders zugenommen.

Unbekannte haben sich Zugang zu den IT-Systemen des Bezirkskrankenhauses Mittelfranken verschafft und Daten verschlüsselt. Der Zeitplan für die Wiederherstellung der Systeme nach dem Angriff ist ungewiss. Als Vorsichtsmaßnahme wurden alle Systeme abgeschaltet. Die Krankenhausleitung informierte umgehend die zuständigen Behörden, darunter die Polizei und die Datenschutzbeauftragten.

Wertach-Kliniken in Bobingen und Schwabmünchen

„Dem Bericht zufolge schränkte der Ausfall der Serversysteme den Betrieb der Klinik stark ein und zwang sie, auf eine analoge Notfallstruktur auszuweichen. Die Klinik hat geplante Operationen abgesagt, und weitere Absagen sind möglich.“

Ein Hackerangriff richtete sich gegen die Kurparkklinik in Reinhardshausen.

Hacker haben das zentrale Datensystem der Klinik Kurpark angegriffen. Die Klinik ist dabei, das Problem zu lösen und eine transparente Kommunikation mit den Betroffenen zu führen.

Die Strafverfolgungsbehörden meldeten, dass eine urologische Nachsorgeklinik „am 27. August von Cyberkriminellen angegriffen“ wurde, wodurch die zentralen IT-Systeme gestört wurden. Die Techniker isolierten, überprüften und sicherten die Systeme schnell und ergriffen sofort Maßnahmen zur Eindämmung des Vorfalls.

KI und ML für die SecOps-Automatisierung im Gesundheitswesen ermöglichen

Alarmmüdigkeit beeinträchtigte weiterhin die traditionellen SecOps im Gesundheitswesen, was zu Zweigen der Cybersicherheit führte. Je mehr das Gesundheitswesen in KI-SecOps investiert, desto bedeutender sind die positiven Auswirkungen, die sie haben, indem sie die Alarmmüdigkeit verringern und gleichzeitig mehr aktive Angriffe abwehren.

AI SecOps umfasst mehrere Säulen, darunter:

KI-gestützte Erkennung von Bedrohungen

Die KI-gestützte Erkennung von Bedrohungen stützt sich auf Algorithmen des maschinellen Lernens, um den Netzwerkverkehr, das Benutzerverhalten und Bedrohungsdaten zu analysieren. Diese Fähigkeit ermöglicht es der KI, zu lernen und zwischen normalen und anormalen Aktivitäten zu unterscheiden, wodurch die Genauigkeit von Bedrohungswarnungen verbessert und Anomalien früher erkannt werden, um das Risiko von Sicherheitsverletzungen zu verringern.

Automatisierte Reaktion auf Vorfälle

Die automatisierte Reaktion auf Vorfälle ermöglicht es KI-Systemen, vordefinierte Playbooks auszuführen, um Bedrohungen einzudämmen. So kann KI beispielsweise infizierte Geräte unter Quarantäne stellen oder bösartige IP-Adressen sofort nach der Erkennung blockieren. Dieses schnelle Handeln hilft, die Ausbreitung von Malware einzudämmen und den Schaden am System zu minimieren.

Automatisierung von Routineaufgaben

KI rationalisiert routinemäßige Sicherheitsaufgaben durch die Automatisierung von Patch-Management, Malware-Scans und Netzwerküberwachung. Dieser Prozess ermöglicht es menschlichen Experten, sich auf komplexe Probleme zu konzentrieren und gleichzeitig die konsistente Anwendung grundlegender Sicherheitsmaßnahmen zu gewährleisten, wodurch das Risiko menschlicher Fehler verringert wird.

Verstärkte Schulung des Sicherheitsbewusstseins für die Benutzergemeinschaft

Mitarbeiter des Gesundheitswesens verwenden häufig E-Mails und Patientenportalanwendungen. Die Ausweitung des Zugangs zu Cybersecurity-Schulungen wird ihnen helfen, sich dieser Angriffe bewusster zu werden und ihre Auswirkungen auf das Gesundheitssystem zu verstehen, indem sie ein Sicherheitsbewusstsein entwickeln und Angriffssimulationen durchführen.

Tatsache: Am wichtigsten ist, dass das Verhindern von mehr Angriffen auf der Benutzerebene die Anzahl der Alarme reduziert, die SecOps-Teams bearbeiten müssen.

Die Zukunft der Cybersicherheit im Gesundheitswesen im Jahr 2025

Das Jahr 2025 wird für das Gesundheitswesen weit mehr sein als nur KI-gestützte neue Cybersicherheits-Tools. Neue US- und EU-Vorschriften zur Einhaltung von Gesetzen werden die Gesundheitsbranche tiefgreifend beeinflussen.

Die US-Gesetzgeber haben zwei Gesetzesentwürfe eingebracht, den Healthcare Cybersecurity Act of 2024 und den HISAA, um den Schutz sensibler Gesundheitsdaten zu verbessern. Sie bleiben jedoch im Gesetzgebungsverfahren stecken und sind noch kein Gesetz.

Fokussierung auf das Gesundheitswesen

Gesundheitsdienstleister wollen die Ergebnisse für die Patienten verbessern. Die zunehmende Komplexität der Cybersicherheit lenkt jedoch den Fokus und die Ressourcen ab. Die Auslagerung von Cybersicherheitsfunktionen ermöglicht es Unternehmen, der Pflege Priorität einzuräumen und gleichzeitig die Sicherheit ihrer Systeme zu gewährleisten.

Im Jahr 2025 hängen der Schutz und der Erfolg der Cybersicherheit im Gesundheitswesen von der Nutzung der richtigen Partnerschaften, Technologien und Strategien ab, um das Wesentliche zu schützen.

Was ist die Rolle von Managed Detection and Response (MDR)?

KI-SecOps-Tools werden zwar immer leistungsfähiger und effektiver für das Gesundheitswesen, aber sie konfigurieren sich nicht von selbst und sind auch keine „Plug-and-Play-and-Forget“-Lösung.

Healthcare struggling with access to financial capital and SecOps engineering talent look to MDR providers like ForeNova to help.

Warum ForeNova auswählen?

MDR-Anbieter wie ForeNova haben Erfahrung mit KI-Tools, Zugang zu globalen technischen Talenten und einen bewährten proaktiven Ansatz, der mit den Anforderungen des Gesundheitswesens und den Compliance-Vorgaben übereinstimmt.

The cost is significant for healthcare providers looking to leverage NovaMDR by ForeNova. The ForeNova team understands the financial challenges more healthcare providers face in Germany and continues to develop cost-saving licensing and service models embedded within the NovaMDR offering.

NovaMDR von ForeNova hilft Unternehmen, alte Sicherheitsgeräte auszumustern, ihre Cybersicherheitslage zu verbessern, die Notwendigkeit der Einstellung zusätzlicher Mitarbeiter zu verringern und die Sicherheitsreaktion insgesamt zu verbessern.

Stopping cyberattacks begins with partnering with an MDR provider like ForeNova, which understands the landscape facing German healthcare SecOps engineers experiencing alert fatigue.

Click here to schedule your free demo of NovaMDR today!

Immer up to date!

Abonnieren Sie unseren Newsletter und erhalten Sie wertvolle Branchen-Insights, Produkt-Updates und aktuelle Analysen von ForeNova direkt in Ihr Postfach.

Wir verwenden Brevo als unsere Marketing-Plattform. Indem Sie das Formular absenden, erklären Sie sich einverstanden, dass die von Ihnen angegebenen persönlichen Informationen an Brevo zur Bearbeitung übertragen werden, gemäß den Datenschutzrichtlinien von Brevo.