Stellen Sie sich folgende Situation vor: <\/p>\n\n\n\n
Ein Mitarbeiter aus Ihrem Unternehmen erh\u00e4lt einen Anruf \u00fcber Microsoft Teams. Der Anrufer stellt sich als Kollege aus dem IT-Support vor. Er erkl\u00e4rt, dass aktuell technische Probleme auftreten und die IT bereits daran arbeitet. Um die St\u00f6rung zu beheben, bittet er darum, Quick Assist zu starten und den Bildschirm freizugeben. <\/p>\n\n\n\n
Die Anfrage wirkt plausibel. Das Werkzeug ist bereits auf dem Rechner installiert. Der Anrufer spricht souver\u00e4n, kennt offensichtlich interne Abl\u00e4ufe und erzeugt den Eindruck, helfen zu wollen. <\/p>\n\n\n\n
W\u00fcrden Sie den Betrugsversuch erkennen?<\/strong> <\/p>\n\n\n\n Genau dieses Szenario war Ausgangspunkt eines realen Sicherheitsvorfalls, den Microsoft untersucht hat. Ein Angreifer kontaktierte mehrere Besch\u00e4ftigte eines Unternehmens \u00fcber Teams und gab sich als IT-Support aus. Nachdem zwei Mitarbeitende misstrauisch geworden waren, gew\u00e4hrte eine dritte Person schlie\u00dflich den gew\u00fcnschten Fernzugriff. Damit begann die eigentliche Kompromittierung. Der Angreifer erlangte Zugang, brachte das Opfer zur Eingabe von Zugangsdaten auf einer gef\u00e4lschten Website und nutzte anschlie\u00dfend legitime Werkzeuge, um sich unauff\u00e4llig im Unternehmensumfeld zu bewegen. <\/p>\n\n\n\n Der Vorfall zeigt, wie sich die Bedrohungslandschaft ver\u00e4ndert hat. Viele moderne Angriffe beginnen nicht mehr mit einer Sicherheitsl\u00fccke oder einer auff\u00e4lligen Schadsoftware. Sie beginnen mit Vertrauen.<\/strong> <\/p>\n\n\n\n Der Begriff Living off the Land<\/strong>, h\u00e4ufig als LOTL abgek\u00fcrzt, beschreibt eine Angriffsmethode, bei der Cyberkriminelle vorhandene Werkzeuge, Systemfunktionen und legitime Software missbrauchen<\/strong>, anstatt eigene Schadsoftware einzusetzen. <\/p>\n\n\n\n F\u00fcr Sie und Ihr Unternehmen bedeutet das: Der Angreifer nutzt h\u00e4ufig dieselben Werkzeuge, die auch Ihre IT-Abteilung t\u00e4glich verwendet.<\/strong> <\/p>\n\n\n\n Dazu geh\u00f6ren beispielsweise: <\/p>\n\n\n\n Auf den ersten Blick wirkt nichts davon verd\u00e4chtig. <\/p>\n\n\n\n Genau das macht diese Angriffe so gef\u00e4hrlich.<\/strong> <\/p>\n\n\n\n Aus Sicht des Angreifers bietet LOTL mehrere Vorteile. Die verwendeten Programme sind in vielen Unternehmen bereits freigegeben, verf\u00fcgen \u00fcber g\u00fcltige Signaturen und geh\u00f6ren zum normalen Betriebsalltag. Dadurch sinkt die Wahrscheinlichkeit, dass Sicherheitsl\u00f6sungen sofort Alarm schlagen. Internationale Sicherheitsbeh\u00f6rden beschreiben LOTL deshalb als eine Methode, mit der Aktivit\u00e4ten im normalen System- und Netzwerkverhalten verborgen werden k\u00f6nnen. <\/p>\n\n\n\n Vielleicht stellen Sie sich jetzt die Frage: <\/p>\n\n\n\n \u201eNutzen wir solche Werkzeuge \u00fcberhaupt?\u201c<\/strong> <\/p>\n\n\n\n Die ehrliche Antwort lautet fast immer: Ja.<\/strong> <\/p>\n\n\n\n Praktisch jedes Unternehmen verwendet heute legitime Administrationswerkzeuge, Cloud-Plattformen, Fernwartungsl\u00f6sungen oder Automatisierungsskripte. <\/p>\n\n\n\n Die Herausforderung besteht deshalb nicht darin, diese Werkzeuge zu verbieten. Die Herausforderung besteht darin, Missbrauch zu erkennen.<\/strong> <\/p>\n\n\n\n Wenn Sie an einen Cyberangriff denken, haben Sie wahrscheinlich Bilder von Viren, Ransomware oder unbekannter Schadsoftware im Kopf. <\/p>\n\n\n\n Die Realit\u00e4t moderner Angriffe sieht oft deutlich unspektakul\u00e4rer aus. Denn Angreifer wissen, dass Unternehmen zunehmend in Endpoint Security, Malware-Erkennung und Bedrohungsschutz investieren. Deshalb versuchen sie, gar nicht erst als \u201eklassischer Angreifer\u201c aufzufallen.<\/strong> Stattdessen nutzen sie dieselben Werkzeuge wie Administratoren. <\/p>\n\n\n\n PowerShell ist hierf\u00fcr ein gutes Beispiel. Das Werkzeug ist ein elementarer Bestandteil moderner Windows-Umgebungen und erm\u00f6glicht die Automatisierung zahlreicher Aufgaben. Gleichzeitig kann PowerShell genutzt werden, um Systeme zu erkunden, zus\u00e4tzliche Befehle auszuf\u00fchren oder weitere Komponenten nachzuladen. <\/p>\n\n\n\n Dasselbe gilt f\u00fcr Fernwartungsl\u00f6sungen. Programme wie AnyDesk, TeamViewer, ScreenConnect, Splashtop oder Quick Assist wurden entwickelt, um Anwender zu unterst\u00fctzen und Systeme effizient zu verwalten. Dieselben Funktionen erm\u00f6glichen jedoch auch einem Angreifer die interaktive Steuerung eines Rechners. <\/p>\n\n\n\n Aus Sicht eines Cyberkriminellen ist das ideal. Denn: Warum eine aufwendige Schadsoftware entwickeln, wenn bereits alle notwendigen Werkzeuge im Unternehmen vorhanden sind?<\/strong> <\/p>\n\n\n\n Die meisten erfolgreichen LOTL-Angriffe starten nicht mit einer technischen Aktion. <\/p>\n\n\n\n Sie beginnen bei einem Menschen.<\/strong> <\/p>\n\n\n\n Versetzen Sie sich f\u00fcr einen Moment in die Lage eines Mitarbeitenden: <\/p>\n\n\n\n Der Posteingang l\u00e4uft \u00fcber. Es treffen pl\u00f6tzlich Dutzende oder sogar Hunderte unerwartete E-Mails ein. Parallel klingelt das Telefon oder ein Teams-Anruf geht ein. Eine angebliche Support-Mitarbeiterin erkl\u00e4rt, dass die IT bereits von dem Problem wei\u00df und nun dringend handeln m\u00fcsse. <\/p>\n\n\n\n In dieser Situation entsteht Stress. Der Mitarbeitende m\u00f6chte den Vorfall schnell l\u00f6sen und ist dankbar f\u00fcr Unterst\u00fctzung. Genau dieses Verhalten machen sich viele Angreifer zunutze.<\/strong> <\/p>\n\n\n\n Microsoft dokumentierte mehrere Kampagnen, bei denen T\u00e4ter zun\u00e4chst sogenannte Mail-Bombing-Techniken einsetzten und anschlie\u00dfend per Teams Kontakt aufnahmen. Die Opfer erhielten den Eindruck, dass die Hilfe unmittelbar mit dem gerade erlebten Problem zusammenh\u00e4ngt. Tats\u00e4chlich war beides Teil desselben Angriffs. <\/p>\n\n\n\n Auch die Gruppe Scattered Spider verfolgt einen \u00e4hnlichen Ansatz. Die T\u00e4ter geben sich als Helpdesk-Mitarbeiter aus, veranlassen Passwort-Resets, manipulieren MFA-Prozesse oder \u00fcberzeugen Anwender davon, legitime Fernwartungsl\u00f6sungen zu installieren. <\/p>\n\n\n\n Die eigentliche Schwachstelle ist dabei weder Teams noch Quick Assist.<\/strong> <\/p>\n\n\n\n Die eigentliche Schwachstelle ist die menschliche Bereitschaft, zu helfen und auf scheinbar legitime Anfragen zu reagieren.<\/strong> <\/p>\n\n\n\n Wenn der erste Zugriff gelingt, beginnt h\u00e4ufig die n\u00e4chste Phase. <\/p>\n\n\n\n Stellen Sie sich vor, der Angreifer h\u00e4tte tats\u00e4chlich Zugriff auf einen Arbeitsplatz in Ihrem Unternehmen erhalten. Welche Schritte w\u00e4ren als N\u00e4chstes notwendig? <\/p>\n\n\n\n In den meisten F\u00e4llen w\u00fcrde er zun\u00e4chst Informationen sammeln: <\/p>\n\n\n\n F\u00fcr diese Aufgaben reichen oftmals Standardbefehle und Systemwerkzeuge vollkommen aus. Genau solche Aktivit\u00e4ten wurden beispielsweise bei Angriffen der Rhysida-Ransomware beobachtet. Dort kamen unter anderem PowerShell, RDP und verschiedene Windows-Befehle zur Erkundung und Bewegung innerhalb der Umgebung zum Einsatz. <\/p>\n\n\n\n Das T\u00fcckische daran: <\/p>\n\n\n\n Jeder einzelne Schritt kann legitim aussehen.<\/strong> <\/p>\n\n\n\n Ihr Administrator nutzt m\u00f6glicherweise dieselben Werkzeuge. Auch RDP-Verbindungen, PowerShell-Befehle oder Fernwartungssitzungen sind grunds\u00e4tzlich nichts Ungew\u00f6hnliches. <\/p>\n\n\n\n Erst wenn alle Einzelteile zusammengesetzt werden, wird aus normalen Aktivit\u00e4ten eine verd\u00e4chtige Angriffskette.<\/strong> <\/p>\n\n\n\n Genau deshalb betonen Beh\u00f6rden wie CISA immer wieder, dass die Nutzung eines bestimmten Werkzeugs allein noch keinen Angriff beweist. <\/p>\n\n\n\n Der entscheidende Faktor ist der Kontext.<\/strong> <\/p>\n\n\n\n Wenn Sie bereits in Cybersecurity investiert haben, k\u00f6nnten Sie sich fragen, ob Ihre vorhandenen Sicherheitsl\u00f6sungen solche Aktivit\u00e4ten nicht ohnehin erkennen sollten. <\/p>\n\n\n\n Leider ist die Antwort oft komplizierter: Traditionelle Schutzmechanismen wurden prim\u00e4r entwickelt, um sch\u00e4dliche Dateien, bekannte Malware oder eindeutige Indikatoren eines Angriffs zu erkennen. Living-off-the-Land-Angriffe funktionieren jedoch anders. Hier gibt es h\u00e4ufig keine verd\u00e4chtige Datei: <\/p>\n\n\n\n Keinen klassischen Trojaner. Keine auff\u00e4llige Schadsoftware.<\/strong> <\/p>\n\n\n\n Stattdessen sehen Sicherheitsteams PowerShell, RDP, Fernwartungssoftware oder Administrationswerkzeuge. Alles Aktivit\u00e4ten, die prinzipiell auch legitim sein k\u00f6nnten. Deshalb lautet die zentrale Frage heutzutage nicht mehr: <\/p>\n\n\n\n \u201eWelches Werkzeug wurde verwendet?\u201c<\/strong> <\/p>\n\n\n\n Sondern: <\/p>\n\n\n\n \u201ePasst dieses Verhalten zu dem Benutzer, dem System und dem Zeitpunkt?\u201c<\/strong> <\/p>\n\n\n\n Eine PowerShell-Ausf\u00fchrung durch Ihr IT-Team am Montagmorgen ist vermutlich unkritisch. Eine PowerShell-Ausf\u00fchrung durch einen Vertriebsmitarbeiter um 02:17 Uhr nachts k\u00f6nnte dagegen einen genaueren Blick wert sein. <\/p>\n\n\n\n Diese Form der Verhaltensanalyse gewinnt deshalb immer st\u00e4rker an Bedeutung.<\/strong> <\/p>\n\n\n\n Genau an dieser Stelle sto\u00dfen viele Unternehmen mit eigenen Ressourcen an Grenzen. <\/p>\n\n\n\n Um Living-off-the-Land-Angriffe zuverl\u00e4ssig zu erkennen, m\u00fcssen Identit\u00e4ten, Endpunkte, Netzwerke, Cloud-Dienste und Benutzeraktivit\u00e4ten kontinuierlich \u00fcberwacht werden. Hinzu kommt die Herausforderung, Millionen einzelner Ereignisse richtig einzuordnen. F\u00fcr die meisten mittelst\u00e4ndischen Unternehmen ist das rund um die Uhr kaum realistisch. <\/p>\n\n\n\n Managed Detection and Response (MDR) wurde genau f\u00fcr diese Herausforderung entwickelt.<\/strong> <\/p>\n\n\n\n Ein MDR-Service betrachtet nicht nur einzelne Warnmeldungen, sondern analysiert Zusammenh\u00e4nge. Verd\u00e4chtige Identit\u00e4tsereignisse werden mit Endpunktaktivit\u00e4ten, Netzwerkverbindungen und Cloud-Logs korreliert. Dadurch werden Verhaltensmuster sichtbar, die bei einer isolierten Betrachtung unauff\u00e4llig erscheinen w\u00fcrden. Es werden zudem nicht nur einzelne Warnmeldungen betrachtet, sondern Zusammenh\u00e4nge analysiert.<\/strong> <\/p>\n\n\n\n Gerade bei Living-off-the-Land-Angriffen ist das entscheidend. <\/p>\n\n\n\n Denn der gef\u00e4hrliche Teil ist selten ein einzelnes Ereignis. Es ist die Kombination vieler scheinbar normaler Aktivit\u00e4ten.<\/strong> Die Empfehlungen internationaler Beh\u00f6rden unterstreichen genau diesen Ansatz. Zentrales Logging, kontinuierliche Baseline-Erstellung, Verhaltensanalyse und die Korrelation verschiedener Datenquellen geh\u00f6ren zu den wichtigsten Ma\u00dfnahmen gegen LOTL-basierte Angriffe. <\/p>\n\n\n\n Auch wenn sich Living-off-the-Land-Angriffe nicht vollst\u00e4ndig verhindern lassen, k\u00f6nnen Sie das Risiko erheblich reduzieren. <\/p>\n\n\n\n Fragen Sie sich:<\/strong> <\/p>\n\n\n\n Zus\u00e4tzlich sollten Sie Helpdesk-Prozesse regelm\u00e4\u00dfig \u00fcberpr\u00fcfen, MFA-Verfahren absichern und Mitarbeitende gezielt f\u00fcr Vishing- und Social-Engineering-Angriffe sensibilisieren. <\/p>\n\n\n\n Denn in vielen F\u00e4llen entscheidet kein technisches Sicherheitsprodukt \u00fcber den Erfolg eines Angriffs, sondern die Reaktion eines einzelnen Mitarbeitenden.<\/strong> <\/p>\n\n\n\n Living-off-the-Land-Angriffe zeigen, wie moderne Bedrohungsakteure heute vorgehen.<\/strong> Sie verlassen sich zunehmend auf legitime Werkzeuge, vorhandene Berechtigungen und menschliches Vertrauen statt auf auff\u00e4llige Malware. <\/p>\n\n\n\n Wenn Sie Ihr eigenes Unternehmen betrachten, sollten Sie deshalb nicht nur fragen, ob PowerShell, Quick Assist oder andere Fernwartungsl\u00f6sungen vorhanden sind. <\/p>\n\n\n\n Fragen Sie sich vielmehr: <\/p>\n\n\n\n Genau diese F\u00e4higkeit entscheidet heute h\u00e4ufig \u00fcber den Unterschied zwischen einer fr\u00fchzeitig gestoppten Aktivit\u00e4t und einem Vorfall, der sich tagelang oder sogar wochenlang unbemerkt entwickelt. <\/p>\n\n\n\n Wenn ein Angriff wie normale IT-Arbeit aussieht, reicht klassische Erkennung allein nicht mehr aus. Dann kommt es darauf an, Verhalten zu verstehen, Zusammenh\u00e4nge zu erkennen und verd\u00e4chtige Muster fr\u00fchzeitig zu identifizieren. <\/p>\n\n\n\n Genau deshalb werden kontinuierliche \u00dcberwachung, Verhaltensanalyse und MDR<\/strong> f\u00fcr viele Unternehmen zu einem zentralen Bestandteil moderner Cyberabwehr. <\/p>\n\n\n\n <\/p>\n","protected":false},"excerpt":{"rendered":" Stellen Sie sich folgende Situation vor: Ein Mitarbeiter aus Ihrem Unternehmen erh\u00e4lt einen Anruf \u00fcber Microsoft Teams. Der Anrufer stellt sich als Kollege aus dem IT-Support vor. Er erkl\u00e4rt, dass aktuell technische Probleme auftreten und die IT bereits daran arbeitet. Um die St\u00f6rung zu beheben, bittet er darum, Quick Assist zu starten und den Bildschirm […]<\/p>\n","protected":false},"author":1,"featured_media":16968,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[610],"tags":[423,456,453],"class_list":["post-16966","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-cybersecurity","tag-erkennung-von-bedrohungen","tag-mdr"],"acf":[],"yoast_head":"\nWas bedeutet \u201eLiving off the Land\u201c?<\/strong> <\/h2>\n\n\n\n
\n
\n
\n
\n
\n
\n
\n
Warum Angreifer legitime Werkzeuge bevorzugen<\/strong> <\/h2>\n\n\n\n
Der Angriff beginnt oft lange vor der Technik<\/strong> <\/h2>\n\n\n\n
So l\u00e4uft ein Living-off-the-Land-Angriff ab<\/strong> <\/h2>\n\n\n\n
\n
\n
\n
\n
\n
Warum klassische Sicherheitsans\u00e4tze h\u00e4ufig zu kurz greifen<\/strong> <\/h2>\n\n\n\n
Warum MDR hier einen entscheidenden Unterschied machen kann<\/strong> <\/h2>\n\n\n\n
Was Sie heute konkret tun k\u00f6nnen<\/strong> <\/h2>\n\n\n\n
\n
\n
\n
\n
\n
\n
Fazit: Das Problem ist nicht das Werkzeug<\/strong> <\/h2>\n\n\n\n
W\u00fcrden Sie erkennen, wenn jemand diese Werkzeuge gegen Sie einsetzt?<\/strong> <\/h3>\n\n\n\n