Es ist ein typischer Montagnachmittag. Wir sitzen beim Kunden und haben bereits Domain-Admin-Rechte im internen Netz. Bemerkt hat es niemand. Und das, obwohl wir nicht besonders unauffällig vorgegangen sind.
Genau hier liegt einer der Hauptunterschiede zwischen einem echten Angreifer und einem Penetrationstester: Ein Angreifer hat Zeit. Wir nicht. Während er versucht, möglichst unauffällig zu bleiben, sind wir quasi mit der Brechstange unterwegs. Schließlich wollen wir in einem begrenzten Testzeitraum so viele Schwachstellen wie möglich aufdecken.
Unsere Aktivitäten sind deshalb oft deutlich zu erkennen. Trotzdem kommt es vor, dass beim Kunden niemand etwas merkt.
Dabei hätte es mehr als genug Anhaltspunkte gegeben.
Warnsignal Nummer eins: Passwort-Spraying
Bei einem Passwort-Spraying probieren wir einige wenige, besonders verbreitete
Passwörter bei allen Nutzerkonten aus. Dazu gehören zum Beispiel
Winter2026!, Firmenname2026! oder Kombinationen nach dem Muster
Nutzername = Passwort.
Ein echter Angreifer geht dabei langsam vor, um nicht aufzufallen. Wir testen so schnell wie möglich. Das Ergebnis: Hunderte gescheiterte Anmeldeversuche von einer einzelnen IP-Adresse. Ein offensichtlich verdächtiges Verhalten, das dennoch häufig keinen Alarm auslöst.
Auffällige Zugriffe auf das Active Directory
Um uns schnell einen Überblick zu verschaffen, setzen wir Tools ein, die zahlreiche Informationen aus dem Active Directory auslesen und für die Analyse aufbereiten. Diese Tools werden auch von Angreifern genutzt. Ihr Verhalten im Netzwerk ist entsprechend ungewöhnlich.
Auch hier bleibt eine Reaktion häufig aus.
Intensive Scans im gesamten Netzwerk
Bei unseren internen Tests kommt außerdem ein automatisierter Schwachstellenscanner zum Einsatz. Er prüft jeden erreichbaren Host intensiv auf bekannte Schwachstellen.
Solcher Netzwerkverkehr ist kaum zu übersehen. Insbesondere dann, wenn er von einem unbekannten System ausgeht, gibt es dafür normalerweise keinen legitimen Grund. Trotzdem löst auch der Scan meist keinen Alarm aus.
Der Zugriff auf Zugangsdaten
Besonders deutlich wird es, wenn wir auf einem Windows-System lokale Administratorberechtigungen erlangen. Dann gibt es mehrere Möglichkeiten, Zugangsdaten aus SAM, LSA oder DPAPI zu extrahieren.
Solche Zugriffe sind ein starkes Indiz für einen Angriff. Moderne EDR-Systeme können sie erkennen und blockieren. Dennoch gelingt es uns immer wieder, Zugangsdaten auszulesen und damit auf weitere Systeme zuzugreifen, bis hin zu Domain-Admin-Rechten.
Blockiert ist noch nicht gelöst
In vielen Fällen blockieren die vorhandenen Sicherheitslösungen sogar einen Teil unserer Aktivitäten. Das allein reicht jedoch nicht aus. Wenn niemand den Alarm sieht, bewertet und darauf reagiert, können wir einfach die nächste Angriffsmethode ausprobieren.
Genau das tun echte Angreifer auch.
Die entscheidende Frage lautet deshalb nicht nur: Erkennt Ihre Sicherheitslösung einen Angriff? Sondern auch: Merkt jemand, dass er gerade stattfindet?
Wer überwacht das Netzwerk nach Feierabend?
Die ernüchternde Antwort: Die meisten mittelständischen Unternehmen haben nicht die personellen Ressourcen, um ihre Systeme rund um die Uhr zu überwachen. Angreifer wissen das. Sie verlagern ihre Aktivitäten gezielt in die Nacht oder aufs Wochenende. Wenn die interne IT am nächsten Arbeitstag reagiert, ist es häufig schon zu spät.
Ein externes Security Operations Center (SOC) kann diese Lücke schließen. Ein SOC-Dienstleister verfügt über die technischen und personellen Ressourcen, um IT-Systeme rund um die Uhr zu überwachen, verdächtige Aktivitäten zu bewerten und bei einem Sicherheitsvorfall schnell einzugreifen.
Im Rahmen unseres Managed-SOC-Angebots können wir Sie zusammen mit unserem Partner Eye Security dabei unterstützen. Kommen Sie bei Fragen gerne auf uns zu.