Meldungen über gehackte Unternehmen gehören zum Nachrichtenalltag. Hinter den Schlagzeilen steht fast immer derselbe Befund: Der Angriff lief über Wochen, bemerkt wurde er erst bei der Verschlüsselung der Systeme. Wer versteht, wie Cyberangriffe ablaufen, kann sie deutlich früher unterbrechen.
Für IT-Verantwortliche lohnt der nüchterne Blick. Cyberangriffe sind überwiegend arbeitsteilige, wirtschaftlich motivierte Vorgänge mit wiederkehrenden Mustern, und genau diese Muster machen sie kalkulierbar.
Was ist ein Cyberangriff?
Ein Cyberangriff ist eine vorsätzliche Handlung gegen IT-Systeme oder Daten mit dem Ziel, deren Vertraulichkeit, Integrität oder Verfügbarkeit zu verletzen. Dahinter stehen unterschiedliche Akteure mit unterschiedlichen Absichten:
- Finanziell motivierte Kriminelle: erpressen Lösegeld, handeln mit gestohlenen Daten oder leiten Zahlungen um. Auf sie entfällt der größte Teil der Angriffe auf Unternehmen.
- Staatlich unterstützte Gruppen: betreiben Spionage und Sabotage, meist langfristig angelegt und schwer zu entdecken.
- Innentäter: missbrauchen legitime Zugänge, aus Frust oder gegen Bezahlung.
- Hacktivisten: suchen mit Überlastungsangriffen oder Datenlecks öffentliche Aufmerksamkeit für ihre Anliegen.
Für die Verteidigung zählt diese Unterscheidung, weil sie den Maßstab setzt: Gegen automatisierte Massenangriffe helfen solide Grundmaßnahmen, gegen gezielte Kampagnen braucht es zusätzlich Erkennung und Eindämmung im Inneren des Netzwerks.
Wie ein Angriff abläuft
Die meisten Angriffe folgen einem Muster, das die Fachwelt als Kill Chain beschreibt. Verteidiger können jede einzelne Phase stören:
- Aufklärung: Angreifer sammeln Informationen über Technik und Beschäftigte des Ziels, etwa aus öffentlichen Quellen und geleakten Zugangsdaten.
- Erstzugang: Über Phishing, ausgenutzte Schwachstellen an Systemen mit Internetkontakt oder gekaufte Zugangsdaten verschaffen sie sich den ersten Fuß in der Tür.
- Verankerung: Schadsoftware oder missbrauchte Fernwartungswerkzeuge sichern den Zugang dauerhaft, meist verbunden mit einem Kanal zu einem Kontrollserver.
- Ausbreitung: Vom ersten System aus bewegen sich Angreifer seitwärts durch das Netz, erweitern ihre Rechte und suchen lohnende Ziele. Diese Phase der lateralen Bewegung dauert oft am längsten und bleibt am ehesten unbemerkt.
- Wirkung: Am Ende stehen Datenabfluss, Verschlüsselung oder Sabotage, je nach Motiv. Erst jetzt wird der Angriff für viele Betroffene sichtbar.
Aus dieser Abfolge ergibt sich die wichtigste Erkenntnis für die Verteidigung: Zwischen Erstzugang und Schadwirkung liegt Zeit. Wer interne Bewegungen erschwert und beobachtet, gewinnt genau dort Handlungsspielraum; in der Praxis leisten das etwa Mikrosegmentierung im Netzinneren und kontrollierte Zugriffe über SASE/SSE am Rand. Frameworks wie MITRE ATT&CK katalogisieren die eingesetzten Techniken und helfen Teams, die eigene Erkennung gezielt dagegen zu testen.
Warum Schutz vor Cyberangriffen wichtig ist
- Betriebsunterbrechung: Stillstand in Produktion oder Logistik kostet vom ersten Tag an, unabhängig von jeder Lösegeldfrage.
- Melde- und Haftungspflichten: DSGVO und NIS2 verlangen schnelle Meldungen und wirksame Vorkehrungen; bei Verstößen drohen empfindliche Sanktionen.
- Folgekosten: Wiederherstellung und forensische Aufarbeitung übersteigen den unmittelbaren Schaden häufig deutlich.
- Lieferkettenrisiko: Ein kompromittierter Zulieferer wird schnell zum Einfallstor für seine Kunden; entsprechend steigen die Anforderungen der Auftraggeber.
- Versicherbarkeit: Cyber-Versicherer knüpfen Policen und Prämien an nachweisbare Schutzmaßnahmen wie Segmentierung und Multi-Faktor-Authentifizierung.
- Dauerzustand statt Ausnahme: Angriffsversuche treffen Unternehmen laufend, meist automatisiert. Entscheidend ist, dass aus Versuchen keine erfolgreichen Einbrüche werden.
Häufige Angriffsarten und Szenarien
Zu den verbreitetsten Formen zählt Phishing samt seiner gezielten Variante Spear-Phishing, außerdem Ransomware, die Verschlüsselung mit Datendiebstahl kombiniert. Überlastungsangriffe (DDoS) legen öffentlich erreichbare Dienste lahm. Beim Credential Stuffing probieren Angreifer gestohlene Passwortlisten automatisiert an Login-Seiten durch. Business E-Mail Compromise kommt ganz ohne Schadsoftware aus: Täter geben sich als Führungskraft oder Lieferant aus und leiten Zahlungen um.
Angriffe über die Lieferkette kompromittieren Software-Updates oder Dienstleister und treffen darüber viele Unternehmen gleichzeitig. Die Übergänge sind fließend; ein einzelner Vorfall kombiniert oft mehrere dieser Techniken. Hinzu kommt der stille Dauerbeschuss durch automatisierte Scans, die rund um die Uhr nach offenen Diensten und veralteter Software suchen.
Cyberangriff und Sicherheitsvorfall: der Unterschied
Die Begriffe werden häufig vermischt, bezeichnen aber Verschiedenes. Ein Cyberangriff ist die absichtliche Handlung eines Angreifers. Ein Sicherheitsvorfall ist jedes Ereignis, das Schutzziele verletzt oder ernsthaft gefährdet, auch ohne Täter: die Fehlkonfiguration, die Daten öffentlich zugänglich macht, oder der Ausfall eines Rechenzentrums. Jeder erfolgreiche Angriff ist damit ein Sicherheitsvorfall, aber längst nicht jeder Vorfall ein Angriff.
Die Unterscheidung hat praktische Folgen: Meldepflichten und interne Reaktionsprozesse knüpfen am Vorfall an, unabhängig davon, ob ein Angreifer beteiligt war. Ein abgewehrter Angriff wiederum kann meldefrei bleiben und liefert trotzdem wertvolle Erkenntnisse für die Verteidigung. Für die interne Kommunikation lohnt es sich, beide Begriffe sauber zu definieren, damit Meldeketten im Ernstfall ohne Grundsatzdiskussion funktionieren.
Häufige Fragen
Was unterscheidet einen Cyberangriff von einem Sicherheitsvorfall?
Ein Cyberangriff ist die absichtliche Handlung eines Angreifers gegen IT-Systeme oder Daten. Ein Sicherheitsvorfall ist jedes Ereignis, das Schutzziele verletzt, auch ohne böse Absicht, etwa eine Fehlkonfiguration mit Datenabfluss. Jeder erfolgreiche Angriff ist ein Vorfall, umgekehrt gilt das nicht. Meldepflichten und interne Prozesse knüpfen in der Regel am Vorfall an, unabhängig vom Auslöser.
Welche Motive stehen hinter Cyberangriffen?
Das mit Abstand häufigste Motiv ist Geld: Erpressung über Verschlüsselung und Datendiebstahl, Betrug über umgeleitete Zahlungen oder der Verkauf gestohlener Zugangsdaten. Daneben betreiben staatlich unterstützte Gruppen Spionage und Sabotage. Hacktivisten suchen öffentliche Aufmerksamkeit für politische Anliegen, Innentäter handeln aus Frust oder gegen Bezahlung. Für die Verteidigung zählt weniger das Motiv als der genutzte Weg.
Warum bleiben Cyberangriffe oft lange unentdeckt?
Angreifer nutzen nach dem Einbruch bevorzugt legitime Werkzeuge und gestohlene Zugangsdaten; ihr Verhalten ähnelt dadurch normaler Administration. Auffällig wird der Angriff oft erst bei der Schadwirkung, etwa der Verschlüsselung. Wer interne Verbindungen überwacht und ungewöhnliche Zugriffe erkennt, verkürzt diese Phase erheblich. Segmentierung erzwingt zusätzlich Bewegungen, die im Monitoring sichtbar werden.
Sind kleine und mittlere Unternehmen ein lohnendes Ziel?
Ja, denn viele Angriffe suchen ihr Ziel automatisiert: Gescannt wird das gesamte Internet, angegriffen wird, was verwundbar ist. Die Unternehmensgröße spielt dabei keine Rolle. Mittelständler sind zudem als Zulieferer interessant, weil sie Zugänge zu größeren Auftraggebern besitzen. Auch knappere Sicherheitsbudgets machen sie attraktiv, weil der Aufwand für einen erfolgreichen Angriff sinkt.
Was ist bei einem laufenden Angriff zuerst zu tun?
Betroffene Systeme isolieren, Beweise sichern und den vorbereiteten Notfallplan aktivieren, inklusive klarer Zuständigkeiten und Kommunikationswege. Vorschnelles Löschen oder Neuinstallieren zerstört forensische Spuren. Früh geprüft gehören auch die Meldepflichten, etwa gegenüber der Datenschutzaufsicht. Fehlt ein eigener Notfallplan, sollten sofort externe Spezialisten hinzukommen. Entscheidend ist, dass diese Abläufe vor dem Ernstfall geübt wurden.