Laterale Bewegung

Der erste Einbruch in ein Netzwerk ist für Angreifer selten das eigentliche Ziel. Ein kompromittierter Büro-PC oder ein erbeutetes Passwort hat für sich genommen wenig Wert. Der große Schaden entsteht danach: wenn sich Angreifer unbemerkt von System zu System vorarbeiten, Administratorrechte erlangen und schließlich Datenbanken, Backups oder Produktionssteuerungen erreichen.

Diese Phase heißt laterale Bewegung, im Englischen Lateral Movement. Sie entscheidet, ob aus einem begrenzten Vorfall ein unternehmensweiter Notfall wird. Wer sie versteht und erschwert, nimmt Angriffen wie Ransomware einen großen Teil ihrer Wirkung.

Was ist laterale Bewegung?

Laterale Bewegung umfasst alle Techniken, mit denen Angreifer sich innerhalb eines bereits kompromittierten Netzwerks ausbreiten. Der Begriff beschreibt die Richtung des Vorgehens: Nach dem Erstzugriff bewegt sich der Angreifer seitwärts durch die Umgebung – von einem eher unwichtigen Einstiegspunkt zu immer wertvolleren Zielen.

Typisch ist das Wechselspiel aus Erkundung und Rechteausweitung. Auf jedem erreichten System sammeln Angreifer Informationen und Zugangsdaten für den nächsten Schritt. Moderne Angriffsgruppen greifen dabei bevorzugt zu legitimen Administrationswerkzeugen und regulären Anmeldungen. Dieses Vorgehen heißt Living off the Land und ist für klassische Schutzsoftware schwer zu erkennen, weil kein offensichtlicher Schadcode läuft.

Das Framework MITRE ATT&CK führt laterale Bewegung als eigene Angriffstaktik mit dokumentierten Techniken – darunter die Nutzung von Remote-Desktop-Verbindungen, administrativen Freigaben und gestohlenen Anmeldetickets.

So läuft ein Angriff ab

Die Ausbreitung folgt einem wiederkehrenden Muster:

1. Erkundung des Netzwerks: Vom ersten kompromittierten System aus verschafft sich der Angreifer einen Überblick: Welche Systeme sind erreichbar, welche Dienste laufen, wo liegen Freigaben und Verzeichnisdienste?
2. Diebstahl von Zugangsdaten: Aus dem Arbeitsspeicher, aus Konfigurationsdateien oder über ausgelesene Passwort-Hashes gewinnt der Angreifer weitere Anmeldedaten – im besten Fall die eines Administrators.
3. Anmeldung am nächsten System: Mit den erbeuteten Zugangsdaten meldet sich der Angreifer regulär an weiteren Systemen an, häufig über Remote-Desktop, administrative Freigaben oder Fernwartungswerkzeuge.
4. Rechteausweitung: Auf jedem neuen System sucht der Angreifer Wege zu höheren Berechtigungen, bis hin zur zentralen Verwaltung der gesamten Umgebung.
5. Wiederholung bis zum Ziel: Diese Schritte wiederholen sich, bis das eigentliche Ziel erreicht ist: sensible Datenbanken, zentrale Dateiablagen, Backup-Systeme oder die Infrastruktur zur flächigen Verteilung von Ransomware.

Zwei Voraussetzungen machen dieses Vorgehen so wirksam: flache Netzwerke, in denen fast jedes System jedes andere erreicht, und großzügig vergebene Berechtigungen, die jedes erbeutete Konto wertvoll machen.

Warum der Schutz davor wichtig ist

• Hier entscheidet sich das Schadensausmaß: Ob ein Vorfall einen einzelnen Rechner betrifft oder das ganze Unternehmen lahmlegt, hängt vor allem davon ab, wie weit sich der Angreifer ausbreiten konnte.
• Ransomware braucht Reichweite: Erpressergruppen wollen möglichst viele Systeme gleichzeitig verschlüsseln, einschließlich der Backups. Ohne laterale Bewegung bleibt ihr Druckmittel klein.
• Angriffe bleiben lange unentdeckt: Angreifer halten sich oft über Wochen in Netzwerken auf, bevor sie zuschlagen. In dieser Zeit findet vor allem laterale Bewegung statt – ohne passende Kontrollen fällt sie kaum auf.
• Legitime Werkzeuge tarnen den Angriff: Weil reguläre Anmeldungen und vorhandene Administrationswerkzeuge genutzt werden, greifen rein signaturbasierte Schutzmechanismen zu kurz. Auffällig ist vor allem Kommunikation zwischen Systemen, die fachlich nichts miteinander zu tun haben.
• Compliance fordert Eindämmung: Rahmenwerke wie NIS-2 und ISO 27001 verlangen Maßnahmen, die die Ausbreitung von Vorfällen begrenzen. Der Nachweis gelingt über Segmentierung und kontrollierte interne Kommunikation.

Typische Szenarien

• Ransomware im Mittelstand: Nach einer Phishing-Mail übernimmt der Angreifer einen Arbeitsplatzrechner, erbeutet Administratorzugänge und verschlüsselt Wochen später Server und Backups gleichzeitig. Der Weg dorthin besteht fast vollständig aus lateraler Bewegung.
• Produktion und OT: Gelangt ein Angreifer vom Büronetz in das Produktionsnetz, drohen Stillstand und Sachschäden. Die Übergänge zwischen IT und OT sind deshalb die wichtigste Stelle, um die Ausbreitung zu stoppen.
• Krankenhäuser und kritische Infrastruktur: Medizingeräte und Verwaltungssysteme teilen sich historisch oft dasselbe Netzwerk. Angreifer nutzen diese Nähe, um von unauffälligen Systemen zu patientenkritischen vorzudringen.
• Kompromittierte Fernzugänge: Ein erbeutetes VPN-Konto, etwa das eines Dienstleisters, öffnet häufig den Blick auf große Netzwerkbereiche. Von dort beginnt die systematische Ausbreitung in Richtung zentraler Systeme.

Abgrenzung: laterale Bewegung und Erstzugriff

Der Erstzugriff – Initial Access – ist der Moment, in dem Angreifer erstmals in ein Netzwerk gelangen, etwa über Phishing, eine ungepatchte Schwachstelle oder gekaufte Zugangsdaten. Laterale Bewegung beginnt danach: Sie umfasst alles, was Angreifer unternehmen, um sich vom Einstiegspunkt aus auszubreiten und ihre Position auszubauen.

Für die Verteidigung ist diese Unterscheidung zentral, weil beide Phasen unterschiedliche Gegenmaßnahmen verlangen. Den Erstzugriff erschweren E-Mail-Sicherheit, Patch-Management, Multi-Faktor-Authentifizierung und der Schutz öffentlich erreichbarer Anwendungen, etwa durch eine Web Application Firewall. Gegen laterale Bewegung helfen Segmentierung, restriktiv vergebene Berechtigungen und die Überwachung interner Verbindungen.

Vollständig verhindern lässt sich der Erstzugriff erfahrungsgemäß nicht. Eine belastbare Sicherheitsstrategie akzeptiert das und sorgt dafür, dass ein einzelner kompromittierter Rechner folgenlos bleibt. Genau hier setzen Zero-Trust-Konzepte und Mikrosegmentierung an.

Eindämmung in der Praxis

Wirksame Eindämmung beginnt mit Sichtbarkeit: Erst eine Karte aller Kommunikationsbeziehungen zeigt, welche Verbindungen Systeme tatsächlich brauchen. Darauf aufbauend setzen Richtlinien der Zero-Trust-Mikrosegmentierung durch, dass Systeme nur noch mit fachlich notwendigen Gegenstellen sprechen – Angreifern fehlt damit die Bewegungsfreiheit. Ergänzend begrenzt ZTNA den Fernzugriff auf einzelne Anwendungen statt auf das ganze Netzwerk, sodass ein erbeutetes Konto nicht gleich weite Netzbereiche öffnet. Beide Bausteine werden häufig als Managed Service betrieben und greifen in hybriden Umgebungen ineinander.

Häufige Fragen

Wie lässt sich laterale Bewegung im eigenen Netzwerk erkennen?

Auffällig sind Verbindungen zwischen Systemen, die fachlich nichts miteinander zu tun haben, Anmeldungen zu ungewöhnlichen Zeiten und die plötzliche Nutzung administrativer Werkzeuge auf normalen Arbeitsplätzen. Voraussetzung ist Sichtbarkeit: Wer die interne Kommunikation nicht beobachtet, bemerkt die Ausbreitung meist erst bei der Verschlüsselung. Werkzeuge zur Mikrosegmentierung liefern dafür eine Karte aller Kommunikationsbeziehungen.

Welche Rolle spielt laterale Bewegung bei Ransomware?

Eine zentrale. Moderne Ransomware-Gruppen verschlüsseln selten nur den ersten infizierten Rechner. Sie breiten sich zunächst aus, übernehmen zentrale Verwaltungssysteme und deaktivieren Backups. Erst wenn genug Systeme unter Kontrolle sind, startet die Verschlüsselung überall gleichzeitig. Wer die Ausbreitung früh stoppt, verhindert den flächendeckenden Stillstand und behält funktionsfähige Wiederherstellungspunkte.

Stoppt ein Virenscanner laterale Bewegung?

Nur eingeschränkt. Angreifer nutzen für die Ausbreitung bevorzugt legitime Anmeldedaten und vorhandene Administrationswerkzeuge – Aktivitäten, die für Endpunktschutz zunächst normal aussehen. Endpoint-Lösungen erkennen Teile des Vorgehens, etwa das Auslesen von Zugangsdaten. Wirksamer ist die Kombination: Endpunktschutz plus Segmentierung, restriktive Berechtigungen und Multi-Faktor-Authentifizierung, damit erbeutete Konten möglichst wenig Reichweite haben.

Was ist der wirksamste Schutz gegen laterale Bewegung?

Die größte Wirkung erzielt Segmentierung: Dürfen Systeme ausschließlich mit den Gegenstellen kommunizieren, die sie fachlich benötigen, verlieren Angreifer ihre Bewegungsfreiheit. Ergänzend wirken Multi-Faktor-Authentifizierung, sparsam vergebene Administratorrechte und getrennte Konten für administrative Aufgaben. Mikrosegmentierung setzt diese Kontrolle bis auf einzelne Server und Anwendungen um und gilt deshalb als Kernbaustein von Zero-Trust-Architekturen.

Betrifft laterale Bewegung auch Cloud-Umgebungen?

Ja. In der Cloud bewegen sich Angreifer über kompromittierte Zugangsschlüssel, zu weit gefasste Rollen und Verbindungen zwischen Diensten – das Prinzip bleibt gleich. Hybride Umgebungen sind besonders betroffen, weil Angreifer zwischen Rechenzentrum und Cloud wechseln können. Einheitliche Richtlinien für Berechtigungen und Kommunikation über alle Umgebungen hinweg sind deshalb ein wichtiger Teil der Abwehr.