Hackerangriffe auf mittelständische Unternehmen folgen häufig einem klaren Eskalationsmuster. Das zeigt eine aktuelle Analyse von Trufflepig IT-Forensics auf Basis realer Hackerangriffe auf mittelständische Unternehmen im DACH-Raum. Über alle untersuchten Fälle hinweg verdichtet sich demnach ein wiederkehrendes Muster in fünf Phasen: Eindringen, Erkundung, Ausbreitung, Exfiltration und Detonation.
Konkret bedeutet das: Am Anfang steht der initiale Zugriff, häufig über Phishing, kompromittierte Zugangsdaten oder Sicherheitslücken. In der Erkundungsphase verschaffen sich Angreifer innerhalb der ersten 24 Stunden einen Überblick über die IT-Umgebung und weiten ihre Rechte aus. In der Ausbreitung übernehmen sie nach ein bis zwei Tagen häufig zentrale Administratorrechte. Zwischen Tag zwei und fünf folgt die Exfiltration: Daten werden abgegriffen, kopiert oder für Erpressungsszenarien vorbereitet. Ab dem fünften Tag droht die Detonation – die Vollverschlüsselung zentraler Systeme. Dann wird aus einem Sicherheitsvorfall schnell ein operativer Stillstand.
Deutlich wird im Rahmen der Untersuchung vor allem eines: Jede Phase bietet ein Zeitfenster für Gegenmaßnahmen. Doch diese Option wird mit jeder Stunde kleiner. Während der Schaden beim Eindringen oft noch auf einzelne Systeme begrenzt werden kann, steigen Aufwand und Risiko mit jeder Eskalationsstufe deutlich an – von der technischen Bereinigung über Datenabfluss und Reputationsschäden bis hin zu Produktionsausfällen und langwieriger Wiederherstellung.
Aus den ausgewerteten Hackerangriffen lässt sich eine typische Eskalationslinie ableiten, die zeigt, wie schnell sich ein zunächst begrenzter Sicherheitsvorfall zu einer geschäftskritischen Krise entwickeln kann.
Die Zeitleiste eines typischen Hackerangriffs im Überblick:
- Tag 1 bis 2: Angreifer verschaffen sich die Schlüssel zum Unternehmen
Hackerangriffe beginnen häufig unauffällig. Nach einem erfolgreichen Einstieg, etwa über Phishing-Mails oder gestohlene Zugangsdaten, verschaffen sich Angreifer einen Überblick über die IT-Landschaft und erweitern schrittweise ihre Berechtigungen. Innerhalb von ein bis zwei Tagen gelingt es ihnen in vielen Fällen, Administratorrechte zu übernehmen und sich dauerhaft im Netzwerk festzusetzen. Zu diesem Zeitpunkt bleiben Produktionsausfälle meist noch begrenzt. Die spätere Wiederherstellung wird jedoch deutlich komplexer, weil zentrale Zugänge, Authentifizierungsdienste oder ganze Verzeichnisstrukturen bereits kompromittiert sein können. - Tag 2 bis 5: Daten verlassen das Unternehmen
Sobald Angreifer umfassenden Zugriff auf Systeme und Daten haben, beginnt häufig die wirtschaftlich kritischste Phase des Angriffs. Unternehmensdaten werden kopiert, sensible Informationen abgegriffen und geistiges Eigentum gestohlen. Für viele mittelständische Unternehmen ist dieser Abschnitt besonders riskant. Verlorene Konstruktionsdaten, Geschäftsgeheimnisse oder Kundeninformationen lassen sich nicht einfach wiederherstellen. Hinzu kommt der Druck durch mögliche Erpressung, Reputationsschäden und regulatorische Anforderungen. Werden personenbezogene Daten betroffen, können Meldepflichten nach DSGVO entstehen. Nach Bekanntwerden eines Datenschutzvorfalls bleiben dafür in der Regel nur 72 Stunden. - Ab Tag 5: Wenn die Produktion stillsteht
Wird der Angriff bis zu diesem Zeitpunkt nicht entdeckt oder gestoppt, folgt häufig die letzte Eskalationsstufe: die Verschlüsselung zentraler Systeme durch Ransomware. Die Folgen reichen weit über die IT-Abteilung hinaus. Produktionsanlagen stehen still, Lieferketten geraten ins Stocken und die Auftragsabwicklung kommt zum Erliegen. Je nach Branche können Ausfälle bereits nach kurzer Zeit hohe Kosten verursachen, etwa durch Vertragsstrafen, Notfallmaßnahmen oder forensische Aufarbeitung. Während erste Geschäftsprozesse häufig innerhalb von zwei bis sechs Wochen wiederhergestellt werden können, dauert die vollständige Rückkehr zum Normalbetrieb in vielen Fällen deutlich länger.
Warum die ersten Stunden eines Hackerangriffs über den Gesamtschaden entscheiden
Die aktuelle Trufflepig-Analyse zeigt, dass sich das Schadenspotenzial eines Angriffs nicht linear entwickelt. Jede zusätzliche Stunde verschafft Angreifern neue Möglichkeiten, sich im Unternehmen auszubreiten und weitere Systeme zu kompromittieren. Das Problem, das im Mittelstand häufig vorliegt: Ohne kontinuierliche Überwachung erfolgt die Erkennung meist erst reaktiv – nämlich dann, wenn Systeme bereits stillstehen. Unternehmen verlieren oft wertvolle Stunden durch unklare Zuständigkeiten, fehlende Überwachung oder nicht eingeübte Notfallprozesse. Gerade außerhalb regulärer Geschäftszeiten bleiben Angriffe deshalb häufig länger unentdeckt.
„Die Ergebnisse der Analyse verdeutlichen, dass Cybersecurity heute weit über den Schutz einzelner Systeme hinausgeht“, so Christian Müller, technischer Geschäftsführer (CTO) bei Trufflepig IT-Forensics. „Für mittelständische Unternehmen wird die Fähigkeit, Angriffe schnell zu erkennen und wirksam darauf zu reagieren, zunehmend zu einer betriebswirtschaftlichen Frage. Denn während sich technische Schäden häufig beheben lassen, können Produktionsausfälle, Datenverluste und Vertrauensschäden langfristige Auswirkungen auf die Wettbewerbsfähigkeit haben. Reaktionsfähigkeit ist damit auch immer eine Investitionsentscheidung. Die Frage ´Können wir uns ein Security Operations Center (SOC) für 24/7-Incident Response leisten?` ist die falsche. Die richtige Frage lautet vielmehr: ´Können wir uns leisten, ohne SOC einen Hackerangriff mehrere Wochen nicht zu bemerken?`“
#Trufflepig
