Wie Angriffe ablaufen

Eine einzelne verdächtige E-Mail ist nicht „der Angriff“. Sie ist meist der erste von mehreren Schritten, die ein Angreifer unternimmt, jeder mit seinem eigenen Ziel, vom Eindringen bis zum Verschwinden mit etwas Wertvollem. MITRE ATT&CK, eine in der gesamten Sicherheitsbranche genutzte Wissensdatenbank, nennt diese Schritte „Taktiken“: Wie das eigene Nachschlagewerk es für den ersten formuliert, „versucht der Angreifer, in dein Netzwerk einzudringen.“ Die gesamte Abfolge zu sehen, macht es leichter zu erkennen, wo eine einzige gute Gewohnheit die Kette durchbrechen kann.

Der Lebenszyklus, Schritt für Schritt

1. Erstzugang (Initial Access). Der Angreifer braucht einen Weg hinein. Bei Einzelpersonen statt großer Netzwerke ist das fast immer Phishing: eine Nachricht, SMS oder ein Anruf, gebaut, damit du klickst, antwortest oder etwas installierst.
2. Ausführung (Execution). Etwas, das der Angreifer kontrolliert, läuft nun auf deinem Gerät oder Konto – ein geöffneter schädlicher Anhang, ein installiertes gefälschtes Update, ein Skript, das lief, weil du eine Berechtigungsabfrage genehmigt hast, ohne sie zu lesen.
3. Persistenz (Persistence). Der Angreifer sorgt dafür, den Zugang zu behalten, selbst nachdem du die App schließt, das Telefon neu startest oder ein Passwort änderst: eine zweite App mit gültigem Login, eine still zu deinem Posteingang hinzugefügte Weiterleitungsregel, eine geänderte Wiederherstellungs-E-Mail.
4. Zugriff auf Zugangsdaten (Credential Access). Der Angreifer „versucht, Kontonamen und Passwörter zu stehlen“, in den Worten von ATT&CK – oft indem er ein aus einer unabhängigen Datenpanne geleaktes Passwort erneut verwendet, oder indem er einfach über eine überzeugende gefälschte Login-Seite danach fragt.
5. Sammlung und Exfiltration (Collection and Exfiltration). Der Angreifer sammelt, was er will (Dokumente, Kontakte, Nachrichtenverlauf) und schafft es an einen Ort, den er kontrolliert.
6. Auswirkung (Impact). Das endgültige Ziel wird genutzt: deine Daten veröffentlichen, dich erpressen, sich als du ausgeben, um die Menschen zu erreichen, die du kennst, oder das Gesammelte an denjenigen übergeben, der die Operation in Auftrag gegeben hat.

Phishing: immer noch der häufigste Weg hinein

Die Anleitung der CISA zu Phishing beschreibt, warum der erste Schritt so oft funktioniert: Angreifer nutzen „dringliche oder emotional ansprechende Sprache“ und geben sich als Organisationen aus, denen du bereits vertraust, um dich zum Handeln zu drängen, bevor du nachdenkst. Sie merkt auch an, dass sich das Erkennen schlechter Grammatik nicht mehr als Schutz eignet, da Angreifer zunehmend überzeugende Nachrichten verfassen. Ihr Rat besteht aus drei Worten: Den Drucktrick erkennen, das Klicken oder Antworten vermeiden, und über die eigenen Werkzeuge des E-Mail-Anbieters löschen oder melden, statt den „Abmelden“-Link der Nachricht selbst zu nutzen.

Diebstahl von Zugangsdaten braucht selten einen Einbruch

Die meisten Kontoübernahmen beinhalten kein Brechen einer Verschlüsselung. Sie beinhalten ein Passwort, das bereits in einer unabhängigen Datenpanne offengelegt und wiederverwendet wurde, oder eine gefälschte Login-Seite, die identisch mit der echten aussieht und dich einfach bittet, dein Passwort einzugeben. Sobald ein Angreifer gültige Zugangsdaten hat, behandeln Systeme, die gebaut wurden, um Eindringlinge fernzuhalten, ihn oft als legitimen Nutzer, weshalb der Punkt der nächsten Lektion über verhältnismäßige Kontrollen – und, im Kryptografie-Kurs, über phishingresistente Anmeldemethoden – ebenso wichtig ist wie jedes einzelne Werkzeug.

Schädliche Apps und gefälschte Updates

Der Schritt „Ausführung“ kommt häufig getarnt als etwas Gewöhnliches: eine außerhalb eines offiziellen Stores beworbene Messaging-App, ein „erforderliches Update“, das per E-Mail statt vom Gerät selbst zugestellt wird, oder ein seriös aussehendes Werkzeug, das weit mehr Geräteberechtigungen verlangt, als sein angegebener Zweck benötigt. Zu prüfen, was eine App tatsächlich sehen und tun kann – Kontakte, Standort, Mikrofon, Dateien –, bevor man sie installiert, adressiert diesen Schritt direkt, und die regelmäßige erneute Prüfung erwischt Apps, die später still um mehr gebeten haben.

Warum die Lebenszyklus-Sicht zählt

Keine einzelne Kontrolle stoppt jeden Schritt. Ein gut gewählter Passwort-Manager schwächt den Zugriff auf Zugangsdaten. Die Überprüfung von App-Berechtigungen schwächt die Ausführung. Multi-Faktor-Authentifizierung (behandelt im Kryptografie-Kurs) schwächt sowohl den Erstzugang als auch die Persistenz. Die nächste Lektion macht daraus einen wiederholbaren Prozess: zu identifizieren, was du tatsächlich zu verlieren hast, welcher dieser Schritte gegen dich am wahrscheinlichsten ist, und deinen Aufwand darauf abzustimmen, statt zu versuchen, alles gleichzeitig zu verteidigen.