IT-Sicherheit Cyberangriffe erkennen und stoppen

Anbieter zum Thema

G DATA CyberDefense AG

Materna Information & Communications SE

xSuite Group GmbH

Öffentliche Verwaltungen stehen im Fokus von Cyberkriminellen. Ein Managed Security Operations Center (SOC) kann Angriffe schon in der Anfangsphase aufdecken und eine passende Reaktion einleiten. Security-Experte Christoph Schulze erklärt, wie das funktioniert.

Cyberangriffe können gerade im öffentlichen Sektor zu massiven Einschränkungen führen. Ein Managed Security Operations Center (SOC) kann hier schnell reagieren. Dahinter steht ein Team, das Vorgänge im Netzwerk überprüft und im Ernstfall einschreitet. Christoph Schulze leitet das SOC-Analystenteam bei der G DATA CyberDefense AG und gibt einen Einblick in die Arbeitsweise und in die Rolle von KI.

Über welche Wege versuchen Cyberkriminelle in IT-Systeme von Städten und Behörden zu gelangen?

Schulze: Cyberkriminelle nutzen vor allem Phishing, um den ersten Zugang zu einem System zu erhalten. Das geschieht über präparierte Mail-Anhänge, die scheinbar wichtige oder interessante Inhalte, wie Behördeninterna, enthalten. Eine andere Möglichkeit sind Links in E-Mails, die auf gefälschte Webseiten führen und Zugangsdaten abfragen. Viele Kampagnen sind sehr professionell auf bestimmte Verwaltungen zugeschnitten. Sie sind nur schwer von legitimer Kommunikation zu unterscheiden.
Sobald ein Angreifer diesen ersten Schritt geschafft hat, wird häufig eine sogenannte Backdoor installiert, worüber weitere Kommandos nachgeladen werden. Heute nutzen Kriminelle oft legitime Windows-Bordmittel und Administrator-Tools, um im Netzwerk zu agieren, Daten zu exfiltrieren oder Verschlüsselungsvorgänge einzuleiten. Diese Aktivitäten sehen auf den ersten Blick aus wie normale Prozesse.

Wie läuft der Analyse- und Response-Prozess ab?

Schulze: Unser SOC-Team wird aktiv, sobald unsere Analysesysteme Hinweise auf verdächtiges Verhalten bei einem Kunden meldet. Die Sensoren liefern uns dann eine Vielzahl an Informationen. Auf dieser Basis prüfen die Analystinnen und Analysten zunächst, ob es sich um ein echtes Sicherheitsereignis handelt oder nur um einen Fehlalarm. Ist es tatsächlich ein Vorfall, gehen wir tiefer in die Analyse. Wird eine Bedrohungslage bestätigt, folgt die eigentliche Response, zum Beispiel die Isolation kompromittierter Systeme.
Generell informieren wir unsere Ansprechpartner beim Kunden, wenn wir einen Angriff entdeckt haben und in diesem Fall halten wir sie über alle Maßnahmen auf dem Laufenden. Wir geben zusätzlich konkrete Handlungsempfehlungen. Das reicht von Sofortmaßnahmen bis zu längerfristigen Hinweisen, wie sich Risiken künftig reduzieren lassen.

Wie schnell reagieren Sie auf schädliche Vorfälle?

Schulze: Eine pauschale Zeitangabe ist schwer, weil die Reaktion immer von der Art und Schwere des Vorfalls abhängt. Grundsätzlich setzt die automatische Response unmittelbar ein, sobald verdächtiges Verhalten erkannt wird. Das System isoliert beispielsweise Dateien oder Prozesse, noch bevor eine Analystin oder ein Analyst eingreift. Parallel beginnt unser Team sofort mit der Überprüfung. Kritische Alarme haben dabei höchste Priorität. In weniger gravierenden Fällen informieren wir den Kunden meist innerhalb von 20 bis 40 Minuten mit konkreten Handlungsempfehlungen. Wenn es sich jedoch um einen ernsten Angriff handelt, zum Beispiel wenn ein Verschlüsselungstrojaner im Spiel ist, wird ein System innerhalb kürzester Zeit isoliert und die Stadt oder Behörde direkt kontaktiert. Wichtig ist uns dabei die Balance: Wir reagieren schnell, aber nicht übereilt. Eine vorschnelle Maßnahme, die am Ende die Systeme des Kunden beeinträchtigt, hilft niemandem.

Wie stellen Sie bei einer Reaktion auf einen Vorfall sicher, dass Sie die richtige Entscheidung getroffen haben?

Schulze: Grundsätzlich wägen wir sehr genau ab, ob wir eingreifen oder nicht. Ein wichtiger Faktor ist Erfahrung – und die sammeln wir jeden Tag bei der Arbeit mit Verwaltungen und den Informationen aus unseren Analysesystemen. Mit jedem neuen Kunden lernen wir typische Angriffsmuster kennen und entwickeln ein Gespür dafür, was normales Verhalten ist und was auf einen Angriff hindeutet. Dieses Wissen teilen wir im Team durch Dokumentationen, gemeinsame Analysen und regelmäßige Workshops. Zudem simulieren wir Angriffsszenarien in Testumgebungen, um zu trainieren, wie echte Vorfälle aussehen und welche Reaktionen angemessen sind.
Im Alltag hilft uns eine klare Priorisierung der Alarme, die von unseren Detection- und Protection-Engineers bereits mit Kritikalität und Beschreibung versehen sind. Dadurch können wir sehr schnell einschätzen, ob ein Vorfall harmlose Auffälligkeiten zeigt oder ob sofortiges Handeln nötig ist. Kritische Entscheidungen treffen wir zudem selten allein, sondern holen aktiv Rücksprache bei Kollegen ein.

Welche Rolle spielt künstliche Intelligenz bei Ihrer Arbeit?

Schulze: Künstliche Intelligenz spielt für uns eine wichtige Rolle – vor allem in der Analyse großer Datenmengen. Systeme auf KI-Basis können Muster sehr schnell erkennen, wiederkehrende Fehlalarme identifizieren und so das Team entlasten. Gerade bei tausenden Vorfällen am Tag ist das ein großer Vorteil. Es trennt die Spreu vom Weizen und hilft uns, die wirklich kritischen Fälle schneller zu erkennen.
Trotzdem ist künstliche Intelligenz kein Ersatz für menschliche Analystinnen und Analysten, sondern eine sinnvolle Ergänzung. Attacken laufen selten nach Schema F ab, und gerade Ausreißer oder neue Angriffstechniken lassen sich nur durch Erfahrung, Kontextwissen und Flexibilität sicher einschätzen. Deshalb behalten Menschen immer die Kontrolle, prüfen KI-Einschätzungen und treffen letztlich die Entscheidungen.
Im Alltag nutzen wir KI punktuell als Sparringspartner, etwa um Informationen gebündelt darzustellen oder Denkanstöße für das Team zu bekommen. Für die eigentliche Response bleibt aber der Mensch unverzichtbar.

Welche Tipps können Sie IT-Admins geben, um die Sicherheit im Netzwerk mit einfachen Maßnahmen zu verbessern?

Schulze: Die wirkungsvollste Maßnahme beginnt beim Menschen. Schulungen und regelmäßige Phishing-Simulationen reduzieren den häufigsten Angriffsvektor deutlich. Parallel sollten IT-Verantwortliche darauf achten, dass nur wirklich benötigte Systeme aus dem Internet heraus erreichbar sind. Komponenten, die keinen externen Zugriff brauchen, gehören hinter interne Netze oder VPNs.
Technisch ist das Patch-Management zentral. Kritische Sicherheitsupdates sollten zeitnah eingespielt werden, weil öffentlich gewordene Schwachstellen schnell von Angreifern automatisiert ausgenutzt werden. Ergänzend dazu erhöhen Passwortmanager und Multi-Faktor-Authentifizierung den Schutz vor dem Ausspionieren von Zugangsdaten für Dienste erheblich.
Zudem zahlt sich eine strikte Vergabe der Nutzerrechte aus. Dazu gehören: Adminrechte nur für tatsächlich berechtigte Personen, Sitzungen und Prozesse mit erhöhten Rechten sofort beenden, wenn sie nicht mehr benötigt werden und möglichst kurzlebige Admin-Sessions erzwingen. Schließlich sollten Backups, Netzwerksegmentierung und verhaltensbasierte Erkennung, zum Beispiel unser Managed Security Operations Center zur Standardausstattung gehören. Regelmäßige Tests, gemeinsame Übungen und klare Notfallkontakte runden das Maßnahmenpaket ab.

(ID:50665471)