Berliner Verwaltungshack: Wochen unbemerkt im Netz
Was in Berlin passiert ist
Bei dem Angriff auf die Berliner Verwaltung sind über mehrere Tage hinweg Daten aus dem Landesnetz abgeflossen. Bemerkenswert ist dabei weniger der Abfluss selbst, sondern der Zeitraum davor: Wann genau die Angreifer erstmals ins Netz eingedrungen sind, lässt sich bislang nicht sicher rekonstruieren. Klar ist nur, dass der eigentliche Datenabfluss nicht der Beginn des Vorfalls war, sondern lediglich der Moment, in dem er auffiel.
Das ist ein entscheidender Unterschied. Zwischen dem ersten Eindringen und der Entdeckung eines Angriffs liegt in der Praxis fast immer eine Zeitspanne, in der die Angreifer sich im Netzwerk umsehen, Rechte ausweiten, interessante Systeme identifizieren und ihre Werkzeuge in Ruhe vorbereiten können. Diese Phase nennt man in der IT-Sicherheit „Verweildauer" oder im Fachjargon „Dwell Time". Je länger sie ausfällt, desto größer ist am Ende der Schaden, weil die Angreifer nicht in Hektik handeln müssen, sondern sich Zeit für eine gründliche Vorbereitung nehmen.
Warum lange unentdeckte Angriffe keine Ausnahme sind
Man könnte meinen, eine Landesverwaltung mit eigener IT-Abteilung und entsprechenden Ressourcen müsste so etwas frühzeitig bemerken. In der Realität ist das Gegenteil oft der Fall, und zwar aus einem einfachen Grund: Klassische Sicherheitsmaßnahmen wie Firewalls, Virenscanner oder Zugangskontrollen sind darauf ausgelegt, das Eindringen zu verhindern. Sobald ein Angreifer diese erste Hürde einmal überwunden hat, etwa über eine Phishing-Mail, eine kompromittierte Zugangsdatenbank oder eine ungepatchte Sicherheitslücke, bewegt er sich innerhalb des Netzes oft völlig unauffällig. Er nutzt legitime Konten, verwendet Bordmittel des Betriebssystems und vermeidet alles, was einen klassischen Virenscanner alarmieren würde.
Genau hier liegt das eigentliche Problem: Wer nur an der Grenze seines Netzes hinschaut, aber nicht beobachtet, was innerhalb dieser Grenze passiert, entdeckt einen solchen Angreifer erst, wenn er selbst aktiv wird, etwa wenn große Datenmengen abfließen oder Systeme verschlüsselt werden. Bis dahin kann viel Zeit vergangen sein, in der sensible Informationen bereits kopiert wurden, ohne dass irgendjemand etwas gemerkt hat.
Die Anatomie eines schleichenden Angriffs
Ein typischer, länger unentdeckter Angriff läuft in mehreren Phasen ab. Zunächst verschaffen sich die Angreifer über einen ersten Zugangspunkt Zutritt zum Netz, häufig über gestohlene oder erratene Zugangsdaten, eine Schwachstelle in einer öffentlich erreichbaren Anwendung oder eine gezielte Phishing-Kampagne. Danach folgt die Phase der Ausbreitung: Von dem einen kompromittierten System aus wird versucht, weitere Rechner und Konten zu übernehmen, idealerweise solche mit möglichst hohen Berechtigungen.
Parallel dazu sammeln die Angreifer Informationen über die Struktur des Netzwerks, über vorhandene Datenbanken, Fileserver und Backup-Systeme. Erst wenn sie ein möglichst vollständiges Bild haben, beginnt die eigentliche Phase des Datenabflusses oder eines anderen Schadens, etwa einer Verschlüsselung. Diese letzte Phase ist meist die einzige, die überhaupt sichtbar wird, weil sie sich technisch nicht mehr verstecken lässt: Große Datenmengen, die das Netz verlassen, oder plötzlich verschlüsselte Dateien fallen irgendwann auf. Alles, was davor passiert ist, bleibt ohne gezielte Überwachung meist im Verborgenen.
Genau diese Lücke zwischen erstem Eindringen und sichtbarem Schaden ist es, die Unternehmen und Behörden am häufigsten unterschätzen. Man investiert in Prävention, also in Maßnahmen, die das Eindringen verhindern sollen, aber deutlich seltener in Erkennung, also in Maßnahmen, die ein bereits erfolgtes Eindringen frühzeitig sichtbar machen.
Warum das für den Mittelstand genauso gilt wie für eine Verwaltung
Es ist verlockend, einen solchen Fall als „das betrifft doch nur große Behörden mit ihren komplexen, gewachsenen Netzstrukturen" abzutun. Das greift zu kurz. Kleinere und mittlere Unternehmen haben in der Regel weniger Personal für IT-Sicherheit, seltener eine dedizierte Überwachung ihrer Systeme und häufig noch historisch gewachsene Netzwerke mit Altlasten, die niemand mehr vollständig überblickt. Das sind im Grunde dieselben Bedingungen, die eine lange unentdeckte Verweildauer begünstigen, nur eben ohne die Ressourcen, die eine Landesverwaltung zumindest theoretisch zur Verfügung hat.
Hinzu kommt: Angreifer unterscheiden nicht grundsätzlich zwischen Behörde und Mittelständler. Für viele automatisierte Angriffswerkzeuge ist es egal, wessen Netz gerade angegriffen wird, solange es Schwachstellen gibt. Und ein mittelständisches Unternehmen mit Kundendaten, Konstruktionsplänen, Buchhaltungsunterlagen oder Zugangsdaten zu Kundensystemen ist für Kriminelle ein durchaus attraktives Ziel, gerade weil die Verteidigung dort oft schwächer ausgeprägt ist als bei einer großen Organisation.
Ein weiterer Aspekt kommt hinzu, der in der öffentlichen Debatte oft zu kurz kommt: Wenn ein Angriff erst spät entdeckt wird, verlängert sich auch die Zeit bis zur Meldung an Betroffene und Behörden erheblich. Das ist nicht nur ein technisches, sondern auch ein rechtliches Problem, insbesondere seit die Anforderungen an Meldefristen und Nachweispflichten im Rahmen von Regelungen wie NIS2 gestiegen sind. Wer einen Vorfall erst Wochen nach dem eigentlichen Einbruch bemerkt, hat auch entsprechend wenig Zeit, um die gesetzlichen Fristen einzuhalten und Kunden oder Partner rechtzeitig zu informieren.
Was Log-Überwachung und Anomalieerkennung konkret leisten
Der zentrale Hebel, um Angriffe früher zu entdecken, liegt in der systematischen Auswertung von Protokolldaten, also den sogenannten Logs, die praktisch jedes System ohnehin erzeugt: Anmeldeversuche, Dateizugriffe, Netzwerkverbindungen, Änderungen an Berechtigungen. Das Problem ist selten, dass diese Daten fehlen, sondern dass sie niemand systematisch auswertet. In vielen kleineren Unternehmen liegen Logdateien einfach auf den Systemen, werden nach ein paar Wochen automatisch überschrieben und schaut sich niemand an, solange nichts offensichtlich schiefläuft.
Eine funktionierende Anomalieerkennung setzt genau hier an. Sie vergleicht laufend das aktuelle Verhalten im Netzwerk mit einem als normal erkannten Muster: Wer meldet sich normalerweise wann an, von welchem Ort aus, auf welche Systeme wird üblicherweise zugegriffen, wie groß sind typische Datenübertragungen. Weicht das tatsächliche Verhalten deutlich davon ab, etwa weil sich ein Konto plötzlich mitten in der Nacht von einem ungewöhnlichen Standort aus anmeldet oder ungewöhnlich große Datenmengen kopiert werden, schlägt das System Alarm, lange bevor ein Mensch das von Hand bemerken würde.
Das klingt nach großem technischem Aufwand, ist aber inzwischen auch für kleinere Unternehmen praktikabel umsetzbar, etwa über zentrale Log-Sammlung mit automatisierter Auswertung oder über verwaltete Sicherheitsdienste, bei denen ein externer Partner die Überwachung übernimmt. Wichtig ist vor allem eines: Die Überwachung darf nicht erst dann beginnen, wenn bereits ein Verdacht besteht, sondern muss von vornherein laufen, damit im Ernstfall überhaupt Vergleichsdaten vorhanden sind.
Was das für den Mittelstand bedeutet
Aus dem Berliner Fall lassen sich einige klare, praktische Konsequenzen ableiten, die sich auch für ein mittelständisches Unternehmen ohne eigene Sicherheitsabteilung umsetzen lassen.
Erstens sollte jedes Unternehmen prüfen, ob es überhaupt eine zentrale Protokollierung sicherheitsrelevanter Ereignisse gibt und wie lange diese Daten aufbewahrt werden. Wenn Logs nach wenigen Tagen automatisch gelöscht werden, lässt sich im Ernstfall gar nicht mehr rekonstruieren, wann ein Angreifer erstmals ins System gelangt ist, genau das Problem, das auch in Berlin auftrat.
Zweitens lohnt sich eine regelmäßige, unabhängige Überprüfung der eigenen Systeme von außen. Ein strukturiertes Website-Audit deckt oft Schwachstellen auf, die im Tagesgeschäft übersehen werden, etwa veraltete Softwarestände, offene Schnittstellen oder unsichere Konfigurationen, die als Einfallstor dienen könnten.
Drittens sollte die grundlegende Absicherung der IT-Infrastruktur nicht als einmaliges Projekt, sondern als laufender Prozess verstanden werden. Dazu gehört eine durchdachte IT-Sicherheit-Strategie, die nicht nur auf Prävention setzt, sondern auch Erkennungsmechanismen und einen klaren Plan für den Ernstfall umfasst: Wer wird informiert, welche Systeme werden zuerst isoliert, wie wird kommuniziert.
Viertens sollten Unternehmen, für die es rechtlich relevant ist oder relevant werden könnte, sich frühzeitig mit den Anforderungen aus NIS2 & IT-Sicherheit auseinandersetzen. Die dort geforderten Meldefristen und Nachweispflichten lassen sich nur einhalten, wenn Vorfälle früh erkannt werden, nicht erst Wochen später.
Fünftens gilt: Zugriffsrechte regelmäßig überprüfen und konsequent nach dem Prinzip der minimalen Berechtigung vergeben. Viele der Fälle, in denen sich Angreifer lange unentdeckt im Netz bewegen konnten, hängen damit zusammen, dass einmal erbeutete Zugangsdaten viel zu weitreichende Rechte besaßen. Wer Berechtigungen konsequent einschränkt und regelmäßig aufräumt, begrenzt automatisch auch den Schaden, den ein einzelnes kompromittiertes Konto anrichten kann.
Sechstens sollte man sich nicht scheuen, externe Unterstützung einzubinden, wenn intern die Kapazitäten fehlen. Eine dauerhafte Betreuung durch einen erfahrenen Partner, sei es über laufende Wartung, über eine gesicherte Fernwartung oder über einen kompetenten Ansprechpartner vor Ort wie den IT-Service Friesland, ist oft wirtschaftlicher als der Versuch, alle nötigen Kompetenzen intern aufzubauen, insbesondere für Unternehmen, die IT nicht als Kerngeschäft betreiben.
Am Ende geht es nicht darum, jeden Angriff von vornherein zu verhindern, das ist illusorisch. Es geht darum, ihn so früh wie möglich zu bemerken, bevor aus einem eingedrungenen Angreifer ein monatelanger, unbemerkter Datenabfluss wird.
Häufige Fragen
Wie lange bleiben Angreifer im Schnitt unentdeckt in einem Netzwerk?
Das lässt sich nicht pauschal beziffern und hängt stark vom Einzelfall ab. Klar ist aber, dass es sich häufig nicht um Stunden, sondern um Tage oder Wochen handelt, wie auch der Berliner Fall zeigt, bei dem der genaue Zeitpunkt des Eindringens weiterhin unklar ist.
Reicht ein Virenscanner nicht aus, um so etwas zu verhindern?
Ein Virenscanner schützt vor bekannter Schadsoftware, erkennt aber nicht, wenn sich ein Angreifer mit gestohlenen, legitimen Zugangsdaten im Netz bewegt und dabei normale Systemwerkzeuge nutzt. Dafür braucht es zusätzlich eine Überwachung des Verhaltens im Netzwerk, nicht nur eine Prüfung einzelner Dateien.
Ist Log-Überwachung auch für kleine Unternehmen mit wenigen Mitarbeitenden sinnvoll?
Ja, gerade weil kleinere Unternehmen seltener über eigenes Sicherheitspersonal verfügen, lohnt sich eine zentrale, möglichst automatisierte Auswertung sicherheitsrelevanter Ereignisse. Das lässt sich auch über externe Dienstleister abbilden, ohne dass eine eigene Abteilung dafür nötig ist.
Welche Rolle spielt NIS2 in diesem Zusammenhang?
NIS2 verpflichtet betroffene Unternehmen zu kürzeren Meldefristen und einem strukturierten Umgang mit Sicherheitsvorfällen. Wer Angriffe erst spät bemerkt, gerät automatisch in Zeitnot bei der Erfüllung dieser Pflichten, weshalb frühzeitige Erkennung auch eine rechtliche Dimension hat.
Was sollte ein Unternehmen als Erstes tun, wenn es noch keine strukturierte Überwachung hat?
Ein guter Startpunkt ist eine Bestandsaufnahme: Welche Systeme protokollieren überhaupt sicherheitsrelevante Ereignisse, wie lange werden diese Daten aufbewahrt und wer würde im Ernstfall überhaupt hinschauen. Darauf aufbauend lässt sich Schritt für Schritt eine zentrale Auswertung und ein Reaktionsplan aufbauen.