Geschrieben am 26.03.2025 von:
Noureddine Jerbi
Penetration Tester | IT Security Consultant
zum Profil
Kontaktiere mich:
+49 (0) 261 – 9886236 44
E-Mail senden
Im letzten Beitrag haben wir über die wachsende Bedrohung durch Cyberangriffe gesprochen – heute gehen wir einen Schritt weiter. Laut einer Bitkom-Studie waren Malware, Phishing und Angriffe auf Passwörter im vergangenen Jahr die häufigsten Methoden, mit denen Kriminelle Schaden angerichtet haben. Ob durch infizierte Anhänge, gefälschte E-Mails oder gestohlene Zugangsdaten – Angreifer werden immer raffinierter. In diesem Beitrag erklären wir die Funktionsweise dieser Attacken, woran du sie erkennst und wie du dich effektiv davor schützen kannst.
Malware
Malware ist eine Abkürzung für „Malicious Software“ (dt. Schadsoftware) und ist der Oberbegriff für Programme, die von Cyberkriminellen entwickelt werden, um IT-Systeme zu schädigen, sensible Daten zu stehlen oder unbefugten Zugriff auf Systeme zu ermöglichen. Diese Schadprogramme gelangen häufig über Phishing-E-Mails, infizierte Webseiten oder externe Datenträger wie USB-Sticks auf ein Zielsystem. Einmal installiert, können sie sich oft selbstständig in Netzwerken verbreiten und erheblichen Schaden anrichten.
Malware lassen sich anhand ihrer Funktionalitäten und Ziele in verschiedene Formen unterteilen. Zu den bekanntesten gehören aktuell:
- Ransomware: Verschlüsseln Dateien oder ganze Systeme und fordern Lösegeld für deren Wiederfreigabe.
- Keylogger: Protokollieren alle Tastatureingaben von Nutzern, wie z.B. Anmeldeinformationen, und leiten diese unbemerkt an Angreifer weiter.
- Trojaner: Tarnen sich als nützliche Programme oder verstecken sich in legitimer Software, um Nutzer zur Installation zu verleiten und anschließend Hintertüren zu schaffen.
Trotz der fortschrittlichen technischen Entwicklungen bei der Erkennung solcher Schadsoftware stellen Malware weiterhin eine der größten Bedrohungen für die Cybersicherheit dar. Einerseits entwickeln sie sich ständig weiter und nutzen beispielsweise Polymorphismus oder andere Techniken, um signaturbasierte Antiviren- und Antischadprogramme wirkungslos zu machen. Andererseits setzen Cyberkriminelle bei der Verbreitung gezielt auf den menschlichen Faktor, etwa durch täuschend echte Phishing-E-Mails.
Phishing-Angriffe
„Herzlichen Glückwunsch! Sie haben ein iPhone 16 Pro Max gewonnen!“ oder „Ihr Konto wurde gesperrt – reagieren Sie jetzt, um den Zugriff wiederherzustellen!“ – solche oder ähnliche Nachrichten sind klassische Beispiele für Phishing-Versuche, die den Empfänger dazu verleiten sollen, auf einen Link zu klicken oder sensible Daten preiszugeben. Auch wenn derartige E-Mails gelegentlich geöffnet und die darin enthaltenen Links geklickt werden, stellen sie nicht mehr die größte Gefahr dar. Die Phishing-Techniken haben sich im Laufe der Zeit erheblich weiterentwickelt und wirken heute weitaus überzeugender und realistischer.
Neben psychologischen Effekten, die auf Dringlichkeit, Angst oder Neugier abzielen, werden heutzutage in Phishing-Kampagnen immer häufiger auch kontextuelle Faktoren berücksichtigt. Dazu zählen:
- Rolle und Position
- Interessen und Hobbys
- Sprache und Kultur
- Aktuelle Ereignisse und Trends
- Arbeitszeiten
Zusätzlich kommt die technische Raffinesse der Angreifer ins Spiel. Cyberkriminelle sind in der Lage, sowohl den Absendernamen als auch die Absenderadresse so zu manipulieren, dass die Nachricht von einer scheinbar vertrauenswürdigen Quelle stammt – etwa einem Kollegen, einem Kunden oder einem Geschäftspartner. Werden keine Sicherheitsmechanismen eingesetzt, die die Authentizität der E-Mail durch Überprüfung der Kopfzeilen sicherstellen, können solche gefälschten Nachrichten direkt im Posteingang des Benutzers landen. Beispiele hierfür sind:
- E-Mails im Namen von Microsoft, die dazu auffordern, das Konto zu überprüfen, mit einer Absenderadresse wie account@microsoft.com
- Nachrichten von der angeblichen internen IT-Abteilung mit der Aufforderung, das Passwort zu ändern, versendet von it-support@deinunternehmen.com
Die Implementierung von Verifizierungsmechanismen wie SPF, DKIM und DMARC trägt zwar erheblich dazu bei, dass solche Nachrichten blockiert oder als Spam markiert werden. Diese Maßnahmen können jedoch Cyberkriminelle nicht daran hindern, sogenannte Cousin-Domains für wenige US-Dollar zu registrieren und diese in Phishing-Kampagnen einzusetzen. Dabei nutzen Angreifer Domains, die dem Namen des Zielunternehmens täuschend ähnlich sehen, jedoch leicht abgewandelt sind. Beispiele hierfür sind:
- com
- cam
- dein-unternehmen.com
Mit diesen Domains können Cyberkriminelle E-Mails versenden, die sogar die technischen Authentifizierungsprüfungen bestehen, da sie tatsächlich von der angegebenen Quelle stammen und somit als legitim gelten.
Angriffe auf Passwörter
Passwörter sind in der digitalen Welt das Äquivalent zu einem Hausschlüssel – sie öffnen den Zugang zu unserem privaten Bereich und geschäftlichen Ressourcen und bilden somit die erste Verteidigungslinie gegen unbefugten Zugriff. Zugleich sind sie häufig ein primäres Ziel für Cyberkriminelle, da ein kompromittiertes Passwort unmittelbaren Zugang zu sensiblen Daten und Systemen ermöglicht.
Bei der Durchführung von Angriffen auf Passwörter nutzen Cyberkriminelle verschiedene Techniken. Zu den häufigsten gehören:
- Brute-Force-Angriffe: Bei dieser Methode werden sämtliche mögliche Zeichenkombinationen systematisch getestet, bis das korrekte Passwort gefunden wird. Die Länge und Komplexität des Passworts spielen dabei eine entscheidende Rolle: Je komplexer und länger das Passwort, desto mehr Rechenleistung und Zeit erfordert der Angriff.
- Wörterbuchangriffe (Dictionary Attacks): Bei dieser Technik greifen Angreifer auf vorgefertigte Listen zurück, die häufig verwendete Passwörter oder bekannte Muster enthalten. Zu den bekanntesten Beispielen gehört die RockYou-Datei, die über 14 Millionen kompromittierte Passwörter im Klartext umfasst. Der Erfolg eines Wörterbuchangriffs hängt maßgeblich davon ab, ob das Passwort in der Liste enthalten ist und an welcher Position es steht.
- Password Spraying: Im Gegensatz zu Brute-Force-Angriffen zielt diese Methode darauf ab, ein einziges Passwort auf eine Vielzahl von Benutzerkonten anzuwenden. Anders ausgedrückt wird versucht, den richtigen Benutzernamen für das gewählte Passwort zu finden.
- Credential Stuffing: Hierbei versuchen Angreifer, sich mit Zugangsdaten aus früheren Datenlecks bei anderen Diensten und Plattformen einzuloggen. Ein Zugriff ist jedoch nur dann möglich, wenn die gleichen Zugangsdaten mehrfach für verschiedene Dienste verwendet wurden.
Ob Malware, Phishing oder Angriffe auf Passwörter – der Mensch ist oft das entscheidende Einfallstor für solche Attacken. Doch nicht immer liegt der Fehler bei uns, manchmal versagt auch die Technik. Im nächsten Beitrag werfen wir einen genaueren Blick auf diese Angriffsmethoden und zeigen, wo die Schwachstellen wirklich liegen.