März 2019: In den Hallen des norwegischen Aluminiumproduzenten Norsk Hydro stehen plötzlich die Bänder still. Der Auslöser: eine getarnte E-Mail, die unbemerkt im Posteingang eines Mitarbeiters landete. Der Mitarbeiter öffnete die Datei, ohne dass eine Warnmeldung erschien. Der Angriff lief da längst.
Von den Sicherheitssystemen unbemerkt, breitete sich der Angriff von diesem einen Standardnutzer aus Schritt für Schritt durchs gesamte Firmennetzwerk. Weltweit standen die Bänder still, Schmelzöfen mussten manuell gesteuert werden.
Der finanzielle Schaden lag bei über 70 Millionen Dollar, ausgelöst durch einen Weg, der am PC eines einzelnen Mitarbeiters begann und an der Spitze der gesamten Netzwerkhierarchie endete. Vom Standard-User zum Domain Admin, in einer einzigen Angriffskette.
Warum das Active Directory das eigentliche Ziel ist
Das Active Directory ist ein von Microsoft entwickelter Verzeichnisdienst für Windows-Netzwerke: im Grunde ein zentrales Adress- und Telefonbuch, nur mit weit mehr Möglichkeiten für Administratoren, die gespeicherten Benutzer- und Objektdaten zu verwalten, zu bearbeiten, abzufragen und zu strukturieren.
Einmal im internen Netz, bildet das Active Directory die zentrale Identitäts- und Rechteverwaltung des gesamten Unternehmens. Wer es kontrolliert, kontrolliert jeden Nutzer, jeden Rechner und jede Berechtigung im Netzwerk.
Angreifer bewegen sich dabei von niederschwelligen Rechten (Standard-User) schrittweise vertikal und horizontal durch das Netzwerk, bis sie die Kontrolle über genau dieses Adressbuch übernommen haben.
Angreifer kombinieren Lateral Movement und Privilege Escalation oft gezielt miteinander, um an immer kritischere Ressourcen zu gelangen und gleichzeitig unter dem Radar der Sicherheitsüberwachung zu bleiben.
Von der Aufklärung bis zur vollständigen Übernahme
Jede erfolgreiche Kompromittierung lässt sich in eine Kette aufeinander aufbauender Phasen unterteilen, bekannt als Cyber Kill Chain oder MITRE ATT&CK Framework.
Cyber Kill Chain: Ein Modell, das die Phasen eines Cyberangriffs beschreibt, von der Aufklärung bis zur Ausführung des Angriffs.
| Phase | Erklärung | Beispiel |
|---|---|---|
| 1. Reconnaissance Aufklärung |
Der Angreifer sammelt passiv/aktiv Informationen über das Zielunternehmen, um Einfallstore zu finden. | Auslesen von Mitarbeiter-E-Mails auf LinkedIn oder Scannen offener Server-Ports |
| 2. Weaponisation Bewaffnung |
Der Angreifer kombiniert ein unauffälliges Dokument oder eine Software mit Schadcode zu einem nutzbaren Exploit-Payload. | Erstellen einer präparierten PDF-Datei, die bei Aufruf ein Schadskript ausführt |
| 3. Delivery Zustellung |
Der vorbereitete Schadcode wird über einen Übertragungsweg an das Opfer übermittelt. | Versenden einer getarnten Phishing-E-Mail mit schädlichem Anhang an den Einkauf |
| 4. Exploitation Ausbeutung |
Der Schadcode wird auf dem Zielsystem ausgeführt und nutzt eine Sicherheitslücke oder menschliche Unachtsamkeit aus. | Der Mitarbeiter klickt auf den Anhang, woraufhin der Code eine Schwachstelle im Reader ausnutzt |
| 5. Installation | Der Angreifer nistet sich dauerhaft auf dem kompromittierten System ein, um den Zugriff auch nach einem Neustart zu sichern. | Platzieren einer Backdoor im Autostart-Register von Windows |
| 6. Command & Control Befehl und Kontrolle |
Das infizierte System baut einen verschlüsselten Kommunikationskanal zum Server des Angreifers auf. | Der Rechner verbindet sich verdeckt mit einem externen Server über HTTPS für Befehle |
| 7. Actions on Objectives Handeln nach Zielsetzung |
Der Angreifer führt seine eigentlichen Ziele im Netzwerk aus, wie Datendiebstahl, Sabotage oder Erpressung. | Auslesen von Passwörtern, Durchsuchen der Netzlaufwerke und Verschlüsseln der Server |
Für das Active Directory und reale Unternehmensnetzwerke hat dieses Modell aber eine Schwachstelle: Es blendet das Innenleben deines Netzwerks fast vollständig aus. Alles, was nach dem Erstzugriff passiert, wirft die klassische Kill Chain pauschal in Phase 7. Das Phishing-to-Domain-Admin-Modell (PtDA) setzt genau hier an und zoomt mitten ins Geschehen:
Die Phasen des Phishing-to-Domain-Admin-Modells zeigen Schritt für Schritt, wie Angreifer das Netz erkunden, Rechte ausweiten, von Rechner zu Rechner wandern und schließlich das Active Directory komplett übernehmen. Genau das ist der blinde Fleck, den die klassische Kill Chain übersieht.
Der Fuß in der Tür
Das Grundprinzip von Phishing ist es, jemanden davon zu überzeugen, auf einen böswilligen Link zu klicken oder einen schädlichen Anhang auszuführen. Phishing beschränkt sich dabei längst nicht mehr auf klassische Massen-Mails. Die folgende Übersicht zeigt die unterschiedlichen Angriffsvektoren im direkten Vergleich:
| Vektor | Prinzip | Beispiel |
|---|---|---|
| Spear Phishing | Eine gezielte Person oder Gruppe wird geködert, auf einen böswilligen Link zu klicken. | Die Gruppe Water Makara startete eine Kampagne gegen brasilianische Unternehmen mit präparierten Steuerdokumenten, die die Astaroth-Banking-Malware auslieferten (Okt. 2024) |
| Whaling | Noch gezieltere Form, i.d.R. gegen CEOs, CFOs oder andere Führungskräfte. | Das österreichische Unternehmen FACC verlor 2016 über 42 Mio. €: Angreifer gaben sich als CEO aus und schrieben die Finanzabteilung an |
| Smishing | Angriff per SMS oder Kurznachrichtendienst, gilt als effektiver, da Messaging-Apps vertrauenswürdiger wirken als E-Mails. | Ende 2024 gaben sich Betrüger als IRS aus, um persönliche Daten wie Adresse und Steuernummer zu stehlen |
| Vishing | Angriff über einen klassischen Telefonanruf, Ziel sind vertrauliche Daten oder Unternehmensinformationen. | Dezember 2024: Ein Angreifer gab sich über Microsoft Teams als Kunde aus und täuschte ein Opfer zur Installation von AnyDesk, die Folge war uneingeschränkter Fernzugriff |
| Quishing | Wie klassisches Phishing, nur wird der böswillige Link in einen QR-Code eingebettet. | Im August 2024 wurden gefälschte QR-Codes auf Parkplätzen platziert, die Zahlungen direkt an die Angreifer umleiteten |
Recon: Wer bin ich, und wo bin ich hier?
Die Umgebung scannen: Der Hacker schaut sich leise auf dem infizierten Rechner um. Wer bin ich? Welches Betriebssystem läuft? Welche Schutzprogramme sind aktiv? Welche Server gibt es im Netzwerk?
Angriffswege finden: Mithilfe von Tools scannt der Angreifer anschließend das Firmennetzwerk (das Active Directory), um herauszufinden, welche Sicherheitslücken existieren und wo sich die Administratoren aufhalten.
Zugangsdaten stehlen & Privilege Escalation
Auf dem ersten Rechner hat der Angreifer meist nur normale Nutzerrechte. Um weiterzukommen, muss er stärkere Rechte erlangen oder Anmeldedaten abgreifen, die auf dem System gespeichert sind.
Je nach System versucht der Angreifer, Anmeldedaten wie Klartext-Passwörter oder Hashes aus dem Arbeitsspeicher abzugreifen, etwa aus dem LSASS-Prozess (Credential Dumping). Fehlen Sicherheitsupdates, nutzen Angreifer oft Schwachstellen im Betriebssystem-Kernel, um ihre Rechte direkt vom normalen Nutzer auf Systemebene hochzustufen.
Lateral Movement: Von Rechner zu Rechner
Ein einziger Rechner reicht dem Angreifer nicht. Er nutzt die erbeuteten Zugangsdaten, um sich im Netzwerk von Rechner zu Rechner zu hangeln, bis er sein eigentliches Ziel erreicht.
Der Angreifer sucht dabei gezielt nach Systemen, auf denen sich vor Kurzem ein IT-Administrator angemeldet hat. Meldet er sich dort an, kann er die Zugangsdaten des Admins direkt aus dem Speicher dieses Rechners abgreifen.
Domain Admin: Das höchste Ziel ist erreicht
Der Angreifer erreicht das höchste Ziel: Er übernimmt die vollständige Kontrolle über das Active Directory (die zentrale Verwaltung aller Nutzer und Rechner) und wird zum Domain Admin.
Sobald der Angreifer die Zugangsdaten eines Domain Admins erbeutet hat, meldet er sich am Hauptserver (Domain Controller) an. Ab diesem Moment kann er neue Nutzer anlegen, Passwörter ändern und jede Sicherheitssperre aufheben. Das gesamte Netzwerk gehört ihm.
Defense-in-Depth: An jeder Phase ansetzen
Ein effektives Sicherheitskonzept muss an jeder Phase des Angriffspfads ansetzen, mit Fokus auf die frühen Phasen: Je früher die Kette unterbrochen wird, desto glimpflicher kommt das Unternehmen davon.
Phase 1 · Phishing
- Regelmäßiges Security-Awareness-Training gegen Social Engineering, insbesondere Phishing und dessen Varianten
- Mail Filter & Link Rewriting: dynamische Überprüfung von Links und Anhängen beim Eintreffen und beim Klick
- Anwendungssteuerung: Ausführen von Skriptsprachen wie PowerShell oder JavaScript blockieren
Phase 2 · Erkundung
- Zero-Trust-Architektur: keine direkte Kommunikation zwischen normalen Clients erlauben
- Firewalls zur Einschränkung der Sichtbarkeit interner Server und Dienste
- Honeypots & Decoy Objects: gefälschte Admin-Konten oder Freigaben, die bei Zugriff sofort Alarm auslösen
Phase 3 · Zugangsdaten stehlen & Rechte ausweiten
- Prinzip der minimalen Rechte (Least Privilege): lokale Administratorrechte für Standardnutzer entfernen
- Attack Surface Reduction: z.B. Blockieren der Erstellung von Unterprozessen durch Office-Anwendungen
- LSASS-Schutz: Credential Guard unter Windows zur Kapselung von Anmeldedaten im Speicher aktivieren
Phase 4 · Weiterwandern im Netzwerk
- Einführung strenger Password Policies
- Regelmäßiges Ändern von Passwörtern nach definierter Zeit
Phase 5 · Vollständige Übernahme
- Domain-Controller-Härtung als letzte Verteidigungslinie
- Überwachung durch SIEM / Active Directory Monitoring: zentrale Auswertung von Event-Logs auf auffällige Rechteänderungen
- Regelmäßig getestete, offline oder schreibgeschützte Disaster-Recovery-Pläne als Schutz vor Ransomware
Kein Hollywood-Hack, sondern ein logischer Prozess
Ein erfolgreicher Cyberangriff von der ersten Phishing-Mail bis zur vollständigen Übernahme der Domäne ist selten ein magischer Hack aus Hollywood-Filmen. Es ist ein logischer, oft automatisierter Prozess, bei dem Angreifer kleine Lücken, unzureichende Berechtigungskonzepte und menschliche Unachtsamkeit Schritt für Schritt verketten.
Sicherheit entsteht nicht durch ein einzelnes Produkt, sondern durch einen ständigen Prozess: Defense-in-Depth. Wer das Active Directory härtet, Pfade für Lateral Movement unterbricht und auf moderne Identitätsprüfungen setzt, nimmt Angreifern den Spielraum, selbst wenn die erste Phishing-Mail einmal ihr Ziel erreicht.
Je früher man den Angriff im Ablauf erkennt und isoliert, desto geringer der Schaden.
- Deepfake Vishing: Wie KI-Stimmklone Vishing-Angriffe auf ein neues Level heben
- Quishing: Warum der harmloseste Scan des Tages euer Netzwerk kompromittiert
- Was ein Breach wirklich kostet: Produktionsausfall, IR-Kosten, Kundenverlust und persönliche Haftung
Glaubt ihr, euer Domain Admin ist wirklich vor Angreifern sicher?
Wir testen eure Systeme unter realistischen Bedingungen, bevor es ein echter Angreifer tut, vom ersten Phishing-Versuch bis zur vollständigen Übernahme des Active Directory. Kostenloses Erstgespräch.
Erstgespräch anfragen →