Der erste Rechner ist selten das Ziel. Ein Angreifer, der über eine Phishing-Mail auf dem Laptop einer Vertriebsmitarbeiterin landet, interessiert sich nicht für ihre Angebotsentwürfe. Er will an die Buchhaltung, an die Backups, an den Domänencontroller. Also bewegt er sich weiter, von Rechner zu Rechner, von Konto zu Konto. Dieses Vorgehen heißt Lateral Movement, auf Deutsch seitliche Bewegung.
Genau diese Phase entscheidet oft darüber, ob aus einem kleinen Vorfall ein Totalausfall wird. In diesem Beitrag erfahren Sie, wie Lateral Movement funktioniert, welche Spuren es hinterlässt und wie Sie Angreifer stoppen, bevor sie ihr eigentliches Ziel erreichen.
Was ist Lateral Movement?
Lateral Movement beschreibt alle Techniken, mit denen sich ein Angreifer nach dem ersten Einbruch innerhalb eines Netzwerks ausbreitet. Die Organisation MITRE, deren Wissensdatenbank ATT&CK weltweit als Standard zur Beschreibung von Angriffen gilt, führt Lateral Movement als eigene Phase eines Angriffs. Angreifer müssen dabei oft erst das Netz erkunden und sich dann über mehrere Systeme und Konten zu ihrem Ziel vorarbeiten.
Ein typischer Ablauf sieht so aus:
- Erstzugriff: Ein Rechner wird über Phishing, gestohlene Zugangsdaten oder eine Schwachstelle übernommen.
- Erkundung: Der Angreifer schaut sich um. Welche Server gibt es, welche Konten haben Administratorrechte, wo liegen die Backups?
- Zugangsdaten sammeln: Passwörter und Anmeldetokens werden aus dem Speicher des übernommenen Rechners ausgelesen.
- Weiterziehen: Mit diesen Zugangsdaten meldet er sich an weiteren Systemen an, bis er die nötigen Rechte hat.
- Ziel erreichen: Daten werden kopiert, Backups gelöscht, und am Ende wird verschlüsselt.
Zwischen Schritt 1 und Schritt 5 können Stunden oder Wochen liegen. Diese Zeit ist die größte Chance der Verteidiger.
Die häufigsten Techniken
Angreifer nutzen bei der seitlichen Bewegung fast immer Werkzeuge, die im Unternehmen ohnehin vorhanden sind. Das macht sie so schwer zu entdecken. Die wichtigsten Techniken laut MITRE ATT&CK:
| Technik | Was passiert |
|---|---|
| Fernzugriffsdienste (z. B. RDP, SMB, SSH) | Anmeldung an anderen Rechnern mit gestohlenen Zugangsdaten |
| Pass the Hash und Pass the Ticket | Anmeldung mit gestohlenen Passwort-Hashes oder Kerberos-Tickets, ohne das Passwort zu kennen |
| Ausnutzen von Fernzugriffsdiensten | Angriff auf Schwachstellen in Diensten, die im internen Netz erreichbar sind |
| Internes Spear-Phishing | Täuschend echte Mails aus einem übernommenen internen Postfach an Kollegen |
| Softwareverteilung missbrauchen | Schadcode wird über die eigene Softwareverteilung auf viele Rechner gleichzeitig gebracht |
Für einen Virenscanner sieht vieles davon wie normale Administration aus. Ein IT-Mitarbeiter, der sich per Remote Desktop auf einen Server schaltet, tut technisch dasselbe wie ein Angreifer mit gestohlenem Admin-Passwort.
Woran Sie Lateral Movement erkennen
Das BSI hat für Ransomware-Angriffe eine Liste der zehn wichtigsten Detektionsmaßnahmen veröffentlicht. Mehrere davon zielen direkt auf Lateral Movement:
- Remote-Desktop-Anmeldungen auswerten: Erfolgreiche und fehlgeschlagene Anmeldungen per RDP sollten auf ungewöhnliche Muster geprüft werden. Das BSI betont ausdrücklich, dass auch interne Verbindungen dazugehören, weil genau dort die seitliche Bewegung stattfindet.
- Auslesen von Zugangsdaten erkennen: Zugriffe auf die Speicherbereiche, in denen Windows Anmeldedaten vorhält, sind ein starkes Warnsignal, ebenso wie typische Befehle bekannter Werkzeuge zum Passwortdiebstahl.
- Erkundung des Netzes aufspüren: Werkzeuge, mit denen Angreifer das Active Directory durchsuchen, und auffällige Abfragen an den Verzeichnisdienst fallen bei guter Überwachung auf.
- Neue geplante Aufgaben überwachen: Angreifer richten sich gern über geplante Tasks auf weiteren Rechnern ein.
Dazu kommen Auffälligkeiten, die sich im Netzwerkverkehr zeigen: Ein Arbeitsplatzrechner, der plötzlich mit dutzenden anderen Rechnern spricht. Ein Konto, das sich innerhalb weniger Minuten an zehn Servern anmeldet. Verbindungen zwischen Abteilungen, die sonst nie miteinander kommunizieren. Wer den normalen Datenverkehr kennt, sieht solche Abweichungen.
Warum Endgeräteschutz allein nicht reicht
Lösungen für Endgeräte wie EDR sehen, was auf einem einzelnen Rechner passiert. Lateral Movement findet aber zwischen den Rechnern statt. Wenn ein Angreifer den Endgeräteschutz deaktiviert oder Geräte nutzt, auf denen gar keiner läuft, etwa Drucker, Kameras oder Produktionsanlagen, bleibt er für EDR unsichtbar.
Hier setzt die Überwachung des Netzwerks an, Fachbegriff Network Detection and Response, kurz NDR. Sie analysiert den Datenverkehr im gesamten Netz, lernt, wie normale Kommunikation aussieht, und meldet Abweichungen. Weil sie den Verkehr selbst beobachtet, funktioniert sie auch bei Geräten ohne installierte Software. EDR und NDR ergänzen sich deshalb: Das eine sieht das Gerät, das andere die Verbindungen dazwischen.
Praxisbeispiel: Vectra NDR
Ein Beispiel für eine solche Lösung ist Vectra, mit dem wir als Partner arbeiten. Die Plattform analysiert den Datenverkehr in Rechenzentrum, Cloud und bei Identitäten, etwa Anmeldungen in Microsoft 365. Sie ist darauf ausgelegt, typische Angriffsmuster wie seitliche Bewegung, Fernsteuerung durch einen Angreifer oder ungewöhnliche Nutzung von Admin-Konten zu erkennen und Warnungen nach Dringlichkeit zu sortieren. So muss das Sicherheitsteam nicht jede einzelne Auffälligkeit prüfen, sondern sieht zuerst die Vorgänge, die wirklich nach einem Angriff aussehen. Wie wir Netzwerküberwachung bei Kunden umsetzen, lesen Sie auf unserer Seite zu Network Detection and Response.
So machen Sie es Angreifern schwer
Erkennen ist die eine Hälfte. Die andere ist, die seitliche Bewegung von vornherein zu erschweren:
- Netz segmentieren. Je weniger Rechner miteinander sprechen dürfen, desto weniger Wege hat ein Angreifer. Wie das konkret geht, zeigt unser Beitrag Ost-West-Traffic begrenzen. Noch feiner lässt sich das mit Mikrosegmentierung steuern.
- Admin-Rechte sparsam vergeben. Wer im Alltag mit einem normalen Konto arbeitet und nur für Verwaltungsaufgaben ein separates Admin-Konto nutzt, hinterlässt auf seinem Rechner keine wertvollen Zugangsdaten.
- Lokale Administrator-Passwörter unterschiedlich setzen. Haben alle Rechner dasselbe lokale Admin-Passwort, genügt ein einziges davon, um sich überall anzumelden.
- Fernzugriffe einschränken. Remote Desktop und Admin-Freigaben sollten nur von bestimmten Verwaltungsrechnern aus erreichbar sein, nicht von jedem Arbeitsplatz.
- Multi-Faktor-Authentifizierung auch intern nutzen. Besonders für Admin-Konten und Zugriffe auf kritische Server macht ein zweiter Faktor gestohlene Passwörter weitgehend wertlos.
- Fallen stellen. Das BSI empfiehlt sogenannte Canary Files auf Backup-Verzeichnissen und Netzlaufwerken. Das sind Köderdateien, die niemand legitim öffnet. Jeder Zugriff darauf ist ein starkes Anzeichen für einen Angriff.
Fazit: Die Zeit zwischen Einbruch und Schaden nutzen
Lateral Movement ist die Phase, in der ein Angreifer schon drin ist, aber noch nicht am Ziel. Wer diese Phase sichtbar macht, kann einen Angriff stoppen, bevor Daten verschlüsselt oder gestohlen sind. Dafür braucht es zweierlei: ein Netz, das Bewegung erschwert, und eine Überwachung, die Bewegung erkennt. Endgeräteschutz und Netzwerküberwachung zusammen schließen dabei die Lücken, die jede Lösung allein offen lässt.
Sie wollen wissen, ob Angreifer sich in Ihrem Netz unbemerkt bewegen könnten? Wir analysieren Ihre Netzstruktur und zeigen Ihnen, wo die größten Lücken liegen. Kostenlose Erstberatung buchen
