Die meisten Unternehmen investieren viel in den Schutz ihrer Außengrenze: Firewall, E-Mail-Filter, gesicherter Fernzugang. Das ist richtig, aber es schützt nur die eine Hälfte. Denn sobald ein Angreifer einmal im Netz ist, etwa über ein gestohlenes Passwort oder einen infizierten Anhang, spielt sich der Rest des Angriffs im Inneren ab. Er bewegt sich von Rechner zu Rechner, von Server zu Server, bis er findet, was er sucht.
Diesen internen Datenverkehr nennen Fachleute Ost-West-Traffic. In vielen Netzen ist er nahezu unkontrolliert. In diesem Beitrag erfahren Sie, was Ost-West-Traffic ist, wie Angreifer ihn nutzen und mit welchen konkreten Maßnahmen Sie ihn begrenzen und überwachen.
Was ist Ost-West-Traffic?
Ost-West-Traffic bezeichnet den Datenverkehr innerhalb des eigenen Netzwerks: zwischen Arbeitsplätzen und Servern, zwischen Servern untereinander, zwischen Anwendungen im Rechenzentrum oder zwischen Workloads in der Cloud. Der Begriff stammt aus Netzwerkdiagrammen, in denen interne Verbindungen waagerecht dargestellt werden.
Das Gegenstück ist der Nord-Süd-Traffic, also der Verkehr zwischen dem Unternehmensnetz und der Außenwelt, etwa ins Internet oder zu Cloud-Diensten.
| Merkmal | Nord-Süd-Traffic | Ost-West-Traffic |
|---|---|---|
| Richtung | zwischen intern und extern | innerhalb des Netzes |
| Beispiele | Surfen im Internet, E-Mail-Empfang, Zugriff von außen per VPN | Arbeitsplatz greift auf Dateiserver zu, Webserver fragt Datenbank ab, Admin verbindet sich per Remote Desktop |
| Klassische Kontrolle | Perimeter-Firewall, Proxy, E-Mail-Gateway | oft keine oder nur grobe Kontrolle zwischen Zonen |
| Bedeutung für Angreifer | Weg hinein und Weg für gestohlene Daten hinaus | Weg zu den wertvollen Zielen |
In modernen Umgebungen mit vielen Servern, virtualisierten Systemen und verteilten Anwendungen macht der interne Verkehr einen großen Teil des gesamten Datenverkehrs aus. Genau dort ist die Sicht vieler Sicherheitsteams am geringsten.
Warum Ost-West-Traffic für Angreifer so wertvoll ist
Ein Angriff beginnt selten am Ziel. Der erste kompromittierte Rechner ist meist ein beliebiger Arbeitsplatz. Von dort aus muss der Angreifer weiter, um an Administratorrechte, Datensicherungen, Finanzsysteme oder Kundendaten zu kommen. Diese Phase nennt die Wissensdatenbank MITRE ATT&CK Lateral Movement: Angreifer bewegen sich durch das Netzwerk, oft über mehrere Systeme und Konten hinweg, und nutzen dafür häufig legitime Zugangsdaten und Bordmittel des Betriebssystems.
Das macht die Erkennung schwierig. Eine Remote-Desktop-Verbindung eines Angreifers sieht auf den ersten Blick genauso aus wie die eines Administrators. Unterscheiden lassen sich beide meist nur durch den Kontext: Wer verbindet sich wann, von wo und wohin?
Die häufigsten Wege durchs Netz
MITRE ATT&CK beschreibt unter anderem diese Techniken für die Bewegung im Netz:
| Technik | Was dahintersteckt | Typischer Missbrauch |
|---|---|---|
| Remote Desktop (RDP) | grafische Fernanmeldung an Windows-Systemen | Angreifer meldet sich mit gestohlenen Zugangsdaten an Servern an |
| SMB und Admin-Freigaben | Dateifreigaben und administrative Freigaben unter Windows | Schadsoftware wird auf andere Rechner kopiert und gestartet |
| Windows Remote Management (WinRM) | Fernsteuerung per Kommandozeile und PowerShell | Befehle werden auf vielen Rechnern gleichzeitig ausgeführt |
| SSH | Fernzugriff auf Linux- und Netzwerksysteme | Zugriff auf Server und Netzwerkgeräte |
| Softwareverteilung | zentrale Werkzeuge zur Verteilung von Programmen | Ransomware wird über das eigene Verteilsystem ausgerollt |
| Pass the Hash und Pass the Ticket | Wiederverwendung von Anmeldeinformationen ohne Klartextpasswort | Anmeldung als Administrator, ohne dessen Passwort zu kennen |
Wer diese Wege kennt, weiß, wo die Begrenzung ansetzen muss. Wie Sie solche Bewegungen im Netz frühzeitig erkennen, beschreiben wir ausführlich im Beitrag Lateral Movement erkennen.
Sieben Maßnahmen, um Ost-West-Traffic zu begrenzen
1. Den internen Verkehr sichtbar machen
Was man nicht sieht, kann man nicht begrenzen. Am Anfang steht deshalb eine Bestandsaufnahme: Welche Systeme sprechen mit welchen, über welche Dienste, wie häufig? Dafür eignen sich Flussdaten aus Switches und Firewalls, etwa NetFlow, oder spezialisierte Lösungen, die den Netzwerkverkehr analysieren. Das Ergebnis ist oft überraschend: Arbeitsplätze, die sich gegenseitig über Dateifreigaben erreichen, alte Server mit offenen Verwaltungszugängen oder Drucker, die mit dem Internet sprechen.
2. Netzwerksegmentierung als Grundgerüst
Clients, Server, Verwaltung, Backup, Produktion und Gäste gehören in getrennte Zonen, zwischen denen eine Firewall nur die benötigten Verbindungen erlaubt. Das BSI fordert im IT-Grundschutz-Baustein NET.1.1 unter anderem, Clients und Server zu trennen und Verwaltungszugänge in eigene Segmente zu verlagern. Wie ein solches Zonenmodell aussieht, zeigt unser Beitrag Netzwerksegmentierung vs. Mikrosegmentierung.
3. Verwaltungsprotokolle gezielt einschränken
Die wirksamste einzelne Maßnahme ist oft die einfachste: Arbeitsplätze brauchen in der Regel keine Verbindungen untereinander. Remote Desktop, WinRM und administrative Freigaben sollten nur von wenigen festgelegten Administrationsrechnern aus erreichbar sein.
| Protokoll | Empfehlung |
|---|---|
| RDP | nur von Administrationsrechnern oder einem Sprungserver aus erlauben, zwischen Arbeitsplätzen sperren |
| SMB | Arbeitsplatz zu Arbeitsplatz sperren, nur Zugriff auf Dateiserver erlauben, veraltete Protokollversionen abschalten |
| WinRM und PowerShell-Fernzugriff | nur von Administrationsrechnern erlauben, Nutzung protokollieren |
| SSH | Zugriff auf Server und Netzwerkgeräte nur aus dem Verwaltungsnetz |
| Verwaltungsoberflächen von Hypervisoren, Backup und Netzwerkgeräten | ausschließlich aus dem Verwaltungsnetz erreichbar |
In Windows-Umgebungen lässt sich vieles davon bereits mit der Windows-Firewall auf den Endgeräten umsetzen, zentral verteilt über Gruppenrichtlinien.
4. Mikrosegmentierung für kritische Systeme
Innerhalb einer Zone hilft die grobe Segmentierung nicht weiter. Hier setzt Mikrosegmentierung an: Für einzelne Server und Anwendungen wird festgelegt, mit wem sie sprechen dürfen. Besonders lohnt sich das für Domänencontroller, Backupsysteme, Datenbanken und Steuerungsrechner in der Produktion. Mehr dazu im Beitrag Was ist Mikrosegmentierung?.
5. Administratorkonten trennen: das Stufenmodell
Viele Angriffe gelingen, weil Administratoren sich mit demselben hochprivilegierten Konto an Arbeitsplätzen, Servern und Domänencontrollern anmelden. Wird einer dieser Rechner kompromittiert, können Angreifer die Anmeldeinformationen abgreifen und weiterverwenden. Ein Stufenmodell trennt deshalb Konten nach ihrer Reichweite:
- Stufe 0: Identitätssysteme wie Domänencontroller. Konten dieser Stufe melden sich nirgendwo sonst an.
- Stufe 1: Server und Anwendungen. Eigene Administratorkonten, keine Anmeldung an Arbeitsplätzen.
- Stufe 2: Arbeitsplätze und Endgeräte. Eigene Konten für den Support.
Ergänzt wird das Modell durch eigene Administrationsrechner, die nur für Verwaltungsaufgaben genutzt werden, nicht für E-Mail oder Internet, und durch Multi-Faktor-Authentifizierung für alle privilegierten Zugänge.
6. Erkennen, was trotzdem passiert
Keine Begrenzung ist lückenlos. Deshalb muss auffälliges Verhalten im internen Verkehr erkannt werden: ein Arbeitsplatz, der plötzlich Dutzende Server abfragt, ein Administratorkonto, das sich nachts an ungewöhnlichen Systemen anmeldet, große Datenmengen, die zu einem einzelnen Rechner fließen. Lösungen für Network Detection and Response, kurz NDR, analysieren den Netzwerkverkehr und schlagen bei solchen Mustern Alarm. Mehr dazu auf unserer Seite zu Network Detection and Response. Ergänzt durch EDR auf den Endgeräten und ein zentrales Security Monitoring entsteht ein Gesamtbild.
7. Zero Trust als Zielbild
Alle Maßnahmen folgen einem gemeinsamen Grundgedanken: Interner Verkehr ist nicht automatisch vertrauenswürdig. Jede Verbindung wird so weit wie möglich auf das Notwendige beschränkt, jeder Zugriff wird geprüft und protokolliert. Dieses Zielbild heißt Zero Trust. Es muss nicht auf einmal erreicht werden, sondern Schritt für Schritt.
Ost-West-Traffic in Cloud und virtualisierten Umgebungen
Mit der Verlagerung von Anwendungen in die Cloud und in virtualisierte Rechenzentren wächst der interne Verkehr weiter. Virtuelle Maschinen auf demselben Host kommunizieren miteinander, ohne dass ihr Verkehr jemals eine physische Firewall passiert. In der Cloud sprechen Dienste über interne Netze miteinander, die auf den ersten Blick unsichtbar sind.
Für diese Umgebungen gelten dieselben Grundsätze, aber andere Werkzeuge:
- Sicherheitsgruppen und Netzwerkrichtlinien des Cloud-Anbieters legen fest, welche Workloads miteinander sprechen dürfen. Standardeinstellungen sind oft zu großzügig und sollten bewusst eingeschränkt werden.
- Verteilte Firewalls in der Virtualisierung setzen Regeln direkt auf dem Host durch, sodass auch Verkehr zwischen virtuellen Maschinen kontrolliert wird.
- Agentenbasierte Mikrosegmentierung sorgt dafür, dass dieselben Regeln im eigenen Rechenzentrum und in der Cloud gelten, ohne für jede Umgebung eigene Konzepte zu pflegen.
- Flussprotokolle der Cloud-Plattform machen sichtbar, welche Verbindungen tatsächlich stattfinden, und sollten in das zentrale Monitoring einfließen.
Besonders wichtig sind die Verwaltungszugänge der Virtualisierung selbst. Wer die Verwaltungsoberfläche eines Hypervisors übernimmt, kann alle darauf laufenden Systeme auf einmal verschlüsseln. Diese Oberflächen gehören ausschließlich in das Verwaltungsnetz und hinter eine Multi-Faktor-Authentifizierung.
Praxisbeispiel: Vom Phishing-Klick zum Dateiserver
Ausgangslage: Ein Mitarbeiter im Einkauf öffnet einen präparierten Anhang. Der Angreifer übernimmt den Rechner.
Ohne Begrenzung des Ost-West-Traffics: Der Angreifer liest gespeicherte Anmeldedaten aus, findet ein Administratorkonto, das sich am Vortag an diesem Rechner angemeldet hat, und verbindet sich per Remote Desktop mit dem Dateiserver, dann mit dem Domänencontroller. Über das Softwareverteilsystem rollt er wenige Tage später Ransomware auf alle Rechner aus.
Mit Begrenzung: Das Administratorkonto der Stufe 1 durfte sich nie an einem Arbeitsplatz anmelden, also gibt es dort nichts zu stehlen. Remote-Desktop-Verbindungen vom Arbeitsplatz zu Servern sind gesperrt, SMB zwischen Arbeitsplätzen ebenfalls. Der Versuch, andere Rechner abzufragen, löst im NDR-System einen Alarm aus. Das Sicherheitsteam isoliert den Rechner, bevor der Angreifer weiterkommt.
Typische Fehler
- Nur den Perimeter schützen. Eine starke Firewall nach außen ändert nichts daran, dass sich ein Angreifer innen frei bewegen kann.
- Alle Arbeitsplätze in einem Netz ohne Regeln. Ein flaches Client-Netz ist der schnellste Weg für die Ausbreitung von Schadsoftware.
- Administratoren mit Domänenrechten am Arbeitsplatz. Hochprivilegierte Konten auf normalen Rechnern sind eine Einladung zum Diebstahl von Anmeldeinformationen.
- Regeln ohne Sichtbarkeit. Wer ohne Analyse sperrt, legt Geschäftsprozesse lahm und muss Ausnahmen schaffen, die die Segmentierung aufweichen.
- Keine Alarmierung bei Auffälligkeiten. Blockierte Verbindungsversuche sind wertvolle Hinweise. Sie sollten ausgewertet und nicht nur protokolliert werden.
Was NIS2 damit zu tun hat
Für Unternehmen, die unter NIS2 fallen, verlangt § 30 BSIG Maßnahmen zur Bewältigung von Sicherheitsvorfällen, zur Zugriffskontrolle und zur Bewertung der Wirksamkeit der Sicherheitsmaßnahmen. Die Begrenzung und Überwachung des internen Datenverkehrs trägt zu allen drei Bereichen bei: Sie verhindert, dass ein Vorfall eskaliert, setzt Zugriffsbeschränkungen technisch durch und liefert Daten, mit denen sich die Wirksamkeit belegen lässt. Einen Überblick über die Pflichten gibt unser Beitrag NIS2-Richtlinie einfach erklärt.
Fazit: Der Angriff entscheidet sich im Inneren
Ob ein Cyberangriff ein ärgerlicher Einzelfall bleibt oder zur Krise wird, entscheidet sich meist nicht an der Außengrenze, sondern im internen Netz. Wer den Ost-West-Traffic sichtbar macht, Verwaltungsprotokolle einschränkt, das Netz segmentiert, kritische Systeme mikrosegmentiert, Administratorkonten trennt und auffällige Bewegungen erkennt, nimmt Angreifern den Weg zu den wertvollen Zielen.
Sie möchten wissen, wie offen der interne Verkehr in Ihrem Netz ist? Wir analysieren Ihre Netzwerkkommunikation und zeigen, wo die größten Risiken liegen. Jetzt kostenlose Erstberatung buchen.
