Per Hackingattacke erste Schwachstellen erkennen
Hacker:innen verfügen über einen reichhaltigen Software-Werkzeugkasten, um in fremde Netze einzudringen. Dengleichen Baukasten kennen und nutzen auch Sicherheitsexpert:innen, um Hackingattacken nachzustellen:
Mit Denial-of-Service-Attacken (DoS) überlasten die Expert:innen die Unternehmenswebseite mit einer Vielzahl von Aufrufen in ganz kurzer Zeit so stark, dass die Seite nicht mehr erreichbar ist. Ähnliche Attacken fahren sie auch gegen das interne Netzwerk oder einzelne Hardware-Komponenten. Das kann etwa der VPN-Tunnel sein, über den sich Mitarbeitende von unterwegs einwählen. Bei diesen Tests geht es nicht darum, Daten mit Hackingmethoden auszuspionieren. Ziel ist es vielmehr, die Robustheit des Unternehmensnetzes zu testen.
Im Rahmen sogenannter Code-Reviews testen die Expert:innen alle im Unternehmen verwendeten Programme unter Sicherheitsgesichtspunkten. Ein Beispiel: Anwendungen, Web-Oberflächen oder Makros, die intern genutzt werden, sollten beispielsweise keine Passwörter oder Personendaten im Klartext übertragen. Denn die Gefahr ist groß, dass Mitarbeitende dieselben Anmeldedaten, die sie für ein internes Schulungs-Tool oder Fußball-Tippspiel verwenden, auch für ihren Zugang zum Mailkonto oder zur Firmen-Cloud nutzen. Schon hätten Hacker:innen damit Zugriff auf das Firmennetz. Aber auch Daten von Kund:innen dürfen in Deutschland nicht unverschlüsselt weiterverarbeitet und gespeichert werden, weil dies gegen die DSGVO verstößt.
Mit Sniffer-Programmen („Netzwerk-Schnüfflern”) lesen manche Kriminelle die Kommunikation im Firmennetz mit. Die Sicherheitsexpert:innen stellen auch dieses Szenario nach, sofern das zu testende Unternehmen solche aggressiven Tests genehmigt.
Per Portscanning analysieren die Expert:innen die einzelnen Datenkanäle (Ports) der Kommunikation mittels Internet-Protokoll (TCP/IP), um Informationen über die im Unternehmen verwendete Software zu sammeln und möglicherweise ungeschützte Ports für direkte Angriffe zu finden.
Mittels Session Hijacking, IP-Spoofing und Man-in-the-Middle-Angriffen kapern echte Kriminelle bestehende Internetverbindungen oder täuschen Mitarbeitende des Unternehmens darüber, mit wem sie im Internet kommunizieren. Expert:innen simulieren daher bei ihren Pentests auch solche Attacken und probieren aus, ob sie damit Erfolg haben. Hacker:inneninfiltrieren über das Internet gezielt Webanwendungen und Datenbanken des Unternehmens mit Schadcode, um Zugriff auf diese Systeme zu erlangen. Beispiele hierfür sind Format-String- und Buffer-Overflow-Attacken oder SQL-Injections. Mittels Software simulieren die Pentest-Expert:innen auch diese Angriffe und finden so gefährliche Lücken.
Getestet werden nicht nur die IT-Strukturen des Unternehmens selbst, sondern auch die Produkte des Unternehmens, soweit diese digitale Inhaltehaben oder beispielsweise eingebettete Steuerungen vorhanden sind. Für solche Tests können auch Digital Twins dieser Produkte genutzt werden.
Im ersten Schritt spüren die Sicherheitsexpert:innen mit diesen Werkzeugen aus der Praxis echter Hacker:innen nur die Einfallstore für Attacken auf. Erst in einem zweiten Schritt schleusen sie zu Testzwecken entsprechende Malware (Spyware, Ransomware) ein. Oft wird dieser zweite Schritt aber ausgelassen, weil die Sicherheitslücke im ersten Schritt bereits hinreichend erwiesen ist – und die Pentests keine Einfallstore für echte Hacker:innenschaffen sollen.
Ein verbreitetes Werkzeug von Hacker:innen sind außerdem sogenannte Exploits. Das sind im Internet oder Darknet verfügbare Codes, die Schwächen verbreiteter Programme wie Webbrowser oder Bürosoftware ausnutzen. Auch hier klären die Expert:innen vorher ab, ob solche Exploits tatsächlich zu Testzwecken installiertbeziehungsweiseverwendet werden sollen. Denn viele dieser Exploits sind noch gar nicht vollständig erforscht und könnten beispielsweise unbekannten Schadcode enthalten.
Das BSI warnt in seinem Pentest-Leitfaden: „Ist der Exploit unsicher programmiert, so kann er Schaden an der IT-Anwendung anrichten. Im einfachsten Fall kann ein Absturz die Folge sein, es können aber auch Speicherbereiche überschrieben werden, die für das Funktionieren der IT-Anwendung oder des gesamten IT-Systems erforderlich sind und damit die IT-Anwendung oder das gesamte IT-System unbrauchbar machen. Hier muss genau abgewogen werden, ob ein Exploit eingesetzt wird.“
Simulierte APTs für mehr Einblicke in Schwachstellen
Einige Hackingattackensind bereits in wenigen Sekunden ausgeführt: etwa Kryptowährung stehlen,Firmenkonten leeren oder Ransomware einspielen. Andere Hackingattackendauern hingegen Monate oder Jahre. Dazu gehören:
Unternehmensrechnern für Botnets kapern Schläfer-Malware einspielen, die erst zu einem festgesetzten Datum oder auf eine Aktivierung von außen hin ihre schädliche Arbeit aufnimmt
Den internen Mailverkehr dauerhaft mitlesen
Management-, Finanz- oder Produkt- und Forschungsdaten eines Unternehmens permanent abschöpfen
Solche langfristigen Attacken werden auch als „Advanced Persistent Threats” (kurz: APTs)) bezeichnet, was mit „fortgeschrittene, andauernde Bedrohung” übersetzt werden kann. Integraler Bestandteil von Pentests ist die Suche nach solchen Bedrohungen, die möglicherweise schon lange in den Tiefen des Unternehmensnetzwerks schlummern. Gefährliche Schnüffel-Software kann sich beispielsweise in Freeware verstecken, die Mitarbeitende mit lokalen Administrationsrechten auf ihren Systemen installiert haben. Aber auch digitale Steuerungen sowie programmierbare Sensoren und Aktoren, die mit dem Netzwerk direkt oder indirekt verbunden sind, werden auf Lücken und möglichen Schadcode untersucht. Ausländische Nachrichtendienste, die für ihre heimische Industrie Wirtschaftsspionage betreiben oder gezielt deutsche Regierungsbehörden ausspionieren, können ebenfalls hinter solchen APT-Attacken stecken. Pentest-Dienstleister kennen dokumentierte Fälle von APT-Attacken und suchen daher gezielt nach Datenspuren solcher Angriffe.
Phase 5: Abschlussanalyse
Nach dem Ende aller Einzeltests erfolgt die Abschlussanalyse. Der Auftraggeber erhält einen ausführlichen Bericht, in dem der Pentest-Anbieter alle entdeckten Lücken aufführt. Auch Gefährdungen werden hier genannt, die die Expert:innenbereits während der Testphase beseitigthaben. Denn nur so können mögliche strukturelle Schwächen identifiziert werden.
Gab es beispielsweise Probleme dabei, unternehmensweit Updates auf Arbeitsplatzrechner auszuspielen, so hat der Pentest diesen Fehler zwar beseitigt. Er könnte beim nächsten Update aber erneut auftreten. In einem solchen Fall ist die logische Konsequenz also, dass die IT Updates zukünftig kontrollieren und für alle vorhandenen Computer dokumentieren muss.
Social-Engineering-Attacken liefern zusätzlich wichtige Erkenntnisse: Haben Mitarbeitende erkannt, dass sie ausgeforscht wurden und haben sie diese Kontaktaufnehmen gemeldet? Hat die Unternehmens-IT, sofern sie von den Pentests nichts wusste, diese trotzdem bemerkt und ihre Schutzmaßnahmen entsprechend verstärkt?
Ein Pentest ist immer ein Test des ganzen Unternehmens, bestehend aus den dort tätigen Menschen und der genutzten Hard- und Software. Die Bereiche mit dem geringsten Sicherheitslevel bestimmen dabei die Verwundbarkeit des Gesamtsystems. Ein Pentest ist außerdem immer nur eine Momentaufnahme. Sie sollten ihn daher in regelmäßigen Abständen wiederholen.
