FachgrundlageSprint 4fachsystematisch⏱ 5 h
Welche Schutzziele es gibt, wie die Angriffe aus dem Lehrplan funktionieren und wie man sie abwehrt, wie Täter vorgehen, wo Warnungen stehen und wie man sie mit CVSS liest, und was erlaubt ist, wenn man selbst testet.
Sprint 4 · InputBrückenstufe 3
Eure Story: Ihr erstellt ein Lagebild, versteht die Angriffe auf den Hub und prüft eure Abwehr im isolierten Labornetz.
Input für eure Storycard. Holt euch die Karte, die eure Storycard gerade braucht. Grundlage für AB 1 bis 6.
Du liest die Abschnitte, die du für Lagebild, Angriffsbaum und Labortest brauchst, und prüfst dich am Ende mit drei Fragen.
0 von 6 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Ein Angriff ist erst dann verstanden, wenn du sagen kannst, welches Schutzziel er trifft und an welcher Stelle der Kette du ihn brichst.
Wozu diese Lektion?
Im Auftrag arbeitest du am Fall der Halle. Hier steht das Gerüst, das über den Fall hinaus trägt: Begriffe, Regeln und Zusammenhänge, so wie sie in jedem Betrieb und in der Technikerprüfung gelten. Lies sie, wenn du sie brauchst, und komm zurück, wenn du unsicher bist.
Was der Lehrplan in Teil 4 verlangt
| Im Lehrplan steht | Hier in Teil 4 |
|---|---|
| halten sich aktuell über Entwicklungen der Bedrohungen und Angriffsszenarien | ganzer Teil, Lagebild in Lernangebot 10 |
| Angriffsszenarien und Tools, z. B. Portscan, Phishing, Visual Hacking, Keylogger, Cross-Site-Scripting, Man-in-the-middle-Attacken, DoS-Attacken und Botnetze, Ransomware | Fachgrundlage, Lernangebot 11, Portscan in Lernangebot 12 |
| Recherchieren und Analysieren von aktuellen Vulnerabilitäten (z. B. aus CERT, Metasploit, Security-Boards …) | Fachgrundlage, Lernangebot 10, Abgleich in Lernangebot 12 |
| Abwehr passiver und aktiver Angriffe | Fachgrundlage, Lernangebote 11 und 12 |
| Durchführung von Penetrationstests | Lernangebot 12, nur im isolierten Labornetz |
| Vorgehensweisen der Cyber-Kriminalität | Fachgrundlage, Angriffskette in Lernangebot 11 |
| Sicherheitsanforderungen an Authentizität, Vertraulichkeiten, Verbindlichkeit, Integrität, Verfügbarkeit | Fachgrundlage, in jeder Aufgabe als Schutzziel |
Schutzziele
Jeder Angriff trifft mindestens ein Schutzziel. Die drei Grundwerte der Informationssicherheit sind Vertraulichkeit, Integrität und Verfügbarkeit (BSI-Standard 200-2, ISO/IEC 27001). Der Lehrplan nennt zwei weitere, die aus ihnen folgen und für die Abwehr wichtig sind.
| Schutzziel | heißt | Beispiel im Hub |
|---|---|---|
| Vertraulichkeit | nur Berechtigte können Daten lesen | Fahrerdaten, Zollunterlagen, Zugangsdaten der Scanner |
| Integrität | Daten sind vollständig und unverfälscht, Änderungen fallen auf | Gewicht einer Sendung, Temperaturprotokoll der Pharmafracht |
| Verfügbarkeit | Daten und Systeme sind da, wenn sie gebraucht werden | Frachtsystem in der Abendspitze |
| Authentizität | ein Partner ist der, der er vorgibt zu sein; eine Nachricht kommt wirklich von ihm | der Scanner spricht mit dem echten Frachtserver |
| Verbindlichkeit | eine Handlung lässt sich einer Person oder einem Gerät nachweisbar zuordnen und nicht abstreiten | wer hat die Sendung als „bekannter Versender“ freigegeben? |
Passive und aktive Angriffe
Ein passiver Angriff beobachtet nur: Er liest mit, schneidet Verkehr mit, schaut auf Bildschirme. Am System ändert sich nichts, deshalb fällt er kaum auf. Abwehr heißt hier vor allem: verschlüsseln und nichts zeigen, was nicht gezeigt werden muss.
Ein aktiver Angriff greift ein: Er schickt Pakete, ändert Daten, schleust Software ein, legt Dienste lahm. Er hinterlässt Spuren. Abwehr heißt hier: verhindern, erkennen und reagieren.
Viele Angriffe sind beides. Ein Man-in-the-middle liest zuerst passiv mit und ändert dann aktiv Daten. Ein Keylogger schreibt passiv mit, kommt aber durch einen aktiven Angriff auf den Rechner.
Angriffsszenarien und Tools aus dem Lehrplan
| Angriff | So funktioniert er | passiv oder aktiv | Schutzziel | Abwehr (Auswahl) |
|---|---|---|---|---|
| Portscan | Ein Werkzeug fragt viele Ports eines Systems ab und schließt aus den Antworten, welche Dienste laufen. Oft die Erkundung vor dem eigentlichen Angriff. | aktiv (Erkundung) | Vertraulichkeit | nur nötige Dienste offen, Firewall, Angriffserkennung meldet Scans |
| Phishing | Eine gefälschte Mail, Nachricht oder Webseite bringt Menschen dazu, Zugangsdaten preiszugeben oder einen Anhang zu öffnen. Gezielt auf eine Person: Spear-Phishing. | aktiv | Vertraulichkeit, Authentizität | Mailfilter, Schulung und Meldeweg, zweiter Faktor, Anhänge prüfen |
| Visual Hacking | Jemand liest Bildschirme, Zettel oder Tastatureingaben einfach mit, am Arbeitsplatz, in der Bahn, über eine Kamera. | passiv | Vertraulichkeit | Blickschutzfilter, Bildschirmsperre, Arbeitsplätze abgewandt, keine Zettel |
| Keylogger | Software oder ein Zwischenstecker an der Tastatur schreibt jede Eingabe mit und schickt sie weiter. | passiv beim Mitschreiben, eingeschleust durch einen aktiven Angriff | Vertraulichkeit, Authentizität | keine Adminrechte, nur freigegebene Programme, USB-Ports sichern, zweiter Faktor |
| Cross-Site-Scripting | Eine Webanwendung übernimmt Eingaben ungefiltert in ihre Seiten. Der Angreifer bringt so eigenen Skriptcode in den Browser anderer Besucher. | aktiv | Vertraulichkeit, Integrität | Eingaben prüfen, Ausgaben kodieren, Content Security Policy, Updates |
| Man-in-the-middle | Der Angreifer schiebt sich zwischen zwei Partner, liest mit und kann Daten ändern, etwa über gefälschte ARP-Antworten oder einen falschen Funkzugang. | passiv beim Mitlesen, aktiv beim Ändern | Vertraulichkeit, Integrität, Authentizität | TLS mit geprüftem Zertifikat, Schutz im Switch gegen ARP-Fälschung, Anmeldung am Funknetz je Gerät |
| DoS und Botnetze | Ein Dienst wird mit Anfragen überlastet, bis er ausfällt. Kommen die Anfragen von vielen gekaperten Geräten (Botnetz), heißt es DDoS. | aktiv | Verfügbarkeit | Schutzdienst beim Provider, Begrenzung der Anfragen, Redundanz, Notfallplan |
| Ransomware | Schadsoftware verschlüsselt Daten und fordert Lösegeld. Heute oft doppelte Erpressung: erst Daten abziehen, dann verschlüsseln, dann mit Veröffentlichung drohen. | aktiv | Verfügbarkeit, Vertraulichkeit, Integrität | Sicherung offline und außer Haus, Rücksicherung üben, Netz in Zonen, Updates, Angriffserkennung |
Die Tabelle ist ein Gerüst. Wie ein Angriff im Hub aussähe und welche Abwehr dort passt, arbeitest du in Lernangebot 11 aus.
Vorgehensweisen der Cyber-Kriminalität
Erpressungsangriffe folgen meist derselben Kette. Wer sie kennt, weiß, wo die Abwehr ansetzen kann: Jede Stufe ist eine Chance, den Angreifer aufzuhalten oder zu bemerken.
Cyber-Kriminalität ist arbeitsteilig organisiert. Eine Gruppe verschafft sich Zugänge und verkauft sie weiter, eine andere stellt die Erpressungssoftware als Dienst bereit (Ransomware as a Service), eine dritte führt den Angriff aus und verhandelt. Bezahlt wird mit Kryptowährung. Für den Hub heißt das: Ein Angreifer muss HLG nicht kennen, um HLG anzugreifen. Er kauft einen Zugang, der gerade zu haben ist.
Die meisten Angriffe beginnen nicht mit raffinierter Technik, sondern mit Menschen (Phishing), mit gestohlenen Zugangsdaten oder mit einer bekannten Schwachstelle, für die es längst ein Update gibt.
Wo Warnungen stehen: Quellen für das Lagebild
| Quelle | Was du dort findest |
|---|---|
| CERT-Bund (BSI) | Warn- und Informationsdienst mit Sicherheitshinweisen zu Produkten, mit CVSS-Bewertung; Abo per Mail möglich |
| CVE-Liste | eindeutige Kennung je bekannter Schwachstelle, Form CVE-Jahr-Nummer; sorgt dafür, dass alle über dieselbe Lücke reden |
| NVD (US-Schwachstellendatenbank) | CVE-Einträge mit CVSS-Vektor, betroffenen Versionen und Verweisen |
| Hinweise der Hersteller | betroffene Versionen, Update, Umgehung; oft am genauesten |
| Liste der bekannt ausgenutzten Schwachstellen (KEV, CISA) | welche Lücken Angreifer nachweislich schon ausnutzen |
| Security-Boards und Mailinglisten | frühe Hinweise und Diskussionen von Fachleuten, nicht immer geprüft |
| Metasploit | Rahmenwerk für Penetrationstests mit Modulen zu bekannten Schwachstellen. Für das Lagebild zählt nur die Information, ob es zu einer Lücke ein fertiges Modul gibt: Dann ist sie leicht auszunutzen und dringender. |
Ein Lagebild entsteht nicht aus einer Quelle. Gute Praxis: die Hinweise der Hersteller der eigenen Systeme und CERT-Bund abonnieren, die Liste der ausgenutzten Schwachstellen wöchentlich prüfen, Security-Boards nur als Hinweis nehmen und gegen eine zweite Quelle prüfen.
CVSS lesen
Das Common Vulnerability Scoring System (CVSS, Version 3.1, betreut von FIRST) beschreibt eine Schwachstelle mit einem Vektor aus kurzen Metriken. Aus dem Vektor folgt nach einer festen Rechenvorschrift der Basiswert von 0 bis 10. Den Basiswert rechnest du nicht selbst, du liest ihn in der Meldung ab oder lässt ihn vom Rechner auf der Seite von FIRST bestimmen. Selbst lesen musst du den Vektor.
| Metrik im Vektor | Frage | Werte und ihre Bedeutung |
|---|---|---|
| AV (Attack Vector) | Von wo aus geht der Angriff? | N Netzwerk, auch aus dem Internet · A benachbartes Netz, gleiches Segment oder Funknetz · L lokal am Gerät angemeldet · P physischer Zugriff |
| AC (Attack Complexity) | Braucht es besondere Umstände? | L niedrig, geht jederzeit · H hoch, nur unter Bedingungen |
| PR (Privileges Required) | Muss der Angreifer schon Rechte haben? | N keine · L einfache Rechte · H hohe Rechte |
| UI (User Interaction) | Muss ein Mensch mitwirken? | N nein · R ja, etwa Anhang öffnen oder Link anklicken |
| S (Scope) | Wirkt der Angriff über das Ziel hinaus? | U unverändert · C verändert, andere Komponenten betroffen |
| C, I, A | Wie stark leiden Vertraulichkeit, Integrität, Verfügbarkeit? | H hoch · L gering · N kein |
| Basiswert | Einstufung nach CVSS 3.1 |
|---|---|
| 0,0 | keine |
| 0,1 bis 3,9 | niedrig |
| 4,0 bis 6,9 | mittel |
| 7,0 bis 8,9 | hoch |
| 9,0 bis 10,0 | kritisch |
Beispiel: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H heißt: aus dem Internet, jederzeit, ohne Rechte, ohne Mitwirkung, alle drei Schutzziele voll getroffen. Basiswert 9,8, kritisch.
Wichtig: Der Basiswert sagt, wie schwer eine Lücke allgemein ist, nicht, wie dringend sie für den Hub ist. Ob ein Angreifer an das System herankommt, ob es eine Umgehung gibt und ob die Lücke schon ausgenutzt wird, prüfst du selbst. Seit November 2023 gibt es CVSS 4.0 mit feineren Metriken; viele Meldungen nennen noch 3.1, beide werden gleich gelesen.
Passwortraum und Rateangriff
Wer ein Passwort errät, probiert. Wie lange das dauert, hängt von der Zahl der möglichen Passwörter ab, dem Passwortraum N, und von der Rate R, mit der probiert wird. Bei einem Zeichenvorrat Z und der Länge L gilt:
N = ZL
tmax = NR tmittel = N2 · R
Für eine Passphrase aus zufällig gewählten Wörtern ist Z die Zahl der Wörter in der Liste und L die Zahl der Wörter. Die Rechnung gilt nur für zufällig gewählte Passwörter. Menschen wählen Muster, Namen und Jahreszahlen; die probiert ein Angreifer zuerst, und dann geht es viel schneller.
Die Rate entscheidet mit. Online, gegen eine Anmeldemaske mit Drosselung und Sperre, schafft ein Angreifer wenige Versuche. Offline, wenn er die gespeicherten Hashwerte der Passwörter erbeutet hat, probiert er mit Grafikkarten Milliarden je Sekunde.
Penetrationstest: Phasen, Auftrag, Freigabe
Ein Penetrationstest ist ein beauftragter, geplanter Angriff auf die eigenen Systeme, um Schwachstellen zu finden, bevor andere sie finden. Das BSI beschreibt ihn in fünf Phasen:
| Phase | Was passiert | Ergebnis |
|---|---|---|
| 1 Vorbereitung | Auftrag, Ziele, Umfang, Zeitraum, Methoden, Ansprechpartner, Abbruchkriterien klären; schriftliche Freigabe aller Berechtigten | unterschriebene Freigabe |
| 2 Informationen sammeln | erreichbare Systeme und Dienste erkunden, etwa mit einem Portscan; Dienstversionen feststellen | Liste der Systeme, Ports, Dienste, Versionen |
| 3 Bewerten | gefundene Versionen mit Schwachstellendatenbanken abgleichen, Befunde nach Schwere und Bedeutung einstufen | Befundliste mit Bewertung |
| 4 Eindringversuche | ausgewählte Schwachstellen gezielt prüfen, nur im freigegebenen Umfang; in diesem Kurs nur Nachweis, keine Ausnutzung | bestätigte oder widerlegte Befunde |
| 5 Abschluss | Bericht mit Zusammenfassung für die Leitung, Befunden, Abwehrvorschlägen, Nachtest nach der Behebung | Testbericht |
Ohne schriftliche Freigabe gibt es keinen Test. Freigeben muss, wer über die Systeme verfügen darf. Im Hub ist das nicht nur HLG: Netzanschluss und Teile der Technik gehören dem Frachtzentrum, die Röntgenanlage wartet der Hersteller. Die Freigabe nennt Ziel, Umfang (welche Systeme, welche Adressen), Zeitraum, erlaubte Methoden, Ansprechpartner, Abbruchkriterien und den Umgang mit gefundenen Daten.
Im Kurs testet ihr nur im isolierten Labornetz eures Teams, gegen euer eigenes, absichtlich verwundbares Zielsystem, mit der Freigabe aus Lernangebot 12. Ihr weist Schwachstellen nach, ihr nutzt sie nicht aus.
Rechtslage: §202a bis §202c StGB
| Vorschrift | Was bestraft wird | Bezug im Kurs |
|---|---|---|
| §202a StGB Ausspähen von Daten | sich oder anderen unter Überwindung einer Zugangssicherung Zugang zu Daten verschaffen, die nicht für einen bestimmt und besonders gesichert sind | Eindringen in ein fremdes System, auch ohne Schaden |
| §202b StGB Abfangen von Daten | Daten aus einer nicht öffentlichen Übermittlung mit technischen Mitteln abfangen | Mitschneiden fremder Verbindungen, Man-in-the-middle |
| §202c StGB Vorbereiten | Passwörter, Zugangscodes oder Programme, deren Zweck eine Tat nach §202a oder §202b ist, herstellen, beschaffen, verbreiten, um eine solche Tat vorzubereiten | Werkzeuge mit dem Ziel eines Angriffs auf Fremde; im Labor mit Freigabe gegen eigene Systeme fehlt dieser Zweck |
| §202d StGB Datenhehlerei | rechtswidrig erlangte Daten kaufen, weitergeben oder verbreiten | gestohlene Zugangsdaten aus Foren |
| §303a und §303b StGB | Daten rechtswidrig löschen oder verändern; Datenverarbeitung von wesentlicher Bedeutung erheblich stören (Computersabotage) | Ransomware, Überlastangriffe |
Strafbar ist das Eindringen in fremde Systeme schon ohne Schaden, und auch der Versuch, Werkzeuge mit diesem Zweck zu beschaffen. Wer im Auftrag testet, braucht die Einwilligung des Berechtigten, und zwar vorher und schriftlich. Was nicht in der Freigabe steht, ist nicht erlaubt, auch wenn es „nur ein Scan“ ist. Eine Reform, die Sicherheitsforschung rechtlich besser absichert, wird diskutiert; bis sie gilt, gelten diese Regeln unverändert.
So steigt der Anspruch in Teil 4
Stufe I
Abfolge
Warnmeldungen nach einem festen Schema auslesen, Angriffsarten in die Tabelle einordnen, die Freigabe nach Vorlage ausfüllen.
Stufe II
Algorithmus
CVSS-Vektoren lesen, Warnungen auf den Hub beziehen, Passwortraum und Ausfallkosten rechnen, Portscan und Abgleich im Labor nach Plan durchführen.
Stufe III
Heuristik
ein Lagebild verdichten, einen Angriffsbaum für den Hub bauen, im offenen Fall der Handscanner unter Zeitdruck Sofortmaßnahmen begründen.