Lateral Movement
Lateral Movement bezeichnet das schrittweise Weiterwandern eines Angreifers von einem geknackten Computer zum nächsten innerhalb desselben Firmennetzes. Ziel ist es, von einem unwichtigen Einstiegspunkt aus die wirklich wertvollen Systeme zu erreichen.
Wer in ein Firmennetz einbricht, landet fast nie sofort am interessanten Ort. Der erste geknackte Rechner gehört meist einem Mitarbeiter aus der Buchhaltung oder dem Vertrieb. Dort liegen keine Kundendatenbanken und keine Passwortlisten. Also arbeitet sich der Angreifer von diesem Rechner aus weiter zum nächsten und von dort zum übernächsten. Genau diese Kette von Zwischenschritten nennt man Lateral Movement. Das englische Wort „lateral“ heißt seitwärts: Die Bewegung geht nicht tiefer in einen einzelnen Computer hinein, sondern quer durch das Netz.
Warum ein einzelner geknackter Laptop noch kein Schaden ist
Für Verteidiger ist Lateral Movement die entscheidende Phase eines Angriffs. Der erste Einbruch lässt sich kaum vollständig verhindern. Es genügt eine gefälschte E-Mail, ein unsicheres Passwort oder eine veraltete Software. Ob daraus ein Vorfall mit Millionenschaden wird, entscheidet sich danach. Bleibt der Angreifer auf einem Laptop hängen, ist der Schaden überschaubar.
Fast alle großen Erpressungsangriffe mit Verschlüsselungssoftware folgen diesem Muster. Die Täter breiten sich zuerst tagelang oder wochenlang im Netz aus. Sie suchen dabei besonders die zentralen Verwaltungsserver, über die alle Benutzerkonten und Passwörter gesteuert werden. Erst wenn sie diese Kontrolle haben, verschlüsseln sie alle Rechner gleichzeitig. Dadurch fehlen dem Opfer auch die Sicherungskopien, und der Druck zu zahlen steigt.
Deshalb messen Sicherheitsteams die sogenannte Breakout-Zeit. Sie beschreibt, wie lange es dauert, bis ein Angreifer vom ersten Rechner zum zweiten springt. Bei geübten Gruppen liegt sie oft unter einer Stunde. Wer erst nach Tagen reagiert, kommt regelmäßig zu spät.
Wie sich Angreifer von Rechner zu Rechner weiterreichen
Der wichtigste Rohstoff für Lateral Movement sind Zugangsdaten. Auf einem übernommenen Rechner sucht der Angreifer nach Benutzernamen und Passwörtern, die dort zwischengespeichert sind. Häufig findet er auch Passwörter von Administratoren, die sich kurz zuvor an diesem Gerät angemeldet haben. Mit diesen Daten meldet er sich dann ganz normal am nächsten Rechner an. Technisch sieht das für das Netz wie ein legitimer Mitarbeiter aus.
Besonders beliebt sind dabei Werkzeuge, die sowieso auf jedem Firmenrechner vorhanden sind. Dazu gehören Fernwartungsprogramme, Kommandozeilen und Verwaltungsdienste der Betriebssysteme. Man spricht hier auch von „living off the land“, also vom Leben von dem, was da ist. Der Vorteil für den Angreifer: Er muss keine verdächtige eigene Software installieren, die ein Virenscanner erkennen könnte.
Eine häufige Verwechslung lohnt die Abgrenzung. Lateral Movement ist nicht dasselbe wie Rechteausweitung. Bei der Rechteausweitung verschafft sich ein Angreifer auf ein und demselben Rechner mehr Befugnisse. Bei Lateral Movement wechselt er das Gerät. In echten Angriffen wechseln sich beide Schritte ständig ab: mehr Rechte, nächster Rechner, wieder mehr Rechte.
Netzsegmentierung, Zero Trust und Meldungen über Wochen im Netz
In Nachrichten über Cyberangriffe erkennt man Lateral Movement an typischen Formulierungen. Wenn es heißt, die Angreifer seien „seit mehreren Wochen unentdeckt im Netz“ gewesen, ging es genau darum. Auch Sätze wie „die Täter erlangten Administratorrechte für die gesamte Domäne“ beschreiben das Ergebnis dieser Phase. Betroffen waren in den letzten Jahren Krankenhäuser, Stadtverwaltungen und große Industriekonzerne.
Als Gegenmittel verkaufen Anbieter vor allem zwei Ideen. Die erste heißt Netzsegmentierung: Das Netz wird in abgeschottete Bereiche geteilt, die nur über kontrollierte Übergänge verbunden sind. Ein Rechner in der Buchhaltung darf dann gar nicht auf den Produktionsserver zugreifen. Die zweite Idee heißt Zero Trust. Dabei gilt kein Gerät automatisch als vertrauenswürdig, nur weil es schon im internen Netz steht. Jeder Zugriff muss sich neu ausweisen.
Hinzu kommen Überwachungssysteme, die Anmeldemuster auswerten. Wenn ein Buchhaltungskonto plötzlich nachts auf zwanzig verschiedene Server zugreift, ist das auffällig. Genau solche Muster suchen heute auch KI-gestützte Erkennungssysteme, weil Menschen die Datenmenge nicht mehr überblicken. Für dich privat gilt das Prinzip im Kleinen: Ein einheitliches Passwort für alle Dienste ist die perfekte Startrampe für Lateral Movement.