Advanced Persistent Threat

Bedeutet übersetzt „hochentwickelte, anhaltende Bedrohung“ und bezeichnet besonders aufwendige Cyberangriffe. Advanced Persistent Threats erfolgen zumeist gezielt und können sehr große Schäden verursachen. Zum einen durch die Zerstörung von Daten (Sabotage). Zum anderen durch das Ausspionieren besonders wertvoller Daten wie z. B. Staatsgeheimnisse oder Produktinnovationen (Spionage).

Was bedeutet der Begriff Advanced Persistent Threat im Detail?

Bei einem Advanced Persistent Threat investieren die Cyberkriminellen sehr viel Zeit, Aufwand und Know-how, um gezielt ein Unternehmen anzugreifen. Durch diese Zielstrebigkeit unterscheiden sich Advanced Persistent Threats von vielen anderen Cyberrisiken. Typische Angriffsziele eines Advanced Persistent Threat sind u. a.:

• Behörden
• Forschungseinrichtungen
• Kritische Infrastruktur eines Landes
• Groß- und Mittelstandsunternehmen, insbes. der Hochtechnologiebranche
• Besonders innovative Unternehmen, z. B. die „Hidden Champions“
• Militärische Einrichtungen, Rüstungsindustrie sowie deren Partner- und Zulieferunternehmen

Advanced Persistent Threats zeichnen sich durch langfristiges, geplantes Vorgehen der Cyberkriminellen aus:

• Am Anfang steht ein erster Zugang zum Netzwerk. Dann kann vermeintlich ziellos verbreitete Malware eingesetzt werden, z. B. Trojanische Pferde in einem E-Mail-Anhang.
• Danach versuchen die Cyberkriminellen, ihren Zugriff auf das Netzwerk zu erhalten und auszuweiten.
• Sie setzen dabei situationsbezogen unterschiedliche Techniken ein, z. B.: Schadsoftware (Malware) für spezifische Aufgaben, Einrichtung strategisch wichtiger Backdoors, Aufbau und Ausweitung einer verborgenen IT-Infrastruktur, Echtzeitreaktionen auf Sicherheitsvorkehrungen des angegriffenen Systems

Typischerweise wollen Cyberkriminelle bei einem Advanced Persistent Threat möglichst lange unentdeckt bleiben. So können sie beständig aktuelle Daten ausspionieren oder zu einem späteren Zeitpunkt den größtmöglichen Schaden verursachen. Advanced Persistent Threats bestehen oft sehr lange, bevor sie entdeckt werden – teilweise ist von ein Median von über 400 Tagen die Rede. Die meisten Advanced Persistent Threats werden durch Außenstehende oder durch Zufall entdeckt.

Wo begegnen mir Advanced Persistent Threats im Arbeitsalltag?

Potenziell begegnen Ihnen Advanced Persistent Threats überall und nirgends. Überall in dem Sinne, dass Cyberkriminelle an sehr vielen Angriffspunkten ansetzen können, um Zugang zu Ihrer Unternehmens-IT zu erlangen. U. a. durch:

• Malware in E-Mail-Anhängen (z. B.Trojanische Pferde, Keylogger)
• Phishing, Spear Phishing
• Werbung über kompromittierte Webanwendungen
• Social Engineering
• Malware auf Wechseldatenträgern wie z. B. USB-Sticks oder per USB angetriebenen Werbegeschenken
• Kurzzeitig verlassene, ungeschützte Arbeitsplätze
• CEO-Fraud
• Malware auf der „Schatten-IT“ (Geräte, Dienste und Programme, die sowohl privat als auch im Zusammenhang mit dem Unternehmen genutzt werden. Diese werden bei vielen Sicherheitsvorkehrungen nicht bedacht, bleiben sozusagen im Schatten.)

Nirgends in dem Sinne, dass ein Advanced Persistent Threat für einen normalen Anwender üblicherweise nicht bemerkbar ist. Darauf legen die Cyberkriminellen viel Wert, um eine aus ihrer Sicht vorzeitig Entdeckung zu vermeiden.

Was kann ich tun, um mich vor Advanced Persistent Threats zu schützen?

Prävention

Grundsätzlich: Gehen Sie möglichst vielstufig vor. Bei einem Advanced Persistent Threat investieren Cyberkriminelle viel Zeit, um Sicherheitslücken Ihres Unternehmensnetzwerkes zu identifizieren und auszunutzen. Minimieren Sie Ihre Angriffspunkte, indem Sie Ihre Cybersicherheit maximieren, u. a. durch:

• Technische Maßnahmen wie z. B. Firewalls, Virenscanner, Spywarescanner, verschlüsseltes WLAN, Zwei-Faktor-Authentisierung
• Sicherheitshygienische Maßnahmen: Betriebssysteme, Software und insbesondere Virenscanner per Updates immer auf dem aktuellsten Stand halten. Häufige gründliche Prüfungen vornehmen.
• Mitarbeiterbezogene Maßnahmen: Schulungen, Sensibilisierungen, Aufklärungskampagnen. Ihre Mitarbeitenden sind ein wichtiger Schutzfaktor für Ihr Unternehmen, ganz besonders hinsichtlich der zahlreichen per E-Mail verbreiteten Malware.
• Organisatorisch-technische Maßnahmen: getrennte Netzwerke für unterschiedliche Bereiche, abgestufte Zugriffsrechte, schnelle Löschung aller Benutzerkonten ehemaliger Mitarbeitender
• Administrator-Maßnahmen: Überwachung des ausgehenden Datenverkehrs auf Auffälligkeiten, Überwachung der Logins auf Auffälligkeiten (z. B. ungewöhnlich viele Logins in der Nacht), White-Listing von Programmen, besondere Aufmerksamkeit bei großen Datenmengen an ungewöhnlichen Speicherorten und ungewöhnlichen Kompressionsformaten

Wenn Sie einen Advanced Persistent Threat entdecken

Bewahren Sie Ruhe. Sorgen Sie vor allem dafür, dass die Cyberkriminellen nicht wissen, dass sie entdeckt wurden. Verändern Sie zunächst nichts an Ihrer IT-Infrastruktur, bereinigen Sie kein System – nichts.

• Reagieren Sie außerhalb Ihrer IT-Infrastruktur. Rufen Sie z. B. per Handy Ihre IT-Abteilung oder Ihren IT-Dienstleister an, damit schnellstmöglich mit dem Analyse-Teil der Incident Response begonnen werden kann.
• ACHTUNG: Bei einem Advanced Persistent Threat überwachen Cyberkriminelle wahrscheinlich Ihr gesamtes Netzwerk, u. a. E-Mails, VoIP-Anrufe und Kalender. Geben Sie hier keine Hinweise auf die Entdeckung des Advanced Persistent Threats.
• Binden Sie schnellstmöglich externe IT-Sicherheitsexperten wie z. B. Perseus ein, die Routine in der Incident Response auf einen Advanced Persistent Threat haben.
• Informieren Sie auch zuständige Stellen. Dort wird Ihr Cybervorfall vertraulich behandelt. Die Information ist zum einen wichtig, um Sie und Ihr Unternehmen besser zu schützen.Zum anderen ist möglich, dass Ihr Unternehmen nicht das Endziel des Advanced Persistent Threats ist, aber einen wichtigen Beitrag zu den Ermittlungen leistet.

Stellen, an die Sie sich wenden können sind u. a.:

• Das Computer Emergency Response Team des Bundes (CERT-Bund) des Bundesamt für Sicherheit in der Informationstechnik (BSI)
• Ihr zuständiges Landesamt für Verfassungsschutz (LfV)
• Die Polizei, genauer: die Ansprechstellen für Cyberkriminalität der Polizeien der Länder und des Bundes für die Wirtschaft.

Interessante Hintergrundinformationen

Einen guten, vertiefenden Einstieg in diese Thematik bietet das Empfehlungspapier „Schützen Sie sich vor professionellen gezielten Cyber-Angriffen“ des Bundesamt für Sicherheit in der Informationstechnik (BSI).

Das Arbeitsdokument „Erste Hilfe bei einem APT-Angriff“ des BSI, gibt erste Hinweise auf die richtige Reaktion nach Entdeckung eines Advanced Persistent Threat. Da dieses Dokument öffentlich zugänglich ist, begegnet Ihnen an vielen Stellen der Hinweis „Inhalt entfernt“ – denn diese Informationen wären auch für Cyberkriminellen sehr wertvoll.