Unsichtbar für Scanner. Schwerer anzugreifen.
Wie Cyberkriminelle potenzielle Ziele finden und wie Bedrohungsinformationen helfen, Ihre Infrastruktur ihrem Blick zu entziehen
Bevor Cyberkriminelle einen Angriff starten, untersuchen sie häufig, welche Systeme und Dienste über das Internet erreichbar sind. Dieser als Aufklärung bezeichnete Prozess hilft ihnen, potenzielle Einstiegspunkte zu identifizieren.
Tools wie Shodan scannen kontinuierlich öffentlich zugängliche Systeme und sammeln Informationen über vernetzte Geräte, exponierte Dienste und Software. Diese Technologien dienen auch legitimen Sicherheitszwecken. Fachleute für Cybersicherheit und CERT-Organisationen nutzen sie, um exponierte Infrastruktur und potenzielle Schwachstellen zu identifizieren.
Leider können Angreifer dieselben Informationen missbrauchen. Statt wahllos nach verwundbaren Organisationen zu suchen, können Cyberkriminelle Systeme aufspüren, die bestimmte Technologien einsetzen, und untersuchen, ob sich bekannte Schwachstellen ausnutzen lassen.
Je leichter sich Ihre Infrastruktur finden und untersuchen lässt, desto mehr Informationen können potenzielle Angreifer darüber sammeln.
Vernetzt für mehr Komfort. Risiken ausgesetzt.
Bei den jüngsten Cyberangriffen auf Kühlanlagen von Supermärkten führte der digitale Fernzugriff zu verdorbenen Waren und leeren Regalen. Die Angriffe verdeutlichen zugleich eine zentrale Herausforderung der Cybersicherheit: Systeme, die sich online entdecken lassen, können zu potenziellen Angriffszielen werden.
In seinem Bericht vom 3. November 2026 ging VRT NWS der Frage nach, warum so viele betriebliche Anlagen und Geräte mit dem Internet verbunden sind. Geert Baudewijns, CEO von Secutec, nannte eine einfache Erklärung: die unkomplizierte Nutzung.
Dank Fernzugriff können Lieferanten Geräte aktualisieren, ohne an jeden Standort einen Techniker schicken zu müssen. Vernetzte Systeme können die Verantwortlichen außerdem warnen, wenn etwas schiefläuft. Eine sofortige Warnung vor steigenden Temperaturen in einem Gefriergerät kann dem Personal helfen, einzugreifen, bevor der Schaden sichtbar wird.
Diese Vorteile hängen davon ab, wie der Zugriff abgesichert ist. Eine Wartungsschnittstelle, die direkt über das Internet erreichbar ist, bietet auch Außenstehenden eine Verbindungsmöglichkeit. Nutzt ein Lieferant veraltete Software oder ein schlecht geschütztes Konto, kann dies einen weiteren Zugangsweg zu Systemen eröffnen, die den Geschäftsbetrieb aufrechterhalten.
Wie Cyberkriminelle mit Scandaten Angriffsziele finden
In dem Artikel führte Baudewijns Shodan als Beispiel dafür an, wie sich vernetzte Geräte aufspüren lassen. Internetscanner fragen öffentlich erreichbare Dienste ab und erfassen Informationen aus deren Antworten, etwa Produktnamen, Softwareversionen und Verwaltungsschnittstellen. Suchmaschinen können diese Informationen anschließend durchsuchbar machen, ähnlich wie herkömmliche Suchmaschinen Webinhalte indexieren.
Für Cyberkriminelle können diese Informationen die Suche nach potenziellen Zielen erheblich eingrenzen. Wird eine neue Schwachstelle bekannt, können Angreifer gezielt nach der betreffenden Technologie suchen, statt jede Organisation einzeln zu untersuchen. Besonders dringlich ist dies, wenn eine Zero-Day-Schwachstelle öffentlich bekannt wird, bevor ein Patch verfügbar ist.
Ein Suchergebnis beweist nicht, dass ein System verwundbar ist, liefert aber einen Ausgangspunkt für weitere Untersuchungen. Darüber hinaus kann KI das Scannen und die Suche nach potenziellen Schwachstellen beschleunigen. Für Sicherheitsteams unterstreicht dies, wie wichtig es ist, unnötige Exposition zu begrenzen, bevor ein Angreifer beginnt, Systeme genauer zu untersuchen.
Aufklärung mit Bedrohungsinformationen stoppen
Ein System, das Fernwartung benötigt, braucht nicht zwangsläufig eine öffentliche Verwaltungsschnittstelle. In seiner Sicherheitswarnung zu Kühlanlagen empfiehlt CERT-FR, die direkte Erreichbarkeit über das Internet zu unterbinden und den Fernzugriff über ein sicheres VPN oder ein geschütztes Netzwerk wiederherzustellen.
Doch was ist mit Systemen und Diensten, die erreichbar bleiben müssen? Hier können Informationen über Cyberbedrohungen, auch Cyber Threat Intelligence (CTI) genannt, eine zusätzliche Schutzebene bieten.
Indem CTI Feeds IP-Adressen identifizieren, die mit bekannten Internetscannern und bösartiger Infrastruktur in Verbindung stehen, ermöglichen sie unterstützten Firewalls, Verbindungen aus diesen Quellen zu blockieren, bevor diese geschützte Systeme untersuchen können. Die Bedrohungsinformationen identifizieren die Gefahren; die Firewall setzt die Blockierregeln durch.
Secutec CTI Feed nutzt dieses Prinzip, um geschützte Infrastruktur für die bekannten Scanner, die von diesen Regeln erfasst werden, praktisch unsichtbar zu machen. Indem diese Scanner daran gehindert werden, neue Informationen zu sammeln, können Organisationen die Wahrscheinlichkeit verringern, dass ihre Systeme indexiert und anschließend als potenzielle Angriffsziele untersucht werden.
Secutec CTI Feed basiert auf SIAM, dem von Secutec entwickelten Framework für Bedrohungsinformationen. Es kombiniert Informationen internationaler Anbieter mit eigenen Forschungsergebnissen von Secutec und belgischen CERT-Quellen. Die Bedrohungsinformationen werden alle vier Stunden veröffentlicht.
In der Praxis bietet dieser Ansatz drei wesentliche Vorteile:
-
Verringern Sie Ihre Sichtbarkeit nach außen
Verhindern Sie, dass identifizierte Internetscanner Informationen über geschützte Systeme sammeln, und verringern Sie so deren Sichtbarkeit für bekannte Scaninfrastruktur.
-
Stören Sie die Aufklärung vor einem Angriff
Blockieren Sie Verbindungen von bekannter Scaninfrastruktur und bösartiger Infrastruktur, bevor diese Ihre Umgebung untersuchen können. So helfen Sie, die frühen Phasen der Angriffsvorbereitung zu stören.
-
Verstärken Sie den Schutz Ihrer bestehenden Firewall
Nutzen Sie kontinuierlich aktualisierte Bedrohungsinformationen, die alle vier Stunden erneuert werden, über unterstützte Firewall-Plattformen. Dafür müssen Sie weder Ihre bestehende Sicherheitsarchitektur ersetzen noch umfangreiche Sperrlisten manuell pflegen.
Der Mehrwert liegt darin, in einer früheren Phase des Angriffsprozesses anzusetzen. Während sich viele Sicherheitsmaßnahmen darauf konzentrieren, bösartige Aktivitäten zu erkennen oder zu stoppen, hilft das Blockieren von Scannern, die Möglichkeiten der Angreifer zur Informationsbeschaffung von Anfang an zu begrenzen.
Das Blockieren von Scannern ist eine zusätzliche Schutzebene, die eine solide Grundlage für Cybersicherheit ergänzt. Wesentliche Sicherheitsmaßnahmen wie starke Authentifizierung einschließlich Multi-Faktor-Authentifizierung, sicherer Lieferantenzugriff, regelmäßige Sicherheitsupdates und Netzwerksegmentierung bleiben entscheidend, um Schwachstellen zu reduzieren und die Auswirkungen eines möglichen Sicherheitsvorfalls zu begrenzen.
Sicherheit beginnt vor dem ersten Angriffsversuch
Die Angriffe auf Kühlanlagen zeigen, warum betriebliche Anlagen und Geräte in Sicherheitsfragen dieselbe Aufmerksamkeit verdienen wie andere Unternehmenssysteme.
Diese Erkenntnis reicht weit über Kühlanlagen hinaus. Von Industrieanlagen über Schnittstellen für die Fernverwaltung bis hin zu Cloud-Diensten kann jede über das Internet erreichbare Infrastruktur unerwünschte Aufmerksamkeit auf sich ziehen.
Bei Cybersicherheit geht es nicht nur darum, Angreifer daran zu hindern, Schwachstellen auszunutzen. Es geht auch darum, ihre Möglichkeiten einzuschränken, potenzielle Ziele überhaupt erst zu entdecken.
Indem Organisationen eine solide Sicherheitsgrundlage mit kontinuierlich aktualisierten Bedrohungsinformationen verbinden, können sie die Aufklärung erschweren, unnötige Exposition reduzieren und ihre Abwehr stärken, bevor ein Angriff beginnt.