# Phishing, Zero-Day-Exploits und Brute Force: Angriffsvektoren kennenlernen und verstehen

Johannes Hauser

---

# Angriffsvektor

Weg des Angriffs

= Art und Weise, wie Angreifer Zugang zum System oder Zugriff auf Daten erhalten hat

vgl. Infektionsvektor = Weg, auf dem ein Virus o.ä. übertragen wird

Beispiele:

- Jemand schaut mir über die Schulter, während ich meine Daten eingebe
- Software mit Sicherheitslücke

???

- ist auch der erste Einstieg, von dem aus ein Angreifer weiter vordringen kann

---

# Angriffsfläche

Gesamtheit aller Angriffsvektoren aller Systeme

= Summe aller möglichen Arten von Angriff auf jedes einzelne System

---

# Angriffsfläche

![Haus](img/einfamilienhaus.jpg)

.footnote[Bild: Ibrahim Rifath auf Unsplash]

???

- Haustüre Schloss knacken
- Haustüre aufhebeln
- Fenster aufhebeln oder einschlagen
- Kellertüre
- durch den Schornstein (7 Wochen Weihnachten)
- Sprengstoff
- Person mit Zugang (Putzhilfe, Handwerker, Verwandte) bestechen/überfallen
- "Pizzaservice"
- Presslufthammer durch die Wand -> hoher Aufwand, laut, langsam, unattraktiv

---

# Angriffsfläche

- E-Mail
- Cloud-Speicher
- Web-Shop
- PCs
- Smartphones, Tablets etc.
- Netzwerkkomponenten (Switches etc.)
- Bürotechnik
- vernetzte Produktion
- IoT (Internet of Things) und Smart Home
- …

absichern:

- Angriffsfläche analysieren
- mögliche Angriffsvektoren verhindern
- Angriffsfläche verkleinern

---

# Programmfehler

Design- oder Umsetzungsfehler in Software ermöglichen unbefugte Zugriffe.

## Beispiel: Heartbleed

OpenSSL = Programmbibliothek zur verschlüsselten Datenübertragung über Netzwerke

![SSL-Schloss](img/ssl-schloss.png)

Fehler 2014 entdeckt, war über 2 Jahre offen

---

![](img/heartbleed1.png)

.footnote[Quelle: xkcd.com/1354]

???

- Heartbeat: Überprüfen, ob Verbindung noch besteht
- eine Seite schickt bis zu 16 kB an Daten an Gegenseite schicken
- Gegenseite schickt Daten unverändert zurück.

---

![](img/heartbleed2.png)

.footnote[Quelle: xkcd.com/1354]

???

- Nutzlast nicht standardisiert
- sonst könnte von Dritten Standardantwort gefälscht werden

---

![](img/heartbleed3.png)

.footnote[Quelle: xkcd.com/1354]

???

- Eine Seite kann falsche Größenangabe der Daten mitschicken
- Gegenseite liest aus Arbeitsspeicher über tatsächliche Länge hinaus, bis sie 500 Zeichen zusammen hat
- zufälliger Inhalt des Arbeitsspeichers an dieser Stelle
- kann sensible Daten enthalten

---

## Fehler gefunden, was nun?

- Sicherheitsforscher melden Fehler vertraulich an Hersteller
- Hersteller erstellt und verteilt Patch
- Benutzer installiert Patch

Probleme:

- Patch muss auf Millionen Geräten eingespielt werden
- Patch nicht immer verfügbar (Legacy-Software, Hersteller nicht mehr aktiv)
- *Zero-Day-Exploit*: sofort ausgenutzt, Hersteller hat "zero days" zum Reagieren
- Wissen über Sicherheitslücken werden unter Geheimdiensten und Kriminellen gehandelt

---

## Patch?

![Waschmaschine](img/waschmaschine.jpg)
.footnote[Bild: Miele]

---

# Man-in-the-Middle

Angreifer schaltet sich zwischen Sender und Empfänger von Daten

simuliert jeweilige Gegenseite

Abwehr:

- Gegen Mitlesen absichern: Datenpakete verschlüsseln
- Zweiten Kanal nutzen (z. B. mTAN, 2FA)

---

# Distributed-Denial-of-Service-Angriffe (DDoS)

Ziel: Stören der Infrastruktur durch Überlastung (häufig zur Erpressung)

Beispiel: Tausende Anfragen an Webserver, in der Regel durch Bots (von Angreifer ferngesteuerte Rechner)

Abwehr:

- erkennen durch Angriffsmuster, Protokollverletzungen, übermäßigen Datenverkehr
- Einsatz von Lastverteilern

---

# Angriff über Dritte

Ihre IT ist perfekt abgesichert. Aber auch die Ihrer Zulieferer, Kunden, Geschäftspartner?

- Produktionsplanung (Just-in-Time-Lieferung)
- Cloud Services
- Datenbanken
- Lizenzprüfung
- ...

Abwehr:

- Einhaltung von Sicherheitsstandards vertraglich festlegen
- Sicherheitsniveau validieren (Audits)
- Geräte von Dritten scannen und überwachen
- Systeme trennen, "Demilitarisierte Zone"

---

# Physischer Zugriff

- nicht gesperrte Rechner in der Pause
- ungenutzte Netzwerkdosen im Abstellraum
- physische Zerstörung von Hardware
- Einschmuggeln von präparierter Hardware (USB-Sticks, Keylogger)

Abwehr:

- Zugang zum Gebäude regeln

"Es ist schlecht, wenn jemand einen Laptop rausträgt. Es ist eine Katastrophe, wenn jemand einen Laptop rein trägt!"

---

## Präparierte Hardware

Motorola SLVR (2005), beliebtes Business-Handy

![](img/motorola.jpg)

.footnote[Quelle: National Security Agency/Public Domain]

---

# Gestohlene Anmeldeinformationen

Attraktiv: Gültige Zugangsdaten ermöglichen weitere Schritte, Angreifer kann lange Zeit Zugang haben, bevor er bemerkt wird

- Brute Force (Probieren aller möglichen Passwörter)
- Phishing (Angreifer gibt sich als seriöser Kommunikationspartner aus)
- Shoulder Surfing (Benutzer bei Eingabe beobachtet, z. B. PIN Geldautomat)

Abwehr:

- Anmeldeversuche begrenzen
- Starke Passwörter
- CAPTCHA-Eingabe und MFA
- Benutzer aufklären/schulen
- Geräte vor fremden Blicken schützen

---

# Bedrohungen durch Insider

Angriff durch eigene (Ex-)Mitarbeiter

- Zugriffsrechte vorhanden
- Möglichkeiten der Verschleierung bekannt
- Motive: Spionage, Diebstahl, Rache
- Ziele: Daten oder Anmeldeinformationen stehlen, Schaden anrichten

Abwehr:

- Rechte von Benutzern aufs Nötigste beschränken
- Zugriff auf sensible Daten nur im Vier-Augen-Prinzip

Abwehr schwierig, weil Eingriff in andere Rechte (Überwachung)

---

# Zusammenfassung

Absolute Sicherheit ist nie gegeben, aber man kann es Angreifern schwer machen

Was müssen Sie tun, um ihre "Abwehrkräfte" zu stärken?

- Eigene Angriffsfläche kennen und minimieren
- Überwachungsmechanismen einrichten
- Zugriffe, Berechtigungen und (physischen) Zugang minimieren
- Software aktuell halten
- Benutzer schulen
- *Werbung: IT auslagern an Cloud-Dienste*