Die wichtigsten Erkenntnisse
- Organisationen mit kritischer Infrastruktur sind keine zufälligen Ziele. Sie werden gezielt ausgewählt, da E-Mail fast gleichbedeutend mit Geschäftskontinuität ist. Die gegen sie gerichteten Kampagnen sind langfristige Operationen, an denen mehrere Akteure beteiligt sind und die oft mit einer E-Mail beginnen.
- Angreifer testen ihre Schadcodes vor der Auslieferung an den Sicherheitsstacks von Unternehmen. Eine schädliche Datei, die Ihren Scanner passiert, ist kein Beweis dafür, dass die Datei unbedenklich ist; es ist möglich, dass sie so konzipiert wurde, dass sie Ihren Scanner umgeht.
- Ein Sicherheitsansatz, bei dem die Erkennung im Vordergrund steht, weist gegenüber einem gut vorbereiteten Angreifer eine strukturelle Schwachstelle auf: Er kann nicht auf Ereignisse reagieren, denen er zuvor noch nicht begegnet ist.
- Eine mehrschichtige E-Mail-Abwehr ist die strukturelle Antwort darauf. Jede Schicht fängt das ab, was die anderen nicht erkennen können. Der kombinierte Effekt ist einfach: Er erhöht den Aufwand für den Angreifer bei der Optimierung vor dem Einsatz.
Es handelt sich nicht um einen E-Mail-Angriff, sondern um eine Kampagne.
Kein Sicherheitsexperte beschließt von vornherein, Bedrohungen als Einzelfälle zu behandeln. Dies geschieht schrittweise. Die Erkennungsraten bleiben stabil, Vorfälle werden termingerecht behoben und Audits werden ohne nennenswerte Beanstandungen bestanden. Jeder einzelne Datenpunkt ist für sich genommen plausibel, doch zusammen ergeben sie ein Bild, das zwar vollkommen zutreffend, aber gefährlich unvollständig ist.
Dieses gewachsene Vertrauen stellt an sich schon eine Schwachstelle dar. Und bei Organisationen mit kritischer Infrastruktur ist dies eine Schwachstelle, die Angreifer gezielt ausnutzen – angefangen beim Posteingang, der bis heute einer der Hauptvektoren für E-Mail-Sicherheitsrisiken bleibt.
Wenn eine staatlich geförderte Gruppe ein Stromnetz, ein Krankenhaus oder einen Rüstungskonzern ins Visier nimmt, kann es sich um eine mehrjährige Kampagne handeln. Diese umfassen oft Hunderte von Iterationen, Sondierungsversuchen und Scheinangriffen, die darauf abzielen, die Abwehrmaßnahmen zu kartieren, bevor die eigentliche Schadsoftware eintrifft. Ihr Ziel ist eine anhaltende Störung, wiederholte Sicherheitslücken und ein maximaler Reputationsschaden im Laufe der Zeit. Die Berechnung des Lösegeldbetrags erfolgte bereits vor dem Versand der ersten E-Mail, und was noch schlimmer ist: Die Angreifer wissen bereits, dass sich ihr Ziel keine Ausfallzeiten leisten kann.
Angreifer haben unterschiedliche Motive und unterschiedliche Angriffsprofile, aber eines haben sie gemeinsam: gezielte Angriffe. Organisationen mit kritischer Infrastruktur werden nicht zufällig ausgewählt, sondern gezielt ins Visier genommen, und die gegen sie gerichteten Kampagnen sind langfristige Prozesse, die fast immer mit einer E-Mail beginnen.
Der erste Schritt ist ein mit Schadcode versehener Anhang, ein bösartiger Link oder ein sorgfältig recherchierter und maßgeschneiderter Phishing-Versuch zur Erlangung von Zugangsdaten, der an einen Ingenieur, einen Mitarbeiter im Betrieb oder eine Führungskraft gesendet wird. Und der Grund, warum E-Mails nach wie vor der bevorzugte Einstiegspunkt sind, liegt nicht in ihrer technischen Raffinesse, sondern in ihrer mathematischen Einfachheit. Unternehmen können diesen Kanal nicht schließen oder einschränken, ohne den Betriebsablauf zu stören.
Ein Mitarbeiter, ein schlechter Tag, eine geöffnete Datei. Das ist schon die gesamte Erfolgsvoraussetzung. Eine Kampagne, die gleichzeitig Tausende von Posteingängen erreicht, braucht nur einen einzigen Moment der Schwäche, um erfolgreich zu sein – und der Verteidiger muss jeden einzelnen davon verhindern.
Das Vorgehensmodell lässt sich bereits in der kritischen Infrastruktur der USA erkennen. In einer gemeinsamen Warnmeldung von CISA, NSA und FBI wurde bestätigt , dass Akteure der „Volt Typhoon“-Gruppe sich mindestens fünf Jahre lang in einigen IT-Netzwerken eingenistet hatten, um sich für mögliche störende oder zerstörerische Angriffe auf die Betriebstechnik in Position zu bringen.
Keiner dieser Akteure wird seine Vorgehensweise anpassen, nur weil ein Zielunternehmen einen Sicherheitspatch schneller installiert oder mehr Analysten eingestellt hat. Die Angriffe sind ein taktischer Schachzug, der meist Teil einer umfassenderen Strategie ist.
Die sich daraus ergebende Vorgehensweise ist kein optionaler Schritt. Betreiber kritischer Infrastrukturen sollten stets davon ausgehen, dass es zu einem Sicherheitsvorfall kommen wird, und ihre Systeme entsprechend ausrichten: mehrschichtige Abwehrmaßnahmen an jedem Zugangspunkt sowie eine Reaktionsfähigkeit, die so schnell einsetzbar ist, dass die Eindämmung bereits einsetzt, bevor sich der Schaden weiter ausbreitet.
Angreifer testen ihre Schadcode-Payloads, bevor sie diese einsetzen
Diese Vorgehensweise ist weit verbreitet und gut dokumentiert. Ob bei staatlich geförderten Gruppen, Ransomware-Betreibern oder hochorganisierten kriminellen Vereinigungen – die Schadcode-Payloads durchlaufen einen Vorbereitungsprozess, bevor sie überhaupt versendet werden. Die Angreifer erstellen Nachbildungen der Sicherheitsinfrastruktur von Unternehmen, führen wiederholte Tests durch, bis die Datei einen „sauberen“ Erkennungswert erreicht, und versenden sie erst dann.
Im Jahr 2025 wurde im Rahmen einer koordinierten internationalen Aktion AVCheck zerschlagen, einer der weltweit größten Dienste zur Umgehung von Antivirenprogrammen, der es Malware-Entwicklern ermöglichte, vor der Verbreitung zu testen, ob ihre Dateien erkannt würden. Der Dienst existierte, weil die Nachfrage nach Tests zur Umgehung von Antivirenprogrammen vor der Verbreitung groß genug war, um einen darauf aufbauenden kommerziellen Betrieb aufrechtzuerhalten.
Ein auf Erkennung ausgerichtetes Sicherheitskonzept weist gegenüber einem gut vorbereiteten Angreifer eine strukturelle Schwachstelle auf. Es ist darauf ausgelegt, Bedrohungen zu erkennen, denen es bereits begegnet ist oder die einer bereits in seiner Historie vorhandenen Bedrohung sehr ähnlich sind. Eine Nutzlast, die gezielt so konzipiert wurde, dass sie keiner dieser Kategorien entspricht, gelangt ungehindert durch das System, da sie der Erkennungsschicht keinen Anlass zum Eingreifen gibt.
Diese Optimierung findet nicht nur einmal statt. Im Laufe jahrelanger Iterationen und Hunderter Sondierungsversuche nutzt der Angreifer jede Quarantäne und jede Sperrung als Rückmeldung, um seinen nächsten Versuch zu verfeinern. Die Kampagne lernt aus Ihren Abwehrmaßnahmen auf eine Weise, auf die Ihre Abwehrmaßnahmen nicht automatisch reagieren können. Dies ist eine logische Konsequenz eines „Detection-First“-Ansatzes gegenüber einem Angreifer, der sich gezielt auf Ihre Erkennung vorbereitet hat.
Was das für den Aufbau Ihrer Sicherheitsmaßnahmen im E-Mail-Bereich bedeutet
Ein Angreifer, der versucht, eine Nachbildung Ihres Sicherheitsstacks zu erstellen, um seine Payload vorab zu testen, kann die genaue Kombination und Abfolge mehrerer unabhängiger Schichten nicht ohne Weiteres nachbilden. Das ist die strategische Logik hinter einer mehrschichtigen E-Mail-Abwehr: Sie bietet mehr als nur zusätzlichen Schutz; sie ist eine strukturelle Maßnahme, die den Aufwand für den Optimierungsprozess vor dem Einsatz erhöht, auf den der Angreifer angewiesen ist.
Diese Logik trifft zu, da jede Ebene nach einem anderen Prinzip funktioniert und das erfasst, was die anderen nicht erkennen können.
- Die Multiscanning erhöht die Abdeckung, indem Anhänge gleichzeitig über mehrere unabhängige Engines geprüft werden, wodurch eine Optimierung der Payload für eine einzelne Engine unzureichend wird.
- „Content Disarm and Reconstruction“ (CDR) entfernt aktive Inhalte aus jeder Datei, unabhängig davon, ob diese bereits zuvor gesichtet wurde. Das bedeutet, dass auch einer Nutzlast, die darauf ausgelegt ist, die Erkennung anhand von Signaturen zu umgehen, ihre aktiven Komponenten entfernt werden.
- Durch Sandboxing wird das Verhalten bei der Ausführung sichtbar gemacht, wodurch Payloads erkannt werden, die gezielt so konzipiert sind, dass sie böswilliges Verhalten erst nach der Zustellung auslösen.
- Die URL-Analyse zum Zeitpunkt des Klicks schließt die Lücke zwischen der Auslieferung und der Missbrauchsmöglichkeit.
- Die Datenverlustprävention (DLP) bei ausgehenden und internen E-Mails schließt die Lücke in der Transparenz, die durch Kontrollen, die sich ausschließlich auf eingehende E-Mails beschränken, vollständig offen bleibt.
Keine einzelne Komponente deckt alles ab. Durch die Kombination wird das Vorabtesten Ihres Stacks mit jeder hinzugefügten Schicht strukturell schwieriger.
Eine abgefangene Bedrohung deutet möglicherweise lediglich darauf hin, dass der Angreifer sich noch in der Testphase befindet. Betrachten Sie dies eher als Signal denn als Zeichen dafür, dass Ihre Abwehrmaßnahmen halten. Unter dieser Annahme zu handeln, ist schlichtweg eine rationale Reaktion darauf, dass man von verschiedenen Akteurstypen ins Visier genommen wird, die langfristige Kampagnen durchführen.
Mehrschichtiger Schutz an der E-Mail-Grenze, reaktionsschnelle Maßnahmen, die Schäden eindämmen, bevor sie sich ausweiten, und ein Ansatz der kontinuierlichen Verbesserung, bei dem jeder Vorfall als Erkenntnis für die Kampagne und nicht als abgeschlossenes Ticket betrachtet wird: So sieht sinnvoller Schutz für Organisationen mit kritischer Infrastruktur aus.
Stellen Sie sich nun vor, dies würde in industriellem Maßstab erfolgen. Stellen Sie sich vor, ein Angreifer, der früher Wochen damit verbracht hat, eine Payload für ein bestimmtes Ziel zu optimieren, kann dies nun innerhalb weniger Stunden für Tausende von Zielen gleichzeitig tun. Der „Microsoft Digital Defense Report 2025“ zitierte eine unabhängige Studie, die ergab, dass KI-gestütztes Phishing eine Klickrate von 54 % erreichte, verglichen mit 12 % bei herkömmlichen Kampagnen, und damit 4,5-mal effektiver war. Das ist es, was KI bereits ermöglicht hat, und es ist das Thema des nächsten Artikels in dieser Reihe.
Dieser Blogbeitrag ist Teil 1 der Reihe „Made to Evade“.
Teil 2 und 3 folgen in Kürze.
