Sicherheitslücken im Netzwerk erkennen Sie durch Schwachstellen-Scans, Log-Analyse und ein aktives IDS. Verhindern lassen sie sich durch gepatchte Systeme, segmentierte Netze, harte Firewall-Regeln, MFA und das Prinzip der minimalen Rechte. Diese Anleitung führt Sie in klar geordneten Schritten von der Bestandsaufnahme bis zum dauerhaften Härtungsprozess.
Symptome
- Unbekannte ausgehende Verbindungen zu fremden IP-Adressen in der Firewall-Logdatei
- Konten melden Anmeldungen zu ungewöhnlichen Zeiten oder aus fremden Ländern
- Plötzlich hohe CPU-, RAM- oder Bandbreitenauslastung ohne erkennbaren Auslöser
- Antivirus- oder EDR-Warnungen häufen sich auf mehreren Endgeräten
- Neue, nicht dokumentierte Benutzerkonten, Freigaben oder geplante Aufgaben tauchen auf
Häufige Ursachen
Ungepatchte Systeme und Firmware
Bekannte CVEs in Windows, Linux, VPN-Gateways oder Firewalls bleiben offen, weil Patches verzögert eingespielt werden. Angreifer scannen genau nach diesen Lücken.
Schwache oder wiederverwendete Passwörter
Kurze, geratene oder aus Leaks bekannte Passwörter werden per Credential Stuffing ausprobiert. Ohne MFA reicht ein Treffer für vollen Zugriff.
Fehlkonfigurierte Firewall- und ACL-Regeln
Zu permissive Regeln, offene Management-Ports oder vergessene Any-Any-Freigaben öffnen unnötig Angriffsflächen zwischen Segmenten oder ins Internet.
Keine Netzwerksegmentierung
Flache Netze erlauben laterale Bewegung: Ein kompromittierter Client erreicht Server, Backups und OT-Systeme, weil VLANs und interne Firewalls fehlen.
Phishing und Social Engineering
Mitarbeitende öffnen präparierte Anhänge oder geben Zugangsdaten auf gefälschten Portalen ein. Ohne E-Mail-Filterung und Awareness-Training bleibt dieser Kanal offen.
Schritt-für-Schritt-Lösung
- Netzwerk und Angriffsfläche vollständig inventarisieren
Erfassen Sie sämtliche Geräte, Server, VMs, Cloud-Ressourcen und offenen Ports. Tools wie nmap, arp-scan oder ein NAC liefern die Basis. Ohne aktuelles Inventar können Sie weder Schwachstellen priorisieren noch fremde Systeme im Netz auffallen sehen. - Schwachstellen-Scan mit einem etablierten Scanner durchführen
Setzen Sie OpenVAS, Nessus oder Qualys ein und scannen Sie authentifiziert. So sehen Sie fehlende Patches, veraltete TLS-Versionen und schwache Dienste. Bewerten Sie Funde nach CVSS und Exponierung, nicht nur nach Anzahl. - Firewall-Regeln nach dem Least-Privilege-Prinzip härten
Entfernen Sie alle Any-Any-Regeln. Erlauben Sie nur benötigte Quell-/Ziel-Kombinationen und Protokolle. Sperren Sie ausgehend, was nicht gebraucht wird, insbesondere SMB, RDP und Telnet ins Internet. Dokumentieren Sie jede Regel mit Zweck und Verantwortlichem. - IDS/IPS und zentrales Logging aktivieren
Installieren Sie Suricata, Zeek oder eine kommerzielle Lösung am Perimeter und an kritischen Segmenten. Leiten Sie Firewall-, DNS- und Authentifizierungs-Logs in ein SIEM. Definieren Sie Alarmschwellen für Bruteforce, Portscans und C2-Beacons. - Netzwerk segmentieren und Zugänge trennen
Trennen Sie Clients, Server, Gäste, IoT und Management in eigene VLANs mit Firewall-Filterung dazwischen. Management-Interfaces gehören in ein isoliertes Admin-Netz, erreichbar nur über Jump Host oder VPN mit MFA. - Identitäten absichern: MFA, starke Passwörter, Rollen
Erzwingen Sie MFA für VPN, E-Mail, Cloud und alle Admin-Konten. Setzen Sie Passwortlängen ab 14 Zeichen und gleichen Sie gegen Have-I-Been-Pwned ab. Trennen Sie Tages- von Admin-Konten und wenden Sie Just-in-Time-Rechte an. - Patch- und Konfigurations-Management etablieren
Definieren Sie feste Patch-Fenster für Betriebssysteme, Hypervisoren, Firewalls und Anwendungen. Automatisieren Sie das Rollout über WSUS, Intune oder Ansible. Testen Sie Patches vorher in einer Referenzumgebung. - Incident-Response und Wiederherstellung vorbereiten
Dokumentieren Sie einen Runbook mit Meldewegen, Isolationsschritten und Kontakten. Halten Sie geprüfte, offline erreichbare Backups vor und üben Sie den Ernstfall mindestens jährlich per Tabletop-Übung.
Typische Symptome, wahrscheinliche Ursachen und passende Sofortmaßnahmen
| Symptom | Wahrscheinliche Ursache | Sofortmaßnahme |
|---|---|---|
| Ungewöhnliche ausgehende Verbindungen | C2-Kommunikation nach Malware-Infekt | Host isolieren, Prozesse und Persistenz analysieren |
| Fehlgeschlagene Anmeldungen in Serie | Bruteforce oder Credential Stuffing | Konto sperren, MFA erzwingen, Quell-IP blockieren |
| Neue Admin-Konten unbekannter Herkunft | Kompromittiertes Admin-Konto | Konten deaktivieren, Sitzungen beenden, Passwörter zurücksetzen |
| RDP/SMB direkt aus dem Internet erreichbar | Fehlkonfigurierte Firewall-Regel | Regel entfernen, Zugriff nur via VPN mit MFA |
| Veraltete Firmware auf VPN-Gateway | Fehlendes Patch-Management | Patch einspielen, IOCs prüfen, Zugangsdaten rotieren |
So beugen Sie vor
- Monatliche Schwachstellen-Scans und quartalsweise Penetrationstests einplanen
- Regelmäßige Phishing-Simulationen und kurze Awareness-Trainings durchführen
- Konfigurationsänderungen an Firewalls und Switches nur über Change-Prozess
- Backups nach 3-2-1-Regel führen und Restore mindestens halbjährlich testen
Häufige Fragen
Wie erkenne ich, ob mein Netzwerk bereits kompromittiert ist?
Prüfen Sie Firewall- und DNS-Logs auf Verbindungen zu bekannten Malware-Domains, ungewöhnliche Datenmengen nach außen und Anmeldungen außerhalb der Arbeitszeit. Vergleichen Sie laufende Prozesse und Autostart-Einträge mit einem sauberen Referenz-Image. Ein IDS oder EDR liefert konkrete Alarme, ein SIEM korreliert die Signale über mehrere Systeme hinweg.
Reicht eine Firewall aus, um mein Netzwerk zu schützen?
Nein. Eine Firewall filtert Verkehr an der Grenze, schützt aber weder gegen Phishing noch gegen laterale Bewegung nach einem Einbruch. Sie brauchen mehrere Schichten: Patchen, MFA, Segmentierung, EDR auf den Endgeräten, gefiltertes E-Mail-Gateway und Monitoring. Erst das Zusammenspiel dieser Kontrollen senkt das Risiko deutlich.
Wie oft sollte ich Schwachstellen-Scans und Audits durchführen?
Automatisierte Schwachstellen-Scans gehören mindestens monatlich auf alle exponierten Systeme, kritische Server wöchentlich. Ein externer Penetrationstest ist einmal jährlich sinnvoll sowie nach größeren Änderungen an Architektur oder Cloud-Anbindung. Konfigurations-Audits von Firewalls und AD sollten Sie quartalsweise ansetzen und Ergebnisse in einem Ticketsystem nachverfolgen.