⏱ Lesezeit: 10 Minuten
Der Hacker mit Kapuzenpullover vor glühenden Codezeilen ist eine Hollywooderfindung. Die Realität ist deutlich unspektakulärer und genau deshalb wird sie so häufig unterschätzt.
Cyberangriffe beginnen selten mit einem technischen Knall. Kein Mensch sitzt plötzlich im dunklen Hoodie vor einer Matrix-artigen Oberfläche und hackt sich innerhalb von Sekunden in ein Unternehmen ein.
Der wahre Anfang
Der erste Schritt vieler Angriffe ist kein Hack. Es ist Beobachtung.
Der Einstieg erfolgt oft genau dort, wo auch Kunden, Bewerber oder Geschäftspartner starten würden: auf der Website, auf LinkedIn, in Jobanzeigen oder über öffentlich erreichbare Systeme. Aus einzelnen Informationen entsteht dabei Schritt für Schritt ein Bild eines Unternehmens. Kein vollständiges, zugegeben. Aber oft ein erschreckend präzises.
Und genau das ist Cyber-Profiling.
💡 Übrigens: Angriffe folgen einem Muster
In der IT-Sicherheit gibt es ein bekanntes Modell namens Cyber Kill Chain, das einen Angriff in aufeinanderfolgende Phasen zerlegt: von der ersten Recherche über das Eindringen bis zum eigentlichen Schaden. Die allererste Phase heißt dort Reconnaissance, also Aufklärung. Genau darum geht es in diesem Beitrag.
Der Gedanke dahinter: Wer eine frühe Phase unterbricht, verhindert alle folgenden. Und keine Phase ist so leicht zu beeinflussen wie die erste, denn sie besteht überwiegend aus Informationen, die Unternehmen selbst preisgeben.
Die ersten Puzzleteile
Am deutlichsten wird das, wenn man die Perspektive wechselt. Alles, was dafür nötig ist, hat jeder zur Verfügung: eine Suchmaschine und etwas Zeit.
👀 Übung: Denken Sie wie ein Angreifer
Nur für die nächsten zwei Minuten. Die Unternehmenswebsite ist schnell gefunden. Danach folgt LinkedIn: Wer arbeitet in der IT? Wer postet offen über neue Projekte? Welche Technologien werden erwähnt?
Dann die Karriereseite: „Erfahrung mit Microsoft 365, Entra ID, Cisco- oder Fortinet-Systemen sowie Microsoft Intune erwünscht.“
Für Bewerberinnen und Bewerber klingt das völlig normal. Für Angreifer ist es ein Geschenk.
Parallel dazu tauchen weitere Informationen auf:
Jedes dieser Details ist für sich genommen harmlos. Zusammen ergeben sie eine Einladung.
Cyber-Profiling funktioniert nicht über Einzelinformationen. Es funktioniert über Kombinationen.
Welche Systeme werden genutzt?
Wie modern wirkt die Infrastruktur?
Wo könnten besonders wertvolle Zugänge liegen?
Welche Personen haben vermutlich erweiterte Berechtigungen?
So wird aus öffentlich zugänglichen Informationen ein detailliertes Angriffsdossier. Schritt für Schritt. Ohne dass das Unternehmen es bemerkt.
Und heute macht das eine Maschine
Bis vor Kurzem war genau diese Recherche der Flaschenhals eines gezielten Angriffs. Sie kostete Zeit, brauchte Aufmerksamkeit und ließ sich schlecht auf viele Ziele gleichzeitig anwenden. Deshalb lohnte sie sich nur bei besonders lukrativen Opfern.
Das hat sich geändert. Mit KI-Werkzeugen lässt sich das Sammeln und Auswerten öffentlicher Informationen heute weitgehend automatisieren. Ein Fachbeitrag des Sicherheitsanbieters TrendAI beschreibt, wie sich aus öffentlichen LinkedIn-Profilen automatisiert Organisationsstrukturen ableiten und daraus maßgeschneiderte Angriffsmails erzeugen lassen, bis hin zur passenden gefälschten Website, erstellt in unter drei Minuten. Der Prototyp dafür entstand an einem einzigen Tag, mit frei verfügbaren Werkzeugen und ohne Spezialkenntnisse.
Aufwand ist kein Schutz mehr. Wer bisher davon ausging, für einen gezielten Angriff zu unbedeutend zu sein, sollte diese Annahme überdenken.
Das Unternehmen erzählt oft mehr, als ihm bewusst ist
Viele Unternehmen haben einen guten Überblick über ihre offizielle IT-Landschaft. Server, zentrale Systeme, freigegebene Tools, definierte Prozesse. Was sie seltener im Blick haben: alles, was sich über die Jahre daneben aufgebaut hat oder nach außen sichtbar geworden ist. Und genau dort wird es für Angreifer interessant.
Cyber-Profiling fragt nicht: „Wie ist das Unternehmen intern aufgestellt?“
Es fragt: „Was sehe ich von außen?“
Was ist sichtbar? Was ist erreichbar? Was wirkt gepflegt und was wirkt vergessen?
Die Motivation dahinter ist meist nüchterner als vermutet. Es geht nicht darum, „genial zu hacken“. Es geht um Effizienz. Warum kompliziert angreifen, wenn Unternehmen bereits erstaunlich viele Informationen freiwillig liefern?
Manche Informationen stammen aus alten Projekten. Andere aus Cloud-Diensten, die niemand mehr aktiv nutzt. Wieder andere aus Schatten-IT, die irgendwann „nur kurz für ein Projekt“ eingeführt wurde und bis heute existiert. Die digitale Angriffsfläche wächst leise, im Hintergrund, oft jahrelang unbemerkt.
Dafür braucht es oft nicht einmal einen klassischen „Einbruch“. Automatisierte Scans reichen häufig aus, um öffentlich erreichbare Dienste, offene Ports oder exponierte Systeme sichtbar zu machen.
Und der Blick von außen endet nicht an der eigenen Unternehmensgrenze. Angreifer schauen sich längst auch an, mit wem Sie zusammenarbeiten: Rund ein Drittel aller Sicherheitsvorfälle des vergangenen Jahres hatte einen Bezug zu Dritten. Mehr dazu in unserem Beitrag zum Datenschutz in der digitalen Lieferkette.
Das Problem dabei: Sicherheitslösungen überwachen häufig das, was innerhalb der eigenen Infrastruktur passiert. Cyber-Profiling schaut von der anderen Seite des Zauns. Und dieser Blick fällt oft unangenehm anders aus.
Der eigentliche Jackpot: funktionierende Zugänge
Irgendwann kommt der Punkt, an dem Angreifer nicht mehr nur beobachten. Sie testen.
Und hier passiert etwas Merkwürdiges: Die Realität wird plötzlich sehr banal.
Nicht jede Kompromittierung beginnt mit einer hochentwickelten Schadsoftware. Häufig reicht ein gültiger Zugang. Ein VPN-Login. Ein Administrator-Konto ohne Multi-Faktor-Authentifizierung. Ein Passwort, das bereits vor Jahren in einem Datenleck aufgetaucht ist und noch immer verwendet wird.
Willkommen in der Welt der Stealer-Logs und geleakten Zugangsdaten.
Im Darknet werden solche Informationen längst gehandelt wie Ware. Initial-Access-Broker verkaufen funktionierende Zugänge weiter. Andere Gruppen kaufen sie ein, um Daten zu stehlen, Systeme zu verschlüsseln oder Erpressungen vorzubereiten. Cybercrime ist ein Geschäftsmodell. Arbeitsteilig, skalierbar, professionell, und erschreckend effizient.
Wie verbreitet dieser Markt inzwischen ist, zeigt eine Zahl aus dem Verizon Data Breach Investigations Report: Bei 54 Prozent der Ransomware-Opfer tauchten funktionierende Unternehmens-Zugangsdaten schon vor dem Angriff in einschlägigen Verkaufsportalen auf.
Was so ein Zugang kostet, hängt davon ab, wie weit er reicht: von wenigen Dollar für einfache Datensätze bis in den vierstelligen Bereich für Administratorrechte. Ein Datenpaket mit geprüftem Zugang zu VPN oder Cloud-Systemen liegt dazwischen, bei ein paar hundert Dollar. Damit kostet der Schlüssel zum Firmennetz weniger als der Bürostuhl, auf dem der Angreifer sitzt.
Der Angreifer muss Ihr Unternehmen oft gar nicht persönlich kennen. Das Profil reicht.
Die unbequeme Wahrheit
Das Unternehmen war bereits verkauft, bevor überhaupt jemand angeklopft hat.
Alte Daten haben ein erstaunlich langes Gedächtnis
Besonders unangenehm wird es, wenn Vergangenheit und Gegenwart zusammentreffen.
Ein Beispiel: Ein altes Passwort aus einem Leak vor einigen Jahren. Dazu ein aktuelles LinkedIn-Profil. Vielleicht noch dieselbe E-Mail-Adresse und ein öffentlich erreichbarer Cloud-Dienst. Was vor ein paar Jahren bedeutungslos schien, wird heute zum Türöffner.
Viele Unternehmen unterschätzen genau diesen Punkt. Alte Daten verschwinden nicht automatisch. Sie warten.
Cyberkriminelle kombinieren historische Leaks mit aktuellen Informationen und bauen daraus erstaunlich präzise Profile. Wer arbeitet noch dort? Welche Rolle hat die Person heute? Welche Zugänge könnten interessant sein?
Das digitale Gedächtnis ist lang. Länger jedenfalls, als die meisten Passwortrichtlinien.
Die gefährlichsten Systeme sind oft die vergessenen
An diesem Punkt beginnt ein weiteres Problem: Unternehmen kennen ihre eigene IT-Landschaft häufig nur teilweise.
Offiziell existieren klare Systeme, Prozesse und Richtlinien. Inoffiziell gibt es zusätzlich:
Schatten-IT entsteht selten aus böser Absicht. Meistens entsteht sie aus Pragmatismus.
„Wir brauchten schnell eine Lösung.“
„Die Freigabe hätte zu lange gedauert.“
„Das nutzt eh nur unser Team.“
Nachvollziehbar. Aus menschlicher Sicht vollkommen verständlich. Aus Sicherheitssicht: ein blinder Fleck, den Angreifer besser kennen als das Unternehmen selbst.
Warum klassische Security oft zu spät hinschaut
Viele Unternehmen investieren viel in Sicherheitslösungen. Firewalls, Antivirus, Monitoring, Netzwerksegmentierung. Alles richtig. Alles wichtig. Und trotzdem greift es zu kurz.
Diese Maßnahmen schützen primär das Innere des Unternehmens. Cyber-Profiling beginnt jedoch außerhalb. Dort, wo öffentliche Informationen, exponierte Systeme und digitale Altlasten zusammentreffen.
Ein Angreifer interessiert sich nicht dafür, welche Sicherheitsrichtlinie intern gilt. Er interessiert sich dafür, welche Tür offen steht. Genau deshalb reicht klassische Security alleine oft nicht mehr aus.
Und spätestens hier wird Informationssicherheit zur Führungsaufgabe
Die eigentlichen Risiken entstehen selten ausschließlich technisch.
Welche Tools eingesetzt werden. Welche Prozesse Priorität haben. Wie schnell Projekte umgesetzt werden. Welche Risiken bewusst akzeptiert werden.
All das sind keine IT-Entscheidungen. Das sind Unternehmensentscheidungen.
Informationssicherheit ist längst kein isoliertes IT-Thema mehr. Sie betrifft Prozesse, Organisation, Kommunikation und Unternehmenskultur. Sicherheit entsteht nicht nur durch Technik, sondern auch durch klare Entscheidungen „from the top“.
Wenn Sicherheit in der Führungsebene als „Thema der IT“ gilt, entsteht ein strukturelles Problem. Lücken bilden sich nicht dort, wo niemand nachdenkt, sondern dort, wo Verantwortung unklar ist. Zwischen Fachbereichen. Zwischen Prozessen. In den Graubereichen, die keine Abteilung wirklich besitzt.
Die Zuständigkeit
Die IT kann Systeme absichern. Wie sichtbar, kontrolliert und bewusst ein Unternehmen nach außen agiert, ist jedoch eine Frage der Führung.
Was Cyber-Profiling eigentlich sichtbar macht
Der Begriff klingt oft nach hochkomplexer Cyberkriminalität. Tatsächlich beginnt Cyber-Profiling meistens ohne einen einzigen Angriff. Nur mit Aufmerksamkeit.
Mit Informationen. Mit Sichtbarkeit. Mit kleinen Details, die einzeln harmlos wirken und gemeinsam plötzlich ein umfangreiches Bild ergeben.
Die wirklich relevante Frage lautet deshalb nicht nur: „Wie gut schützen wir unsere Systeme?“ Sondern: „Was erzählt unser Unternehmen täglich über sich selbst, ohne es zu merken?“
Die gute Nachricht: Genau diese Perspektive lässt sich auch aktiv nutzen. Unternehmen können ihre digitale Außenwirkung bewusst analysieren, Altlasten bereinigen, Angriffsflächen reduzieren und kritische Identitäten besser absichern.
Wer weiß, wie sein Unternehmen von außen wirkt, kann gezielt gegensteuern.
MeineBerater-Tipp
Viele Unternehmen investieren in Firewalls, Sicherheitslösungen und interne Schutzmaßnahmen. Das ist wichtig. Mindestens genauso aufschlussreich ist jedoch ein ehrlicher Blick von außen.
Versetzen Sie sich gedanklich einmal selbst in die Rolle eines Angreifers. Was würden Sie innerhalb von 30 Minuten über Ihr Unternehmen herausfinden?
Die Antwort ist selten beruhigend. Kritisch sind oft nicht die spektakulären Sicherheitslücken, sondern die Summe kleiner Informationen, vergessener Systeme und unkontrollierter Zugänge, die über Jahre hinweg sichtbar geblieben sind.
Informationssicherheit beginnt nicht erst beim Angriff, sondern deutlich früher: bei Transparenz, Überblick und bewussten Entscheidungen.
Cyber-Profiling: Lesen Sie Ihr Unternehmen, bevor es andere tun!
Wir schauen gemeinsam mit Ihnen von außen auf Ihr Unternehmen, decken digitale Altlasten auf und reduzieren Ihre Angriffsfläche, bevor es jemand anderes tut.
Die digitale Angriffsfläche entwickelt sich laufend weiter und genau deshalb sprechen wir regelmäßig über aktuelle Cyberrisiken, Datenpannen und Informationssicherheit. Weitere Beiträge und Praxiseinblicke finden Sie in unserem Newsblog.
MeineBerater – die Beratungsboutique für Datenschutz, Compliance & Informationssicherheit