Der Einbruch begann unbemerkt, und die laterale Bewegung war leicht zu übersehen.
Als bei der MITRE Corp., einer gemeinnützigen Forschungsorganisation des Bundes, verdächtiger Datenverkehr festgestellt wurde, schlugen die Ermittler Alarm. Bei näherer Untersuchung stellten sie fest, dass sich ein staatlich gestützter Hacker über die Netzwerkgrenzen hinweg Zugang verschafft hatte und sich mühelos „von Ost nach West“ – das heißt, – quer durch die Infrastruktur bewegte. Durch kompromittierte Administratorzugangsdaten erhielt der Eindringling freie Hand, sich ungehindert und nahezu unbemerkt im System zu bewegen.
MITRE konnte den Einbruch eindämmen, und „ “ veröffentlichte unter die ihm vorliegenden Informationen. Dieser Vorfall bei 2024 machte jedoch deutlich, dass der Kampf gegen Cyberkriminalität oft nicht an der Außengrenze eines Computernetzwerks beginnt – wo Firewalls und andere herkömmliche Sicherheitsinstrumente seit langem darum kämpfen, Angriffe abzuwehren –, sondern erst, nachdem Hacker bereits in das System eingedrungen sind.
Einige Wochen später machte der Cyberangriff auf die „ “ von Change Healthcare diesen Punkt noch einmal deutlich. Hacker verschafften sich Fernzugriff auf einen Server, auf dem die Multi-Faktor-Authentifizierung (MFA) von nicht eingerichtet war. Sobald sie sich Zugang verschafft hatten, bewegten sie sich neun Tage lang quer durch das Netzwerk und verursachten dadurch monatelange Störungen im Zahlungsverkehr und in der Patientenversorgung. Mindestens 192,7 Millionen Personen waren von dem Datenleck betroffen.
Das ist das Problem beim sogenannten „Ost-West“- oder lateralen Datenverkehr – der mittlerweile bei einem Großteil aller erfolgreichen Sicherheitsverletzungen eine Rolle spielt, weshalb er zu einem zentralen Thema auf der diesjährigen RSA-Konferenz „ “ wurde. Wenn ein Unternehmen den Großteil seiner Zeit darauf verwendet hat, den „Nord-Süd“-Datenverkehr – also den Datenaustausch zwischen Netzwerken – abzusichern, intern jedoch nicht mit derselben Sorgfalt vorgegangen ist, setzt es sich einer gefährlichen Sicherheitslücke aus.
Angreifer können in kurzer Zeit erheblichen Schaden anrichten. Und sobald sie in Netzwerke eingedrungen sind, werden sie immer schneller und führen laut dem 2025 . jährlichen Bedrohungsbericht von ReliaQuest bereits nach 27 Minuten – im Durchschnitt nach 48 Minuten – laterale Bewegungen durch.
„Zeit ist der Feind in der Cybersicherheit“, erklärte Michael McPherson, Senior Vice President für den technischen Betrieb bei ReliaQuest, in einer Stellungnahme auf . „Angreifer agieren schneller denn je, was bedeutet, dass auch unsere Abwehrmaßnahmen schneller werden müssen.“
Warum laterale Bewegungen nach wie vor eine große Bedrohung darstellen
Die laterale Bewegung ist ein mehrstufiger Prozess, der die Erkundung, den Diebstahl von Zugangsdaten und die Ausnutzung dieser Daten umfasst.
„. Die Angreifer agieren schneller denn je, was bedeutet, dass auch unsere Abwehrmaßnahmen schneller werden müssen.“Michael McPherson, Senior Vice President für den technischen Betrieb bei ReliaQuest
Cyberkriminelle dringen mithilfe von Techniken wie „ “-Phishing, der Ausnutzung bekannter Sicherheitslücken oder der Verwendung gestohlener Zugangsdaten in ein Netzwerk ein. Anschließend untersuchen sie die Netzwerkstruktur, erfassen die Geräte und identifizieren geeignete Ziele, wie beispielsweise Domänencontroller, die Benutzer authentifizieren und Berechtigungen durchsetzen, oder Datenbankserver. Schließlich gehen sie wie folgt vor: Sie nutzen „ “, um die Website oder zu kapern, Daten unter zu manipulieren, Zugangsdaten für künftige illegale Aktivitäten zu stehlen oder Keylogger und andere Überwachungsprogramme zu installieren, um private Kommunikation auszuspionieren.
Was dies so gefährlich macht, ist die Tatsache, dass dadurch aus einem einzelnen Sicherheitsverstoß eine netzwerkweite Kompromittierung wird, wodurch Angreifer Zugang zu wertvolleren Systemen und Daten erhalten, während sie sich mit gestohlenen Zugangsdaten in aller Öffentlichkeit verstecken können. Je länger sie unentdeckt bleiben, desto mehr Zeit haben sie, um an kritische Unternehmensdaten zu gelangen, Hintertüren einzubauen und groß angelegte Ransomware-, Spionage- und andere Kampagnen zu starten.
3 wichtige Maßnahmen zur Verhinderung von seitlichen Verschiebungen
Das besonders Heimtückische an dieser Art von Angriff ist, dass er subtil und fast unbemerkt abläuft. Durch die Nutzung lateraler Bewegungen können sich Angreifer nahtlos in den legitimen Netzwerkverkehr einfügen – ähnlich wie ein Räuber, der sich unter den Fußgängern auf einer belebten Straße tarnt. Jede Gegenmaßnahme muss, wenn sie wirksam sein soll, die verräterischen Anzeichen solcher Aktivitäten erkennen und die potenziellen Einfallstore blockieren, die ein Netzwerk angreifbar machen.
Um solche verdeckten Aktivitäten zu vereiteln, greifen viele Unternehmen auf das altbewährte Konzept der „Defense-in-Depth“ zurück und kombinieren moderne Sicherheitsansätze wie „ “ und „Zero-Trust-“ mit Infrastrukturkontrollen, Mikrosegmentierung sowie Funktionen zur Netzwerkerkennung und -reaktion (NDR).
1. Zero Trust – keine Annahmen
Da der Kern des Problems darin besteht, dass Hacker sich von Ort zu Ort bewegen, ohne dabei digital aufgehalten zu werden, bietet „Zero Trust“ eine praktische Lösung. Der Begriff „Zero Trust“ wurde vom ehemaligen leitenden Analysten bei Forrester, John Kindervag, geprägt, der heute als Chief Evangelist bei Illumio tätig ist. Mit diesem Konzept sollte eine seit Jahrzehnten bestehende Fehlannahme widerlegt werden, wonach es in einem Netzwerk sowohl vertrauenswürdige als auch nicht vertrauenswürdige Bereiche gebe.
„: Früher galt: Sobald man sich authentifiziert hatte, um Zugang zu einem Netzwerk zu erhalten, konnte man sich überall hinbewegen, wohin man wollte …“ Das ist dumm. „Zero Trust“ beseitigt dieses Problem.”John Kindervag, Chief Evangelist bei Illumio
„Früher war es so, dass man, sobald man sich für den Zugriff auf ein Netzwerk authentifiziert hatte, überall hinzugelangen konnte, wo man wollte“, erklärt er gegenüber Focal Point . „Jedem Paket muss jedoch eine Richtlinie zugeordnet sein. Sie sollten ausdrücklich festlegen, wohin der Zugriff erfolgen darf, anstatt zu sagen: „Nun, sobald man auf der vertrauenswürdigen Seite ist, kann man überall hin.“ Das ist dumm. „Zero Trust macht diese Vertrauensannahme hinfällig.“
„Zero Trust“ verfolgt einen richtliniengesteuerten Ansatz, der auf dem altbekannten „Need-to-know“-Prinzip basiert. Jede Anfrage zum Zugriff auf eine Domäne, zur Nutzung einer Anwendung oder zum Öffnen einer Datei wird geprüft; liegt kein berechtigter, rollenbasierter Grund vor, wird sie abgelehnt. Dieses vertrauensunabhängige Modell erfreut sich bei Führungskräften in Unternehmen und im Sicherheitsbereich zunehmender Beliebtheit, da die durch Desinformation verursachten Bedrohungen für die Netzwerk zunehmen und Deepfakes sowie andere KI-gestützte Tools es einfacher denn je machen, sich als Mitarbeiter auszugeben. Laut einer Umfrage von Zscaler „ “ planen mehr als 80 % der Unternehmen, bis zum Jahr 2026 das Zero-Trust-Modell einzuführen.
2. Mikrosegmentierung im Fokus
Die Mikrosegmentierung ist eine weitere gängige Lösung, die Unternehmen zur Bewältigung des Ost-West-Datenverkehrs einsetzen. Im Einklang mit dem Zero-Trust-Ansatz unterteilt es Netzwerke in kleinere Zonen, sodass Eindringlinge sich nicht frei bewegen können, sobald sie in das Netzwerk eingedrungen sind. Im Gegensatz dazu werden Netzwerke bei der herkömmlichen Segmentierung mithilfe von Komponenten wie Firewalls und VLANs in größere Zonen unterteilt. Daher erreicht es nicht die Detailgenauigkeit, die zur Durchsetzung von Zero-Trust-Richtlinien erforderlich ist.
„Mikrosegmentierung kann, wenn sie korrekt umgesetzt wird, die Grundlage für wirklich gute Sicherheit bilden“, sagt Dr. Chase Cunningham, Chief Strategy Officer bei Demo Force und weithin bekannt als Dr. ZeroTrust. „Selbst wenn es zu einem Durchbruch kommt, wird verhindert, dass dieser sich weiter ausbreitet und noch verheerendere Folgen nach sich zieht.“ „Durch Mikrosegmentierung lassen sich Mega-Datenschutzverletzungen im Grunde genommen verhindern.“
Cunningham erklärt, dass die Mikrosegmentierung insbesondere in den Bereichen Operational Technology (OT) und Internet der Dinge (IoT) von großem Nutzen ist – also in kapitalintensiven Branchen wie dem Gesundheitswesen oder der Öl- und Gasindustrie, in denen Systeme klare und spezifische Anwendungsfälle unterstützen. Dadurch wird eine logische Trennung der Geräte ermöglicht, sodass beispielsweise eine Steuerung ausschließlich mit der Maschine kommunizieren kann, für deren Betrieb sie vorgesehen ist.
Es gewinnt derzeit auch deshalb an Bedeutung, weil die dafür erforderlichen Tools nun endlich ausgereift sind, sagt er.
„Mikrosegmentierung als Technologiebereich war auf dem Markt bis vor etwa drei Jahren noch nicht wirklich verfügbar“, sagt Cunningham. „Nun, wenn ich Sicherheitsleiter in einem Unternehmen wäre, würde ich zunächst alles bis ins kleinste Detail mikrosegmentieren und mich dann den anderen Problemen zuwenden.“
Dennoch ist die Arbeit nicht einfach. Cunningham sagt, dass Organisationen oft ins Straucheln geraten, wenn sie sich zu viel auf einmal vornehmen.
„Die Komplexität entsteht, wenn die Leute sagen: ‚Cool, wir werden eine Mikrosegmentierung durchführen‘“, sagt er. „Dann fragen sie: ‚Nun, was soll man denn da mikrosegmentieren?‘“ Es muss sich um ein Projekt und einen Plan handeln. Man kann nicht einfach den Schalter umlegen und sagen: „Mikrosegmentierung“. „Da wird etwas schiefgehen.“
3. NDR – Ein Blick hinter die Kulissen
Selbst wenn die Segmentierung ordnungsgemäß durchgeführt wird, können Angreifer dennoch Wege finden, sich lateral auszubreiten. Aus diesem Grund setzen viele Unternehmen auf NDR-Tools. Während Zero Trust und Mikrosegmentierung die Rahmenbedingungen vorgeben, fungieren diese Lösungen als Wachturm. Sie setzen die Segmentierung nicht durch. Sie überwachen jedoch den Datenverkehr zwischen und innerhalb der Zonen und nutzen dabei Analysen und KI, um verdächtige Ost-West-Bewegungen zu erkennen, die andernfalls an Firewalls und Endpunkt-Tools vorbeigleiten würden.
„: Einbrecher brechen nicht die Haustür auf.“ Sie nutzen Ihre Flure, Ihre Türen, Ihre Treppenhäuser – und … sie sehen aus, als gehörten sie genau dorthin.”Dr. Chase Cunningham, Chief Strategy Officer bei Demo Force
Diese Transparenz ist von entscheidender Bedeutung, erklärt Cunningham, da Eindringlinge, sobald sie sich im Netzwerk befinden, oft wie legitime Benutzer erscheinen.
„Eindringlinge brechen nicht die Haustür auf“, sagt er. „Sie nutzen Ihre Flure, Ihre Türen, Ihre Treppenhäuser – und sofern Sie nicht über die richtigen Sensoren verfügen, sieht es so aus, als gehörten sie genau dorthin.“
Um die Transparenz zu erhöhen, setzen Unternehmen zudem Systeme zur Identitäts- und Zugriffsverwaltung (IAM) von ein, um Benutzer und Geräte zu überprüfen. IAM verringert die Angriffsfläche, indem es das Prinzip der geringsten Berechtigungen durchsetzt, überflüssige oder veraltete Zugriffsrechte entfernt und die laterale Bewegung zwischen Systemen einschränkt. IAM trägt zur Umsetzung des Zero-Trust-Ansatzes bei, indem es Benutzer und Endgeräte authentifiziert und autorisiert, detaillierte Zugriffsrichtlinien durchsetzt und Aktivitäten überwacht.
Neuere Tools zur Erkennung von Identitätsbedrohungen bieten einen zusätzlichen Schutz, indem sie erkennen, wenn gestohlene Zugangsdaten innerhalb des Netzwerks missbraucht werden. Plattformen zur Richtlinienkoordination bieten die erforderlichen Übersichten und Steuerungsmöglichkeiten, um Zero-Trust und Mikrosegmentierung einheitlich umzusetzen. Gemeinsam bieten diese Technologien den Verteidigern die Möglichkeit, Angreifer zu erkennen, die sich in Ost-West-Richtung bewegen, und diese zu stoppen, bevor es zu einem vollumfänglichen Sicherheitsverstoß kommt.
KI und Automatisierung: Die horizontale Mobilität auf die nächste Stufe heben
Diese Abwehrmaßnahmen sind zwar wirksam, stellen jedoch kein Allheilmittel dar. Angreifer experimentieren bereits mit Möglichkeiten, die laterale Bewegung mithilfe von KI zu automatisieren, was die Erkundung und den Missbrauch von Zugangsdaten beschleunigen könnte, sobald sie sich Zugang verschafft haben. Cunningham ist der Ansicht, dass Verteidiger mithalten können – allerdings nur, wenn sie die Sicht in Ost-West-Richtung nicht länger als nebensächlich betrachten.
„Die Gegner warten nicht darauf, dass Sie Ihr Budget geregelt haben“, sagt er. „Sie treiben Innovationen voran, ganz gleich, ob Sie dies tun oder nicht.“
Vorausschauend handelnde Sicherheitsteams prüfen bereits, wie „ “, KI und Automatisierung eingesetzt werden können, um vor solchen Angriffen zu schützen. Maschinelles Lernen kann sich als wirksames Mittel erweisen, um Anomalien im Nutzerverhalten und in der gesamten Netzwerkaktivität zu erkennen, Bedrohungen automatisch zu isolieren und schnelle, präzise Gegenmaßnahmen zu entwickeln, mit denen Angreifer bereits im Anfangsstadium gestoppt werden können.
Kindervag rät Führungskräften in Unternehmen, dass jede Umstellung oder Aktualisierung von Sicherheitslösungen oder -protokollen strategisch erfolgen muss und nicht nur stückweise. Zero-Trust-Ansätze, Mikrosegmentierung und Erkennungswerkzeuge sind nur dann wirksam, wenn sie mit einem klaren Verständnis darüber einhergehen, was geschützt werden muss und warum.
„Alle schwerwiegenden Vorfälle im Bereich der Cybersicherheit sind das Ergebnis einer Regel nach dem Prinzip ‚ , allow ‘“, sagt er. „Letztendlich kommt es auf die Politik an. Was lasse ich zu? Was leugne ich denn? „So verhindern Sie, dass sich Angreifer innerhalb des Systems frei bewegen können, sobald sie einmal eingedrungen sind.“
Die Realität ist, dass es zu Datenschutzverletzungen kommen wird. Entscheidend ist, ob diese Vorfälle auf den ursprünglichen Bereich beschränkt bleiben oder sich zu einem Vorfall im Stil von MITRE oder Change Healthcare ausweiten. Die Unternehmen, die ein Modell der mehrschichtigen Verteidigung verfolgen, jede Verbindung überprüfen und ihre Netzwerke genau im Auge behalten, sind am ehesten in der Lage zu verhindern, dass Ost-West-Datenverkehr zu einer Schlagzeile wird.
