Was ist ein Advanced Persistent Threat?

Cyber-Kriminelle können auf viele verschiedene Angriffsarten zurückgreifen, und die Angriffe selbst werden immer komplexer und fortschrittlicher. Das gilt vor allem bei Attacken auf große Unternehmen, bei denen die Täter wirtschaftlich interessante Betriebs- und Geschäftsgeheimnisse abgreifen können, oder auf Betreiber Kritischer Infrastrukturen (KRITIS).

Diese Unternehmen sehen sich einem noch größeren Risiko ausgesetzt und sollten daher auch auf hochentwickelte, komplexe Angriffe vorbereitet sein. Eine solche Angriffsart ist ein Advanced Persistent Threat (APT).

Was ist ein APT? Welche Unternehmen stehen im Fokus solcher Attacken? Warum sind Advanced Persistent Threats so gefährlich? Wie können Unternehmen sich schützen? Dieser Artikel beantwortet die wichtigsten Fragen.

Ein Advanced Persistent Threat (auf Deutsch: hochentwickelte anhaltende Bedrohung) ist ein gezielter Cyber-Angriff auf ein Unternehmen, bei dem komplexe Angriffstaktiken in Kombination mit fortschrittlichen Technologien zum Einsatz kommen. Um den Angriff durchführen zu können, verschaffen sich die Täter vorab detaillierte Informationen über die Systeme und Netzwerke des Unternehmens, auf das der Angriff abzielt. Hinter solchen Angriffen stehen entweder organisierte kriminelle Gruppen oder auch staatlich gesteuerte Kollektive.

APT-Angriffe zeichnen sich dadurch aus, dass sie langfristig angelegt sind und sehr zielgerichtet stattfinden. Anders als bei anderen Cyber-Angriffsarten handelt es sich nicht um eine einzelne, punktuelle Attacke, sondern um einen kontinuierlichen Angriff, bei dem die Angreifer über einen längeren Zeitraum hinweg immer wieder auf die Systeme des Unternehmens zugreifen, sich in ihnen bewegen und so sensible Daten und Informationen (z. B. Finanzdaten, Geschäftsgeheimnisse oder Kundendaten) ausspionieren.

Auch wenn APT-Angriffe grundsätzlich für alle Unternehmen eine Bedrohung darstellen, führt die Komplexität der Angriffe und die Tatsache, dass ihre Umsetzung eine beachtliche Menge an Ressourcen benötigt, dazu, dass diese Art von Cyber-Angriffen in erster Linie dann zum Einsatz kommt, wenn sich die Angreifer einen entsprechend großen Nutzen von dem Angriff erhoffen.

Interessant für Angreifer sind vor allem solche Unternehmen, von denen sie kritische Betriebs- und Geschäftsgeheimnisse erbeuten können, um daraus einen signifikanten finanziellen Gewinn zu erzielen. Dazu gehören zum Beispiel Ergebnisse aus Forschung und Entwicklung oder Informationen zu bestimmten Herstellungsverfahren, die sie für teures Geld an Konkurrenten des Unternehmens verkaufen können.

Das bedeutet allerdings nicht, dass diese Art von Angriffen nur auf große Unternehmen und Konzerne abzielt. Auch KMU (kleine und mittelständische Unternehmen) können für Angreifer interessant sein, wenn sie in ihrem Marktsegment dominieren oder als Zulieferer in der Lieferkette eines Großunternehmens fungieren. 

In diesem Fall können Kriminelle einen Supply-Chain-Angriff durchführen und versuchen, über die Systeme des Zulieferers einen Angriff auf das Großunternehmen zu verüben. Auch Behörden und Betreiber Kritischer Infrastrukturen (KRITIS) sind häufig Ziele von APT-Angriffen.

Um sich gegen Advanced Persistent Threats zu schützen, müssen Unternehmen zusätzliche Vorkehrungen treffen, die über die üblichen Maßnahmen zum Schutz vor Cyber-Kriminalität hinausgehen. Neben standardmäßigen IT-Sicherheitsmaßnahmen wie Firewall, Anitivirenprogramme, Patchmanagement und Mehrfaktorauthentifzierung gehören hierzu auch:

• Datenverschlüsselung und Zugriffsbeschränkung: Auch wenn die Datenbank gut geschützt ist, sollten Daten nicht im Klartext gespeichert werden. Verschlüsselung bietet eine zusätzliche Schutzschicht. Auch sollten nicht alle Mitarbeitenden eine unbeschränkten Systemzugriff haben. Ein effektives Zugriffsmanagement kann helfen, den Schaden zu begrenzen, sollten es Unbefugte schaffen, sich Zugriff zu verschaffen.
• Netzwerksegmentierung: Die Aufteilung des Netzwerks in kleinere Segmente hilft dabei, den potenziellen Schaden bei einem Angriff zu minimieren. Das erlaubt es den Netzwerkadministratoren, den Datenverkehr zwischen den einzelnen Subnetzen gezielt zu steuern.
• EDR-Tools: EDR-Systeme (Endpoint Detection and Response) helfen Unternehmen, verdächtige Aktivitäten an Endpunkten wie Computern und Servern zu erkennen und zu beheben.
• IDS- und IPS-Tools: Intrusion Detection Systeme (IDS) und Intrusion Prevention Systeme (IPS) werden eingesetzt, um nicht autorisierte oder verdächtige Aktivitäten im Netzwerk zu erkennen und zu verhindern.
• Anomalieerkennung: Während Künstliche Intelligenz für Cyber-Angriffe missbraucht werden kann, findet KI in Kombination mit Maschinellem Lernen auch Einsatz in der Erkennung von Anomalien in Systemen und Netzwerken, die auf einen möglichen APT-Angriff hindeuten können.
• Qualifizierte Dienstleister: Einige Anbieter von Cyber-Sicherheitslösungen bieten sowohl Präventionsmaßnahmen als auch APT-Response-Dienstleistungen an. Eine Auswahl qualifizierter APT-Dienstleister ist hier aufgelistet.

Ausführliche Informationen zu den empfohlenen Sicherheitsmaßnahmen gegen APT-Angriffe stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) zur Verfügung.