Cyberangriffe werden komplexer: SOCs gewinnen an Bedeutung
Cyberangriffe werden nach den Erkenntnissen des Security Operations Centers (SOC) von aDvens zunehmend komplexer und setzen sich häufiger aus mehreren aufeinanderfolgenden Angriffstechniken zusammen. Der Threat Status Report 2025/2026 des Anbieters beschreibt unter anderem Kombinationen aus Phishing, kompromittierten Zugangsdaten, dem Missbrauch legitimer Werkzeuge und der Ausnutzung von Schwachstellen. Dabei spielt der Missbrauch von Identitäten eine zentrale Rolle. Nach Angaben von aDvens begannen 80 Prozent der vom eigenen CERT untersuchten Sicherheitsvorfälle mit einem initialen Zugriff über kompromittierte Accounts. Für Unternehmen steigt damit die Bedeutung einer zentralen Überwachung und Korrelation von Sicherheitsereignissen.
Angriffe bestehen aus mehreren Phasen
Angreifer kombinieren zunehmend unterschiedliche Techniken, um zunächst Zugang zu Unternehmensnetzwerken zu erhalten und anschließend möglichst lange unentdeckt zu bleiben. Gestohlene Zugangsdaten aus Phishing-Kampagnen oder Datenlecks können dabei den ersten Zugriff ermöglichen. Anschließend können Angreifer legitime Werkzeuge missbrauchen oder vorhandene Schwachstellen ausnutzen.
Die einzelnen Aktivitäten lassen sich dadurch nicht immer anhand eines isolierten Indicators of Compromise erkennen. Für die Analyse müssen vielmehr Ereignisse aus unterschiedlichen Systemen miteinander in Beziehung gesetzt werden. Dazu können beispielsweise Informationen aus Endpunkten, Identitäts- und Zugriffsmanagement, Netzwerküberwachung sowie weiteren Sicherheitskomponenten gehören.
Identitäten als Angriffspunkt
Die von aDvens ausgewerteten Vorfälle zeigen eine hohe Bedeutung kompromittierter Accounts. Nach Angaben des Anbieters nutzten Angreifer in 80 Prozent der untersuchten Sicherheitsvorfälle einen kompromittierten Account für den initialen Zugriff.
Für die Absicherung von Unternehmensumgebungen bedeutet dies, dass neben klassischen Endpoint- und Netzwerkschutzmaßnahmen auch Identitäten und Zugriffsrechte überwacht werden müssen. Mehrfaktor-Authentifizierung, das Prinzip der geringstmöglichen Berechtigungen sowie die Überwachung verdächtiger Anmeldeaktivitäten können dabei eine Rolle spielen.
SOC soll Ereignisse zusammenführen
Die zunehmende Zahl unterschiedlicher Angriffstechniken stellt laut aDvens auch höhere Anforderungen an die Analyse von Sicherheitsmeldungen. Ein SOC kann Ereignisse aus verschiedenen Sicherheitskomponenten zentral erfassen, korrelieren und priorisieren. Dadurch sollen Zusammenhänge zwischen zunächst unauffälligen Einzelereignissen erkennbar werden.
Andreas Süß, CEO DACH der aDvens GmbH, beschreibt die Aufgabe eines modernen SOC daher als Analyse von Mustern statt als reine Bearbeitung einzelner Warnmeldungen. Nach seiner Einschätzung erfordert die Entwicklung der Angriffsmethoden eine kontinuierliche Analyse, technische Expertise und eine möglichst frühe Einordnung von Bedrohungen.
Unternehmen können ein SOC intern betreiben oder entsprechende Leistungen von einem Managed-Security-Anbieter beziehen. Bei einer Managed-SOC- beziehungsweise Managed-Detection-and-Response-Lösung übernehmen externe Teams je nach Leistungsumfang beispielsweise die Überwachung, Analyse und Priorisierung von Sicherheitsereignissen sowie die Unterstützung bei der Reaktion auf erkannte Angriffe.
Der Threat Status Report 2025/2026 von aDvens basiert auf den Erkenntnissen des eigenen SOC und CERT. Die darin genannten Prozentwerte beziehen sich entsprechend auf die von aDvens untersuchten Sicherheitsvorfälle und sind nicht als allgemeine Statistik für alle Cyberangriffe zu verstehen.
