Wochenlang unbemerkt

Warum viele Cyberangriffe wochenlang unentdeckt bleiben

Viele Unternehmen gehen davon aus, dass ein Cyberangriff sofort auffällt – etwa durch Systemausfälle oder klare Warnmeldungen. Die Realität ist jedoch deutlich unspektakulärer: Angreifer bleiben oft über lange Zeit unbemerkt im Netzwerk. Studien zeigen, dass sich Angreifer im Schnitt über Tage, Wochen oder sogar Monate im System bewegen können, bevor sie entdeckt werden. Diese Zeit wird als „Dwell Time“ bezeichnet – und genau sie entscheidet darüber, wie viel Schaden ein Angreifer anrichten kann.

Der Angriff beginnt – und wird bewusst verlangsamt

Ein Angriff startet häufig mit einem simplen Einstiegspunkt: ein kompromittiertes Passwort, eine Phishing-Mail oder ein Zugriff aus einem Datenleck. In vielen Fällen wird dafür nicht einmal eine Sicherheitslücke ausgenutzt – gültige Zugangsdaten reichen aus. Was danach passiert, ist für viele überraschend: Angreifer arbeiten selten schnell. Im Gegenteil – sie verlangsamen sich bewusst.

Der Grund ist einfach: Schnelle Angriffe erzeugen Aufmerksamkeit. Langsame Angriffe bleiben unentdeckt. Viele Angreifer verhalten sich daher wie normale Benutzer. Sie melden sich zu typischen Arbeitszeiten an, greifen auf bekannte Systeme zu und vermeiden alles, was ungewöhnlich wirken könnte. In einigen Fällen beobachten sie sogar interne Abläufe, um ihr Verhalten besser anzupassen. Gleichzeitig nutzen sie gezielt vorhandene Werkzeuge. Anstatt eigene Malware einzusetzen, greifen sie auf Tools zurück, die in jeder IT-Umgebung vorhanden sind – etwa PowerShell oder Remote Desktop. Dieses Vorgehen wird als „Living off the Land“ bezeichnet. Der Effekt ist entscheidend: Es gibt keinen klaren Angriff, sondern nur scheinbar normale Aktivitäten.

Hinweise gibt es – aber sie werden nicht verbunden

Während dieser Phase entstehen durchaus Auffälligkeiten. Ein Login von einem neuen Gerät, ein Zugriff auf ein bislang ungenutztes System oder die Ausführung eines Skripts – all das passiert. Das Problem ist nicht das Fehlen von Hinweisen, sondern deren Einordnung.

Ein einzelnes Ereignis wirkt harmlos. Doch Angriffe bestehen aus vielen kleinen Schritten. Erst in der Kombination entsteht ein Muster. Genau diese Zusammenhänge werden jedoch oft nicht erkannt. Ein weiterer, wenig bekannter Aspekt: Cyberangriffe sind häufig arbeitsteilig organisiert. Eine Gruppe beschafft Zugangsdaten, eine andere nutzt diese weiter oder verkauft sie erneut. Das bedeutet: Der eigentliche Angriff kann zeitversetzt stattfinden – teilweise Wochen oder Monate nach dem ersten Zugriff.

Hinzu kommt, dass Angreifer ihre Zeit gezielt nutzen. Sie analysieren Netzwerke, sammeln weitere Zugangsdaten und identifizieren kritische Systeme. In vielen Fällen ist das Unternehmen bereits vollständig „verstanden“, bevor überhaupt ein sichtbarer Schaden entsteht. Besonders bei Ransomware-Angriffen zeigt sich das deutlich: Die Verschlüsselung erfolgt oft erst am Ende – wenn der maximale Druck aufgebaut werden kann.

Der eigentliche Grund: Angriffe sehen aus wie normale IT
Der entscheidende Punkt ist, dass moderne Angriffe kaum noch wie Angriffe aussehen. Es gibt keine auffällige Schadsoftware, keine klaren Brüche im Systemverhalten. Stattdessen nutzen Angreifer bestehende Prozesse, legitime Zugriffe und bekannte Tools. Selbst sicherheitsrelevante Aktivitäten wie laterale Bewegungen oder Rechteausweitungen können dabei wie normale Administrator-Tätigkeiten wirken. Viele Sicherheitslösungen erkennen solche Muster zwar grundsätzlich. Doch die Herausforderung liegt nicht in der Erkennung einzelner Ereignisse, sondern in deren Bewertung.

Ein Login, ein Zugriff oder ein Tool sind für sich genommen selten kritisch. Erst im Zusammenhang entsteht ein klares Bild. Ohne kontinuierliche Analyse bleiben diese Zusammenhänge oft verborgen. Genau hier zeigt sich auch die Grenze klassischer Schutzmechanismen. Sie sind darauf ausgelegt, bekannte Bedrohungen zu blockieren – nicht jedoch, komplexe Verhaltensmuster über einen längeren Zeitraum hinweg zu erkennen.

Erweiterte Lösungen wie EDR machen solche Aktivitäten sichtbar. Doch auch hier gilt: Sichtbarkeit allein reicht nicht. Die Vielzahl einzelner Signale muss bewertet, priorisiert und in einen Kontext gesetzt werden. Ohne eine kontinuierliche 24/7 Überwachung bleiben genau diese Zusammenhänge häufig unerkannt. Security Operations Center übernehmen diese Aufgabe, indem sie Ereignisse korrelieren und daraus ein Gesamtbild ableiten – oft lange bevor ein Angriff sichtbar eskaliert.

Fazit

Cyberangriffe bleiben selten unentdeckt, weil es keine Hinweise gibt. Sie bleiben unentdeckt, weil sie bewusst unauffällig ablaufen und sich wie normale Aktivitäten tarnen. Der entscheidende Unterschied liegt daher nicht nur in der Erkennung einzelner Ereignisse, sondern in der Fähigkeit, diese im Kontext zu verstehen. Unternehmen, die genau diese Phase im Blick haben, erkennen Angriffe deutlich früher – bevor sie sich im Netzwerk ausbreiten und echten Schaden verursachen.