Modul 4 - Schutzmechanismen & Architekturen

Die Burg ist längst überrannt

Es ist Dienstag, 14:30 Uhr. Im Lagezentrum der xbank sitzt das CSIRT vor einer Wand aus SIEM-Dashboards. Ein junger Tier-1-Analyst hat eine ungewöhnliche PowerShell-Aktivität auf einem Server in der Buchhaltung gemeldet. Die Forensik läuft seit zwei Stunden. Erste Erkenntnis: der Angreifer ist seit etwa 23 Tagen im Netz. Niemand hat es gemerkt.

Die Diskussion im Raum dreht sich nicht um die Frage “Wie ist er reingekommen?” — die ist beim Phishing-Klick einer Sachbearbeiterin schnell beantwortet. Die wirkliche Frage lautet:

Warum hat unsere Verteidigung nicht früher Alarm geschlagen?

Genau das ist die Geschichte dieses Moduls — vom alten Modell, das genau diese Frage nicht stellen konnte, hin zu modernen Architekturen, die sie zur Grundannahme machen.

Klicken zum Vergrößern

Grafik VPN versus Zero Trust in voller Größe ESC oder Klick außerhalb zum Schließen

Das alte VPN-Modell — und warum es scheitert

Das klassische Sicherheitsmodell der 1990er und 2000er folgte einer einfachen Logik: harte Außenmauer, drinnen wird allem vertraut. Castle-and-Moat oder „VPN-Modell” sind die zwei gängigen Namen dafür. Wer sich einmal per VPN einwählt, hat vollen Zugriff auf alles, was im Netz steht — als hätte er sich durch das Stadttor eingelassen.

In der Praxis hat das Modell sechs typische Schwachstellen, die in der Grafik oben links zusammengefasst sind:

Kompromittierte Konten

Ein gestohlenes Login-Passwort genügt — wer durch die Tür kommt, ist drinnen. Ohne kontinuierliche Prüfung bleibt der Angreifer monatelang unerkannt. Hauptthemen: Credential Stuffing (gestohlene Passwortlisten aus anderen Datenpannen), Phishing-Erfolge, schwache Passwort-Politiken.

Malware im Netzwerk

Schadsoftware, die einmal in der internen Zone landet, kann sich ungehindert auf andere Systeme ausbreiten. Klassische Beispiele aus früheren Modulen: WannaCry 2017 verbreitete sich über das interne SMB-Protokoll. NotPetya 2017 nutzte interne Vertrauensbeziehungen, um sich von Maersk-System zu Maersk-System zu verbreiten.

Laterale Bewegung

Sobald ein Angreifer einen Brückenkopf hat, wandert er von Server zu Server, sucht privilegierte Zugänge, baut sich eine Karte des internen Netzes auf. Im Castle-and-Moat-Modell gibt es keine inneren Mauern — die Bewegung ist ungebremst.

Phishing-Angriffe

Phishing zielt direkt auf den schwächsten Punkt: den Mitarbeiter, der das VPN-Login eingibt. Ein erfolgreiches Phishing entwertet die gesamte Perimeter-Schutzschicht — der Angreifer wirkt wie ein legitimer Benutzer, weil er mit dessen Account arbeitet.

Datenexfiltration

Wenn der Wassergraben nur den Eingang überwacht, nicht den Ausgang, kann ein Angreifer beliebig viele Daten nach außen schicken. Bangladesh Bank, HSBC SwissLeaks und Capital One sind alle Vorfälle, in denen die Exfiltration erst nach Tagen oder Monaten auffiel — und in denen die Vor-VPN-Grenze keine Hilfe war.

Unsichere Geräte

Im klassischen Modell darf jedes Gerät, das im VPN angemeldet ist, ins Netz. Ob es einen aktuellen Patch-Stand hat, ob ein EDR läuft, ob es überhaupt ein dienstliches Gerät ist — wird nicht geprüft. Ein ungepatchter Heim-Laptop wird genauso behandelt wie ein gehärteter Bank-Arbeitsplatz.

Zero Trust — die Antwort

Zero Trust ist eine Architektur-Philosophie: kein Vertrauen wird implizit gewährt, jeder Zugriff wird einzeln geprüft. Geprägt 2010 von Forrester Research, durch das US-Standardwerk NIST SP 800-207 (2020) zum Industriestandard ausgearbeitet.

Vier operative Prinzipien

In der Bank-Praxis konkretisiert sich Zero Trust in vier Prinzipien — in der Grafik oben rechts als Quadranten dargestellt:

1. Identität verifizieren. Jeder Zugriff erfordert eine nachweisbare Identität — nicht nur einmalig beim Login, sondern bei jedem sensiblen Schritt. Werkzeuge: IAM, MFA, PAM, passwortlose Verfahren wie Passkeys.

2. Gerät prüfen. Auch das Gerät selbst muss vertrauenswürdig sein: aktueller Patch-Stand, Disk-Encryption aktiv, EDR läuft, kein Jailbreak. Ohne Compliance-Prüfung kein Zugriff — selbst wenn die Identität korrekt ist.

3. Kontinuierlich überwachen. Vertrauen ist nicht statisch. Wenn sich das Verhalten eines Nutzers oder Geräts plötzlich ändert (Login aus ungewöhnlichem Land, plötzlicher Massendownload), greift die Detection. SIEM, XDR und Verhaltensanalyse sind die operativen Werkzeuge.

4. Zugriff minimum. Jeder bekommt nur die Rechte, die für die konkrete Aufgabe nötig sind, und nur für die konkrete Zeit. Just-in-Time-Privilegien statt Dauer-Admin. Just-Enough-Access statt voller Rolle. Das ist Least Privilege in der konsequenten Form.

Die Prinzipien hinter den Prinzipien — NIST SP 800-207

Die vier operativen Punkte oben lassen sich auf drei strategische Grundsätze von NIST zurückführen:

In jedem Bewerbungsgespräch für eine 2nd-Line- oder SOC-Rolle wird nach beiden Sichtweisen gefragt — der strategischen (“was sind die Prinzipien?”) und der operativen (“was tust du konkret?”).

Was bedeutet das in einer Bank konkret?

Die folgende Tabelle ist die Standard-Vergleichsfolie in jedem Architektur-Workshop:

Defense in Depth — sieben Schichten als Verstärkung

Zero Trust beschreibt das Architektur-Prinzip („nichts und niemandem implizit vertrauen”). Defense in Depth beschreibt die konkrete Umsetzung in mehreren parallelen Schutzschichten. Beide gehören zusammen: Zero Trust ohne Defense in Depth wäre eine Idee ohne Implementierung; Defense in Depth ohne Zero Trust wäre alte Perimeter-Logik mit mehr Mauern.

Die sieben klassischen Schichten:

Jede Schicht ist gegen bestimmte Phasen der Cyber Kill Chain wirksam: Awareness greift bei “Delivery”, Endpoint-Schutz bei “Exploitation” und “Installation”, Netzwerk-Segmentierung bei “Lateral Movement”, SIEM/SOC bei “C2” und “Action on Objectives”.

Netzwerksegmentierung & Mikrosegmentierung

Eine zentrale Verteidigungslinie ist die Trennung des Netzes in Zonen. Klassisch funktioniert das so:

In der Praxis ist das Zonenmodell bei Banken seit Jahrzehnten Standard: SWIFT-Endpoints leben in einer eigenen, hochisolierten Zone (SWIFT-CSP verlangt das explizit). Die Kernbank ist von der Office-IT getrennt. Web-Frontends sitzen in der DMZ, sodass Internet-Zugriff den Buchungs-Backend nie direkt erreicht.

Mikrosegmentierung

Was Zero Trust dem Modell hinzufügt: Auch innerhalb einer Zone wird kein implizites Vertrauen gewährt. Wenn 30 Server im internen Netz stehen, heißt Mikrosegmentierung: jeder einzelne Server bekommt seine eigene Policy. Eine kompromittierte Datenbank kann dadurch nicht einfach den Mailserver nebenan angreifen, obwohl beide im selben Subnet stehen.

East-West vs. North-South

Zwei Begriffe, die du in jedem Architektur-Gespräch hören wirst:

• North-South Traffic: Verkehr, der zwischen “drinnen” und “draußen” fließt — klassisch durch die Firewall.
• East-West Traffic: Verkehr innerhalb des internen Netzes — zwischen zwei Servern, zwei Containern, zwei Services. Genau das ist die Lücke, die Mikrosegmentierung schließt.

Die meisten Angreifer verbringen 95 Prozent ihrer Zeit mit East-West-Bewegung. Wer die nicht überwacht, sieht den Angriff bis Phase 6 der Kill Chain nicht.

Endpoint-Schutz: AV → EDR → XDR

Drei Generationen von Endpoint-Sicherheit, jede mit anderen Erkennungs-Mechanismen:

Was leistet ein modernes EDR konkret?

Ein typischer EDR-Agent auf einem Bank-Laptop sammelt Tausende Telemetrie-Ereignisse pro Minute: Prozess-Starts, Datei-Zugriffe, Netzwerk-Verbindungen, PowerShell-Befehle, Registry-Änderungen. Diese Telemetrie wird zentral korreliert. Wenn ein bestimmtes Muster auftaucht (z.B. “Word startet PowerShell, das eine Verbindung zu einer ungewöhnlichen externen IP aufbaut”), schlägt der EDR Alarm — und kann den Prozess isolieren oder beenden, bevor Schaden entsteht.

Marktführer für Bank-Einsatz 2026: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Palo Alto Cortex XDR. Bei großen Häusern teilweise parallel im Einsatz, um Hersteller-Abhängigkeit zu reduzieren.

SIEM & SOC — die Detection-Schicht

Wenn EDR der Sensor auf jedem Endpoint ist, dann ist SIEM die zentrale Konsole, auf der alle Sensoren zusammenlaufen — Endpoints, Netzwerk-Geräte, Anwendungen, Cloud-Plattformen, Identity-Systeme. Der SOC ist das Team, das diese Konsole bedient.

Was sammelt ein SIEM?

Typische Datenquellen in einer Bank:

• Endpoint-Logs: Logins, Prozess-Aktivität, Dateioperationen
• Netzwerk-Logs: Firewall, Proxy, IDS/IPS, NetFlow
• Anwendungs-Logs: Web-Server, Datenbanken, SWIFT-Gateway
• Cloud-Audit-Trails: AWS CloudTrail, Azure Activity Logs, M365 Audit
• Identity-Logs: AD, Entra ID, MFA-Events, PAM-Sessions

Ein mittelgroßes Bank-SIEM verarbeitet mehrere Milliarden Events pro Tag. Die Kunst ist nicht das Sammeln, sondern das Korrelieren zu sinnvollen Alarmen — dort, wo Detection-Engineering anfängt.

Das SOC-Tier-Modell

Eigenbetrieb oder MSSP?

Banken stehen vor der Wahl: eigenes SOC aufbauen oder bei einem Managed Security Service Provider einkaufen?

Realistisch in deutschen Banken: Hybridmodell. Tier 1 + 2 oft beim MSSP, Tier 3 (Threat Hunting, Detection-Engineering) im Haus mit der 2. Linie verzahnt. Die genaue Trennung ist regelmäßig Audit-Thema, weil DORA Art. 5-15 die Eigenverantwortung der Bank für IKT-Risikomanagement explizit fordert.

In kleinen Banken und Förderbanken ist diese Trennung nochmal anders gelagert — dort wird das SOC oft vollständig ausgelagert und das CSIRT als virtuelle Rolle organisiert. Wir vertiefen die drei Organisations-Modelle (Großbank, Mittelbank, Förderbank) in Modul 9 — Vorfallmanagement.

Zwei zentrale KRIs

• MTTD — Mean Time To Detect. Wie lange dauert es, bis wir einen Vorfall erkennen? Branchen-Mittelwert 2024: rund 200 Tage (IBM „Cost of a Data Breach Report 2024”). Ziel in einer reifen Bank: unter 24 Stunden.

• MTTR — Mean Time To Respond / Repair. Wie lange von der Erkennung bis zur erfolgreichen Eindämmung? Ziel in einer reifen Bank: unter 4 Stunden bei kritischen Vorfällen.

Beide sind Pflicht-KRIs in der 2.-Linie-Berichterstattung an Vorstand und Aufsicht.

Krypto und IAM kompakt

Beide Themen verdienen eigentlich eigene Module — die Vertiefung ist für Phase 3 vorgesehen. Hier nur das Mindest-Vokabular, das in jedem Architektur-Gespräch fällt.

Kryptographie

• PKI — Public Key Infrastructure: Ausstellung und Verwaltung digitaler Zertifikate. Grundlage für alles, was Authentizität verlangt.
• TLS — Transport Layer Security: verschlüsselte Verbindung zwischen Client und Server. Heute Pflicht für jede Web-Kommunikation.
• Symmetrische vs. asymmetrische Verschlüsselung: AES (symmetrisch, schnell), RSA / ECC (asymmetrisch, für Schlüsselaustausch und Signaturen)
• Hashing: SHA-256, BLAKE2 — für Integritäts-Prüfung und Passwort-Speicherung
• Hardware Security Modules (HSMs) — physische Geräte, in denen Banken ihre kryptographischen Schlüssel speichern. Pflicht für SWIFT, ZKA, qualifizierte elektronische Signatur.

Identity & Access Management

• IAM — Identity and Access Management: Lifecycle einer Identität (Joiner-Mover-Leaver), Authentisierung, Autorisierung. BAIT AT 7 ist hier sehr explizit.
• PAM — Privileged Access Management: Sonderbehandlung für Admins, Service-Accounts, Notfall-Zugriffe. Just-in-Time-Access, Session-Recording.
• RBAC — Role-Based Access Control: Berechtigungen über Rollen, nicht über Personen.
• MFA — Multi-Faktor-Authentisierung: heute Pflicht für jeden privilegierten Zugriff.
• Least Privilege — das Prinzip dahinter.

Bank-Beispiele — Defense in Depth in der Realität

Capital One 2019 — eine Schicht alleine reicht nicht

Im Juli 2019 wurde bekannt, dass eine ehemalige AWS-Mitarbeiterin 100 Millionen Datensätze der US-Bank Capital One exfiltriert hatte. Der Angriffsvektor: eine Misskonfiguration einer AWS Web Application Firewall (WAF) ermöglichte Server-Side Request Forgery, mit der die Angreiferin AWS-Metadata-API- Credentials abgreifen konnte.

Was an dem Fall lehrt:

• Die WAF-Schicht hat versagt — klassischer „ein-Layer-Versagen”-Fall
• Detection greift trotzdem — Capital One bemerkte den Vorfall durch einen externen Hinweis (verantwortliche Disclosure auf GitHub)
• MTTD lag bei rund 4 Monaten — der Angriff begann März 2019, entdeckt wurde er Juli 2019
• 80 Mio Dollar Strafe durch das US-OCC (Office of the Comptroller of the Currency) wegen mangelhafter Cloud-Risiko-Steuerung

Quelle: US DoJ Indictment 2019, Capital One 8-K-Filing, OCC Consent Order August 2020.

Maersk / NotPetya 2017 — Defense in Depth + BCM rettet die Firma

NotPetya legte 2017 die globale IT von A.P. Møller-Maersk in einer Stunde lahm: 49.000 Laptops, 4.000 Server, 2.500 Anwendungen unbrauchbar. Schaden: rund 300 Millionen US-Dollar.

Was Maersk gerettet hat:

• Backups, die offline waren — und damit nicht mit infiziert wurden
• Eine Active-Directory-Replik in einem Büro in Ghana, das während des Angriffs gerade einen Stromausfall hatte und damit unangetastet blieb
• Ein in-house gebautes „Krisenstabs-Playbook”, das BCM mit Cyber-Forensik koppelte
• 10 Tage bis zur Wiederherstellung der Kern-IT

Quelle: A.P. Møller-Maersk Annual Report 2017, Wired-Artikel „The Untold Story of NotPetya” August 2018, Vortrag von Andy Powell (Maersk CISO) auf DEF CON 27.

Lehre: Defense in Depth schützt nicht nur vor dem Eindringen, sondern ermöglicht auch die Wiederherstellung. Backup-Strategie, segmentierte AD-Replikation und ein vorab geprobtes Recovery-Playbook sind genauso Defense-in-Depth wie Firewalls und EDR.

Die fünf Merksätze für Modul 4

1. Vertrauen ist keine Sicherheitsstrategie. Castle-and-Moat hält keinem APT, keinem Insider und keinem Lieferketten-Angriff stand. Assume Breach ist die neue Grundannahme.

2. Zero Trust steht auf vier operativen Beinen: Identität verifizieren, Gerät prüfen, kontinuierlich überwachen, Zugriff minimieren. Wer eines davon weglässt, hat kein Zero Trust.

3. Defense in Depth ergänzt Zero Trust, ersetzt es nicht. Sieben parallele Schutzschichten erzeugen Robustheit; Zero Trust gibt ihnen die gemeinsame Logik.

4. EDR ist heute Mindeststandard, XDR der Trend. Klassisches AV ist Bestandsfragment. SIEM und SOC sind die Brücke zur Detection — ohne sie ist Defense in Depth blind.

5. MTTD und MTTR sind die Meisterklasse-KRIs. Die teuerste Firewall ist nichts wert, wenn niemand auf den Alarm reagiert. Banken-Reife misst sich an der Geschwindigkeit, mit der Vorfälle erkannt und eingedämmt werden.