--- title: "Wenn ein Sicherheitselement gefährlich wird — ZEBR.ai" description: "Im IT-Bereich schützt sich heute die überwiegende Mehrheit der Unternehmen auf verschiedene Weise vor Cyberkriminellen, am häufigsten durch den Einsatz eines oder mehrerer Sicherheitsprodukte. Kann es jedoch passieren, dass eines dieser Produkte von Angreifern kompromittiert wird, selbst gefährlich wird und das geschützte Netzwerk bedroht? Leider müssen wir…" url: "https://zebr.ai/de/blog/wenn-ein-sicherheitselement-gefaehrlich-wird" markdown_url: "https://zebr.ai/de/blog/wenn-ein-sicherheitselement-gefaehrlich-wird.md" language: "de" published: "2021-02-26T12:45:35+00:00" alternates: cs: "https://zebr.ai/cs/blog/kdyz-se-bezpecnostni-prvek-stane-nebezpecnym.md" en: "https://zebr.ai/en/blog/when-a-security-tool-becomes-dangerous.md" sl: "https://zebr.ai/sl/blog/ko-se-varnostni-element-spremeni-v-nevarnega.md" sk: "https://zebr.ai/sk/blog/ked-sa-bezpecnostny-prvok-stane-nebezpecnym.md" hr: "https://zebr.ai/hr/blog/kada-sigurnosni-element-postane-opasan.md" sr-Latn: "https://zebr.ai/sr-latn/blog/kada-bezbednosni-element-postane-opasan.md" bs: "https://zebr.ai/bs/blog/kada-sigurnosni-element-postane-opasan.md" sq: "https://zebr.ai/sq/blog/kur-nje-element-sigurie-behet-i-rrezikshem.md" fr: "https://zebr.ai/fr/blog/quand-un-element-de-securite-devient-dangereux.md" es: "https://zebr.ai/es/blog/cuando-un-elemento-de-seguridad-se-vuelve-peligroso.md" pt-BR: "https://zebr.ai/pt-br/blog/quando-um-recurso-de-seguranca-se-torna-perigoso.md" pl: "https://zebr.ai/pl/blog/gdy-element-bezpieczenstwa-staje-sie-niebezpieczny.md" it: "https://zebr.ai/it/blog/quando-un-elemento-di-sicurezza-diventa-pericoloso.md" nl: "https://zebr.ai/nl/blog/wanneer-een-beveiligingscomponent-gevaarlijk-wordt.md" hu: "https://zebr.ai/hu/blog/amikor-egy-biztonsagi-elem-veszelyesse-valik.md" ro: "https://zebr.ai/ro/blog/cand-un-element-de-securitate-devine-periculos.md" tr: "https://zebr.ai/tr/blog/guvenlik-unsuru-tehlikeli-hale-geldiginde.md" id: "https://zebr.ai/id/blog/ketika-fitur-keamanan-menjadi-berbahaya.md" --- [Startseite](https://zebr.ai/de/) [Blog](https://zebr.ai/de/blog) Wenn ein Sicherheitselement gefährlich wird # Wenn ein Sicherheitselement gefährlich wird [Blog](https://zebr.ai/de/blog?tag=blog) [GFI Software](https://zebr.ai/de/blog?tag=gfi-software) [N-able](https://zebr.ai/de/blog?tag=n-able) [Patch-Management](https://zebr.ai/de/blog?tag=patch-management) [Schwachstellen](https://zebr.ai/de/blog?tag=vulnerabilities) Im IT-Bereich schützt sich heute die überwiegende Mehrheit der Unternehmen auf verschiedene Weise vor Cyberkriminellen, am häufigsten durch den Einsatz eines oder mehrerer Sicherheitsprodukte. Kann es jedoch passieren, dass eines dieser Produkte von Angreifern kompromittiert wird, selbst gefährlich wird und das geschützte Netzwerk bedroht? Leider müssen wir… 26.2.2021 · 4 Min. Lesezeit · ZEBR.ai-Redaktion Im IT-Bereich schützt sich heute die überwiegende Mehrheit der Unternehmen auf verschiedene Weise vor Cyberkriminellen, am häufigsten durch den Einsatz eines oder mehrerer Sicherheitsprodukte. Kann es jedoch passieren, dass eines dieser Produkte von Angreifern kompromittiert wird, selbst gefährlich wird und das geschützte Netzwerk bedroht? Leider müssen wir feststellen, dass dies passieren kann, und die Geschichte kennt bereits mehrere solcher Fälle. Einer davon ist der Fall vom Ende des vergangenen Jahres, als bekannt wurde, dass die Software zur Fernverwaltung von Arbeitsstationen und Servern SolarWinds Orion kompromittiert wurde und die Angreifer ihre Fähigkeit zur Verbreitung ausführbaren Codes nutzten, um statt Updates und Patches Malware zu verbreiten. Die CISA (Cybersecurity & Infrastructure Security Agency) veröffentlichte am 13. Dezember 2020 eine Richtlinie, in der sie vor diesem Sicherheitsrisiko warnt und alle Bundesbehörden in den Vereinigten Staaten zu einer sofortigen Reaktion verpflichtet, einschließlich der umgehenden Überprüfung, ob bereits ein Angriff erfolgt ist, sowie in den meisten Fällen der sofortigen Abschaltung der Plattform SolarWinds Orion. Die Liste der kompromittierten Institutionen ist ziemlich beeindruckend und enthält auch sehr bekannte Namen wie das US Pentagon, die NASA, die NSA und weitere. Hier möchte ich einen Einschub machen – die Malware namens Sunburst griff nur die Plattform SolarWinds Orion an, nicht jedoch andere Produkte der SolarWinds-Familie wie beispielsweise SolarWinds MSP N-Central und RMM. Weitere Details finden Sie unter diesem Link: Wie läuft ein solcher Angriff über ein Sicherheitsprodukt ab? Die Kompromittierung des Systems SolarWinds Orion besteht aus mehreren Ebenen. Der Serverteil der Orion-Plattform wird regelmäßig von Update-Servern aktualisiert. Genau diese Server wurden von den Angreifern zuerst kompromittiert, denen es gelang, dort Schadcode zu platzieren und ihn dadurch ahnungslosen Organisationen zum Download bereitzustellen. Nach dem Eindringen in das Netzwerk der Opfer vermieden die Angreifer die Erkennung auf mehrere Arten. Die erste bestand darin, jegliche Aktion zu verzögern: Der Code wurde nicht sofort, sondern erst nach zwei Wochen aktiviert. Darüber hinaus konnten die Angreifer den Code digital signieren und ihn in einer Bibliothek namens BusinessLayer.dll verstecken. Nicht zuletzt verwendet dieser Code mehrere Techniken zur Erkennung, ob er nicht in einer Sandbox ausgeführt wird. In der Regel genügt es ihm, einen „Ping“ an bekannte Netzwerksegmente zu senden, um zu überprüfen, ob diese existieren, sowie an seine eigene „Basis“. Bisher handelte es sich um einen klassischen Einbruch in das Netzwerk von SolarWinds Orion und die Netzwerke seiner Kunden. In diesem Moment müssen wir jedoch erkennen, dass sich der Angreifer buchstäblich zur richtigen Zeit am richtigen Ort befand. Software, die für die Verwaltung von Computern im Netzwerk, deren Aktualisierung sowie die Installation oder Deinstallation von Anwendungen vorgesehen ist, muss zwangsläufig über ausreichend hohe Berechtigungen verfügen, beispielsweise in Form eines lokalen oder Domänenadministrators. Unser Angreifer hat diese Software nun vollständig zur Verfügung und kann daher auf allen Geräten im verwalteten Netzwerk beliebigen weiteren Code installieren und natürlich auch ausführen. Damit kann die Endphase des Angriffs beginnen, die sich von Opfer zu Opfer unterscheiden wird; der Angreifer wird anhand der gewonnenen Informationen entscheiden, wodurch das Netzwerk des Opfers für ihn interessant ist. Vielleicht denken Sie jetzt, dass es in der Situation des Opfers ausreichen würde, die Orion-Plattform einfach abzuschalten, und die Gefahr wäre gebannt. Das ist jedoch ein großer Irrtum, denn wenn der Angreifer bereits die Phase erreicht hat, in der er das Netzwerk vollständig kontrollierte, konnte er auf beliebigen weiteren Computern zusätzlichen Code installieren. Daher beseitigt auch die Abschaltung der Verwaltungsplattform die Gefahr nicht. Es ist notwendig, proaktiv zu handeln und das gesamte Netzwerk auf das Vorhandensein von Schadcode zu scannen. Auf die Kompromittierung der Orion-Plattform haben auch andere Hersteller bereits reagiert. So hat beispielsweise GFI seinem Produkt **GFI LanGuard** die Fähigkeit hinzugefügt, durch diese Kompromittierung verursachte Schwachstellen zu erkennen. Und nicht nur das: LanGuard von GFI verfügt über sehr ähnliche Fähigkeiten wie SolarWinds Orion, also über die Möglichkeit des Patch-Managements und Netzwerkaudits, und ergänzt diese um die Fähigkeit, Schwachstellen auf allen Geräten im Netzwerk zu scannen. Sehr positiv ist der Ansatz des Herstellers, der eine funktional uneingeschränkte Testversion für 30 Tage bereitstellt. Standardmäßig ist die Testversion auf 25 IP-Adressen begrenzt, doch durch eine einfache Anfrage beim Hersteller kann die Unterstützung auf bis zu 10.000 Geräte erweitert werden. Ein derart großzügiges Angebot wird sicherlich allen Unternehmen, die von der Schwachstelle der Orion-Plattform betroffen sind, ermöglichen, ihr Netzwerk zu bereinigen und während der gesamten Zeit vollständig geschützt zu bleiben. *Der Artikel wurde in der Zeitschrift IT Systems Nr. 1-2/2021 veröffentlicht.* Artikelautor: ZEBR.ai-Redaktion Weiterlesen ## Weitere ähnliche Artikel [Alle Artikel](https://zebr.ai/de/blog) ### [ZEBR.AI: N-able führt in seinen UEM- und Sicherheitslösungen die Erkennung von Shadow AI ein](https://zebr.ai/de/blog/zebr-ai-n-able-fuehrt-die-erkennung-von-schatten-ki-in-seinen-uem-und-sicherheitsloesungen-ein) Neue Funktionen bieten Transparenz über die Nutzung von AI-Tools auf allen Endgeräten und in Netzwerken nach einzelnen Identitäten, ohne dass zusätzliche Agenten oder Infrastruktur erforderlich sind 28.9.2026 · 3 Min. Lesezeit ### [Acronis: Ransomware kann die Produktion auch ohne Angriff auf PLC-Systeme zum Stillstand bringen](https://zebr.ai/de/blog/acronis-ransomware-kann-die-produktion-auch-ohne-angriff-auf-plc-systeme-zum-stillstand-bringen) Ransomware ist für Produktionsunternehmen nicht nur eine Frage der IT-Sicherheit, sondern eine Frage der Produktionskontinuität 23.9.2026 · 3 Min. Lesezeit ### [GFI Archiver AI vereinfacht die Integration mit GFI KerioConnect](https://zebr.ai/de/blog/gfi-archiver-ai-vereinfacht-die-integration-mit-gfi-kerioconnect) Die direkte Integration beider Produkte erleichtert die Arbeit mit geschäftlichen E-Mails, verbessert die Leistung des Mailservers und ermöglicht eine effizientere Erfüllung gesetzlicher Vorgaben 21.9.2026 · 2 Min. Lesezeit Kontakt ## Suchen Sie eine Lösung für sich selbst oder für Ihren Kunden? Sagen Sie uns, für welche Leistung Sie sich interessieren – ein Spezialist für diesen Bereich meldet sich direkt bei Ihnen. [+420 596 912 961](tel:+420596912961)\ --- - Quelle: - Website-Übersicht für KI-Agenten: