Living-Off-the-Land-Angriffe (LOTL): Leitfaden zur Erkennung und Prävention

Was sind Living-Off-the-Land-Angriffe (LOTL)?

Ein Angreifer hält sich über längere Zeit in Ihrem Netzwerk auf. Keine eigens entwickelte Malware. Keine verdächtigen ausführbaren Dateien. Für jede Aktion nutzt er Tools, die bereits mit Ihrem Betriebssystem ausgeliefert wurden. Genau das dokumentiert ein CISA-Advisory zu Volt Typhoon. Dieser staatlich unterstützte Bedrohungsakteur aus der Volksrepublik China hielt mithilfe betriebssystemeigener Tools und gültiger Zugangsdaten den Zugriff auf kritische Infrastruktur in den USA aufrecht, darunter Kommunikations-, Energie-, Verkehrs- und Wassersysteme.

Living off the land, kurz LOTL, bezeichnet eine Klasse von Verhaltensweisen, bei denen Gegner bereits vorhandene Tools und Prozesse auf einem Zielsystem missbrauchen. Angreifer nutzen diese vertrauenswürdigen, vorinstallierten Binärdateien, sogenannte Living Off the Land Binaries oder LOLBins, um sich in normale Systemaktivitäten einzufügen, unauffällig zu agieren und Sicherheitsmechanismen zu umgehen. Die im März 2025 veröffentlichte CISA-Leitlinie beschreibt diesen Ansatz als Möglichkeit für Bedrohungsakteure, "Investitionen in die Entwicklung und den Einsatz eigener Tools zu vermeiden" und zugleich das Risiko zu senken, entdeckt oder blockiert zu werden.

LOTL kommt in Windows-, Linux- und macOS-Umgebungen sowie in Cloud- und Hybridumgebungen zum Einsatz. Unter macOS heißt das entsprechende Konzept "Living Off the Orchard" oder LOOBins. Die Technik erstreckt sich über den gesamten Angriffszyklus: von der ersten Ausführung über Persistenz, laterale Bewegung und den Zugriff auf Zugangsdaten bis zur Datenexfiltration. Für Sicherheitsteams sind daher Einblicke in das Verhalten und eine strenge Kontrolle vertrauenswürdiger Tools wichtiger als Signaturen bekannter schädlicher Dateien.

Statt Malware zu schreiben, die Sicherheitstools anhand von Signaturen erkennen und isolieren können, nutzen Angreifer PowerShell, WMI, certutil und andere Tools, die IT-Teams täglich einsetzen. Ihr Virenschutz vertraut ihnen. Ihre Zulassungslisten geben sie frei. Ihr SIEM erwartet sie. Laut dem CISA-Leitfaden von 2025 nutzen selbst die Red Teams von CISA „häufig öffentlich bekannte LOTL-Techniken für die Ausführung, Persistenz, laterale Bewegung, Erkundung und den Zugriff auf Zugangsdaten, ohne dass Sicherheitsteams ihre Aktivitäten in den Netzwerken meist entdecken“. Um zu verstehen, warum das so gut funktioniert, lohnt sich ein Blick auf die Techniken und Tools, auf die sich Angreifer stützen.

Techniken und Tools hinter Living-Off-the-Land-Angriffen

LOTL-Angriffe beruhen auf gemeinsamen Bausteinen. Wer sie versteht, kann routinemäßige Administration von einem aktiven Angriff unterscheiden.

• Living Off the Land Binaries (LOLBins): Das sind betriebssystemeigene, signierte ausführbare Dateien, die Angreifer für ihre Zwecke nutzen. Das LOLBAS Project, auf das CISA ausdrücklich verweist, katalogisiert Windows-LOLBins, während GTFOBins Unix/Linux und LOOBins macOS abdeckt.
• Gültige Zugangsdaten: LOTL funktioniert selten ohne gestohlene Zugangsdaten oder kompromittierte Konten. Volt Typhoon nutzte kompromittierte Zugangsdaten von Domänenadministratoren für die laterale Bewegung per RDP in den Netzwerken der Opfer.
• Dateilose Ausführung: Payloads werden im Arbeitsspeicher oder über vorhandene Software ausgeführt, ohne ausführbare Dateien auf den Datenträger zu schreiben. So umgehen Angreifer Virenschutz-Signaturen. Eine von SANS dokumentierte Technik kombiniert PowerShells Get-Clipboard mit Invoke-Expression, um Code auszuführen, der IOCs vermeidet.
• Proxy-Ausführung über System-Binärdateien: Bei dieser unter MITRE T1218 erfassten Technik werden vertrauenswürdige, signierte Binärdateien genutzt, um schädliche Payloads auszuführen. Die Binärdatei ist legitim und oft von Microsoft signiert. Die Payload, die sie startet, ist es nicht.
• Befehls- und Skriptinterpreter: PowerShell (T1059.001), Windows Command Shell (T1059.003) und Unix-Shells (T1059.004) geben Angreifern umfassende Skriptfunktionen über Tools, auf die Ihr Unternehmen angewiesen ist.

Jede dieser Techniken nutzt eine kleine Gruppe von Binärdateien, die in Angriffskampagnen immer wieder auftauchen.

Häufige LOLBins und ihre missbräuchliche Nutzung

Die folgende Tabelle zeigt die am häufigsten missbrauchten LOLBins, ihren vorgesehenen Zweck und wie Angreifer sie zweckentfremden.

Zusammen bilden diese Komponenten Angriffsketten, die schwer zu erkennen sind, wenn Ihre Tools hauptsächlich auf Signaturen bekannter Schadsoftware oder die Reputation von Binärdateien setzen. Entscheidend ist daher, wie Angreifer die Komponenten miteinander verknüpfen.

So funktionieren Living-off-the-Land-Angriffe

Eine typische LOTL-Angriffskette verläuft in Phasen. In jeder Phase kommen systemeigene Tools zum Einsatz.

Phase 1: Erstzugriff

Der Angreifer verschafft sich über eine Phishing-E-Mail, eine ausgenutzte Schwachstelle oder kompromittierte Zugangsdaten Zugriff. Volt Typhoon nutzte öffentlich erreichbare Netzwerkgeräte aus. Die Kampagne "Nearest Neighbor" von APT28 nutzte WLAN in der Nähe des Ziels für den Erstzugriff.

Phase 2: Ausführung

Statt eine eigens entwickelte Binärdatei einzuschleusen, nutzt der Angreifer systemeigene Interpreter. PowerShell führt Code im Arbeitsspeicher aus. WMI startet Prozesse aus der Ferne. Die Black Basta-ransomware-Operation nutzte WMI über Cobalt Strike, um Payloads in den Netzwerken der Opfer bereitzustellen. Dabei wurden systemeigene Tools für die laterale Ausführung verknüpft.

Phase 3: Erkundung und Zugriff auf Zugangsdaten

Tools wie ntdsutil extrahieren Active Directory-Datenbanken. CISA dokumentierte, wie Volt Typhoon den Befehl ntdsutil "ac i ntds" ifm "create full C:\Windows\Temp\pro" ausführte, um Zugangsdaten auszulesen. PowerShell fragt Ereignisprotokolle ab. net localgroup administrators erfasst Berechtigungsgrenzen.

Phase 4: Laterale Bewegung

RDP-Sitzungen verwenden gültige Administrator-Zugangsdaten. SMB überträgt Dateien zwischen Hosts. netsh erstellt Port-Proxy-Regeln, um Datenverkehr umzuleiten. Bei jedem Schritt kommt ein Tool zum Einsatz, das auch Ihr IT-Team für legitime Zwecke nutzen könnte.

Phase 5: Persistenz und Auswirkungen

Geplante Aufgaben, WMI-Abonnements und Änderungen an der Registrierung sichern den Zugriff. Bei ransomware-Operationen ist die Verschlüsselungssoftware möglicherweise das einzige nicht systemeigene Tool in der Kette. Sie wird erst eingesetzt, nachdem der Angreifer mit LOLBins alle Ziele erfasst, darauf zugegriffen und den Einsatz vorbereitet hat.

Der gesamte Prozess erstreckt sich über mehrere ATT&CK-Taktiken: von der Ausführung über die Umgehung von Schutzmaßnahmen, Persistenz, den Zugriff auf Zugangsdaten sowie Command and Control bis hin zur lateralen Bewegung. Die Aufteilung von LOTL in Phasen zeigt, warum Sicherheitskontrollen diese Angriffe so häufig übersehen: Der eigentliche Vorteil des Angreifers liegt darin, dass Ihre Umgebung diesen Tools vertraut.

Warum Living-off-the-Land-Angriffe erfolgreich sind

LOTL-Angriffe sind erfolgreich, weil sie grundlegende Annahmen ausnutzen, auf denen Ihre Sicherheitsarchitektur und Betriebsabläufe beruhen.

• Von Haus aus vertrauenswürdig. LOLBins besitzen gültige Datei-Hashes und digitale Signaturen des Betriebssystemherstellers. Laut CISA können diese "vertrauenswürdigen Merkmale Sicherheitsteams in die Irre führen" und sie glauben lassen, die Tools seien für alle Benutzer sicher.
• Für signaturbasierte Erkennung unsichtbar. Eine begutachtete Studie in Cybersecurity dokumentiert eine konkrete Umgehungstechnik: Angreifer fügen Sonderzeichen in Befehlszeilencode ein, die der Windows-Interpreter zur Laufzeit entfernt. Dadurch unterscheidet sich der ausgeführte Befehl von dem, was die Erkennungsregeln prüfen.
• In der Standardprotokollierung verborgen. CISA bestätigt, dass LOTL-Techniken bewusst "Aktivitäten in Protokollen begrenzen". Wenn Sie die standardmäßige Windows-Protokollierung nutzen, fehlen Ihnen Befehlszeilenargumente sowie bei PowerShell die Inhalte von Skriptblöcken und Prozessabstammungsketten.
• Durch Alert-Fatigue verstärkt. Allgemeine LOLBin-Regeln erzeugen viele Fehlalarme. CISA warnt in einem Hinweis zu Angriffen der russischen GRU, dass "mehr Heuristiken erforderlich sind", um effektiv nach LOTL-Binärdateien zu suchen, ohne von Fehlalarmen überwältigt zu werden. Wenn Analysten Alerts nicht mehr vertrauen, gewinnen LOTL-Akteure mehr Handlungsspielraum.
• Durch lange Verweildauer verstärkt. Volt Typhoon blieb über längere Zeit aktiv. Jeder Tag ohne Entdeckung ist ein weiterer Tag für Aufklärung, das Sammeln von Zugangsdaten und die Vorbereitung weiterer Angriffe.

Unter diesen Bedingungen ist LOTL selbst in ausgereiften Umgebungen schwer zu erkennen. Reale Angriffskampagnen zeigen, wie sich diese Vorteile in der Praxis auswirken.

Reale LOTL-Kampagnen: staatliche Akteure und Ransomware-Gruppen

Wie reale Gegner LOLBins miteinander verknüpfen, macht die Bedrohung greifbar.

• Volt Typhoon (PRC) behielt über längere Zeit Zugang zu Kommunikations-, Energie-, Verkehrs- und Wasserversorgungssystemen in den USA. Zu den dokumentierten Tools gehören wmic, ntdsutil, netsh, PowerShell und RDP. Sie alle sind im Profil von Volt Typhoon dokumentiert.
• APT28 / Fancy Bear (Russland/GRU) führte über mehrere Jahre die Nearest Neighbor-Kampagne durch. Dabei nutzte die Gruppe reg save zum Auslesen von SAM-Hives, vssadmin zum Extrahieren von NTDS.dit, netsh portproxy für interne Proxys und PowerShell für den Zugriff auf Zugangsdaten sowie zur Komprimierung von Daten vor der Exfiltration.
• FIN7 nutzt PowerShell mit eigener Verschleierung, POWERTRASH, eine modifizierte Version von PowerSploit, rundll32.exe zur Ausführung von DLLs und, laut dem FIN7-Profil, gültige Benutzerkonten bei Angriffen auf Finanzunternehmen.

Das Muster dieser Kampagnen ist einheitlich: vertrauenswürdige Tools, gültige Zugangsdaten und kaum eigens entwickelter Code. Dieses Muster zeigt auch die konkreten Herausforderungen für Sicherheitsteams.

Herausforderungen beim Stoppen von Living-off-the-Land-Angriffen

Selbst Unternehmen mit ausgereiften Sicherheitsprogrammen haben Schwierigkeiten mit LOTL. Die Techniken nutzen Lücken aus, für die herkömmliche Tools nicht ausgelegt sind.

• Kontextverlust im großen Maßstab. Derselbe PowerShell-Befehl kann zur Routineadministration oder zu einem aktiven Angriff gehören. Für ICS/OT-Umgebungen dokumentiert SANS einen Extremfall: Gegner veränderten HMIs und programmierten Steuerungen über reguläre Engineering-Workflows um.
• Strukturelle Schwächen von SIEM. SIEMs scheitern bei LOTL an Lücken in der Protokollierung, etwa fehlenden Befehlszeilenargumenten in der Standardkonfiguration, an starren Regeln wie dem Abgleich mit statischen Mustern, die bekannt bösartiges Verhalten voraussetzen, und an einer Flut von Fehlalarmen.
• Sichtbarkeitslücken in Cloud- und Hybridumgebungen. Laut SANS missbrauchen Angreifer inzwischen Cloud-Tools, um Administratorrechte zu erlangen und sich lateral zwischen Cloud-Umgebungen zu bewegen. Wenn Ihre Abwehr nur Windows-Endpunkte abdeckt, reicht sie nicht aus.
• Konvergenz staatlicher Akteure und Ransomware-Gruppen. zeigt bei der Zuordnung verschiedener Akteure, dass staatliche Akteure wie Volt Typhoon und APT28 sowie Ransomware-Gruppen wie Black Basta und FIN7 inzwischen nahezu identische Techniken nutzen: PowerShell, RDP, WMI, ntdsutil und die Proxy-Ausführung über Systembinärdateien. Sie können Ihre Verteidigung nicht nach Akteurstyp trennen.-Mapping zeigt, dass staatliche Akteure wie Volt Typhoon und APT28 sowie Ransomware-Operatoren wie Black Basta und FIN7 inzwischen nahezu identische Techniken nutzen: PowerShell, RDP, WMI, ntdsutil und System-Binary-Proxy-Ausführung. Sie können Ihre Abwehr nicht nach Angreifer-Typ trennen.

Diese Herausforderungen prägen auch den operativen Alltag. Um sie zu bewältigen, müssen Sie zunächst wissen, wie LOTL-Aktivitäten in Ihren Telemetriedaten aussehen.

So erkennen Sie Living-off-the-Land-Angriffe

LOTL-Aktivitäten weisen keine klassischen Kompromittierungsindikatoren auf. Für die Erkennung zählt nicht nur, was ausgeführt wird, sondern wie und warum. Entscheidend ist der Verhaltenskontext statt der Dateireputation.

Verhaltenssignale, die Sie überwachen sollten

Die gemeinsame Leitlinie von CISA aus dem Jahr 2025 empfiehlt Heuristiken wie Tageszeit, Benutzerrolle und Prozessabstammung, um bösartige von routinemäßiger LOLBin-Nutzung zu unterscheiden. Besonders aussagekräftige Signale sind:

• PowerShell oder cmd.exe, gestartet von Office-Anwendungen (Word, Excel, Outlook)
• ntdsutil oder vssadmin, ausgeführt von Konten ohne Administratorrechte
• certutil, verwendet für Dateidownloads statt für die Zertifikatsverwaltung
• netsh, verwendet zum Erstellen von Port-Proxy-Regeln oder zum Ändern von Firewall-Konfigurationen außerhalb von Änderungsfenstern
• rundll32.exe, verwendet zum Laden von DLLs aus temporären oder für Benutzer beschreibbaren Verzeichnissen
• Erstellung geplanter Aufgaben oder von WMI-Subscriptions außerhalb von Wartungsfenstern

SANS empfiehlt einen flexiblen Baseline-Ansatz mit regulären PowerShell-Ausdrücken für Ereignisprotokollfelder. Verfeinern Sie die Regeln schrittweise, während Sie die normalen Muster Ihrer Umgebung kennenlernen. Diese Signale werden jedoch nur sichtbar, wenn die richtigen Telemetriedaten in Ihre Analyse einfließen.

Entscheidende Protokollquellen

Standardkonfigurationen für die Protokollierung erfassen die meisten LOTL-Aktivitäten nicht. CISA empfiehlt, vorrangig Folgendes zu aktivieren:

• PowerShell ScriptBlock Logging und Module Logging
• Überwachung der Prozesserstellung mit Befehlszeilenargumenten (Ereignis-ID 4688 mit Argumenten)
• Sysmon für Prozesserstellung, Netzwerkverbindungen und Dateiereignisse
• WMI-Aktivitätsprotokollierung (Ereignis-IDs 5857–5861)

Führen Sie diese Protokolle an einem zentralen Speicherort zusammen, an dem sie nur einmal geschrieben werden können, und nutzen Sie Verhaltensanalysen für Benutzer und Entitäten (UEBA), um Abweichungen von etablierten Baselines sichtbar zu machen.

Selbst mit den richtigen Telemetriedaten machen Teams häufig vermeidbare Fehler, die ihre Erkennungsfähigkeit schwächen.

Häufige Fehler bei der Abwehr von Living-off-the-Land-Angriffen

Auch Sicherheitsteams, die die LOTL-Bedrohung kennen, schwächen ihre Verteidigung durch wiederkehrende operative Lücken.

1. Pauschale Freigaberegeln für LOLBins. Wer legitime IT-Anwendungen pauschal als sicher einstuft und global freigibt, vergrößert die Angriffsfläche. Die Leitlinie von CISA aus dem Jahr 2025 warnt ausdrücklich davor.
2. Standardkonfigurationen für die Protokollierung beibehalten. Wenn Sie PowerShell ScriptBlock Logging, Module Logging, die Überwachung von Prozessen mit Befehlszeilenargumenten und die WMI-Aktivitätsprotokollierung nicht aktiviert haben, fehlen Ihnen die für die LOTL-Analyse nötigen Telemetriedaten.
3. Fehlende Alerts als Beleg für fehlende Kompromittierungen werten. Keine Alerts bedeuten nicht, dass alles sicher ist.
4. Playbooks für IT-Sicherheitsvorfälle auf ICS/OT anwenden. SANS warnt, dass IT-Sicherheitsmaßnahmen Schäden verursachen können, wenn sie direkt auf industrielle Umgebungen angewendet werden.
5. Analystenkompetenz durch Tools ersetzen. Tools erweitern die Möglichkeiten von Analysten, ersetzen aber nicht deren Expertise bei der Bewertung des LOTL-Kontexts. Wer Regeln erstellt, ohne in Threat Hunting zu investieren, erzeugt Rauschen statt Schutz.

Vermeiden Sie diese Fehler mit Kontrollen, die die Sichtbarkeit verbessern, den Missbrauch von Vertrauen reduzieren und Analysten mehr Kontext liefern.

So verhindern Sie Living-off-the-Land-Angriffe

Prävention reduziert die Angriffsfläche, die LOTL ausnutzt: zu weitreichenden Zugriff auf Tools, schwache Authentifizierung und unzureichende Beschränkungen für Skriptumgebungen.

• Aktivieren Sie eine zentrale, detaillierte Protokollierung. Für CISA hat eine umfassende Protokollierung höchste Priorität. Die Protokolle sollen an einem separaten Speicherort gesammelt werden, an dem sie nur einmal geschrieben werden können. Ohne detaillierte Telemetrie zu PowerShell, Prozesserstellung und WMI-Aktivitäten fehlt der Verhaltensanalyse die Grundlage.
• Setzen Sie Application Allowlisting ein. Nutzen Sie AppLocker oder Windows Defender Application Control, WDAC, um die Ausführung von LOLBins nach Benutzer, Pfad und Herausgeber einzuschränken. Blockieren oder beschränken Sie mshta.exe, psexec.exe, certutil.exe, wmic.exe und rundll32.exe für alle außer zugelassenen Administratorkonten. Beginnen Sie im Überwachungsmodus, bevor Sie die Regeln durchsetzen.
• Erzwingen Sie den PowerShell Constrained Language Mode. CLM schränkt erweiterte Skriptfunktionen ein und blockiert .NET-Methoden wie [Convert]::FromBase64String(), während grundlegende Cmdlet-Funktionen erhalten bleiben. Kombinieren Sie CLM mit der Ausführungsrichtlinie AllSigned und Just Enough Administration, kurz JEA.
• Implementieren Sie phishingresistente MFA. CISA stuft dies als unmittelbare Priorität bei der Abwehr von LOTL ein. Erzwingen Sie MFA insbesondere für RDP, VPN und den Zugriff auf Software für Remote Monitoring and Management (RMM) gemäß den CISA-Leitlinien für RMM.
• Führen Sie eine Zero-Trust-Architektur ein. CISA und NSA empfehlen Zero Trust nachdrücklich als langfristige Strategie. LOTL ist erfolgreich, weil Perimeter-Sicherheitsmaßnahmen internen Tools und authentifizierten Sitzungen implizit vertrauen. Zero Trust beseitigt dieses implizite Vertrauen durch Mikrosegmentierung, Zugriff nach dem Prinzip der geringsten Rechte und kontinuierliche Überprüfung.

Diese Maßnahmen erhöhen den Aufwand für Angreifer bei LOTL. Um sie in Maschinengeschwindigkeit durchzusetzen, brauchen Sie eine Plattform, die auf Verhaltenskontext aufbaut.

Schützen Sie Ihren Endpunkt

Erfahren Sie, wie die KI-gestützte Endpunktsicherheit von SentinelOne Ihnen helfen kann, Cyber-Bedrohungen in Echtzeit zu verhindern, zu erkennen und darauf zu reagieren.

Demo anfordern

Das Wichtigste im Überblick

Living-off-the-Land-Angriffe missbrauchen vertrauenswürdige, systemeigene Tools, um signaturbasierte Abwehrmaßnahmen zu umgehen. Staatliche Akteure und Ransomware-Gruppen nutzen inzwischen ähnliche LOTL-Techniken in Windows-, Linux-, Cloud- und OT-Umgebungen. 

Um sie zu stoppen, brauchen Sie detaillierte Protokollierung, Verhaltens-Baselines, Anwendungskontrolle, eine Zero-Trust-Architektur und verhaltensbasierte KI-Cybersecurity zur Unterscheidung böswilliger Absichten von legitimer Tool-Nutzung. Plattformen wie Singularity, die vollständige Angriffsketten autonom korrelieren, ersetzen den manuellen Untersuchungsaufwand, den LOTL ausnutzt.