Wie lassen sich Angriffe zur Rechteausweitung verhindern?

Wenn Sie Ihre Identitäts- und Zugriffskontrollen vernachlässigen, werden Sie früher oder später Opfer eines Angriffs zur Privilegienausweitung. Angreifer gehen heute ganz unterschiedlich vor. Veraltete Sicherheitsprodukte sind gegen sie wirkungslos, und herkömmliche Sicherheitsmaßnahmen umgehen sie mühelos. Eine wirksame Datenschutzstrategie, auf der weitere Maßnahmen aufbauen, ist der erste Schritt, um Angriffe zur Privilegienausweitung zu verhindern. Nicht-menschliche Identitäten können als Service-Principals, Rollen, Zugriffsschlüssel, Funktionen usw. auftreten. Sobald Angreifer die Grundlage geschaffen haben, können sie Identitäten, Daten und Berechtigungen ausnutzen.

Bedrohungsakteure können sich Tage, Wochen oder Monate in Ihrer Umgebung aufhalten, ohne dass Sie es bemerken. Sie können sensible Daten offenlegen oder abfließen lassen. Wenn ein Drittanbieter Sie über eine Datenschutzverletzung informiert, ist es bereits zu spät.

In diesem Leitfaden erfahren Sie, wie Sie Angriffe zur Rechteausweitung verhindern und darauf reagieren.

Was sind Angriffe zur Rechteausweitung?

Bei einem Angriff zur Rechteausweitung verschafft sich ein Gegner höhere Kontoberechtigungen.

Ein solcher Angriff liegt vor, wenn ein Bedrohungsakteur Zugriff und Administratorrechte für Ihre Systeme und Netzwerke erlangt. Er kann Sicherheitslücken ausnutzen, Berechtigungen für Identitäten ändern und sich selbst zusätzliche Rechte und Möglichkeiten einräumen. Angreifer können sich lateral durch Ihre Netzwerke bewegen und Konten, Assets und andere Ressourcen erheblich verändern.

Schließlich gelangen sie von eingeschränkten Berechtigungen zu nahezu vollständiger Kontrolle. Aus einfachen Benutzerkonten können sie Konten mit erweiterten Rechten machen. Durch eine erfolgreiche Rechteausweitung erlangen sie höhere Berechtigungen und mehr Kontrolle. So können sie neue Angriffsvektoren erschließen, alle Nutzer im Netzwerk ins Visier nehmen und ihre Angriffe ausweiten: von Malware-Infektionen bis hin zu großflächigen Datenschutzverletzungen und Netzwerkeinbrüchen.

Wie funktionieren Angriffe zur Rechteausweitung?

Ein Angriff zur Rechteausweitung kann mit einer Identität mit geringen Berechtigungen beginnen. Der Angreifer nutzt diese Berechtigungen aus, bewegt sich lateral durch Ihre Umgebung und erlangt weitere Rechte, mit denen er irreparable Schäden anrichten kann. Viele Unternehmen vernachlässigen die Grundlagen der Cloud-Sicherheit und übersehen dadurch Sicherheitslücken. In komplexen Cloud-Umgebungen fällt es Unternehmen zudem schwer, Einblick in interne Benutzer, Identitäten und Berechtigungen zu gewinnen.

Bei einem Angriff zur Rechteausweitung versucht der Angreifer, Ihr Konto und dessen bestehende Berechtigungen zu übernehmen. Das Spektrum reicht von Gastrechten, die auf lokale Anmeldungen beschränkt sind, bis zu Administrator- und Root-Rechten für Remote-Sessions. Zu den Methoden gehören der Missbrauch von Benutzeranmeldedaten, die Ausnutzung von Systemschwachstellen und Fehlkonfigurationen, die Installation von Malware und sogar Social Engineering. Angreifer dringen in die Umgebung ein, suchen nach fehlenden Sicherheitspatches und nutzen Techniken wie Credential Stuffing und generative KI, um Schwachstellen im Unternehmen zu finden. Sobald sie einen Zugang gefunden haben, beobachten sie die Umgebung über längere Zeit.

Bei passender Gelegenheit starten sie einen umfassenderen Angriff. Bleiben sie unentdeckt, können sie auch die Spuren ihrer Aktivitäten beseitigen. Dazu löschen sie beispielsweise Protokolle mithilfe von Benutzeranmeldedaten, verschleiern Quell-IP-Adressen und entfernen Hinweise auf ihre Anwesenheit.

Gängige Methoden bei Angriffen zur Rechteausweitung

Es gibt verschiedene Arten von Angriffen zur Rechteausweitung:

1. Horizontale Rechteausweitung

Dabei übernimmt der Angreifer ein anderes Konto und missbraucht dessen bestehende Berechtigungen. Er kann alle Rechte des bisherigen Benutzers übernehmen und von dort aus weiter vorgehen. Eine horizontale Rechteausweitung liegt auch vor, wenn ein Angreifer mit einer anderen Benutzeridentität Zugriff auf derselben Berechtigungsebene wie andere Benutzer erlangt. Ein Angreifer, der gestohlene Anmeldedaten eines Mitarbeiters nutzt, ist ein Beispiel dafür.

Ziel dieses Angriffs sind keine Root-Rechte. Stattdessen greift der Angreifer auf sensible Daten anderer Benutzer mit gleichen oder ähnlichen Berechtigungen zu. Angriffe zur horizontalen Rechteausweitung nutzen schwache Sicherheitspraktiken auf vergleichbaren Berechtigungsebenen aus.

2. Vertikale Rechteausweitung

Dies ist eine fortgeschrittenere Form der Privilegieneskalation, bei der ein Angreifer versucht, Zugriff auf ein Standardbenutzerkonto zu erlangen und dessen Berechtigungen auszuweiten. Er erweitert die Standardberechtigungen auf eine höhere Stufe, etwa vom einfachen Benutzer zum Superuser oder Administrator. Dadurch erhält er uneingeschränkte Kontrolle über Netzwerke und Systeme. Im Laufe der Zeit verschafft er sich vollständigen Zugriff auf Systeme und kann Konfigurationen ändern, Software installieren, neue Konten erstellen und andere Nutzer sperren oder auf eine Sperrliste setzen. Er kann sogar Daten des Unternehmens löschen.

Wie erkennen Sie Versuche zur Rechteausweitung?

Angriffe zur Rechteausweitung können Sie auf folgende Weise erkennen:

Beobachten Sie, wie Ihre Mitarbeiter täglich miteinander umgehen. Wenn Sie den Verdacht haben, dass etwas faul ist, und Ihre Mitarbeiter plötzlich eine negative Einstellung an den Tag legen, ist dies ein Zeichen dafür, dass ein Angriff zur Rechteausweitung im Gange ist. Denken Sie daran, dass nicht alle Angriffe zur Rechteausweitung gleich sind. Wir besprechen hier daher solche, die auf Social Engineering basieren. Ein Mitarbeiter mit einem Groll kann seinen autorisierten Zugriff nutzen, um illegale Aktivitäten in Ihrer gesamten Infrastruktur durchzuführen.

Überprüfen Sie ungewöhnliche Anmeldeaktivitäten und sehen Sie nach, ob zum ersten Mal mit Konten mit geringen Rechten auf Dateien oder Anwendungen zugegriffen wurde. Wenn Ihre Zugriffstoken manipuliert wurden und Sie Anzeichen dafür sehen, seien Sie vorsichtig.

Achten Sie auf SID-History-Injection- und Process-Injection-Angriffe. DC-Sync-Starts und Shadow-Angriffe deuten ebenfalls auf Angriffe zur Erweiterung von Berechtigungen hin.

Jede unbefugte Änderung an Diensten, die nur mit Administratorrechten ausgeführt werden dürfen, ist ein typischer Indikator für Angriffe zur Rechteausweitung.

Andere Systemereignisse, wie plötzliche Anwendungsabstürze oder Systemabschaltungen, Anwendungsfehlfunktionen oder Angreifer, die Ihren Kernel und Ihr Betriebssystem manipulieren, führen letztendlich zu Angriffen zur Rechteausweitung.

Bewährte Verfahren zur Verhinderung von Angriffen zur Rechteausweitung
• Beobachten Sie, wie Ihre Mitarbeiter täglich miteinander umgehen. Verdächtige Vorgänge und eine plötzlich negative Einstellung können auf einen Angriff zur Rechteausweitung hindeuten. Nicht alle Angriffe zur Rechteausweitung verlaufen gleich. Hier geht es um Angriffe durch Social Engineering. Ein Mitarbeiter mit persönlichen Motiven kann seinen autorisierten Zugriff für illegale Aktivitäten in Ihrer gesamten Infrastruktur missbrauchen.
• Prüfen Sie ungewöhnliche Anmeldeaktivitäten. Achten Sie darauf, ob Konten mit geringen Berechtigungen erstmals auf Dateien oder Anwendungen zugreifen. Seien Sie auch bei Anzeichen für manipulierte Zugriffstoken wachsam.
• Achten Sie auf Angriffe durch SID-History-Injection und Process Injection. Auch DCSync-Angriffe und Shadow-Angriffe können auf eine Rechteausweitung hindeuten.
• Unbefugte Änderungen an Diensten, die nur mit Administratorrechten ausgeführt werden dürfen, sind ein typisches Anzeichen für Angriffe zur Rechteausweitung.
• Weitere Systemereignisse wie plötzliche Anwendungsabstürze oder Systemabschaltungen, Fehlfunktionen von Anwendungen oder Manipulationen am Kernel und Betriebssystem durch Bedrohungsakteure können ebenfalls auf Angriffe zur Rechteausweitung hindeuten.

Best Practices zur Verhinderung von Angriffen zur Rechteausweitung

Mit diesen Best Practices verhindern Sie Angriffe zur Rechteausweitung:

Eine der besten Möglichkeiten, um Angriffe zur Rechteausweitung zu verhindern, besteht darin, das Prinzip des geringstmöglichen Zugriffs zu verstehen und anzuwenden. Dieses Konzept der Cybersicherheit ermöglicht eingeschränkte Zugriffsrechte für alle Benutzer. Das bedeutet, dass sie nur die Rechte erhalten, die sie für ihre Arbeit benötigen und die dafür unbedingt erforderlich sind.

Das Prinzip des geringstmöglichen Zugriffs stellt sicher, dass Ihre täglichen Abläufe nicht beeinträchtigt oder verlangsamt werden. Außerdem schützt es Ihre Systemressourcen vor verschiedenen Bedrohungen. Sie können Zugriffskontrollen verwenden, Sicherheitsrichtlinien implementieren und sicherstellen, dass Ihr IT-Team kontrolliert, welche Anwendungen als lokale Administratoren ausgeführt werden, ohne den Benutzern lokale Administratorrechte zu gewähren.

Der zweite Schritt zur Verhinderung von Angriffen auf privilegierte Zugriffe besteht darin, Ihre Software auf dem neuesten Stand zu halten. Wenn Sie Schwachstellen entdecken, sollten Sie diese sofort in allen Ihren Betriebssystemen beheben. Führen Sie regelmäßig Schwachstellenscans durch und identifizieren Sie Exploits, bevor Hacker sie ausnutzen können.

Überwachen Sie Ihre Systemaktivitäten, um sicherzustellen, dass sich keine böswilligen Akteure in Ihrem Netzwerk verstecken. Wenn Sie während der Sicherheitsüberprüfungen verdächtige Anomalien oder Verhaltensweisen feststellen, ist dies ein deutliches Anzeichen.

Ring-Fencing ist eine weit verbreitete Technik, mit der Unternehmen die Funktionen von Anwendungen einschränken, unabhängig davon, ob diese mit anderen Anwendungen, Dateien, Daten oder Benutzern interagieren. Es handelt sich um eine Barriere, die verhindert, dass Anwendungen die Grenzen des Unternehmens überschreiten.

Sensibilisieren Sie Ihre Mitarbeiter außerdem für die Bedeutung von Sicherheitsbewusstsein. Stellen Sie sicher, dass sie Anzeichen von Social-Engineering-Malware und Phishing erkennen können. Sensibilisierung ist eine der besten Strategien zur Verhinderung von Privilegieneskalationsangriffen. Sie ist besonders wirksam im Kampf gegen Hacker.

Wenden Sie einen Zero-Trust-Ansatz für Cybersicherheit an, indem Sie eine Zero-Trust-Netzwerksicherheitsarchitektur aufbauen. Vertrauen Sie niemandem. Überprüfen Sie immer alles.

Verwenden Sie KI-basierte Technologien zur Erkennung von Bedrohungen, um Scans im Hintergrund durchzuführen, wenn niemand sonst darauf achtet. Wenn Menschen Sicherheitslücken übersehen, werden diese von Automatisierungstools aufgedeckt.

• Eine der wirksamsten Maßnahmen ist das Prinzip der geringsten Berechtigung. Nach diesem Cybersecurity-Prinzip erhalten alle Benutzer nur eingeschränkte Zugriffsrechte: genau die Rechte, die sie für ihre Aufgaben benötigen.
• Das Prinzip der geringsten Berechtigung schützt Ihre Systemressourcen vor verschiedenen Bedrohungen, ohne den Arbeitsalltag zu beeinträchtigen oder zu verlangsamen. Setzen Sie Zugriffskontrollen ein, implementieren Sie Sicherheitsrichtlinien und lassen Sie Ihr IT-Team festlegen, welche Anwendungen als lokale Administratoren ausgeführt werden dürfen, ohne den Benutzern lokale Administratorrechte zu geben.
• Halten Sie außerdem Ihre Software aktuell. Wenn Sie Schwachstellen erkennen, schließen Sie diese umgehend auf allen betroffenen Betriebssystemen. Führen Sie regelmäßig Schwachstellenscans durch und identifizieren Sie ausnutzbare Schwachstellen, bevor Hacker sie ausnutzen.
• Überwachen Sie Ihre Systemaktivitäten, damit sich keine Angreifer unbemerkt in Ihrem Netzwerk aufhalten. Verdächtige Anomalien oder Verhaltensweisen bei Sicherheitsprüfungen sind ein deutliches Warnsignal.
• Mit Ring-Fencing begrenzen Unternehmen, was Anwendungen tun und wie sie mit anderen Anwendungen, Dateien, Daten oder Benutzern interagieren dürfen. Diese Abgrenzung verhindert, dass Anwendungen die festgelegten Grenzen des Unternehmens überschreiten.
• Schulen Sie Ihre Mitarbeiter zudem im Sicherheitsbewusstsein. Stellen Sie sicher, dass sie Anzeichen für Social Engineering, Malware und Phishing erkennen. Sicherheitsbewusstsein ist eine der wirksamsten Strategien gegen Angriffe zur Rechteausweitung und stärkt die Abwehr gegen Hacker.
• Verfolgen Sie einen Zero-Trust-Ansatz für Cybersecurity und schaffen Sie eine Zero-Trust-Netzwerksicherheitsarchitektur. Vertrauen Sie niemandem. Überprüfen Sie immer.
• Nutzen Sie KI-gestützte Bedrohungserkennung für Hintergrundscans. Automatisierte Anwendungen erkennen Sicherheitslücken, die Menschen übersehen.

Beispiele für Privilegieneskalationsangriffe aus der Praxis

Praxisbeispiele für Angriffe zur RechteausweitungRansomware-Angriff beteiligt, der es Angreifern ermöglichte, Systeme zu kompromittieren und der Erkennung zu entgehen. CVE-2025-0289 war eine unsichere Kernel-Ressourcenzugriffsschwachstelle, die zur Eskalation von Berechtigungen genutzt wurde.

Bei einem kürzlich erfolgten Angriff zur Rechteausweitung wurde ein von Microsoft signierter Treiber verwendet. Bedrohungsakteure nutzten eine Schwachstelle im Partitionsmanager von Paragon für einen Bring-Your-Own-Vulnerable-Driver-Angriff aus. Diese Zero-Day-Schwachstelle spielte bei einem Ransomware-Angriff eine Rolle, bei dem Angreifer Systeme kompromittieren und der Erkennung entgehen konnten. CVE-2025-0289 war eine Schwachstelle durch unsicheren Zugriff auf Kernel-Ressourcen, die zur Rechteausweitung genutzt wurde.

Sie wurde für Denial-of-Service-Angriffe auf gezielt angegriffene Geräte genutzt. Das CERT Coordination Center warnte, dass diese Schwachstelle auf Windows-Geräten ausgenutzt werden könne, selbst wenn der Partitionsmanager von Paragon nicht installiert sei.

Die Ransomware-Variante wurde nicht bekannt gegeben und Microsoft konnte sich weder zu den Aktivitäten noch zur weiteren Ausnutzung äußern. Microsoft verweigerte jede Auskunft. Ransomware-Gruppen nutzen häufig anfällige Treiber aus, um Endpoint-Erkennungs- und Reaktionsmechanismen zu umgehen.

Kubernetes-Angriffe zur Rechteausweitung sind eine weitere Angriffsart, die sich über Cluster erstreckt. Sie zielen auf Container ab und missbrauchen Systemports innerhalb von Angriffsketten.

Sobald Gegner höhere Berechtigungen erlangt haben, können sie Schwachstellen und Fehlkonfigurationen ausnutzen sowie zu weit gefasste Richtlinien für die rollenbasierte Zugriffskontrolle missbrauchen. Sie können kritische Dienste stören, schädliche Workloads bereitstellen und die vollständige Kontrolle über den gesamten Kubernetes-Cluster erlangen.

Fazit

Um Angriffe zur Rechteausweitung zu verhindern, setzen Sie strenge Zugriffskontrollen durch und führen Sie regelmäßige Sicherheitsaudits durch. Ohne Einblick in die Vorgänge Ihres Unternehmens lässt sich eine laterale Bewegung nur schwer erkennen. Führen Sie wirksame Programme zur Sensibilisierung und Schulung im Bereich Sicherheit ein und stellen Sie sicher, dass Ihre Mitarbeitenden daran teilnehmen.SentinelOne, um zusätzliche Unterstützung zu erhalten.

"

Vernachlässigen Sie die Grundlagen nicht. Sie sind entscheidend, um Angriffe zur Rechteausweitung zu verhindern. Ziehen Sie außerdem Sicherheitsexperten wie SentinelOne hinzu, wenn Sie weitere Unterstützung benötigen.