Lateral Movement zählt zu den gefährlichsten Vorgehensweisen bei Cyberangriffen auf vernetzte IT-Umgebungen. Dieser Beitrag zeigt, warum erst das Zusammenspiel von technischen und organisatorischen Maßnahmen wirksamen Schutz bietet – und warum technische Kontrollen allein nicht ausreichen.
Der Inhalt im Überblick
Was ist Lateral Movement?
Lateral Movement bezeichnet im MITRE ATT&CK Framework (TA0008) eine übergeordnete Taktik, unter der sämtliche Techniken zusammengefasst sind, mit denen ein Angreifer sich nach einem erfolgreichen Erstzugriff gezielt von System zu System innerhalb eines Netzwerks bewegt. Es handelt sich also nicht um eine einzelne Methode, sondern um eine Sammlung verschiedener Angriffstechniken. Das Ziel ist stets dasselbe: die eigene Kontrolle auf weitere Systeme auszuweiten und so schrittweise diejenigen Ressourcen zu erreichen, die den eigentlichen strategischen Wert besitzen. Der initiale Einstiegspunkt ist dabei selten das endgültige Ziel. Angreifer suchen gezielt das schwächste Glied in der Kette – ein System mit niedrigerem Schutzniveau, das über Netzwerkverbindungen oder Vertrauensbeziehungen an kritische Infrastruktur angebunden ist – und arbeiten sich von dort aus voran.
Wie bewegen sich Angreifer konkret durch Netzwerke?
Nach einem ersten Zugriff bewegen sich Angreifer schrittweise durch das Netzwerk, um weitere Systeme zu kompromittieren und ihren Zugriff auf zusätzliche Ressourcen auszuweiten. Dabei nutzen sie nicht nur erbeutete Benutzernamen und Passwörter, sondern auch bestehende Anmeldesitzungen, gespeicherte Zertifikate oder andere Authentifizierungsinformationen, mit denen sich Zugriffe ohne erneute Anmeldung übernehmen lassen. Ebenso können zuvor erlangte oder kurzfristig vergebene privilegierte Rechte missbraucht werden, um besonders sensible Systeme zu erreichen. In manchen Fällen missbrauchen Angreifer zudem zentrale Verwaltungs- oder Verteilungssysteme, um sich weiter auszubreiten oder Schadsoftware gleichzeitig auf mehrere Geräte zu verteilen.
Lateral Movement erfolgt häufig durch den Missbrauch legitimer Dienste, regulärer Verwaltungswege und kompromittierter Anmeldeinformationen. Dadurch wirkt das Verhalten der Angreifer oft unauffällig und ist von normalen, administrativen Tätigkeiten nur schwer zu unterscheiden. Genau das erschwert die Erkennung in der Praxis und zeigt, warum rein technische Schutzmaßnahmen allein häufig nicht ausreichen.
Warum reichen technische Maßnahmen allein nicht aus?
Firewalls, Intrusion-Detection-Systeme und Endpoint Protection sind unverzichtbare Bestandteile der IT-Sicherheit. Ihre volle Wirksamkeit entfalten sie jedoch erst dann, wenn sie in einen klar geregelten organisatorischen Rahmen eingebettet sind. Denn technische Kontrollen können nur dann zuverlässig schützen, wenn sie korrekt konfiguriert, kontinuierlich gepflegt und übergreifend gesteuert werden.
Ohne diesen Rahmen können Schwachstellen entstehen – veraltete Firewall-Regeln, nicht deaktivierte Accounts, undokumentierte Netzwerkverbindungen oder fehlende Verantwortlichkeiten bei der Pflege von Berechtigungen. Jede dieser Lücken kann einem Angreifer den weiteren Weg in das Netzwerk öffnen.
Ein Beispiel: Ein technisch sauber segmentiertes Netzwerk behält seine volle Schutzwirkung nur dann, wenn organisatorisch klar geregelt ist, wer Ausnahmen genehmigt, wie diese dokumentiert werden und wann sie zu überprüfen sind. Ohne solche Vorgaben kann die vorgesehene Segmentierung durch Einzelfreigaben schrittweise an Wirksamkeit verlieren. Technische Maßnahmen allein reichen dafür nicht aus, sondern benötigen geregelte und dokumentierte Prozesse als Grundlage.
Wie schützt die Kombination aus Technik und Organisation?
Frameworks wie ISO 27001 oder der BSI IT-Grundschutz definieren genau dieses Zusammenspiel. Das ISMS nach ISO 27001 verlangt die Identifizierung der Verbindungen und Abhängigkeiten, die Lateral Movement ermöglichen. Durch die verpflichtende Risikoanalyse werden Kommunikationsbeziehungen zwischen Systemen transparent und bewertbar. Darauf aufbauend stellt die Netzwerksegmentierung eine zentrale technische Maßnahme dar, deren dauerhafte Wirksamkeit jedoch erst durch organisatorische Prozesse sichergestellt wird.
Dazu gehören klar festgelegte Verantwortlichkeiten, dokumentierte Ausnahmen sowie regelmäßige Überprüfungen der eingerichteten Segmentierungsregeln. Ergänzend dazu wird der Zugang zu Systemen und Daten nach dem Prinzip der minimalen Berechtigung gesteuert. Grundlage hierfür sind definierte Rollen, formalisierte Genehmigungsprozesse und regelmäßige Rezertifizierungen bestehender Berechtigungen, um unnötige oder veraltete Zugriffe konsequent zu vermeiden. Ebenso ist ein strukturiertes Change-Management erforderlich, das jede Änderung an Netzwerkverbindungen oder Berechtigungen einem geregelten Prüf- und Freigabeprozess unterwirft. Flankiert wird dies durch Intrusion Detection und Incident-Response-Prozesse, die darauf ausgerichtet sind, verdächtige Bewegungen frühzeitig zu erkennen, gezielt einzudämmen und eine weitere Ausbreitung innerhalb der Infrastruktur zu verhindern.
Gefahr durch Lateral Movement ist real
Lateral Movement bleibt eine der zentralen Bedrohungen in vernetzten IT-Umgebungen. Mit der Vorgehensweise werden gezielt die Stellen ausgenutzt, an denen technische und organisatorische Maßnahmen nicht aufeinander abgestimmt sind. Dadurch werden selbst Hochsicherheitssysteme über ihre schwächer geschützten Nachbarsysteme angreifbar. Die konsequente Umsetzung bestehender Normen und Standards bietet einen bewährten Rahmen, um beide Ebenen wirksam zu verbinden. Einheitliche Prozesse helfen dabei, technische und organisatorische Schutzmaßnahmen systematisch aufeinander abzustimmen. So wird die Angriffsfläche für Lateral Movement nachhaltig reduziert und aus einzelnen Maßnahmen ein belastbares Gesamtkonzept geschaffen.
