Ein Penetration Test prüft, ob ein Angreifer eindringen kann. Ein Compromise Assessment (CA) beantwortet eine viel kritischere Frage: Ist er bereits eingedrungen?
Moderne, raffinierte Angreifer (APTs) vermeiden laute Alarme. Sie sind „low and slow“ unterwegs. Die durchschnittliche „Dwell Time“ – die Zeit, die ein Angreifer unbemerkt im Netz verbringt – liegt bei Monaten, nicht Tagen. In dieser Zeit findet die laterale Bewegung, die Rechteausweitung und, am schlimmsten, die unbemerkte Datenexfiltration statt.
Ihre bestehenden Systeme (EDR, SIEM) sind auf bekannte Muster trainiert. Wir suchen nach den Anomalien – den subtilen Spuren (Indicators of Compromise, IOCs), die ein Mensch mit der Denkweise eines Hackers (der 10% Spirit) finden muss.
Unser Ansatz: Die Aktive Jagd (Threat Hunting)
Wir warten nicht auf einen Alarm. Wir legen aktiv Köder aus und installieren ein forensisches „Nervensystem“ in Ihrem Netzwerk, um den Angreifer aus seinem Versteck zu locken.
- Deployment von forensischen Sensoren (Die Spürhunde)
Wir installieren temporäre, nicht-intrusive Sensoren an strategischen Punkten Ihres Netzwerks (z.B. Domain Controller, Core Switches, kritische Server). Diese Sensoren sammeln Daten, die Ihr SIEM oft übersieht: detaillierte Prozess-Starts, Netzwerkverbindungen im Ost-West-Verkehr, Registry-Änderungen und DNS-Anfragen.
- Einsatz von Honeypots & Honey-Tokens (Die Köder)
Der cleverste Teil unserer Jagd. Wir platzieren attraktive, aber falsche Ziele im Netzwerk:
- Honeypots: Wir stellen z.B. einen „vergessenen“ File-Server, eine „Admin-Login-Maske“ oder eine „Test-Datenbank“ auf. Völlig isoliert. Berührt ein Angreifer (oder ein automatisiertes Skript) diesen Köder, wissen wir, dass er da ist.
- Honey-Tokens: Wir platzieren „vergiftete“ Dokumente (z.B. Gehaltsliste_Q4.xlsx) oder Fake-Credentials in Passwort-Managern. Sobald diese geöffnet oder genutzt werden, erhalten wir ein stilles Signal.
- Die Analyse (Die Suche nach der Nadel)
Wir korrelieren die Daten unserer Sensoren und Honeypots. Wir suchen nicht nach „Rauschen“, sondern nach den Taktiken, Techniken und Prozeduren (TTPs) von Angreifern:
- Gibt es ungewöhnliche Laterale Bewegungen (z.B. PsExec, WMI)?
- Findet Credential Dumping (z.B. Mimikatz) statt?
- Sehen wir verdächtige DNS-Anfragen (Command & Control, C2)?
- Und die wichtigste Frage: Identifizieren wir Daten-Staging (das Sammeln von Daten) oder Datenexfiltration (z.B. über DNS-Tunnel oder versteckte Kanäle)?
Ihr Strategischer Nutzen: Gewissheit
- Für den CISO/IT-Leiter: Antwort auf die Frage „Sind wir kompromittiert?“. Konkrete IT Risikovalidierung.
- Schutz vor dem GAU (Datenabfluss): Wir identifizieren den Diebstahl bevor er öffentlich wird oder zu regulatorischen Strafen (DSGVO, NIS2) führt.
- Validierung Ihrer Detection-Fähigkeiten: Sie sehen, was Ihre bestehenden Security-Tools (EDR, SIEM) vielleicht übersehen haben, und können diese gezielt nachschärfen.
- 100% Objektivität: Als externe Jäger sind wir nicht „betriebsblind“. Wir bringen eine frische, paranoide (im positiven Sinne) Perspektive mit, um die Spuren zu finden, die interne Teams im täglichen Rauschen übersehen.
