Der Einbruch, der wie ein Arbeitstag aussieht

Der Verizon Data Breach Investigations Report hat dieses Jahr eine Schlagzeile gemacht: Erstmals seit 19 Jahren sind gestohlene Zugangsdaten nicht mehr der häufigste Einstieg in ein Netz. Ausgenutzte Schwachstellen haben sie überholt, 31 Prozent gegen 13. Das klingt nach Entwarnung für alle, die sich um Identitäten sorgen. Es ist keine.

Zwei Zahlen, zwei verschiedene Fragen

Die erste Zahl beschreibt die Tür. Die zweite steht weiter hinten im selben Bericht: Über die gesamte Angriffskette hinweg taucht der Missbrauch von Zugangsdaten in 39 Prozent aller Vorfälle auf, häufiger als jede andere Einzeltechnik. Der Einstieg hat sich also verschoben, der Weg durchs Haus nicht. Wer erst einmal drin ist, arbeitet mit gültigen Anmeldedaten weiter: seitlich, aufwärts, unauffällig. Dass ein Einbruch über eine längst bekannte Lücke läuft, war hier schon Thema. Was danach im Haus passiert, ist ein eigenes Problem, und dagegen hilft kein Patch mehr.

Ein gültiger Login sieht aus wie Arbeit

Genau das macht diese Phase so unangenehm: Ein gestohlenes Passwort löst keinen Alarm aus. Es gibt keinen Exploit, keine Schadsoftware, keine verdächtige Datei. Es gibt eine korrekte Anmeldung mit einem gültigen Konto. Technisch ist das kein Angriff, sondern ein Arbeitstag. Was übrig bleibt, ist das Verhalten: eine Anmeldung zu einer Stunde, in der dieses Konto nie aktiv ist. Zwei Anmeldungen von Orten, zwischen denen in der Zeit niemand reisen kann. Der erste Zugriff auf ein System, das diese Rolle seit Monaten nie geöffnet hat. Ein Löschvolumen, das aus dem Rahmen fällt.

Verhaltensanalyse, die der Betriebsrat mitträgt

Dafür ist UEBA da: Es lernt, was für eine Identität normal ist, und meldet, was daraus fällt. In isidaten übernehmen das eigene Detektoren für Password-Spraying, unmögliche Ortswechsel, untypische Anmeldezeiten, erstmalige Ressourcenzugriffe, Massenlöschungen und Volumen-Ausreißer. Die Sache hat allerdings einen Haken, den kaum ein Produktvideo erwähnt: Wer in Deutschland das Verhalten von Beschäftigten auswertet, braucht eine Rechtsgrundlage und die Mitbestimmung. Deshalb ist die Governance hier kein Anhang, sondern der Hauptschalter. Das Modul bleibt gesperrt, bis die Rechtsgrundlage dokumentiert ist. Welche Detektoren überhaupt laufen dürfen, legt ein Betriebsvereinbarungs-Profil fest. Analysten sehen Pseudonyme statt Namen, und jede Aufdeckung wird protokolliert. So wird Verhaltensanalyse zu etwas, das Betriebsrat und Datenschutzbeauftragte mittragen können.

Mehr dazu zeigt die UEBA-Modulseite. Woher die ausgewerteten Ereignisse kommen, führt die SIEM-Integration auf.