Indikatoren für eine Kompromittierung (IOCs): Arten, Beispiele, Erkennung und Reaktion

Wenn sich ein Angreifer in Ihrer Umgebung bewegt, hinterlässt er Spuren. Eine Datei, die an einem ungewöhnlichen Speicherort abgelegt wurde. Eine ausgehende Verbindung zu einer IP-Adresse, mit der kein legitimer Prozess Kontakt aufnehmen sollte. Eine Anmeldung aus einem Land, in dem Sie keine Mitarbeiter haben. Dies sind Indikatoren für eine Kompromittierung (IOCs): digitale Hinweise darauf, dass ein System oder Netzwerk kompromittiert wurde oder dass gerade ein Angriff stattfindet.

Für Sicherheitsteams und MSPs sind IOCs eines der wichtigsten Instrumente zur Erkennung von Bedrohungen, die bereits die Perimeter-Sicherheit überwunden haben. Tools wie Datto EDR, Kaseya SIEM und Kaseya MDR sind genau darauf ausgelegt: IOCs in Ihrer gesamten Umgebung zu erkennen und darauf koordinierte Maßnahmen zu ergreifen, bevor sich der Schaden ausbreitet.

Was sind Anzeichen für eine Kompromittierung?

Indikatoren für eine Kompromittierung (Indicators of Compromise, IOCs) sind digitale forensische Beweise, die darauf hindeuten, dass auf ein System, einen Endpunkt oder ein Netzwerk unbefugt zugegriffen wurde, dass es mit Malware infiziert wurde oder dass es einem Angriff ausgesetzt war. Der Begriff „Kompromittierung“ ist bewusst gewählt: Wenn die meisten IOCs identifiziert werden, ist ein Eindringen bereits erfolgt oder gerade im Gange.

IOCs können Indizien sein, die aus Protokollen, dem Netzwerkverkehr, Dateisystemen oder Endpunkt-Telemetriedaten gewonnen werden. Dazu gehören bestimmte Datei-Hashes, die mit bekannter Malware in Verbindung stehen, IP-Adressen oder Domänen, die für die Befehls- und Kontrollkommunikation genutzt werden, Änderungen an Registrierungsschlüsseln, ungewöhnliches Prozessverhalten sowie Authentifizierungsmuster, die auf den Diebstahl von Anmeldedaten hindeuten.

Sicherheitsteams nutzen IOCs auf zwei Arten. Reaktiv: Nachdem ein verdächtiges Ereignis gemeldet wurde, suchen Analysten nach IOCs, um zu verstehen, was passiert ist, den Weg des Angreifers nachzuvollziehen und das Ausmaß des Vorfalls zu ermitteln. Proaktiv: Die Teams speisen bekannte IOCs in Erkennungstools ein, sodass automatisch ein Alarm ausgelöst wird, sobald dieselben Artefakte erneut auftreten. Diese zweite Anwendungsweise macht Threat-Intelligence-Feeds und den Austausch von IOCs so wertvoll.

Man sollte sich über eine Einschränkung im Klaren sein: Die Erkennung von IOCs ist naturgemäß retrospektiv. Wenn Ihre Tools ein IOC gefunden haben, ist bereits etwas schiefgelaufen. Das Ziel einer guten IOC-Überwachung besteht darin, die Zeitspanne zwischen dem Auftreten einer Kompromittierung und ihrer Erkennung zu verkürzen, denn genau in dieser Zeitspanne agieren die Angreifer.

Indikatoren für Kompromittierung vs. Indikatoren für Angriffe (IOAs): Worin besteht der Unterschied?

Ein Indikator für eine Kompromittierung (IOC) ist ein Hinweis darauf, dass bereits etwas Schlimmes passiert ist. Er basiert auf Artefakten: einem Datei-Hash, einem Registrierungsschlüssel, einem Domainnamen oder einer IP-Adresse. IOCs sind spezifisch und statisch.

Ein Angriffsindikator konzentriert sich eher auf das Verhalten als auf Artefakte. IOAs beschreiben die Techniken und Aktionen, die ein Angreifer einsetzt, unabhängig von den spezifischen Tools, die er verwendet. Ein Prozess, der einen untergeordneten Prozess erzeugt, der eine Netzwerkverbindung herstellt, ist ein IOA-Muster. Dies kann durch bekannte Malware oder durch eine völlig neue Bedrohung ausgelöst werden, die noch nie katalogisiert wurde. IOAs sind umfassender und widerstandsfähiger gegen Umgehungsversuche, da eine Änderung des Datei-Hashs das zugrunde liegende Verhalten nicht verändert.

In der Praxis setzen ausgereifte Sicherheitsabteilungen beides ein. IOCs erkennen bekannte Bedrohungen schnell. IOAs decken neuartige Angriffe und raffinierte Angreifer auf, die ihre Tools gezielt so gestalten, dass sie nicht mit bekannten IOC-Datenbanken übereinstimmen.

Arten von Anzeichen für eine Kompromittierung

IOCs werden je nach ihrer Herkunft und dem, was sie beschreiben, in vier Kategorien eingeteilt.

Netzwerkbasierte IOCs

Netzwerk-IOCs sind Indikatoren, die mit verdächtigen oder böswilligen Netzwerkaktivitäten in Verbindung stehen. Dazu gehören IP-Adressen, die mit der Infrastruktur von Angreifern verknüpft sind, Domänen, die für die Command-and-Control-Kommunikation (C2) genutzt werden, ungewöhnliche Muster im ausgehenden Datenverkehr sowie DNS-Abfragen für Domänen, die nicht mit legitimen Diensten korrespondieren.

Da Netzwerk-IOCs häufig auf aktive Kommunikation mit einer vom Angreifer kontrollierten Infrastruktur hindeuten, ist es wichtig, sie schnell zu erkennen. Ein Endpunkt, der kompromittiert wurde, aber noch keine Daten exfiltriert hat, kann noch eingedämmt werden, wenn die ausgehende C2-Verbindung zuerst abgefangen wird.

Host-basierte IOCs

Hostbasierte IOCs finden sich auf einzelnen Endpunkten und Geräten. Dazu zählen unerwartete Änderungen an Registrierungsschlüsseln oder Systemdateien, neue Prozesse, die unter ungewöhnlichen übergeordneten Prozessen ausgeführt werden, Änderungen an geplanten Aufgaben oder Start-Einträgen, Dateien, die an Orten erscheinen, an denen keine legitime Software Daten schreibt, sowie unbefugte Änderungen an Kontoberechtigungen.

EDR-Tools sind das wichtigste Mittel zur Erkennung hostbasierter IOCs, da sie auf Agentenebene Einblick in alle Vorgänge auf dem Gerät bieten – jeden Prozessstart, jeden Dateischreibvorgang, jede Änderung der Registrierungsdatenbank. Diese Telemetriedaten ermöglichen die Erkennung von dateiloser Malware und „Living-off-the-Land“-Angriffen, die zwar keine Dateien auf der Festplatte hinterlassen, aber dennoch Verhaltensspuren hinterlassen.

Dateibasierte IOCs

Dateibasierte IOCs sind spezifische Merkmale, die mit bekannten schädlichen Dateien in Verbindung stehen. Die gängigste Form ist ein kryptografischer Hash (MD5, SHA-1 oder SHA-256), der eine Datei eindeutig identifiziert. Stimmt ein Hash mit einem Hash überein, der bekannter Malware zugeordnet ist, ist dies ein deutliches Anzeichen dafür, dass die Datei schädlich ist – unabhängig davon, wie sie umbenannt wurde.

Zu den weiteren dateibasierten IOCs zählen Dateinamen und Pfade, die von bekannten Malware-Familien verwendet werden, sowie Details zu digitalen Zertifikaten aus signierter Malware. Dateibasierte IOCs lassen sich schnell überprüfen und einfach weitergeben, weshalb sie den Großteil der Daten in Threat-Intelligence-Feeds ausmachen. Ihre Einschränkung besteht darin, dass sie durch eine Neukompilierung des Codes, die den Hash-Wert verändert, leicht umgangen werden können.

Verhaltensbasierte IOCs

Verhaltensbezogene IOCs beschreiben Aktivitätsmuster, die von festgelegten Referenzwerten abweichen, unabhängig davon, um welche Dateien oder Artefakte es sich konkret handelt. Mehrere fehlgeschlagene Anmeldeversuche bei verschiedenen Konten innerhalb eines kurzen Zeitraums, ein Benutzerkonto, das auf Dateifreigaben zugreift, auf die es zuvor noch nie zugegriffen hat, oder große Datenmengen, die von einem einzelnen Benutzer aus einer Datenbank gelesen werden, sind allesamt verhaltensbezogene IOCs.

Verhaltensbasierte IOCs erfordern eine festgelegte Basislinie, um aussagekräftig zu sein. SIEM-Plattformen und UEBA-Tools (User and Entity Behavior Analytics) erstellen diese Basislinien im Laufe der Zeit und kennzeichnen Abweichungen automatisch, wodurch sie besonders effektiv bei der Erkennung von Bedrohungen sind, die bewusst vermeiden, mit bekannten IOC-Signaturen übereinzustimmen.

Beispiele für gängige Anzeichen einer Kompromittierung

Wenn Sicherheitsteams wissen, wie IOCs in der Praxis aussehen, können sie besser erkennen, worauf sie achten müssen. Zu den häufigsten Beispielen gehören:

• Ungewöhnliche Authentifizierungsaktivitäten: Mehrere fehlgeschlagene Anmeldeversuche bei verschiedenen Konten von derselben IP-Adresse aus, eine erfolgreiche Anmeldung von einem unerwarteten geografischen Standort oder von einem Gerät, das zuvor noch nie auf das Konto zugegriffen hat, sowie Anmeldungen zu ungewöhnlichen Zeiten deuten allesamt auf einen möglichen Diebstahl von Zugangsdaten oder einen unbefugten Zugriff hin.
• Ungewöhnlicher ausgehender Datenverkehr: Wenn ein Gerät plötzlich große Datenmengen an externe Ziele überträgt, mit denen es zuvor noch nie kommuniziert hat, oder Datenverkehr an bekannte bösartige IP-Bereiche sendet, deutet dies auf eine mögliche Datenexfiltration hin. Datenverkehr, der in regelmäßigen, zeitlich festgelegten Intervallen gesendet wird, ist oft ein Anzeichen für Beaconing an eine C2-Infrastruktur.
• Unerwartete Prozesse oder Software: Prozesse, die aus temporären Verzeichnissen ausgeführt werden, nicht signierte ausführbare Dateien an Orten, an denen sich Software normalerweise nicht befindet, sowie Fernzugriffstools, die auf Produktionsrechnern nichts zu suchen haben, sollten alle genauer untersucht werden. Geplante Aufgaben oder Einträge im Autostart, die ohne entsprechende Änderungsanforderung aufgetaucht sind, können auf eine Persistenz des Angreifers hindeuten.
• Verdächtige Änderungen an der Registrierungsdatenbank: Angreifer ändern Registrierungsschlüssel, um die Persistenz aufrechtzuerhalten, Sicherheitstools zu deaktivieren oder das Systemverhalten zu verändern. Änderungen an Autostart-Schlüsseln oder Dienstkonfigurationen ohne entsprechendes Änderungs-Ticket gelten als eindeutige hostbasierte IOCs.
• DNS-Anomalien: Ein hohes Aufkommen an DNS-Anfragen an eine einzelne Domain, Anfragen an neu registrierte oder algorithmisch generierte Domains (eine Technik, die als „Domain Generation Algorithms“ oder DGA bezeichnet wird) sowie Abfragen bekannter bösartiger Domains deuten allesamt auf eine mögliche Kompromittierung des Netzwerks hin.
• Unbefugte Konfigurationsänderungen: Geänderte Firewall-Regeln zur Öffnung von Eingangsports, die unbefugte Einrichtung neuer Administratorkonten sowie die Deaktivierung oder Deinstallation von Sicherheitssoftware stellen allesamt Indikatoren (IOCs) dar, die eine sofortige Untersuchung erfordern.

Wie IOCs bei der Reaktion auf Sicherheitsvorfälle eingesetzt werden

Die Erkennung von IOCs ist dann am wertvollsten, wenn sie in einen Reaktionsworkflow eingebunden ist. Ein IOC zu finden, ohne umgehend darauf zu reagieren, ist nur geringfügig besser, als es gar nicht zu finden.

In der Praxis folgt die IOC-gesteuerte Incident-Response einem einheitlichen Muster. Ein Alarm wird ausgelöst, wenn ein bekanntes IOC abgeglichen wird oder ein anomales Verhalten einen Schwellenwert überschreitet. Ein Analyst prüft, ob es sich um eine echte Bedrohung handelt. Wird dies bestätigt, wird der Umfang bewertet: Welche Systeme sind betroffen, auf welche Daten wurde möglicherweise zugegriffen und wie ist der Angreifer eingedrungen? Anschließend erfolgt die Eindämmung, bei der Endpunkte isoliert oder verdächtige Verbindungen blockiert werden. Im Rahmen der Behebung werden schädliche Artefakte entfernt und der Zugangsweg geschlossen. Schließlich werden die während der Untersuchung gesammelten IOCs in die Erkennungsregeln aufgenommen, sodass dasselbe Muster beim nächsten Mal schneller erkannt wird.

Geschwindigkeit ist bei jedem Schritt entscheidend. Der „Unit 42 Global Incident Response Report 2026“ hat ergeben, dass die schnellsten Angriffe mittlerweile bereits innerhalb von 72 Minuten nach dem ersten Zugriff zum Abfluss von Daten führen. Unternehmen mit automatisierter IOC-Erkennung und -Eindämmung können Vorfälle durchweg schneller beheben als solche, die auf manuelle Überprüfungen angewiesen sind.

Tools zur Korrelation von Bedrohungen und zur Erkennung von IOCs

Mehrere Kategorien von Sicherheitstechnologien sind speziell auf die Erkennung und Reaktion auf IOCs ausgerichtet.

Sicherheitsinformations- und Ereignismanagement (SIEM)

SIEM ist das wichtigste Werkzeug zur Korrelation von IOCs in einer gesamten Umgebung. Ein SIEM erfasst Protokoll- und Ereignisdaten aus dem gesamten IT-Stack, wendet Korrelationsregeln an, um Muster zu identifizieren, die mit bekannten IOCs oder verdächtigen Verhaltensweisen übereinstimmen, und generiert priorisierte Warnmeldungen. Da ein SIEM Daten aus mehreren Quellen gleichzeitig erfasst, verknüpft es Ereignisse, die für sich genommen unauffällig erscheinen würden: Eine fehlgeschlagene Anmeldung, gefolgt von einer erfolgreichen Anmeldung von einer anderen IP-Adresse aus, gefolgt vom Zugriff dieses Benutzers auf eine Dateifreigabe, auf die er zuvor noch nie zugegriffen hat – all dies wird zu einem korrelierten Vorfall und nicht zu drei separaten Warnmeldungen mit niedriger Priorität.

Endpoint Detection and Response (EDR)

EDR-Tools überwachen einzelne Endpunkte in Echtzeit auf hostbasierte und verhaltensbasierte IOCs. Sie erfassen detaillierte Telemetriedaten, gleichen das Verhalten mit Bedrohungsbibliotheken und IOC-Datenbanken ab und unterstützen automatisierte oder von Analysten gesteuerte Reaktionen, darunter Isolierung, Prozessbeendigung und Dateiquarantäne.

Managed Detection and Response (MDR)

MDR-Dienste ergänzen SIEM- und EDR-Technologien um eine Analystenebene. Anstatt die Einstufung und Untersuchung von IOCs den internen Mitarbeitern zu überlassen, überwachen MDR-Anbieter die Systeme kontinuierlich und reagieren im Auftrag des Kunden auf bestätigte Bedrohungen. Für Unternehmen ohne einen rund um die Uhr verfügbaren Sicherheitsbetrieb ist MDR das Mittel, das die Erkennung von IOCs in operative Maßnahmen umsetzt.

Cloud Detection and Response (CDR)

Da sich immer mehr Geschäftsaktivitäten auf Plattformen wie Microsoft 365 und Google Workspace verlagern, sind cloudbasierte IOCs zu einem wesentlichen Bestandteil des Bedrohungsbildes geworden. CDR-Tools erweitern die IOC-Erkennung auf SaaS-Umgebungen und kennzeichnen Signale wie ungewöhnliche OAuth-App-Berechtigungen, Anmeldungen von unmöglichen Standorten, Massen-Dateidownloads und unbefugte Änderungen an Cloud-Tenant-Konfigurationen.

Plattformen für Bedrohungsinformationen

Threat-Intelligence-Plattformen bündeln IOC-Daten aus globalen Feeds, behördlichen Warnmeldungen, Forschungsergebnissen von Anbietern und Beiträgen aus der Community. Sie ergänzen Warnmeldungen um Kontextinformationen darüber, womit eine bestimmte IP-Adresse, Domain oder ein Datei-Hash in Verbindung gebracht wurde, welche Angreifergruppen diese nutzen und wie aktuell deren Auftreten in aktiven Kampagnen ist. So helfen sie Analysten dabei, Prioritäten für ihre Untersuchungen zu setzen.

Wie Kaseya Teams dabei unterstützt, IOCs zu erkennen und darauf zu reagieren

Die Sicherheitsplattform von Kaseya basiert auf der Erkennung von IOCs über die gesamte Angriffsfläche hinweg und der Verknüpfung dieser Erkennung mit einer schnellen, koordinierten Reaktion – speziell für MSPs und kleine IT-Teams ohne umfangreichen internen Sicherheitsbetrieb.

Kaseya SIEM erfasst Telemetriedaten aus über 60 Datenquellen, korreliert Übereinstimmungen mit IOCs und verdächtige Verhaltensmuster über Endgeräte, Identitäten, Netzwerke und die Cloud hinweg und speichert Protokolle 400 Tage lang, um forensische Untersuchungen zu unterstützen. Automatisierte Reaktionsregeln können sofort greifen, sobald IOCs bestätigt werden, und ohne manuelles Eingreifen Konten sperren, Geräte isolieren und ablaufende Sitzungen kennzeichnen.

Datto EDR überwacht Endgeräte in Echtzeit auf hostbasierte und verhaltensbezogene IOCs, ordnet die Erkennungen dem MITRE ATT&CK-Framework zu, um Analysten sofort einen Kontext zu bieten, und bietet über 65 automatisierte Reaktionsmaßnahmen, darunter die Rückgängigmachung von Ransomware-Angriffen.

Kaseya MDR stellt Sicherheitsanalysten mit Sitz in den USA zur Verfügung, die Ihre Umgebung rund um die Uhr überwachen, durch IOCs ausgelöste Warnmeldungen untersuchen und bei bestätigten Bedrohungen Maßnahmen zur Eindämmung ergreifen. Für Unternehmen, die eine 24/7-Reaktionsfähigkeit bei IOCs benötigen, ohne ein eigenes SOC aufbauen zu müssen, ist MDR die praktische Lösung.

SaaS Alerts erweitert die IOC-Erkennung auf Microsoft 365, Google Workspace und andere Cloud-Anwendungen. Teams können mithilfe von Ereignisauslösern und Filtern benutzerdefinierte IOC-Regeln festlegen, wobei von Haus aus Community-IOC-Vorlagen für gängige Bedrohungsmuster zur Verfügung stehen. „ SaaS Alerts “ lässt sich direkt mit Kaseya SIEM verbinden, um eine plattformübergreifende Korrelation zu ermöglichen, wodurch Analysten an einem zentralen Ort einen einheitlichen Überblick über IOC-Aktivitäten an Endpunkten und in der Cloud erhalten. Zusammen bieten diese Tools MSPs und IT-Teams die Transparenz und Reaktionsfähigkeit, um auf IOCs in jeder Schicht der Umgebung zu reagieren, ohne dass dafür ein dediziertes Security Operations Center erforderlich ist.