Compromise Assessment: verdeckte Angreifer aufspüren

Ein Compromise Assessment ist eine punktuelle, forensisch gestützte Untersuchung einer IT-Umgebung auf Spuren aktiver oder zurückliegender Kompromittierungen. Es folgt dem Prinzip „Assume Breach“: Geprüft wird nicht die Abwesenheit von Schwachstellen, sondern die An- oder Abwesenheit von Angreiferaktivität – auf Endpunkten und Servern, in Identitätsdiensten sowie in Netzwerk- und Cloud-Protokollen. Die Untersuchung ist zeitlich begrenzt und liefert eine Momentaufnahme für einen definierten Scope und Betrachtungszeitraum. Sie ersetzt weder kontinuierliche Detektion noch ein Security Operations Center, sondern beantwortet eine Stichtagsfrage, die der laufende Betrieb allein nicht beantworten kann.

Bei Mergers & Acquisitions prüft der Käufer vor der Integration, ob er mit dem Zielunternehmen eine bestehende Kompromittierung übernimmt – laut M-Trends 2026 war eine bereits vorhandene Kompromittierung („prior compromise“) mit 10 % der dritthäufigste initiale Angriffsvektor, bei Ransomware-Fällen sogar 30 %. Zweiter Anlass ist ein konkreter Verdacht, etwa nach Hinweisen von Behörden oder CERTs, auffälliger Telemetrie oder einer Erpressungsnachricht. Nach einem behandelten Sicherheitsvorfall belegt ein Assessment vor dem Wiederanlauf, dass keine Restzugänge verblieben sind – ein Baustein der Vorfallbewältigung, die etwa NIS2 in Art. 21 Abs. 2 lit. b von betroffenen Einrichtungen verlangt. Auch im Kontext von Cyber-Versicherungen, etwa im Risikodialog oder nach einem Schadenfall, kann ein dokumentierter Kompromittierungsstatus gefordert oder hilfreich sein.

Nach dem Scoping werden forensische Artefakte breit erhoben: Prozess- und Autostart-Informationen, geplante Tasks und Dienste, Anmelde- und Ereignisprotokolle, Kommandozeilen- und PowerShell-Historien, Netzwerkverbindungen sowie Spuren in Identitäts- und Cloud-Diensten. Darauf setzen zwei komplementäre Suchstrategien auf: IOC-Sweeps gleichen die Daten mit bekannten Kompromittierungsindikatoren ab (Datei-Hashes, IP-Adressen, Domains), während TTP-basierte Analysen verhaltensorientiert nach Angriffstechniken entlang der MITRE-ATT&CK-Wissensbasis suchen und so auch Aktivität ohne bekannte Signatur erfassen. Vorhandene EDR-Telemetrie wird ausgewertet oder für die Dauer der Untersuchung temporär ausgerollt; auffällige Treffer werden manuell validiert, um echte Befunde von Rauschen zu trennen.

Ein Penetrationstest beantwortet die Frage, wo ein Angreifer eindringen könnte – er ist schwachstellenorientiert und simuliert den Angriff. Ein Compromise Assessment beantwortet die Frage, ob ein Angreifer bereits eingedrungen ist oder war – es ist evidenzorientiert und blickt zurück. Threat Hunting wiederum ist ein kontinuierlicher, hypothesengetriebener Prozess innerhalb eines etablierten Security-Operations-Betriebs; das Compromise Assessment ist demgegenüber eine punktuelle, breit angelegte Bestandsaufnahme, die auch ohne eigenes SOC durchführbar ist. Die drei Formate ersetzen einander nicht, sondern ergänzen sich.

Zentrales Ergebnis ist die Kompromittierungs-Aussage: eine dokumentierte Einschätzung, ob im untersuchten Scope und Zeitraum Hinweise auf aktive oder zurückliegende Angreiferaktivität gefunden wurden – inklusive der Grenzen dieser Aussage, denn ein negatives Ergebnis belegt keine absolute Kompromittierungsfreiheit, sondern bezieht sich auf die tatsächlich verfügbare Datengrundlage. Hinzu kommen ein Findings-Bericht mit bewerteten Einzelbefunden und betroffenen Systemen sowie priorisierte Härtungs- und Detektionsempfehlungen. Werden aktive Kompromittierungen gefunden, geht das Assessment in eine strukturierte Incident Response über; die Übergabepunkte sollten vorab definiert sein – im Sinne der Einbettung der Vorfallbewältigung in das Cyber-Risikomanagement, wie sie NIST SP 800-61 Rev. 3 beschreibt.

Aktive Angreifer sind der seltenste, aber kritischste Fund. Häufiger sind Spuren zurückliegender, nie erkannter Kompromittierungen, Webshells auf exponierten Systemen, Persistenzmechanismen wie neu angelegte Dienste, geplante Tasks oder Autostart-Einträge sowie kompromittierte oder verwaiste privilegierte Konten und nicht autorisierte Fernwartungswerkzeuge. Daneben liefern viele Assessments strukturelle Befunde: Lücken in Protokollierung und Sensorik-Abdeckung, zu kurze Log-Aufbewahrung oder unsichere Konfigurationen, die eine spätere forensische Aufarbeitung erschweren würden. Auch diese Befunde fließen in die Empfehlungen ein – Anforderungen an eine solche Forensik-Readiness beschreibt der BSI-IT-Grundschutz im Baustein DER.2.2.