Hacking, Phishing, Ransomware: Wichtige Unterschiede zwischen Cyberangriffen erklärt
Erst ein Cyberangriff auf das Berliner Landesnetz, dann ein Datenschutzvorfall an der LMU München und zuletzt Ransomware beim Softwareanbieter FTAPI: Innerhalb weniger Wochen haben sehr unterschiedliche Cybervorfälle für Aufmerksamkeit gesorgt. Beim Land Berlin wurden Daten kopiert und später im Darknet veröffentlicht, während die LMU einen unbefugten Zugriff auf ihr Zulassungs- und Immatrikulationssystem meldete. FTAPI bestätigte nach öffentlichen Berichten einen Ransomware-Vorfall auf einem intern betriebenen Server.
Das mediale Interesse an den Vorfällen war groß, obwohl nicht öffentlich bekannt wurde, was genau den jeweiligen Zugriff ermöglicht hat. Nach einem Sicherheitsvorfall werden schnell Begriffe wie „Hackerangriff“, „Phishing“ oder „Ransomware“ in einen Topf geworfen. Tatsächlich beschreiben sie aber unterschiedliche Dinge und müssen nicht immer zusammenhängen.
Die jüngsten Fälle zeigen außerdem einen Punkt, der in der Sicherheitskommunikation oft zu kurz kommt: Auch Unternehmen und Anbieter, die selbst hohe Sicherheitsanforderungen erfüllen oder Sicherheitslösungen anbieten, sind als Organisation nicht unangreifbar. Der Angriffsweg, betroffene Bereiche und die Frage, welche Kontrollen eine weitere Ausbreitung begrenzen, sind also immer für eine Bewertung und Einordnung wichtig.
Hacking und Phishing sind nicht dasselbe
Im Alltag werden Hacking und Phishing gerne synonym verwendet. Fachlich ist die Unterscheidung klar: Hacking ist der weiter gefasste Begriff für das unbefugte Eindringen in, Manipulieren von oder Ausnutzen von IT-Systemen. Phishing bezeichnet dagegen eine konkrete Angriffsmethode, bei der Menschen durch Täuschung zu einer sicherheitskritischen Handlung gebracht werden.
Hacking: Der Zugang kann beispielsweise über eine Softwarelücke, gestohlene Zugangsdaten, eine Fehlkonfiguration oder bereits eingeschleuste Schadsoftware erfolgen.
Phishing: Angreifer versuchen, Benutzer zu einer Handlung zu bewegen – etwa zur Eingabe von Zugangsdaten, zum Öffnen eines Links oder zum Ausführen einer Datei oder eines Befehls.
Ransomware: Hierbei handelt es sich um Schadsoftware beziehungsweise eine Erpressungsmethode, bei der Systeme oder Daten verschlüsselt, entwendet und für Lösegeldforderungen genutzt werden können. Ransomware beschreibt damit nicht automatisch den ursprünglichen Zugangsweg.
Hacking, Phishing und Ransomware können also Teile desselben Angriffs sein. Eine Phishing-Nachricht liefert zum Beispiel Zugangsdaten, mit denen sich ein Angreifer anschließend an einem echten System anmeldet. Von dort versucht er möglicherweise, weitere Rechte zu erhalten, Daten zu kopieren oder schließlich Ransomware auszuführen. Genauso kann ein Angriff aber ganz ohne Phishing über eine technische Schwachstelle beginnen.
Eine besonders gezielte Form von Phishing ist Spear Phishing. Wie Angreifer dabei Namen, Rollen, Projekte und reale Geschäftssituationen nutzen, erklären wir im Beitrag „Spear Phishing: Warum gezielte Angriffe gerade gefährlicher werden“.
Der Angriffsweg: das schwierigste Puzzleteil
In der Cybersecurity wird der ursprüngliche Zugangsweg als „Initial Intrusion Vector“ (IIV) oder „Initial Access“ (IA) bezeichnet. Dieser Teil einer Angriffskette ist oft unklar – zumindest anfangs. Ob ein kompromittierter Login, eine ungepatchte Schwachstelle, Social Engineering oder eine Fehlkonfiguration einen Cyberangriff ermöglicht haben, muss dann eine forensische Analyse zeigen. Bis dahin ist die Frage, inwieweit Daten abgeflossen sind oder Ransomware ausgeführt wurde, für die Öffentlichkeit meist von größerem Interesse. Spear Phishing oder eine technische Schwachstelle können in solchen Fällen nur als mögliche Szenarien diskutiert werden.
Ein Sicherheitsvorfall ist kein Beweis für ein schlechtes Sicherheitskonzept
Eine Frage, die gerne nach einem erfolgreichen Cyberangriff gestellt wird, ist: Wer trägt die Schuld? Dabei ist es wichtig, sich vor Augen zu halten: Ein Sicherheitsvorfall ist immer kritisch – aber nicht unbedingt ein Hinweis auf ein schlechtes Sicherheitskonzept. Vollständige Sicherheit gibt es in komplexen IT-Umgebungen nämlich nicht, zumal sich die Bedrohungslage ständig ändert.
Das bedeutet nicht, dass jeder Vorfall relativiert werden sollte: Wichtig ist, die Folgen realistisch abzuschätzen, die Schutzmaßnahmen zu prüfen – und zu sehen, wie die betroffene Organisation oder das Unternehmen damit umgehen.
Welche Systeme waren tatsächlich betroffen?
Wie schnell wurde der Vorfall erkannt?
Konnten die Angreifer den Zugriff ausweiten?
Wurden Betroffene ausreichend informiert?
Gibt es Folgeinformationen – Veröffentlichungen aus Datenlecks, offizielle Statements oder verdächtige Aktivitäten?
Welche Maßnahmen wurden ergriffen – im Vorfeld, aber auch danach?
Zertifizierungen: wichtig, aber mit begrenzter Aussagekraft
Genau an dieser Stelle werden unabhängige Zertifizierungen und Testate oft falsch verstanden. Viele Unternehmen verlassen sich auf Siegel und „Geprüft“-Logos bei IT-Dienstleistern. Diese können belegen, dass definierte Sicherheitsprozesse, Kontrollen und Managementsysteme unabhängig geprüft wurden, sind aber keine Garantie dafür, dass ein Unternehmen oder eine Software nicht angegriffen oder kompromittiert werden kann. Prüfen Sie deshalb immer den Geltungsbereich und Aussagekraft eines Zertifikats.
Weiterlesen: ISO-Zertifizierung bei Cloud-Anbietern: Woran Unternehmen verlässliche Sicherheit erkennen →
Zero Trust: Ein gültiger Login reicht nicht als Vertrauensbeweis
Gestohlene oder erbeutete Zugangsdaten zeigen besonders gut, warum klassische – also vor allem „technische“, perimeterbasierte – Sicherheitsgrenzen allein nicht genug sind. In vielen Fällen reicht ein einzelner Zugang zu einem Unternehmenssystem noch immer aus, um schwerwiegende Risiken zu verursachen. Dafür braucht es dann auch keinen Hacker mit technischem Spezialwissen, um Zugriff auf sensible Informationen oder Prozesse zu erhalten.
An dieser Stelle setzt das Prinzip „Zero Trust“ an: Identitäten, Berechtigungen und Zugriffe werden gezielt geprüft und auf den jeweiligen Bedarf begrenzt. Dazu gehören starke Authentifizierung, Least Privilege, granulare Rechte und nachvollziehbare Aktivitäten.
Erfahren Sie mehr: Wie Zero Trust moderne IT- und Sicherheitsarchitekturen prägt →
In der Praxis: Mehrere Schutzebenen kombinieren
Wer Hacking und Phishing als mögliche Teile derselben Angriffskette betrachtet, kommt schnell zu einer praktischen Schlussfolgerung: Es gibt nicht die eine Maßnahme, die alle Einstiegswege gleichzeitig schließt. Sicherheitsupdates helfen gegen bekannte technische Schwachstellen, aber nicht gegen ein gestohlenes Passwort. MFA oder Passkeys erschweren Identitätsmissbrauch, schließen aber keine ungepatchte Softwarelücke. Awareness reduziert das Phishing-Risiko, kann menschliche Fehlentscheidungen jedoch nicht vollständig ausschließen.
Entsprechend müssen technische, organisatorische und menschliche Schutzmaßnahmen ineinandergreifen. Die stärkste Verteidigung besteht aus der Verbindung verschiedener Maßnahmen – und der Bereitschaft, auch im Fall eines Angriffes reagieren zu können. Dazu zählen unter anderem:
Schwachstellenmanagement und Updates: Bekannte technische Lücken möglichst schnell schließen.
Starke Authentifizierung: Passkeys sowie Zwei- oder Mehrfaktor-Authentifizierung erschweren den Missbrauch kompromittierter Passwörter.
Least Privilege und Zugriffskontrolle: Konten erhalten nur die Rechte und Datenzugriffe, die für ihre Aufgabe erforderlich sind.
Monitoring und Aktivitätenprotokolle: Ungewöhnliche Logins, Downloads oder Rechteänderungen lassen sich schneller erkennen und nachvollziehen.
Awareness und Incident Response: Mitarbeiter kennen typische Täuschungsversuche und das Unternehmen weiß, was im Ernstfall zu tun ist.
Was das für sensible Unternehmensdaten bedeutet
Für besonders vertrauliche Informationen ist vor allem entscheidend, wie weit ein kompromittierter Zugang tatsächlich reicht. In einem Datenraum sollten Benutzer deshalb nur die Dokumente und Funktionen sehen, die sie für ihre Aufgabe benötigen. Passkeys und 2FA/MFA, SSO, granulare Rechte, Download- und Druckbeschränkungen sowie detaillierte Aktivitätenprotokolle helfen auf der technischen Seite, Zugriffe kontrollierbar zu halten und Auffälligkeiten nachvollziehen zu können.
Der wichtigste Gedanke ist deshalb weniger spektakulär als viele Schlagzeilen über Cyberangriffe: Sicherheit bedeutet, Risiken laufend zu reduzieren, Zugriffe zu begrenzen und darauf vorbereitet zu sein, dass eine Schutzebene einmal nicht greift.
Sensible Daten mit mehreren Schutzebenen absichern
Sie möchten Zugriffe auf vertrauliche Unternehmensdaten genau steuern und nachvollziehbar absichern? Unsere Experten zeigen Ihnen gerne, welche Sicherheits- und Berechtigungsfunktionen in netfiles für Ihren Anwendungsfall sinnvoll sind.