Cybersicherheits-Sensor: Definition, Nutzen und Grenzen

Was bedeutet „Sonde“?

Der Begriff umfasst verschiedene Sensoren. Eine Netzwerksonde analysiert Datenströme oder Kommunikationsmetadaten. Ein Sensor auf einem Endgerät beobachtet dagegen lokale Ereignisse. Andere Systeme sammeln Protokolle von Servern, Anwendungen oder Sicherheitsgeräten. Die ANSSI beschreibt Protokollierung als Informationsquelle für die Erkennung und die nachträgliche Analyse eines Vorfalls.

Eine Sonde wird somit nicht nur durch ein Gerät oder eine Software bestimmt, sondern durch ihren Beobachtungspunkt, die erhobenen Daten und deren Verwendungszweck.

Was kann sie erkennen?

Je nach Konfiguration kann sie Verbindungen zu bekannten bösartigen Zielen, ungewöhnliche Verbindungsfolgen, auffällige Datenmengen, versuchte Bewegungen zwischen Systemen oder Abweichungen von einem Referenzverhalten hervorheben. Von Stellen wie dem CIRCL über MISP geteilte Kompromittierungsindikatoren können bestimmte Erkennungsregeln speisen.

Eine Warnung bleibt ein Signal, das bewertet werden muss. Sie kann auf einen Angriff, eine ungewöhnliche legitime Aktivität oder eine ungeeignete Regel zurückgehen. Die Sonde liefert Untersuchungsdaten; sie entscheidet nicht allein, ob und wie schwer ein Vorfall ist.

Wo liegen ihre Grenzen?

Eine Sonde sieht nur den Datenverkehr oder die Ereignisse, die ihr zugänglich sind. Verschlüsselung kann sichtbare Inhalte begrenzen, eine schlecht dokumentierte Architektur kann blinde Flecken schaffen und Angreifer können eine nicht abgedeckte Technik verwenden. Die Sonde patcht keine Software, stellt keine Sicherung wieder her und weist einer zuständigen Person nicht automatisch eine Entscheidung zu.

Vor dem Einsatz sind Umfang, Erfassungspunkte, Aufbewahrungsdauer, Empfänger der Warnungen und Reaktionsverfahren festzulegen. Auch die Protokolle müssen gemäß den Empfehlungen der ANSSI gegen unbefugten Zugriff und Veränderung geschützt werden.

Kann Netzwerküberwachung Personen betreffen?

Ja. IP-Adressen, Konto-Kennungen oder Verbindungsverläufe können personenbezogene Daten sein, wenn eine Person direkt oder indirekt identifizierbar ist. Dann sind Zweckbindung, Datenminimierung, Speicherbegrenzung, Sicherheit und Information nach der DSGVO, insbesondere Artikel 5, 13, 25 und 32, zu berücksichtigen. Zitiert wird die amtliche Fassung aus dem Amtsblatt der Europäischen Union einschließlich der über EUR-Lex zugänglichen Berichtigungen.

Ein Fall: wenn die Überwachung selbst kompromittiert wird

Am 15. Februar 2021 veröffentlichte die französische ANSSI den Bericht CERTFR-2021-CTI-005. Er beschreibt eine Kampagne gegen im Internet erreichbare Centreon-Server — eine Monitoring-Software. Die Kampagne lief von Ende 2017 bis 2020. Betroffen waren vor allem französische IT-Dienstleister, insbesondere Hosting-Anbieter.

Auf den kompromittierten Servern fand die ANSSI zwei Hintertüren: eine Webshell namens P.A.S. in Version 3.1.4 und eine Exaramel-Hintertür. Der Bericht hält einen Punkt fest, den man bis zum Ende lesen sollte: der ursprüngliche Kompromittierungsweg ist nicht bekannt.

Daraus folgen zwei Dinge, die ein KMU unmittelbar betreffen, das über eine Sonde oder ein Monitoring-Werkzeug nachdenkt:

• Ein Werkzeug, das alles überwacht, erreicht auch alles. Eine Sonde, eine Monitoring-Konsole, ein Sicherungsagent oder ein Fernwartungswerkzeug sind überall installiert und besitzen hohe Rechte. Sie schützen; sie vergrößern zugleich, was ein Angreifer erhält, wenn er sie erreicht.
• Drei Jahre sind die Dauer, nicht die Raffinesse. Was die Kampagne so lange bestehen ließ, ist nicht die Feinheit der Werkzeuge. Es ist, dass niemand beobachtete, was diese Server taten. Eine Sonde, die sammelt, ohne gelesen zu werden, ist keine Erkennung: sie ist ein Archiv.

Der Artikel Was ist eine Sicherheitslücke? zeigt den umgekehrten Fall: eine bekannte Schwachstelle, zu spät behoben. Hier bleibt die Eintrittslücke unbekannt, und es fehlte die Beobachtung.

Was ein KMU entscheiden muss

Keine dieser Entscheidungen ist technisch. Sie werden vor dem Kauf eines Werkzeugs getroffen, nicht danach.

• Wer liest die Alarme, und wann? Diese Frage entscheidet über alles Weitere. Eine Sonde ohne Leser erkennt nichts. Ist abends und am Wochenende niemand da, muss das festgehalten und eingeplant werden.
• Wie lange werden Protokolle aufbewahrt? Ein Eindringen wird oft Wochen nach seinem Beginn entdeckt. Sieben Tage Protokolle rekonstruieren nicht, was im Vormonat geschah.
• Wer hat Zugriff auf das Monitoring-Werkzeug, und von wo? Es ist das interessanteste Konto im ganzen Bestand. Es verdient Zwei-Faktor-Authentifizierung und eingeschränkten Zugang, ebenso wie die Buchhaltung.
• Was geschieht mit einem Alarm? Wer öffnet ihn, wer entscheidet, dass er echt ist, wer darf eine Maschine isolieren. Ohne diese drei Antworten wird ein Alarm zu einem Anhang, den man weiterleitet.
• Sind die Beschäftigten informiert? Die Überwachung eines Firmennetzes berührt Beschäftigtendaten. Die Information der Personen und die Anhörung der Personalvertretung, sofern vorhanden, sind keine Formalitäten: sie bedingen die Rechtmäßigkeit der Maßnahme.

Quellen

Links geprüft am 28. September 2026.

• ANSSI, CERT-FR, Bericht CERTFR-2021-CTI-005, 15. Februar 2021: cert.ssi.gouv.fr.
• ANSSI, CERT-FR, Kompromittierungsindikatoren CERTFR-2021-IOC-002: cert.ssi.gouv.fr.
• CIRCL, Dienste für luxemburgische Organisationen: circl.lu.
• Nationales Cybersicherheitsportal Luxemburg: cybersecurite.lu.

Den größten Nutzen entfaltet eine Sonde, wenn eine zuständige Funktion ihre Warnungen prüft. Diese Organisation beschreibt Was ist ein SOC?. Technische Schwachstellen erläutert Was ist eine Sicherheitslücke?.