Die meisten Ratschläge zur Vorbeugung von Datenlecks, darunter unser eigener Leitfaden zur Verhinderung von Datenlecks, konzentrieren sich darauf, Angreifer aus deinem Unternehmensnetzwerk fernzuhalten. Die Verwendung stärkerer Anmeldedaten, Schutz vor Phishing, gepatchte Systeme und überprüfte Lieferanten sind allesamt wichtige Bestandteile dieser Praxis. Sie sind alle unverzichtbare Maßnahmen, können aber nicht deine einzigen Taktiken zum Schutz vor Datenlecks sein: Sie helfen dir nicht weiter, wenn es einem Angreifer gelingt, in dein Netzwerk einzudringen.
Sich Zugriff zu verschaffen und Datendiebstahl sind zwei verschiedene Dinge. Ein Angreifer, der einen einzelnen Posteingang, einen Laptop oder die Verbindung eines Lieferanten kompromittiert, hat noch nichts gestohlen. Er hat lediglich Fuß gefasst – und was zwischen diesem ersten Schritt und dem Moment geschieht, in dem Daten das Unternehmen verlassen, ist eine Phase, die in den meisten Sicherheitsleitfäden für KMU völlig übersprungen wird. Denn es geht nicht nur darum, dein Netzwerk zu sichern; es geht auch darum zu bemerken, dass Daten daraus herausbewegt werden.
Diese Phase wird als Exfiltration bezeichnet und dauert typischerweise Tage oder erstreckt sich sogar unentdeckt über Monate. Sie ist durch Tools und Kanäle möglich, die für jeden völlig gewöhnlich aussehen, der nicht gezielt nach ihnen sucht. Benachrichtigungen über Datenlecks treffen häufig spät ein – nicht, weil Organisationen bei der ersten Kompromittierung unachtsam waren, sondern weil der Angreifer im Unternehmensnetzwerk nicht entdeckt wurde.
Die Exfiltrationsphase: Was zwischen Zugriff und Diebstahl geschieht
Wie Datenexfiltration aussieht
Warum ist Exfiltration so schwer zu erkennen?
Worauf Unternehmen achten sollten
Wie eine frühzeitige Erkennung deine rechtliche Lage verändern kann
Was passiert mit exfiltrierten Unternehmensdaten?
Einschränken, was ein Angreifer erreichen kann
Die Exfiltrationsphase: Was zwischen Zugriff und Diebstahl geschieht
Sobald ein Angreifer ersten Zugriff erlangt – sei es durch eine Phishing-E-Mail, gestohlene Anmeldedaten oder eine kompromittierte Lieferantenverbindung –, geht er selten direkt zum Datendiebstahl über. Sofortiges Handeln birgt das Risiko, einen Alarm auszulösen, bevor er etwas Lohnenswertes gefunden hat. Daher ist Geduld das gängigere Muster.
Der Angreifer verbringt Zeit damit, die Umgebung zu analysieren, darunter:
- Wo Finanzunterlagen gespeichert sind
- Beurteilen, welche SaaS-Tools Kundendaten enthalten
- Ausfindig machen von Konten mit den weitreichendsten Zugriffsrechten
- Erkennen, ob eine Aktivitätsüberwachung eingerichtet ist.
Diese Aufklärungsphase kann langsam verlaufen. Manche Angreifer schlagen innerhalb von Stunden zu, insbesondere bei opportunistischen Ransomware-Angriffen, bei denen Geschwindigkeit wichtiger ist als Unauffälligkeit. Andere, vor allem bei langfristigem Datendiebstahl oder Spionage, bleiben wochen- oder monatelang unbemerkt im System und lernen normale Aktivitätsmuster so gut kennen, dass sie sich darin nahtlos einfügen.
In jedem Fall weiß der Angreifer zu dem Zeitpunkt, an dem er beginnt, Daten abzuziehen, meist schon genau, was er will und mit welchem Konto oder System er an diese gelangt, ohne einen Alarm auszulösen.
Wie Datenexfiltration aussieht
Bösartige Exfiltration ist schwer zu erkennen, weil sie wie ganz alltägliche Aktivitäten aussieht. IT-Administratoren halten in der Regel nicht nach Dateitransfers Ausschau, die nur geringfügig größer als üblich sind, oder nach Ordnern, die an unerwünschte Orte synchronisiert werden.
Große oder ungewöhnliche Datenübertragungen
Dies ist die direkteste Form der Exfiltration. Ein Konto lädt beispielsweise plötzlich Gigabytes von einem Dateiserver oder einer Datenbank herunter, auf die es normalerweise nur gelegentlich zugreift, oder führt einen Massenexport aus einer CRM- oder HR-Plattform durch.
In Umgebungen mit vielen SaaS-Tools erfolgt die Exfiltration häufig über die plattformeigenen Exportfunktionen: CSV-Massendownloads, PDF-Exporte von Kundendatensätzen oder eine Reihe von Screenshots eines Dashboards, das über gar keine Export-Schaltfläche verfügt.
Ein typischer Fall könnte so aussehen: Ein kompromittiertes HR-Konto wird über mehrere Wochen hinweg genutzt, um kleine, gestaffelte Exporte von Mitarbeiterdatensätzen durchzuführen, anstatt eines auffälligen Massendownloads. Jeder einzelne Export für sich wirkt unauffällig und entspricht völlig dem, was eine HR-Plattform von jemandem in dieser Rolle erwartet.
Erst das Muster über Wochen hinweg – dasselbe Konto exportiert ähnliche Daten in unregelmäßigen Abständen – würde verraten, was vor sich geht. Und dieses Muster wird nur für ein Unternehmen sichtbar, das gezielt danach sucht.
Kompromittierung des Posteingangs
Ein Angreifer, der ein geschäftliches E-Mail-Postfach kompromittiert, kann eine Regel einrichten, die heimlich jede Nachricht – oder jede Nachricht mit bestimmten Schlüsselwörtern – an eine externe Adresse weiterleitet. So erhält er fortlaufend Zugriff auf vertrauliche Korrespondenz, lange nachdem die ursprüngliche Phishing-E-Mail vergessen ist.
Kompromittierung von Cloud-Speichern
Persönlicher Cloud-Speicher ist ein weiterer verbreiteter Weg. Über den kompromittierten Laptop eines Mitarbeiters oder ein kompromittiertes Konto mit Zugriff auf Unternehmensdateien können Dokumente in ein persönliches Dropbox– oder Google Drive-Konto oder einen ähnlichen Dienst kopiert werden – eine Übertragung, die oft wie eine legitime Dateisicherung aussieht, es sei denn, jemand überprüft den Zielort der Daten.
Warum ist Exfiltration schwer zu erkennen?
Die unbequeme Wahrheit über Exfiltration ist, dass sie in der Regel überhaupt keine Malware(neues Fenster) erfordert. Ein Angreifer, der ein kompromittiertes Konto verwendet, um einen Bericht zu exportieren, E-Mails weiterzuleiten oder Dateien auf ein Cloud-Drive hochzuladen, nutzt dieselben Tools und Berechtigungen, die auch legitime Mitarbeiter täglich verwenden.
Es gibt keine verdächtige ausführbare Datei, die von einer Antivirensoftware markiert werden könnte, und keine ungewöhnlichen Prozesse, die eine Endpunkterkennung erfassen würde, da an der Aktivität technisch nichts unnormal ist. Sie wirkt nur im Kontext verdächtig – und genau darauf sind die meisten Sicherheits-Tools für KMU nicht ausgelegt.
Deshalb reichen perimeterbasierte Schutzmaßnahmen allein nicht aus, egal wie gut sie umgesetzt sind. Ein Unternehmen kann am Einstiegspunkt alles richtig machen – starke Anmeldedaten vorschreiben, Mitarbeiter gegen Phishing schulen, jedes System patchen – und hat dennoch keine Möglichkeit zu wissen, dass ein kompromittiertes Konto fortlaufend Dateien an ein externes Ziel überträgt, weil diese Aktivität von vornherein gar nicht verdächtig wirkt.
Sicherheitsforscher bezeichnen dies mitunter als „Living off the land“: die Nutzung der legitimen Software, Cloud-Integrationen und Administrations-Tools des Ziels, anstatt Werkzeuge einzusetzen, die ein Antivirenprogramm als bösartig einstufen würde.
Ein Datei-Synchronisations-Client, eine integrierte Exportfunktion oder eine standardmäßige E-Mail-Regel sind für sich genommen keine bösartigen Tools. Deshalb kann ein Angreifer, der sich darauf stützt, so lange unbemerkt agieren, ohne Mechanismen zur Malware-Erkennung auszulösen.
Worauf Unternehmen achten sollten
Um Exfiltration frühzeitig zu erkennen, kommt es darauf an, auf einige wenige spezifische Signale zu achten, anstatt pauschal nach verdächtigen Aktivitäten zu scannen.
Datenverkehr und Exporte
Ungewöhnliche Datenübertragungsvolumina oder -ziele verdienen größte Aufmerksamkeit. Deine Organisation sollte auf Spitzen im ausgehenden Datenverkehr, Massenexporte aus Systemen, in denen dies unüblich ist, oder Übertragungen an unbekannte Ziele achten.
Der Leitfaden des NCSC zur Datensicherheit(neues Fenster) empfiehlt ausdrücklich, Zugriffe auf vertrauliche Daten zu protokollieren und auf ungewöhnliche Abfragen oder versuchte Massenexporte zu überwachen, da genau solche Muster darauf hindeuten, dass Aktivitäten über die normale Nutzung hinausgehen.
E-Mail-Weiterleitungsregeln
E-Mail-Weiterleitungsregeln sollten direkt überprüft werden – insbesondere bei Konten, die in einen mutmaßlichen Phishing-Vorfall verwickelt waren. Eine Regel, die Nachrichten unbemerkt an eine unbekannte Adresse weiterleitet, kann monatelang unentdeckt bleiben, und ihre Überprüfung ist eine der einfachsten Maßnahmen, sobald man weiß, worauf man achten muss.
Ungewöhnliche Anmeldungen
Anmeldeaktivitäten von unerwarteten Standorten oder zu ungewöhnlichen Zeiten sind ein Signal, das man ernst nehmen sollte. Eine Anmeldung um 3 Uhr morgens aus einem Land, in dem das Unternehmen nicht vertreten ist, ist für sich allein genommen noch kein Beweis, aber im Abgleich mit einer Datenübertragung etwa zur gleichen Zeit ist es ein Detail, das einen Vorfall bestätigen kann.
Aktivitäten von Administratorkonten außerhalb der Geschäftszeiten sollten besonders genau geprüft werden, da Administratorkonten in der Regel die weitreichendsten Zugriffsrechte im System besitzen und genau aus diesem Grund ein bevorzugtes Ziel sind.
Aktivitäten auf diesen Konten spät in der Nacht, am Wochenende oder während einer Abwesenheit des eigentlichen Administrators sind einer der verlässlicheren Indikatoren dafür, dass ein Konto – und nicht nur ein Gerät – kompromittiert wurde.
Wie eine frühzeitige Erkennung deine rechtliche Lage verändern kann
Gemäß der DSGVO der EU und des Vereinigten Königreichs gibt Artikel 33(neues Fenster) Organisationen 72 Stunden Zeit, um die zuständige Aufsichtsbehörde zu benachrichtigen, sobald sie Kenntnis von einem Datenleck erlangen, das personenbezogene Daten betrifft: das ICO im Vereinigten Königreich(neues Fenster) oder die nationale Datenschutzbehörde des jeweiligen EU-Mitgliedstaats.
Die Anforderung ist in allen Rechtsordnungen im Wesentlichen gleich: Die Uhr beginnt für deine Organisation ab dem Moment zu ticken, in dem du Kenntnis davon erlangst, nicht ab dem Zeitpunkt, an dem das Datenleck tatsächlich aufgetreten ist. Deshalb ist eine gründliche Exfiltrationsüberwachung nicht nur für die Sicherheit, sondern auch für die Compliance von entscheidender Bedeutung.
Ein Unternehmen, das eine Exfiltration frühzeitig erkennt – sei es durch die Überprüfung von Weiterleitungsregeln, Transferüberwachung oder Warnungen bei ungewöhnlichen Anmeldungen –, kann proaktiv und im eigenen Zeitrahmen melden und hat dabei ein relativ klares Bild davon, was entwendet wurde.
Ein Unternehmen, das ein Datenleck erst Wochen oder Monate später entdeckt – oft weil sich ein Kunde beschwert hat oder gestohlene Daten in einem kriminellen Forum aufgetaucht sind –, meldet reaktiv, unter Druck und häufig mit unvollständigem Überblick über das Ausmaß, während die Aufsichtsbehörde nachfragt, warum es so lange gedauert hat, bis der Vorfall bemerkt wurde.
Der Unterschied betrifft nicht nur deinen Ruf. Er beeinflusst, wie der gesamte Vorfall bewertet wird und wie viel Spielraum eine Aufsichtsbehörde einzuräumen bereit ist.
Was passiert mit exfiltrierten Unternehmensdaten?
Das Data Breach Observatory von Proton verfolgt, was nach einem Datenleck im Darknet auftaucht, und die Muster bieten einen realistischen Einblick darin, worauf Exfiltrationen tatsächlich abzielen.
Laut dem Update des Data Breach Observatory für 2026 tauchen Namen und E-Mail-Adressen in fast neun von zehn erfassten Datenlecks auf, Kontaktdaten wie Telefonnummern und Postanschriften in rund drei Vierteln und Passwörter sind bei fast der Hälfte offengelegt.
Sensiblere Kategorien wie behördliche Ausweise, Gesundheitsdaten und andere personenbezogene Daten tauchen in etwas mehr als einem Drittel der Datenlecks auf, während direkte Finanzinformationen einen kleineren Anteil ausmachen – etwa eines von zwanzig.
KMU machen den Großteil der vom Observatory erfassten Datenlecks aus und sind bei Vorfällen mit besonders sensiblen Datenkategorien überproportional vertreten.
Diese Kombination – häufige Angriffe und eine hohe Rate an offengelegten sensiblen Daten – passt zu der Art von Exfiltration, die in diesem Artikel beschrieben wird: Angriffe, die sich über einen langen Zeitraum in den Systemen einer kleineren Organisation abspielen, zahlen sich für Angreifer meist mehr aus, da niemand wusste, dass Daten abfließen, und Angreifer sich alles holen konnten.
Einschränken, worauf ein Angreifer zugreifen kann
Die Überwachung der Exfiltration erfasst Daten beim Abfluss, aber das Ausmaß des Problems entscheidet sich schon früher – nämlich daran, worauf ein kompromittiertes Konto überhaupt zugreifen kann. Ein Angreifer, der Zugriff auf ein Konto mit weitreichenden, uneingeschränkten Berechtigungen erhält, kann auf weit mehr Systeme zugreifen als einer, der ein Konto kompromittiert, das streng auf die Anforderungen der jeweiligen Rolle zugeschnitten ist.
Einzigartige Anmeldedaten für jedes Konto, kombiniert mit Zugriffsberechtigungen, die auf das tatsächlich Erforderliche einer Rolle beschränkt sind, verringern die Angriffsfläche für Exfiltrationen erheblich. Wenn ein kompromittiertes Marketingkonto nur auf Marketingsysteme zugreifen kann, ist das Worst-Case-Szenario bereits von Grund auf begrenzt – anstatt darauf angewiesen zu sein, dass sich der Angreifer zurückhält oder ein Überwachungssystem ihn rechtzeitig stoppt.
Dies ist dieselbe Eindämmungslogik, die den Schadensradius bei Datenlecks durch kompromittierte Anmeldedaten generell begrenzt: Das betroffene Konto sollte immer nur das preisgeben können, worauf es rechtmäßig Zugriff hatte.
Ein Passwort-Manager für Unternehmen wie Proton Pass for Business macht eine solche Beschränkung im Alltag handhabbar. Er beseitigt die Versuchung, dieselben bequemen Zugangsdaten für mehrere Tools wiederzuverwenden, nur weil die manuelle Verwaltung individueller Daten nicht skalierbar ist.
Wenn jedes Konto über eigene Anmeldedaten verfügt und Zugriffsrechte daran gemessen werden, was eine Rolle tatsächlich benötigt, ist ein einzelnes kompromittiertes Konto kein Einfallstor mehr für die Daten der gesamten Organisation, sondern bleibt im schlimmsten Fall ein eingedämmter Vorfall.
Proton Pass for Business kann dein Unternehmen unterstützen mit:
- Anpassbaren Team-Richtlinien, die dir helfen, deine Passwort-Richtlinie mit Passwortanforderungen, obligatorischer Zwei-Faktor-Authentifizierung (2FA) und widerrufenen Datenfreigaberegeln durchzusetzen
- Nutzungsprotokollen, mit denen du Aktivitäten in deinem Netzwerk einsehen kannst – mit zusätzlicher Unterstützung durch unser hochmodernes Sicherheitsprogramm Proton Sentinel
- Gruppen, die nach Rolle, Projekt oder Zugriffsebene strukturiert sind, was die Zugriffsverwaltung vereinfacht und sicherstellt, dass jedes Teammitglied nur Zugriff auf das hat, was es wirklich benötigt.
Verhindere die Datenexfiltration über Anmeldedaten mit einem Passwort-Manager für Unternehmen.
