Die wichtigsten Punkte
- Passwortdiebstahl muss mit einem Runbook erkannt und blockiert werden, das mehrere Sätze an Sicherheitskontrollen koordiniert und klar definiert, wie Erkennung, Prävention und Fortschritt gemessen werden.
- Schritte zum Erkennen und Blockieren von Passwortdiebstahl:
- Richtlinien und Zielwerte für die MFA-Abdeckung festlegen.
- Angriffsfreundliche Protokolle und Abläufe abschalten.
- Endpunkte gegen Credential Dumping härten.
- Erfolgsaussichten von Brute Force und Erraten senken.
- E-Mail- und Web-Einstiegspunkte schützen.
- OAuth-Zustimmungen und riskante Berechtigungen steuern.
- WLAN-Anmeldeinformationen und Roaming absichern.
- Identitätssignale überwachen, die Diebstahl verraten.
- Ausnahmen mit Ablaufdatum betreiben.
- Monatliches Evidence Packet veröffentlichen.
- So unterstützt NinjaOne beim Erkennen und Blockieren von Passwortdiebstahl:
- Geplante Aufgaben
- Asset-Tagging
- Dokumentation und Berichterstattung
- Mit klaren KPIs, schneller Triage und monatlichen Nachweisen senken Sie die Zahl der Vorfälle von Passwortdiebstahl und stärken die Sicherheitslage Ihres Unternehmens mit Zuversicht.
Von Unternehmen wird erwartet, dass sie ihre Sicherheitsstrategien kontinuierlich ausbauen. Das gilt besonders in der heutigen digitalen Landschaft, in der Phishing, Credential Dumping, Brute-Force- und Wörterbuchangriffe, wiederverwendete oder geteilte Geheimnisse sowie schwache Protokolle weit verbreitet und immer ausgefeilter sind. Sensibilisierung ist wichtig, echter Schutz entsteht jedoch erst, wenn Schutz vor Passwortdiebstahl über mehrschichtige, messbare Kontrollen in den Betrieb überführt wird.
In diesem Leitfaden zeigen wir Ihnen, wie Sie ein aufgabenbasiertes Runbook erstellen. Es deckt Strategien für stärkere Passwörter und eine bessere MFA-Abdeckung ab, dazu die Absicherung von Endpunkten, die Steuerung von E-Mail- und OAuth-App-Zustimmungen sowie die Frage, wie messbare Ergebnisse dokumentiert und über Evidence Packets nachgewiesen werden..
Auf einen Blick
Aufgabe | Zweck und Nutzen |
| Aufgabe 1: Alarmierungstypen klassifizieren und priorisieren | Schafft Verbindlichkeit und macht Fortschritte für Stakeholder sichtbar, indem passwortbezogene Sicherheitsalarmierungen anhand etablierter Richtlinien klassifiziert, priorisiert und berichtet werden. |
| Aufgabe 2: Angriffsfreundliche Protokolle und Abläufe abschalten | Neutralisiert einfache Angriffsvektoren, darunter Legacy-Protokolle wie NTLM, SMBv1 und nicht authentifiziertes LDAP. |
| Aufgabe 3: Endpunkte gegen Credential Dumping härten | Reduziert Schwachstellen, die Angreifer:innen über Credential Dumping ausnutzen könnten. |
| Aufgabe 4: Erfolgsaussichten von Brute Force und Erraten senken | Hilft IT-Teams, den Brute-Force-Strategien böswilliger Akteur:innen einen Schritt voraus zu sein. |
| Aufgabe 5: E-Mail- und Web-Einstiegspunkte schützen | Setzt Schutzmaßnahmen für E-Mails durch, einen der anfälligsten Vektoren für Anmeldeinformationsdiebstahl |
| Aufgabe 6: OAuth-Zustimmungen und riskante Berechtigungen steuern | Schränkt App-Berechtigungen ein und überwacht riskante Scopes, um Missbrauch zu begrenzen. |
| Aufgabe 7: WLAN-Anmeldeinformationen und Roaming absichern | Etabliert einen robusten Schutz für WLAN-Anmeldeinformationen. |
| Aufgabe 8: Identitätssignale überwachen, die Diebstahl verraten | Deckt möglichen Passwortdiebstahl auf, indem risikoreiche Identitätssignale wie auffällige Anmeldungen, unmögliche Reisen und wiederholt fehlgeschlagene Authentifizierungen verfolgt werden. |
| Aufgabe 9: Ausnahmen mit Ablaufdatum betreiben | Steuert die Auswirkungen der Einführung von Richtlinien und Kontrollen. |
| Aufgabe 10: Monatliches Evidence Packet veröffentlichen | Ermöglicht kontinuierliche Verbesserung, indem Erkennungen, Präventionsergebnisse und Lücken in einem wiederkehrenden monatlichen Evidence Packet dokumentiert werden. |
Voraussetzungen
Bevor Sie mit den Strategien starten, prüfen Sie zunächst, ob Folgendes vorhanden ist:
- Inventar: Sie sollten eine Liste der Identitätsanbieter, riskanten Zugriffspfade, privilegierten Gruppen und WLAN-Netzwerke haben.
- Verwaltung der Passwortsicherheit: Sie sollten MFA, Passwort- bzw. Passphrasen-Richtlinien und eine Prüfung gegen gesperrte Passwörter durchsetzen können.
- Tool für das Endpunkt-Management: Stellen Sie sicher, dass die Endpunkte LSASS-Schutz und Credential Guard aktivieren und bei Dumping-Verhalten alarmieren können
- Berichterstattung: Richten Sie einen Evidence-Arbeitsbereich für Erkennungen, KPIs und monatliche Packets ein.
Aufgabe 1: Alarmierungstypen klassifizieren und priorisieren
Etablieren Sie Passwortrichtlinien, zu denen Sie Kennzahlen veröffentlichen können, um sie später mit Stakeholdern zu teilen. Das schafft Verbindlichkeit und macht Fortschritte klar erkennbar. Diese Schritte sollten Sie umsetzen:
- Fordern Sie MFA (Multi-Factor Authentication) für Administrator:innen, Fernzugriff und externe Software-as-a-Service-Dienste.
- Verfolgen Sie die Abdeckung nach Benutzergruppen und blockieren Sie Versuche mit schwachen Passwörtern.
- Veröffentlichen Sie Zielwerte für die Verbesserung von Quartal zu Quartal.
Aufgabe 2: Angriffsfreundliche Protokolle und Abläufe abschalten
Cyberangriffe nutzen über Anmeldeinformationsdiebstahl gezielt Legacy-Protokolle wie NTLM, SMBv1 und nicht authentifiziertes LDAP aus. Diese Pfade zu deaktivieren oder einzuschränken ist entscheidend, um einfache Angriffsvektoren zu neutralisieren. Setzen Sie Folgendes um:
- Deaktivieren Sie Legacy-Authentifizierung, wo es möglich ist.
- Schränken Sie SMB und unsignierte Kommunikation ein.
- Erzwingen Sie TLS für Dienste, die Anmeldeinformationen verarbeiten.
- Blockieren Sie anonyme Bindungen.
- Dokumentieren Sie alle Ausnahmen, einschließlich:
- Name der verantwortlichen Person.
- Grund für die Ausnahme.
- Geplantes Ablauf- oder Überprüfungsdatum.
Aufgabe 3: Endpunkte gegen Credential Dumping härten
Der Zugriff auf Anmeldeinformationen gehört zu den am häufigsten genutzten Angriffstechniken: Böswillige Akteur:innen extrahieren dabei Authentifizierungsdaten, nachdem sie in ein System eingedrungen sind. Endpunkt-Hardening ist eine Möglichkeit, Schwachstellen zu reduzieren, die Angreifer:innen ausnutzen könnten. So verhindern Sie Credential Dumping durch Hardening Ihrer Endpunkte:
- Aktivieren Sie LSASS-Schutz und Credential Guard.
- Entziehen Sie Benutzer:innen im Tagesgeschäft lokale Administratorrechte.
- Speichern Sie keine Passwörter mehr in Skripten und Tools.
- Erkennen Sie verdächtige Zugriffe auf LSASS, SAM und Browser-Speicher.
- Stellen Sie betroffene Systeme bei Treffern unter Quarantäne und sichern Sie Artefakte zur Analyse.
Aufgabe 4: Erfolgsaussichten von Brute Force und Erraten senken
Angreifer:innen setzen außerdem großflächige Password-Spray- oder Wörterbuchangriffe ein, um Zugang zu einem System zu erhalten. Mit diesen Maßnahmen sind Sie den Brute-Force-Strategien böswilliger Akteur:innen einen Schritt voraus:
- Aktivieren Sie die Prüfung gegen gesperrte Passwörter mit eigenen Wörterbüchern.
- Drosseln Sie Authentifizierungsversuche.
- Überwachen Sie Muster von Password-Spray-Angriffen.
- Korrelieren Sie Ausschläge mit IP-Reputation und Blocklisten.
Aufgabe 5: E-Mail- und Web-Einstiegspunkte schützen
E-Mails zählen zu den anfälligsten Vektoren für Anmeldeinformationsdiebstahl. Setzen Sie Schutzmaßnahmen wie folgt durch:
- Erzwingen Sie SPF, DKIM und DMARC, um die Echtheit von Absender:innen zu prüfen.
- Ergänzen Sie Banner für externe Nachrichten und Domain-Hinweise, um Benutzer:innen zu warnen.
- Nutzen Sie Linkschutz zum Klickzeitpunkt, damit Phishing-Links gar nicht erst zugestellt werden.
- Standardisieren Sie eine Meldeschaltfläche mit einem Klick, die innerhalb weniger Minuten nach Benutzerberichten einen Triage-Workflow auslöst.
Aufgabe 6: OAuth-Zustimmungen und riskante Berechtigungen steuern
Der Diebstahl von OAuth-Tokens und bösartig erteilte Zustimmungen umgehen Passwörter vollständig. App-Berechtigungen einzuschränken und riskante Scopes zu überwachen begrenzt den Missbrauch. Diese Schritte sollten Sie umsetzen:
- Verlangen Sie eine Administratorfreigabe für Berechtigungen mit hohem Risiko.
- Prüfen Sie neue App-Zustimmungen wöchentlich.
- Widerrufen Sie ungenutzte oder verdächtige App-Berechtigungen.
- Führen Sie eine kurze Allowlist vertrauenswürdiger Apps und dokumentieren Sie Ablehnungen mit Begründung.
Aufgabe 7: WLAN-Anmeldeinformationen und Roaming absichern
Geteilte oder statische WLAN-Passwörter führen zu Mehrfachnutzung von Anmeldeinformationen und begünstigen laterale Bewegungen. Etablieren Sie einen robusten Schutz für WLAN-Anmeldeinformationen:
- Wechseln Sie, wo möglich, von geteilten Pre-Shared Keys (PSKs) wie WPA2-PSK zu einer benutzerbezogenen Authentifizierung.
- Rotieren Sie PSKs nach einem festen Zeitplan für Gast- oder Legacy-Segmente.
- Achten Sie auf täuschend ähnliche SSIDs und Phishing über Captive Portals.
Aufgabe 8: Identitätssignale überwachen, die Diebstahl verraten
Ein wirksames Alarmierungssystem deckt möglichen Passwortdiebstahl auf, indem es Identitätssignale verfolgt. Auf diese Signale sollten Sie achten:
- Anmeldungen von ungewöhnlichen Geräten: Dazu zählen Anmeldungen von Geräten, die eine Person normalerweise nicht dafür nutzt.
- Wiederholte Fehlversuche über viele Konten hinweg: Mehrere fehlgeschlagene Anmeldeversuche innerhalb kurzer Zeit.
- Anmeldungen von fragwürdigen Standorten: Authentifizierungsaktivitäten aus einer geografischen Region, aus der sich eine bestimmte Person sonst nicht anmeldet.
- Unmögliche Reisen: Eine Person meldet sich innerhalb eines Zeitfensters von zwei weit entfernten Standorten an, das eine echte Reise unmöglich macht. Das deutet stark auf kompromittierte Anmeldeinformationen hin.
- Riskante Anmeldungen von neuen Standorten: Authentifizierungsversuche aus einem Land oder einer Region, aus der die Person noch nie oder nur sehr selten zugegriffen hat, selbst wenn der Zeitpunkt technisch plausibel ist. Das signalisiert ein erhöhtes Risiko, nicht zwingend eine Kompromittierung.
Verknüpfen Sie Identitätsalarmierungen anschließend mit Erkennungen auf den Endpunkten, um den ursprünglichen Einstiegspunkt zu bestimmen.
Aufgabe 9: Ausnahmen mit Ablaufdatum betreiben
Verschiedene Faktoren können die Einführung von Richtlinien und Kontrollen beeinflussen. Verwalten Sie diese Ausnahmen so, dass sie nicht zu dauerhaften Schwachstellen werden. Mögliche Maßnahmen:
- Legen Sie eine verantwortliche Person fest.
- Dokumentieren Sie kompensierende Kontrollen.
- Setzen Sie ein klares Ablaufdatum.
- Prüfen Sie Ausnahmen wöchentlich und schließen Sie sie zeitnah.
Aufgabe 10: Monatliches Evidence Packet veröffentlichen
Ein Evidence Packet pro Mandant hilft, vorbeugende Strategien zur Erkennung und Blockierung von Passwortdiebstahl zu verbessern. Ein monatliches Evidence Packet sollte die Wirksamkeit des Programms zusammenfassen und Folgendes abdecken:
- MFA-Abdeckung
- Blockierte Versuche mit schwachen Passwörtern und erkannte Spray-Angriffe
- Alarmierungen zu Credential Dumping
- OAuth-Widerrufe
- Alter offener Ausnahmen,
- Zwei Vorfälle werden durchgängig dokumentiert, mit Zeitachsen und Ergebnissen.
Halten Sie all diese Informationen kompakt, für die Geschäftsleitung am besten auf einer einzigen Seite.
Übersichtstabelle der Best Practices
| Praktik | Zweck | Erzielter Nutzen |
| Richtlinie mit Fokus auf Länge + MFA | Wert gestohlener Anmeldeinformationen senken | Weniger erfolgreiche Kontoübernahmen |
| Endpunkt-Hardening für LSASS | Credential Dumping direkt an der Quelle begrenzen und erkennen | Geringeres Risiko lateraler Bewegungen |
| Prüfung gegen gesperrte Passwörter | Einfach zu erratende Passwörter blockieren | Höhere effektive Entropie |
| E-Mail-Authentifizierung + Zustimmungssteuerung | Phishing und Token-Fallen reduzieren | Frühere Prävention und klarere Forensik |
| Monatliches Evidence Packet | Ergebnisse nachweisen | Vertrauen der Geschäftsleitung und sauberere Audits |
Beispiel für einen Automatisierungs-Touchpoint
Mit Automatisierung können Sie einige Aufgaben dieses Ablaufs verschlanken. Diese Kennzahlen kann zum Beispiel ein nächtliches Skript abrufen:
- MFA-Abdeckung, Verhältnis von fehlgeschlagenen zu erfolgreichen Anmeldungen und erkannte Spray-Angriffe.
- Endpunkt-Alarmierungen bei LSASS-Zugriffen.
- Änderungen an OAuth-Zustimmungen und widerrufene Tokens.
- Kennzahlen zu blockiertem Phishing.
In einem monatlichen Job können Sie anschließend KPIs, Ausnahmen und zwei dokumentierte Vorfallszeitachsen zu einem einzigen Zusammenfassungs-Packet für die Überprüfung bündeln.
Integration mit NinjaOne
NinjaOne bietet Tools und Funktionen, mit denen sich die Erkennung und Blockierung von Passwortdiebstahl über Endpunkte, Identitäten und E-Mails hinweg optimieren lässt.
| NinjaOne-Service | Was es ist | Wie es bei der Erkennung und Blockierung von Passwortdiebstahl hilft |
| Geplante Aufgaben | Automatisierte Workflows, die wiederkehrende Aktionen wie Scans, Datenerfassung und Behebung ausführen. | Erfasst den Hardening-Status der Endpunkte und Erkennungsprotokolle und stellt sicher, dass LSASS-Schutz und Credential Guard auf allen verwalteten Geräten aktiv bleiben. |
| Asset-Tagging | Die Möglichkeit, Geräte anhand von Kriterien wie Risikostufe, Benutzergruppe oder Compliance-Status zu kategorisieren und zu kennzeichnen. | Kennzeichnet Assets über eine Kombination aus Tags und benutzerdefinierten Feldern (zum Beispiel für Risikostufe, Benutzergruppe oder Compliance-Kontext) und hilft so, Endpunkte mit höherem Risiko für zusätzlichen Schutz der Anmeldeinformationen und zusätzliche Überwachung zu priorisieren. |
| Dokumentation und Berichterstattung | Zentraler Arbeitsbereich für Endpunkt- und Automatisierungsdokumentation, Gerätemetadaten und betrieblichen Kontext, der Compliance-Berichterstattung und KPI-Überprüfungen unterstützt. | Speichert das monatliche Evidence Packet, damit Account Manager:innen in QBRs und Audits messbare Ergebnisse beim Schutz vor Passwortdiebstahl präsentieren können. |
Quick-Start-Guide
NinjaOne hilft Ihnen, Passwortdiebstahl über Endpunkte, Identitäten und E-Mails hinweg zu erkennen und zu blockieren:
1. Endpunkt-Erkennung und Reaktion (EDR)
- Echtzeit-Monitoring: Die EDR-Funktionen von NinjaOne überwachen Endpunkte fortlaufend auf verdächtige Aktivitäten wie ungewöhnliche Anmeldeversuche oder unbefugte Zugriffe.
- Verhaltensanalyse: Erkennt Anomalien wie mehrere fehlgeschlagene Anmeldeversuche, die auf Password-Spraying oder Brute-Force-Angriffe hindeuten können.
2. Identitätsschutz
- MFA (Multi-Factor Authentication): Erzwingt MFA für alle Identitäten, um unbefugte Zugriffe auch bei kompromittierten Passwörtern zu verhindern.
- Prüfung von Anmeldeinformationen: Erkennt schwache oder mehrfach verwendete Passwörter und fordert Administrator:innen zum Zurücksetzen auf.
3. E-Mail-Sicherheit
- Phishing-Erkennung: NinjaOne lässt sich mit E-Mail-Sicherheitstools integrieren, um Phishing-Versuche auf Anmeldeinformationen zu erkennen und zu blockieren.
- Sichere E-Mail-Gateways: Verhindern, dass schädliche E-Mails Benutzer:innen erreichen, und senken so das Risiko des Abgreifens von Anmeldeinformationen.
4. Zentrale Transparenz
- Einheitliches Dashboard: Bietet eine einheitliche Benutzeroberfläche, um Endpunkte, Identitäten und E-Mail-Systeme auf Anzeichen von Passwortdiebstahl zu überwachen.
- Automatisierte Alarmierungen: Informieren Teams über mögliche Sicherheitsverletzungen oder verdächtige Aktivitäten, damit sie schnell reagieren können.
Durch die Kombination dieser Funktionen bietet NinjaOne einen umfassenden Ansatz zum Schutz vor Passwortdiebstahl in Ihrer gesamten Infrastruktur.
Passwortdiebstahl erkennen und blockieren
MSPs können Vorfälle von Passwortdiebstahl mit vorbeugenden Maßnahmen vollständig verhindern oder zumindest deutlich reduzieren. Diese Maßnahmen lassen sich in einem Runbook bündeln, das klare Sicherheitsaufgaben definiert und Überwachung sowie Reaktionsschritte standardisiert.
Die wichtigsten Erkenntnisse:
- Setzen Sie Passphrasen und MFA auf privilegierten und entfernten Zugriffswegen durch
- Aktivieren Sie Credential Guard und LSASS-Schutz und erkennen Sie Dumping-Verhalten
- Nutzen Sie die Prüfung gegen gesperrte Passwörter und Ratenbegrenzungen, um Rateangriffe abzuschwächen
- Steuern Sie E-Mail-Authentifizierung und OAuth-App-Zustimmungen
- Belegen Sie Fortschritte jeden Monat mit kompakten Nachweisen, die für die Geschäftsleitung aufbereitet sind
Eine standardisierte Strategie zur Verhinderung von Passwortdiebstahl liefert messbare Ergebnisse, mit denen Sie die Wirksamkeit Ihres Schutzes vor Passwortdiebstahl über alle verwalteten Mandanten hinweg nachweisen können.
Verwandte Themen:
