IT-Sicherheit von A bis Z

Active Directory ist der zentrale Verzeichnisdienst in Windows-Netzen: Er verwaltet Benutzer, Computer und Rechte – und ist damit das bevorzugte Ziel fast jedes Angreifers.

Adversary Emulation bildet die dokumentierten Taktiken und Techniken einer konkreten Angreifergruppe nach, um zu prüfen, ob die Verteidigung genau diesen Gegner erkennen würde.

Die Angriffsfläche umfasst alle Punkte, an denen ein Angreifer mit einem System, einer Organisation oder ihren Mitarbeitenden in Kontakt treten kann – technisch, menschlich und physisch.

APIs verbinden Anwendungen und Daten über das Netz. Weil sie oft direkt auf Geschäftslogik und Daten zugreifen, sind sie ein bevorzugtes und wachsendes Angriffsziel.

Application Allowlisting erlaubt auf einem System nur die Ausführung ausdrücklich freigegebener Programme, Skripte und Bibliotheken; alles Unbekannte wird blockiert, auch neue Schadsoftware.

APT (Advanced Persistent Threat) bezeichnet gut ausgestattete, meist staatlich gelenkte Angreifergruppen, die sich gezielt und über lange Zeit unentdeckt in Netzwerken festsetzen.

Assumed Breach ist ein Red-Team-Szenario, das mit einem bereitgestellten Zugang startet – etwa einem kompromittierten Client – und prüft, wie weit ein Angreifer von dort kommt und ob er erkannt wird.

Attack Surface Management ist das fortlaufende Entdecken, Inventarisieren und Bewerten aller von außen erreichbaren Systeme, um vergessene und exponierte Angriffspunkte zu schließen.

Authentifizierung klärt, wer jemand ist; Autorisierung, was er darf. Beide Schritte sind die Grundlage jeder Zugriffskontrolle – und ein häufiger Angriffspunkt.

Awareness-Schulungen vermitteln Mitarbeitenden, wie sie Phishing, Social Engineering und riskantes Verhalten erkennen und melden, und machen den Menschen damit zum aktiven Teil der Verteidigung.

Die 3-2-1-Regel verlangt drei Kopien aller Daten auf zwei verschiedenen Medientypen, davon eine Kopie außer Haus; heute ergänzt um eine unveränderbare oder offline gehaltene Kopie gegen Ransomware.

Ein Bedrohungsmodell (Threat Model) beschreibt systematisch, welche Angreifer mit welchen Fähigkeiten und Motiven welche Werte eines Unternehmens bedrohen, und priorisiert daraus Schutz und Tests.

Blackbox, Greybox und Whitebox bezeichnen den Wissensstand der Tester zu Testbeginn – von null Vorinformation über Testkonten bis zu vollem Einblick in Quellcode und Architektur.

Das Blue Team ist die verteidigende Seite einer Organisation – SOC, Incident Response und IT-Sicherheit –, deren Erkennung und Reaktion im Red Teaming unangekündigt auf die Probe gestellt wird.

Ein Botnetz ist ein Verbund kompromittierter Geräte, die ein Angreifer zentral fernsteuert – für DDoS-Angriffe, Spam, Credential Stuffing oder als Verteilnetz für weitere Schadsoftware.

Breach and Attack Simulation ist softwaregestütztes, automatisiertes Nachspielen bekannter Angriffstechniken, das fortlaufend prüft, ob Schutz- und Erkennungsmaßnahmen wie erwartet greifen.

Breakout Time ist die Zeit vom ersten kompromittierten System bis zur Ausbreitung eines Angreifers auf ein weiteres System; laut CrowdStrike Global Threat Report 2026 im Schnitt 29 Minuten.

Der BSI IT-Grundschutz ist die deutsche Methodik für den Aufbau eines Informationssicherheitsmanagements mit Bausteinen, den Standards 200-1 bis 200-4 und einer Zertifizierung auf Basis von ISO 27001.

Ein Bug-Bounty-Programm belohnt externe Sicherheitsforscher dafür, Schwachstellen verantwortungsvoll zu melden – fortlaufend und erfolgsbasiert statt in einem festen Prüfzeitraum.

Business Continuity Management (BCM) stellt sicher, dass kritische Geschäftsprozesse bei schweren Störungen wie Cyberangriffen weiterlaufen oder in definierter Zeit wieder anlaufen.

Business E-Mail Compromise ist ein Betrug per E-Mail, bei dem Angreifer als Führungskraft oder Lieferant auftreten, um Zahlungen oder Daten zu erschleichen – oft ohne jede Schadsoftware.

Ein C2-Framework ist die Steuerungssoftware, über die Red Teams und Angreifer kompromittierte Systeme fernsteuern – die technische Umsetzung von Command and Control in einem Einsatz.

CBEST ist das Rahmenwerk der Bank of England für bedrohungsgeleitete Red-Team-Tests bei Finanzinstituten im Vereinigten Königreich und gilt als Vorbild für TIBER-EU und den DORA-TLPT.

Cloud Security sichert Daten und Dienste in Cloud-Umgebungen ab. Im Zentrum stehen Identitäten und Konfigurationen – nicht mehr die klassische Netzwerkgrenze.

Command and Control (C2) bezeichnet die Kommunikationsinfrastruktur, über die Angreifer kompromittierte Systeme fernsteuern, Befehle senden, Werkzeuge nachladen und Daten empfangen.

Conditional Access entscheidet bei jeder Anmeldung anhand von Bedingungen wie Nutzer, Gerät, Standort, Anwendung und Risiko, ob der Zugriff erlaubt, mit MFA abgesichert oder blockiert wird.

Das Control Team ist die kleine, eingeweihte Gruppe im getesteten Unternehmen, die ein Red Teaming beauftragt, steuert und überwacht – in TIBER-EU bis 2025 als White Team bezeichnet.

Credential Stuffing ist das automatisierte Ausprobieren erbeuteter Zugangsdaten aus Datenlecks bei anderen Diensten – es nutzt aus, dass viele Menschen Passwörter mehrfach verwenden.

CREST ist eine internationale Non-Profit-Organisation, die Dienstleister und Einzelpersonen in Penetrationstest, Red Teaming, Threat Intelligence und Incident Response akkreditiert und zertifiziert.

Cross-Site-Scripting schleust Schadcode in Webseiten ein, der im Browser anderer Nutzer ausgeführt wird – um Sitzungen zu übernehmen, Eingaben abzugreifen oder Aktionen auszulösen.

CVE ist ein weltweit genutztes Verzeichnis, das jeder öffentlich bekannten Schwachstelle eine eindeutige Kennung gibt, damit alle Beteiligten eindeutig über dieselbe Lücke sprechen können.

CVSS ist ein offener Standard, der den Schweregrad einer Schwachstelle auf einer Skala von 0 bis 10 bewertet und so eine erste, vergleichbare Einordnung ihrer Kritikalität liefert.

Die Cyber Kill Chain ist ein Modell von Lockheed Martin, das einen gezielten Angriff in sieben aufeinanderfolgende Phasen zerlegt – von der Aufklärung bis zum Erreichen des Angriffsziels.

Der Cyber Resilience Act (CRA, EU 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Security by Design, Schwachstellenmanagement und Meldepflichten über den Lebenszyklus.

Cybercrime-as-a-Service ist das arbeitsteilige Geschäftsmodell der Untergrundökonomie: Schadsoftware, Zugänge, Infrastruktur und komplette Angriffsdienste werden gemietet statt selbst entwickelt.

Ein Data Breach (Datenpanne) ist der unbefugte Zugriff auf Daten, ihr Verlust oder ihre Offenlegung; bei personenbezogenen Daten greift die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.

DLP erkennt und verhindert, dass vertrauliche Daten wie Kundendaten, Konstruktionspläne oder Zugangsdaten das Unternehmen unbefugt über E-Mail, Cloud, USB oder Upload verlassen.

Ein Deepfake ist mit KI erzeugtes oder manipuliertes Bild-, Ton- oder Videomaterial, das echte Personen täuschend echt imitiert – zunehmend genutzt für Betrug und Social Engineering.

Detection Engineering ist die systematische Entwicklung, Prüfung und Pflege von Erkennungsregeln, die Angreifertechniken in SIEM und EDR zuverlässig und mit wenig Fehlalarmen sichtbar machen.

Eine DMZ ist ein abgeschottetes Netzsegment zwischen Internet und internem Netz. Dort stehen öffentlich erreichbare Dienste – und genau dort beginnt oft der Angriff.

Domain Admins sind die höchste Verwaltungsgruppe einer Windows-Domäne. Wer dieses Recht erlangt, kontrolliert faktisch das gesamte Netz – deshalb ist es das klassische Red-Team-Flag.

DORA (Verordnung (EU) 2022/2554) regelt seit dem 17. Januar 2025 die digitale operationale Resilienz von Finanzunternehmen und verpflichtet benannte Institute zu bedrohungsorientierten Tests (TLPT).

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu technischen und organisatorischen Maßnahmen nach dem Stand der Technik, einschließlich regelmäßiger Überprüfung ihrer Wirksamkeit.

Dwell Time ist die Zeitspanne zwischen dem ersten Zugriff eines Angreifers auf eine Umgebung und seiner Entdeckung; laut Mandiant M-Trends 2026 liegt der Median bei 14 Tagen.

EDR überwacht Clients und Server kontinuierlich auf verdächtiges Verhalten, zeichnet Prozess- und Netzwerkaktivität auf und erlaubt es, kompromittierte Systeme aus der Ferne zu isolieren.

Exfiltration ist das unerlaubte Abziehen von Daten aus einem Netzwerk – der Moment, in dem aus einem Einbruch ein Datendiebstahl wird, oft getarnt in legitimem Datenverkehr.

Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um unerlaubte Aktionen auszulösen – etwa Codeausführung, Rechteausweitung oder einen Absturz.

Eine Firewall kontrolliert den Datenverkehr zwischen Netzwerkzonen anhand von Regeln und lässt nur erlaubte Verbindungen passieren; moderne Systeme prüfen zusätzlich Anwendungen und Identitäten.

Flags sind die vorab vereinbarten Missionsziele eines Red Teamings – etwa Domänen-Admin-Rechte oder Zugriff auf eine Zahlungsfreigabe –, deren Erreichen nachgewiesen, aber nicht ausgenutzt wird.

Ein Golden Ticket ist ein gefälschtes Kerberos-Ticket, mit dem ein Angreifer nach Diebstahl des krbtgt-Schlüssels beliebige Identitäten annimmt und dauerhaft volle Domänenrechte behält.

Gruppenrichtlinien steuern zentral die Konfiguration von Rechnern und Konten in einer Windows-Domäne. Wer sie manipulieren kann, verteilt Befehle an viele Systeme gleichzeitig.

Hackerparagraf meint die §§ 202a bis 202d StGB, die Ausspähen und Abfangen von Daten sowie deren Vorbereitung unter Strafe stellen; Sicherheitstests brauchen daher eine schriftliche Autorisierung.

Härtung bedeutet, Systeme, Anwendungen und Konfigurationen so einzuschränken, dass nur benötigte Funktionen aktiv sind und Angreifern möglichst wenig Angriffsfläche und Fehlkonfigurationen bleiben.

Hashing bildet Daten über eine Einwegfunktion auf einen Prüfwert ab. Es sichert Integrität und speichert Passwörter – sofern starke, gesalzene Verfahren genutzt werden.

Ein Honeypot ist ein absichtlich platziertes Ködersystem, -konto oder -dokument ohne produktiven Zweck; jeder Zugriff darauf ist verdächtig und liefert einen Alarm mit sehr wenigen Fehlalarmen.

IAM umfasst alle Prozesse und Systeme, die steuern, wer auf welche Ressourcen zugreifen darf. Es ist das Fundament moderner Sicherheit – und oft der entscheidende Angriffsvektor.

Incident Response ist der geplante Prozess, mit dem ein Unternehmen auf einen Sicherheitsvorfall reagiert: erkennen, bewerten, eindämmen, bereinigen, wiederherstellen und aus dem Vorfall lernen.

Initial Access ist der erste Zugang eines Angreifers zu einem Zielnetz – über Phishing, ausgenutzte Schwachstellen, gestohlene Zugangsdaten oder gekaufte Zugänge der Startpunkt jedes Angriffs.

Initial Access Broker sind Kriminelle, die kompromittierte Zugänge zu Unternehmensnetzen beschaffen und an Ransomware-Gruppen oder andere Angreifer verkaufen – Arbeitsteilung im Cybercrime.

Eine Insider-Bedrohung geht von Personen mit legitimem Zugang aus – Mitarbeitende, Dienstleister, Partner –, die vorsätzlich, fahrlässig oder durch Täuschung Dritter Schaden verursachen.

Ein IOC ist eine technische Spur eines Angriffs, etwa ein Datei-Hash, eine IP-Adresse, eine Domain oder ein Registry-Schlüssel, anhand derer eine Kompromittierung erkannt oder bestätigt wird.

IoT-Geräte vernetzen Kameras, Sensoren und Steuerungen mit dem Netzwerk. Schwach gesichert und selten gepatcht, werden sie zum Einfallstor und Baustein von Botnetzen.

Ein ISMS (Informationssicherheits-Managementsystem) ist das Regelwerk aus Richtlinien, Prozessen, Rollen und Kontrollen, mit dem eine Organisation Informationssicherheit systematisch steuert.

ISO/IEC 27001 ist die internationale Norm für Informationssicherheits-Managementsysteme (ISMS); sie fordert risikobasierte Maßnahmen und den regelmäßigen Nachweis, dass diese Maßnahmen wirksam sind.

IT-Forensik ist die gerichtsfeste Sicherung und Auswertung digitaler Spuren nach einem Sicherheitsvorfall, um Ablauf, Ausmaß und Ursache zu rekonstruieren und Nachweise zu erbringen.

Kerberoasting erlaubt es, mit einem normalen Domänenkonto Tickets für Dienstkonten anzufordern und deren Passwörter offline zu knacken – eine häufige Abkürzung zu höheren Rechten.

Kerberos ist das Standard-Authentifizierungsprotokoll in Windows-Domänen: Es weist Nutzer über verschlüsselte Tickets aus, statt Passwörter über das Netz zu senden.

Kerberos-Delegation erlaubt einem Dienst, im Namen eines Nutzers auf weitere Dienste zuzugreifen. Falsch konfiguriert – besonders unconstrained – wird sie zum direkten Weg zur Domänenübernahme.

KRITIS bezeichnet Kritische Infrastrukturen, deren Ausfall die Versorgung gefährden würde; Betreiber unterliegen dem BSIG und seit 17. März 2026 dem KRITIS-Dachgesetz für physische Resilienz.

Lateral Movement ist die Seitwärtsbewegung eines Angreifers im Netz: Von einem ersten System aus übernimmt er weitere Systeme und Konten, bis das eigentliche Ziel erreicht ist.

Least Privilege ist das Prinzip, jedem Nutzer, Dienst und Prozess nur genau die Berechtigungen zu geben, die für seine Aufgabe nötig sind, und diese so kurz wie möglich zu gewähren.

Living off the Land bezeichnet Angriffe, die ausschließlich legitime Bordmittel des Systems nutzen statt eigener Schadsoftware – dadurch fügen sie sich unauffällig in den normalen Betrieb ein.

Logging und Monitoring bezeichnet das systematische Protokollieren sicherheitsrelevanter Ereignisse und ihre fortlaufende Auswertung, als Grundlage für Erkennung, Reaktion und Forensik.

Malware ist der Oberbegriff für Schadsoftware jeder Art – Viren, Würmer, Trojaner, Ransomware, Spyware –, die ohne Wissen der Nutzenden Systeme kompromittiert oder Daten stiehlt.

Bei einem Man-in-the-Middle-Angriff schaltet sich ein Angreifer unbemerkt in eine Kommunikation zwischen zwei Parteien, um sie mitzulesen oder zu manipulieren.

Microsoft Entra ID ist der cloudbasierte Identitätsdienst für Microsoft 365 und Azure. Er steuert Anmeldung und Zugriff für Millionen Unternehmen – und rückt damit ins Visier von Angreifern.

MITRE ATT&CK ist eine frei verfügbare Wissensbasis real beobachteter Angreifertaktiken und -techniken, die als gemeinsame Sprache für Red Teams, SOC und Management dient.

MTTD (Mean Time to Detect) und MTTR (Mean Time to Respond) messen, wie lange ein SOC im Durchschnitt braucht, um einen Angriff zu erkennen und ihn einzudämmen oder zu beheben.

MFA sichert eine Anmeldung mit mindestens zwei unabhängigen Faktoren ab, etwa Passwort plus Hardware-Schlüssel oder App-Bestätigung, sodass ein gestohlenes Passwort allein keinen Zugang verschafft.

Netzwerksegmentierung teilt ein Unternehmensnetz in getrennte Zonen mit kontrollierten Übergängen, damit ein kompromittiertes System nicht automatisch Zugriff auf alle anderen Systeme eröffnet.

NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit; das deutsche NIS2UmsuCG gilt seit 6. Dezember 2025 und verpflichtet rund 29.500 Einrichtungen zu Risikomanagement und Meldungen.

Das NIST Cybersecurity Framework ist ein freiwilliges US-Rahmenwerk für Sicherheitsprogramme; Version 2.0 (2024) umfasst die Funktionen Govern, Identify, Protect, Detect, Respond und Recover.

Ein IT-Notfallplan legt schriftlich fest, wer bei einem schweren Sicherheitsvorfall was in welcher Reihenfolge tut, wie kommuniziert wird und wie Systeme wiederhergestellt werden.

NTLM ist das ältere Windows-Authentifizierungsverfahren. Es gilt als unsicher, lebt aber in vielen Netzen weiter und ist Grundlage von Angriffen wie Pass-the-Hash.

OSCP, OSEP und CRTO sind praxisorientierte Zertifizierungen für Penetrationstester und Red-Teamer, deren Prüfungen echte Kompromittierungen in Laborumgebungen binnen 24 bis 48 Stunden verlangen.

OSINT (Open Source Intelligence) ist die systematische Auswertung öffentlich zugänglicher Quellen, um Informationen über eine Organisation, ihre Systeme und ihre Mitarbeitenden zu gewinnen.

OT und ICS steuern physische Prozesse in Produktion und Infrastruktur. Ein Angriff bedroht hier nicht nur Daten, sondern Anlagen, Versorgung und Menschen.

Die OWASP Top 10 sind die regelmäßig aktualisierte Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen und gelten als Mindestmaßstab für sichere Entwicklung und Penetrationstests.

Bei Pass-the-Hash nutzt ein Angreifer den gestohlenen Passwort-Hash eines Kontos direkt zur Anmeldung – ganz ohne das Klartext-Passwort zu kennen oder zu knacken.

Passkeys und FIDO2 ersetzen Passwörter durch kryptografische Schlüssel. Weil kein Geheimnis übertragen wird, sind sie weitgehend resistent gegen Phishing.

Password Spraying probiert wenige verbreitete Passwörter über sehr viele Konten hinweg – so unterläuft der Angriff Sperren, die nur viele Fehlversuche je Konto erkennen.

Patch-Management ist der geregelte Prozess, Sicherheitsupdates für Betriebssysteme, Anwendungen und Geräte zu bewerten, zu testen und zeitnah einzuspielen, bevor Angreifer bekannte Lücken ausnutzen.

Ein Payload ist der Teil eines Angriffs, der nach erfolgreicher Zustellung auf dem Zielsystem zur Wirkung kommt – vom Verbindungsaufbau zur Angreifer-Infrastruktur bis zur eigentlichen Schadwirkung.

PCI DSS ist der Sicherheitsstandard der Kreditkartenindustrie für alle Organisationen, die Karteninhaberdaten verarbeiten; Version 4.0 verlangt in Anforderung 11.4 regelmäßige Penetrationstests.

Ein Penetrationstest ist eine angekündigte, zeitlich begrenzte Sicherheitsprüfung eines definierten Systems, bei der Tester möglichst viele Schwachstellen finden, ausnutzen und bewerten.

Persistence bezeichnet Techniken, mit denen ein Angreifer dauerhaften Zugang zu einem System sichert, sodass er auch nach Neustart, Passwortwechsel oder Bereinigung wieder Zugriff hat.

Phishing ist der Versuch, Menschen per E-Mail oder Nachricht zur Preisgabe von Zugangsdaten oder zum Öffnen schädlicher Inhalte zu bewegen – meist über gefälschte Absender und Handlungsdruck.

Physical Red Teaming prüft den Schutz von Gebäuden und Standorten: Tester versuchen mit abgestimmten Methoden, unbemerkt Zutritt zu erlangen und ein definiertes Ziel vor Ort zu erreichen.

Pretexting ist eine Social-Engineering-Methode, bei der der Angreifer eine erfundene, aber plausible Geschichte – den Vorwand – aufbaut, um Informationen oder Handlungen zu erschleichen.

Privilege Escalation ist die Ausweitung von Rechten: Ein Angreifer erhöht die Berechtigungen eines übernommenen Zugangs – vom einfachen Nutzer bis zum Administrator oder Domänen-Admin.

Ein Proof of Concept belegt nachvollziehbar, dass eine Schwachstelle tatsächlich ausnutzbar ist, und trennt so reale Risiken von theoretischen Befunden – ohne Schaden anzurichten.

Purple Teaming ist die offene Zusammenarbeit von Red Team und Blue Team: Angriffstechniken werden einzeln ausgeführt, die Erkennung sofort geprüft und Detection-Regeln live verbessert.

Ransomware ist Schadsoftware, die Daten verschlüsselt oder stiehlt und für Entschlüsselung oder Nichtveröffentlichung Lösegeld fordert – heute meist als mehrstufiger, manuell gesteuerter Angriff.

Reconnaissance ist die Aufklärungsphase eines Angriffs, in der Angreifer passiv und aktiv Informationen über Ziel, Systeme und Personen sammeln, um den erfolgversprechendsten Einstieg zu wählen.

Red Teaming ist ein verdeckter, realitätsnaher Angriff auf die gesamte Organisation, der prüft, ob ein Angreifer definierte Ziele erreicht und ob Erkennung und Reaktion funktionieren.

Im Replay-Workshop spielen Red Team und Blue Team den Angriff gemeinsam Schritt für Schritt durch, gleichen ihn mit den Logs ab und arbeiten konkrete Erkennungs- und Reaktionsverbesserungen heraus.

Ein Retest prüft nach Abschluss der Behebung, ob die im Sicherheitstest gefundenen Schwachstellen tatsächlich geschlossen wurden und keine neuen Lücken entstanden sind.

Rules of Engagement sind die schriftlich vereinbarten Spielregeln eines Red Teamings oder Pentests: erlaubte Methoden, Grenzen, Abbruchkriterien, Notfallkontakte und Freigabeprozesse.

Eine Sandbox ist eine isolierte Umgebung, in der verdächtige Dateien oder Programme gefahrlos ausgeführt und beobachtet werden, um Schadverhalten zu erkennen, bevor sie produktive Systeme erreichen.

Die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade) bilden das Fundament der Informationssicherheit; jede Sicherheitsmaßnahme dient mindestens einem dieser drei Ziele.

Eine Schwachstelle ist ein Fehler oder eine Fehlkonfiguration in Software, Hardware, Prozessen oder Organisation, den ein Angreifer ausnutzen kann, um Schutzziele zu verletzen.

Ein Schwachstellenscan prüft Systeme automatisiert auf bekannte Sicherheitslücken, fehlende Patches und Fehlkonfigurationen und liefert eine priorisierte Liste, ohne Befunde aktiv auszunutzen.

Scoping ist die Festlegung von Umfang, Zielen, Grenzen und Rahmenbedingungen eines Sicherheitstests vor Beginn – es entscheidet darüber, welche Frage der Test beantwortet und was er kostet.

Dienstkonten sind technische Konten, unter denen Anwendungen und Dienste laufen. Oft mit hohen Rechten und schwachen Passwörtern ausgestattet, sind sie ein beliebtes Angriffsziel.

Shadow IT bezeichnet Hard- und Software, die ohne Wissen der IT-Abteilung eingesetzt wird. Sie entzieht sich jeder Kontrolle und vergrößert die Angriffsfläche oft erheblich.

Ein SIEM (Security Information and Event Management) sammelt Logdaten aus vielen Quellen zentral, normalisiert sie und korreliert Ereignisse zu Alarmen, die das SOC bearbeitet.

Smishing ist Phishing per SMS oder Messenger: Kurznachrichten mit Links zu gefälschten Anmeldeseiten oder Zahlungsaufforderungen, oft getarnt als Paketdienst, Bank oder Behörde.

Ein SOC ist die zentrale Einheit aus Menschen, Prozessen und Technik, die Sicherheitsereignisse rund um die Uhr überwacht, Angriffe erkennt, bewertet und die Reaktion koordiniert.

Social Engineering bezeichnet Angriffe, die nicht Technik, sondern Menschen täuschen: Vertrauen, Hilfsbereitschaft oder Zeitdruck werden ausgenutzt, um Zugang oder Informationen zu erlangen.

Spear-Phishing ist gezieltes Phishing gegen ausgewählte Personen oder Rollen, bei dem Angreifer recherchierte Details nutzen, damit die Nachricht glaubwürdig und persönlich wirkt.

Bei einer SQL-Injection schleust ein Angreifer über Eingabefelder eigene Datenbankbefehle ein, um Daten auszulesen, zu verändern oder die Anwendung ganz zu übernehmen.

Ein Supply-Chain-Angriff kompromittiert nicht das Ziel direkt, sondern einen Lieferanten, Dienstleister oder Softwareanbieter und nutzt dessen Vertrauensstellung als Einstieg.

Tailgating ist das unbefugte Mitgehen durch eine gesicherte Tür im Windschatten einer berechtigten Person – ein physischer Angriff, der Höflichkeit und Gewohnheit ausnutzt.

Threat Hunting ist die proaktive, hypothesengeleitete Suche nach Angreifern, die bereits im Netz sind, aber keinen Alarm ausgelöst haben; es ergänzt die automatische Erkennung um menschliche Analyse.

Threat Intelligence ist aufbereitetes Wissen über Angreifer, ihre Ziele und ihr Vorgehen, das Sicherheitsentscheidungen, Erkennung und realitätsnahe Angriffsszenarien fundiert.

TIBER-EU ist das Rahmenwerk der EZB für bedrohungsgeleitete Red-Team-Tests im Finanzsektor; TIBER-DE ist die deutsche Umsetzung der Bundesbank, seit 2025 an die DORA-Standards angepasst.

TLPT (Threat-Led Penetration Testing) ist der bedrohungsorientierte Red-Team-Test nach DORA Art. 26/27, den benannte Finanzunternehmen mindestens alle drei Jahre auf Produktivsystemen durchführen.

TLS verschlüsselt die Kommunikation im Netz und ist die Grundlage von HTTPS. Es schützt Daten vor Mitlesen und Manipulation – wenn es richtig konfiguriert ist.

Ein Trojaner ist Schadsoftware, die sich als nützliches Programm ausgibt und nach dem Start verborgene Funktionen ausführt – etwa Fernzugriff, Datendiebstahl oder das Nachladen weiterer Malware.

TTP bezeichnet die Verhaltensmuster eines Angreifers auf drei Ebenen: das Ziel eines Schritts (Taktik), die Methode (Technik) und die konkrete Umsetzung mit Werkzeugen und Befehlen (Prozedur).

Verschlüsselung macht Daten ohne passenden Schlüssel unlesbar. Sie schützt Vertraulichkeit bei Übertragung und Speicherung – wird aber auch von Ransomware missbraucht.

Vishing (Voice Phishing) ist Social Engineering per Telefon: Angreifer geben sich als Helpdesk, Bank oder Vorgesetzte aus, um Zugangsdaten, MFA-Codes oder Handlungen zu erlangen.

Ein VPN verschlüsselt die Verbindung ins Unternehmensnetz über unsichere Netze hinweg. Als zentrales Einfallstor steht es seit Jahren im Fokus von Angreifern.

Weaponization ist die Phase, in der ein Angreifer sein Angriffsmittel vorbereitet – etwa ein präpariertes Dokument oder eine täuschend echte Anmeldeseite – bevor er es dem Ziel zustellt.

Eine WAF schützt Webanwendungen, indem sie HTTP-Anfragen auf Angriffsmuster wie SQL-Injection oder Cross-Site-Scripting prüft und verdächtige Anfragen blockiert, bevor sie die Anwendung erreichen.

XDR (Extended Detection and Response) führt Telemetrie aus Endpunkten, Identitäten, E-Mail, Netzwerk und Cloud in einer Plattform zusammen und korreliert sie zu übergreifenden Vorfällen.

Zero Trust ist ein Sicherheitsmodell, das keinem Nutzer, Gerät oder Netz automatisch vertraut: Jeder Zugriff wird einzeln authentifiziert, autorisiert und im Kontext geprüft, unabhängig vom Standort.

Ein Zero-Day ist eine Schwachstelle, die dem Hersteller noch unbekannt ist und für die es keinen Patch gibt – Angreifer können sie ausnutzen, bevor eine Abwehr existiert.