Ein C2-Framework ist die Steuerungssoftware, über die Red Teams und Angreifer kompromittierte Systeme fernsteuern – die technische Umsetzung von Command and Control in einem Einsatz.
Ein C2-Framework (Command-and-Control-Framework) ist die Steuerungssoftware, über die ein Red Team – und ebenso ein echter Angreifer – kompromittierte Systeme aus der Ferne verwaltet. Es ist die technische Umsetzung dessen, was als Taktik Command and Control beschrieben wird: Ein auf dem Zielsystem laufendes Implant (siehe Payload) baut eine Verbindung zu einem Server des Teams auf, und über das Framework erteilt der Operator Befehle, erhält Ergebnisse und behält den Überblick über alle betroffenen Systeme eines Einsatzes.
Für ein Red Teaming ist das C2-Framework das zentrale Arbeitswerkzeug während der aktiven Phase. Es bündelt die Steuerung, protokolliert jede Aktion mit Zeitstempel – wichtig für die spätere Timeline im Bericht – und ermöglicht die kontrollierte, nachvollziehbare Durchführung des Tests.
Rolle im Einsatz
- Verbindungsaufbau: Das Implant meldet sich in Intervallen beim Server und fragt nach Aufgaben; diese Kommunikation wird so gestaltet, dass sie im normalen Datenverkehr möglichst wenig auffällt.
- Steuerung und Übersicht: Der Operator sieht alle verbundenen Systeme und kann einzelne Schritte gezielt und abgestimmt auslösen.
- Protokollierung: Jede Handlung wird aufgezeichnet – die Grundlage für die lückenlose Dokumentation und den Rückbau nach Testende.
- Infrastruktur: Die Serverseite läuft auf einer eigens aufgebauten, nach dem Test vollständig zurückgebauten Infrastruktur.
C2-Frameworks sind ein zweischneidiges Werkzeug: Dieselben Plattformen, die legitime Red Teams und Adversary Emulation nutzen, werden auch von kriminellen Gruppen eingesetzt. Threat-Intelligence-Anbieter kennen die typischen Kommunikationsmuster verbreiteter Frameworks, was ihre Erkennung ermöglicht – und Red Teams dazu zwingt, ihre Kommunikation anzupassen, um realistische, fähige Gegner nachzubilden.
Bedeutung für Unternehmen
Für die Verteidigung ist die C2-Kommunikation einer der wertvollsten Erkennungspunkte. Sie ist ein Schritt, den praktisch jeder nicht-triviale Angriff benötigt: Irgendwann muss das kompromittierte System mit dem Angreifer kommunizieren. Wer ausgehenden Datenverkehr überwacht und ungewöhnliche Verbindungen erkennt, hat die Chance, einen Angriff zu stoppen, selbst wenn Erstzugriff und Schadcode unentdeckt blieben. Das ist besonders bedeutsam, da laut CrowdStrike Global Threat Report 2026 die durchschnittliche Zeit bis zur Ausbreitung nur 29 Minuten beträgt – die Erkennung der Steuerungsverbindung ist oft das schmale Zeitfenster zum Eingreifen.
Ein typischer Fehler ist, ausgehenden Verkehr weit weniger streng zu überwachen als eingehenden. Angreifer wissen das und richten ihre Kommunikation darauf aus, in erlaubten Kanälen unterzugehen.
Praxis-Hinweise
- Überwachen und begrenzen Sie ausgehende Verbindungen; erlauben Sie nur, was nötig ist, und protokollieren Sie den Rest.
- Achten Sie auf Muster statt nur auf Ziele: regelmäßige Verbindungen in festen Intervallen zu selten genutzten Adressen sind ein Warnsignal.
- Lassen Sie im Purple Teaming prüfen, ob Ihre Erkennung die Kommunikationsmuster verbreiteter Frameworks bemerkt.
- Verknüpfen Sie Netzwerk- und Endpunktdaten; die Kombination macht die Steuerungsverbindung zuverlässiger sichtbar als jede Quelle allein.