Command and Control (C2) bezeichnet die Kommunikationsinfrastruktur, über die Angreifer kompromittierte Systeme fernsteuern, Befehle senden, Werkzeuge nachladen und Daten empfangen.
Command and Control – kurz C2 oder C&C – ist der Rückkanal eines Angriffs. Sobald ein Angreifer ein System kompromittiert hat, braucht er eine Möglichkeit, mit ihm zu kommunizieren: Befehle senden, Ergebnisse empfangen, weitere Werkzeuge nachladen, Daten abziehen. Die dafür genutzte Infrastruktur aus Servern, Domains und Protokollen wird als C2-Infrastruktur bezeichnet, die Software auf dem kompromittierten System als Implantat, Agent oder Beacon.
In MITRE ATT&CK bildet Command and Control eine eigene Taktik (TA0011) mit Techniken wie „Application Layer Protocol“ (T1071), „Encrypted Channel“ (T1573) und „Protocol Tunneling“ (T1572). Für Verteidiger ist C2 ein zentraler Ansatzpunkt: Jeder Angreifer, der länger als wenige Minuten im Netz bleiben will, muss kommunizieren – und diese Kommunikation hinterlässt Spuren.
So funktioniert es
C2-Kommunikation ist darauf ausgelegt, im normalen Netzwerkverkehr unterzugehen. Typische Merkmale, die Verteidiger kennen sollten:
- Legitime Protokolle: Die Kommunikation läuft über HTTPS, DNS oder Cloud-Dienste, die ohnehin erlaubt sind. Der Beacon sieht aus wie ein Browser, der eine Website aufruft.
- Unauffälliger Takt: Das Implantat meldet sich in unregelmäßigen Abständen („Jitter“), um keine erkennbare Regelmäßigkeit zu erzeugen.
- Vertrauenswürdige Infrastruktur: Angreifer nutzen gemietete Domains mit unauffälliger Historie, Content Delivery Networks oder legitime Cloud-Plattformen als Zwischenstation, damit Reputationsfilter nicht anschlagen.
- Verschlüsselung: Inhalte sind verschlüsselt, sodass eine reine Inhaltsinspektion nichts findet. Erkennung muss über Metadaten und Verhalten erfolgen.
Red Teams nutzen für diesen Zweck spezialisierte C2-Frameworks, die genau diese Eigenschaften nachbilden – unter vollständiger Kontrolle des Testteams und mit dokumentierter Infrastruktur, die nach dem Einsatz abgebaut wird. Über denselben Kanal läuft in der Regel auch die Exfiltration von Daten.
Bedeutung für Unternehmen
C2 ist der Punkt, an dem ein Angriff vom Einzelereignis zur dauerhaften Präsenz wird. Ohne Rückkanal ist ein kompromittiertes System für den Angreifer wertlos. Deshalb ist die Frage „Würden wir ausgehende C2-Kommunikation bemerken?“ einer der wichtigsten Reifegrad-Indikatoren eines SOC. In der Praxis fällt die Antwort häufig ernüchternd aus: Ausgehender Verkehr wird kaum gefiltert, DNS-Anfragen werden nicht protokolliert, und Proxy-Logs werden nur im Nachhinein ausgewertet.
In unseren Einsätzen gehört die Zeit bis zur ersten Erkennung des C2-Kanals zu den zentralen Messgrößen. Laut CrowdStrike Global Threat Report 2026 liegt die durchschnittliche Breakout Time bei 29 Minuten – so lange hat ein SOC, um den Rückkanal zu finden, bevor der Angreifer das nächste System erreicht.
Schutz und Prüfung
- Ausgehenden Verkehr kontrollieren: Server dürfen nicht frei ins Internet; Arbeitsplätze nur über einen authentifizierenden Proxy. Jede Ausnahme ist dokumentiert.
- DNS protokollieren und filtern: Anfragen an neu registrierte oder selten genutzte Domains und auffällig lange Anfragen sind verlässliche Indikatoren.
- Verhaltensanalyse statt Signaturen: Periodische Verbindungen eines Prozesses zu immer derselben Adresse, Datenvolumen ohne Nutzerinteraktion und Verbindungen aus untypischen Prozessen heraus.
- Indikatoren aus eigenen Tests nutzen: Jede Red-Team-Übung liefert die Domains, Zertifikate und Muster, die das SOC in Zukunft erkennen sollte – im Bericht und im Replay-Workshop.
- Gezielt üben: Purple Teaming mit C2-Szenarien verbessert Erkennungsregeln in Tagen statt Monaten.