Exfiltration ist das unerlaubte Abziehen von Daten aus einem Netzwerk – der Moment, in dem aus einem Einbruch ein Datendiebstahl wird, oft getarnt in legitimem Datenverkehr.
Exfiltration ist das unerlaubte Abziehen von Daten aus einem Netzwerk. Es ist der Moment, in dem aus einem Einbruch ein Datendiebstahl wird – und damit oft der Schritt, der einen Vorfall meldepflichtig macht und den größten Reputationsschaden verursacht. Der Angreifer kopiert, was für ihn wertvoll ist: Konstruktionsdaten, Kundendatenbanken, Quellcode, Finanzunterlagen, Zugangsdaten oder Postfächer von Führungskräften. Bei doppelt erpressender Ransomware geht die Exfiltration der Verschlüsselung voraus, damit auch Unternehmen mit funktionierenden Backups unter Druck gesetzt werden können.
In MITRE ATT&CK ist Exfiltration eine eigene Taktik (TA0010) mit Techniken wie „Exfiltration Over C2 Channel“ (T1041) und „Exfiltration Over Web Service“ (T1567). Häufig nutzt der Angreifer denselben verschlüsselten Kanal, über den auch die Command-and-Control-Kommunikation läuft, oder lädt Daten zu legitimen Cloud-Diensten hoch, deren Nutzung im Unternehmen ohnehin erlaubt ist.
So funktioniert es
Vor dem eigentlichen Abfluss steht meist das Sammeln und Verdichten der Daten (Collection):
- Sichten und sammeln: Der Angreifer durchsucht Dateifreigaben, Postfächer und Datenbanken und kopiert Relevantes an einen Zwischenort im Netz.
- Verdichten und tarnen: Die Daten werden komprimiert, oft verschlüsselt und in unauffällige Formate oder Dateinamen verpackt, um Volumen und Inhalt zu verschleiern.
- Abziehen: In kleinen Portionen über längere Zeit („low and slow“), um Schwellenwerte nicht auszulösen, oder in einem großen Schwung, wenn Geschwindigkeit wichtiger ist als Tarnung.
- Kanalwahl: Über HTTPS zu einem gemieteten Server, über legitime Cloud-Speicher, per DNS-Tunnel oder notfalls über physische Datenträger.
Weil die genutzten Protokolle und Ziele legitim wirken, ist Exfiltration schwer zu erkennen. Verräterisch sind nicht die Protokolle selbst, sondern Abweichungen: ein Arbeitsplatz, der plötzlich große Datenmengen hochlädt; Zugriffe eines Kontos auf Freigaben, mit denen es nie zu tun hatte; Datenverkehr zu einem Cloud-Dienst, der im Unternehmen nicht genutzt wird.
Bedeutung für Unternehmen
Exfiltration ist oft der teuerste Teil eines Angriffs, weil sie Melde- und Informationspflichten auslöst und sich – anders als eine Verschlüsselung – nicht rückgängig machen lässt. Laut IBM Cost of a Data Breach 2025 dauerte es in Deutschland im Mittel 170 Tage, bis eine Sicherheitsverletzung erkannt und eingedämmt war; in dieser Zeit kann sehr viel abfließen. Der typische Fehler: Unternehmen überwachen eingehenden Verkehr sorgfältig, ausgehenden kaum.
In unseren Red-Team-Einsätzen demonstrieren wir den Datenabfluss mit klar abgegrenzten, nicht sensiblen Testdaten oder markierten Dokumenten – nie mit echten personenbezogenen oder geschäftskritischen Daten. So lässt sich zeigen, ob die Exfiltration möglich ist und ob sie bemerkt wird, ohne reale Daten zu gefährden.
Schutz und Prüfung
- Ausgehenden Verkehr überwachen: Volumen, Ziele und Protokolle je System; Alarme auf ungewöhnliche Uploads und auf unbekannte Cloud-Dienste.
- Data Loss Prevention gezielt einsetzen: Klassifizierte Daten markieren und ihren Abfluss über definierte Kanäle kontrollieren – wirksam nur, wenn die Klassifizierung gepflegt ist.
- Zugriff minimieren: Least Privilege auf Dateifreigaben und Datenbanken begrenzt, was ein einzelnes kompromittiertes Konto überhaupt erreichen kann.
- DNS und Proxy protokollieren: DNS-Tunneling und Web-Uploads werden nur erkannt, wenn die entsprechenden Logs existieren und ausgewertet werden.
- Realistisch testen: Ein Red Teaming mit Exfiltrations-Szenarien zeigt, welche Wege in Ihrem Netz offenstehen und ob das SOC den Abfluss erkennt.