Lateral Movement ist die Seitwärtsbewegung eines Angreifers im Netz: Von einem ersten System aus übernimmt er weitere Systeme und Konten, bis das eigentliche Ziel erreicht ist.
Lateral Movement bezeichnet die Seitwärtsbewegung eines Angreifers innerhalb eines Netzwerks. Der Erstzugriff landet selten dort, wo das eigentliche Ziel liegt: Ein kompromittierter Arbeitsplatz in der Buchhaltung ist nicht der Domänencontroller, nicht der Backup-Server und nicht die Produktionssteuerung. Um vom Einstiegspunkt zum Ziel zu gelangen, übernimmt der Angreifer Schritt für Schritt weitere Systeme und Konten. Jeder Schritt nutzt dabei meist legitime Zugänge und Verwaltungswerkzeuge, weshalb Lateral Movement im normalen Betrieb schwer von regulärer Administration zu unterscheiden ist.
In MITRE ATT&CK ist Lateral Movement eine eigene Taktik (TA0008) mit Techniken wie „Remote Services“ (T1021, etwa RDP, SMB oder WinRM) und „Use Alternate Authentication Material“ (T1550, etwa Pass-the-Hash). Eng verzahnt ist sie mit Privilege Escalation und dem Auslesen von Zugangsdaten (Credential Access).
So funktioniert es
Ein typischer Zyklus wiederholt sich, bis das Ziel erreicht ist:
- Umschauen: Welche Systeme, Freigaben, Konten und Sitzungen sind vom aktuellen Standort aus sichtbar? Im Active Directory liefert eine einfache Abfrage oft eine vollständige Karte.
- Zugangsdaten ernten: Aus dem Speicher, aus Konfigurationsdateien, aus Browsern oder über Kerberoasting. Besonders wertvoll sind Sitzungen privilegierter Konten auf dem bereits kompromittierten System.
- Weiterspringen: Mit den erbeuteten Zugangsdaten auf das nächste System – per RDP, SMB, WMI oder WinRM, also über Dienste, die ohnehin für die Administration genutzt werden (Living off the Land).
- Wiederholen: Jeder neue Rechner bringt neue Zugänge, bis ein Konto mit den nötigen Rechten – oft Domänen-Admin – gefunden ist.
Weil kaum eigene Schadsoftware zum Einsatz kommt, scheitert signaturbasierte Erkennung hier regelmäßig. Erkennbar wird Lateral Movement vor allem über ungewöhnliche Anmeldemuster: ein Dienstkonto, das sich interaktiv anmeldet; ein Arbeitsplatz, der plötzlich andere Arbeitsplätze kontaktiert; ein Konto, das auf zehn Systemen gleichzeitig aktiv ist.
Bedeutung für Unternehmen
Lateral Movement ist die Phase, in der sich ein kleiner Vorfall zur unternehmensweiten Krise ausweitet – oder eben nicht. Flache Netze, in denen jedes System jedes andere erreicht, identische lokale Administrator-Passwörter und überall verteilte privilegierte Sitzungen machen die Seitwärtsbewegung trivial. Die CISA-Red-Team-Advisory AA23-059A beschreibt, wie ein Testteam in einer reifen Organisation über lokale Admin-Rechte und unconstrained delegation bis zum Domänen-Admin kam, während EDR-Alarme ohne Reaktion blieben.
Genau diese Phase prüft ein Assumed-Breach-Einsatz: Start mit einem bereitgestellten Zugang, Fokus auf die Frage, wie weit und wie schnell sich ein Angreifer bewegen kann – und ob Ihr SOC es bemerkt, bevor das Ziel erreicht ist.
Schutz und Prüfung
- Segmentierung: Arbeitsplätze müssen sich nicht gegenseitig erreichen; kritische Systeme liegen in eigenen Zonen mit kontrollierten Übergängen.
- Privilegien trennen (Tiering): Administrative Konten melden sich nie an Arbeitsplätzen an; lokale Admin-Passwörter werden pro Gerät zufällig vergeben (z. B. LAPS).
- Angriffsfläche im Active Directory reduzieren: Delegationen prüfen, privilegierte Gruppen klein halten, Dienstkonten härten – siehe unser Ratgeber zu typischen AD-Fehlern.
- Anmelde-Monitoring: Erkennungsregeln auf ungewöhnliche laterale Anmeldungen, interaktive Nutzung von Dienstkonten und Zugriffe über Verwaltungsprotokolle.
- Realistisch testen: Ein Assumed-Breach- oder Red-Team-Einsatz zeigt die tatsächlichen Pfade durch Ihr Netz – nicht die theoretischen.