Living off the Land bezeichnet Angriffe, die ausschließlich legitime Bordmittel des Systems nutzen statt eigener Schadsoftware – dadurch fügen sie sich unauffällig in den normalen Betrieb ein.
Living off the Land – sinngemäß „vom Land leben“ – beschreibt eine Angriffsstrategie, bei der keine eigene Schadsoftware mitgebracht wird, sondern ausschließlich das genutzt wird, was ohnehin auf dem System vorhanden ist: Bordmittel des Betriebssystems, Verwaltungswerkzeuge und legitime Skript-Umgebungen. Unter Windows sind das etwa PowerShell, WMI, die Aufgabenplanung oder signierte Systemprogramme, die sich zweckentfremden lassen – oft als LOLBins bezeichnet (Living-off-the-Land Binaries). Der Angreifer tut nichts, was ein Administrator nicht auch täte; er tut es nur zu anderen Zwecken.
Der Vorteil für den Angreifer liegt in der Tarnung. Signaturbasierte Erkennung findet keine schädliche Datei, weil es keine gibt. Die genutzten Programme sind legitim und signiert, der Datenverkehr sieht aus wie normale Administration. In MITRE ATT&CK schlägt sich dies in Techniken wie „Command and Scripting Interpreter“ (T1059) und „System Binary Proxy Execution“ (T1218) nieder. Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der erkannten Angriffe malware-frei – ein deutlicher Beleg für die Dominanz dieses Ansatzes.
So funktioniert es
Living off the Land zieht sich durch nahezu alle Phasen eines Angriffs:
- Erkundung: Standard-Bordmittel liefern Informationen über System, Netz und Active Directory, ohne dass ein einziges fremdes Programm startet.
- Ausführung: Skript-Umgebungen führen Befehle direkt im Speicher aus, sodass nichts auf die Festplatte geschrieben wird.
- Lateral Movement: Fernverwaltungsdienste wie WMI, WinRM oder RDP bewegen den Angreifer durchs Netz – dieselben Dienste, die auch die IT nutzt.
- Datenabfluss: Legitime Cloud-Clients und Systemwerkzeuge übernehmen die Exfiltration, getarnt als normaler Dienstverkehr.
Weil sich der Angriff aus einzeln unauffälligen Schritten zusammensetzt, reicht die Betrachtung einzelner Ereignisse nicht aus. Erkennbar wird er erst im Zusammenhang: welcher Prozess welchen anderen startet, in welchem Kontext und in welcher ungewöhnlichen Reihenfolge.
Bedeutung für Unternehmen
Living off the Land entwertet die Vorstellung, ein guter Virenscanner genüge. Wer nur nach bösartigen Dateien sucht, sieht diesen Angriff nicht. Die Konsequenz ist eine Verlagerung hin zur Verhaltenserkennung und zur Auswertung von Kontext – also zu EDR, gutem Logging und Detection Engineering. Das ist anspruchsvoll, weil die Grenze zwischen legitimer Administration und Angriff fließend ist und schlecht gebaute Regeln viele Fehlalarme erzeugen.
In unseren Einsätzen setzen wir fast durchgängig auf Living off the Land, weil echte Angreifer es ebenso tun. Gerade deshalb eignet sich Purple Teaming hier besonders: Red und Blue Team entwickeln gemeinsam, Technik für Technik, die Erkennungsregeln, die solche unauffälligen Schritte sichtbar machen.
Schutz und Prüfung
- Umfassendes Logging: PowerShell-Skriptblock-Protokollierung, Prozesserstellung mit Kommandozeile und Modulprotokolle als Grundlage jeder Erkennung.
- Bordmittel einschränken: Nicht benötigte Skript-Umgebungen und Werkzeuge per Application Allowlisting und Richtlinien begrenzen; PowerShell im Constrained Language Mode betreiben.
- Verhaltenserkennung: Regeln auf verdächtige Prozessketten – etwa Office startet PowerShell – statt auf Dateisignaturen.
- Threat Hunting: Aktiv nach auffälligen Mustern suchen, statt nur auf Alarme zu warten.
- Regeln gemeinsam schärfen: Unser Ratgeber zu Purple Teaming und Detection Engineering beschreibt, wie sich die Erkennung solcher Techniken gezielt aufbauen lässt.