Watering-Hole-Angriffe
Ein Watering-Hole-Angriff ist eine fortgeschrittene Angriffsstrategie, bei der Hacker zunächst eine Webseite kompromittieren, die von der Zielgruppe regelmäßig besucht wird – ähnlich wie ein Raubtier an einer Wasserstelle wartet. Statt das Zielunternehmen direkt anzugreifen, werden Branchenportale, Lieferantenwebseiten, Verbands-Seiten oder Fachzeitschriften infiziert. Mitarbeiter, die diese vertrauenswürdigen Seiten besuchen, infizieren sich ohne jede verdächtige Handlung.
Wie funktioniert Watering-Hole-Angriffe?
Watering-Hole-Angriffe beginnen mit strategischer Aufklärung: Die Angreifer analysieren, welche Webseiten von der Zielgruppe regelmäßig besucht werden. Dies können Branchenverbands-Webseiten, Lieferanten-Portale, Fachzeitschriften, technische Dokumentationsseiten oder regionale Nachrichten-Webseiten sein. Angreifer nutzen öffentliche Informationen, Browser-Fingerprinting und manchmal sogar Mitarbeiter-Befragungen (Social Engineering), um die meistbesuchten Seiten zu identifizieren.
Im zweiten Schritt kompromittieren sie eine oder mehrere dieser Webseiten. Dies kann durch Ausnutzung von CMS-Schwachstellen (WordPress, Joomla), durch gestohlene Zugangsdaten der Website-Betreiber oder durch Einschleusen eines schadhaften Plugins geschehen. In den HTML-Code oder die JavaScript-Dateien der kompromittierten Seite wird ein unsichtbarer Iframe oder JavaScript-Code eingebettet, der Besucher im Hintergrund auf Exploit-Kits oder Download-Server umleitet.
Wenn ein Mitarbeiter des Zielunternehmens die kompromittierte Webseite besucht, prüft das Exploit-Kit zunächst den Browser und die installierten Plugins auf bekannte Schwachstellen. Wird eine gefunden, wird automatisch Schadcode in den Browser geladen und ausgeführt – ohne dass der Nutzer etwas klicken oder herunterladen muss (Drive-by-Exploit). Dieser Schadcode kann dann Zugangsdaten stehlen, Backdoors installieren oder Ransomware nachladen.
Das Perfide an Watering-Hole-Angriffen ist die Ausnutzung von Vertrauen: Die kompromittierte Webseite ist eine, der die Mitarbeiter vertrauen und regelmäßig besuchen. Sicherheits-Awareness-Schulungen, die vor unbekannten Links warnen, greifen hier nicht – die Seite ist bekannt und legitim. Zudem wird die Webseite für alle anderen Besucher normal dargestellt, was eine schnelle Entdeckung erschwert.
Watering-Hole-Angriffe werden häufig von fortgeschrittenen Bedrohungsakteuren (APTs) eingesetzt, um hochrangige Ziele in bestimmten Branchen anzugreifen. Bekannte Angriffe haben Rüstungsunternehmen, Energieversorger und Regierungseinrichtungen ins Visier genommen.
Watering-Hole-Angriffe in Zahlen
So trifft Watering-Hole-Angriffe Unternehmen
Kompromittierter Branchenverband infiziert Maschinenbauunternehmen
Die Webseite eines deutschen Branchenverbands für Maschinenbau wurde von Angreifern kompromittiert und mit einem Browser-Exploit infiziert. Mehrere Mitarbeiter eines mittelständischen Unternehmens, die regelmäßig die Verbands-Webseite besuchten, infizierten sich dadurch mit einem Remote-Access-Trojaner. Dieser öffnete den Angreifern eine Backdoor ins Unternehmensnetzwerk. Erst nach einem verdächtigen Datenabfluss wurde der Angriff entdeckt. Die forensische Analyse dauerte über zwei Wochen.
Apothekerverbands-Webseite als Einfallstor in Apothekennetzwerk
Eine Apothekerverbands-Webseite wurde kompromittiert und mit schadcodehaltigem JavaScript bestückt. Mehrere Apotheken, die regelmäßig die Verbandsinformationen abriefen, infizierten sich mit einem Infostealer. Zugangsdaten für das Abrechnungssystem wurden gestohlen und für betrügerische Abrechnungsmanipulationen genutzt. Da alle Apotheken der vertrauenswürdigen Verbands-URL besuchten, gab es kein Warnsignal für die Mitarbeiter.
Energieversorger-Portal als Watering Hole für Lieferanten
Das Lieferanten-Portal eines großen Energieversorgers wurde kompromittiert. Zahlreiche KMU-Lieferanten, die sich regelmäßig einloggten, infizierten sich beim Besuch der vertrauten URL. Die Angreifer nutzten die kompromittierten Lieferanten-Systeme als Einstieg in die Supply Chain. Mehrere Unternehmen mussten umfangreiche forensische Untersuchungen durchführen und Kunden über mögliche Datenverluste informieren.
Schutzmaßnahmen gegen Watering-Hole-Angriffe
Technische Maßnahmen
- Browser und alle Plugins (Flash, Java) aktuell halten – automatische Updates aktivieren
- Browser-Isolation oder Remote Browser Isolation (RBI) für riskante Browsing-Umgebungen
- Endpoint Detection and Response (EDR) für die Erkennung von Drive-by-Exploits
- Web-Gateway mit URL-Filterung und Content-Inspection
- JavaScript-Einschränkungen oder NoScript-Plugins für nicht vertrauenswürdige Domains
- Network-Level-Filterung auf bekannte Exploit-Kit-Server und -Domains
- Sandboxing für Browser-Ausführung sensibler Anwendungen
- Regelmäßige Schwachstellen-Scans für Browser-Plugins und Betriebssystem-Komponenten
Organisatorische Maßnahmen
- Mitarbeiter über Watering-Hole-Angriffe aufklären: Vertraute Webseiten können infiziert sein
- Patches und Browser-Updates als Top-Sicherheitspriorität behandeln
- Kritische Systeme von allgemeinem Internetzugang trennen (Netzwerksegmentierung)
- Threat-Intelligence-Dienste zur frühzeitigen Erkennung kompromittierter Webseiten abonnieren
- Meldeprozess für verdächtige Systemaktivitäten nach Webseitenbesuchen einrichten
Was die Cyberversicherung bei Watering-Hole-Angriffe abdeckt
Abgedeckte Leistungen
- IT-Forensik nach Watering-Hole-Infektion
- Betriebsunterbrechungsschäden durch die Kompromittierung
- Kosten für Malware-Entfernung und Systemwiederherstellung
- Benachrichtigungskosten nach DSGVO bei Datenlecks
- Haftpflichtansprüche bei gestohlenen Kunden- oder Patientendaten
- Krisenmanagement und Öffentlichkeitskommunikation
- Rechtsberatungskosten bei Strafverfolgung oder Behördenmeldungen
- Kosten für Browser-Sicherheits-Upgrades nach dem Vorfall
Typische Ausschlüsse
- Schäden durch nicht eingespielt verfügbare Browser-Sicherheitsupdates
- Verluste durch veraltete, nicht mehr gewartete Browser oder Plugins
- Schäden durch Webseiten-Infektionen auf eigenen Unternehmenswebseiten ohne Schutzmaßnahmen
- Reine Reputationsschäden ohne direkten finanziellen Verlust
- Schäden an Dritten, die durch eigene kompromittierte Webseite infiziert wurden
Schützen Sie Ihr Unternehmen vor Watering-Hole-Angriffe
Vergleichen Sie jetzt die besten Cyberversicherungs-Tarife und finden Sie den passenden Schutz für Ihr Unternehmen.
JETZT TARIFE VERGLEICHEN