Glossar · einfach erklärt

APT (Advanced Persistent Threat)

APTs sind langfristig operierende, gut ausgestattete Angreifergruppen — leise, zielgerichtet und hartnäckig.

Advanced Persistent Threat (APT) bezeichnet Angreifergruppen, die mit erheblichen Ressourcen, klarem Auftrag und langem Atem operieren — oft staatlich unterstützt oder geduldet. Ihr Kennzeichen ist nicht das einzelne Werkzeug, sondern die Arbeitsweise: gezielte Auswahl der Opfer, leises Vorgehen, monatelange Präsenz.

Anders als opportunistische Kriminalität sucht sich ein APT sein Ziel bewusst aus: Technologie, Forschung, kritische Infrastruktur, Zulieferer mit Zugang zu größeren Zielen. Der Verteidigungsanspruch verschiebt sich damit von Verhindern zu Erkennen und Eindämmen.

Wie arbeiten APT-Gruppen?

Der Einstieg erfolgt häufig über Spear-Phishing, Lieferketten oder frische Schwachstellen in Randsystemen — gern VPN-Gateways und andere exponierte Infrastruktur. Danach folgt die Phase, die APTs auszeichnet: unauffällige Ausbreitung mit legitimen Werkzeugen (Living off the Land), Anlegen mehrerer Zugangswege, Geduld. Viele Gruppen bleiben Monate unentdeckt, weil sie sich wie Administratoren verhalten.

Die Verteidigung setzt deshalb auf Verhalten statt Signaturen: Anomalien bei Identitäten und im Ost-West-Verkehr, gehärtete Randsysteme, Segmentierung als Bewegungsbremse — und die Annahme, dass Prävention allein nicht reicht.

Was gegen APTs wirklich hilft

Angriffsflächen-Hygiene: exponierte Systeme minimieren und konsequent patchen.
Phishing-resistente Authentifizierung und strenges Rechtekonzept.
Segmentierung und Zero-Trust-Zugriff als strukturelle Bewegungsbremse.
Verhaltensbasierte Erkennung (EDR, NDR) plus geübte Incident Response.

Häufige Fragen zu APT (Advanced Persistent Threat)

Was macht einen Angriff zum APT-Angriff?

Die Kombination aus Zielauswahl, Ressourcen und Ausdauer: Das Opfer wird bewusst gewählt, der Zugang über Monate gehalten, das Vorgehen bleibt leise. Die verwendeten Werkzeuge können banal sein — die Arbeitsweise ist es nicht.

Betrifft das Thema APT auch den Mittelstand?

Ja — oft als Umweg: Zulieferer, Dienstleister und Nischen-Marktführer sind attraktive Sprungbretter zu größeren Zielen oder besitzen selbst wertvolles Know-how. Gerade Hidden Champions unterschätzen ihre Attraktivität regelmäßig.

Was bedeutet Living off the Land?

Angreifer nutzen Bordmittel des Systems — Administrationswerkzeuge, Skriptsprachen, legitime Fernwartung — statt eigener Malware. Das umgeht signaturbasierte Erkennung; auffallen tun solche Angriffe nur über Verhalten und Kontext.

Wie lange bleiben APTs unentdeckt?

Branchenberichte nennen regelmäßig Verweildauern von Wochen bis Monaten; in schlecht überwachten Umgebungen auch länger. Jede Woche unentdeckter Präsenz vergrößert Schaden und Aufräumaufwand — deshalb zählt Erkennungsfähigkeit mehr als jede Einzelmauer.

Woher stammen die Namen wie APT28 oder Lazarus?

Sicherheitsfirmen vergeben Katalognamen für beobachtete Gruppen — Nummern, Tiere, Mythologie. Dieselbe Gruppe trägt je nach Hersteller mehrere Namen. Für Verteidiger zählt weniger der Name als das dokumentierte Verhalten, etwa in MITRE ATT&CK.