Die amerikanische Cybersecurity Behörde CISA hat Ende August 2026 einen Bericht veröffentlicht, der es in sich hat: „A Tale of Two SOCs“. Zwei kritische Infrastruktur Organisationen, dieselben Angriffstechniken, komplett unterschiedliche Ergebnisse. Bei der einen Organisation kam das Red Team rein, bewegte sich frei durchs Netzwerk, las die E-Mails des Security Teams (ja, wirklich) und wurde nie entdeckt. Bei der anderen wurde der Angriff innerhalb von Minuten erkannt und gestoppt.
Was den Unterschied gemacht hat? Nicht die Tools. Die Leute und die Prozesse.
Organisation A: alles offen
Der Einstieg war fast schon peinlich einfach: eine Webanwendung mit Default Credentials auf eingebauten Accounts. Also nicht mal ein Zero Day oder ein raffinierter Exploit, sondern schlicht ein Admin Passwort das niemand geändert hat.. Von dort aus verschickte das Red Team Phishing Mails von einer internen Adresse, vier Arbeitsplatzrechner waren kompromittiert.
Dann wurde es richtig unangenehm. Die Machine Account Quota (MAQ) stand auf dem Standardwert 10, das heisst jeder Domain User konnte einfach neue Maschinenkonten anlegen. Dazu kam eine falsch konfigurierte Active Directory Certificate Services Vorlage (ESC1), über die sich Zertifikate für beliebige User ausstellen liessen. Laterale Bewegung ging über SCCM Server, die User-Geräte Zuordnungen preisgaben.
Was das Team auf dem Weg fand: Klartext Passwörter auf Admin Workstations, entschlüsselte Datenbank Konfigurationsdateien und statische AWS IAM Schlüssel die auf „never expire“ gesetzt waren (kein Kommentar). In der Cloud wurde ein Primary Refresh Token gestohlen und Entra ID Applikationen mit viel zu hohen Berechtigungen missbraucht: Mail.Read, Mail.ReadWrite, Chat.Read.All, Files.Read.All. Das Red Team hat dann einen neuen Client Secret zur Applikation hinzugefügt um den Zugang zu behalten, und konnte so die E-Mails des Security Teams mitlesen, um zu prüfen ob jemand etwas bemerkt hat.
Hat niemand.
Der SOC hatte tausende False Positive Alerts die alles überlagerten. Mehrere SOC Teams arbeiteten parallel ohne miteinander zu kommunizieren. Es gab keine Standard Prozeduren für Eskalationen, unklare Zuständigkeiten und die Defender hatten zu wenig Befugnisse um eigenständig zu handeln.
Organisation B: erkannt in Minuten
Gleicher Ansatz, drei Mitarbeiter klickten auf den Phishing Link, drei Rechner kompromittiert. Aber hier hat der SOC die Payloads erkannt sobald sie ausgeführt wurden und die betroffenen Workstations innerhalb von 2 bis 20 Minuten isoliert. Die Command and Control Verbindungen waren gekappt bevor irgendwelche Daten abfliessen konnten. Das Red Team musste auf ein Assumed Breach Szenario wechseln (also direkt mit privilegiertem Zugang weitermachen).
Trotzdem fanden sie gravierende Schwachstellen. Die MAQ stand sogar auf 1000 (schlimmer als bei Organisation A). Ein Service Account hatte AllExtendedRights über einen Domain Controller, was einen DCSync Angriff ermöglichte. In der Cloud lagen MSOL Zugangsdaten offen, ein deaktiviertes Konto konnte reaktiviert werden und über die Seamless SSO Implementierung liessen sich Kerberos Tickets für Entra ID missbrauchen.
Beim OT Netzwerk erreichte das Team einen Bastion Host in der DMZ über FTP Zugangsdaten. Aber: der Host hatte keinen ausgehenden Internetzugang. Der C2 Kanal konnte nicht aufgebaut werden, die OT Systeme blieben geschützt. Das war keine smarte KI Lösung, das war eine simple Firewall Regel die funktioniert hat.
Was Schweizer KMU daraus lernen
Der Bericht macht eines sehr deutlich: Sicherheit hängt nicht an den Tools. Organisation A hatte Monitoring Tools, hatte einen SOC, hatte Alerting. Hat alles nichts genützt weil die Prozesse fehlten. Organisation B hat mit guten Prozessen und klaren Zuständigkeiten einen Angriff gestoppt bevor er Schaden anrichten konnte, obwohl die technischen Schwachstellen teilweise sogar schlimmer waren.
Für Schweizer KMU (und auch für Betreiber kritischer Infrastrktur im Sinne des BACS) heisst das konkret:
- Default Passwörter ändern. Klingt banal, ist es offenbar nicht
- Machine Account Quota auf null setzen, es sei denn man braucht es wirklich
- AD CS Zertifikatsvorlagen prüfen, speziell die ESC1 Konfiguration
- Klartext Passwörter in Config Dateien suchen und eliminieren (z.B. connections.json, XML Configs auf SCCM Distribution Points etc)
- AWS/Azure Schlüssel mit Ablaufdatum versehen und regelmässig rotieren
- Cloud App Berechtigungen auf das Minimum reduzieren; Conditional Access für Workload Identities einrichten
- Alert Tuning betreiben: tausende False Positives sind schlimmer als kein Alerting, weil man dann wenigstens weiss dass man blind ist
- SOC Prozesse definieren: wer eskaliert wann an wen, ohne Bürokratie
- OT Netzwerke vom Internet trennen (Organisation B hat gezeigt dass eine einfache Firewall Regel reicht)
Fazit
Der CISA Bericht ist frei verfügbar (Advisory AA26-237A) und ev. das Nützlichste was die Behörde dieses Jahr publiziert hat. Nicht weil die Angriffe besonders raffiniert waren, sondern genau weil sie es nicht waren. Default Credentials, Klartext Passwörter, falsch konfiguriertes AD. Das sind keine Nation State Angriffe, das sind Dinge die jeder Pentester in jedem zweiten Netzwerk findet…
Und die eine Frage die sich jedes Unternehmen stellen muss: wäre man Organisation A oder Organisation B?