Ein Angreifer ist jeder, der versucht, ohne Autorisierung in ein System einzudringen. Der Begriff umfasst ein breites Spektrum. Scriptkiddies nutzen Tools, die sie nicht verstehen. Organisierte kriminelle Gruppen betreiben Ransomware-Ableger mit Helpdesks und Gewinnbeteiligung. Staatliche Teams arbeiten gegen Bezahlung, mit monatelanger Geduld und entwickelt maßgeschneiderte Malware. Insider-Bedrohungen sitzen mit gültigen Zugangsdaten im Gebäude. Hacktivisten greifen Organisationen an, mit denen sie nicht einverstanden sind. Jede Gruppe verfügt über unterschiedliche Fähigkeiten, Ressourcen und Ziele.

Das finanzielle Motiv dominiert. Lösegeldzahlungen, gestohlene Zugangsdaten und Kartendaten finden auf Untergrundmärkten reißenden Absatz. Vermittler von Erstzugriffen verkaufen Ransomware-Gruppen Zugang zu ihren Systemen. Entwickler von Exploits verkaufen Zero-Day-Schwachstellen an den Höchstbietenden. Das Ökosystem ist professionalisiert. Angreifer spezialisieren sich, vergeben Aufträge an Subunternehmer und kassieren einen Teil des Gewinns. Diese Struktur erschwert die Zuordnung der Täter. Der Angreifer, der in das System eingedrungen ist, ist möglicherweise nicht derjenige, der die Ransomware eingesetzt hat, und auch nicht unbedingt derjenige, der den größten Profit erzielt. Verteidiger sollten von einem motivierten Angreifer mit Zeit und Ressourcen ausgehen. Die Frage ist nicht, ob jemand es versuchen wird, sondern ob die Verteidigung dann standhält.

Motive des Angreifers

• Finanzieller Gewinn – Ransomware, Betrug, Zugangsdatendiebstahl
• Spionage – staatlich geförderte Informationsbeschaffung
• Ideologie – Hacktivismus und Disruption
• Unzufriedenheit innerhalb des Unternehmens – Rache oder Nötigung

Nicht jeder Angreifer ist ein Genie. Viele sind Opportunisten, die nach ungepatchten Systemen suchen. Das Patchen von Sicherheitslücken schließt die Tür, auf die sie gehofft hatten.