Unsichtbare Angriffe, neue Abwehrstrategien Zero Day und LOTL: Warum Telkos jetzt umdenken müssen

Anbieter zum Thema

Nokia

Nokia GmbH

Vitel GmbH

Zero-Day-Exploits und LOTL-Angriffe (Living off the Land) nehmen zu und stellen Netzbetreiber vor neue Herausforderungen. Warum klassische Abwehr nicht mehr ausreicht und wie prädiktive, KI-gestützte Ansätze die Zukunft der Telekommunikationssicherheit prägen.

Im Oktober vergangenen Jahres bestätigte das Sicherheitsunternehmen Darktrace, was viele Telekommunikationsexperten für unvermeidlich hielten: Ein europäischer Netzbetreiber war einem Zero-Day-Exploit von Salt Typhoon, einer mutmaßlich chinesischen, staatlich unterstützen Hackergruppe, zum Opfer gefallen. Bei einem Zero-Day Exploit nutzen die Angreifer eine Sicherheitslücke in Soft- oder Hardware, die dem Hersteller noch unbekannt ist. Da keine Sicherheitsupdates existieren, haben Entwickler „null Tage“ Zeit zur Behebung, was solche Angriffe besonders gefährlich macht. Sie ermöglichen Datendiebstahl, das Einschleusen von Schadcode oder die Übernahme ganzer Systeme.

Ein Weckruf für Europa

Die Gruppe nutzte eine Schwachstelle in der beim Netzbetreiber eingesetzten Citrix-Netscaler-Software, und zwar in Form eines so genannten „Living off the Land“-Angriffs (LOTL).

[Anm. der Red.: Bei einem „Living off the Land“-Angriff werden vorhandene und legitime System-Tools wie beispielsweise das Command Line Interface oder die PowerShell genutzt, um in ein System einzudringen. Angriffe dieser Art bleiben oft unbemerkt, da hier keine Schadsoftware verwendet wurde.]

Dies war ein Weckruf für die gesamte Telekommunikationsbranche in Europa. Bis dahin war man davon ausgegangen, dass Salt Typhoon vor allem Versorger, Telekommunikationsanbieter und öffentliche Einrichtungen in den Vereinigten Staaten ins Visier nimmt. Der Angriff zeigte jedoch, dass inzwischen auch europäische Netzbetreiber und Kommunikationsanbieter ins Fadenkreuz geraten waren. Für Europa bedeutet das: Es geht nicht mehr darum, ob Netze angegriffen werden, sondern wann.

Bewertung der Bereitschaft der Branche

Die zentrale Frage lautet daher, ob die Branche ausreichend vorbereitet ist. Auch der Nokia Threat Intelligence Report 2025 zeigt, dass nur 13 Prozent der befragten Sicherheits- und Netzexperten glauben, vollständig darauf vorbereitet zu sein, auf einen Zero-Day-Angriff zu reagieren, also auf eine Sicherheitslücke, die zum Zeitpunkt des Angriffs noch unbekannt ist.

Historisch gesehen konzentrierten sich Zero-Day-Angriffe vor allem auf Unternehmen mit klassischen IT-Systemen. In jüngerer Zeit geraten jedoch zunehmend auch Branchen mit spezialisierten Technologie-Stacks ins Visier. Das gilt ebenso für die Telekommunikationsbranche, in der Gruppen wie Salt Typhoon ihre Angriffe gezielt auf telkospezifische Protokolle und Systeme ausrichten. Sobald sie sich im Netzwerk festgesetzt haben, bewegen sich Angreifer durch mehrere Systeme, um mithilfe fortgeschrittener Techniken Daten zu stehlen.

Die Zahl der Vorfälle, bei denen Netzbetreiber mit solchen Angriffen konfrontiert werden, steigt kontinuierlich. 64 Prozent der Fachleute für Netzwerksicherheit in der Telekommunikation erlebten im vergangenen Jahr mindestens einen Living-off-the-Land-Angriff, bei dem Cyberkriminelle native, legitime Tools im System des Opfers nutzen, um ihre Aktivitäten aufrechtzuerhalten und auszuweiten. Etwa ein Drittel war sogar mit vier oder mehr Angriffen konfrontiert. Da LOTL-Angriffe auf vertrauenswürdige Prozesse und autorisierte Werkzeuge zurückgreifen, sind sie von Natur aus schwer zu erkennen. Eindringlinge werden vor dem Hintergrund normaler Netzaktivitäten nahezu unsichtbar, was ihre Entdeckung mit herkömmlichen Cybersicherheits- und Überwachungstools erheblich erschwert.

Von der Aufdeckung zur Vorhersage

Wenn traditionelle Werkzeuge Schwierigkeiten haben, LOTL-Angriffe und Zero-Day-Exploits zu identifizieren, stellt sich die Frage: Was muss sich ändern? Ein wesentlicher Wandel betrifft den Ort und die Art der Bedrohungserkennung. In Telekommunikationsumgebungen entstehen Angriffe mit Netzgeschwindigkeit und richten sich häufig gegen Betriebstechnologie (Operational Technology, OT), etwa gegen Kernnetzelemente, Managementplattformen oder Signalisierungssysteme. Die Erkennung muss daher in Echtzeit und in großem Maßstab erfolgen, ohne zusätzliche Latenz zu verursachen oder Dienste zu beeinträchtigen.

Anstatt sich auf bekannte Angriffssignaturen oder starre Regeln zu verlassen, setzen fortschrittliche Ansätze auf Verhaltensanalysen. Diese identifizieren Abweichungen vom normalen Netzwerkverhalten über telkospezifische Protokolle hinweg – und das selbst dann, wenn noch kein bekannter Exploit existiert, also ein Programmcode, Datensatz oder Skript, das Sicherheitslücken gezielt ausnutzt. Dies ist entscheidend für den Schutz vor Zero-Day-Bedrohungen.

Ein Beispiel hierfür ist eine „Unsupervised Clustering Engine“, die Angriffsmuster autonom durch kontinuierliche Inspektion auf Paketebene erkennen kann. Statt ausschließlich auf vorhandene Signaturen und bekannte Indikatoren zu setzen, ermöglicht diese dynamische Analyse die Identifikation neuer oder individuell angepasster Angriffstechniken.

Konsistente Transparenz über OT-Umgebungen

Telekommunikationsnetze sind hochkomplexe Umgebungen mit mehreren Anbietern und umfassen geschäftskritische Altsysteme ebenso wie virtualisierte und Cloud-native Architekturen. Diese Komplexität schafft blinde Flecken, die Angreifer gezielt ausnutzen, insbesondere dann, wenn sie sich lateral durch das Netzwerk bewegen. Eine konsistente Transparenz über OT-Umgebungen hinweg, einschließlich Netzwerkverkehr, Managementschnittstellen und kritischer Steuerungssysteme, ist daher unerlässlich. Ohne diese Transparenz müssen Sicherheitsteams mit fragmentierten Informationen aus isolierten Systemen arbeiten, was die Reaktionszeit verlängert, und das Risiko erhöht.

Weniger Störsignale, mehr Sicherheit

„Alert Fatigue“, also die Überlastung durch zu viele Warnmeldungen, stellt eine weitere wachsende Herausforderung dar. Mit zunehmendem Bedrohungsvolumen können sich überschneidende Warnmeldungen aus voneinander getrennten Tools anhäufen, Teams überfordern und echte Vorfälle verdecken.

Sicherheitsansätze, die auf Korrelation und einheitliche Analysen setzen, begegnen diesem Problem, indem sie zusammengehörige Ereignisse zu einer einzigen, kontextualisierten Vorfallansicht zusammenführen. Dies ist besonders wertvoll bei der Erkennung von LOTL-Aktivitäten, die sich innerhalb legitimer Betriebsprozesse verbergen. Durch die Reduzierung von Fehlalarmen, Doppelmeldungen und anderen „Störgeräuschen“ gewinnen Sicherheitsteams mehr Vertrauen darin, dass Warnmeldungen tatsächlich eine gründliche Untersuchung erfordern.

KI-gestützte Bedrohungssuche

Künstliche Intelligenz wird zunehmend nicht nur für die Erkennung, sondern auch für die kontinuierliche Bedrohungssuche eingesetzt. Durch die Analyse von Verhaltensmustern über längere Zeiträume hinweg und die Anpassung an Veränderungen im Netzwerk sowie an neue Angriffstechniken kann KI subtile Muster aufdecken, die manuelle Prozesse häufig übersehen. Dies unterstützt stärker autonome Sicherheitsoperationen, reduziert den manuellen Aufwand bei der Erstbewertung von Vorfällen und ermöglicht es den verantwortlichen Teams, sich auf strategisch wichtigere Entscheidungen in Bezug auf Risiko und Resilienz zu konzentrieren.

Von der Reaktion zur Resilienz: die Zukunft der Telekommunikationssicherheit

Insgesamt signalisieren diese Entwicklungen einen Übergang hin zu prädiktiver Cyber-Resilienz: Angriffe werden antizipiert, ihre Auswirkungen begrenzt und die Kontinuität der Dienste sichergestellt.

Für Netzbetreiber und Telekommunikationsanbieter, die zunehmend auch kritische nationale Infrastrukturen unterstützen, ist dieser Wandel unverzichtbar. Zero-Day-Exploits und LOTL-Techniken sind heute keine Randphänomene mehr, sondern Realität, und ihre Verbreitung dürfte in den kommenden Jahren weiter zunehmen.

In diesem Umfeld wird nicht nur die richtige Reaktion entscheidend sein, sondern vor allem Resilienz als Grundlage für die nächste Generation sicherer und zuverlässiger Telekommunikationsnetze.

Über den Autor

Gerald Reddig ist Experte für Netzsicherheit und Cybersecurity beim Netzausrüster Nokia als Global Cybersecurity Market Strategy Director tätig.

(ID:50837692)