Impact (MITRE ATT&CK, Taktik TA0040) umfasst alle Techniken, mit denen Angreifer Verfügbarkeit, Integrität oder Vertrauen angreifen: Daten verschlüsseln (Ransomware), zerstören, manipulieren oder Dienste lahmlegen. Im Red Teaming ist Impact ein Sonderfall - echte Zerstörung wird fast nie ausgeführt, sondern als kontrollierter Nachweis der Möglichkeit erbracht. Dieser Hub erklärt Ziel, Technikklassen und vor allem die Operator- und Scope-Entscheidung: warum "nachweisen statt ausführen" der Normalfall ist. Funktionsfähige Ransomware oder Wiper liefert er bewusst nicht.
Was ist Impact?
Impact ist das Ende vieler Angriffsketten: Nachdem Zugang, Rechte, Bewegung und oft Datenabfluss erreicht sind, folgt die eigentliche Wirkung auf das Geschäft. Je nach Ziel des Angreifers bedeutet das Erpressung durch Verschlüsselung, Sabotage durch Zerstörung, Rufschaden durch Defacement oder stille Manipulation von Daten.
Für ein Red Team ist diese Taktik anders als alle vorherigen: Ihr Zweck ist nicht, Schaden anzurichten, sondern zu belegen, dass ein realer Angreifer ihn anrichten könnte. Dieser Hub bleibt konzeptionell und zeigt Mechanik, Entscheidung und Footprint - keine funktionsfähige Ransomware, keine Wiper, keine einsatzbereiten Zerstörungs-Payloads.
Operatives Ziel: nachweisen statt ausführen
Der entscheidende Unterschied im autorisierten Red Teaming: Impact wird in aller Regel demonstriert, nicht vollzogen. Statt eine Datei wirklich zu verschlüsseln, weist das Team nach, dass es Schreib- und Verschlüsselungszugriff auf die Kronjuwelen hätte - etwa durch das Ablegen einer harmlosen Markierungsdatei am Zielort. Der Beweis der Fähigkeit ist das Ergebnis, nicht der Schaden.
Destruktive Tests sollten grundsätzlich in isolierten oder speziell dafür vorgesehenen Umgebungen stattfinden. In Produktivsystemen kommen sie nur in außergewöhnlichen, ausdrücklich freigegebenen Szenarien mit zusätzlichen Schutzmaßnahmen infrage. Wann ein Red Teamer Impact überhaupt anfasst, ist deshalb vor allem eine Scope- und Vertrauensfrage.
Relevante ATT&CK-Techniken
| Technik | ATT&CK | Angegriffenes Schutzziel |
|---|---|---|
| Data Encrypted for Impact | T1486 | Verfügbarkeit (Ransomware) |
| Data Destruction | T1485 | Verfügbarkeit (Zerstörung) |
| Inhibit System Recovery | T1490 | Verfügbarkeit (Wiederherstellung verhindern) |
| Service Stop | T1489 | Verfügbarkeit (Dienste lahmlegen) |
| Defacement | T1491 | Integrität / Ruf |
| Data Manipulation | T1565 | Integrität (stille Verfälschung) |
Technikklassen und Mechanik
Verschlüsselung und Zerstörung (T1486, T1485, T1490)
Die bekannteste Klasse: Daten unbrauchbar machen - durch Verschlüsselung (Ransomware) oder Löschung, oft kombiniert mit dem Zerstören von Schattenkopien und Backups, um die Wiederherstellung zu verhindern. Mechanik: massenhafte Schreib- oder Löschzugriffe auf Dateien, Eingriff in Backup- und Recovery-Mechanismen. Voraussetzung: breiter Schreibzugriff, oft erhöhte Rechte.
Massenhafte Dateiänderungen in kurzer Zeit, ein sprunghafter Anstieg der Entropie geänderter Dateien, das Löschen von Volume Shadow Copies und Zugriffe auf Backup-Infrastruktur sind starke, späte Signale. Genau hier zählt die Zeit bis zur Reaktion. Erkennungslogik auf blue-team.net.
Verfügbarkeit: Service Stop und DoS (T1489, T1499)
Statt Daten anzugreifen, werden Dienste gestoppt oder überlastet - Datenbanken, Mailserver, Produktionssysteme. Mechanik: Beenden kritischer Dienste oder Ressourcenüberlastung. Voraussetzung: Rechte auf dem Zielsystem oder Netzzugang für eine Überlastung.
Das unerwartete Stoppen geschäftskritischer Dienste, Monitoring-Alarme zur Verfügbarkeit und ungewöhnliche Last sind unmittelbar sichtbar - Impact gehört zu den am wenigsten verdeckten Taktiken. Mehr auf blue-team.net.
Integrität: Data Manipulation und Defacement (T1565, T1491)
Die leiseste und oft gefährlichste Klasse: Daten nicht zerstören, sondern unbemerkt verfälschen - Finanzbuchungen, Messwerte, Datenbankeinträge - oder öffentlich sichtbare Inhalte verändern. Mechanik: gezielte Schreibzugriffe auf wenige, wertvolle Datensätze. Voraussetzung: Schreibzugriff und Verständnis der Datenstruktur.
Stille Manipulation ist schwer zu erkennen - Ansatzpunkte sind Integritätsprüfungen, Audit-Trails auf kritischen Datensätzen und Abgleich mit Backups. Defacement dagegen ist sofort offensichtlich. Details auf blue-team.net.
Wann, Voraussetzungen, Alternativen, Tradeoffs
| Frage | Überlegung |
|---|---|
| Wann? | Nur wenn das Auftragsziel es verlangt und die Rules of Engagement es ausdrücklich decken - fast immer als Nachweis, nicht als Vollzug. |
| Voraussetzungen | Zugriff auf die Zielsysteme oder -daten und eine klare, enge schriftliche Freigabe. |
| Alternativen | Den Nachweis statt der Wirkung: eine Markierungsdatei am Zielort, ein Screenshot des Zugriffs - der belegt die Fähigkeit, ohne Schaden. |
| Tradeoff | Echte Ausführung ist der stärkste Beweis, aber mit realem Geschäftsrisiko und meist nicht abgedeckt. Der kontrollierte Nachweis ist fast immer die richtige Wahl. |
Am Ende der autorisierten Übung bei der fiktiven Nordlicht Logistik GmbH hätte das Team Zugriff, um den Fileserver zu verschlüsseln. Es tut es nicht. Stattdessen legt es eine harmlose, signierte Nachweisdatei im Finanzordner ab und dokumentiert den erreichten Zugriff. Der Bericht belegt: Ein realer Ransomware-Angreifer hätte hier die Kronjuwelen verschlüsseln können - der Nachweis genügt, der Schaden bleibt aus.
Einordnung und Grenze
Dieser Hub zeigt Prinzip, Mechanik und Footprint - keine funktionsfähige Ransomware, keine Wiper, keine einsatzbereiten Zerstörungs- oder Manipulations-Payloads. Impact ist die Taktik mit dem größten realen Schadenspotenzial; gerade deshalb liegt der Fokus hier auf der verantwortungsvollen Entscheidung - nachweisen statt ausführen - und auf der Erkennung. Techniken und Fallstudien zu realer Impact-Malware sind bei MITRE und in der Threat-Intelligence-Literatur dokumentiert.
Das Beeinträchtigen von Verfügbarkeit oder Integrität gehört ausschließlich in autorisierte Tests mit wirksamer, ausdrücklicher Erlaubnis des Berechtigten und meist nur als kontrollierter Nachweis. Zerstörerische Eingriffe in fremde Systeme ohne Berechtigung sind in der Regel strafbar. Dieser Beitrag dient der Information und der Absicherung legitimer Sicherheitsarbeit und ist keine Rechtsberatung.
Einordnung in die Angriffskette
Impact steht am Ende der Kette, oft nach Collection und Exfiltration (bei doppelter Erpressung erst Datenabfluss, dann Verschlüsselung). Es setzt die Ergebnisse von Privilege Escalation und Lateral Movement voraus. Einen Überblick über alle Taktiken gibt die Payload-Sammlung.
Häufige Fragen
Führt ein Red Team wirklich Ransomware aus?
In aller Regel nicht. Der Normalfall ist der kontrollierte Nachweis: Das Team belegt, dass es die Daten hätte verschlüsseln oder zerstören können, ohne es zu tun. Echte destruktive Ausführung braucht eine ausdrückliche, enge Freigabe und bleibt die seltene Ausnahme.
Warum ist Impact so gut erkennbar?
Weil Wirkung Sichtbarkeit bedeutet: Verschlüsselung, Dienstausfälle und Zerstörung fallen sofort auf. Impact gehört zu den am wenigsten verdeckten Taktiken - entscheidend ist hier nicht die Früherkennung der Technik selbst, sondern die Zeit bis zur Reaktion und die Wiederherstellbarkeit.
Welche Impact-Art ist am gefährlichsten?
Oft die leiseste: stille Datenmanipulation. Während Ransomware laut und sofort sichtbar ist, kann verfälschte Integrität - manipulierte Buchungen oder Messwerte - lange unbemerkt bleiben und großen Schaden anrichten.