Penetrationstests der Infrastruktur: Warum das interne Netzwerk zum Kern kritischer Risiken geworden ist

Infrastrukturprojekte waren 2025 die zweithäufigste Art unserer Aufträge. Wir testeten 104 Projekte, was etwa 17 % aller durchgeführten Projekte entspricht. Gerade in diesem Bereich fanden wir die höchste Zahl schwerwiegender Schwachstellen: 74 kritische und 125 Schwachstellen mit hohem Schweregrad. Das entspricht durchschnittlich fast zwei kritischen oder hochriskanten Schwachstellen pro Projekt.

Gleichzeitig enthielten 71 % der Infrastrukturprojekte mindestens eine kritische Schwachstelle – der höchste Anteil unter allen von uns getesteten Umgebungen. Nicht aktualisierte Dienste und exponierte Geräte, auf die wir bei internen Penetrationstests immer wieder stoßen, gehörten zugleich zu den Schwachstellen, die 2025 hinter den schwerwiegendsten Angriffen auf IT-Infrastrukturen standen.

Auch laut dem Bericht Mandiant M-Trends 2025 gehörten Geräte am Netzwerkperimeter, VPN-Gateways, Firewalls und Router zu den am häufigsten ausgenutzten Angriffszielen. Drei Fälle prägten das Jahr 2025 besonders:

• Ivanti Connect Secure (CVE-2025-0282): Eine Schwachstelle, die eine nicht authentifizierte Remote-Code-Ausführung ermöglichte. Eine mit China in Verbindung gebrachte Gruppe nutzte sie bereits aktiv aus, bevor ein Sicherheitsupdate verfügbar war – es handelte sich somit um eine Zero-Day-Schwachstelle.
• Citrix NetScaler (CVE-2025-5777): Die als CitrixBleed 2 bekannte Schwachstelle ermöglichte es Angreifern, Sitzungstoken zu stehlen und die Multi-Faktor-Authentifizierung (MFA) zu umgehen. Nur wenige Wochen nach ihrer Veröffentlichung wurde sie in den Katalog der Known Exploited Vulnerabilities (KEV) der US-Behörde CISA aufgenommen.
• Cisco ASA und Cisco FTD: Diese Produkte waren Ziel einer groß angelegten Zero-Day-Kampagne, bei der die Schwachstellen CVE-2025-20333 und CVE-2025-20362 in VPN-Webservern ausgenutzt wurden. Ihre Kritikalität war so hoch, dass die CISA nach der Aufnahme in den KEV-Katalog eine Notfallrichtlinie herausgab.

Die zweite Hälfte der Geschichte betrifft Identitäten. Denn genau dort entwickelt sich ein anfänglicher Zugriff am häufigsten zur vollständigen Kontrolle über eine Organisation. Laut dem aktuellen DBIR 2026 spielen kompromittierte Zugangsdaten weiterhin bei etwa 39 % aller Datenschutzverletzungen eine Rolle.

Sobald sich ein Angreifer Zugang zum internen Netzwerk verschafft hat, trifft er auf dieselben Schwachstellen in Active Directory, die wir bei nahezu jedem internen Penetrationstest finden:

• fehlende Segmentierung zwischen gewöhnlichen Arbeitsstationen und Domänencontrollern,
• Dienstkonten, deren Passwörter mithilfe von Kerberoasting offline ermittelt werden können,
• fehlende Signierung der SMB- und LDAP-Kommunikation, wodurch Angriffe wie NTLM Relay möglich werden,
• falsch konfigurierte Vorlagen der Active Directory Certificate Services (AD CS), auch als ESC-Schwachstellen bezeichnet, die es gewöhnlichen Benutzern ermöglichen, ihre Berechtigungen bis hin zum Domänenadministrator auszuweiten.

Unsere interne Analyse aller internen Penetrationstests bestätigt diesen Trend. Spoofing-Angriffe auf die Protokolle mDNS, NBNS und LLMNR traten in mehr als der Hälfte der getesteten Netzwerke auf und gehören damit zu den häufigsten Schwachstellen überhaupt.

Gleichzeitig kommen neue Angriffstechniken hinzu. Die 2025 vorgestellte Schwachstelle BadSuccessor missbraucht delegierte Managed Service Accounts in Windows Server 2025, um Domain-Admin-Rechte zu erlangen. Microsoft veröffentlichte die entsprechenden Sicherheitsupdates erst im August.

Was bedeutet das für CISOs?

Eine interne Umgebung darf nicht automatisch als vertrauenswürdig betrachtet werden. Ob sich ein anfänglicher Zugriff zu einem umfassenden Sicherheitsvorfall entwickelt, hängt heute vor allem von zwei Faktoren ab: davon, wie schnell Geräte und Dienste aktualisiert werden, und davon, wie konsequent Identitäten abgesichert sind.

Wissen Sie, was passiert, wenn ein Angreifer in Ihr internes Netzwerk eindringt?

Ein Penetrationstest der Infrastruktur deckt Schwachstellen, Fehlkonfigurationen und Angriffspfade auf, die zur Kompromittierung der gesamten Domäne führen können.