Warum ein einziger kompromittierter SSH-Zugang Ihr gesamtes Unternehmen gefährden kann
Viele Unternehmen investieren heute in Firewalls, Virenschutz und Datensicherungen. Gleichzeitig existiert in zahlreichen Netzwerken ein Sicherheitsrisiko, das häufig übersehen wird: öffentlich erreichbare SSH-Zugänge.
Besonders Linux-Server, NAS-Systeme, Cloud-Instanzen, Netzwerkgeräte und IoT-Komponenten werden häufig über SSH administriert. Für Administratoren ist dies bequem und effizient. Für Cyberkriminelle ist es jedoch eines der attraktivsten Angriffsziele überhaupt.
Ein kompromittierter SSH-Zugang kann innerhalb weniger Stunden dazu führen, dass vertrauliche Daten gestohlen, Server übernommen oder sogar ganze Unternehmensnetzwerke verschlüsselt werden.
Die Gefahr ist real – und sie wird von vielen Unternehmen massiv unterschätzt.
Was ist SSH überhaupt?
SSH steht für Secure Shell und wird seit vielen Jahren als Standardprotokoll für die sichere Fernadministration von Systemen eingesetzt.
Administratoren verwenden SSH beispielsweise für:
- Linux-Server
- Unix-Systeme
- NAS-Speicher
- Docker-Hosts
- Netzwerkkomponenten
- Firewalls
- Cloud-Systeme
SSH selbst ist dabei keineswegs unsicher. Im Gegenteil: Das Protokoll gilt als sehr robust und zuverlässig.
Das eigentliche Risiko entsteht durch die Art und Weise, wie SSH in vielen Unternehmen eingesetzt wird.
Das Internet sucht permanent nach offenen SSH-Ports
Sobald ein SSH-Port aus dem Internet erreichbar ist, wird er innerhalb kürzester Zeit von automatisierten Scannern erkannt.
Weltweit durchsuchen Botnetze und Angreifer permanent das Internet nach offenen Ports. Ein neuer Server mit freigeschaltetem SSH-Zugang wird häufig bereits nach wenigen Minuten von den ersten Angreifern entdeckt.
Die meisten Unternehmen bemerken davon nichts.
Im Hintergrund laufen tausende automatisierte Anmeldeversuche gegen Benutzerkonten wie:
- root
- admin
- administrator
- support
- backup
Selbst wenn die Angriffe erfolglos bleiben, zeigt dies, wie stark öffentlich erreichbare SSH-Dienste im Fokus von Cyberkriminellen stehen.
Der eigentliche Angriff beginnt oft lange vor dem Login
Viele Geschäftsführer gehen davon aus, dass ein Angreifer zunächst das Passwort erraten muss.
Die Realität sieht anders aus.
Zugangsdaten werden heute häufig über Phishing-Kampagnen, Malware, Passwortdatenbanken oder kompromittierte Endgeräte erbeutet. Auch gestohlene SSH-Schlüssel stellen ein erhebliches Risiko dar.
Hat ein Angreifer gültige Zugangsdaten in der Hand, wirkt die Anmeldung über SSH vollkommen legitim.
Die Firewall erkennt keinen Angriff.
Das Monitoring erkennt keinen Angriff.
Die Anmeldung erscheint wie die eines normalen Administrators.
Genau deshalb sind kompromittierte SSH-Zugänge so gefährlich.
Was passiert nach einer erfolgreichen Kompromittierung?
Viele Unternehmen glauben, ein Angreifer würde unmittelbar Daten stehlen oder Systeme verschlüsseln.
Professionelle Angreifer gehen deutlich strategischer vor.
Nach einem erfolgreichen SSH-Login wird zunächst das interne Netzwerk analysiert. Der Angreifer versucht herauszufinden:
Welche Server existieren?
Wo befinden sich Datenbanken?
Welche Benutzerkonten verfügen über erhöhte Rechte?
Wie ist das Active Directory aufgebaut?
Welche Backup-Systeme werden verwendet?
Oft bleibt dieser Vorgang über Tage oder sogar Wochen unentdeckt.
Erst wenn der Angreifer genügend Informationen gesammelt hat, beginnt die eigentliche Angriffskette.
Der Weg zur Ransomware
Bei nahezu allen größeren Ransomware-Vorfällen der vergangenen Jahre war der erste Zugriffspunkt überraschend banal.
Nicht selten begann der Angriff mit:
- einem VPN-Zugang
- einem kompromittierten Benutzerkonto
- einem öffentlich erreichbaren RDP-Dienst
- einem SSH-Zugang
Nach der ersten Anmeldung breitet sich der Angreifer schrittweise im Netzwerk aus. Administratorrechte werden übernommen, Backups identifiziert und Sicherheitslösungen umgangen.
Erst am Ende dieser Kette erfolgt die Verschlüsselung der Systeme.
Wenn Unternehmen die Ransomware bemerken, befindet sich der Angreifer häufig bereits seit Wochen im Netzwerk.
Warum besonders KMU betroffen sind
Kleine und mittelständische Unternehmen verfügen häufig nicht über eigene Security Operations Center oder spezialisierte Sicherheitsteams.
Gleichzeitig betreiben viele KMU:
- Linux-Server
- NAS-Systeme
- Webserver
- Cloud-Systeme
- Fernwartungslösungen
mit öffentlich erreichbaren SSH-Zugängen.
Aus Sicht eines Angreifers sind solche Umgebungen besonders attraktiv, weil sie oft weniger überwacht werden als die Netzwerke großer Konzerne.
Gerade deshalb stehen KMU zunehmend im Fokus professioneller Cyberkrimineller.
Die klassische Firewall reicht nicht mehr aus
Viele Unternehmen verlassen sich auf ihre Firewall und gehen davon aus, dass diese ausreichenden Schutz bietet.
Doch sobald Port 22 freigegeben wird, hat die Firewall ihre Aufgabe bereits erfüllt. Der SSH-Dienst ist erreichbar.
Ab diesem Zeitpunkt hängt die Sicherheit vor allem von den Zugangsdaten, der Konfiguration und der Überwachung des Systems ab.
Ein offener SSH-Port bleibt damit dauerhaft ein potenzielles Angriffsziel.
Ein moderner Ansatz: Kein offener SSH-Port mehr
Die wirksamste Schutzmaßnahme besteht darin, SSH gar nicht erst direkt aus dem Internet erreichbar zu machen.
Genau hier setzt Kyvion Secure Access an.
Anstatt Port 22 über die Firewall freizugeben, erfolgt der Zugriff über ein zentrales webbasiertes Portal. Der eigentliche SSH-Dienst bleibt vollständig im internen Netzwerk verborgen.
Der Benutzer öffnet lediglich seinen Browser und authentifiziert sich am Portal. Anschließend erhält er Zugriff auf die freigegebenen Systeme.
Für Angreifer entsteht dadurch ein entscheidender Nachteil:
Es gibt keinen öffentlich sichtbaren SSH-Dienst mehr, der automatisiert angegriffen werden kann.
Zusätzlicher Schutz durch FIDO2-Sicherheitsschlüssel
Selbst starke Passwörter bieten heute keinen vollständigen Schutz mehr.
Phishing-Angriffe werden immer professioneller und Zugangsdaten gelangen regelmäßig in die Hände von Cyberkriminellen.
Deshalb setzen moderne Sicherheitskonzepte zunehmend auf FIDO2-basierte Sicherheitsschlüssel.
Lösungen wie der GoTrust Idem Key ermöglichen eine starke Authentifizierung, bei der ein physischer Sicherheitsschlüssel benötigt wird.
Selbst wenn ein Angreifer Benutzername und Passwort kennt, bleibt der Zugriff ohne den Sicherheitsschlüssel verwehrt.
Fazit
Ein kompromittierter SSH-Zugang ist weit mehr als ein technisches Problem. Er kann der Ausgangspunkt für Datendiebstahl, Industriespionage, Produktionsausfälle oder Ransomware-Angriffe sein.
Unternehmen sollten deshalb kritisch prüfen, welche Systeme heute direkt über SSH aus dem Internet erreichbar sind.
Wer seine Angriffsfläche nachhaltig reduzieren möchte, sollte offene SSH-Ports vermeiden, den Zugriff zentral steuern und moderne Authentifizierungsverfahren einsetzen.
Die Kombination aus Kyvion Secure Access und FIDO2-Sicherheitsschlüsseln wie dem GoTrust Idem Key bietet hierfür einen modernen und wirksamen Ansatz – ohne VPN, ohne offene SSH-Ports und ohne unnötige Risiken.
