Angriffsvektor

Ein Angriffsvektor (engl. attack vector) bezeichnet den konkreten Weg und die Methode, über die ein Bedrohungsakteur unbefugten Zugriff auf Systeme, Anwendungen oder Daten erlangt oder Schaden verursacht. Der Vektor beschreibt, wie ein Angriff in ein Ziel „eintritt“, z. B. über Spear-Phishing, die Ausnutzung einer Web-Schwachstelle oder ein kompromittiertes Endgerät. In der Praxis werden Vektoren häufig kombiniert und entlang eines Angriffspfads orchestriert. [Q1], [Q2], [Q3]

Hintergrund und Standardisierung

Mit der Standardisierung von Risiko- und Bewertungsverfahren erhielt der Angriffsvektor eine formalisierte Rolle. In CVSS ist der Attack Vector (AV) eine Kernmetrik der Ausnutzbarkeit (z. B. Network, Adjacent, Local, Physical) und beeinflusst die Priorisierung im Schwachstellenmanagement. [Q7], [Q8]
Parallel bildet MITRE ATT&CK reale Angreiferverhalten ab. Die Taktik „Initial Access“ (TA0001) umfasst typische Einstiegspunkte wie Spear-Phishing oder die Ausnutzung öffentlich erreichbarer Dienste. [Q6]

Kernelemente und Merkmale

Weg plus Methode: Ein Angriffsvektor beschreibt nicht nur den Pfad, sondern auch die Technik. Typische Beispiele sind Phishing, Ausnutzung verwundbarer Dienste, Missbrauch gestohlener Zugangsdaten, Lieferkettenmanipulationen und kompromittierte Endgeräte. [Q1], [Q3]

Mehrstufigkeit: Angriffe kombinieren oft mehrere Vektoren über die Zeit (z. B. Phishing → Malware-Dropper → Privilege Escalation). ATT&CK ordnet die Schritte Taktiken/Techniken zu und erleichtert die Abbildung des Angriffspfads. [Q6]

Messbarkeit: Die CVSS-Metrik AV unterscheidet, ob eine Ausnutzung aus dem Netz, angrenzend (Adjacent), lokal oder physisch möglich ist. Dies wirkt direkt auf die Risikoeinstufung. [Q7], [Q8]

Abgrenzung zu verwandten Begriffen

Angriffsvektor vs. Angriffsfläche: Die Angriffsfläche umfasst alle potenziell ausnutzbaren Expositionen eines Systems. Der Angriffsvektor ist der tatsächlich beschrittene Pfad bzw. die Methode (z. B. „Phishing-Mail mit Anhang“). Beide Konzepte gehören zusammen und erfüllen unterschiedliche Zwecke in Härtung und Detektion. [Q4]

Angriffsvektor vs. Schwachstelle: Die Schwachstelle ist der Fehler oder Defekt (z. B. ungepatchter Service). Der Angriffsvektor ist der Weg, über den diese Schwachstelle ausgenutzt wird (z. B. aus dem Internet über Port 443). [Q1]

Bedeutung für Unternehmen und Praxis

Für CISOs ist der Angriffsvektor ein zentrales Planungsobjekt in Threat Modeling, Detection Engineering (SIEM/SOAR) und Response. Wer relevante Vektoren systematisch identifiziert, kann Use-Cases, Korrelation und Playbooks gezielt ausrichten und Wirksamkeit nachweisen. Die ENISA Threat Landscape liefert eine europäische Lageeinschätzung typischer Angriffswege und Trends. [Q5]

Beispiele aus der Praxis

Beispiel 1 – Phishing als Erstzugang: Eine präparierte E-Mail führt zum Download eines Loaders. Weitere Techniken (Execution/Persistence) schließen an. ATT&CK klassifiziert die Schritte und unterstützt Detektions-Use-Cases. [Q6]

Beispiel 2 – Exponierter Webservice mit RCE: Ein extern erreichbarer Dienst wird über das Netz ausgenutzt (Vektor: AV:N). Die CVSS-Metrik stützt die Priorisierung im Patch-Backlog. [Q7], [Q8]

Reduktion von Angriffsvektoren

Wirksam sind Härtung und Patch-Management, MFA und Passwortschutz, E-Mail-Sicherheit, Segmentierung, zielgerichtetes Monitoring (SIEM) und automatisierte Reaktion (SOAR). Leitfäden empfehlen, Vektoren zu klassifizieren und daraus Use-Cases sowie Playbooks abzuleiten. [Q5]

Häufig gestellte Fragen (FAQ):

Was ist ein Angriffsvektor?
Ein Angriffsvektor ist die konkrete Methode oder Route, über die ein Angreifer eine Schwachstelle ausnutzt und in ein System eindringt (z. B. Spear-Phishing, Remote-Exploit gegen öffentliche Dienste). [Q1], [Q3]

Welche Angriffsvektoren treten häufig auf?
Häufig sind Phishing-Varianten, netzbasierte Exploits, gestohlene oder erratene Zugangsdaten, Lieferkettenmanipulationen sowie kompromittierte Endgeräte. Überblicksdarstellungen bieten gängige Glossare und Leitfäden. [Q1], [Q2], [Q3]

Worin liegt der Unterschied zwischen Angriffsfläche und Angriffsvektor?
Die Angriffsfläche ist die Gesamtheit der exponierten Ziele. Der Angriffsvektor ist der tatsächlich genutzte Pfad. Beide Begriffe sind komplementär. [Q4]

Wie wird der Angriffsvektor in Standards berücksichtigt?
In CVSS ist der Attack Vector (AV) Teil der Basismetriken und beeinflusst die Risikoeinstufung. ATT&CK erfasst typische Einstiegstechniken in der Taktik „Initial Access“. [Q6], [Q7], [Q8]

Quellen

[Q1] Cloudflare: „Was ist ein Angriffsvektor?“, https://www.cloudflare.com/de-de/learning/security/glossary/attack-vector/, Abrufdatum: 06.11.2025.
[Q2] Security-Insider: „Was ist ein Angriffsvektor?“, https://www.security-insider.de/was-ist-ein-angriffsvektor-a-1071184/, Abrufdatum: 06.11.2025.
[Q3] Fortinet Cyberglossary: „Angriffsvektor – Arten und Vermeidung“, https://www.fortinet.com/de/resources/cyberglossary/attack-vector, Abrufdatum: 06.11.2025.
[Q4] SentinelOne: „Angriffsfläche vs. Angriffsvektor“, https://www.sentinelone.com/de/cybersecurity-101/cybersecurity/attack-surface-vs-attack-vector/, Abrufdatum: 06.11.2025.
[Q5] ENISA: „Threat Landscape 2025“, https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025, Abrufdatum: 06.11.2025.
[Q6] MITRE ATT&CK: „Initial Access (TA0001)“, https://attack.mitre.org/tactics/TA0001/, Abrufdatum: 06.11.2025.
[Q7] FIRST: „CVSS v4.0 Specification Document“, https://www.first.org/cvss/specification-document, Abrufdatum: 06.11.2025.
[Q8] NIST NVD: „CVSS v3.x Calculator (AV-Auswahl sichtbar)“, https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator, Abrufdatum: 06.11.2025.