Am 1. Juli 2026 durften wir beim IT-Sicherheitskongress der IHK Bodensee-Oberschwaben in Weingarten als Referenten dabei sein – mit unserem Live-Hack „Einbruch ohne Brechstange“.
Und genau darum ging es an diesem Nachmittag: Cyberangriffe passieren heute selten mit Kapuze, Hollywood-Musik und grünem Code auf schwarzem Bildschirm. Sie passieren über alltägliche Schwachstellen, über unauffällige E-Mails, über menschliche Routinen, über falsch konfigurierte Systeme – und manchmal über genau die eine Kleinigkeit, die im Tagesgeschäft untergeht.
Cybersicherheit ist längst Chefsache
Der Kongress machte schnell deutlich: IT-Sicherheit ist kein reines IT-Thema mehr. Sie betrifft Geschäftsführungen, IT-Leitungen, Mitarbeitende und im Ernstfall das gesamte Unternehmen.
Die IHK Bodensee-Oberschwaben brachte dafür unterschiedliche Perspektiven zusammen: Polizei, Beratung, Risikomanagement und technische Angriffspraxis. Das Ergebnis war ein Nachmittag voller konkreter Einblicke, ehrlicher Warnsignale und praxisnaher Handlungsempfehlungen für Unternehmen aus der Region.
Unser Live-Hack: Einbruch ohne Brechstange
Zum Abschluss durften wir mit unserem Live-Hack zeigen, wie schnell aus einer vermeintlich kleinen Schwachstelle ein echter Angriff werden kann. Unser Ziel war es, den Zuschauern darzulegen, wie schnell eine Lücke als Teil einer Kette ein größeres Problem werden kann.
Der Titel „Einbruch ohne Brechstange“ bringt es ziemlich gut auf den Punkt: Heute braucht es nicht immer Gewalt, um in ein Unternehmen einzudringen. Manchmal reicht ein offener Einstiegspunkt. Ein falscher Klick. Eine vergessene Aktualisierung. Ein Zugang ohne ausreichenden Schutz.
Und genau deshalb sind regelmäßige Sicherheitsprüfungen, saubere Prozesse, sensibilisierte Mitarbeitende und klare Verantwortlichkeiten so entscheidend.
Die Firma Keller aus Weingarten
Für die Umsetzung durften wir netterweise die IT-Landschaft des Bau- und CAD-Planungsbüros Keller aus Weingarten angreifen.
Die Ausgangslage war bewusst realitätsnah gestaltet: ein regionales Unternehmen, technische Infrastruktur, interne Systeme, ein Datenbereich und verschiedene Identitäten innerhalb des Unternehmens. Nichts daran sollte nach „Laborübung“ wirken, denn genau das macht eine gute Demonstration aus: Sie muss nah genug an der Realität sein, damit die Zuschauerinnen und Zuschauer erkennen, wo ähnliche Risiken im eigenen Umfeld entstehen könnten.
Einen großen Auftritt hatte auch Frau Keller persönlich. Ihre Webcam haben wir live als Teil der gesamten Kette angezapft. Genau dieser Moment hat im Raum spürbar gezeigt, wie schnell aus einer technischen Schwachstelle ein sehr persönlicher Eingriff werden kann.
Denn sobald Kamera, Dateien, Benutzerkonten oder interne Systeme betroffen sind, ist IT-Sicherheit nicht mehr abstrakt. Dann wird sichtbar, was ein Angriff im Ernstfall bedeuten kann: Kontrollverlust, Unsicherheit, Datenschutzrisiken und ein unmittelbarer Eingriff in den Arbeitsalltag.
Natürlich folgte am Ende unsere Auflösung: Die IT der Firma Keller existierte zwar als Demo-Umgebung, die Firma selbst war allerdings frei erfunden. Auch jegliche Personen, die im Zusammenhang mit der Firma standen, waren frei erfunden und mittels Einsatz von künstlicher Intelligenz generiert – inklusive des Webcam-Streams.
Die Demonstration fand also vollständig kontrolliert, autorisiert und in einer vorbereiteten Umgebung statt.
Wie versprochen erhalten Sie an dieser Stelle einen Einblick, was wir verwendet haben. Alle verwendeten Tools sind frei erhältlich und vor allem auch frei zugänglich.
Technischer Ablauf
Wie versprochen erhalten Sie an dieser Stelle einen Einblick, was wir verwendet haben. Allerdings müssen wir leider doch etwas zurückrudern, da nach weiterer Prüfung die direkte Veröffentlichung der Kette rechtlich doch etwas kritischer für uns ist. Wenn Sie gerne etwas mehr Details haben möchten oder Rückfragen zum Vortrag haben, melden Sie sich gerne direkt bei uns.
Wichtig ist uns dabei die Einordnung: Die folgenden Werkzeuge sind nicht geheim, nicht exklusiv und nicht nur „Spezialwissen“ für eine kleine Gruppe. Viele dieser Tools sind frei erhältlich, öffentlich dokumentiert und werden sowohl von Sicherheitsforschenden als auch von Angreifern genutzt.
Genau deshalb reicht es nicht aus, darauf zu hoffen, dass niemand die eigenen Schwachstellen findet. Unternehmen müssen davon ausgehen, dass öffentlich erreichbare Systeme, bekannte Sicherheitslücken und schwache Konfigurationen auch tatsächlich gefunden und geprüft werden.
Der folgende Abschnitt dient der Nachvollziehbarkeit unserer autorisierten Demonstration und soll zeigen, wie eine Angriffskette in einer kontrollierten Umgebung aussehen kann.
Nur für Bildungszwecke
Wichtig: Dies ist kein Aufruf, fremde Systeme zu testen. Sicherheitsprüfungen dürfen ausschließlich mit ausdrücklicher Erlaubnis und in einem rechtlich klaren Rahmen durchgeführt werden. Andernfalls handelt es sich hierbei um Straftaten nach dem Strafgesetzbuch auf die auch ggf. eine Haftstrafe folgt!
Auch an eigenen Systeme können die genannten Tools bei falscher Verwendung schwerwiegenden Schaden anrichten. Wenn Sie sich nicht sicher sind, raten wir Ihnen lieber zu einem Test durch uns, wir wissen was passiert.
Alle Inhalte dienen rein zu Bildungszwecken, die DIBITS und ihr Team haftet nicht für damit zusammenhängende Schäden.
Reconnaissance mit Censys
Am Anfang stand die Frage: Was ist von außen überhaupt sichtbar?
Für diese erste Recherchephase nutzten wir Censys Search. Censys ist eine Suchmaschine für öffentlich erreichbare Systeme, Dienste, Zertifikate und technische Merkmale im Internet. Aus Sicht von Angreifern kann so ein Werkzeug helfen, potenzielle Ziele und Einstiegspunkte zu identifizieren. Aus Sicht von Unternehmen ist es mindestens genauso wertvoll, weil man damit die eigene externe Angriffsfläche besser versteht.
In unserer Demo ging es also nicht darum, „blind“ anzugreifen, sondern zunächst sichtbar zu machen, welche Systeme der fiktiven Firma Keller von außen erreichbar waren. Genau hier entstehen in der Praxis häufig die ersten Überraschungen: alte Testsysteme, vergessene Subdomains, nicht mehr aktiv gepflegte Anwendungen oder Dienste, die irgendwann veröffentlicht wurden und seitdem unbeachtet weiterlaufen.
Censys war damit der erste Baustein der Angriffskette: nicht als Angriffswerkzeug im engeren Sinne, sondern als Werkzeug zur Orientierung.
Einstieg über eine verwundbare Anwendung
Die Recherche führte in der Demo zu einer öffentlich erreichbaren Anwendung, die in einer verwundbaren Version betrieben wurde. Dieser Einstiegspunkt war bewusst vorbereitet, aber realitätsnah gewählt: Solche Fälle entstehen in Unternehmen häufig nicht aus Fahrlässigkeit, sondern aus Alltag. Ein System wird eingeführt, funktioniert, wird irgendwann weniger beachtet – und verpasst dann ein entscheidendes Update.
Für den Einstieg nutzten wir Metasploit. Dabei handelt es sich um ein Framework, das in der Sicherheitsbranche sehr bekannt ist und unter anderem für Penetrationstests, Sicherheitsüberprüfungen und Demonstrationen genutzt wird. Es hilft dabei, bekannte Schwachstellen kontrolliert nachzustellen und deren Auswirkungen sichtbar zu machen.
Der Download der Open-Source Edition befindet sich direkt auf der zugehörigen Website des Herstellers: https://www.metasploit.com/
Wichtig ist hier die Einordnung: Metasploit ist kein „magischer Hack-Knopf“. Das Tool ersetzt weder Verständnis noch Methodik. Es bündelt Module, Payloads und Hilfsfunktionen, mit denen sich bestimmte Sicherheitslücken prüfen oder demonstrieren lassen. Entscheidend ist immer der autorisierte Rahmen und die fachliche Bewertung der Ergebnisse.
In unserem Live-Hack diente Metasploit dazu, den ersten Zugriff auf die Demo-Umgebung herzustellen und anschließend zu zeigen, welche Konsequenzen dieser Zugriff haben kann.
Session, Payloads und Zugriffsstabilisierung
Nach dem ersten Einstieg ging es darum, den Zugriff technisch nutzbar zu machen. In der Demo spielte dabei der sogenannte Meterpreter eine Rolle, eine Nutzlast innerhalb von Metasploit, die in Penetrationstests häufig verwendet wird, um mit einem kompromittierten System zu interagieren.
Auch hier verzichten wir bewusst auf konkrete Befehle und Parameter. Auf konzeptioneller Ebene lässt sich der Schritt aber gut erklären: Ein erster Zugriff ist häufig noch eingeschränkt oder instabil. Deshalb versuchen Angreifer, ihre Position zu verbessern, mehr Funktionen verfügbar zu machen und die Umgebung genauer zu verstehen.
Dazu gehören typische Fragen:
- Auf welchem System befindet man sich?
- Mit welchen Rechten läuft der Zugriff?
- Welche Benutzer und Prozesse sind vorhanden?
- Welche Dateien, Dienste oder Konfigurationen sind relevant?
- Welche internen Systeme sind von dort aus erreichbar?
Dieser Schritt ist weniger spektakulär, aber enorm wichtig. Viele Angriffe bestehen nicht aus einem einzigen großen Durchbruch, sondern aus geduldiger Orientierung und kleinen technischen Vorteilen.
Orientierung im internen Netzwerk
Sobald ein erster Zugriff besteht, verändert sich die Perspektive. Das Ziel ist nicht mehr nur die ursprünglich verwundbare Anwendung, sondern die Umgebung dahinter.
In unserer Demo wurde deshalb gezeigt, wie ein kompromittiertes System als Ausgangspunkt genutzt werden kann, um interne Netzwerkbereiche zu erkennen und weitere Systeme zu erreichen. Dabei geht es nicht zwingend um exotische Schwachstellen. Oft reichen klassische Themen wie fehlende Segmentierung, zu großzügige Firewall-Regeln oder Dienste, die intern deutlich mehr erlauben als von außen.
Metasploit bietet für solche Szenarien verschiedene Möglichkeiten, Verbindungen weiterzuleiten, erreichbare Bereiche zu prüfen und nach weiteren Angriffspfaden zu suchen. Für Unternehmen ist die eigentliche Erkenntnis dahinter: Die Trennung zwischen „öffentlich erreichbar“ und „intern“ schützt nur dann, wenn interne Systeme nicht automatisch als vertrauenswürdig behandelt werden.
Ein kompromittierter Einstiegspunkt darf nicht bedeuten, dass danach das ganze Netz offensteht.
Zugangsdaten, Hashes und laterale Bewegung
Ein besonders kritischer Teil vieler Angriffsketten ist der Umgang mit Zugangsdaten.
In der Demo zeigten wir, wie lokal gespeicherte Anmeldeinformationen oder Passwort-Hashes zum Risiko werden können. Dabei geht es nicht darum, dass ein Klartextpasswort sichtbar sein muss. Schon technische Repräsentationen von Zugangsdaten können in bestimmten Konstellationen ausreichen, um weitere Systeme anzugreifen oder bestehende Berechtigungen zu missbrauchen.
Hier wurde die Angriffskette deutlich technischer: Aus dem ersten Zugriff wurde die Möglichkeit, vorhandene Berechtigungen auf andere Systeme zu übertragen. Solche Techniken werden häufig unter Begriffen wie Pass-the-Hash, Credential Dumping oder lateral movement zusammengefasst.
In unserer Demonstration führte dieser Schritt zu einem weiteren System innerhalb der fiktiven Keller-Umgebung. Genau hier zeigte sich, warum Passwortwiederverwendung, lokale Administratorrechte und fehlende Trennung administrativer Konten so gefährlich sind.
Der entscheidende Punkt: Ein einzelner kompromittierter Rechner ist schlimm. Kritisch wird es aber, wenn dieser Rechner zum Sprungbrett für weitere Systeme wird.
Token, Identitäten und Rechteausweitung
Im nächsten Schritt ging es um Identitäten und aktive Sitzungen. In Windows-Umgebungen spielen sogenannte Tokens eine wichtige Rolle. Stark vereinfacht beschreiben sie, in welchem Sicherheitskontext ein Prozess läuft und welche Rechte damit verbunden sind. Wenn administrative Konten auf vielen Systemen genutzt werden oder Sitzungen unnötig aktiv bleiben, können daraus erhebliche Risiken entstehen.
In der Demo wurde gezeigt, wie durch die Kombination aus vorhandenem Zugriff, erreichbaren Systemen und ungünstiger Rechteverteilung schließlich weitreichende administrative Kontrolle innerhalb der fiktiven Umgebung möglich wurde.
Auch dieser Schritt lässt sich mit Werkzeugen wie Metasploit technisch demonstrieren. Die konkrete Befehlskette veröffentlichen wir bewusst nicht. Für die Verteidigung ist ohnehin wichtiger, das Prinzip zu verstehen:
Wenn privilegierte Identitäten zu breit eingesetzt werden, wenn administrative Konten nicht sauber getrennt sind und wenn interne Systeme einander zu stark vertrauen, kann eine einzelne Schwachstelle zur Domänenkompromittierung führen.
Der Webcam-Moment
Ein besonders eindrücklicher Teil der Demo war der Zugriff auf den fiktiven Webcam-Stream von Frau Keller.
Technisch war dieser Moment Teil der vorbereiteten Laborumgebung. Inhaltlich zeigte er aber sehr klar, was Cyberangriffe bedeuten können: Es geht nicht nur um abstrakte Systeme, IP-Adressen oder Logdateien. Es geht um Menschen, Arbeitsplätze, Vertraulichkeit und Kontrolle.
Sobald Kameras, Dateien, Benutzerkonten oder interne Systeme betroffen sind, wird IT-Sicherheit unmittelbar greifbar. Aus einer technischen Schwachstelle wird dann ein sehr reales Unternehmensrisiko.
Gerade dieser Moment hat im Raum spürbar gemacht, warum wir Live-Hacks als Format so wertvoll finden: Sie übersetzen technische Risiken in Bilder, die hängen bleiben.
Was Unternehmen daraus lernen können
Unser Live-Hack sollte vor allem eines zeigen: Sicherheit entsteht nicht durch eine einzelne Maßnahme. Ein Virenscanner allein reicht nicht. Ein Backup allein reicht nicht. Eine Firewall allein reicht nicht. Eine Awareness-Schulung allein reicht nicht. Auch ein einzelner Penetrationstest ist kein dauerhafter Schutz, wenn danach nichts umgesetzt wird.
Wirksame Sicherheit entsteht im Zusammenspiel.
Dazu gehören unter anderem:
- regelmäßige Aktualisierung von Systemen und Anwendungen,
- ein Überblick über öffentlich erreichbare Dienste,
- saubere Rechte- und Rollenkonzepte,
- getrennte administrative Konten,
- starke Authentifizierung,
- Netzwerksegmentierung,
- Monitoring und Protokollierung,
- getestete Backups,
- klare Notfallprozesse,
- sensibilisierte Mitarbeitende,
- und regelmäßige externe Sicherheitsprüfungen.
Gerade für mittelständische Unternehmen ist dabei wichtig: IT-Sicherheit muss pragmatisch bleiben. Es geht nicht darum, alles auf einmal perfekt zu machen. Es geht darum, die wichtigsten Risiken zu kennen, die größten offenen Flanken zu schließen und Schritt für Schritt belastbarer zu werden.
Unser Fazit
Der IT-Sicherheitskongress 2026 hat gezeigt, wie wichtig Austausch, Aufklärung und Praxisnähe im Bereich Cybersicherheit sind.
Besonders stark war die Mischung aus Lagebild, unternehmerischer Perspektive, Risikoverhalten und technischer Demonstration. Denn Cybersicherheit funktioniert nicht isoliert. Sie entsteht dort, wo Geschäftsführung, IT, Mitarbeitende und externe Experten gemeinsam Verantwortung übernehmen.
Vielen Dank an die IHK Bodensee-Oberschwaben für die Organisation, an alle Referentinnen und Referenten für die starken Impulse und an die Teilnehmenden für den offenen Austausch.
Für uns war es ein spannender Nachmittag in Weingarten – und ein weiterer Beweis dafür, wie wichtig es ist, Cybersicherheit verständlich, praxisnah und direkt erlebbar zu machen.
Sind Sie sicher?
Falls Sie es nicht nur vermuten, sondern wirklich wissen möchten: Wir unterstützen Unternehmen mit Penetrationstests, Awareness-Formaten und Security-first IT-Services dabei, Schwachstellen zu erkennen, bevor sie ausgenutzt werden.