--- id: CP-027 slug: watering-hole-angriff-kompromittierte-website lang: de title: Watering-Hole-Angriff description: Eine Website, die Sie jede Woche besuchen, kann manipuliert sein. So funktioniert der Watering-Hole-Angriff, woran man ihn erkennt und was schützt. canonical_url: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ markdown_url: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Watering-Hole-Angriff“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Watering-Hole-Angriff Bei einem Watering-Hole-Angriff (auf Deutsch etwa „Wasserloch-Angriff“) nimmt der Angreifer keinen Kontakt zum Opfer auf. Er manipuliert eine Website, die das Opfer ohnehin besucht: Er schleust Schadcode ein und wartet, bis die Besucher von selbst kommen. Für Beschäftigte liegt die Gefahr in diesem Vertrauen. Die Website ist bekannt, nützlich für die Arbeit, und nichts deutet darauf hin, dass sie sich verändert hat. Dieser Artikel beschreibt den Mechanismus, was man bemerken kann und was den Schaden begrenzt. ## In 30 Sekunden - Wo es passiert: auf einer Website, die eine bestimmte Gruppe besucht (Verwaltung, Branche, Region), bei ganz normalem Surfen [1]. - Was der Angreifer will: Code auf dem Rechner des Opfers ausführen, was ihm oft Zugang zu Systemen im internen Netz verschafft [1]. - Der Reflex: Browser und Erweiterungen aktuell halten und jede „Aktualisierung“, die eine Webseite anbietet, ablehnen, gleich auf welcher Website. - Wenn es schon passiert ist: sofort die IT- oder Sicherheitsabteilung informieren, auch wenn nichts Auffälliges zu sehen ist. ## Direkte Fragen ### Was ist ein Watering-Hole-Angriff? Die Quellen beschreiben den Fall, dass die vom Angreifer genutzte Website häufig von einer Gruppe besucht wird (Regierung, Branche, Region). Ziel ist es, einen Nutzer oder eine Gruppe von Nutzern über ein gemeinsames Interesse zu kompromittieren. Diese gezielte Kampagne heißt „strategic web compromise“ oder „watering hole attack“ [1]. Sie gehört zur größeren Familie des „drive-by compromise“: Das Opfer besucht eine Website bei normalem Surfen [1]. ### Muss man auf etwas klicken, um sich zu infizieren? Nicht immer. Der Browser ist in der Regel das Ziel der Ausnutzung, und diese erfordert oft keine weitere Handlung, sobald die Seite geöffnet ist [2]. In anderen Fällen muss der Nutzer mithelfen, indem er Skripte, Benachrichtigungen oder aktive Komponenten aktiviert oder Warndialoge ignoriert [1]. ### Kann eine bekannte, vertrauenswürdige Website wirklich manipuliert sein? Ja, das ist das Prinzip. Der Angreifer kompromittiert eine legitime Website, um Schadcode einzuschleusen [1]. Er kann auch Skriptdateien verändern, die der Website aus einem online frei beschreibbaren Speicherplatz bereitgestellt werden, oder manipulierte Werbung bei legitimen Werbenetzwerken kaufen [1]. ### Genügt ein aktueller Browser? Nein, aber er senkt das Risiko. Werden alle Browser und Plugins aktualisiert, kann das die Phase der Ausnutzung verhindern [1]. MITRE weist außerdem darauf hin, dass Schutzmaßnahmen gegen Ausnutzung von der Architektur und der betroffenen Software abhängen und dass Sandboxes umgangen werden können [1]. ## In der Haut des Angreifers Der Angreifer wählt zunächst einen Ort, an dem sich das Ziel aufhält: eine Website, die von einer Branche, einem Tätigkeitsfeld oder einer Region besucht wird [2]. Danach bereitet er die Umgebung vor. Die manipulierten Inhalte können auf Infrastruktur liegen, die er erworben oder bereits kompromittiert hat [2]. Er kann auch Domains kaufen, die legitimen Domains ähneln (Homoglyphen, absichtliche Tippfehler, andere Endung) [2]. Dann schleust er Code in die Website ein: Skripte in Seiten oder in Inhalten, die Nutzer bearbeiten können, etwa Forenbeiträge [2]. Er kann auch Skripte hinzufügen, die den Browser des Besuchers untersuchen, um vor dem Angriff zu prüfen, ob er verwundbar ist [2]. Eine Gruppe soll Code in Websites eingebettet haben, um die IP-Adresse eines Besuchers zu prüfen und dessen Browser nur dann anzugreifen, wenn er von Interesse ist [2]. Diese Vorbereitung findet weitgehend außerhalb des Blickfelds der betroffenen Organisation statt, was ihre Erkennung erschwert [2]. Auch legitime Webdienste dienen als Zwischenstation: So haben kompromittierte WordPress-Seiten schädliche Nutzlasten zum Herunterladen bereitgehalten [3]. ## Was Sie auf dem Bildschirm sehen Die Skripte laufen automatisch ab [1]. Sie suchen in der Regel nach der Version des Browsers und der Plugins, um eine verwundbare Version zu finden [1]. In manchen Fällen ist ein zweiter Besuch nötig, bevor der Exploit-Code eintrifft [1]. Einige sichtbare Anzeichen gibt es dennoch. Eine Seite kann dazu auffordern, Skripte oder Benachrichtigungen zu aktivieren, oder dazu drängen, eine Warnung zu ignorieren [1]. Mit einem Klick auf „Zulassen“ bei Browser-Benachrichtigungen kann ein Nutzer einer Website erlauben, JavaScript in seinem Browser auszuführen [1]. Manche Kampagnen setzen gefälschte Browser-Updates als Köder ein: So bei SocGholish, das über kompromittierte Websites verbreitet wird, deren Inhalt sich als Browser-Update ausgibt [1]. ## Unter der Haube Hier folgt eine entschärfte Illustration mit einer fiktiven Adresse unter `.invalid`. Sie funktioniert nicht. ```text [Legitime Seite einer Branchen-Website] ... übliche Inhalte der Website ... [vom Angreifer hinzugefügtes verborgenes Element, Größe null] [es lädt im Hintergrund eine Seite von hxxps://beispiel[.]invalid/] ``` Die typische Kette verläuft laut MITRE ATT&CK in vier Schritten. Der Nutzer besucht die Website, die den Inhalt des Angreifers hostet. Skripte laufen ab und suchen nach den Versionen von Browser und Plugins. Wird eine verwundbare Version gefunden, wird der Exploit-Code ausgeliefert. Gelingt die Ausnutzung, erlangt der Angreifer Codeausführung auf dem Rechner, sofern keine weiteren Schutzmaßnahmen bestehen [1]. Das Ziel unterscheidet sich von einem Angriff auf einen aus dem Internet erreichbaren Server: Hier wird Software auf dem Arbeitsplatzrechner ausgenutzt, was oft Zugang zu Systemen im internen Netz verschafft [1]. Browser sind ein häufiges Ziel der clientseitigen Ausnutzung, ebenso verbreitete Drittanwendungen in Unternehmen, zum Beispiel Adobe Reader und Flash [4]. Auf der Abwehrseite nennen die Quellen Browser-Sandboxes, die einen Teil der Auswirkungen abschwächen (Ausbrüche aus der Sandbox existieren) [1], Werbe- und Skriptblocker sowie das Abschalten der Browser-Benachrichtigungen [1]. Das britische NCSC ergänzt, dass die meisten modernen Browser bekannte Phishing- und Schadsoftware-Seiten blockieren, auf Mobilgeräten aber nicht immer [5]. Es empfiehlt außerdem, nur unterstützte und aktuelle Software zu verwenden und nicht mit einem Administratorkonto im Web zu surfen [5]. ## Fallanalysen ### Forbes.com, 2014 APT19 führte 2014 einen Watering-Hole-Angriff auf forbes.com durch, um seine Ziele zu kompromittieren [1]. Die Quellen nennen zu dieser Episode keine weiteren Einzelheiten. ### Operation Dust Storm, Ausnutzung von CVE-2014-0322 Bei der Operation Dust Storm setzten die Angreifer einen Watering-Hole-Angriff gegen einen beliebten Software-Händler ein. Sie nutzten eine damals öffentlich unbekannte Schwachstelle des Internet Explorer (Zero-Day), CVE-2014-0322 [1]. Die Quelle nennt kein Datum der Kampagne. ### Anmeldeseite einer israelischen Reederei, bis November 2021 In der Kampagne C0010 kompromittierten die Angreifer die Anmeldeseite einer legitimen israelischen Reederei und richteten wahrscheinlich ein Watering Hole ein, das Informationen über Besucher sammelte [2]. Dieses Watering Hole wird als mindestens bis November 2021 aktiv beschrieben [1]. ## Quellen 1. MITRE ATT&CK, „Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1189/ (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1608/004/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1584/006/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1203/ (abgerufen am 3. November 2026) 5. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.