Cyberpediavon Brain
DEENFR

Watering-Hole-Angriff

Eine Website, die Sie jede Woche besuchen, kann manipuliert sein. So funktioniert der Watering-Hole-Angriff, woran man ihn erkennt und was schützt.

In 30 Sekunden

Wo es passiert
Auf einer Website, die eine bestimmte Gruppe besucht (Verwaltung, Branche, Region), bei ganz normalem Surfen1.
Was der Angreifer will
Code auf dem Rechner des Opfers ausführen, was ihm oft Zugang zu Systemen im internen Netz verschafft1.
Der Reflex
Browser und Erweiterungen aktuell halten und jede „Aktualisierung“, die eine Webseite anbietet, ablehnen, gleich auf welcher Website.
Wenn es schon passiert ist
Sofort die IT- oder Sicherheitsabteilung informieren, auch wenn nichts Auffälliges zu sehen ist.

Worum es geht

Bei einem Watering-Hole-Angriff (auf Deutsch etwa „Wasserloch-Angriff“) nimmt der Angreifer keinen Kontakt zum Opfer auf. Er manipuliert eine Website, die das Opfer ohnehin besucht: Er schleust Schadcode ein und wartet, bis die Besucher von selbst kommen.

Für Beschäftigte liegt die Gefahr in diesem Vertrauen. Die Website ist bekannt, nützlich für die Arbeit, und nichts deutet darauf hin, dass sie sich verändert hat. Dieser Artikel beschreibt den Mechanismus, was man bemerken kann und was den Schaden begrenzt.

Direkte Fragen

Was ist ein Watering-Hole-Angriff?

Die Quellen beschreiben den Fall, dass die vom Angreifer genutzte Website häufig von einer Gruppe besucht wird (Regierung, Branche, Region). Ziel ist es, einen Nutzer oder eine Gruppe von Nutzern über ein gemeinsames Interesse zu kompromittieren. Diese gezielte Kampagne heißt „strategic web compromise“ oder „watering hole attack“1. Sie gehört zur größeren Familie des „drive-by compromise“: Das Opfer besucht eine Website bei normalem Surfen1.

Muss man auf etwas klicken, um sich zu infizieren?

Nicht immer. Der Browser ist in der Regel das Ziel der Ausnutzung, und diese erfordert oft keine weitere Handlung, sobald die Seite geöffnet ist2. In anderen Fällen muss der Nutzer mithelfen, indem er Skripte, Benachrichtigungen oder aktive Komponenten aktiviert oder Warndialoge ignoriert1.

Kann eine bekannte, vertrauenswürdige Website wirklich manipuliert sein?

Ja, das ist das Prinzip. Der Angreifer kompromittiert eine legitime Website, um Schadcode einzuschleusen1. Er kann auch Skriptdateien verändern, die der Website aus einem online frei beschreibbaren Speicherplatz bereitgestellt werden, oder manipulierte Werbung bei legitimen Werbenetzwerken kaufen1.

Genügt ein aktueller Browser?

Nein, aber er senkt das Risiko. Werden alle Browser und Plugins aktualisiert, kann das die Phase der Ausnutzung verhindern1. MITRE weist außerdem darauf hin, dass Schutzmaßnahmen gegen Ausnutzung von der Architektur und der betroffenen Software abhängen und dass Sandboxes umgangen werden können1.

1In der Haut des Angreifers1 min

Der Angreifer wählt zunächst einen Ort, an dem sich das Ziel aufhält: eine Website, die von einer Branche, einem Tätigkeitsfeld oder einer Region besucht wird2. Danach bereitet er die Umgebung vor. Die manipulierten Inhalte können auf Infrastruktur liegen, die er erworben oder bereits kompromittiert hat2. Er kann auch Domains kaufen, die legitimen Domains ähneln (Homoglyphen, absichtliche Tippfehler, andere Endung)2.

Dann schleust er Code in die Website ein: Skripte in Seiten oder in Inhalten, die Nutzer bearbeiten können, etwa Forenbeiträge2. Er kann auch Skripte hinzufügen, die den Browser des Besuchers untersuchen, um vor dem Angriff zu prüfen, ob er verwundbar ist2. Eine Gruppe soll Code in Websites eingebettet haben, um die IP-Adresse eines Besuchers zu prüfen und dessen Browser nur dann anzugreifen, wenn er von Interesse ist2.

Diese Vorbereitung findet weitgehend außerhalb des Blickfelds der betroffenen Organisation statt, was ihre Erkennung erschwert2. Auch legitime Webdienste dienen als Zwischenstation: So haben kompromittierte WordPress-Seiten schädliche Nutzlasten zum Herunterladen bereitgehalten3.

2Was Sie auf dem Bildschirm sehen1 min

Die Skripte laufen automatisch ab1. Sie suchen in der Regel nach der Version des Browsers und der Plugins, um eine verwundbare Version zu finden1. In manchen Fällen ist ein zweiter Besuch nötig, bevor der Exploit-Code eintrifft1.

Einige sichtbare Anzeichen gibt es dennoch. Eine Seite kann dazu auffordern, Skripte oder Benachrichtigungen zu aktivieren, oder dazu drängen, eine Warnung zu ignorieren1. Mit einem Klick auf „Zulassen“ bei Browser-Benachrichtigungen kann ein Nutzer einer Website erlauben, JavaScript in seinem Browser auszuführen1. Manche Kampagnen setzen gefälschte Browser-Updates als Köder ein: So bei SocGholish, das über kompromittierte Websites verbreitet wird, deren Inhalt sich als Browser-Update ausgibt1.

3Unter der HaubeIT-Teams1 min

Hier folgt eine entschärfte Illustration mit einer fiktiven Adresse unter .invalid. Sie funktioniert nicht.

Auszug
[Legitime Seite einer Branchen-Website]
  ... übliche Inhalte der Website ...
  [vom Angreifer hinzugefügtes verborgenes Element, Größe null]
  [es lädt im Hintergrund eine Seite von hxxps://beispiel[.]invalid/]

Die typische Kette verläuft laut MITRE ATT&CK in vier Schritten. Der Nutzer besucht die Website, die den Inhalt des Angreifers hostet. Skripte laufen ab und suchen nach den Versionen von Browser und Plugins. Wird eine verwundbare Version gefunden, wird der Exploit-Code ausgeliefert. Gelingt die Ausnutzung, erlangt der Angreifer Codeausführung auf dem Rechner, sofern keine weiteren Schutzmaßnahmen bestehen1.

Das Ziel unterscheidet sich von einem Angriff auf einen aus dem Internet erreichbaren Server: Hier wird Software auf dem Arbeitsplatzrechner ausgenutzt, was oft Zugang zu Systemen im internen Netz verschafft1. Browser sind ein häufiges Ziel der clientseitigen Ausnutzung, ebenso verbreitete Drittanwendungen in Unternehmen, zum Beispiel Adobe Reader und Flash4.

Auf der Abwehrseite nennen die Quellen Browser-Sandboxes, die einen Teil der Auswirkungen abschwächen (Ausbrüche aus der Sandbox existieren)1, Werbe- und Skriptblocker sowie das Abschalten der Browser-Benachrichtigungen1. Das britische NCSC ergänzt, dass die meisten modernen Browser bekannte Phishing- und Schadsoftware-Seiten blockieren, auf Mobilgeräten aber nicht immer5. Es empfiehlt außerdem, nur unterstützte und aktuelle Software zu verwenden und nicht mit einem Administratorkonto im Web zu surfen5.

4FallanalysenReale Fälle1 min

Forbes.com, 2014

APT19 führte 2014 einen Watering-Hole-Angriff auf forbes.com durch, um seine Ziele zu kompromittieren1. Die Quellen nennen zu dieser Episode keine weiteren Einzelheiten.

Operation Dust Storm, Ausnutzung von CVE-2014-0322

Bei der Operation Dust Storm setzten die Angreifer einen Watering-Hole-Angriff gegen einen beliebten Software-Händler ein. Sie nutzten eine damals öffentlich unbekannte Schwachstelle des Internet Explorer (Zero-Day), CVE-2014-03221. Die Quelle nennt kein Datum der Kampagne.

Anmeldeseite einer israelischen Reederei, bis November 2021

In der Kampagne C0010 kompromittierten die Angreifer die Anmeldeseite einer legitimen israelischen Reederei und richteten wahrscheinlich ein Watering Hole ein, das Informationen über Besucher sammelte2. Dieses Watering Hole wird als mindestens bis November 2021 aktiv beschrieben1.

Merkblatt

Kennung
CP-027
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Social Engineering durchschauen (outsmart_social_engineering)
Brain-Reflex
cr-046
Schema
G5 · Entscheidungsbaum Reflex
Sprachen
de, en, fr
Quellen
5 Quellen geprüft am 3. November 2026
Quellen5 Quellen
  1. MITRE ATT&CK, „Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1189/ (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1608/004/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1584/006/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1203/ (abgerufen am 3. November 2026)
  5. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Watering-Hole-Angriff“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/

BibTeX 
@misc{brain_cp027_de_2026,
  author = {Brain},
  title = {Watering-Hole-Angriff},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0