Threat-Informed Defense

Threat-Informed Defense richtet Sicherheitsstrategie und Maßnahmen am realen technischen Vorgehen der Angreifer aus, die eine Organisation tatsächlich bedrohen. Der Ansatz beantwortet drei Fragen: Wer greift uns wie an? Was tun wir, um uns dagegen zu schützen? Und woher wissen wir, dass unsere Maßnahmen wirklich wirken?

Deutsche Unternehmen geben Jahr für Jahr mehr für IT-Sicherheit aus – und werden trotzdem häufiger getroffen, bei immer höheren Schäden. Laut der Bitkom-Studie Wirtschaftsschutz 2025 entstand der deutschen Wirtschaft binnen eines Jahres ein Gesamtschaden von 289,2 Milliarden Euro durch Datendiebstahl, Spionage und Sabotage; 202,4 Milliarden Euro davon – rund 70 Prozent – gehen auf Cyberangriffe zurück. Ransomware verursachte dabei in 34 Prozent der Unternehmen Schäden und bleibt die gefährlichste Einzelbedrohung.

Das Bundeslagebild Cybercrime 2025 des Bundeskriminalamts bestätigt den Trend: 1.041 Ransomware-Angriffe wurden den Polizeien gemeldet, zehn Prozent mehr als im Vorjahr – bei einem erheblich größeren Dunkelfeld. Dazu kommt die wachsende Rolle von Cyberoperationen in der hybriden Kriegsführung, die gezielt gesellschaftliche und wirtschaftliche Strukturen destabilisieren sollen.

Die Schlussfolgerung ist unbequem: Steigende Investitionen führen nicht automatisch zu mehr Resilienz. Wer sein Sicherheitsprogramm nicht am tatsächlichen technischen Verhalten der Angreifer ausrichtet, die ihn bedrohen, verteilt Budget mit der Gießkanne – und lässt genau die Lücken offen, die Angreifer tatsächlich nutzen.

Threat-Informed Defense richtet Sicherheitsstrategie und Maßnahmen am realen technischen Vorgehen der Angreifer aus, die eine Organisation tatsächlich bedrohen. Der Ansatz beantwortet drei Fragen: Wer greift uns wie an? Was tun wir, um uns dagegen zu schützen? Und woher wissen wir, dass unsere Maßnahmen wirklich wirken?

Threat-Informed Defense ist kein Produkt und kein Projekt, sondern ein fortlaufender Kreislauf aus drei Phasen: Cyber Threat Intelligence beantwortet, wer die Organisation wie angreift. Defensive Measures richtet die Schutz- und Erkennungsmaßnahmen gezielt gegen genau diese Techniken aus. Testing & Evaluation belegt, dass die Maßnahmen wirklich wirken – und speist die Erkenntnisse zurück in den nächsten Durchlauf.

Vorangetrieben wird der Ansatz von der internationalen Cybersecurity-Community – allen voran von der MITRE Corporation und dem Center for Threat-Informed Defense, zu dessen Gründungsmitgliedern neben MITRE unter anderem Microsoft, Amazon Web Services und IBM zählen. Das Center bündelt Forschung und frei verfügbare Werkzeuge, vom Projekt M3TID (Measure, Maximize, and Mature Threat-Informed Defense), dessen drei Dimensionen genau diesen Phasen entsprechen, bis zur Adversary Emulation Library für realitätsnahe Angriffssimulationen.

Warum richtet Threat-Informed Defense den Blick auf Verhaltensweisen statt auf klassische Erkennungsmerkmale? Angreifer passen ihre Vorgehensweisen kontinuierlich an, um möglichst lange unentdeckt zu bleiben. Erkennungsmerkmale wie IP-Adressen, Domains und Hash-Werte von Dateien zu ändern, fällt ihnen leicht. Ihre grundlegenden technischen Ziele und Verhaltensweisen – die sogenannten Tactics, Techniques and Procedures (TTPs) – lassen sich dagegen nur sehr schwer verschleiern.

Genau diese Asymmetrie veranschaulicht die Pyramid of Pain des Sicherheitsforschers David J. Bianco: Sie ordnet Angriffsindikatoren danach, wie viel Aufwand und Schmerz es Angreifer kostet, sie zu ändern oder zu verschleiern, sobald Verteidiger sie ins Visier nehmen. Ein Datei-Hash ändert sich mit jedem Neukompilieren, IP-Adressen und Domains sind in Minuten ersetzt – wer seine Verteidigung vor allem darauf stützt, spielt ein Katz-und-Maus-Spiel, das der Angreifer immer gewinnt. Wer ihm dagegen seine TTPs nimmt, zwingt ihn, sein Vorgehen neu zu erfinden: Das ist teuer, langsam und fehleranfällig. TTPs sind deshalb das Mittel der Wahl, um Angreifer zu verstehen und sich wirksam gegen sie zu schützen – Threat-Informed Defense setzt an der Spitze der Pyramide an.

Um TTPs systematisch zu erfassen, braucht es eine gemeinsame Sprache. Das MITRE ATT&CK Framework strukturiert das Wissen über Angreiferverhalten aus real beobachteten Angriffen:

Taktik

Das Ziel des Angreifers in einer Angriffsphase – etwa initialen Zugriff erlangen, Verteidigung umgehen oder Daten verschlüsseln.

Technik

Die technische Vorgehensweise, mit der er dieses Ziel erreicht – etwa das Ausnutzen einer öffentlich erreichbaren Anwendung.

Sub-Technik

Eine spezifischere Ausprägung einer Technik – etwa das gezielte Abschalten von Sicherheitswerkzeugen.

Prozedur

Die konkrete Umsetzung: wie und in welcher Reihenfolge ein bestimmter Angreifer Techniken tatsächlich einsetzt.

In der aktuellen Version 18 (Oktober 2025) umfasst die Enterprise-Matrix 14 Taktiken mit 216 Techniken und 475 Sub-Techniken. Neu seit v18: Statt einfacher Erkennungshinweise liefert das Framework strukturierte Detection Strategies mit über 1.700 konkreten Analytics – ein erheblicher Praxisgewinn für den Aufbau wirksamer Erkennung.

Der ATT&CK Navigator visualisiert diese TTPs in Form einer Tabelle: Jede Taktik entspricht einer Spalte, Techniken und Sub-Techniken den Zeilen darunter. In Anlehnung an den typischen Ablauf eines Cyberangriffs (vgl. Cyber Kill Chain) sind die Taktiken chronologisch angeordnet. So wird sichtbar, welche Techniken für die eigene Bedrohungslage relevant sind und wo die eigene Abdeckung steht.

Gepflegt wird das Framework von einer weltweiten Community rund um MITRE und das Center for Threat-Informed Defense – von Konzernen wie Microsoft und Amazon Web Services über internationale und nationale Cybersicherheitsbehörden wie das deutsche BSI bis zu kleineren Unternehmen und Einzelpersonen. Sie teilen Analysen realer Cyberangriffe und stellen sicher, dass ATT&CK kontinuierlich erweitert wird und neben der Kategorisierung der TTPs konkrete Zusatzinformationen bietet.

Wie der Kreislauf konkret funktioniert, zeigt ein Bedrohungsszenario, das praktisch jede Organisation betrifft: Ransomware. Das Bundeslagebild Cybercrime 2025 des BKA zählt rund 100 verschiedene Ransomware-Familien gegen deutsche Ziele; die aktivsten waren Akira, SafePay, INC/Lynx, LockBit und Qilin. 292 deutsche Geschädigte wurden auf Leak-Seiten öffentlich erpresst – 88 Prozent mehr als im Vorjahr. Zwar zahlten nur noch 7 Prozent der Betroffenen Lösegeld, die durchschnittliche Zahlung stieg jedoch um 65 Prozent auf umgerechnet rund 456.000 US-Dollar.

Phase I – Cyber Threat Intelligence: Wer greift uns wie an? Für die in Deutschland aktivste Gruppe Akira liefert das gemeinsame Advisory von FBI, CISA, Europol und deutschen Sicherheitsbehörden (AA24-109A, aktualisiert im November 2025) die TTPs aus realen Ermittlungen, abgebildet auf ATT&CK v18. Bis Ende September 2025 hat die Gruppe rund 244 Millionen US-Dollar erbeutet. Ihr Vorgehen folgt dabei einem Muster, das sich durch die gesamte Ransomware-Landschaft zieht:

Bei der Auswahl und Priorisierung relevanter TTPs helfen auch Projekte des Center for Threat-Informed Defense: Das Sightings Ecosystem hat über 1,6 Millionen Beobachtungen realer Angriffe ausgewertet und daraus die am häufigsten eingesetzten Techniken identifiziert; mit dem Top ATT&CK Techniques Calculator ermitteln Organisationen anhand weniger Angaben die für sie relevanten Techniken. Ein bewährtes Priorisierungsschema: Zuerst kommen die Techniken an die Reihe, die möglichst viele relevante Angreifer einsetzen.

Phase II – Defensive Measures: Was tun wir, um uns zu schützen? Für jede dieser Techniken liefert das ATT&CK Framework erprobte Gegenmaßnahmen, die sich direkt priorisieren lassen: Multi-Faktor-Authentisierung auf ausnahmslos allen Remote-Zugängen (T1078/T1133), konsequentes Patchen der von Angreifern aktiv ausgenutzten Schwachstellen auf Edge-Systemen (T1190), Manipulationsschutz im Endpoint-Schutz und eingeschränkte Administratorrechte (T1562.001), überwachter Datenabfluss (T1048) sowie Offline-Backups, die Angreifer nicht löschen können (T1490). Was davon umgesetzt wird, entscheidet die Organisation nach Wirkung, Aufwand und Risikoappetit.

Wie konkret diese Hilfestellung ausfällt, zeigt die Technik „Disable or Modify Tools" (T1562.001): Gegen das Abschalten von Sicherheitswerkzeugen definiert das Framework zwei Arten erprobter Maßnahmen:

Schutzmaßnahmen (Mitigations)

Benutzerrechte einschränken, damit sicherheitsrelevante Werkzeuge nicht deaktiviert oder modifiziert werden können; Richtlinien, die den Zugang zu diesen Werkzeugen begrenzen und ihre Verwendung überwachen; regelmäßige Überprüfung der Sicherheitskonfigurationen; Endpoint-Schutz mit Manipulationsschutz (Tamper Protection).

Erkennungsmaßnahmen (Detections)

Änderungen an sicherheitsrelevanten Werkzeugen und Systemdateien überwachen; ungewöhnliche Aktivitäten erkennen, die auf Deaktivierung oder Manipulation hindeuten; Integritätsprüfungen sicherheitsrelevanter Dateien und Programme; Analyse von Logs und Ereignissen auf Manipulationsversuche.

Weitere Hilfestellung liefern die Center-Projekte „Summiting the Pyramid" – Erkennungslogik, die Angreifer nicht einfach umgehen können – und „Controls Mapping", das die Maßnahmen mit Standards wie NIST 800-53 und ISO 27001 abgleicht, sowie die seit ATT&CK v18 verfügbaren Detection Strategies und Analytics mit konkreter Erkennungslogik je Technik.

Phase III – Testing & Evaluation: Woher wissen wir, dass unsere Maßnahmen wirken? Belegen statt vermuten – und das muss nicht teuer sein. Ein Einstieg mit Bordmitteln: Fachkundige Administratoren prüfen, ob sich der Endpoint-Schutz in verschiedenen Benutzerkontexten außerplanmäßig beenden lässt, ob wirklich jeder Remote-Zugang MFA erzwingt und ob die Wiederherstellung aus dem Offline-Backup tatsächlich funktioniert. Organisationen mit höherem Reifegrad testen strukturiert: Penetrationstests oder Breach-and-Attack-Simulationen entlang der realen Angriffskette – Initial Access, Defense Evasion, Exfiltration, Impact. Getestet werden sollte immer auch die organisatorische Seite: Wurde der Angriffsversuch erkannt, gemeldet und nach definiertem Prozess behandelt? Die Ergebnisse fließen zurück in Phase I – der Kreislauf beginnt von vorn.

Durch die strukturierte Analyse der Verhaltensweisen relevanter Angreifer ermöglicht Threat-Informed Defense eine punktgenaue Steuerung der Investitionen in Cybersicherheit. Wer die TTPs aktueller und potenzieller Angreifer kontinuierlich überwacht und bewertet, kann seine Sicherheitsstrategie dynamisch anpassen und die eigene Resilienz messbar stärken.

Der Ansatz ist niederschwellig und auch für Organisationen mit niedrigerem Reifegrad anwendbar: Die gezeigten Beispiele funktionieren unabhängig von Größe und Budget. Integriert in ein umfassendes Sicherheitskonzept, das auch Awareness und Basishygiene umfasst, löst Threat-Informed Defense die Divergenz zwischen steigenden Investitionen und echter Resilienz auf.