Threat Intelligence verschiebt den Verteidigungsfokus von reaktiv zu proaktiv: Statt auf Angriffe zu warten, verstehen wir die Angreifer, ihre Methoden und ihre Ziele — bevor sie zuschlagen.
CTI-Grundlagen & Lifecycle — von Daten zu Intelligence
Der CTI-Lifecycle besteht aus 6 Phasen: 1. Direction (Anforderungen definieren: Was will das Unternehmen wissen? Welche Threat Actors sind relevant?), 2. Collection (Daten sammeln: OSINT, HUMINT, technische Feeds, Dark Web, Information Sharing), 3. Processing (Rohdaten strukturieren: IOCs extrahieren, STIX-Objekte erstellen, Duplikate eliminieren), 4. Analysis (Kontext hinzufügen: Wer steckt dahinter? Wie relevant ist die Bedrohung für UNS? Was ist die Handlungsempfehlung?), 5. Dissemination (Intelligence verteilen: Strategisch an Management, operativ an SOC, taktisch an SIEM/EDR), 6. Feedback (War die Intelligence nützlich? Anforderungen anpassen). Die drei Ebenen von CTI: Strategisch (Trends, Geopolitik, Branchenbedrohungen — für CISO/Management), Operativ (Kampagnen, TTPs, Threat-Actor-Profile — für SOC-Manager), Taktisch (IOCs — IPs, Domains, Hashes — für SIEM/Firewall/EDR).
- Threat-Actor-Klassifikation & Attribution: APT-Gruppen (Advanced Persistent Threat) — staatlich gesponserte Akteure mit Fokus auf Spionage und Sabotage: APT28/Fancy Bear (Russland/GRU — Regierungen, Militär, Wahlen), APT29/Cozy Bear (Russland/SVR — SolarWinds-Angriff 2020), APT41/Winnti (China — Doppelrolle: Spionage + finanziell motiviert), Lazarus Group (Nordkorea — Kryptowährungsdiebstahl, WannaCry), Sandworm (Russland/GRU — Industroyer, NotPetya). Cybercrime-Gruppen: LockBit, BlackSuit/Royal, Cl0p, ALPHV/BlackCat (Ransomware-as-a-Service). Initial Access Broker (IAB): Spezialisierte Akteure, die Netzwerkzugänge (VPN-Credentials, RDP-Zugriff, Webshells) kompromittieren und im Darknet an Ransomware-Gruppen verkaufen (Preise: 500–100.000 USD je nach Unternehmensgröße und Zugangstiefe).
- MITRE ATT&CK — die Sprache der Threat Intelligence: MITRE ATT&CK ist die universelle Wissensbasis gegnerischer Techniken, organisiert in: Tactics (das „Warum“ — Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, Exfiltration, Command and Control, Impact). Techniques (das „Wie“ — z. B. T1566: Phishing, T1059: Command and Scripting Interpreter). Sub-Techniques (das „Wie genau“ — z. B. T1566.001: Spearphishing Attachment). Groups (welcher Threat Actor nutzt welche Techniques). Software (Malware und Tools — Cobalt Strike, Mimikatz, BloodHound). Nutzen für CTI: Jede Bedrohungsinformation wird auf ATT&CK-Techniken gemappt → SIEM/EDR-Regeln können gezielt gegen bekannte TTPs erstellt werden. ATT&CK Navigator: Visuelle Heat Map — zeigt, welche Techniken das SOC erkennen kann und wo Gaps sind.
- Diamond Model & Kill Chain — Analyse-Frameworks: Diamond Model of Intrusion Analysis — jeder Angriff hat 4 Eckpunkte: Adversary (Wer?), Infrastructure (C2-Server, Domains, IPs), Capability (Malware, Exploits, Tools), Victim (Zielorganisation, -system, -person). Die Kanten verbinden die Eckpunkte: Adversary nutzt Infrastructure und Capability gegen Victim. Pivoting: Von einem bekannten IOC (z. B. einer C2-IP) auf andere Eckpunkte schließen — welche anderen Domains sind auf derselben IP? Welche Malware kommuniziert mit dieser IP? Welche anderen Opfer? Cyber Kill Chain (Lockheed Martin): Reconnaissance → Weaponization → Delivery → Exploitation → Installation → C2 → Actions on Objectives. Verteidigungsstrategie: Je früher in der Kill Chain ein Angriff erkannt wird, desto geringer der Schaden. Ideale Erkennung: Reconnaissance-Phase (OSINT-Monitoring: wird unser Unternehmen auf Darknet-Foren erwähnt?).
- IOC-Typen & Pyramide of Pain: Die Pyramid of Pain (David Bianco) klassifiziert IOCs nach dem Aufwand, den ein Angreifer hat, sie zu ändern: Hash Values (unterste Stufe — trivial zu ändern: ein Byte im Binary ändern = neuer Hash). IP Addresses (leicht — neuen Server mieten). Domain Names (einfach — neue Domain registrieren, DGA). Network/Host Artifacts (mittel — User-Agent-Strings, Mutex-Namen, Registry-Keys). Tools (schwierig — neues Tool entwickeln oder anpassen). TTPs (oberste Stufe — am schwierigsten zu ändern: Die Art und Weise, WIE ein Angreifer vorgeht, ist sein „Fingerabdruck“). Konsequenz für CTI: IOCs auf Hash-Ebene haben nur Stunden bis Tage Gültigkeit. TTP-basierte Detections (Sigma-Regeln, die Verhaltensweisen erkennen) bleiben Monate bis Jahre wirksam.
Darknet & Underground Economy — der Marktplatz der Cyberkriminalität
Das Darknet ist der Teil des Internets, der über anonymisierende Netzwerke (Tor, I2P) erreichbar ist und nicht von Suchmaschinen indexiert wird. Für Threat Intelligence ist das Darknet eine primäre Informationsquelle: Hier werden gestohlene Daten gehandelt, Ransomware-Gangs posten ihre Leak-Sites, Zero-Day-Exploits werden verkauft und Initial Access Broker bieten Unternehmenszugänge an. 2026 hat sich ein erheblicher Teil der cyberkriminellen Kommunikation von Darknet-Foren auf Telegram-Kanäle verlagert (schneller, einfacher, weniger Takedowns). Die Underground Economy ist hochprofessionalisiert: Spezialisierung (Phisher, Exploiter, IAB, Ransomware-Operator), Reputation-Systeme (Escrow-Services, Bewertungen), Arbitrage (bei Streitigkeiten zwischen Käufer und Verkäufer entscheidet ein Forum-Admin).
- Darknet-Marktplätze & Foren 2026: Ransomware Leak Sites (Tor Hidden Services): Jede Ransomware-Gruppe betreibt eine eigene Leak-Site, auf der gestohlene Daten veröffentlicht werden, wenn das Opfer nicht zahlt. LockBit, BlackSuit, Cl0p, Play, 8Base — täglich werden 5–15 neue Opfer gepostet. Underground-Foren: BreachForums (Nachfolger von RaidForums — Datenbank-Dumps, Credential-Leaks), XSS.is und Exploit.in (russischsprachig — Zero-Day-Handel, Malware-Entwicklung, IAB), Cracked.io (Stealer-Logs, gecrackte Software). Telegram-Kanäle: Stealer-Log-Vertrieb (RedLine, Raccoon, Vidar — Millionen gestohlener Credentials, Cookies, Autofill-Daten, Krypto-Wallets), Combolist-Sharing (E-Mail:Password-Kombinationen für Credential Stuffing), IAB-Angebote („VPN-Zugang zu deutschem Unternehmen, 500 Endpoints, Citrix — 15.000 USD“).
- Initial Access Broker (IAB) — die Türöffner: Initial Access Broker sind spezialisierte Cyberkriminelle, die Netzwerkzugänge kompromittieren und weiterverkaufen: Sie exploiten VPN-Gateways (Ivanti, Fortinet, Citrix), führen Phishing-Kampagnen durch, nutzen RDP-Brute-Force oder kaufen Stealer-Logs mit gültigen Credentials. Preismodell 2026: RDP-Zugang (einzelner Server): 10–100 USD. VPN-Credentials (Firmennetzwerk): 500–5.000 USD. Domain-Admin-Zugang: 5.000–50.000 USD. Große Unternehmen/KRITIS: 50.000–500.000 USD. Stealer-Logs (einzelne Credentials): 1–10 USD pro Log. Käufer sind typischerweise Ransomware-Affiliates — sie kaufen den Zugang und deployen dann die Ransomware. Diese Arbeitsteilung hat die Ransomware-Industrie extrem effizient gemacht.
- Dark Web Monitoring — eigene Daten im Darknet finden: Dark Web Monitoring überwacht Darknet-Foren, Leak-Sites, Paste-Sites und Telegram-Kanäle auf Erwähnungen des eigenen Unternehmens: Domain-Monitoring: Taucht die Firmen-Domain in Credential-Leaks auf? E-Mail-Monitoring: Sind Mitarbeiter-E-Mails in Breach-Datenbanken? Brand Monitoring: Wird das Unternehmen in Hacker-Foren erwähnt (Vorbereitung eines Angriffs)? Executive Monitoring: Persönliche Daten von C-Level (Adressen, Telefonnummern) im Darknet? IAB-Monitoring: Werden Zugänge zu unserem Netzwerk zum Verkauf angeboten? Tools: Recorded Future (kommerziell, marktführend), Flashpoint (Darknet-Intelligence), SpyCloud (Credential-Monitoring), Digital Shadows/Searchlight (Digital Risk Protection). Open Source: Have I Been Pwned (E-Mail-Check), IntelligenceX (Darknet-Suchmaschine).
- Stealer-Logs — die größte Bedrohung 2026: Infostealer-Malware (RedLine, Raccoon, Vidar, Lumma, Stealc) ist 2026 die volumetrisch größte Bedrohung: Millionen von Infektionen täglich, jede Infektion extrahiert: Browser-Passwörter (Chrome, Edge, Firefox — alle gespeicherten Passwörter), Session-Cookies (Angreifer kann sich ohne Passwort/MFA in aktive Sessions einloggen — Session Hijacking), Autofill-Daten (Adressen, Kreditkarten), Krypto-Wallets (MetaMask, Exodus), VPN/RDP-Clients (gespeicherte Zugangsdaten), Chat-Tokens (Discord, Telegram). Die Logs werden auf Telegram-Kanälen und speziellen Marktplätzen (Russian Market, Genesis Market-Nachfolger, 2easy) verkauft — 1–10 USD pro Log. Gegenmaßnahmen: Browser-Passwörter deaktivieren (Enterprise Password Manager nutzen), Session-Cookie-Lifetime verkürzen, Conditional Access Policies (nur von Managed Devices), MFA für alle Dienste (hilft nicht gegen Cookie-Theft, aber erhöht die Hürde).
Operationalisierung & Tools — CTI in die Verteidigung integrieren
Threat Intelligence ist nur dann wertvoll, wenn sie in operative Prozesse integriert wird: IOCs müssen automatisch in SIEM/Firewall/EDR einfließen, TTP-basierte Detections müssen als Sigma-Regeln im SIEM implementiert werden, und strategische Intelligence muss die Sicherheitsstrategie beeinflussen. Die Standardformate: STIX 2.1 (Structured Threat Information Expression — JSON-basiertes Format für Bedrohungsinformationen: Indicators, Malware, Threat Actors, Attack Patterns, Campaigns) und TAXII 2.1 (Trusted Automated Exchange of Intelligence Information — Transportprotokoll für STIX-Objekte: Push/Pull über HTTPS-REST-API). Plattformen: MISP (Open Source, de-facto-Standard für IOC-Sharing), OpenCTI (Open Source, STIX-nativ, Graph-basiert), TheHive (Incident-Response-Plattform mit CTI-Integration).
- MISP — die Open-Source-CTI-Plattform: MISP (Malware Information Sharing Platform) ist die meistgenutzte Open-Source-Plattform für Threat-Intelligence-Sharing: Events (Vorfälle mit Attributen: IPs, Domains, Hashes, E-Mail-Adressen, YARA-Regeln), Galaxies (MITRE ATT&CK, Threat Actors, Malware-Familien — kontextuelle Anreicherung), Taxonomien (Klassifikation: TLP, PAP, Admiraulty Code), Correlation Engine (automatische Verknüpfung von IOCs über Events hinweg), Sharing Groups (kontrollierter Austausch mit Partnerorganisationen, ISACs, CERTs). MISP-Feeds: Automatischer Import von öffentlichen IOC-Feeds (Abuse.ch, AlienVault OTX, CIRCL, CISA). Export: STIX 2.1, Snort/Suricata-Regeln, Bro/Zeek Intel, YARA-Regeln, CSV — direkte Integration in SIEM/IDS.
- CTI-Feeds & Datenquellen: Kommerzielle Feeds: Recorded Future (umfassendste Plattform — NLP-basierte Analyse von Darknet, Social Media, technischen Quellen, 100+ Sprachen), Mandiant/Google Threat Intelligence (Incident-Response-Erfahrung, APT-Tracking), CrowdStrike Falcon Intelligence (EDR-Telemetrie-basierte Intelligence von Millionen Endpoints). Open-Source-Feeds: Abuse.ch (URLhaus, MalwareBazaar, ThreatFox, Feodo Tracker — exzellente IOCs), AlienVault OTX (Community-basierte Pulse mit IOCs), CISA KEV (Known Exploited Vulnerabilities — aktiv ausgenutzte Schwachstellen), PhishTank (Phishing-URLs), GreyNoise (Internet-Hintergrundrauschen — unterscheidet gezielte Scans von Mass-Scanning). ISACs (Information Sharing and Analysis Centers): Branchenspezifische Intelligence-Sharing-Gruppen (FS-ISAC für Finanzsektor, H-ISAC für Gesundheit, E-ISAC für Energie).
- CTI-Integration in SOC-Workflows: Automatisierte IOC-Blockierung: CTI-Feed → MISP/OpenCTI → SIEM (Sentinel/Splunk) — IOCs werden als Watchlists/Threat Intelligence Indicators importiert und automatisch mit Log-Daten korreliert. Treffer generieren High-Priority-Alerts. Firewall/Proxy-Blockierung: Bekannte C2-Domains und -IPs werden automatisch auf der Firewall/dem Web-Proxy blockiert (Palo Alto MineMeld, CrowdStrike Falcon Intelligence Gateway). EDR-Integration: IOC-Hashes als Custom Indicators in CrowdStrike/Defender for Endpoint — sofortige Erkennung und Quarantäne. TTP-basierte Detections: Nicht nur IOCs, sondern Verhaltens-Detections basierend auf ATT&CK-Techniken — z. B. „APT29 nutzt T1059.001 (PowerShell) + T1547.001 (Registry Run Key) + T1071.001 (HTTP C2)“ → Sigma-Regeln für diese Kombination erstellen.
- Threat Intelligence Program aufbauen: Phase 1 — Foundation (0–3 Monate): IOC-Feeds in SIEM integrieren (Abuse.ch, CISA KEV, AlienVault OTX), MISP installieren und konfigurieren, TLP-Klassifikation einführen (Traffic Light Protocol: TLP:RED, TLP:AMBER, TLP:GREEN, TLP:CLEAR). Phase 2 — Operational (3–6 Monate): Dark Web Monitoring starten (eigene Domain, E-Mails, Brand), Threat-Actor-Profile für relevante Branchen-Bedrohungen erstellen, ATT&CK-Mapping für alle Detection-Regeln. Phase 3 — Strategic (6–12 Monate): CTI-Reports für Management (vierteljährlich), Threat-Landscape-Assessment, Intelligence-Driven Red Teaming (TIBER-EU), Teilnahme an ISACs und CERT-Netzwerken. Phase 4 — Advanced (12+ Monate): Eigene Malware-Analyse-Capability, Threat-Hunting-Programme basierend auf CTI-Hypothesen, Predictive Intelligence (welche Techniken werden als Nächstes gegen unsere Branche eingesetzt?).
Sie benötigen Unterstützung?
Threat Intelligence ist der Schlüssel zur proaktiven Verteidigung: Wir implementieren CTI-Plattformen (MISP, OpenCTI), integrieren IOC-Feeds in Ihr SIEM, führen Dark Web Monitoring durch und erstellen maßgeschneiderte Threat-Landscape-Reports für Ihre Branche.
Security & Firewall ansehen →
