SOC-Teams haben mehr Daten als je zuvor und weniger Übersicht Bedrohungsdaten richtig priorisieren statt in Datenflut ertrinken

SOC-Teams abonnieren immer mehr Threat Feeds, doch statt Klarheit entsteht Rauschen, denn ohne Kontext lassen sich relevante Signale nicht von harmlosen Meldungen unterscheiden. Erst wenn interne Telemetrie und externe Erkenntnisse aus dem Deep und Dark Web fusionieren, werden aus Datenmengen echte Handlungsgrundlagen für die Bedrohungsabwehr.

Moderne Cybersicherheit hat ein paradoxes Problem: Die Menge an Daten zu Bedrohungen ist schier unendlich groß. Was Sicherheitsverantwortlichen zuvor dabei half, Gefahren zu erkennen, stellt sie heute vor eine neue Herausforderung. Die besteht darin, Sicher­heits­in­for­ma­ti­o­nen intelligent und automatisiert zu verwerten, zu priorisieren und in Ver­tei­di­gungs­stra­te­gien umzuwandeln. Eine intelligente Verteidigungsstrategie muss die Brücke schlagen zwischen Vorgängen innerhalb der eigenen Infrastruktur und dem Wissen darüber, wo und wie Angreifer außerhalb dieser Umgebung bereits Schaden anrichten. Um wirkliche Klarheit zu schaffen, müssen zwei Disziplinen ineinandergreifen: interne und externe Bedrohungsdaten.

Security-Insider Podcast – Folge 72

OSINT – dürfen wir das überhaupt?

Das Defizit der reinen Datenmenge

Die meisten SOC-Teams abonnieren heute eine Vielzahl von Feeds über Bedrohungsdaten, auch „Thread Feeds“ genannt. Diese Datenströme sind jedoch meist generisch, fragmentiert und erreichen Sicherheitsteams oft nur verzögert. Anstatt das Risiko genau zu benennen, stiften sie zuweilen Verwirrung. Analysten verbringen dann wertvolle Zeit damit, redundante Warn­mel­dungen zu sortieren und zu deduplizieren, während IT-Teams Schwachstellen (CVEs) nachjagen, die in der Praxis vielleicht nie ausgenutzt werden. So werden sicherheitskritische Ent­schei­dungen auf der Basis von unvollständigen oder unzureichend aufbereiteten Daten getroffen.

Das Ergebnis ist das besagte Paradoxon: Es gibt mehr Signale und Informationen als je zuvor, während die präventive Handlungsfähigkeit schwindet. Die Lösung liegt nicht in einem weiteren Daten-Feed, sondern in der Kontextualisierung. Unternehmen müssen identifizieren können, welche Signale für ihre Sicherheit relevant sind. Doch der Blick muss noch viel mehr geweitet werden, denn es zählt nicht nur, was vor der eigenen Haustür passiert. Auch, welcher Branche man beispielsweise angehört, hat erhebliche Auswirkungen darauf, welche Taktiken Cyberkriminelle einsetzen, wie wahrscheinlich ein Angriff ist und welcher Vektor dafür wahrscheinlich ausgenutzt wird.

Transparenz und Präzision in der Bedrohungsanalyse

System statt Spekulation: So gelingt die Attribution von Cyberangriffen

Inside-Out: Interne Intelligenz neu definiert

Interne Bedrohungsdaten sind in der aktiven Nutzung oft auf Protokolle und Telemetrie der eigenen Umgebung beschränkt. Dann ergibt sich jedoch nur ein Teil des Gesamtbildes, denn ihre volle Wirkung entfaltet interne Threat Intelligence erst, wenn sie durch globale Erkenntnisse „von außen“ angereichert wird.

Moderne Sicherheitsarchitekturen nutzen automatisierte Analyse-Plattformen, um Millionen von Signalen aus offenen Quellen sowie dem Deep- und Dark Web zusammenzutragen. Durch den Einsatz von KI und maschinellem Lernen lassen sich echte Bedrohungsmuster von harmlosem Rauschen trennen. Idealerweise entsteht so effektive Intelligenz von zwei Seiten: Die unternehmenseigene Telemetrie validiert globale Muster und das Wissen um diese Muster härtet dann die eigene Umgebung. Das Resultat ist ein dynamisches Bild akuter Sicherheitsschwachstellen wie CVEs und IoCs (Indicators of Compromise).

Priorisierung von Schwachstellen

Sicherheitslücken nur mit CVSS bewerten reicht nicht!

Outside-In: Die Absichten feindseliger Akteure kennen

Die externe Perspektive zeigt auf, was Angreifer jenseits des eigenen Perimeters planen. Hier wird die Absicht hinter den Angriffen sichtbar: von Aktivitäten in Dark-Web-Foren über Brand Phishing bis hin zu Phishing-Kits.

Angreifer agieren heute hochgradig organisiert, betreiben „Phishing-Fabriken“ und automatisieren die Imitation bekannter Domänen wie Amazon, DHL, Microsoft oder PayPal. Besonders kritisch ist der Handel mit gestohlenen Zugangsdaten: Im Jahr 2025 nahmen Datenlecks um 160 Prozent im Vergleich zum Vorjahr zu. 22 Prozent dieser Si­cher­heits­ver­let­zungen waren auf gestohlene Logins zurückzuführen. Effektive externe Intelligence muss diese Leaks erkennen und Alarm schlagen, bevor es zur Übernahme von Konten kommt. Obendrein sollte man mit einem hybriden Ansatz aus KI-gestützten Crawlern und Sicherheitsexperten das Deep- und Dark Web in geschlossenen Communities nach Informationen durchforsten, um zusätzliche Erkenntnisse zu gewinnen, die nicht im „Surface Web“ verfügbar sind.

Security-Insider Podcast – Folge 68

OSINT – wir klären auf

Die Kür: Wenn interne und externe Bedrohungsdaten fusionieren

Der wahre Wert der Bedrohungsanalyse entsteht an dem Punkt, an dem externe Erkenntnisse mit der internen Datenlage verschmelzen. Ohne diesen Kontext führt interne Sig­nal­ver­ar­bei­tung zu blinder Priorisierung, während übermäßige externe Signale lediglich Rauschen erzeugen.

Erst die Korrelation aktueller cyberkrimineller Aktivitäten mit den tatsächlich exponierten Schwachstellen im Netzwerk schafft Handlungsfähigkeit. Ein Beispiel: Kursiert ein geleaktes Passwort in einem Dark-Web-Forum ist das zwar besorgniserregend. Wenn dieses Konto jedoch Zugriff auf eine falsch konfigurierte Cloud-Ressource hat, wird die Situation noch kritischer und muss anders gewichtet werden. Ebenso ist eine Phishing-Domäne gefährlich, aber wenn das E-Mail-Gateway keine entsprechenden Schutzmechanismen aufweist, wird die Abwehr zur dringenden Priorität. Sobald absolute Klarheit über die Brisanz der Sicherheitssituation herrscht, können Rauschen vermindert und Prioritäten schneller gesetzt werden.

Threat Intelligence und operative Informationssicherheit

Methodische Individualisierung der Bedrohungsanalyse

Fazit: Vertrauen durch integrierte Sichtweise

Wenn interne Telemetrie und externe Signale intelligent zusammengebracht werden, gewinnen Unternehmen eine fundierte Entscheidungsgrundlage, um Bedrohungen zu erkennen und zu adressieren. Reale, akute Risiken sind dann die Grundlage für die Priorisierung statt bloßer Vermutungen. Diese integrierte Sichtweise unterstützt nicht nur SOC-Analysten bei einer schnelleren Triage, sondern hilft auch CISOs, Risiken in verständlicher, geschäftsrelevanter Sprache an das Management zu kommunizieren.

Interne Informationen enthüllen, welche Türen offenstehen und ausnutzbar sind und externe Informationen zeigen auf, was gezielt als Waffe von Cyberkriminellen eingesetzt wird. In der Kombination liegt die notwendige Klarheit, um präventiv zu agieren und die Cyber-Resilienz nachhaltig zu stärken.

Über den Autor: Thomas Boele ist Regional Director Sales Engineering, CER / DACH bei Check Point Software Technologies.

Leitfaden von Flashpoint

Open Source Intelligence in der Praxis umsetzen

(ID:50827633)