Sicherheitstools erkennen nicht jeden Angriffsweg Security-Teams müssen Bedrohungen jagen, statt auf Alarme zu warten

Anbieter zum Thema

Cribl Germany GmbH

cidaas by Widas ID GmbH

Trotz wachsender Tool-Landschaft finden Angreifer weiterhin Wege ins Netzwerk, die kein System automatisch erkennt. Die Antwort darauf ist keine neue Software, sondern eine trainierbare Praxis: Bedrohungsjagd. Sicher­heits­teams simulieren Angriffe, lernen normales Verhalten kennen und schärfen so ihren Blick für Abweichungen.

Nie hatten Sicherheitsteams mehr Mittel zur Hand als heute. Doch während der Stack an Plattformen, Dashboards und Warnsysteme weiterwächst, haben Angreifer immer wieder Erfolg. Manchmal einfach aus Glück, viel häufiger jedoch, weil sie genau wissen, auf welchen Wegen sie zum Ziel kommen – Wege, die bestehende Tools aufgrund ihres Designs gar nicht entdecken können. Dieser blinde Fleck ist genau der Ort, an dem Unternehmen zur Bedrohungsjagd blasen müssen.

Für Sicherheitsverantwortliche lauern an diesem Ort geschäftliche Risiken: Bedrohungen bleiben länger unentdeckt und die Folgen inklusive finanzieller Verluste, Betriebs­be­ein­träch­ti­gung­en und Reputationsschäden werden größer. Die Preisfrage lautet: Wie kann die Jagd nach Bedrohungen den blinden Fleck beseitigen? Antwort: Indem sie dem Alarm zuvorkommt. Dementsprechend geht sie von einem völlig anderen Szenario aus: Was wäre, wenn es bereits ein Problem gäbe und niemand hätte es bemerkt? Damit kann die Jagd beginnen.

Definition Threat Hunting (Bedrohungssuche)

Was ist Threat Hunting?

Eine Frage der Haltung, nicht der Rolle

Die Jagd nach Bedrohungen wird oft mit einer speziellen Funktion im Unternehmen oder einem bestimmten Jobtitel verwechselt. In Wirklichkeit handelt es sich dabei jedoch um eine Denkweise, der sich das gesamte Sicherheitsteam verschreibt. Und sie setzt eine gehörige Portion Skepsis voraus. Anstatt von der Sicherheit der Systeme auszugehen, arbeiten Bedrohungsjäger auf Basis der Annahme, dass unter der Oberfläche Anomalien bereits ihr Unwesen treiben.

Der Ansatz verlangt zudem nach einer gesunden Portion Neugier. Begabte Bedrohungsjäger graben tiefer und fragen nicht nur danach, was passiert ist, sondern auch warum. Viele von ihnen studieren Angriffstechniken, um zu verstehen, wie ihre Gegenspieler denken und sich bewegen. Sie simulieren Angriffe und erkennen dadurch, welche Signale sich in ihren Daten zeigen. Sie gehen bereits erfolgte Vorfälle in umgekehrter Richtung vom Ende bis zum Anfang durch, um herauszufinden, an welcher Stelle eine Entdeckung möglich gewesen wäre.

Nur wenn sämtliche und nicht nur einzelne Sicherheitsteams diese Haltung verinnerlichen, können Unternehmen die Jagd nach Bedrohungen effektiv skalieren.

Cyber-Thread-Hunting (CTH)

Mit Threat Hunting den Hackern auf der Spur!

Simulieren und lernen

Die beste Methode, um den Instinkt für die Jagd nach Bedrohungen auszubilden und zu schärfen, besteht darin, Angriffe in einer kontrollierten Umgebung zu replizieren. Zugangsdaten auszulesen, stellt einen geeigneten Ausgangspunkt dafür dar. Ein Tool wie Mimikatz, das in einer Laborumgebung läuft und alles mitprotokolliert, kann wertvolle Erkenntnisse liefern.

So können Analysten untersuchen, welche Prozesse ausgelöst, welche Abhängigkeiten geladen und welche Ereignisse in den Systemen aufgezeichnet werden. Dabei lassen sich Signale finden wie: Welche Prozesse starten? Welche DLL-Bibliotheken werden geladen? Gibt es ungewöhnliche Ereignis-IDs oder unübliche Parent-Child-Prozessbeziehungen?

Bloße Hinweise zu ermitteln, ist dabei nicht das Ziel. Vielmehr geht es darum, den größeren Kontext zu verstehen, in dem Angriffe stattfinden. Solche praktischen Übungen erlauben, Analysten zu schulen, damit sie Muster bösartigen Verhaltens erkennen. Treten dieselben Muster in Produktionsumgebungen auf, lassen sie sich nicht nur schneller aufspüren, sondern auch einfacher und mit größerer Genauigkeit interpretieren.

Sicherheitsbedrohungen in Netzwerken und Systemen finden

Die 8 besten Threat Hunting-Tools 2023

Normales Verhalten bestimmen

Eine gute Bedrohungsjagd hängt vom Kontext ab. Ohne ein klares Bild davon, wie normales Verhalten in einer Umgebung aussieht, lassen sich Abweichungen viel schwerer erkennen. Genau deshalb ist es wichtig, das Standardverhalten zu bestimmen.

Dazu muss man nicht von einer komplexen Ausgangslage ausgehen. Eine einzelne Datenquelle kann genügen, ob es sich dabei um Authentifizierungsprotokolle, DNS-Aktivitäten oder prozessauslösende Ereignisse handelt. Mit der Zeit werden Muster sichtbar und Sicherheitsteams erkennen allmählich, welche Konten typischerweise aktiv sind, wie Systeme miteinander interagieren und welchen Traffic sie erwarten können.

All diese Details und Beobachtungen lassen sich im laufenden Betrieb erfassen. Die Dokumentation der Beobachtungen schafft einen Referenzpunkt. Je vertrauter die Umgebung, desto sichtbarer werden Abweichungen. Was bislang nach einem vernachlässigbaren Nebengeräusch aussah, stellt sich mit der Zeit als potenzielles Risiko heraus.

Open-Source-Security im Praxis-Check

Wazuh im Test: Flexibles SIEM mit XDR-Funktionen

Das Unerwartete untersuchen

Die erste Aufgabe auf diesem Weg besteht gerade nicht darin, nur zu bestimmen, was gut oder schlecht ist. Auch wenn der Instinkt zu einer schnellen Klassifizierung drängt, kommt es vor allem darauf an, zu verstehen, was davon eine Bedrohung darstellt. Das bedeutet, von den grundlegenden Fragen auszugehen und den Kontext rund um das Ereignis zu untersuchen. Wer hat die Aktivität ausgelöst? Welche Systeme waren daran beteiligt? Was passierte zur selben Zeit noch? Passt das Verhalten zur erwarteten Norm?

Von dort aus lässt sich die Suche erweitern: Tauchte derselbe Befehl oder Prozess auch an anderer Stelle auf? Findet sich dieselbe IP-Adresse in anderen Protokollen? Gibt es Anzeichen für eine Seitwärtsbewegung oder wiederholt auftretendes Verhalten in den Systemen?

Nicht jede Anomalie zeigt eine Bedrohung an, erzeugt eine neue Detection-Regel, löst eine interne Warnmeldung aus oder liefert einen nützlichen Referenzpunkt. Doch jede einzelne Prüfung macht das Sicherheitsprogramm Schritt für Schritt genauer und hilft, die Instinkte weiter zu schärfen.

Staatliche Cyberbedrohungen aus Iran, China und Russland eskalieren

Wenn Cyberkriminalität, Hacktivismus und Staatsakteure verschmelzen

Die richtigen Daten priorisieren

Nicht der Mangel an Daten stellt ein weitverbreitetes Hindernis bei der Jagd nach Bedrohungen dar, sondern, im Gegenteil, ein Überfluss davon. Informationen sind oft über viele verschiedene Systeme verstreut, was den Zugriff darauf und ihre effiziente Analyse erschwert.

Für eine effektive Bedrohungsjagd müssen Daten sowohl zugänglich als auch aussagekräftig sein. Dazu zählen Daten zur Endpunkttelemetrie, zum Netzwerkverkehr, zu Authentifizierungen und DNS-Aktivitäten. Ebenso wichtig ist die Fähigkeit, diese Daten so anzureichern und miteinander zu korrelieren, dass sie sich schnell untersuchen lassen.

Ohne dieses Maß an Transparenz haben selbst erfahrene Analysten nur eingeschränkte Möglichkeiten zur Hand, um Bedrohungen zu entdecken. Der Fokus sollte nicht darauf liegen, noch mehr Daten zu sammeln, sondern dafür zu sorgen, dass sich die verfügbaren Daten effektiv nutzen lassen.

Threat Hunting Report 2025 von Crowdstrike

KI-Agenten im Fokus von Cyberangreifern

Bedrohungsjagd gleicht einer Praxis, nicht einem Projekt

Die Jagd nach Bedrohungen stellt keine einmalige Übung dar. Sie ist vielmehr eine Disziplin, die sich durch Wiederholung mit der Zeit entwickelt. Sie gleicht dem Aufbau eines Muskelgedächtnisses zur Bedrohungserkennung.

Anfänglich mögen die Bemühungen keine nennenswerten Ergebnisse liefern. Aber das ist ganz normal. Jede einzelne Untersuchung führt im weiteren Verlauf zu einem immer tieferen Verständnis von Systemen und Verhaltensweisen. In dem Maße, wie die Erfahrung wächst, nimmt auch die Effizienz zu. Die Analysten stellen immer präzisere Fragen, erkennen immer schneller Muster und identifizieren Risiken, die bislang übersehen wurden.

Praxis stärkt die individuellen Fähigkeiten zur Bedrohungsjagd und die allgemeine Sicherheitslage des Unternehmens. Ein immer größeres Vertrauen nicht nur in die eigenen Fähigkeiten und Abläufe, sondern auch Instinkte ist die Folge.

Automatisierte Analyse mit künstlicher Intelligenz

4 Gründe für den Einsatz von KI und Machine Learning in der Cybersecurity

Bedrohungsjagd in den Betriebsalltag integrieren

Schließlich geht es bei der Jagd nach Bedrohungen um Resilienz. Sie stellt die Annahme infrage, die bestehenden Tools würden alles erfassen, und ermutigt Sicherheitsteams, aktiv nach allem zu suchen, was ihre Tools übersehen haben könnten.

Es kommt darauf an, diesen Ansatz in den Betriebsalltag zu integrieren. Dies verbessert die Fähigkeit der Unternehmen, Bedrohungen schon zu einem früheren Zeitpunkt zu entdecken und wirkungsvoller darauf zu reagieren. Das Ziel lautet, Unsicherheiten zu reduzieren, das Zeitfenster der Bedrohungsexposition zu schließen und Unternehmen eine bessere Kontrolle über Risiken zu verschaffen, die ansonsten unbemerkt blieben.

Das Prinzip der Bedrohungsjagd als Routine ist einfach: stets neugierig sein, das Offensichtliche infrage stellen und niemals Ruhe mit Sicherheit verwechseln.

Über den Autor: Robert Lackey ist Senior Staff Product Security Engineer bei Cribl.

(ID:50920420)