APT (Advanced Persistent Threat) bezeichnet gut ausgestattete, meist staatlich gelenkte Angreifergruppen, die sich gezielt und über lange Zeit unentdeckt in Netzwerken festsetzen.
Advanced Persistent Threat (APT) beschreibt eine Klasse von Angreifern, nicht eine Technik. „Advanced“ steht für erhebliche Ressourcen, eigene Werkzeugentwicklung und die Fähigkeit, auch gut geschützte Ziele zu kompromittieren. „Persistent“ meint die Hartnäckigkeit: APT-Gruppen verfolgen ein Ziel über Monate oder Jahre, richten sich dauerhaft im Netzwerk ein und kehren nach einer Entdeckung zurück. „Threat“ bezeichnet den Akteur mit Absicht und Auftrag. In der Regel handelt es sich um staatliche oder staatsnahe Einheiten, die Spionage, Sabotage oder strategische Vorbereitung betreiben.
Die Bezeichnung mit Nummern wie APT28 oder APT29 geht auf Sicherheitsfirmen zurück, die Gruppen anhand ihrer Werkzeuge, Infrastruktur und Vorgehensweisen voneinander unterscheiden. Daneben existieren Namensschemata nach Tieren, Wetter oder Elementen; dieselbe Gruppe trägt oft mehrere Namen.
Typisches Vorgehen
- Zielauswahl und Aufklärung: Das Ziel wird strategisch gewählt, etwa Rüstungszulieferer, Energieversorger, Ministerien oder Forschungseinrichtungen. Es folgt wochenlange Aufklärung über Organisation, Technik und Personen.
- Erstzugriff: Spear Phishing gegen ausgewählte Personen, Ausnutzung von Schwachstellen in exponierten Systemen, Kompromittierung von Dienstleistern oder Software-Lieferketten.
- Festsetzen und Ausbreiten: mehrere unabhängige Persistenz-Mechanismen, Diebstahl von Zugangsdaten, leises Lateral Movement mit Bordmitteln des Betriebssystems statt auffälliger Schadsoftware.
- Zielerreichung: langfristige Datenabflüsse in kleinen Mengen, Positionierung in Steuerungsnetzen oder Vorbereitung späterer Sabotage.
Kennzeichnend ist die Geduld. Während Ransomware-Gruppen in Stunden agieren, bleiben APT-Gruppen bewusst unauffällig. Die Dwell Time bei Spionagefällen liegt meist deutlich über dem Median von 14 Tagen, den Mandiant M-Trends 2026 über alle Vorfälle nennt.
Bedeutung für Unternehmen
Viele Mittelständler halten sich für kein APT-Ziel. Das ist oft ein Irrtum. Deutsche Unternehmen sind weltweit führend in Spezialtechnologien, und als Zulieferer von Rüstung, Energie, Verwaltung oder kritischer Infrastruktur sind sie der leichtere Weg zum eigentlichen Ziel. Laut Bitkom Wirtschaftsschutz 2026 ordneten 52 Prozent der betroffenen Unternehmen Angriffe China und 49 Prozent Russland zu. Der CrowdStrike Global Threat Report 2026 verzeichnet zudem ein Plus von 266 Prozent bei staatsnahen Cloud-Intrusions.
Für die Verteidigung bedeutet das: Prävention allein reicht nicht. APT-Gruppen kommen hinein. Die Frage ist, wie schnell sie bemerkt werden. Genau diese Frage beantwortet Adversary Emulation, bei der ein Red Team die dokumentierten Techniken einer konkreten Gruppe nachbildet und prüft, welche davon das SOC erkennt.
Praxis-Hinweise
- Klären Sie im Bedrohungsmodell ehrlich, ob Ihr Unternehmen direkt oder als Zulieferer für staatliche Akteure interessant ist.
- Investieren Sie in Erkennung von Techniken, nicht nur in Signaturen: Living-off-the-Land-Methoden hinterlassen keine Malware, aber Spuren in Protokollen.
- Nutzen Sie MITRE ATT&CK, um die Techniken relevanter Gruppen gegen Ihre Erkennungsregeln abzugleichen.
- Üben Sie Incident Response für den Fall eines bereits länger aktiven Angreifers, einschließlich forensischer Sicherung und koordinierter Bereinigung, damit die Gruppe nicht gewarnt wird.