Ein Bedrohungsmodell (Threat Model) beschreibt systematisch, welche Angreifer mit welchen Fähigkeiten und Motiven welche Werte eines Unternehmens bedrohen, und priorisiert daraus Schutz und Tests.
Ein Bedrohungsmodell beantwortet strukturiert die Frage, wovor sich eine Organisation oder ein System eigentlich schützen muss. Es verbindet drei Elemente: die schützenswerten Werte (Daten, Prozesse, Systeme), die relevanten Angreifer mit ihren Motiven, Fähigkeiten und Ressourcen sowie die Wege, auf denen diese Angreifer die Werte erreichen könnten. Das Ergebnis ist eine priorisierte Liste von Bedrohungen, aus der sich Schutzmaßnahmen und Testszenarien ableiten lassen.
Threat Modeling stammt ursprünglich aus der Softwareentwicklung, wo Methoden wie STRIDE einzelne Komponenten auf Spoofing, Manipulation, Abstreitbarkeit, Informationsabfluss, Dienstverweigerung und Rechteausweitung untersuchen. Auf Organisationsebene liefert das Bedrohungsmodell die Grundlage für jedes Red Teaming: Es bestimmt, wen wir nachahmen und welche Ziele wir angreifen.
Aufbau eines Bedrohungsmodells
- Werte identifizieren: Welche Daten, Prozesse und Systeme sind geschäftskritisch? Was wäre der Schaden bei Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit?
- Angreifer charakterisieren: Wer hat ein Interesse? Finanziell motivierte Ransomware-Gruppen, staatliche Akteure (APT), Wettbewerber, Hacktivisten, Insider. Welche Fähigkeiten und Ressourcen bringen sie mit?
- Angriffspfade ableiten: Über welche Einstiegspunkte der Angriffsfläche und mit welchen Techniken erreichen diese Angreifer die Werte? MITRE ATT&CK liefert hierfür eine gemeinsame Sprache.
- Bewerten und priorisieren: Wahrscheinlichkeit und Auswirkung je Bedrohung, abgeglichen mit vorhandenen Kontrollen.
- Maßnahmen und Tests ableiten: Welche Lücken werden geschlossen, welche Szenarien geprüft?
Im regulierten Umfeld wird dieser Prozess formalisiert: Beim TLPT nach DORA erstellt ein externer Threat-Intelligence-Provider das Bedrohungsprofil und leitet daraus mindestens drei Angriffsszenarien ab, die das Red Team umsetzt.
Bedeutung für Unternehmen
Ohne Bedrohungsmodell verteilt sich das Sicherheitsbudget nach Lautstärke der Anbieter oder nach dem letzten Vorfall in der Presse. Mit Bedrohungsmodell lässt sich begründen, warum ein mittelständischer Maschinenbauer zuerst Ransomware-Resilienz und Schutz des Konstruktionsdaten-Servers priorisiert, während eine Bank Zahlungsfreigabeprozesse und Insider-Szenarien in den Vordergrund stellt.
Ein häufiger Fehler ist das generische Modell: „Hacker greifen über das Internet an.“ Realistische Modelle sind konkreter. Für die meisten deutschen Unternehmen ist der wahrscheinlichste Angreifer eine arbeitsteilige Ransomware-Gruppe, die Zugänge von Initial Access Brokern kauft; laut Mandiant M-Trends 2026 gingen 30 Prozent der Ransomware-Fälle auf eine vorherige Kompromittierung zurück. Wer das weiß, testet anders als jemand, der sich vor Zero-Days fürchtet.
Praxis-Hinweise
- Beginnen Sie bei den Kronjuwelen, nicht bei der Technik: drei bis fünf Werte, deren Verlust existenzbedrohend wäre.
- Nutzen Sie öffentliche Lageberichte (BSI, BKA) und Branchen-Threat-Intelligence, um die relevanten Angreifergruppen und ihre Techniken zu bestimmen.
- Formulieren Sie aus dem Modell konkrete Testziele („Flags“) für Red Teaming oder Adversary Emulation.
- Aktualisieren Sie das Modell jährlich und nach größeren Veränderungen wie Cloud-Migration, Zukauf oder neuem Geschäftsfeld.