Breakout Time ist die Zeit vom ersten kompromittierten System bis zur Ausbreitung eines Angreifers auf ein weiteres System; laut CrowdStrike Global Threat Report 2026 im Schnitt 29 Minuten.
Die Breakout Time beschreibt, wie schnell ein Angreifer nach der Kompromittierung eines ersten Systems auf ein zweites übergreift, also den Beginn des Lateral Movement. Die Kennzahl wird jährlich aus beobachteten Vorfällen berechnet. Laut CrowdStrike Global Threat Report 2026 lag die durchschnittliche Breakout Time bei eCrime-Angriffen bei 29 Minuten; der schnellste beobachtete Fall dauerte 27 Sekunden.
Die Zahl ist deshalb so bedeutend, weil sie das Zeitfenster der Verteidigung definiert. Solange der Angreifer auf einem System sitzt, lässt sich der Vorfall mit der Isolation dieses einen Hosts beenden. Hat er sich ausgebreitet, wird aus einem Alarm eine Aufräumaktion über das gesamte Netz.
Warum die Zeit so kurz ist
Drei Entwicklungen erklären, warum Angreifer so schnell vorankommen:
- Arbeitsteilung: Initial Access Broker verkaufen fertige Zugänge; der Käufer beginnt direkt mit der Ausbreitung statt mit der Erkundung.
- Gültige Zugangsdaten statt Schadsoftware: Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der Erkennungen malware-frei. Wer sich mit einem legitimen Konto über reguläre Administrationswege bewegt, braucht keine Exploits und löst klassische Virenschutz-Alarme nicht aus.
- Automatisierung: Erkundung des Netzes und Suche nach Fehlkonfigurationen laufen werkzeuggestützt in Minuten ab.
Für die Verteidigung bedeutet das: Die Faustregel 1-10-60 (eine Minute erkennen, zehn Minuten bewerten, 60 Minuten eindämmen) ist der Maßstab, an dem sich ein SOC messen lassen muss.
Bedeutung für Unternehmen
Die Breakout Time verschiebt die Frage von „Erkennen wir den Angriff?" zu „Erkennen wir ihn schnell genug, dass die Reaktion noch etwas ändert?". Ein SOC-Dienstleister mit einer vertraglichen Reaktionszeit von vier Stunden ist bei einer Breakout Time von 29 Minuten strukturell zu langsam, selbst wenn jede Erkennung funktioniert. Die Kennzahl gehört daher in jede Diskussion über SOC-Verträge, Bereitschaftsmodelle und Automatisierung.
Was wir in Einsätzen sehen: Der Erstzugriff, etwa über eine Phishing-Simulation, erzeugt den einzigen deutlichen Alarm. Wird er nicht innerhalb kurzer Zeit bearbeitet, ist der nächste Punkt, an dem das Blue Team eine realistische Chance hat, oft erst der Zugriff auf hochprivilegierte Konten oder sensible Daten, und dann ist der Vorfall bereits groß. Eine wirksame Netzwerksegmentierung und das Prinzip Least Privilege verlängern die Breakout Time spürbar, weil jeder Schritt zusätzliche Hürden kostet.
Praxis: Breakout Time messen und verlängern
- Eigene Zahl ermitteln: In einem Assumed Breach protokollieren wir, wann wir das erste System verlassen und wann Ihr SOC den ersten Alarm sieht. Der Abstand ist Ihre reale Breakout Time gegen die reale Reaktionszeit.
- Erstzugriff-Alarme priorisieren: Alarme zu Makro-Ausführung, verdächtigen Anmeldungen und neuen Geräten brauchen eine Bearbeitungsfrist in Minuten, nicht Stunden.
- Host-Isolation automatisieren: Bei Hochkonfidenz-Alarmen sollte EDR den Host isolieren, bevor ein Mensch entscheidet. Die Freigabe für diese Automatik gehört vorab geregelt.
- Lokale Administratorrechte und Dienstkonten aufräumen: Sie sind das häufigste Sprungbrett vom ersten zum zweiten System.
- Bereitschaft außerhalb der Bürozeiten: Viele Angriffe starten freitags abends. Eine Breakout Time von 29 Minuten verträgt kein Wochenende ohne Dienst.