Die Cyber Kill Chain ist ein Modell von Lockheed Martin, das einen gezielten Angriff in sieben aufeinanderfolgende Phasen zerlegt – von der Aufklärung bis zum Erreichen des Angriffsziels.
Die Cyber Kill Chain ist ein Phasenmodell, das der Rüstungskonzern Lockheed Martin 2011 aus der militärischen Zielbekämpfung auf Cyberangriffe übertragen hat. Die Grundidee: Ein gezielter Angriff ist kein einzelnes Ereignis, sondern eine Kette von Schritten, die ein Angreifer nacheinander erfolgreich abschließen muss. Wird die Kette an einer Stelle unterbrochen, scheitert der Angriff. Für Verteidiger bedeutet das, dass sie nicht jede Phase perfekt absichern müssen – aber in jeder Phase eine Chance haben, den Angreifer zu erkennen oder zu stoppen.
Das Modell ist bewusst einfach und deshalb bis heute ein gängiges Kommunikationsmittel zwischen Technik und Management. Für die detaillierte Beschreibung einzelner Techniken wird es heute durch MITRE ATT&CK ergänzt.
Die sieben Phasen
- Reconnaissance: Der Angreifer sammelt Informationen über Ziel, Systeme und Personen (siehe Reconnaissance).
- Weaponization: Er baut sein Angriffswerkzeug – etwa ein Dokument mit Schadcode oder eine täuschend echte Anmeldeseite (siehe Weaponization).
- Delivery: Das Werkzeug wird zugestellt: per E-Mail, über eine Website, einen USB-Stick oder einen exponierten Dienst.
- Exploitation: Eine Schwachstelle in Software oder Mensch wird ausgenutzt, Code wird ausgeführt.
- Installation: Der Angreifer verankert sich dauerhaft im System (Persistence).
- Command and Control: Das kompromittierte System baut eine Verbindung zur Infrastruktur des Angreifers auf, über die er Befehle erteilt (siehe Command and Control).
- Actions on Objectives: Der Angreifer erreicht sein eigentliches Ziel – Datenabfluss, Verschlüsselung, Manipulation oder Spionage.
In Red-Team-Berichten dient die Kill Chain häufig als Gliederung der Angriffs-Timeline: Jeder dokumentierte Schritt wird einer Phase zugeordnet, und für jede Phase wird vermerkt, ob die Verteidigung ihn blockiert, erkannt oder übersehen hat.
Bedeutung für Unternehmen
Die Kill Chain verändert die Perspektive auf Sicherheitsinvestitionen. Statt zu fragen „Kann jemand eindringen?“ fragt sie „In welcher Phase würden wir ihn bemerken, und wie viel Zeit bliebe uns dann?“. Laut CrowdStrike Global Threat Report 2026 vergehen im Durchschnitt nur 29 Minuten zwischen Erstzugriff und Ausbreitung – die Phasen fünf bis sieben laufen also schnell ab. Erkennung in den frühen Phasen ist entsprechend wertvoll.
Das Modell hat Grenzen, die Entscheider kennen sollten: Es ist auf Angriffe von außen mit Schadsoftware zugeschnitten. Angreifer, die mit gestohlenen Zugangsdaten über das VPN kommen, Insider oder Angriffe über die Lieferkette passen nur bedingt hinein. Laut CrowdStrike Global Threat Report 2026 verliefen 82 Prozent der Erkennungen malware-frei – für diese Fälle ist ATT&CK das präzisere Werkzeug.
Praxis-Hinweise
- Ordnen Sie Ihre Schutzmaßnahmen den sieben Phasen zu und suchen Sie Phasen ohne Erkennung – dort liegt Ihr blinder Fleck.
- Fordern Sie im Red-Teaming-Bericht eine Timeline, die jeden Schritt einer Phase zuordnet und das Ergebnis der Verteidigung vermerkt.
- Nutzen Sie das Modell für Gespräche mit der Geschäftsführung; wechseln Sie für die Arbeit im SOC zu ATT&CK-Techniken.
- Ergänzen Sie Szenarien ohne Malware – gestohlene Zugangsdaten, legitime Fernwartung – damit das Modell die Realität abbildet.