Detection Engineering ist die systematische Entwicklung, Prüfung und Pflege von Erkennungsregeln, die Angreifertechniken in SIEM und EDR zuverlässig und mit wenig Fehlalarmen sichtbar machen.
Detection Engineering ist die Disziplin, Angriffserkennung wie Software zu entwickeln: Jede Erkennungsregel hat eine klar beschriebene Hypothese, eine technische Umsetzung in SIEM oder EDR, einen Test, der belegt, dass sie auslöst, und eine Dokumentation, die Analysten sagt, was im Alarmfall zu tun ist. Regeln werden versioniert, regelmäßig überprüft und ausgemustert, wenn sie nicht mehr greifen.
Der Ansatz löst ein bekanntes Problem: Historisch gewachsene Regelwerke mit Hunderten Einträgen, von denen niemand mehr weiß, welche funktionieren, welche nur Rauschen erzeugen und welche Angriffstechniken überhaupt nicht abgedeckt sind.
So funktioniert Detection Engineering
- Priorisieren: Aus Bedrohungsmodell und Threat Intelligence werden die relevanten TTPs ausgewählt und auf MITRE ATT&CK gemappt.
- Datenquelle sichern: Prüfen, ob die nötige Telemetrie überhaupt erfasst wird, etwa Prozess-Kommandozeilen oder Authentifizierungsereignisse der Domänencontroller.
- Regel schreiben: Möglichst nah am Verhalten, nicht an einem einzelnen Werkzeug; oft in herstellerneutralen Formaten wie Sigma.
- Testen: Die Technik wird in einer Testumgebung oder kontrolliert in der Produktion ausgeführt. Löst die Regel aus? Wie viele Fehlalarme entstehen in einer Woche?
- Dokumentieren und ausrollen: Beschreibung, Schweregrad, Triage-Anleitung, Verantwortliche; Ausrollen über Versionskontrolle (Detection-as-Code).
- Pflegen: Regelmäßige Wiederholung der Tests, weil sich Umgebung und Angreifertechnik ändern.
Bedeutung für Unternehmen
Erkennung ist der Hebel mit dem größten Einfluss auf den Schaden eines Vorfalls. Laut Mandiant M-Trends 2026 liegt die mediane Dwell Time bei 14 Tagen, und nur 52 Prozent der Vorfälle werden intern entdeckt. Jede zusätzliche Technik, die Ihr SOC zuverlässig sieht, verkürzt diese Zeit. Für Entscheider liefert Detection Engineering zudem eine belastbare Antwort auf die Frage „Was würden wir sehen?", in Form einer ATT&CK-Heatmap statt eines Bauchgefühls.
Was wir in Einsätzen sehen: Regeln wurden einmal eingerichtet und nie gegen die reale Technik getestet. Eine Regel existiert, aber das Ereignis, auf das sie hört, wird vom Quellsystem gar nicht geliefert. Oder die Regel löst aus, wurde aber wegen Fehlalarmen auf „informativ" herabgestuft und wird nicht mehr bearbeitet. Ohne Test bleibt eine Erkennungsregel eine Annahme.
Praxis: Umsetzung und Validierung mit dem Red Team
- Mit den wichtigsten Techniken beginnen: Zugriff auf Anmeldedaten, Lateral Movement, Persistenz, Skript-Ausführung aus Office-Dokumenten und das Deaktivieren von Sicherheitswerkzeugen decken einen großen Teil realer Angriffe ab. Breite kommt später.
- Jede Regel braucht einen Test: Kein Rollout ohne Nachweis, dass sie in Ihrer Umgebung auslöst.
- Purple Teaming als Entwicklungszyklus: Im Purple Teaming führen wir eine Technik aus, Ihr Team prüft Telemetrie und Alarm, passt die Regel an, und wir wiederholen die Technik in einer Variante. So entstehen in wenigen Tagen Dutzende validierte Erkennungen.
- Varianten einbeziehen: Eine Regel, die nur den Lehrbuchfall trifft, hält einem Angreifer nicht stand, der Werkzeuge und Abläufe leicht abwandelt. Wir testen daher bewusst mehrere Varianten je Technik.
- Red Teaming als Abschlussprüfung: Ein verdeckter Einsatz zeigt, ob die Regeln auch im Alltag zu Alarmen und Reaktionen führen, nicht nur im Workshop.