Dwell Time ist die Zeitspanne zwischen dem ersten Zugriff eines Angreifers auf eine Umgebung und seiner Entdeckung; laut Mandiant M-Trends 2026 liegt der Median bei 14 Tagen.
Die Dwell Time (Verweildauer) misst, wie lange ein Angreifer unbemerkt in einer Umgebung aktiv ist: vom Zeitpunkt der ersten Kompromittierung bis zu dem Tag, an dem die Organisation den Vorfall erkennt. Die Kennzahl stammt aus der Vorfallsanalyse und wird jährlich in Branchenberichten ausgewertet. Laut Mandiant M-Trends 2026 lag der globale Median bei 14 Tagen, nach 11 Tagen im Vorjahr.
Die Dwell Time sagt nichts darüber aus, wie schnell ein Angreifer vorankommt; das beschreibt die Breakout Time. Sie beschreibt, wie lange die Verteidigung braucht, um überhaupt zu bemerken, dass jemand im Haus ist.
Wie die Dwell Time zustande kommt
Die Verweildauer setzt sich aus mehreren Phasen zusammen, in denen ein Angreifer unterschiedlich auffällig ist:
- Erstzugriff: Phishing, ausgenutzte Schwachstelle oder gekaufter Zugang eines Initial Access Brokers. Oft der Moment mit dem größten Alarmpotenzial.
- Einnisten: Persistenz wird eingerichtet, die Umgebung erkundet. Viele Angreifer warten hier Tage ab.
- Ausbreitung: Rechteausweitung und Lateral Movement mit gültigen Konten, meist im normalen Administrationsrauschen.
- Zielerreichung: Datenabfluss oder Vorbereitung der Verschlüsselung. Ransomware-Gruppen beenden die Dwell Time häufig selbst, indem sie sich mit der Lösegeldforderung zu erkennen geben.
Die Mediane in Berichten sind deshalb mit Vorsicht zu lesen: Ein großer Teil der kurzen Verweildauern geht auf Ransomware zurück, bei der der Angreifer sich offenbart. Spionageoperationen bleiben oft Monate unentdeckt.
Bedeutung für Unternehmen
Jeder Tag Dwell Time vergrößert den Handlungsspielraum des Angreifers: mehr Konten, mehr Systeme, mehr kopierte Daten, mehr Backups, die er vor der Verschlüsselung erreichen kann. Für die Geschäftsführung ist die Dwell Time die ehrlichste Kennzahl für die Wirksamkeit der Erkennung, weil sie das Ergebnis misst und nicht die eingesetzten Werkzeuge. Mandiant M-Trends 2026 weist zudem aus, dass nur 52 Prozent der Vorfälle intern erkannt wurden; bei den übrigen kam der Hinweis von außen.
Was wir in Einsätzen sehen: In einem Red Teaming über mehrere Wochen bleibt unser Zugang in vielen Organisationen bis zum Ende unentdeckt, obwohl SIEM und EDR im Einsatz sind. Die Gründe sind selten rein technischer Natur: Alarme ohne Bearbeitung, fehlende Telemetrie aus Teilbereichen und keine proaktive Suche. Ihre eigene Dwell Time gegen ein Red Team ist eine konkrete, belastbare Zahl, die Sie Ihrem Management vorlegen können.
Praxis: Dwell Time verkürzen
- Messen Sie sie: Dokumentieren Sie bei jedem Vorfall und jedem Red-Team-Einsatz den Zeitpunkt des Erstzugriffs und den Zeitpunkt der Erkennung. Ohne Messung gibt es keine Verbesserung.
- Erkennung auf die stillen Phasen richten: Persistenzmechanismen, ungewöhnliche Anmeldezeiten und neue administrative Zugriffe sind die Spuren der Ausbreitungsphase. Hier zahlt sich Detection Engineering aus.
- Proaktiv suchen: Threat Hunting findet Angreifer, die keinen Alarm ausgelöst haben.
- Logs lange genug aufbewahren: Mindestens einige Monate, sonst lässt sich der Erstzugriff bei einer Verweildauer von Wochen nicht mehr rekonstruieren.
- Zugang vorab bereitstellen: Ein Assumed Breach simuliert einen Angreifer, der bereits im Netz ist, und prüft, ob Ihr SOC ihn in der Ausbreitungsphase findet.