Ein IOC ist eine technische Spur eines Angriffs, etwa ein Datei-Hash, eine IP-Adresse, eine Domain oder ein Registry-Schlüssel, anhand derer eine Kompromittierung erkannt oder bestätigt wird.
Ein Indicator of Compromise (IOC) ist eine konkrete, maschinell prüfbare Spur, die auf eine Kompromittierung hinweist. Typische IOCs sind der Hash einer Schadsoftware-Datei, die IP-Adresse oder Domain eines Command-and-Control-Servers, ein auffälliger Dateipfad, ein Registry-Schlüssel für Persistenz, ein E-Mail-Absender oder ein ungewöhnlicher User-Agent. IOCs werden in Berichten, Threat-Intelligence-Feeds und behördlichen Warnungen geteilt, damit andere Organisationen ihre Systeme danach durchsuchen können.
IOCs sind rückwärtsgewandt: Sie beschreiben, womit ein Angreifer bereits gearbeitet hat. Ihr Gegenstück sind TTPs (Taktiken, Techniken und Prozeduren), die das Verhalten beschreiben und sich für Angreifer deutlich schwerer ändern lassen als eine IP-Adresse.
Arten von IOCs und ihr Nutzen
Die sogenannte „Pyramid of Pain" ordnet Indikatoren danach, wie viel Aufwand es den Angreifer kostet, sie zu ändern:
- Datei-Hashes: trivial zu ändern, ein einziges Byte genügt. Nützlich für die Bestätigung, kaum für die Prävention.
- IP-Adressen und Domains: in Minuten bis Stunden austauschbar; Angreifer nutzen Cloud-Infrastruktur und Domain-Fronting.
- Netzwerk- und Host-Artefakte: etwa charakteristische HTTP-Header, Named Pipes oder Dateinamen eines Werkzeugs; schon aufwendiger zu ändern.
- Werkzeuge: der Wechsel auf ein anderes C2-Framework kostet Zeit und Erfahrung.
- TTPs: das eigentliche Verhalten, etwa Kerberoasting oder das Auslesen von LSASS; Verteidiger, die hier erkennen, zwingen den Angreifer zu echter Neuentwicklung.
Bedeutung für Unternehmen
IOCs haben drei praktische Einsatzfelder: als Suchbegriffe im SIEM und EDR, als Blocklisten an Firewall und Proxy und als Ausgangspunkt für die Forensik, um das Ausmaß eines Vorfalls zu bestimmen. Wer einen IOC aus einer Behördenwarnung erhält, sollte in Stunden sagen können, ob er in der eigenen Umgebung aufgetaucht ist. Das setzt voraus, dass Logs ausreichend lange vorgehalten werden; bei einer medianen Dwell Time von 14 Tagen laut Mandiant M-Trends 2026 greift eine Suche in den letzten 48 Stunden zu kurz.
Der häufigste Fehler ist, IOC-Feeds mit Erkennungsfähigkeit zu verwechseln. Ein Feed mit Millionen Hashes schützt nicht gegen einen Angreifer, der seine Werkzeuge für Ihr Unternehmen individuell kompiliert, und genau das tun gezielte Angreifer und professionelle Red Teams.
Praxis: IOCs aus dem Red Teaming nutzen
- Jeder Red-Team-Bericht enthält eine IOC-Liste: Hashes, Domains, IP-Adressen, Konten, Dateipfade und Zeitstempel aller Aktionen. Nutzen Sie die Liste nach dem Einsatz, um zu prüfen, ob Ihr SOC jeden einzelnen Indikator im Nachhinein finden kann.
- Rückbau prüfen: Wir entfernen nach dem Einsatz alle gesetzten Artefakte. Die IOC-Liste ist zugleich Ihre Checkliste, um das zu verifizieren.
- Von IOCs zu Regeln: Übersetzen Sie im Purple Teaming einzelne Indikatoren in verhaltensbasierte Erkennungen, die auch nach einem Werkzeugwechsel greifen.
- Umgehung einkalkulieren: Wir ändern Hashes, rotieren Infrastruktur und tarnen Kommunikation hinter legitimen Diensten. Ein Verteidiger, der nur auf bekannte IOCs setzt, sieht uns nicht. Verhaltensregeln und Threat Hunting ergänzen daher jeden Feed.