Threat Hunting ist die proaktive, hypothesengeleitete Suche nach Angreifern, die bereits im Netz sind, aber keinen Alarm ausgelöst haben; es ergänzt die automatische Erkennung um menschliche Analyse.
Threat Hunting kehrt die Logik der klassischen Angriffserkennung um. Statt zu warten, bis eine Regel einen Alarm erzeugt, geht ein Analyst von der Annahme aus, dass ein Angreifer bereits im Netz ist, formuliert eine Hypothese („Jemand nutzt Dienstkonten für interaktive Anmeldungen") und durchsucht Telemetrie und Logs gezielt nach Belegen. Findet er etwas, wird daraus ein Vorfall; findet er nichts, wird die Hypothese dokumentiert und idealerweise in eine automatische Erkennungsregel überführt.
Hunting setzt eine solide Datenbasis voraus: ein SIEM oder einen Data Lake mit ausreichend langer Aufbewahrung, EDR-Telemetrie und Wissen über die normale Umgebung. Ohne Vergleichsbasis ist nicht erkennbar, was ungewöhnlich ist.
So läuft ein Hunt ab
- Hypothese bilden: Aus Threat Intelligence, aktuellen Vorfällen in der Branche, MITRE ATT&CK oder Beobachtungen im eigenen Netz. Beispiel: „Angreifer legen Persistenz über geplante Aufgaben an."
- Datenquellen festlegen: Welche Logs und Felder belegen oder widerlegen die Hypothese?
- Suchen und analysieren: Abfragen, Ausreißer finden, Häufigkeitsanalysen (was kommt nur auf einem einzigen System vor?), Abgleich mit bekannten IOCs.
- Bewerten: Ist der Fund legitim, ein Konfigurationsfehler oder ein Angreifer? Bei Verdacht Übergabe an die Incident Response.
- Automatisieren: Bewährte Abfragen werden zu Erkennungsregeln und Dashboards (Detection Engineering), damit der nächste Hunt eine neue Frage stellen kann.
Bedeutung für Unternehmen
Automatische Erkennung findet, was sie kennt. Angreifer, die mit gültigen Konten und Bordmitteln arbeiten, erzeugen oft keine Alarme, sondern nur unauffällige Einzelereignisse. Laut Mandiant M-Trends 2026 wurden nur 52 Prozent der Vorfälle intern entdeckt; die mediane Dwell Time lag bei 14 Tagen. Threat Hunting zielt genau auf diesen Zeitraum, in dem der Angreifer da ist, aber niemand es weiß. Für Organisationen mit erhöhtem Risiko, etwa unter DORA oder als KRITIS-Betreiber, ist Hunting ein Reifegradmerkmal, das Prüfer zunehmend erwarten.
Was wir in Einsätzen sehen: Hunting findet in den meisten Unternehmen nicht statt, weil das SOC mit der Alarmbearbeitung ausgelastet ist. Wo es stattfindet, hängt die Qualität an einzelnen erfahrenen Personen. Aus Red-Team-Sicht ist ein aktives Hunting-Team eine der unangenehmsten Kontrollen, weil es auch die Schritte findet, die bewusst unterhalb der Alarmschwellen bleiben.
Praxis: Umsetzung und Prüfung
- Zeit reservieren: Ein fester Anteil der Analystenzeit pro Woche für Hunting, geschützt vor der Alarmwarteschlange. Ohne Zeitbudget bleibt Hunting ein Vorsatz.
- Mit einfachen Hypothesen starten: Neue lokale Administratoren, Anmeldungen von Dienstkonten an Arbeitsplätzen, ungewöhnliche Eltern-Kind-Prozessketten, erstmalig gesehene ausführbare Dateien. Diese Hunts brauchen keine Spezialwerkzeuge.
- Ergebnisse dokumentieren: Jede Hypothese, jede Abfrage und jedes Ergebnis in einem Hunting-Logbuch; auch ein negativer Befund ist ein Nachweis für Prüfer.
- Daten lange genug vorhalten: Hunting nach einem Erstzugriff vor drei Wochen scheitert, wenn Logs nach sieben Tagen gelöscht werden.
- Gegen echte Spuren üben: Nach einem Red Teaming erhalten Sie unsere vollständige Zeitleiste. Lassen Sie Ihr Team vorher hunten und gleichen Sie dann ab, welche Schritte es gefunden hat. Das ist das präziseste Training für Hunting-Fähigkeiten, das es gibt.