Threat Intelligence ist aufbereitetes Wissen über Angreifer, ihre Ziele und ihr Vorgehen, das Sicherheitsentscheidungen, Erkennung und realitätsnahe Angriffsszenarien fundiert.
Threat Intelligence (Bedrohungsaufklärung) ist Wissen über Angreifer, das so aufbereitet ist, dass es Entscheidungen unterstützt. Es geht über eine Liste bekannter Schadadressen hinaus und beantwortet Fragen wie: Welche Gruppen greifen Unternehmen unserer Branche an? Mit welchen Taktiken, Techniken und Prozeduren? Welche Ziele verfolgen sie, und wie haben sie vergleichbare Organisationen kompromittiert? Gute Threat Intelligence verbindet technische Beobachtungen mit Kontext zu Motiv, Fähigkeit und Vorgehen.
Der entscheidende Unterschied liegt zwischen Daten und Intelligence. Eine Liste von IP-Adressen ist ein Datenstrom. Intelligence entsteht erst, wenn diese Daten bewertet, mit Kontext versehen und auf die eigene Lage bezogen werden.
Ebenen und Quellen
- Strategisch: Lagebild für die Geschäftsleitung – welche Bedrohungen sind für unsere Branche und Region relevant, wie entwickeln sie sich, welche Investitionen folgen daraus.
- Operativ: Wissen über konkrete Kampagnen und Gruppen – wer ist aktiv, mit welchen Zielen, in welchen Zeitfenstern.
- Taktisch: Die konkreten TTPs einer Gruppe, abgebildet auf MITRE ATT&CK – die Grundlage für Erkennungsregeln und Adversary Emulation.
- Technisch: Konkrete Indikatoren (IOC) wie Domänen oder Dateimerkmale – nützlich, aber kurzlebig, da Angreifer sie schnell wechseln.
Quellen sind kommerzielle Anbieter, Behörden wie das BSI, Branchenverbünde zum Informationsaustausch (ISACs), offene Quellen (OSINT) und die eigenen Vorfälle. In regulierten Tests nach TIBER-EU und DORA liefert ein externer Threat-Intelligence-Provider die Bedrohungsszenarien, auf deren Basis das Red Team arbeitet – vorgeschrieben ist dieser externe Provider auch dann, wenn intern getestet wird.
Bedeutung für Unternehmen
Threat Intelligence macht Sicherheit zielgerichtet. Statt gegen alle denkbaren Bedrohungen zu rüsten, konzentrieren Sie Ressourcen auf die Gegner, die Ihre Branche tatsächlich angreifen. Das macht auch Tests aussagekräftiger: Ein Red Teaming, das reale TTPs relevanter Gruppen nachbildet, prüft Ihre Verteidigung gegen die Angriffe, die Ihre Wettbewerber bereits getroffen haben. Laut Bitkom-Wirtschaftsschutz 2026 lassen sich 52 Prozent der Angriffe auf Akteure aus China und 49 Prozent auf solche aus Russland zurückführen – Herkunft und Motiv sind Teil des Lagebilds.
Ein typischer Fehler ist, Threat Intelligence auf Indikatorlisten zu reduzieren und diese automatisiert in Sperrlisten zu kippen. Das erzeugt viel Aufwand bei geringem Nutzen, weil Indikatoren schnell veralten. Wertvoller ist die Übersetzung in TTPs und daraus abgeleitete, verhaltensbasierte Erkennung.
Praxis-Hinweise
- Definieren Sie Ihre Intelligence-Anforderungen: Welche Entscheidungen soll das Wissen unterstützen? Danach richtet sich die Auswahl der Quellen.
- Übersetzen Sie Intelligence in TTPs und Erkennungsregeln statt in reine Indikatorlisten.
- Nutzen Sie Branchenverbünde und das BSI; viel relevantes Wissen ist kostenfrei verfügbar.
- Lassen Sie Threat Intelligence in Scoping und Szenarienwahl Ihrer Sicherheitstests einfließen, damit diese die realen Gegner abbilden.