TTP (Taktiken, Techniken, Prozeduren)

TTP bezeichnet die Verhaltensmuster eines Angreifers auf drei Ebenen: das Ziel eines Schritts (Taktik), die Methode (Technik) und die konkrete Umsetzung mit Werkzeugen und Befehlen (Prozedur).

TTP steht für Tactics, Techniques and Procedures – Taktiken, Techniken und Prozeduren. Der Begriff beschreibt, wie ein Angreifer vorgeht, in drei Abstraktionsebenen vom Allgemeinen zum Konkreten. Die Taktik ist das Ziel eines Angriffsschritts, etwa „Zugangsdaten erlangen“. Die Technik ist die Methode, mit der dieses Ziel erreicht wird, etwa Kerberoasting oder das Auslesen von Anmeldedaten aus dem Arbeitsspeicher. Die Prozedur ist die konkrete Umsetzung: welches Werkzeug, welche Befehlszeile, welche Reihenfolge, welche Tarnung.

TTPs sind der Kern der Wissensbasis MITRE ATT&CK und die Arbeitsgrundlage für Adversary Emulation, Purple Teaming und Detection Engineering. Sie beschreiben Verhalten, nicht Artefakte – und darin liegt ihr Wert.

TTPs und die Pyramid of Pain

Der Sicherheitsforscher David Bianco hat 2013 mit der „Pyramid of Pain“ veranschaulicht, warum TTPs für die Verteidigung wichtiger sind als technische Indikatoren (IOC):

• Hashwerte, IP-Adressen, Domänen bilden die Basis der Pyramide. Sie sind leicht zu erkennen, aber für Angreifer in Minuten austauschbar – eine neue Kompilierung, ein neuer Server, eine neue Domäne.
• Netzwerk- und Host-Artefakte sowie Werkzeuge liegen in der Mitte. Ein Wechsel kostet den Angreifer Stunden bis Tage.
• TTPs stehen an der Spitze. Wer das Verhalten eines Angreifers erkennt – etwa dass ein Dienstkonto plötzlich interaktiv auf mehreren Servern angemeldet wird –, zwingt ihn, seine Vorgehensweise zu ändern. Das ist aufwendig, fehleranfällig und für viele Gruppen schlicht nicht möglich.

Für Red Teams gilt dieselbe Logik spiegelbildlich: Wir können Werkzeuge und Infrastruktur beliebig variieren, um Signaturen zu umgehen; die Techniken selbst – Lateral Movement über Fernwartungsprotokolle, Privilege Escalation über Fehlkonfigurationen – bleiben gleich. Eine Verteidigung, die Verhalten erkennt, bemerkt uns auch mit neuem Werkzeug.

Bedeutung für Unternehmen

Die Frage „Welche TTPs können wir erkennen?“ ist die präziseste Formulierung von Sicherheitsreife. Laut CrowdStrike Global Threat Report 2026 verliefen 82 Prozent der Erkennungen malware-frei: Angreifer nutzen legitime Zugangsdaten und Bordmittel des Betriebssystems. Für diese Angriffe gibt es keine Signatur – nur Verhalten. Wer Erkennung ausschließlich auf Indikatoren stützt, ist gegen professionelle Angreifer weitgehend blind.

Ein typischer Fehler im Management ist, Sicherheitsberichte an der Zahl blockierter Indikatoren zu messen. Aussagekräftiger ist der Anteil der branchenrelevanten TTPs, die in einem Test erkannt wurden – und wie er sich über die Zeit entwickelt.

Praxis-Hinweise

• Lassen Sie Threat Intelligence in TTPs übersetzen statt in Indikatorlisten; nur so entsteht Erkennung, die Bestand hat.
• Bauen Sie Erkennungsregeln verhaltensbasiert (Detection Engineering) und testen Sie jede Regel gegen die echte Technik.
• Fordern Sie in Red-Team-Berichten die Zuordnung jedes Schritts zu Taktik, Technik und Prozedur ein, inklusive der genutzten Befehle.
• Pflegen Sie eine Liste der zehn bis zwanzig TTPs, die für Ihre Branche am relevantesten sind, und prüfen Sie deren Erkennung regelmäßig im Purple Teaming.