MITRE ATT&CK für Entscheider: Taktiken, Heatmap und Budgetargumente

Wenn Ihr Sicherheitsteam oder ein externes Red Team über „T1078“ spricht, über Heatmaps und Coverage, dann ist MITRE ATT&CK im Spiel. Das Rahmenwerk ist in den letzten Jahren zur gemeinsamen Sprache von Angreifern, Verteidigern, Herstellern und Prüfern geworden. Für Entscheider ist es zugleich eine Chance: ATT&CK übersetzt technische Sicherheitsarbeit in eine Struktur, mit der sich Investitionen begründen und Fortschritt messen lassen – ohne dass man selbst Techniken im Detail verstehen muss.

Dieser Beitrag erklärt, was ATT&CK ist, wie Red Teams damit arbeiten, wie eine Heatmap aus einem Test entsteht und wie Sie damit Budgetentscheidungen untermauern. Eine Tabelle der 15 Taktiken mit je einer Ein-Satz-Erklärung macht das Rahmenwerk auch für Geschäftsführung und Aufsichtsgremien lesbar.

Was MITRE ATT&CK ist

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) ist eine öffentlich zugängliche Wissensbasis über das Verhalten realer Angreifer. Die gemeinnützige MITRE Corporation pflegt sie seit 2013 und aktualisiert sie regelmäßig auf Grundlage dokumentierter Vorfälle. Das Rahmenwerk beschreibt nicht Schwachstellen, sondern Vorgehensweisen: Was tut ein Angreifer, nachdem er eine E-Mail mit Schadcode versendet hat, wie bewegt er sich im Netz, wie verschleiert er seine Aktivität?

ATT&CK ist in drei Ebenen gegliedert:

• Taktiken sind die Ziele eines Angreifers in einer Phase: etwa „Zugang erlangen“ oder „Rechte ausweiten“. Die Enterprise-Matrix umfasst aktuell 15 Taktiken.
• Techniken und Sub-Techniken beschreiben, wie ein Ziel erreicht wird, beispielsweise Phishing mit Anhang oder Diebstahl von Anmeldedaten aus dem Arbeitsspeicher. Jede Technik hat eine Kennung wie T1566 und enthält Beschreibungen, Erkennungsansätze und Gegenmaßnahmen.
• Gruppen und Software ordnen Techniken bekannten Angreifergruppen und Werkzeugen zu. So lässt sich nachvollziehen, welche Techniken etwa eine bestimmte Ransomware-Gruppe typischerweise einsetzt.

Neben der Enterprise-Matrix für Unternehmensnetze, Cloud und Identitäten existieren Matrizen für Mobilgeräte und für industrielle Steuerungssysteme. Im Glossar erläutern wir das Rahmenwerk unter MITRE ATT&CK und das Konzept der TTPs – Taktiken, Techniken und Prozeduren.

Die 15 Enterprise-Taktiken

Die Taktiken folgen grob dem Ablauf eines Angriffs, auch wenn reale Angriffe selten linear verlaufen. Die folgende Tabelle erklärt jede Taktik in einem Satz aus Sicht des Angreifers.

Die Aufteilung der früheren Taktik „Defense Evasion“ in Stealth und Defense Impairment trennt zwei Verhaltensweisen, die für Verteidiger unterschiedlich zu behandeln sind: unauffällig bleiben gegenüber aktiv Schutzmechanismen sabotieren. Letzteres ist meist gut erkennbar, wenn die Alarme darauf eingerichtet sind.

Wie Red Teams mit ATT&CK arbeiten

Für ein Red Team ist ATT&CK zunächst ein Planungswerkzeug. Bei der Adversary Emulation bilden wir das Vorgehen einer konkreten Angreifergruppe nach, die für Ihr Unternehmen relevant ist – etwa eine Ransomware-Gruppe, die Ihre Branche angreift, oder eine staatsnahe Gruppe, die es auf Ihre Technologie abgesehen hat. ATT&CK liefert die dokumentierten Techniken dieser Gruppe, aus denen wir einen Angriffsplan zusammenstellen, der dem realen Verhalten entspricht statt dem Lieblingswerkzeug des Testers.

Während des Tests protokollieren wir jede eingesetzte Technik mit Zeitstempel und Zielsystem. Nach dem Test vergleichen wir dieses Protokoll mit den Daten Ihres Blue Teams: Welche Aktion hat einen Alarm ausgelöst, welche wurde blockiert, welche blieb unbemerkt? Das Ergebnis ist die ATT&CK-Heatmap, eine eingefärbte Matrix mit drei Zuständen pro geprüfter Technik:

• Blockiert: Eine präventive Kontrolle hat die Technik verhindert – etwa Application Allowlisting, MFA oder eine gehärtete Konfiguration.
• Erkannt: Die Technik ist gelungen, hat aber einen Alarm erzeugt, der beim SOC angekommen ist. Hier ist wichtig, ob der Alarm auch zu einer Reaktion geführt hat.
• Unentdeckt: Die Technik ist gelungen, ohne dass eine Kontrolle angeschlagen hat. Das sind die Lücken, die zuerst geschlossen werden müssen.

Die Heatmap ist Standardbestandteil unseres Berichts, weil sie auf einer Seite zeigt, wo die Verteidigung steht. Sie ist für Vorstand und Aufsichtsrat verständlich, ohne eine einzige technische Zeile lesen zu müssen. Was der Bericht darüber hinaus enthalten sollte, beschreibt unser Beitrag Red-Team-Bericht: Was drin stehen muss.

Wie Sie damit Budget begründen

Sicherheitsbudgets scheitern selten an fehlendem Risikobewusstsein, sondern an fehlender Priorisierung: Welche von zwanzig vorgeschlagenen Maßnahmen bringt am meisten? ATT&CK bietet dafür einen Rahmen, der sich in Budgetgesprächen bewährt hat.

1. Relevante Bedrohungen eingrenzen: Aus Threat Intelligence und Branchenberichten ergeben sich die Angreifergruppen, die für Ihr Unternehmen wahrscheinlich sind. Ihre Techniken sind in ATT&CK dokumentiert.
2. Abdeckung ermitteln: Die Heatmap aus einem Red Teaming oder Purple Teaming zeigt, welche dieser Techniken Sie blockieren, erkennen oder übersehen.
3. Lücken bewerten: Eine unentdeckte Technik, die mehrere relevante Gruppen regelmäßig nutzen, wiegt schwerer als eine seltene. So entsteht eine Rangfolge der Lücken.
4. Maßnahmen zuordnen: ATT&CK nennt für jede Technik Gegenmaßnahmen und Datenquellen für die Erkennung. Daraus lässt sich ableiten, ob eine Lücke durch Konfiguration, eine neue Erkennungsregel oder eine Investition in Technik zu schließen ist.
5. Kosten gegenüberstellen: Häufig zeigt sich, dass viele Lücken mit vorhandener Technik und besserer Konfiguration zu schließen sind, während wenige echte Investitionen erfordern. Das Budgetgespräch wird konkret.

Statt „Wir brauchen ein neues EDR“ lautet das Argument dann: „Von den 40 Techniken, die die für uns relevanten Gruppen nutzen, erkennen wir 22. Acht der 18 Lücken schließen wir mit Konfiguration bis Quartalsende. Für die übrigen zehn brauchen wir Logging-Daten, die wir heute nicht erheben – dafür beantragen wir dieses Budget.“ Eine solche Aussage kann eine Geschäftsführung prüfen und verantworten.

Fortschritt messen

Der zweite Nutzen für Entscheider ist die Messbarkeit über Zeit. Wiederholen Sie einen Test nach zwölf Monaten mit vergleichbaren Techniken, zeigt der Vergleich zweier Heatmaps den Fortschritt: Wie viele Techniken sind von „unentdeckt“ zu „erkannt“ oder „blockiert“ gewandert? Das ist eine Kennzahl, die in einen Sicherheitsbericht an die Geschäftsleitung gehört – gerade angesichts der Überwachungspflichten, die das NIS2-Umsetzungsgesetz der Geschäftsleitung auferlegt.

Besonders wirksam ist die Messung im Purple Teaming. Dort führt das Red Team Technik für Technik aus, während das Blue Team live prüft, ob die Erkennung greift, und Regeln sofort nachschärft. Jede Sitzung liefert einen dokumentierten Vorher-Nachher-Stand. Wie Purple Teaming und Detection Engineering zusammenspielen, beschreibt unser Beitrag Purple Teaming und Detection Engineering.

Drei Hinweise zur Interpretation: Erstens ist hundertprozentige Abdeckung weder realistisch noch nötig; Ziel ist, die für Sie relevanten Techniken abzudecken. Zweitens prüft ein Test immer nur eine Prozedur pro Technik – dass Sie eine Variante erkennen, heißt nicht, dass Sie alle erkennen. Drittens verändert sich ATT&CK selbst; Vergleiche über Jahre müssen die Versionsstände berücksichtigen.

Grenzen des Rahmenwerks

ATT&CK ist eine Landkarte des Angreiferverhaltens, kein Maßstab für Sicherheit insgesamt. Es sagt nichts über Backup-Qualität, Notfallpläne oder Governance aus. Es dokumentiert, was Angreifer bereits getan haben, nicht, was sie als Nächstes tun werden. Und eine bunte Heatmap kann Sicherheit vortäuschen, wenn sie aus Herstellerangaben statt aus einem echten Test stammt. Wer ATT&CK als eines von mehreren Instrumenten neben Risikoanalyse, Standards wie ISO 27001 und regelmäßigen Tests nutzt, nutzt es richtig.

Fazit

MITRE ATT&CK gibt Entscheidern eine gemeinsame Sprache mit ihren Sicherheitsteams und externen Prüfern. Die 15 Taktiken strukturieren den Angriffsverlauf, die Heatmap aus einem Red Teaming zeigt auf einer Seite, wo Ihre Verteidigung blockiert, erkennt oder blind ist, und der Vergleich zweier Heatmaps macht Fortschritt messbar. Wer Budgetanträge auf diese Grundlage stellt, argumentiert mit Risiko statt mit Produktnamen. Wenn Sie Ihre Erkennungsabdeckung systematisch prüfen und verbessern möchten, ist Purple Teaming der direkteste Weg – wir zeigen Ihnen gern, wie eine erste Heatmap Ihrer Organisation entsteht.

Quellen

• MITRE Corporation, ATT&CK Enterprise Matrix, attack.mitre.org
• MITRE Corporation, ATT&CK Design and Philosophy, 2020
• Bundesamt für Sicherheit in der Informationstechnik, Die Lage der IT-Sicherheit in Deutschland 2025, bsi.bund.de

Häufige Fragen zum Thema