Hersteller, Behörden und Sicherheitsfirmen veröffentlichen laufend Warnungen zu Schwachstellen, Angriffswellen und Schadsoftware. Threat Intelligence, auf Deutsch etwa Bedrohungsaufklärung, ordnet diese Informationen so, dass ein Unternehmen daraus Entscheidungen ableiten kann: Was betrifft uns, wie dringend ist es, und was tun wir? Dieser Beitrag erklärt den Begriff, die drei Ebenen nach der EU-Agentur für Cybersicherheit ENISA, geeignete Quellen und einen Einstieg für kleine und mittlere Unternehmen.
Zwei verwandte Themen behandeln wir in eigenen Beiträgen. Wie eine Software Protokolle aus vielen Systemen zusammenführt und auswertet, erklärt der Beitrag zur SIEM-Lösung. Wie die laufende Überwachung organisiert wird, beschreibt der Beitrag IT Security Monitoring. Threat Intelligence liefert beiden das Wissen über Angreifer, das sie für Regeln und Bewertungen brauchen.
Was ist Threat Intelligence?
Microsoft beschreibt Cyber Threat Intelligence (CTI) in der Dokumentation zu Microsoft Sentinel als Information über vorhandene oder mögliche Bedrohungen für Systeme und Benutzer. Sie kann verschiedene Formen haben:
- Berichte: schriftliche Beschreibungen der Beweggründe, der Infrastruktur und der Techniken einer bestimmten Angreifergruppe.
- Einzelne Beobachtungen: IP-Adressen, Domains, Dateihashes und andere Merkmale, die bekannten Bedrohungen zugeordnet sind. Ein Dateihash ist eine Prüfsumme, an der sich eine bestimmte Datei wiedererkennen lässt. Solche Merkmale heißen Kompromittierungsindikatoren (Indicators of Compromise, IOC).
Laut Microsoft nutzen Organisationen CTI, um ungewöhnliche Aktivitäten einzuordnen, damit das Sicherheitspersonal schnell handeln kann. Eine Liste mit Indikatoren ist also Rohmaterial. Nützlich wird sie, wenn jemand prüft, ob sie zur eigenen Umgebung passt, und daraus eine Maßnahme ableitet.
Strategisch, taktisch, operativ: die drei Ebenen
Die ENISA unterscheidet in ihrer Methodik für Bedrohungslagebilder (August 2025) drei Ebenen. Sie trennt sie vor allem nach der Zielgruppe:
| Ebene | Inhalt laut ENISA | Typische Nutzer laut ENISA |
|---|---|---|
| Strategisch | Entwicklungen rund um Bedrohungen, auf die sich eine übergeordnete Strategie stützen kann, etwa eingeschätzte Beweggründe und Urheber | Sicherheitsstrategen und andere Entscheider bis zur Geschäftsleitung |
| Taktisch | die häufigsten Taktiken, Techniken und Vorgehensweisen (TTP), mit denen Angreifergruppen arbeiten | unter anderem Architekten von Netzen und Systemen, Verantwortliche für Sicherheitsmaßnahmen, Incident Response, Bedrohungssuche und IT-Forensik |
| Operativ | Vorzeichen und Hinweise auf bevorstehende Angriffe aus der Beobachtung der Bedrohungslage, häufig mit technischen Details wie IOCs | Incident Response und leitende Sicherheitsverantwortliche |
TTP steht für Tactics, Techniques and Procedures, also das typische Vorgehen eines Angreifers. Eine verbreitete Wissensbasis dafür ist MITRE ATT&CK. Sie beschreibt sich selbst als weltweit zugängliche Sammlung von Taktiken und Techniken von Angreifern auf Grundlage realer Beobachtungen.
Die Begriffe werden nicht einheitlich verwendet. Microsoft bezeichnet die indikatorbasierte Form als taktische Bedrohungsintelligenz, die ENISA ordnet IOCs dagegen der operativen Ebene zu. Für die Praxis ist das Etikett weniger wichtig als die Frage, wer eine Information nutzt und wofür. Wir empfehlen diese Aufteilung: Die Geschäftsleitung braucht Einschätzungen für Prioritäten und Budgets, die IT-Sicherheit Wissen über Angriffsmethoden für Erkennungsregeln und Härtung, die Technik konkrete Indikatoren für die unmittelbare Abwehr.
Woher Bedrohungsinformationen kommen
Microsoft nennt als Quellen für CTI unter anderem:
- frei verfügbare Datenfeeds (Open Source)
- Gemeinschaften zum Austausch von Bedrohungsinformationen
- kommerzielle Informationsfeeds
- eigene Erkenntnisse aus Sicherheitsuntersuchungen im Unternehmen
In Deutschland veröffentlicht CERT-Bund, das Computer-Notfallteam des BSI, über den Warn- und Informationsdienst (WID) Informationen zu neuen Schwachstellen und Sicherheitslücken sowie zu aktuellen Bedrohungen für IT-Systeme. Die Meldungen erscheinen im WID-Portal und lassen sich per RSS abonnieren. Hinzu kommen die Sicherheitshinweise der Hersteller, deren Produkte Sie einsetzen.
Eine wichtige Ergänzung liegt im eigenen Haus: Protokolle von Firewall, Servern, Endgeräteschutz und Anmeldediensten zeigen, ob ein externer Hinweis tatsächlich zu Ihrer Umgebung passt. Wir empfehlen, wenige Quellen zu wählen, die zu Ihren Produkten und Ihrer Branche passen, und diese regelmäßig auszuwerten. Jede zusätzliche Quelle bringt zusätzliche Meldungen, die jemand lesen und bewerten muss.
Der Kreislauf: vom Hinweis zur Maßnahme
Die ENISA gliedert die Erstellung eines Bedrohungslagebilds in sechs Schritte. Für ein Unternehmen lassen sie sich so übertragen:
- Ausrichtung (Direction): Welche Fragen soll Threat Intelligence beantworten? Zum Beispiel: Werden Schwachstellen in unseren Produkten gerade ausgenutzt?
- Sammeln (Collection): passende Quellen auswählen und abrufen.
- Aufbereiten (Processing): Doppeltes entfernen, Formate vereinheitlichen, Herkunft und Verlässlichkeit vermerken.
- Analysieren und Ergebnis erstellen (Analysis and Production): den Bezug zur eigenen Umgebung herstellen und bewerten.
- Verteilen (Dissemination): das Ergebnis an die richtige Stelle geben, etwa eine Zusammenfassung an die Leitung und technische Details an die Administration.
- Rückmeldung (Feedback): War die Information nützlich, und was fehlt? Die Antworten fließen in die nächste Runde ein.
Threat Intelligence in SIEM und Monitoring
Technisch wird Threat Intelligence oft in vorhandene Werkzeuge eingespeist. Als wichtigsten Anwendungsfall in SIEM-Lösungen nennt Microsoft Analyseregeln, die Ereignisse aus den eigenen Datenquellen mit Bedrohungsindikatoren abgleichen und bei Treffern Sicherheitswarnungen erzeugen. Für die Übertragung zwischen Systemen ist laut Microsoft die Kombination aus dem Datenformat STIX und dem Protokoll TAXII der am weitesten verbreitete Branchenstandard.
Bedrohungsinformationen brauchen Pflege. Microsoft nennt als Beispiel für eine Filterregel in Sentinel, alte Einträge mit geringer Vertrauenswürdigkeit auszusortieren, die sechs Monate lang nicht aktualisiert wurden. Wie ein SIEM Ereignisse sammelt, vereinheitlicht und zueinander in Beziehung setzt, erklärt unser Beitrag zur SIEM-Lösung.
Threat Intelligence und NIS2
Seit dem 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungsgesetz in Kraft. Nach § 30 BSIG müssen besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame Maßnahmen für die Sicherheit ihrer IT ergreifen und deren Einhaltung dokumentieren. Dazu gehören mindestens Konzepte zur Risikoanalyse und die Bewältigung von Sicherheitsvorfällen.
Threat Intelligence nennt das Gesetz nicht ausdrücklich. Sie kann aber eine Grundlage für die Risikoanalyse sein, weil sie zeigt, welche Angriffe auf Ihre Systeme derzeit beobachtet werden. Was NIS2 für Ihr Unternehmen bedeuten kann, beschreibt unsere Seite NIS2 und Risikomanagement. Dieser Abschnitt beschreibt Pflichten, eine Rechtsberatung ersetzt er nicht.
Einstieg für kleine und mittlere Unternehmen
Für den Anfang braucht es keine eigene Plattform. Wir empfehlen diese Schritte:
- Bestand kennen: Welche Systeme, Programme und Cloud-Dienste setzen Sie ein, und welche davon sind geschäftskritisch? Ohne diese Liste lässt sich kein Hinweis zuordnen.
- Fragen festlegen: zwei oder drei konkrete Fragen, etwa zu ausgenutzten Schwachstellen in Ihren Produkten oder zu aktuellen Phishing-Maschen.
- Quellen wählen: BSI-Warnungen, Herstellerhinweise und die Meldungen Ihrer vorhandenen Sicherheitswerkzeuge.
- Zuständigkeit regeln: Wer liest die Hinweise, wer bewertet sie, wer entscheidet über Maßnahmen, und wann wird die Geschäftsleitung informiert?
- Ergebnisse umsetzen: Ein relevanter Hinweis führt zu einer Maßnahme, etwa einem vorgezogenen Update, einer neuen Erkennungsregel oder einer Warnung an die Beschäftigten.
- Zurückblicken: Prüfen Sie in festen Abständen, welche Quellen geholfen haben und welche nur Meldungen erzeugt haben.
Unterstützung durch GSL
Wenn Ihr IT-Team Hinweise nicht laufend selbst auswerten kann, lässt sich diese Arbeit mit der Überwachung verbinden. Managed Detection and Response (MDR) bezeichnet die laufende Überwachung auf Angriffe mit Reaktion als Dienstleistung. Was wir dazu anbieten, lesen Sie auf unserer Seite zu MDR. Wie wir die IT-Sicherheit kleiner und mittlerer Unternehmen prüfen, beschreibt unsere Seite zur IT-Sicherheit.
Sie möchten klären, welche Bedrohungsinformationen für Ihr Unternehmen wichtig sind? Sprechen Sie uns an.