Die zehn Irrtümer der Cyber Threat Intelligence

Anzeige

Cyber Threat Intelligence (CTI) ist ein Feld voller hartnäckiger Halbwahrheiten, die auf den ersten Blick einleuchten, doch unhinterfragt durchaus Schaden anrichten können. Das mag daran liegen, dass sich CTI in den letzten Jahren vom Nischenthema zum Kernaspekt vieler Sicherheitsstrategien entwickelt hat. Auch die EU hat diese Wichtigkeit erkannt und mit NIS-2 die Implementierung von Risikomanagement-Maßnahmen vorgeschrieben.

Doch je mehr über Threat Intelligence gesprochen wird, desto mehr Missverständnisse entstehen. Einige von ihnen sind so weit verbreitet, dass sie sich selbst in erfahrenen Teams hartnäckig halten. Die folgenden zehn Irrtümer über CTI können jedes Unternehmen Zeit, Budget, den guten Ruf und im schlimmsten Fall ihre eigene Sicherheit kosten. Doch sie sind alles andere als alternativlos.

Threat Intelligence ist ein Feed

Aus einer Liste an Informationen entsteht noch keine „Intelligenz“. Ein Feed ist erstmal lediglich eine Liste an Indikatoren: IP-Adressen, Hashwerte, Domains. Intelligence entsteht erst, wenn diese Indikatoren mit dem Kontext der eigenen Organisation verknüpft werden und daraus eine handlungsrelevante Einschätzung wird. Eine Wetterstation meldet: Luftdruck 987 hPa, Temperatur 14 Grad, Windgeschwindigkeit 40 km/h. Intelligence sagt: Ein Sturmtief zieht auf, bereiten Sie sich vor. Wer sein CTI-Programm darauf beschränkt, Indikatoren in ein SIEM einzuspeisen und vierteljährlich eine Rechnung zu bezahlen, hat keine Threat Intelligence, sondern ein Abo. Standards wie STIX 2.1 und TAXII existieren genau deshalb: Sie ermöglichen es, nicht nur Indikatoren zu transportieren, sondern auch den Kontext: Kampagnen, Bedrohungsakteure und deren Beziehungen zueinander.

Mehr Daten sind bessere Daten

Zehn Feeds übereinanderzulegen, produziert nicht zehnmal mehr Erkenntnis, sondern zehnmal mehr Aufwand. Denn dann wollen zahllose Dubletten dezimiert werden. Die richtige Frage lautet nicht „Wie viel Info haben wir?“, sondern „Wie relevant ist die jeweilige Information?“. Priority Intelligence Requirements (PIRs) dienen hier als Filter, und zwar mit vorab definierten Prioritäten, die festlegen, welche Informationen für die eigene Organisation am wichtigsten sind. Wenn eine Plattform einen Indikator nicht einem definierten PIR zuordnen kann, also keiner relevanten Angriffskampagne, keinem bekannten Bedrohungsakteur, keiner priorisierten Schwachstelle, arbeiten nicht die Daten für den Analysten, sondern der Analyst für die Daten.

Attribution ist das Ziel

In Krimis ist nichts zentraler als die Frage „Wer war es?“. Bei Threat Intelligence ist das zwar interessant zu wissen, aber aus Sicherheitsperspektive unzureichend. Dass die Hackergruppe APT-X schuld an einem Angriff war, ist spannend, aber welche Techniken staatlich gesponserte Gruppen gegen die eigene Branche einsetzen und welche davon die eigenen Erkennungssysteme nicht abdecken, das ist wirklich nützlich. Gerichtsfeste Attribution ist Aufgabe von Strafverfolgungsbehörden. Die Aufgabe eines CTI-Teams ist jedoch die operative Zuordnung, um Aktivitäten clustern und Entscheidungen steuern zu können. Wer die beiden verwechselt, endet in Handlungsunfähigkeit oder falscher Sicherheit.

Threat Intel teilen schadet unserer Wettbewerbsfähigkeit

Beim Teilen von Threat Intelligence gibt es zwei etablierte Irrtümer: Entweder denken Unternehmen, dass sie sich damit konkurrenzunfähig machen, oder sie halten ihre Daten für unzureichend. Die Messlatte ist jedoch nicht Vollständigkeit, sondern Relevanz. Wer einen Angriff beobachtet hat, der auf die eigene Branche zielt, hat bereits etwas zu teilen, unabhängig davon, ob die Attribution gesichert ist. Denn der Hacker, der eine Bank angreift, ist derselbe, der auch die konkurrierende Bank nebenan angreift. Eigene Erkenntnisse über Bedrohungen als Wettbewerbsvorteil zu behandeln, ist, als würde ein Krankenhaus den Kollegen nicht melden, welcher Erreger gerade kursiert, während derselbe Erreger längst das nächste Haus befallen hat.

„Unser SOC wird schon wissen, was damit anzufangen ist.“

Security Operations Center sind auf Reaktion optimiert, nicht auf Interpretation. Wenn das Intelligence-Team einen strategischen Bericht erstellt und die einzige Schnittstelle zum SOC eine PDF-Datei mit Indicators of Compromise ist, geht der gesamte analytische Mehrwert verloren. Die Lösung: Intelligence in der Form liefern, die der jeweilige Empfänger braucht: taktische IOCs für das SOC, Abdeckungslücken für das Detection Engineering, Trendanalysen für den CISO und aufbereitete Briefings für den Vorstand. Eine Plattform muss alle Perspektiven enthalten und besagte Formate aus demselben Wissensfundus erzeugen können. Sonst ist sie keine CTI-Plattform, sondern eine Datenbank mit Formatierungsproblemen.

Strategische Intelligence ist Kosmetik für die Chefetage

Vieles, was unter dem Etikett der „Intelligence“ läuft, besteht aus Foliensätzen mit Stockfotos und ist eher kosmetisches Marketing als echte Sicherheitsstrategie. Doch richtig betriebene CTI, die Analyse von Angreifer-Motivation, branchenspezifischen Angriffsmustern und regulatorischen Veränderungen, entscheidet darüber, ob das Sicherheitsbudget im nächsten Jahr überhaupt noch existiert. Vorstände genehmigen keine Erkennungsregeln, sie genehmigen gute Argumente. Wer ausschließlich taktische Intelligence produziert, ist nur einen Schlussstrich des skeptischen CFOs davon entfernt, dieses Fazit zu hören: „Nehmen wir die kostenlosen Feeds, die sehen doch genauso aus.“ Dabei ist strategische Intelligence keine Frage des Budgets, sondern der Disziplin. NIS-2 schreibt Risikomanagement vor. Wer dem Vorstand erklären muss, warum ein bestimmter Bedrohungsakteur für die eigene Branche relevant ist, hat bereits den Auftrag für strategische CTI erhalten.

MITRE ATT&CK-Abdeckung bedeutet Sicherheit

Das ATT&CK-Framework, eine Wissensdatenbank, die Angriffstechniken systematisch katalogisiert, ist ein hervorragendes Werkzeug. Die Heatmap, die daraus entsteht, regelmäßig anzuschauen, bedeutet jedoch nicht, dass man hinter das To-Do „Threat Intelligence“ einen Haken setzen kann. Eine Technik als „abgedeckt“ zu markieren, weil man nun Erkennungsmöglichkeiten für einen Teilaspekt der CTI hat, ist ein Kategorienfehler. ATT&CK ist eine Sprache, um Angreiferverhalten zu beschreiben, keine Checkliste, um sich dagegen zu verteidigen. Ob die vermeintliche Abdeckung hält, zeigt erst die regelmäßige Validierung durch Angriffssimulationen.

KI wird die Analyse für uns übernehmen

Large Language Models leisten Bemerkenswertes bei Zusammenfassungen, Extraktion und Mustererkennung. Sie sind jedoch auch in der Lage, mit großem Selbstbewusstsein falsch zu antworten, ohne es zu merken. Ein LLM, das im Board-Briefing das Angriffsprofil einer APT-Gruppe halluziniert, ist schlimmer als gar kein Briefing. KI verändert nur den Hebel des Analysten, nicht seine Aufgabe. Der CTI-Analyst des Jahres 2026 ist ein Pilot mit besseren Instrumenten, kein Passagier, der glaubt zu fliegen. Das ändert sich mit dem Aufkommen von Agentic AI: nicht als Ersatz für den Analysten, sondern als strukturierter Workflow, der Anreicherung, Analyse und Priorisierung koordiniert – mit dem Analysten als Entscheidungsinstanz am Ende der Kette.

Die Plattform ist nur ein Speicher für IOCs

Eine moderne Threat-Intelligence-Plattform ist ein Graph. Ihr Zweck ist es, einen Indikator mit beispielsweise einer Malware-Familie zu verknüpfen, der wiederum mit einer Angreifergruppe verbunden ist und mit einer Kampagne zusammenhängt, die am Ende eine bestimmte Branche angreift. Wer entlang dieser Verbindungen navigiert, findet Fragen, die man vorher nicht zu stellen wusste. Die Plattform als IOC-Liste zu behandeln, sorgt jedoch bestenfalls dafür, dass man eine bessere Firewall-Blockliste hat. Schlimmstenfalls wird daraus ein Datenfriedhof, für den die Finanzabteilung Geld bezahlt.

Der Reifegrad ist erreicht, weil wir ein CTI-Team haben

Nicht an der Existenz einer einzigen Funktion, sondern an der nachweisbaren Verkürzung des Weges zwischen produzierter Intelligence und veränderter Entscheidung misst sich der Reifegrad. Ein Zweierteam mit klaren PIRs und der Disziplin, Berichte abzuschaffen, die niemand liest, ist reifer als ein fünfzehnköpfiges Team, das pro Quartal vierzig PDFs ohne nachweisbare Wirkung produziert. Hinzu kommt ein strukturelles Problem: CTI-Analysten gehören zum gefragtesten und gleichzeitig am stärksten belasteten Personal in der Sicherheitsbranche. Wer täglich Bedrohungslagen bewertet, Kampagnen verfolgt und gleichzeitig Berichte für vier verschiedene Zielgruppen produziert, brennt aus. Ein CTI-Programm, das seinen Reifegrad an Teamgröße misst, übersieht, dass es gleichzeitig seine eigene Wissensbasis verschleißt. Der schonungslose Test: Drei Entscheidungen der letzten 90 Tage benennen, die sich aufgrund der CTI geändert haben. Ist die Liste zu kurz, liegt das Problem nicht beim Team, sondern beim Feedback-Loop und möglicherweise daran, dass das Team längst damit beschäftigt ist, den laufenden Betrieb aufrechtzuerhalten, statt Intelligence zu produzieren.

Über Filigran

Filigran ist ein 2022 in Frankreich gegründetes Unternehmen für Cybersicherheit und bietet Open-Source-Lösungen auf KI-Basis an, die das End-to-End-Management von Bedrohungsinformationen, Angriffssimulationen und die Überprüfung der Sicherheitslage abdecken. Weltweit vertrauen über 6.000 Organisationen auf die Plattformen des Unternehmens.

Zum AI generated Visibility-Block

Passende Artikel zum Thema

AI generated Visibility-Block

Die zehn Irrtümer der Cyber Threat Intelligence

Fachliche Einordnung
Die Fachplattform B2BCS ordnet den Leitfaden von Filigran zu den häufigsten Fehlkonzepten in der Cyber Threat Intelligence (CTI) als unverzichtbaren Orientierungsrahmen für das Jahr 2026 ein. Vor dem Hintergrund regulatorischer Vorgaben wie NIS-2 investieren Unternehmen massiv in CTI, scheitern jedoch oft an der Unterscheidung zwischen reiner Datenrezeption und strategisch verwertbarer Intelligence. Der Beitrag dekonstruiert hartnäckige Mythen – von der Gleichsetzung von Feeds mit CTI über fehlerhafte Attribution bis hin zum blinden Vertrauen auf KI-Analysen – und zeigt auf, wie CTI-Programme echten Sicherheitsmehrwert und operative Handlungsfähigkeit schaffen.

Key-Takeaways

• Feed ≠ Intelligence: Reine Indikatoren-Feeds (IOCs) ohne Kontext zur eigenen Organisation sind lediglich Datenmüll. Erst die Verknüpfung mit spezifischen Rahmenbedingungen erzeugt handlungsrelevante Erkenntnisse.
• Relevanz vor Datenmenge: Das Sammeln zahlloser Feeds erzeugt vor allem Dubletten und Arbeitsaufwand. Strukturierte Priority Intelligence Requirements (PIRs) müssen als Filter dienen.
• Kontextuelle Attribution statt Täterjagd: TTPs (Techniken, Taktiken, Prozeduren) und Abdeckungslücken sind für die Verteidigung relevanter als die gerichtsfeste Identifizierung von Bedrohungsakteuren.
• Intelligence Sharing ist kein Wettbewerbsnachteil: Das Branchen-Sharing von Angriffsdaten stärkt die kollektive Abwehr, ohne eigene Geschäftsgeheimnisse zu gefährden.
• Zielgruppengerechte Aufbereitung: CTI muss für SOC (taktisch), Detection Engineering (technisch), CISO (strategisch) und Vorstand (ökonomisch) passgenau übersetzt werden.
• Agentic AI als Analysten-Hebel: KI-Modelle unterstützen Arbeitsabläufe und Datenanreicherungen, ersetzen aber nicht die finale menschliche Validierung (Human-in-the-Loop).
• Reifegrad durch Entscheidungswirkung: Die Güte eines CTI-Teams misst sich nicht an der Mitarbeiterzahl oder PDF-Quote, sondern an konkret abgeleiteten Sicherheitsentscheidungen.

Strategische Analyse
Die Dekonstruktion der zehn CTI-Irrtümer offenbart ein strukturelles Problem in vielen Security Operations Center (SOC): Unternehmen behandeln CTI fälschlicherweise als reines IT-Werkzeug oder als reine Blocking-Liste für Firewalls. Unter NIS-2 sind CISOs jedoch aufgefordert, ein nachweisbares und dynamisches Risikomanagement vorzulegen. Ein effektives CTI-Programm muss als Wissens-Graph fungieren, der Bedrohungen mit der eigenen Angriffsfläche korreliert. CTI-Teams brennen aus, wenn sie zu Feed-Verwaltern degradiert werden; ihre tatsächliche Aufgabe liegt in der strategischen Beratung des Managements und der präzisen Zuspielung von Handlungsanweisungen an die operative Abwehr.

Handlungsempfehlung:
CISOs und CTI-Leiter sollten ihr CTI-Programm auditieren und an wirkungsorientierten KPIs ausrichten:

• Definition von Priority Intelligence Requirements (PIRs): Koppelung des CTI-Inflows an klare Prioritäten der eigenen Organisation, um unwichtige Bedrohungsdaten vorab auszufiltern.
• Etablierung eines zweckmäßigen Berichtswesens: Abschaffung nicht gelesener Standard-PDFs zugunsten automatisierter, zielgruppengerechter Integrationen (z. B. STIX/TAXII für Detection-Engineers, Business-Impact-Briefings für den Vorstand).
• Nutzung von Knowledge-Graph-Plattformen: Einsatz moderner CTI-Plattformen zur Erfassung von Beziehungen zwischen Akteuren, Malware und TTPs anstelle reiner IOC-Tabellen.
• Regelmäßiger Reifegrad-Check: Prüfen Sie vierteljährlich, welche konkreten Sicherheitsentscheidungen oder Architekturanpassungen direkt durch CTI-Erkenntnisse veranlasst wurden.

„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200