test the episodes
Was ist Cyber Threat Management?
Cyber Threat Management umfasst die Gesamtheit der Prozesse, Tools und Praktiken, mit denen eine Organisation Cyber-Bedrohungen über ihren gesamten Lebenszyklus hinweg verwaltet: von der Identifizierung über die Klassifizierung, die Analyse und die Priorisierung bis hin zur Reaktion, Dokumentation und kontinuierlicher Verbesserung.
Es geht dabei nicht nur darum, Angriffe abzuwehren: Cyber Threat Management dient vielmehr dem Aufbau einer umfassenden operativen Fähigkeit, um folgende Fragen zu beantworten:
- Welche Bedrohungen können die Organisation treffen?
- Welche Assets sind besonders gefährdet?
- Welche Signale müssen überwacht werden?
- Welche Teams sollten eingebunden werden?
- Welche Verfahren müssen aktiviert werden?
- Welche Nachweise sollten gesichert werden?
Mit anderen Worten: Cyber Threat Management verwandelt Cybersicherheit von einer Ansammlung isolierter Reaktionen in ein koordiniertes System.
Beispiele für Cyber Threat Management
Im Folgenden finden sich zwei aufeinander aufbauende Beispiele, die veranschaulichen, wie Cyber Threat Management in der Praxis aussieht.
Szenario als Negativ-Beispiel
Folgendes Szenario: Ein Unternehmen erhält mehrere Meldungen von Mitarbeitenden über verdächtige E-Mails. Einige Nutzer haben auf einen Link geklickt, andere haben die Nachricht lediglich an den Service Desk weitergeleitet, wieder andere haben die Warnung ignoriert.
Ohne einen strukturierten Prozess besteht die Gefahr, dass die Situation fragmentiert angegangen wird: Manche Meldungen verbleiben im Support-Postfach, andere werden vom Security Operations Center (SOC) bearbeitet und wieder andere nicht korrekt klassifiziert. Es ist nicht sofort ersichtlich, ob es sich um einen einzelnen Phishing-Versuch oder um einen umfassenderen Angriff handelt. Genau in dieser Intransparenz liegen erhebliche Risiken.
Szenario mit einem strukturierten Konzept
Mit einem Cyber-Threat-Management-Ansatz hingegen wird jede Meldung erfasst, klassifiziert, um technische Informationen ergänzt, mit den betroffenen Assets oder Benutzern verknüpft und an das zuständige Team weitergeleitet. Treten wiederkehrende Indikatoren auf – dieselbe Domain, derselbe Anhang oder derselbe Betreff –, führt das System die Ereignisse zusammen und behandelt sie zusammenhängend.
Daraufhin lassen sich koordinierte Maßnahmen einleiten: das Sperren der Domain, die Analyse des Anhangs, die Überprüfung der Endgeräte, die Information der Benutzer, das Zurücksetzen von Zugangsdaten, die Eröffnung eines Security Incidents und die Dokumentation der Beweise.
Der entscheidende Punkt ist folgender: Die Bedrohung wird nicht als eine Reihe voneinander unabhängiger Tickets, sondern als strukturierter Vorgang behandelt – mit konsistenten Informationen, klar definierten Workflows und eindeutig festgelegten Verantwortlichkeiten.
Cyber Threat Management vs. Risikomanagement
Cyber Threat Management und Risikomanagement stehen in engem Zusammenhang, sind jedoch nicht identisch: Das Risikomanagement ist eine umfassendere Disziplin, die das allgemeine Risiko-Framework eines Unternehmens definiert.
Es befasst sich daher mit sämtlichen Arten von Risiken, die Auswirkungen auf die Organisation haben können:
- operative
- finanzielle
- regulatorische
- technologische
- reputationsbezogene
- sicherheitsrelevante
Cyber Threat Management konzentriert sich hingegen auf eine spezifische Kategorie: Cyber-Bedrohungen. Es ist operativer ausgerichtet, näher am täglichen Sicherheitsmanagement und stärker von Monitoring-, Klassifizierungs-, Orchestrierungs- und Incident-Response-Tools abhängig.
- Vereinfacht ausgedrückt, beantwortet das Risikomanagement Fragen wie: „Welche Cyberrisiken sind für unser Unternehmen am kritischsten?“
- Cyber Threat Management hingegen beschäftigt sich mit konkreten Fragestellungen wie diesen: „Wie reagieren wir auf diese Warnmeldung, diese Phishing-Kampagne oder dieses auffällige Verhalten?“
Warum ist das Cyber Threat Management so wichtig?
Früher konnten sich viele Unternehmen einen eher reaktiven Ansatz bei der Cybersicherheit leisten: Ein Problem wurde erkannt, ein Ticket eröffnet, das technische Team eingebunden und der Vorfall behoben.
Heute reicht dieses Modell nicht mehr aus: Ein Angriff kann sich in kurzer Zeit ausbreiten, unterschiedliche Systeme betreffen, Zugangsdaten missbrauchen, externe Dienstleister einbeziehen und innerhalb weniger Stunden operative sowie regulatorische Folgen verursachen.
Deshalb muss das Bedrohungsmanagement heute vor allem drei Eigenschaften erfüllen: proaktiv, koordiniert und dokumentiert sein.
- Es muss proaktiv sein, weil man nicht warten kann, bis ein Sicherheitsvorfall für alle offensichtlich wird. Schwache Signale müssen frühzeitig erkannt werden.
- Es sollte koordiniert sein, weil Cybersicherheit längst nicht mehr allein Aufgabe des SOC ist. Sie betrifft die IT, den Service Desk, das Risikomanagement, die Compliance, die Rechtsabteilung, das Management, die interne Kommunikation und externe Partner. Silodenken funktioniert also nicht.
- Es muss dokumentiert werden, weil jede Entscheidung für Audits, Compliance-Anforderungen, Analysen nach dem Vorfall und kontinuierliche Verbesserungen relevant sein kann.
Hinzu kommt das Vertrauen als ein für die heutige Zeit ungemein wichtiger Aspekt: Kunden, Partner und Aufsichtsbehörden erwarten von Unternehmen nicht nur den Einsatz moderner Sicherheitslösungen, sondern auch den Nachweis ausgereifter Prozesse, um Tools effektiv einzusetzen.
All dies unterstreicht die zentrale Bedeutung des Cyber Threat Managements.
Schritte: So funktioniert Cyber Threat Management
Ein wirksames Cyber-Threat-Management-Modell basiert stets auf einer Abfolge integrierter Aktivitäten:
1. Schritt: Identifizierung
Bedrohungen können aus unterschiedlichsten Quellen stammen, wie diesen:
- Monitoring-Tools
- SIEM-Systeme
- Endpoint Protection
- Benutzer-Meldungen
- Threat Intelligence
- Schwachstellenscanner
- interne Audits
- Benachrichtigungen von Lieferanten oder Behörden
Entscheidend ist, dass diese Signale nicht isoliert bleiben. Sie müssen in einem System zusammengeführt werden, das sie erfasst und in konkrete Maßnahmen überführt.
2. Schritt: Klassifizierung
Nicht jedes Ereignis besitzt dieselbe Schwere. Eine geringfügige Anomalie sollte nicht wie ein kritischer Sicherheitsvorfall behandelt werden. Die Klassifizierung dient dazu, Ereignisse, Incidents, Vorgänge, betroffene Assets, Vertraulichkeitsstufen und Prioritäten voneinander zu unterscheiden.
3. Schritt: Analyse
Hier wird das Ereignis mit technischen und kontextbezogenen Informationen angereichert: beteiligte Benutzer, betroffene Assets, Indicators of Compromise (IoCs), Anhänge, Logdaten, forensische Beweise und Korrelationen mit anderen Ereignissen. Ziel ist es, aus einem rohen Signal eine fundierte Entscheidungsgrundlage zu machen.
4. Schritt: Orchestrierung der Reaktion
Es zählt, die richtigen Teams einzubinden, Benachrichtigungen zu versenden, Workflows zu starten, externe Tools anzubinden, wiederkehrende Aufgaben zu automatisieren und sämtliche Aktivitäten nachzuverfolgen.
5. Schritt: Dokumentation
Die Dokumentation ist nicht nur für die Rekonstruktion des Vorfalls, sondern auch für den Nachweis der Compliance und die Unterstützung kontinuierlicher Verbesserungen entscheidend.
6. Schritt: Überprüfung
Jede bewältigte Bedrohung sollte das Gesamtsystem verbessern: indem Verfahren aktualisiert, Regeln verschärft, Klassifizierungen angepasst, die Wissensdatenbank erweitert, Richtlinien überarbeitet oder Benutzer geschult werden.
Mit STORM by OTRS besteht der Vorteil darin, diesen gesamten Zyklus über eine einzige integrierte Hub-Lösung zu verwalten, die sich flexibel an Ihre Anforderungen anpassen lässt.
Die Herausforderungen des Cyber Threat Managements
Cyber Threat Management ist im heutigen Sicherheitsumfeld unverzichtbar, bringt jedoch auch Herausforderungen mit sich, denen Unternehmen aktiv begegnen müssen.
#1: die Datenmenge
Security-Teams sind gefragt, eine stetig wachsende Anzahl an Warnmeldungen, Berichten und Daten zu verarbeiten. Ohne Klassifizierungen und Automatisierungen droht Überlastung: zu viele Ereignisse, zu viele Benachrichtigungen und zu viele scheinbar gleich wichtige Prioritäten.
#2: Fragmentierung der eingesetzten Tools
Viele Organisationen nutzen unterschiedliche Systeme für das Monitoring, das Ticketing, die Threat Intelligence, das Schwachstellenmanagement, das Device Management, die Kommunikation und das Reporting. Sind diese Systeme nicht integriert, bleiben Informationen unvollständig.
#3: die Kommunikation
Während eines Sicherheitsvorfalls befinden sich mitunter sensible Informationen in Gefahr. Es braucht sichere Kommunikationskanäle, klar definierte Rollen und eindeutige Regeln darüber, wer welche Informationen einsehen, bearbeiten oder weiterleiten darf. Dabei spielen Funktionen wie eine gute Verschlüsselung, digitale Signaturen, Klassifizierungsmechanismen und die Nachverfolgung von Zugriffen eine entscheidende Rolle.
#4: Fähigkeit zur kontinuierlichen Verbesserung
Zu viele Organisationen betrachten Sicherheitsvorfälle lediglich als Ereignisse, die möglichst schnell abgeschlossen werden sollten, anstatt daraus systematisch zu lernen. Resilienz entsteht jedoch gerade durch die Fähigkeit, aus Fehlern und Schwachstellen Erkenntnisse abzuleiten.
#5: die Bereitschaft der Organisation
Selbst die modernste Technologie kann unklare Prozesse, fehlende Verantwortlichkeiten, unzureichend verwaltete Daten oder eine schwach ausgeprägte Sicherheitskultur nicht ausgleichen.
Fazit
Cyber-Bedrohungen entwickeln sich weiter. Sie werden schneller, verteilter und immer schwerer vom normalen IT-Betrieb zu unterscheiden sein. Deshalb reicht es für Unternehmen nicht aus, einzelne Sicherheits-Tools einzusetzen. Sie müssen ein ganzheitliches Bedrohungsmanagement aufbauen, das Menschen, Prozesse und Technologien miteinander verbindet.
Genau darin liegt der eigentliche Mehrwert des Cyber Threat Managements.