ZweiOnCTI

Die Frage statt des Alarms — Threat Hunting, ohne dem Treffer nachzujagen.

Aus einem Bedrohungsreport eine einzige Technik gezogen — Schadcode per PowerShell nachgeladen —, daraus die Hypothese: PowerShell-Prozesse mit Download-Cmdlets, die kurz darauf ins Netz funken. Fünf Minuten, eine Query auf den Microsoft-Stack, keine Fehlermeldung. Zurück kommen rund viertausend Zeilen: Updater, Monitoring-Agents, ein nächtliches Admin-Skript. Alles sieht verdächtig aus, deshalb ist nichts verwertbar. Ein Alarm wartet, dass etwas Bekanntes passiert; eine Jagd stellt die Frage, die noch kein Alarm stellt — und die Frage ist der billige Teil. Südwestfalen-IT: am Tag des Erstzutritts über das VPN ohne Mehrfaktor eine Häufung fehlgeschlagener anonymer Anmeldungen an den Dateifreigaben, elf Tage bis zur Verschlüsselung. Die Hypothese dafür steht in fünf Minuten. Gestellt hat sie niemand.

Der teure Teil heisst Baseline. Abnormal ist nicht bösartig, und wer jede Abweichung scharf schaltet, baut sich einen Fehlalarm-Generator. Erst wissen, was in diesem Netz normal ist, dann stapeln: der Updater dreitausendmal, immer gleich, weg; das Monitoring dreihundertmal, weg; übrig bleiben vielleicht drei Zeilen — ein Rechner, der das nie tat, zu einer Zeit, zu der niemand arbeitet, zu einem Ziel, das keiner kennt. Eine Hunt-Query ist eine abgeschwächte Alarm-Regel, sie darf mehr Fehltreffer haben, weil am Ende ein Mensch urteilt. Und ohne Log kein Hunt: fehlt die Datenquelle, ist genau diese Lücke das Ergebnis. Dagegen ein Akteur, der nur mit Bordmitteln arbeitet, kein Hash, kein Datei-Merkmal. Gejagt wird nicht das Werkzeug, sondern der Rhythmus — mehr als zwei Systemabfragen in unter zwei Minuten, Maschine statt Mensch an der Tastatur. Treffer in zwei engen Zeitfenstern auf zwei Rechnern, geblieben als dauerhafte Detection. Derselbe Ansatz, gegensätzliches Ergebnis; der Unterschied liegt in der Baseline.

Dann die Zahl, die alle falsch zitieren. Die grosse Jahresauswertung der Vorfalls-Untersuchungen 2025: mittlere Verweildauer 14 Tage, im Vorjahr 11. Gestiegen, im Jahr mit so viel Geld für Erkennung und Jagd wie nie. Die „10 Tage" aus Zusammenfassungen stehen nicht in der Primärquelle — falsch in die Richtung, die der Branche schmeichelt. Der Median mischt zwei Populationen: die schnelle Erpressung, Übergabe an den nächsten Akteur in 22 Sekunden, gegen die Jagen nichts gewinnt; und die leise — Spionage und eingeschleuste nordkoreanische IT-Kräfte, 122 Tage, weil nie etwas gefeuert hat. Jagen macht nicht schneller. Es findet die Fälle, in denen das Alarmsystem strukturell nichts zu melden hatte. Leerstellen: Gruppe und Werkzeug des Bordmittel-Falls bleiben ungenannt; die drei Zeilen nach dem Stapeln und der Nullbefund im sauberen Fenster sind durchgespielt, nicht gemessen.

Was du mitnimmst
In Defender XDR oder Sentinel mit KQL jagen, eine Abfrage aus Microsofts freier Query-Bibliothek an die eigene Umgebung anpassen — eine, nicht zwanzig. Ein Report, eine Technik, eine Wenn-dann-Hypothese, und vor dem Scharfschalten baselinen. Jeder Hunt in fünf Zeilen: Hypothese, Datenquelle, Query, Befund, was er hinterlassen hat. Gemessen wird nicht am gefangenen Angreifer, sondern an erzeugten Detections, geschlossenen Telemetrie-Lücken, gejagten Techniken. Ein Managed-Dienst nimmt die Breite ab, die Hypothese aus dem eigenen Kontext nicht. Noch diese Woche: Anmelde-Logs auf eine Häufung fehlgeschlagener Logins prüfen, gefolgt vom ersten Erfolg von ungewohnter Stelle. Unbequem daran: Wer Hunting an der Zeit bis zur Entdeckung misst, belegt sein eigenes Scheitern, obwohl es funktioniert. Ein leerer Hunt ist ein Ergebnis. Eine Frage, die niemand stellt, ist keins.
Geschüttelt. Nicht gerührt.

Die Kommandozeile statt des Hashes — Detection Engineering, ohne der grünen Kachel zu trauen.

Ein Hash aus einem öffentlichen Akira-Report, darauf eine Sigma-Regel: ein Feld, ein Wert, vom offiziellen Werkzeug fehlerfrei konvertiert. Gegen echte Telemetrie getestet: kein einziger Treffer. Daneben eine hässliche Community-Regel von 2019, die keinen Hash kennt, nur eine Kommandozeile — „vssadmin delete shadows" — und sofort anspringt. Den Hash tauscht der Angreifer mit jedem Build. Wer aber Schattenkopien löschen will, T1490, muss genau dieses Bordmittel mit genau diesem Befehl laufen lassen, ob Akira, LockBit oder was nächste Woche kommt. Der Hash ist die Fussnote im Report. Das Verhalten ist die Regel.

Nur ist höher nicht automatisch besser. Auf der Fünf-Stufen-Skala für Host-Regeln sass die tote auf eins (flüchtige Werte), die alte auf drei (LOLBins). Stufe fünf: Persistenz nach Konto-Diebstahl, im Microsoft-365-Audit-Log ein Add-MailboxPermission. Nackt geschrieben feuert das in einer Bank 200-mal am Tag, 199 davon Assistenzen, Funktions-Postfächer, eine Migration. Das ist schlimmer als tot: die tote Regel tut nichts, die laute stumpft den Analysten ab, bis er den echten Alarm wegklickt wie die anderen. Also härten statt wegwerfen, über Felder, die der Angreifer nicht frei wählen kann — nicht „ignoriere Frau Müller", denn morgen heisst er so, sondern: Akteur kein Admin-Konto, Delegation frisch, Zielprinzipal ungewöhnlich. Aus 200 am Tag werden zwei pro Woche. Nicht so hoch wie möglich, sondern so hoch wie im eigenen Stack tragbar.

Dann die grüne Kachel. Eine Heatmap zeigt, wo eine Regel hinterlegt ist, nicht, wo sie feuert — die tote Hash-Regel hätte T1490 brav grün gefärbt. Von über 13.000 Regeln in hunderten Produktions-SIEMs feuert rund jede achte nie; abgedeckt sind im Schnitt rund 21 Prozent der bekannten Techniken. Südwestfalen-IT, Oktober 2023: Akira über ein Cisco-VPN ohne Mehrfaktor, am selben Tag reihenweise fehlgeschlagene anonyme Anmeldungen an den Datei-Freigaben, bis zur Verschlüsselung rund elf Tage. Eine Schwellenregel hätte keinen einzigen IOC gebraucht; die Daten standen in den Logs, gefehlt hat die Regel. Und das Ziel verschiebt sich: vom Erstzugang bis zur Übergabe an den nächsten Akteur vergehen laut der aktuellen Vorfalls-Auswertung im Mittel 22 Sekunden, 2022 waren es über acht Stunden. Detection kauft keine Zeit an der Tür, sondern in der Mitte, wo sich der nächste Akteur festsetzt, Rechte ausweitet, Sicherungen wegräumt. Genau dort sitzt die vssadmin-Regel. Leerstellen: welche Cisco-Lücke den Einstieg öffnete, ist nur vermutet; die Bank ist ein durchgerechnetes Szenario, kein Fall; und dass Angreifer über Log-Inhalte die Sprachmodell-Triage mitlenken, ist ausdrücklich Einschätzung, keine Studie.

Was du mitnimmst
Ein Handgriff für Montag: Nimm eine bestehende Produktionsregel und führ die Technik wirklich aus, kontrolliert auf einem Testsystem — mindestens eine feuert nicht. Dann die ehrliche Landkarte gegen das aktuelle Akira-Verhalten, pro Technik erst „sehe ich sie?", dann „fange ich sie?". Fehlende Visibility und fehlende Detection sind zwei Krankheiten, zwei Handgriffe: VPN-Logs, die nie im SIEM landen, heisst Log anbinden; Recon-Kommandozeilen ohne Regel, Regel schreiben. Und Regeln wie Code: Git, Pull Request, Ausführungstest als Gate. Kostet nichts, läuft lokal, für KRITIS ist Detektion ohnehin Pflicht — die Frage ist nie das Budget, sondern die Disziplin. Unbequem daran: „Feuert sie?" ist nur die halbe Kennzahl; ein Alarm, der 40 Minuten in der Warteschlange liegt, ist gegen eine Übergabe in Sekunden eine Dokumentationsmassnahme. Konvertiert sauber heisst nicht feuert. Eine ungetestete Regel ist eine Behauptung, kein Schutz.

Geschüttelt. Nicht gerührt.

Die Quelle statt der Zahl — Dark-Web-Intelligence, ohne der Leak-Seite zu glauben.

Im Januar taucht eine Erpressergruppe auf, die niemand kennt, und steht bis Ende März bei 253 Opfern: Krankenhäuser, Banken, Industrie. Dann bricht ein Bandenkrieg aus, eine rivalisierende Gruppe übernimmt die Infrastruktur und stellt die internen Protokolle ins Netz — es gab nie einen Einbruch. Keinen einzigen. Opferliste erfunden, Beweisdaten erzeugt, der Betrieb lief von einem Mobiltelefon. 253 Geister, aufgenommen in die Quartalsstatistik der halben Branche. Dagegen die Vendor-Folie: Weltkarte mit pulsierenden Punkten, „500+ Quellen", 93 Prozent True-Positive. Nur: Monitoring ist reaktiv und kennt keinen Kontext, es matcht Zeichenketten, und Vollabdeckung gibt es strukturell nicht — invite-only Foren und verschlüsselte Kanäle entziehen sich. Der Alert meldet, dass dein Name gefallen ist. Ob du ein Problem hast, meldet er nicht.

„Dark Web" ist dabei ein Sammelbegriff für vier Quellen mit vier Reliabilitäten: das Forum, Desinformations-Umgebung by design, reflexartig D3 — rund 60 Beiträge, bis Reputation dort zu tragen beginnt; der Marktplatz, der die Ware gegen den Verkäufer diszipliniert; die Leak-Site, die publiziert, wenn das Opfer nicht zahlt; Telegram, schnell und kaum verifizierbar. Eine Ebene tiefer dasselbe bei Zugangsdaten. Das Stealer Log liefert Session-Cookies, Autofill, Fingerprints — MFA wird nicht gebrochen, sondern umgangen, und ein Passwort-Reset beendet keine Sitzung: erst Tokens serverseitig ziehen, dann das Gerät bereinigen, dann Passwort und Faktor. Die Breach-Datenbank ist Jahre alt, ihr Risiko heisst Wiederverwendung. Die Comboliste ist der kontextärmste Zustand derselben Daten, 30 bis 60 Prozent Überlappung mit Stealer-Logs — und die „16 Milliarden Zugangsdaten" vom Sommer 2025 waren genau das: ein recyceltes Aggregat, mehrfach gezählt. Dabei hatte fast ein Drittel der Unternehmen mit Ransomware-Vorfall in den 16 Wochen davor mindestens eine Infostealer-Infektion. Volumen ist die Kennzahl, die man nennt, wenn man über Verlässlichkeit nicht reden will.

Fair bleibt: der Vorlauf ist real — täglich erscheinen Daten von mindestens acht Firmen auf Leak-Seiten, und das sind nur rund 10 Prozent aller Ransomware-Opfer. Garantiert ist er nicht. Bei Chain IQ, Juni 2025, lagen Publikation um 17:15 und Kundeninformation um 20:00 desselben Abends. Südwestfalen-IT stand nie auf Akiras Leak-Site — ein Monitoring hätte nichts gemeldet, gefehlt hat MFA am VPN. Und nach „Operation Cronos" listete LockBit alte, gefälschte, rückdatierte Opfer, um Stärke zu simulieren — in der Zählung sieht das identisch aus wie ein echter Einbruch. Zwei Leerstellen: die 60-Beiträge-Schwelle stammt aus Daten von 2015 und trägt als Prinzip, nicht als Marktbeschreibung; Chain IQ ist Selbstauskunft, keine Forensik.

Was du mitnimmst

Stell dem nächsten Datenblatt drei Fragen. Wie greift ihr auf die Quelle zu — sitzt jemand im Forum, oder crawlt ein Bot einen Aggregator? Was passiert zwischen Post und Alert, prüft das jemand? Und die True-Positive-Rate: gemessen woran, mit welcher Stichprobe, von wem? Wer alle drei beantwortet, verkauft einen Prozess; wer keine beantwortet, eine Weltkarte mit Punkten — brauchbar, solange du weisst, was du kaufst. Die Reihenfolge bleibt: erst Zugangsdaten- und Endpunkt-Hygiene, Mehrfaktor besonders am Netzrand, dann Monitoring obendrauf. Unbequem daran: „erst verifizieren, dann reagieren" beschreibt die Arbeit des Analysten, nicht die Uhr, unter der die Organisation steht — nichts zu finden ist der langsamste aller Befunde, und der Anruf des grössten Kunden kommt in zwei Stunden. Verifikation entscheidet, was du glaubst, nicht wann du sprichst. Nächste Folge: aus Angreifer-Verhalten werden Detektionen.

Geschüttelt. Nicht gerührt.

Das Verhalten statt der Byte-Folge — Malware-Intelligence, ohne dem Fingerabdruck zu glauben.

Hundert Prozent Übereinstimmung, null Überschneidung mit irgendeiner anderen Datei: der Rich Header von Olympic Destroyer zeigte im Februar 2018 auf eine bekannte Lazarus-Komponente. Sauberer geht ein Beweis nicht. Er war hineingelegt — Feld für Feld nachgebaut, aufgeflogen nicht durch ein besseres Werkzeug, sondern durch manuelles Nachzählen. Dafür brauchte es ein echtes Sample der Gruppe, die belastet werden sollte. Diese Struktur interessiert genau eine Berufsgruppe: die Leute, die Samples gruppieren. Die Fälschung war nicht für die Tat gebaut, sie war für die Analyse gebaut.

Die anderen beiden Täuschungen kommen ohne Absicht aus. WhisperGate und HermeticWiper, Kiew 2022: gleiches Land, gleiches Zeitfenster, gleiche Erpressungs-Tarnung — und kein gemeinsamer Code; die belastbare Zuordnung kam erst 2024 über eine US-Anklageschrift. Gemeinsame Taktik ist nicht gemeinsamer Code, gemeinsamer Code nicht derselbe Akteur, derselbe Akteur nicht dieselbe Person am Rechner. Die Masse selbst sind ehrlich: imphash markiert seit 2014 die eigene Grenze, und ein Go-„Hello World" teilt seinen Wert mit Snatch-Ransomware, weil derselbe Compiler. Seit November liegt die Werkbank ein Stockwerk höher — PROMPTFLUX lässt sich seinen Quellcode stündlich von einem Sprachmodell neu schreiben, PROMPTSTEAL seine Befehle erst im Einsatz erzeugen. Wer nicht prüft, ob der Treffer bloss die Laufzeitumgebung beschreibt, attribuiert einen Compiler, bald ein Modell.

Bleibt der Test, der neun Jahre trug: echte Erpressung braucht einen Wiederherstellungs-Mechanismus, ein Wiper im Erpresser-Kostüm hat keinen. Bei NotPetya war die Installations-ID erwürfelt, kein ableitbarer Schlüssel — Befund binnen 48 Stunden, für einen Hamburger Konsumgüter-Konzern 17 stillstehende Fabriken. GigaWiper im Juli 2026: keine Notiz, kein Schlüssel, nichts zu zahlen und nichts zu entschlüsseln. Bis Ende April: VECT schreibt vier Nonces in denselben Puffer, drei davon still verworfen; wer zahlt, bekommt seine wichtigsten Dateien nicht zurück — kein Vorsatz, sondern Unvermögen. Und die vierte Variante braucht gar keine Verschlüsselung: Anfang 2026 Mehrfaktor im laufenden Videocall umgestellt, danach Lösegeldforderung und Leak-Site-Eintrag, keine verschlüsselte Datei, dahinter Spionage. Leerstellen: mittlere Konfidenz statt hoher, und PROMPTFLUX ist ausdrücklich experimentell geführt.

Was du mitnimmst

Stell vor jedem Cluster eine Frage: beschreibt der Treffer die Schadsoftware oder nur die gemeinsame Werkbank? Und schreib Regeln auf das, was die Familie tun muss, egal wie oft sie neu gebaut wird. „Kein Wiederherstellungs-Mechanismus im Sample erkennbar" trägt, „das Ziel war Zerstörung" ist eine Aussage über eine Absicht und aus der Datei nicht belegbar. Operativ ändert das an Tag eins nichts — wiederherstellen statt verhandeln. Was sich ändert, ist die Behauptung, die du danach aufstellen darfst. Ein Beleg, der zu gut passt, ist ein Prüfanlass und kein Ergebnis.

Geschüttelt. Nicht gerührt.

Der Grundriss statt der Fassade — OSINT, ohne an der Tür zu klingeln.

„Senior ICS-Engineer, Erfahrung mit Siemens S7-1500" — ein Satz aus der Personalabteilung, und der Angreifer hält Port 102, S7comm, per s7-info Modell und Firmware, dazu das CISA-Advisory mit den bekannten Schwachstellen. Bevor ein Paket fliegt. Der Reflex, jetzt Anzeigen zu entschärfen, greift daneben: die Anzeige ist nicht die Lücke, sie ist der Zeitvorsprung — wer sie unpräzise macht, bekommt die falschen Bewerbungen. Dieselbe Logik als Kette, eine gute Stunde, gegen eine anonymisierte Kantonalbank: crt.sh über die CT-Logs, Passive DNS für die historischen A-Records, AS- und NetBlock-Zuordnung, Abgleich mit den Anzeigen. Am Ende Subdomains, Infrastruktur, NetBlocks, Stack-Verdacht — im Monitoring nichts. Die Website zeigt, was eine Organisation zeigen will. Die Kette zeigt, was sie betreibt.

Problem: die halbe empfohlene Werkzeugliste ist Ruine. SpiderFoots freier Zweig ist seit der Intel-471-Übernahme 2022 ohne Release, über 180 offene Issues; Recon-ng hat der Maintainer selbst als ungepflegt markiert, Python-3.12-Bug inklusive; Amass trägt den Bruch von 3 auf 4 und 5. Wer das 2026 noch als „Standard" empfiehlt, empfiehlt Stillstand. Unterschätzt dagegen theHarvester: aktiv gepflegt, schnellster Erst-Sweep, begrenzt durch API-Schlüssel und Rate-Limits. Was den Werkzeugwechsel überlebt, ist eine Tabelle mit vier Spalten — der Bedarf, präzise: nicht „was gibt es über Firma X", sondern „welche Authentisierungs-Endpunkte sind extern erreichbar"; die Quelle, die genau das beantwortet; die Methode, passiv oder aktiv, und bei aktiv: wer autorisiert; das Tag nach STANAG 2511, im Hochvolumen ehrlich oft F6. Wer eine Quelle für alles hält, hat keinen Plan, sondern ein Lieblingswerkzeug.

Passiv heisst nur: kein Paket ans Ziel. CT-Logs sind append-only, jede TLS-Subdomain stand irgendwann drin, abgefragt wird das Archiv, nicht der Server. Blind bleibt das für getunnelte Infrastruktur hinter einem CDN, für selbstsignierte Zertifikate, für alles unter der Sensor-Frequenz. Rechtlich sagt „passiv" ohnehin nichts: in Deutschland trägt aus Meta gegen Bundeskartellamt nur die Prüftrias, Randnummer 106, nicht die Fallwertung — es ging um Werbung; in der Schweiz nDSG Art. 31 plus EDÖB-Erkennbarkeit, Öffentlichkeit endet am Login. Warum das zählt: Südwestfalen-IT (Akira über eine VPN ohne Zweitfaktor, 72 Kommunen), Xplain (4.779 sensitive Datenobjekte des Bundes), Radix (1,3 Terabyte) — jedes Mal der Dritte als Einstieg. Zwei Leerstellen: keine höchstrichterliche Entscheidung in DE, AT oder CH zu passivem Scanning, und die Kantonalbank-Kette ist reproduzierbare Methodik, kein dokumentierter Fall — die Stunde illustrativ statt gemessen.

Was du mitnimmst

Zieh die Kette einmal gegen dich selbst — crt.sh, Passive DNS, AS und NetBlock, Stellenanzeigen-Abgleich — und danach gegen die Lieferanten, ohne die du nicht arbeitest. Was dabei entsteht, ist zugleich der Nachweis-Baustein, den NIS2, NISG und ISG sehen wollen. Die Reihenfolge ist nicht verhandelbar: erst der Bedarf, dann die Quelle, dann — wenn überhaupt — das Werkzeug; jede Zeile getaggt, jeder blinde Fleck notiert. Die unbequeme Seite: Über-Sammeln ist keine Sorgfalt, sondern Rauschen plus Rechts-Exposition — personenbezogene Treffer, die niemand gebraucht hat, machen die Ergebnisse unverwertbar. Wer seine eigene Exposition nicht kennt, wird von jemand anderem aufgeklärt. Nächste Folge: Malware-Intelligence — was Samples verraten, und warum YARA auf Verhalten statt auf Byte-Sequenzen matchen sollte.

Geschüttelt. Nicht gerührt.

Einzelschicht-Detektion ist tot, Layering lebt — C2 richtig jagen.

Fünf Tage lebt ein Cobalt-Strike-Server im Median — die meisten lesen daraus die falsche Lektion: schneller Blocklisten pflegen. Das Fenster ist nicht das Problem, die Schicht ist es. Gemessen wird (Censys 2025) nur Scan-Sichtbarkeit, nicht Detektionstempo, nicht Operationsdauer: 11,2 Tage Mittel, 5,0 Median, und nur für Cobalt-Strike-Teamserver — Viper liegt bei 17,4/18,5, fast das Vierfache. Was das operativ heisst, zeigt LockBit 2025: eine Beacon-Domain, dann SystemBC- und GhostSOCKS-Proxies, am elften Tag die Verschlüsselung. Wer dort nur die IOC-Ebene hatte, blockte eine Wegwerf-Front und verpasste den Rest. Durchgetragen hat das Beaconing: RITA erkannte das Muster über die ganze Verweildauer, unabhängig vom Profil und trotz Jitter. Kein einzelner Layer schloss die Kette.

Die drei Schichten. Malleable-C2 entwertet den Einzel-IOC: URIs, User-Agent, Kodierung, TLS-Zertifikat, sleeptime, jitter — alles frei einstellbar, häufigstes Profil: eine jQuery-Imitation; vor dem Teamserver stehen Redirectors, die IP, die du siehst, ist die Wegwerf-Front, nie die Steuerung. Was übrig bleibt — Default-Named-Pipes, Watermarks — fängt die Undisziplinierten, nicht den einen, gegen den es zählt. Die Fingerabdruck-Schicht: JA3 ist order-dependent und seit Chrome v110, Anfang 2023, erledigt, dazu uTLS, das ein ClientHello byte-genau nachbaut — Fingerabdrücke sprangen von zehntausenden auf über eine Milliarde. JARM ist Triage, kein Beweis: 4.500 Treffer aus einem Wert, erst im Verbund rund 70 Kandidaten. JA4 sortiert vor dem Hashen, besser — gegen uTLS ebenso blind. Und zur Ehrlichkeit: Fortras 80-Prozent-Rückgang nach MORPHEUS (690 Instanzen, 593 vom Netz) ist Eigenauskunft, unabhängig bestätigt ist nur die Richtung — BEACON 28 Prozent (2021) auf 5,4 (2025).

Im DACH-Winkel: Ende 2025 wurden deutsche Hoster als „Threat Activity Enabler" beschrieben — aurologic als Upstream, Aeza International (AS210644) mit 7,5 Prozent der Tier-1-C2-Server zwischen Juli 2024 und Juli 2025. Und die Lücke gehört dazu: kein öffentlicher Write-up belegt Cobalt Strike sauber gegen ein namentlich genanntes Opfer in CH, DE oder AT. Xplain trägt das nur mit Herleitungs-Caveat. M-Trends sieht High-End-Vertragskunden, nicht den Zuger Mittelstand.

Was du mitnimmst

Den Layering-Reflex: eine Schicht allein ist keine Detektion, sie ist eine Meinung — IOC-Ebene, Fingerabdruck und Verhalten übereinanderlegen und schauen, wo sie sich kreuzen. Beaconing als belastbarste Einzelschicht, weil der Rückkanal als einziges nicht wegkonfigurierbar ist: Intervall, Jitter, Datengrösse, ziel- und profilagnostisch, Score 0 bis 1 — ein Ranking, kein Alarm. Eine Sigma-Regel auf vier Beinen: Proxy-Logs, Browser-UA plus jQuery-Pfad plus zu kleine, zu konstante Antwortgrösse als Muster in der Zeile, Häufung im Zeitfenster, Allowlist-Filter für Update-Server, Telemetrie, NTP und RMM-Heartbeats — das letzte Bein trägt die anderen drei. Eine Woche Audit-Modus, dann scharf. Und die ehrliche Schwelle: im 20-Mann-Betrieb ohne SOC ist die Rohausgabe nicht tragbar, der False-Positive-Preis lohnt erst ab stabiler Baseline oder im MDR. Umgehen kann der Angreifer das nur, indem er seltener funkt und Kontrollfrequenz bezahlt. Cliff-Marker auf die nächste Folge: OSINT für die Infrastruktur-Recherche, die Pivot-Techniken systematisch.

Geschüttelt. Nicht gerührt.

Die unsichtbaren Zeugen — was das Internet über Angreifer speichert.

Vierundneunzig Lookalike-Domains auf einer IP (45.79.222.138, AS63949 Akamai-Linode), quer durch elf Marken — Instagram und TikTok mit je zwölf, dazu FedEx, Zurich, Credit Suisse, Migros Bank — und jede löst auf openresty mit Reverse-Eintrag parklogic.net auf, Score null bei urlscan: Parking-Infrastruktur der .ph-Registry, kein Live-Phishing. 24 Stunden Maximum Merge Delay: kein Zertifikats-Eintrag ist älter als einen Tag. 33,5 Prozent der rund 10,9 Milliarden Zertifikate im Q1 2026 sind Pre-Certificates — Stunden bis Tage vor dem Angriff im öffentlichen Log. Chrome erzwingt CT seit April 2018, Firefox seit Februar 2025; wer HTTPS will, kommt nicht mehr daran vorbei — Angreifer schon gar nicht, weil eine Phishing-Seite ohne Schloss ihr halbes Opferpublikum verliert.

Passive DNS ist der Fahrtenschreiber: Sensoren oberhalb des Resolvers hören zu und schreiben mit, welche Domain WANN auf welche IP zeigte — first-seen und last-seen als die zwei Zeitstempel, die alles tragen. Certificate Transparency ist das öffentliche Grundbuch: jede Zertifikats-Ausstellung wird beurkundet, jeder darf reinschauen. Aus dem DigiNotar-Skandal 2011 wurde 2012 RFC 6962. Let'\''s Encrypt stellt rund 54 Prozent aller Zertifikate aus. Provider: CIRCL.lu in Luxemburg als öffentlicher Dienst, dazu Validin, Spamhaus, DNSDB, VirusTotal — am Coyote-Trojaner reicht ein IP-Pivot zu 48 zusammenhängenden Domains bei Validin. Der saubere Gegenpol zum Parking-Rauschen ist Juniper Threat Labs Juli 2024: ein C2-Server, ein Reverse-Passive-DNS-Pivot, plus sieben Domains und plus zwei IPs — AsyncRAT, XWorm, VenomRAT. Und zur Ehrlichkeit gehört der blinde Fleck: crt.sh war im Live-Fall rate-limited, der CT-Cousin-Nachzug lief nicht durch — die Korroboration trägt urlscan, nicht CT.

Im DACH-Winkel: Es kommt nicht nur darauf an, WAS ein Werkzeug kann, sondern WER die Sensoren betreibt und WO die Daten liegen. Wer seine gesamte Frühwarnung an einen einzigen US-Anbieter hängt, hängt an dessen Rechtsraum und Preismodell — für ein Energieunternehmen oder Spital keine Tool-Frage, sondern eine der Handlungsfähigkeit im Ernstfall. CIRCL.lu steht als europäische, kostenlose Alternative — kein Anti-US-Reflex, sondern Risikomanagement mit Fallback.

Was du mitnimmst

Den Pivot-Reflex: vor dem Blocken immer erst pivotieren — weil du nicht eine Domain blocken willst, sondern das ganze Nest. Einen CT-Alert für deine eigene Domain bei crt.sh — 10 Minuten, kostenlos, fängt Phishing-Klone, bevor deine Kunden draufklicken. CAA-Records im DNS, die festlegen, welche CAs für deine Domain ausstellen dürfen — eine ganze Klasse von Missbrauch fällt weg, bevor irgendjemand pivotieren muss. Angreifer-Infrastruktur über Monate tracken und Namensmuster sowie first-seen-/last-seen-Rhythmen lesen — aus reaktivem Blocken wird vorausschauendes Erkennen. Und die Disziplin, bei der ersten schönen Zahl nicht stehenzubleiben: Registrierung plus Parking ist noch keine Kampagne; ein Lookalike-Name ist erst dann Angreifer-Infrastruktur, wenn er aktiv ist und zeitlich eingegrenzt bestätigt ist — geparkte Domains wandern auf die Watchlist und schlagen erst bei Scharfschaltung an. Cliff-Marker auf die nächste Folge: C2-Infrastruktur — wie kurz so ein Server wirklich lebt, und warum die Jagd nach einzelnen IOCs allein nicht mehr trägt.

Geschüttelt. Nicht gerührt.

Wenn die Karikatur das Modell ersetzt

Elf. Vier. Sechs. Elf Bestandteile hat das Diamond Model von Caltagirone, Pendergast und Betz aus dem Jahr 2013 — vier Knoten, sechs Kanten, zwei Meta-Features, sieben Axiome. Vier davon kennt jede Vendor-Folie. Sechs der elf Bestandteile fallen in der Industrie-Lesart regelmässig unter den Tisch. Das ist die Karikatur, vor der Caltagirone selbst im Summary-Paper von 2020 warnt.

In der fünften Sach-Folge zerlegen wir das Werkzeug in seiner vollen Tiefe — vier Knoten plus sechs bidirektionale Kanten, plus die Meta-Features Social-Political und Technology, plus die sieben Axiome. Wir machen es am härtesten Demonstrationsfall der westlichen Cyber-Threat-Intelligence: Sandworm, von Mandiant 2024 zu APT44 promoviert, mit einem Activity-Thread von BlackEnergy 2014 bis Industroyer2 2022. Was bedeutet das Social-Political-Meta-Feature, wenn es in den meisten Vendor-Reports ein weisser Fleck bleibt? Welcher Knoten in einem Sandworm-Profil trägt die forensische Härte einer US-Justizministerium-Anklage mit sechs namentlich genannten Offizieren der Unit 74455 — und welcher hängt an einer Code-Ähnlichkeit zu VPNFilter, die analytisch erschlossen, nicht belegt ist?

Wir bauen die Sandworm-Linie als Activity-Thread mit Konfidenz-Abstufung pro Knoten — NotPetya 2017 als A1 über die DOJ-Anklage, Industroyer2 2022 als A1 über ESET-Forensik plus CERT-Ukraine-Validierung, KA-SAT am 24. Februar 2022 als A3 auf Staaten-Ebene (EU-Rats-Erklärung, „Russian Federation", nicht „Unit 74455 spezifisch") plus A2 als analytische Brücke. Wir prüfen das DACH-Kollateral mit der Disziplin, die Diamond verlangt: bei Beiersdorf bleibt die belastbare Zahl 35 Millionen Euro Umsatzverschiebung aus der Heidenreich-Telefonkonferenz vom 3. August 2017 — nicht die populäre 210-Millionen-Zahl, die in keinem Konzernbericht steht. Bei Enercon sind 5.800 ausgefallene Anlagen mit 11 GW Gesamtleistung durch drei voneinander unabhängige DACH-Quellen belegt — die Anlagen drehten autark weiter, ausgefallen war die Fernwartung. Im dritten Akt setzen wir Diamond gegen MITRE ATT&CK, klären die Komplementarität an Sandworms MITRE-Eintrag G0034, und jagen Volt Typhoon live durchs Modell mit fünf Konfidenzgraden für fünf Knoten.

Die Folge argumentiert gegen den Konsens, dass Diamond ein veraltetes Vier-Punkte-Diagramm sei — und hält sich strikt an den Wortlaut der Quellen, die in den Fussnoten der Vendor-Decks stehen, wenn man sie liest. Wir erfinden keine Konfidenz. Wir machen die in den Quellen dokumentierte sichtbar.

Was du mitnimmst
Ein Threat-Actor-Eintrag im Threat-Intelligence-Platform-Inventar gegen das volle Diamond prüfen — alle vier Knoten, alle sechs Kanten, beide Meta-Features. Pro Knoten und pro Kante eine Konfidenz auf der Admiralty-Skala vergeben statt einer Sammel-Bewertung pro Eintrag. Diamond-Adversary auf ATT&CK-Group mappen, Diamond-Capability auf ATT&CK-Technik. Und intern den Redefinition-Schritt durchlaufen, wenn eine neue forensische Quelle einen Knoten unter eine andere Härte stellt — sonst wird das Tracking ein Archiv, keine Analyse. Pflichtwissen für CTI-Leads, SOC-Analyst:innen und alle, die staatsnahe Adversary über Jahre hinweg sauber tracken müssen.

Geschüttelt. Nicht gerührt.

Vier Probe-Fragen trennen ein Profil von einer IOC-Sammlung mit Briefkopf.

Achtundzwanzig für Deutschland relevante APT-Gruppen meldet das BSI im Lagebericht 2025, zweiundzwanzig waren es im Lagebericht 2024 — und im Achtseiter steht offen, dass die Differenz keine Vollzählung ist, sondern eine Sichtbarkeitszählung auf Basis einer einzigen Vendor-Stichprobe plus Bundesbehörden-Telemetrie. Sieben Namen führt die MITRE-ATT&CK-Groups-Bibliothek für ein einziges Activity-Cluster: APT29, Cozy Bear, The Dukes, NOBELIUM, Midnight Blizzard, UNC2452, StellarParticle. Drei Zahlen, die das Lese-Problem der Branche markieren: Codenamen sind Aktenzeichen, Profile sind Befunde, und die meisten DACH-Vorstands-Briefings verwechseln das eine mit dem anderen.

In der vierten Sach-Folge legen wir die Probe-Fragen-Disziplin neben die Realität der Industrie-Profile. Vier Fragen, ableitbar aus Caltagirones Diamond-Model und aus dem SANS-CTI-Curriculum von Nickels: Motivation, Capability, Intent, Opportunity. Capability und Intent fallen in der Praxis auseinander — die eine Frage ist eine Werkzeugkasten-Frage, die andere eine Operations-Frage, und wer sie im Paar belässt, baut Detection-Entscheidungen entlang eines Vektors, der zwei Dimensionen hat. Wir lesen drei Fälle gegen das Quartett: Volt Typhoon mit Five-Eyes-Pre-Positioning-These und Living-off-the-Land-Tradecraft, Salt Typhoon mit dreizehn-Nationen-Joint-Advisory zur signalauswertenden Sammlung auf Telekommunikations-Backbones, und APT28 mit dem zehnjährigen Profil-Wachstum von FireEye-Codename 2014 bis zur konsolidierten Bundesregierungs-Attribution durch BfV und BMI am 3. Mai 2024.

Was die BSI-Zahl methodisch misst — und was nicht. Warum Mandiants APT44-Reklassifizierung trotz Vendor-Eigeninteresse ein Lehrstück für ein sauberes Profil ist. Wie die Cyderes-Kritik an ATT&CK-Dual-Use-Techniken die Probe-Frage Capability trifft, ohne sie zu kippen — und wie MITREs „Summiting the Pyramid" v3.0 mit STP-Bewertung pro Detection-Regel die Lücke wieder schliesst. Warum die Bitkom-Zahl 87 Prozent Betroffenheit gefühlte Betroffenheit misst, nicht forensische Vorfälle. Und warum Robert M. Lees Trennung zwischen Activity-Tracking und True Attribution für die meisten DACH-Defender den entscheidenden Layer-Wechsel markiert.

Die Folge argumentiert gegen den Konsens, dass ein Industrie-Profil mit IOC-Tabelle und ATT&CK-Tags schon ein operativ nützliches Profil sei — und hält sich strikt an die Methoden-Offenlegungen, die in den Berichten selbst stehen, wenn man sie liest. Das Probe-Fragen-Quartett ist editorische Heuristik, nicht der etablierte Industrie-Standard. Wir markieren das explizit, weil die Industrie genug Frameworks hat, die als „neu" verkauft werden und es nicht sind.

Was du mitnimmst
Vor jedem Industrie-Profil die vier Fragen Motivation, Capability, Intent, Opportunity explizit durchgehen — und wenn drei davon nicht beantwortet sind, das Dokument als Rohstoff behandeln, nicht als Profil. Activity-Tracking von True Attribution trennen — Big-A-Attribution gehört in den strategischen Layer, nicht in den taktischen Workflow. Amtliche Methoden-Offenlegung als Mass-Standard nutzen, an dem Vendor-Reports gemessen werden. Pflichtwissen für jeden, der Vendor-Reports filtert, Threat-Briefings ans Board weitergibt oder Detection-Entscheidungen aus Industrie-Profilen ableitet.

Geschüttelt. Nicht gerührt.

Roberts-Kriterien, GIR-PIR-SIR-Hierarchie, drei DACH-Sektor-Builds live

Drei Worte heisst die meistgenannte Priority Intelligence Requirement in DACH-CTI-Programmen 2026: „Monitor Ransomware Threats." Vier Kriterien hat Scott Roberts 2016 für eine echte PIR formuliert — Singular, Atomic, Decision Centric, Timeliness. Hundertachtzig Anforderungs-Templates listet das Intel-471-CU-GIR-Framework, das in der DACH-Industrie regelmässig als PIR-Set missverstanden wird. Drei Worte, null Roberts-Kriterien erfüllt. Hundertachtzig importierte Themen, keine einzige organisationsspezifische Entscheidung.

Workshop-Format. Eine Stunde. Wir bauen live drei Sektor-PIR-Sets — Schweizer Energieversorger, deutscher Maschinenbauer, österreichisches Finanzinstitut — und legen die methodische Genealogie nebeneinander: US Army Field Manual 34-2 von 1994 als kanonische Definition, Roberts' Medium-Blog von 2016 als de-facto-CTI-Konvention, FIRST-CTI-SIG-Curriculum, CTI-CMM v1.0 von 2024 als Reife-Framework. Was ist eine PIR im Roberts-Sinn? Eine Frage, deren Antwort eine Stakeholder-Entscheidung ermöglicht. Was ist sie nicht? Ein Topic-Bucket, ein Sammelplan-Filter, eine BDEW-Whitepaper-Übersetzung in achtzehn Punkten.

Drei Negativ-Folien aus der DACH-Realität: Xplain 2023 — eine PIR mit Legal und Procurement im Workshop-Raum hätte gefragt, welche Subdienstleister produktive Personendaten ohne vertraglichen Schutz halten, existierte aber nicht. SPD-Hack via CVE-2023-23397 — eine sektorale PIR auf APT28-Infrastruktur-Korrelation wäre Anfang 2023 handlungsfähig gewesen, ist aber in keinem DACH-Mittelstands-Programm vor 2024 dokumentiert. NIS2 Artikel 21 — listet zehn Mindestmassnahmen, „Priority Intelligence Requirement" kommt im gesamten Artikel und in der ENISA-Implementation-Guidance kein einziges Mal vor. Wer einer Organisation sagt „wegen NIS2 brauchen Sie PIRs", verkauft CTI-Tradecraft als Compliance-Pflicht.

Drei Stolpersteine räumen wir explizit aus dem Weg: PIR als Vendor-Vokabel für „Use Case", „NIS2 verlangt PIRs", Roberts' Heuristik als „Industry Standard". Die Folge argumentiert gegen die Konsens-Praxis, hundertachtzig fremde GIR-Templates als eigene PIR-Liste zu adoptieren — und hält sich strikt an die Doktrin, die seit 1994 in jedem ernstzunehmenden Field Manual steht. Wir erfinden keine Kontroverse. Wir machen den Unterschied zwischen Themenliste und Anforderungs-Set sichtbar.

Was du mitnimmst
Drei bis fünf PIRs nach Roberts in einem Vier-Stunden-Workshop bauen — Stakeholder-Set vor Methodik, Stühle im Raum für IT-Security, OT, Legal, HR, Risk, Business Continuity, Procurement —, eine quartalsweise Refinement-Kadenz im RFI-Register verankern, drei Stolpersteine in der nächsten Vendor-Demo erkennen. Pflichtwissen für jeden, der ein CTI-Programm vor CFO, Aufsichtsbehörde oder NIS2-Auditor begründen muss.

Geschüttelt. Nicht gerührt.