Bedrohungsmodell

Wer etwas schützen will, muss zuerst wissen, wovor. Ein Bedrohungsmodell beantwortet genau diese Frage in geordneter Form. Man schreibt auf, was schützenswert ist, wer es angreifen könnte und welche Mittel dieser Angreifer realistisch hat. Daraus ergibt sich, welche Schutzmaßnahmen sinnvoll sind und welche Verschwendung wären. Ein Fahrradschloss für 15 Euro ist gegen einen Gelegenheitsdieb sinnvoll und gegen einen Profi mit Akkuflex nutzlos. Beide Aussagen stimmen – sie beziehen sich nur auf verschiedene Bedrohungsmodelle.

Warum Sicherheit ohne Angreiferannahme leer bleibt

Sätze wie « das System ist sicher » sind ohne Bedrohungsmodell bedeutungslos. Sicher gegen wen? Gegen einen neugierigen Mitschüler oder gegen einen staatlichen Geheimdienst mit Millionenbudget? Erst die Angreiferannahme macht eine Sicherheitsaussage überprüfbar. Deshalb beginnt jede seriöse Sicherheitsanalyse mit diesem Schritt.

Ein Bedrohungsmodell verhindert außerdem zwei typische Fehlinvestitionen. Die erste: Man baut aufwendige Abwehr gegen exotische Angriffe und übersieht die naheliegenden. Viele Datenlecks entstehen nicht durch geknackte Verschlüsselung, sondern durch schwache Passwörter oder eine falsch konfigurierte Datenbank. Die zweite Fehlinvestition ist das Gegenteil: Man unterschätzt den Angreifer und schützt zu wenig.

Wichtig ist auch, was ein Bedrohungsmodell ausdrücklich ausklammert. Diese ausgeschlossenen Fälle nennt man Non-Goals oder Nicht-Ziele. Ein Messenger kann zusichern, dass niemand unterwegs mitlesen kann. Gegen jemanden, der dein entsperrtes Handy in der Hand hält, hilft er nicht. Das ist kein Versagen, sondern eine offengelegte Grenze.

Vom Wertgegenstand zur Gegenmaßnahme

In der Praxis arbeitet man sich in vier Schritten vor. Erstens: Was ist schützenswert? Das können Kundendaten sein, Geld, die Verfügbarkeit eines Dienstes oder der Ruf einer Firma. Zweitens: Wo sind die Übergänge, an denen Daten das System betreten oder verlassen? Diese Übergänge heißen Angriffsflächen, weil dort jemand ansetzen kann.

Drittens sammelt man mögliche Angriffe. Dafür gibt es Checklisten wie STRIDE, ein Merkwort aus dem Englischen für sechs Angriffsarten: sich als jemand anderes ausgeben, Daten manipulieren, Handlungen abstreiten, Informationen abgreifen, einen Dienst lahmlegen und sich höhere Rechte verschaffen. Solche Listen sorgen dafür, dass man nicht nur an die Angriffe denkt, die man ohnehin im Kopf hat. Viertens bewertet man jeden Fall nach Schaden und Wahrscheinlichkeit und entscheidet: abwehren, abschwächen, versichern oder bewusst hinnehmen.

Ein Bedrohungsmodell ist kein Dokument, das man einmal schreibt und ablegt. Ändert sich das System, ändern sich die Bedrohungen. Wer eine neue Schnittstelle für Partnerfirmen öffnet, hat eine neue Angriffsfläche geschaffen. Gute Teams überarbeiten ihr Modell bei jeder größeren Änderung.

Bedrohungsmodelle bei KI-Systemen und im Alltag

Bei KI-Produkten sind Bedrohungsmodelle gerade besonders im Gespräch. Sprachmodelle, also Programme wie ChatGPT, die Text erzeugen, haben eigene Schwachstellen. Bekannt ist die Prompt Injection: Ein Angreifer versteckt Anweisungen in einer Webseite oder E-Mail, die das Modell später liest und befolgt. Wenn das Modell dabei Zugriff auf Postfach oder Kalender hat, kann daraus echter Schaden entstehen. Ein Bedrohungsmodell legt fest, welche solcher Fälle das Produkt abfangen soll.

In Firmenmeldungen und Sicherheitsberichten taucht der Begriff meist als Rechtfertigung auf. Ein Anbieter schreibt etwa, ein gemeldeter Angriff liege « außerhalb unseres Bedrohungsmodells ». Das kann redlich sein, wenn die Annahme vorher öffentlich dokumentiert war. Es kann aber auch eine Ausrede sein, wenn das Modell nachträglich passend zurechtgeschnitten wurde.

Auch privat lohnt sich der Gedanke. Bevor du dir Sorgen um Verschlüsselungsverfahren machst, überlege, wer realistisch an deine Daten will. Für die meisten Menschen sind das Betrüger mit gestohlenen Passwortlisten, nicht Geheimdienste. Daraus folgen sehr konkrete Prioritäten: unterschiedliche Passwörter, ein Passwortmanager und Zwei-Faktor-Anmeldung, bei der neben dem Passwort ein zweiter Nachweis nötig ist. Das ist ein Bedrohungsmodell im Kleinen.