Threat Hunting

Die meisten Schutzprogramme in einer Firma arbeiten wie eine Alarmanlage. Sie kennen bekannte Angriffsmuster und schlagen an, wenn eines davon auftaucht. Das Problem: Wer geschickt vorgeht, löst gar keinen Alarm aus. Threat Hunting dreht das Prinzip um. Fachleute nehmen an, dass bereits jemand im Netzwerk sitzt, und suchen gezielt nach Hinweisen darauf. Sie warten also nicht auf eine Meldung, sondern gehen selbst auf die Suche.

Warum Angreifer monatelang unentdeckt bleiben

Zwischen dem Einbruch in ein Netzwerk und seiner Entdeckung vergehen oft Wochen oder Monate. Sicherheitsfirmen sprechen von der Verweildauer, englisch dwell time. Je länger diese Zeit ist, desto mehr Schaden entsteht. Angreifer nutzen sie, um sich auszubreiten, Passwörter zu sammeln und Daten abzuziehen.

Besonders gefährlich sind Angriffe, die keine auffällige Schadsoftware brauchen. Wer sich einmal ein gültiges Passwort besorgt hat, kann sich ganz normal anmelden. Für die Alarmanlage sieht das aus wie ein Mitarbeiter bei der Arbeit. Genau in dieser Lücke arbeitet Threat Hunting.

Dazu kommt ein wirtschaftlicher Grund. Ein Ransomware-Angriff, bei dem alle Daten verschlüsselt und gegen Lösegeld freigegeben werden, kann ein Unternehmen tagelang lahmlegen. Wird der Angreifer in der Vorbereitungsphase entdeckt, bleibt der Schaden klein. Deshalb leisten sich vor allem Banken, Krankenhäuser und Industriekonzerne eigene Hunting-Teams.

Von der Hypothese zur Spur

Eine Jagd beginnt mit einer Annahme, die man überprüfen kann. Ein Beispiel: Ein Angreifer könnte gestohlene Zugangsdaten nutzen, um sich nachts anzumelden. Das Team durchsucht dann die Protokolldateien nach genau diesem Muster. Solche Protokolle, auch Logs genannt, halten fest, wer wann welches Programm gestartet hat.

Die Datenmengen sind riesig, deshalb hilft Software beim Filtern. Ein SIEM sammelt Logs aus dem ganzen Netzwerk an einer Stelle. EDR-Systeme beobachten zusätzlich, was auf einzelnen Rechnern passiert. Beide Systeme liefern das Rohmaterial, die eigentliche Auswertung macht aber ein Mensch.

Zunehmend übernehmen KI-Modelle die Vorarbeit. Sie lernen, wie normaler Betrieb in einem Netzwerk aussieht, und melden Abweichungen. Wenn ein Buchhaltungsrechner plötzlich große Datenmengen ins Ausland schickt, fällt das auf. Die KI ersetzt den Menschen aber nicht, denn sie meldet auch harmlose Ausreißer. Das Team entscheidet, welche Spur sich lohnt.

Findet die Jagd etwas, entsteht daraus eine neue Regel für die automatische Überwachung. So wird jeder gefundene Angriff künftig sofort erkannt. Auch eine erfolglose Jagd hat Wert: Sie zeigt, dass eine bestimmte Angriffsart hier nicht vorkommt.

Threat Hunting in Stellenanzeigen und Firmenmeldungen

Der Begriff taucht regelmäßig auf, wenn ein Unternehmen einen Hackerangriff meldet. In den Mitteilungen heißt es dann, externe Spezialisten seien hinzugezogen worden. Diese durchsuchen das Netzwerk nach weiteren Hintertüren, die der Angreifer hinterlassen hat. Ohne diesen Schritt kommt derselbe Täter oft nach wenigen Wochen zurück.

Weil eigene Teams teuer sind, kaufen viele Firmen die Leistung ein. Solche Angebote heißen Managed Detection and Response. Anbieter wie CrowdStrike, Microsoft oder Sophos verkaufen sie als Abo. Für die Börse ist das interessant, weil es planbare wiederkehrende Umsätze bedeutet.

Ein häufiger Irrtum ist, Threat Hunting mit einem Penetrationstest zu verwechseln. Beim Penetrationstest greifen Beauftragte die eigene Firma an, um Schwachstellen zu finden. Beim Threat Hunting sucht man dagegen nach einem echten Angreifer, der schon da ist. Die eine Tätigkeit prüft die Mauer, die andere durchsucht das Haus.