Triage (Security)

Der Begriff kommt aus der Notaufnahme im Krankenhaus. Kommen zehn Verletzte gleichzeitig an, schaut eine Fachkraft zuerst kurz alle an. Sie entscheidet, wer sofort in den Operationssaal muss und wer eine Stunde warten kann. Genau dieses Vorsortieren nennt man Triage. In der IT-Sicherheit läuft es ähnlich: In einem großen Unternehmen laufen jeden Tag tausende automatische Warnmeldungen ein, dazu Hinweise von außen auf mögliche Schwachstellen in der eigenen Software. Ein Team kann nicht alles gleichzeitig prüfen. Also sortiert es zuerst, statt sofort zu reparieren.

Warum tausend Alarme schlimmer sind als zehn

Sicherheitswerkzeuge sind absichtlich misstrauisch. Sie melden lieber zu viel als zu wenig. Das Ergebnis ist eine Flut von Meldungen, von denen die meisten harmlos sind. Ein Mitarbeiter hat sich vertippt, ein Backup lief zu einer ungewohnten Zeit, ein Update veränderte eine Datei. Fachleute nennen solche Meldungen Fehlalarme oder englisch False Positives.

Das Problem ist nicht der einzelne Fehlalarm, sondern die Masse. Wer täglich hundert harmlose Warnungen wegklickt, klickt irgendwann auch die eine echte weg. Diesen Effekt nennt man Alarmmüdigkeit. Mehrere große Datendiebstähle liefen so ab: Die Warnung war da, sie ging nur im Rauschen unter.

Triage soll genau das verhindern. Sie schafft eine bewusste Rangfolge, statt der Reihenfolge des Eingangs zu folgen. Damit wird auch messbar, wie gut ein Team arbeitet. Eine typische Kennzahl ist die Zeit von der Meldung bis zur ersten Einschätzung.

Wie ein Fall eingestuft wird

Am Anfang steht eine schnelle Prüfung: Ist die Meldung überhaupt echt? Dazu schaut das Team in Protokolldateien, also die automatischen Mitschriften darüber, was auf einem Computer passiert ist. Passt die Warnung zu einem normalen Vorgang, wird der Fall geschlossen. Bleibt ein Verdacht, geht es weiter.

Danach folgt die Einstufung nach Schwere. Zwei Fragen zählen: Wie schlimm wäre der Schaden, und wie wahrscheinlich ist er? Ein Angreifer mit Administratorrechten auf einem Kundendaten-Server ist ein Notfall. Eine Lücke in einem Testsystem ohne Internetverbindung ist es nicht, selbst wenn sie technisch gefährlich klingt. Für Schwachstellen in Software gibt es dafür eine gängige Punkteskala von 0 bis 10, das CVSS. Der Wert allein reicht aber nie, weil er den eigenen Aufbau des Unternehmens nicht kennt.

Am Ende wird jeder Fall einer Stufe zugeordnet, oft von « kritisch » bis « niedrig », und mit einer Frist versehen. Kritische Fälle gehen an erfahrene Analysten, die tiefer graben. Der Rest landet in einer Warteschlange. Wichtig ist die Abgrenzung: Triage ist nur das Sortieren. Die eigentliche Untersuchung und das Beheben sind eigene Schritte danach.

Bug-Bounty-Meldungen, SOC-Schichten und KI-Assistenten

Große Unternehmen betreiben ein Security Operations Center, kurz SOC. Das ist ein Team, das rund um die Uhr in Schichten Warnmeldungen beobachtet. Der Großteil dieser Arbeit ist Triage. Wer dort als Berufseinsteiger anfängt, macht praktisch nichts anderes.

Der Begriff taucht auch bei Bug-Bounty-Programmen auf. Dabei zahlen Firmen Geld an Außenstehende, die Sicherheitslücken melden. Bei Anbietern wie Google oder Microsoft gehen so tausende Meldungen pro Jahr ein, viele davon Dubletten oder Unsinn. Ein eigenes Triage-Team prüft, ob eine Meldung neu und echt ist, und entscheidet über die Höhe der Belohnung. Wenn Sicherheitsforscher öffentlich klagen, ihre Meldung sei « in der Triage versandet », geht es um genau diesen Schritt.

Seit einigen Jahren übernehmen KI-Systeme Teile dieser Vorsortierung. Sie bündeln zusammengehörige Warnungen, schreiben eine Zusammenfassung und schlagen eine Stufe vor. Das ist ein Hauptargument in den Verkaufsgesprächen der Sicherheitsbranche. Die Entscheidung bei kritischen Fällen bleibt trotzdem bei Menschen, denn ein falsch abgewiesener Alarm bleibt unsichtbar, bis der Schaden da ist.