Threat Intelligence im Unternehmen: Arten, Zyklus und Kennzahlen
Threat Intelligence wurde zur Budgetposition, bevor sie zur Praxis wurde. Der Bericht Cost of a Data Breach 2025 von IBM und dem Ponemon Institute beziffert die durchschnittlichen Kosten einer Datenschutzverletzung in Brasilien auf 7,19 Millionen Real — 6,5 % mehr als die 6,75 Millionen des Jahres 2024. In derselben Untersuchung führt der Einsatz von Bedrohungsaufklärung die Liste der Faktoren an, die diese Kosten gesenkt haben: im Schnitt 655.110 Real weniger je Vorfall.
Das Problem ist, dass “wir haben Threat Intelligence” und “wir haben einen Feed abonniert” im Markt zu Synonymen geworden sind. Es sind zwei verschiedene Dinge — und genau dieser Unterschied trennt ein Programm, das Entscheidungen verändert, von einem, das PDFs produziert.
Dieser Leitfaden richtet sich an alle, die ein Programm zur Bedrohungsaufklärung aufbauen, reparieren oder rechtfertigen müssen: was es ist und was nicht, die vier Arten, die sechs Phasen des Zyklus, die Abgrenzung zu SIEM und Virenschutz, die Fehler, die den Betrieb aushöhlen, die Messung des Ergebnisses — und was sich im brasilianischen Zuschnitt ändert.
Was Threat Intelligence ist
Cyber Threat Intelligence (CTI) ist der Prozess, Rohdaten über Angreifer in ein Produkt zu verwandeln, das eine Frage der Entscheidungsträger beantwortet, mit ausgewiesener Konfidenz, und zwar innerhalb der Frist, in der die Entscheidung überhaupt noch getroffen werden kann.
Diese Definition stellt drei Anforderungen, und alle drei sind überprüfbar:
- Sie beantwortet eine Frage, die jemand gestellt hat. Intelligence entsteht nicht aus der Erfassung, sondern aus der Anforderung.
- Sie kommt vor der Entscheidung an. Eine korrekte Analyse, die nach dem Einspielen des Patches eintrifft, ist Geschichtsschreibung, keine Aufklärung.
- Sie verändert etwas. Eine Sperre, eine Priorität in der Fehlerbehebung, eine Vertragsklausel, eine Investition, eine Mitteilung an die Kundschaft.
Wenn Sie nicht benennen können, welche Entscheidung ein Ergebnis verändert hat, dann haben Sie Inhalte — womöglich gute Inhalte, aber keine Intelligence.
Was Threat Intelligence nicht ist
- Ein IOC-Feed. Eine Liste bösartiger IP-Adressen, Hashes und Domains ist Rohstoff. Zur Intelligence wird sie, wenn jemand die Relevanz für Ihre Umgebung, den Kontext und die Gültigkeitsdauer bewertet.
- Ein Sicherheits-Newsletter. Eine Meldung über eine Schwachstelle in Software, die Sie gar nicht einsetzen, ist für Sie keine Intelligence.
- Die Ausgabe eines Schwachstellenscanners. Das ist die eigene Verwundbarkeitslage. Eine Bedrohung ist das, was außerhalb existiert — mit Absicht und mit Fähigkeit.
- Dark-Web-Überwachung ohne Anforderung. Ohne festzulegen, wonach Sie suchen und was Sie im Fundfall tun, entsteht ein hübsches Dashboard und keine Zuständigkeit.
- Attribution. Zu wissen, dass die Gruppe X heißt, verändert selten, was Ihr Team am Montag tut.
Die vier Arten von Threat Intelligence
| Art | Wer sie nutzt | Haltbarkeit |
|---|---|---|
| Strategisch | Geschäftsleitung, CISO | Monate bis Jahre |
| Operativ | SOC-Leitung, Incident Response | Wochen bis Monate |
| Taktisch | Detection und Threat Hunting | Monate bis Jahre |
| Technisch | Automatisierung, Blockierung | Stunden bis Tage |
Die Grenze zwischen “taktisch” und “operativ” ist in der Fachliteratur die umstrittenste, und über das Etikett zu streiten ist verschwendete Zeit. Entscheidend ist, für jedes Produkt zu wissen, wer es konsumiert und wie lange der Inhalt gilt.
Strategisch
Beantwortet Fragen zu Investition und Risiko: Wie stark ist unsere Branche in den nächsten zwölf Monaten Ransomware ausgesetzt? Verändert eine Niederlassung in jenem Land unser Bedrohungsprofil? Soll das Sicherheitsbudget in Identitäten oder in die externe Angriffsfläche fließen?
Format: kurzer Bericht, Sprache des Geschäfts, ohne Fachjargon. Quartals- oder Jahresrhythmus. Es ist die einzige Art, die auch für Nichttechniker lesbar sein muss.
Operativ
Beantwortet “wer, wann und warum”: laufende Kampagnen, Motivation, Zielbranchen, Saisonalität. Eine Phishing-Kampagne mit Black-Friday-Motiv gegen den brasilianischen Einzelhandel ist operative Intelligence.
Format: Kampagnenwarnung mit Kontext und Empfehlung. Wird in Tagen bis Wochen verbraucht.
Taktisch
Beschreibt die Taktiken, Techniken und Vorgehensweisen (TTPs) des Angreifers — wie er eindringt, wie er sich bewegt, wie er persistiert, wie er Daten abzieht. Das ist der Rohstoff für Detection und Threat Hunting und der natürliche Ort, um alles gegen MITRE ATT&CK abzubilden.
Es ist die Art mit dem besten Verhältnis von Aufwand zu Haltbarkeit: Eine Technik zu wechseln kostet den Angreifer viel; eine Domain zu wechseln kostet ihn nichts.
Technisch
Kompromittierungsindikatoren: IP-Adresse, Datei-Hash, Command-and-Control-Domain, Phishing-URL, Zertifikat. Taugt für Automatisierung und Sperrlisten und altert schnell — manchmal innerhalb von Stunden.
Hier lohnt die Erinnerung an die Pyramid of Pain von David J. Bianco (2013): An der Basis stehen die Hashes, die der Angreifer in Sekunden austauscht; an der Spitze stehen die TTPs, die er nur unter Schmerzen ändert. Ein Programm, das ausschließlich die Basis der Pyramide konsumiert, gibt viel Geld aus und stört wenig.
Der Intelligence-Zyklus: sechs Phasen
Der Zyklus stammt aus der klassischen Nachrichtendienstlehre — die Joint Publication 2-0 des US-Verteidigungsministeriums beschreibt denselben Prozess in sechs Schritten. In der Cybersicherheit funktioniert er aus demselben Grund wie dort: Er zwingt dazu, mit der Frage anzufangen und mit der Kritik aufzuhören.
1. Steuerung
Hier werden die PIRs (priority intelligence requirements) formuliert — die vorrangigen Fragen, zu deren Beantwortung das Programm überhaupt existiert. Es ist die Phase, die am häufigsten übersprungen wird, und die, die gescheiterte Programme am besten erklärt.
Ein schlechtes PIR: “Ich will etwas über Ransomware wissen.”
Ein brauchbares PIR: “Hat in den letzten 90 Tagen eine Ransomware-Gruppe aktiv eine der fünf Technologien ausgenutzt, die an unserem Perimeter exponiert sind? Verantwortlich: Schwachstellenmanagement. Daran hängende Entscheidung: Priorisierung des monatlichen Wartungsfensters.”
Ein PIR taugt, wenn es eine verantwortliche Person hat, eine Frist, eine daran hängende Entscheidung — und wenn es mit den Quellen beantwortbar ist, die Sie tatsächlich besitzen.
2. Erfassung
Externe Quellen: OSINT, kommerzielle und offene Feeds, geschlossene Foren und Marktplätze, Messenger-Kanäle, branchenweite Austauschgemeinschaften, Herstellerberichte.
Interne Quellen: die eigenen Protokolle, frühere Vorfälle, Betrugsfälle aus dem Ticketsystem, Endpoint-Telemetrie, von Mitarbeitenden gemeldete Phishing-Versuche. Das ist die relevanteste Quelle, die es für Ihre Umgebung gibt — und die am häufigsten übersehene. Wer Sie schon einmal angegriffen hat, ist der beste Hinweis darauf, wer Sie wieder angreifen wird.
3. Aufbereitung
Normalisierung, Deduplizierung, Übersetzung, Anreicherung und Vereinheitlichung des Formats (STIX, MISP). Ohne diesen Schritt wird die Analystin zur Datenputzkraft und das Programm skaliert nicht.
4. Analyse
Die einzige Phase, die sich nicht auslagern lässt. Hier bewertet jemand die Relevanz, korreliert mit der eigenen Umgebung, bildet Hypothesen und weist eine Konfidenz aus. Nutzen Sie eine standardisierte Skala — der Admiralty Code (Zuverlässigkeit der Quelle von A bis F, Glaubwürdigkeit der Information von 1 bis 6) ist am einfachsten einzuführen und beseitigt bereits einen Großteil der Mehrdeutigkeit.
Eine Analyse ohne ausgewiesenen Konfidenzgrad zwingt die Lesenden zum Raten, ob Sie recht haben — und wer raten muss, ignoriert.
5. Verbreitung
Derselbe Befund wird je nach Publikum zu drei verschiedenen Produkten: eine Seite für den Vorstand, eine Detection-Regel für das SOC, eine Zeitleiste für das Response-Team. Den 40-seitigen Bericht an alle drei zu schicken, ist so viel wert wie an niemanden zu schicken.
6. Rückmeldung
Die Phase, die kaum jemand ausführt. Fragen Sie jeden Empfänger: Haben Sie es genutzt? Was haben Sie entschieden? Was hat gefehlt? Was war zu viel? Ohne das werden die PIRs nie besser, und aus dem Zyklus wird eine gerade Linie, die in der Ablage endet.
Threat Intelligence ist kein SIEM und kein Virenschutz
| Ebene | Beantwortete Frage | Wo sie allein versagt |
|---|---|---|
| Virenschutz / EDR | Ist das auf diesem Rechner bösartig? | Weiß nicht, wer Sie angreift und warum |
| SIEM / Detection | Ist in meinen Protokollen etwas Auffälliges passiert? | Sieht nur, was schon drin ist |
| Threat Intelligence | Wer greift mich wahrscheinlich womit an, und was tue ich vorher? | Handelt nicht selbst; braucht die anderen beiden |
Die Verwechslung ist verbreitet, weil alle drei Indikatoren konsumieren. Der Unterschied liegt im Beobachtungsstandpunkt: EDR schaut in den Host hinein, SIEM in das Netz, CTI aus der Organisation heraus.
Und das Verhältnis ist eines der Belieferung, nicht der Ablösung. Der technische Indikator wandert hinunter in SIEM und EDR. Die TTP wird zur Detection-Regel und zur Hunting-Hypothese. Die strategische Analyse wird zum Budget. Ein Aufklärungsprogramm ohne Ausgang in die Detection-Werkzeuge ist ein Leseprogramm.
Fünf Fehler, die ein CTI-Programm aushöhlen
1. Einen IOC-Feed kaufen und ihn Intelligence nennen. Menge ist keine Qualität. Bevor Sie irgendeinen Feed abonnieren, fragen Sie: Woher stammt der Indikator? Wie hoch ist die gemessene Falsch-Positiv-Rate? Wie lang ist die durchschnittliche Haltbarkeit? Deckt er portugiesischsprachige Quellen ab? Und liefert er in einem Format, das mein Stack ohne Handarbeit aufnimmt?
2. Ohne PIR erfassen. Erfassung ohne Anforderung erzeugt Volumen, und Volumen erzeugt das Gefühl getaner Arbeit. Das ist der Fehler, der am meisten Budget verbraucht und am wenigsten bewirkt.
3. Der Attribution hinterherlaufen. Ein Gruppenname ist interessant und fast nie handlungsleitend. Eine TTP ist fast immer handlungsleitend.
4. Die internen Quellen ignorieren. Viele Unternehmen zahlen viel für externe Aufklärung und haben nie die eigene Vorfallshistorie gelesen.
5. Den Zyklus nicht schließen. Ein Bericht, den niemand liest, ist reiner Aufwand. Wenn der Empfänger nicht gefragt wird, merkt der Verfasser nie, dass er am Ziel vorbeiarbeitet.
Woran Sie erkennen, ob das Programm wirkt
Es gibt zwei Familien von Kennzahlen, und eine davon täuscht.
Vermeiden Sie Produktionskennzahlen: Zahl veröffentlichter Berichte, Zahl aufgenommener IOCs, Zahl abonnierter Quellen. Sie alle steigen, wenn Sie mehr arbeiten, und keine davon steigt, wenn Sie öfter richtig liegen.
Bevorzugen Sie Wirkungskennzahlen:
- PIR-Abdeckung — Anteil der geltenden Anforderungen mit aktueller Antwort innerhalb der Frist.
- Zeit bis zur Operationalisierung — Stunden zwischen dem Eintreffen eines relevanten Indikators und der Sperre oder Regel im Produktivbetrieb.
- Aus Intelligence entstandene Detections — wie viele Erkennungen des Quartals es nur gibt, weil die CTI zuerst darauf hingewiesen hat.
- Trefferquote je Quelle — Anteil der Indikatoren, die einen nützlichen Alarm erzeugt haben, gemessen pro Feed. Ein Feed, der nur Rauschen produziert, gehört mit Zahlen in der Hand gekündigt.
- Beeinflusste Entscheidungen — namentliches Verzeichnis von Entscheidungen (priorisiertes Patch, neu bewerteter Lieferant, verschobenes Projekt), die sich auf ein Intelligence-Produkt berufen.
- ATT&CK-Abdeckung — welche Techniken Ihres Bedrohungsmodells Sie heute erkennen, im Vergleich zum Vorquartal.
- Nutzung — wer geöffnet hat, wer auf die Rückfrage geantwortet hat. Geringe Lesequote ist ein Zeichen für das falsche Produkt, nicht für unaufmerksame Leser.
Wählen Sie drei bis fünf, messen Sie quartalsweise und veröffentlichen Sie dazu, was Sie nicht messen konnten. Eine Kennzahl ohne Vorbehalt ist internes Marketing.
Der brasilianische Zuschnitt: was hier anders ist
Die gesetzliche Uhr läuft drei Arbeitstage
Artikel 48 der LGPD (Gesetz 13.709/2018), des brasilianischen Datenschutzgesetzes, verpflichtet den Verantwortlichen, einen Vorfall zu melden, der ein erhebliches Risiko oder einen erheblichen Schaden für die betroffenen Personen nach sich ziehen kann. Die Resolution CD/ANPD Nr. 15/2024 der brasilianischen Datenschutzbehörde hat die Fristen konkretisiert:
- Drei Arbeitstage für die Meldung an die ANPD (Art. 6) und an die betroffene Person (Art. 9), gerechnet ab dem Zeitpunkt, zu dem der Verantwortliche Kenntnis davon erlangt, dass der Vorfall personenbezogene Daten betroffen hat.
- Zwanzig Arbeitstage, um die Angaben begründet zu ergänzen (Art. 6 § 3).
- Doppelte Fristen für kleine Verarbeitungsakteure (Art. 6 § 8 und Art. 9 § 6).
- Artikel 5 listet die Kriterien des erheblichen Risikos auf: sensible Daten, Daten von Kindern, Jugendlichen oder älteren Menschen, Finanzdaten, Authentifizierungsdaten, durch Geheimhaltungspflichten geschützte Daten oder Daten in großem Umfang.
- Artikel 10 verlangt, jeden Vorfall zu dokumentieren — auch den, der nicht gemeldet wurde — und diesen Nachweis mindestens fünf Jahre aufzubewahren.
Die praktische Folge für die Aufklärung ist unmittelbar: Früh zu entdecken hat einen juristischen Wert, nicht nur einen technischen. Ein Zugangsdatenleck, das die externe Überwachung vor der Kontaktaufnahme des Angreifers findet, verändert, wer die Uhr kontrolliert. Und die von Art. 6 § 2 verlangte Meldung fordert genau das, was ein reifes Programm ohnehin produziert — Art und Kategorie der betroffenen Daten, Risiken, mögliche Auswirkungen und ergriffene Maßnahmen.
Der Finanzsektor hat eigene Regeln
Die Resolution CMN Nr. 4.893/2021 verlangt von Banken und weiteren durch die brasilianische Zentralbank zugelassenen Instituten eine Cybersicherheitsrichtlinie sowie einen Aktions- und Reaktionsplan für Vorfälle. Zahlungsdienstleister, Wertpapierhäuser und Konsortialverwalter fallen nicht darunter und folgen eigenen Normen der Zentralbank — es lohnt sich, vor dem Entwurf des Prozesses zu prüfen, welche gilt.
Die hier gemessenen Angriffsvektoren
Weiter aus der IBM-Erhebung für Brasilien 2025: Phishing war der häufigste Einstiegsvektor mit 18 % der Verletzungen (Durchschnittskosten 7,18 Millionen Real); Kompromittierung von Dritten kam auf 15 % — und war mit 8,98 Millionen Real der teuerste; Ausnutzung von Schwachstellen auf 13 % (7,61 Millionen Real). Nach Branche führte das Gesundheitswesen mit 11,43 Millionen Real, gefolgt vom Finanzwesen (8,92 Millionen) und Dienstleistungen (8,51 Millionen).
Zwei der drei wichtigsten Vektoren liegen außerhalb Ihres Perimeters: die Marke, mit der Ihre Kundschaft getäuscht wird, und der kompromittierte Lieferant mit Zugang zu Ihrer Umgebung. Keiner von beiden taucht vor dem Schaden in Ihrem SIEM auf. Beide tauchen in der externen Erfassung auf.
Die Sprache ist eine Abdeckungsgrenze
Internationale Feeds sind standardmäßig englischsprachig. Ein Phishing-Kit auf Portugiesisch, ein Messenger-Kanal, der eine Datenbank mit CPF-Nummern verkauft, ein Inserat über Zugang zu einem bestimmten brasilianischen Unternehmen: Nichts davon kommt übersetzt an, und vieles kommt gar nicht an. Abdeckung auf Portugiesisch ist keine regionale Vorliebe — sie ist eine Erfassungsanforderung für alle, die in Brasilien tätig sind.
Ein Mindestprogramm in 90 Tagen
- Tage 1–30. Formulieren Sie drei bis fünf PIRs, jedes mit verantwortlicher Person und daran hängender Entscheidung. Erheben Sie Ihre exponierten Werte: Domains, Marken, IP-Bereiche, Anwendungen, kritische Lieferanten. Legen Sie fest, wer die drei Empfänger der Intelligence sind.
- Tage 31–60. Schalten Sie die minimale Erfassung ein, die diese PIRs beantwortet. Richten Sie je Empfänger einen Verbreitungskanal mit eigenem Format ein. Öffnen Sie den Ausgang in SIEM und EDR.
- Tage 61–90. Messen Sie drei Wirkungskennzahlen. Führen Sie das Rückmeldegespräch mit jedem Empfänger. Streichen Sie, was niemand gelesen hat.
Ein kleines Programm, das den Zyklus schließt, liefert mehr als ein großes, das nur erfasst.
Wo die Plattform OODA Intelligence hineinpasst
Die Plattform umfasst 41 Module, und der nützliche Blick darauf führt über die Phasen des Zyklus, nicht über die Liste:
- Erfassung: Collection (Messenger-Kanäle, Foren im Clearnet und Darknet, Feeds), Threat Monitoring (Keyword-Monitore mit Alarmierung über mehrere Kanäle), EASM und Recon für die externe Angriffsfläche.
- Erfassung mit Blick auf Marke, Infrastruktur und Exponierung: Threat Intelligence mit Submodulen für Domain, Netz, Phishing und Markenmissbrauch sowie Data Leak Detection für Zugangsdaten und offengelegte Datenbestände.
- Aufbereitung und Analyse: Search Intelligence für die einheitliche Suche über das Erfasste und Investigate für Untersuchungen mit forensischer Spur.
- Verbreitung: SIEM Bridge, MISP Sync, Intelligence Reports und die API REST.
- Dokumentation und Rückmeldung: Incident Management und Audit & Compliance — Letzteres unmittelbar verbunden mit den Aufzeichnungspflichten aus der Resolution ANPD Nr. 15/2024, einem Thema, das wir im Beitrag zu LGPD und Cybersicherheit ausführlich behandeln.
Hinzu kommt eine eigene Linie für Presseerfassung und Faktenprüfung — 76 hinterlegte Pressequellen speisen News Intelligence, und Disinfo Verify gleicht Behauptungen mit einem Bestand veröffentlichter Faktenchecks ab. Das ist die Ebene, die auf Reputationsrisiko und gezielte Desinformation gegen die Marke antwortet.
Ein ehrlicher Vorbehalt zum Schluss: Kein Werkzeug schreibt Ihr PIR und keines entscheidet, was für Ihr Geschäft relevant ist. Eine Plattform verkürzt Erfassung, Aufbereitung und Verbreitung — dort liegt die Fleißarbeit. Steuerung und Analyse bleiben menschliche Arbeit. Und genau deshalb sollte der Zyklus Ihr Programm ordnen, nicht der Modulkatalog.
Quellen
- IBM und Ponemon Institute. Cost of a Data Breach Report 2025 — Zahlen für Brasilien, IBM Newsroom, 30.07.2025.
- Brasilien. Gesetz Nr. 13.709/2018 (LGPD), Art. 48.
- ANPD. Resolution CD/ANPD Nr. 15 vom 24. April 2024 — Verordnung über die Meldung von Sicherheitsvorfällen. Siehe auch die offizielle Seite zur Vorfallsmeldung.
- CMN. Resolution Nr. 4.893 vom 26. Februar 2021.
- BIANCO, David J. The Pyramid of Pain, 2013.
- MITRE ATT&CK.
- U.S. Department of Defense. Joint Publication 2-0, Joint Intelligence — der sechsstufige Intelligence-Prozess.
