Threat Intelligence: Grundlagen

Threat Intelligence – auf Deutsch etwa „Bedrohungsaufklärung“ – sind aufbereitete Informationen über Angreifer, ihre Methoden und ihre Ziele. Organisationen nutzen sie, um Angriffe vorherzusehen, schneller zu erkennen und gezielter abzuwehren. Das Darknet ist dabei eine von vielen Quellen: Dort zeigen sich Angebote, Pläne und Opfer von Angreifern oft früher als anderswo.

Die vier Ebenen#

Der Kreislauf#

Threat Intelligence folgt einem wiederkehrenden Ablauf:

1. Anforderungen festlegen: Welche Fragen sind für uns wichtig? Welche Werte schützen wir?
2. Sammeln: Informationen aus passenden Quellen beschaffen.
3. Verarbeiten: Daten bereinigen, übersetzen, strukturieren.
4. Analysieren: Bedeutung für das eigene Unternehmen einschätzen.
5. Weitergeben: In verständlicher Form an die Zuständigen.
6. Rückmelden: War die Information nützlich? Was fehlt?

Ohne den ersten Schritt entsteht eine Flut von Daten ohne Nutzen.

Die Quellen#

Wie sich das Lagebild für Deutschland zusammensetzt, zeigt Cybercrime in Deutschland: das Lagebild.

Was das Darknet beitragen kann#

Beobachtungen im Untergrund liefern Hinweise, die anderswo fehlen:

• Frühwarnung: Angebote von Zugangsdaten oder Netzwerkzugängen eines Unternehmens.
• Opfer-Erkennung: Nennungen auf Leak-Seiten von Ransomware-Gruppen – auch von Dienstleistern und Zulieferern.
• Trends: Welche Schwachstellen diskutiert werden, welche Gruppen aktiv sind. GuidePoint Security zählte 2025 etwa 124 aktive Ransomware-Gruppen, ein Rekord.
• Folgen von Ermittlungen: Nach der Abschaltung des Forums XSS 2025 beobachteten Analysten vor allem einen Vertrauensverlust und eine Verlagerung auf andere Plattformen.

Für die meisten Unternehmen ist es sinnvoller, solche Erkenntnisse von spezialisierten Anbietern zu beziehen, als selbst in Untergrundforen aktiv zu werden. Siehe Darknet-Monitoring für Unternehmen.

Häufige Fehler#

1. Zu viele Daten, zu wenig Analyse: Listen mit Tausenden Merkmalen ohne Bezug zum eigenen Unternehmen.
2. Keine Konsequenzen: Erkenntnisse werden nicht in Maßnahmen übersetzt.
3. Veraltete Informationen: Technische Merkmale ändern sich schnell.
4. Fehlender Kontext: Ein Fund im Darknet muss geprüft werden – vieles ist alt, gefälscht oder übertrieben.

Einordnung#

Threat Intelligence ist kein Produkt, sondern eine Arbeitsweise: die richtigen Fragen stellen, passende Quellen nutzen und daraus Entscheidungen ableiten. Für Unternehmen jeder Größe gilt: Die wirksamsten Maßnahmen – Zwei-Faktor-Authentifizierung, schnelle Updates, Backups – sind bekannt. Threat Intelligence hilft vor allem, Prioritäten richtig zu setzen.