Buzzwords entschlüsselt - Folge #3 – Sicherheitsarchitektur & Prozesse: Denkweisen statt Tools

In dieser Folge geht es nicht um konkrete Produkte oder Softwarelösungen – sondern um die Grundprinzipien moderner Security-Strategien. Begriffe wie Zero-Day, TTPs, Security through Obscurity oder SOC/SIEM sind allgegenwärtig, aber oft nicht sauber voneinander abgegrenzt.
Diese Ausgabe zeigt, wie diese Begriffe zusammenhängen, welche Denkweise dahintersteckt – und warum „Sichtbarkeit“ und „Kontext“ in Sicherheitsarchitekturen entscheidender sind als Tool-Vielfalt.

Threat & Adversary – Bedrohung ≠ Angreifer

Threat bezeichnet eine potenzielle Gefahr – egal ob durch Mensch, Technik oder Organisation verursacht.
Adversary meint den konkreten, aktiv agierenden Gegner – also den Angreifer mit Ziel, Methode und Motivation.

Warum ist das wichtig?
Security-Architekturen müssen nicht nur Schwächen absichern, sondern Bedrohungen erkennen und Angriffslogiken verstehen.
Threat Intelligence bezieht sich also meist auf die Analyse von Adversary-Verhalten – nicht bloß auf technische Schwachstellen.

Zero-Day – Die unbekannte Schwachstelle

Ein Zero-Day ist eine Sicherheitslücke, die noch nicht öffentlich bekannt ist – aber bereits ausgenutzt wird.
Da keine Signaturen, Patches oder Abwehrregeln existieren, ist sie besonders kritisch.

Schutzstrategien:

• Verhaltensbasierte Erkennung (XDR, EDR)
• Nutzung von Threat Feeds
• Architekturprinzipien wie „Isolation by Default“

TTPs – Das Wie statt Was

Tactics, Techniques & Procedures (TTPs) beschreiben Angriffsverhalten, nicht bloß Malware-Namen.

Beispielhafter Ablauf:

1. Tactic: Initial Access
2. Technique: Credential Phishing
3. Procedure: Versand gezielter Mails mit legitimer Remote-Zugriffssoftware

TTPs sind die Sprache des MITRE ATT&CK® Frameworks – und Grundlage moderner Detection-Konzepte.

Dual-Use-Tools & Lateral Movement

• Dual-Use-Tools wie PowerShell, AnyDesk oder PsExec sind legitime Programme, die von Angreifern missbraucht werden.
• Lateral Movement beschreibt die Bewegung im Netzwerk nach initialem Zugriff – meist ohne Malware, sondern mit Bordmitteln.

Ohne Kontext lässt sich beides schwer erkennen. Hier hilft keine klassische AV-Lösung, sondern kontextbasierte Detection + SOC-Prozesse.

Supply Chain Attack – das Einfallstor von außen

Diese Angriffsform zielt nicht auf das eigentliche Zielsystem, sondern auf dessen Vorlieferanten, Partner oder eingesetzte Tools (z. B. Update-Server, Plugins, DLLs).
Beispiele wie SolarWinds zeigen: Selbst bei perfektem Patch-Management ist man nicht automatisch sicher.

Konsequenz für die Architektur:

• Segmentierung
• Validierung von Quellen
• Überwachung des Inbound-Softwareflusses

Security through Obscurity – Der Irrweg

Ein oft genannter, aber nicht empfohlener Ansatz: Systeme oder Abläufe durch Geheimhaltung schützen.

Warum das nicht reicht:

• „Verstecken“ ist kein Sicherheitsmechanismus
• Sicherheitsanalysen und Audits werden erschwert
• Angreifer finden Wege – Verteidiger bleiben blind

Besser: „Security by Design“ mit offener Kontrolle, Logging, Prüfmechanismen.

SOC & SIEM – Prozesse statt Produkte

Zusammenspiel = Security Monitoring.
Pluspunkt: Ergänzbar durch automatisierte Detection & Response (MDR/XDR).

Fazit: Architektur beginnt im Kopf

Security ist kein Werkzeugkasten, sondern ein Denkmodell:

• Wer nur auf Tools schaut, sieht oft nicht die Bewegung im System.
• Wer auf Verhalten, Prozesse und Muster achtet, erkennt mehr – und früher.

Die Bedrohung entsteht nicht nur durch Schwachstellen – sondern durch Gegner, die diese gezielt, kreativ und arbeitsteilig ausnutzen.

Ausblick auf Folge #4

In der nächsten Folge widmen wir uns den Werkzeugen und Taktiken der Angreifer selbst:
Von Trojanern über Keylogger bis hin zu Malware-as-a-Service – was wirklich hinter den digitalen Tätern steckt.
Dabei geht es um Begriffe wie:

• BEC, Spyware, RAT, Credential Theft
• Drive-by, Malware Frameworks, Keylogger
• sowie den Einsatz von täuschend legitimen Tools wie AnyDesk oder PowerShell

Ziel: Ein realistischer Blick auf das Arsenal der Angreifer – und was Security-Teams daraus lernen müssen.

Wie können wir Sie konkret unterstützen?

Ob Sie bestehende Prozesse reflektieren, ein SOC-Konzept etablieren oder Transparenz in Ihre Security-Architektur bringen wollen – wir helfen Ihnen mit Erfahrung, Strategie und den passenden Tools.

Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.
+49 6103 9707-500