🔍 Was beobachte ich?

Ich sehe, wie Organisationen Monitoring einrichten und das Problem der Erkennung damit fĂŒr gelöst halten. SIEM steht, Logs fließen, Alarme sind konfiguriert. Die Frage, wie lange ein echter Angriff unentdeckt bliebe, stellt niemand.

🎯 Was soll eigentlich erreicht werden?

Zeitnahe Erkennung. Wer angreift, soll auffallen, bevor großer Schaden entsteht. Das BSI fordert fĂŒr KRITIS genau das – ein System zur Angriffserkennung aus Protokollierung, Detektion und Reaktion.

⚠ Warum funktioniert das nicht?

Protokollierung allein erkennt nichts – sie liefert nur die Daten. Zwischen Logs sammeln und Angriff bemerken klafft eine LĂŒcke: IBM misst 2025 im Schnitt 158 Tage bis zur Identifikation – der niedrigste Wert seit neun Jahren und trotzdem ĂŒber fĂŒnf Monate. In dieser Zeit bewegen sich Angreifende seitwĂ€rts, sammeln Rechte, exfiltrieren Daten. Ein einzelnes Werkzeug deckt nur einen Ausschnitt ab: Wer nur Server-Logs prĂŒft, sieht nicht, was am Endpunkt oder im Netzverkehr geschieht.

💡 Was funktioniert besser?

Detektion entsteht aus mehreren, sich ergĂ€nzenden Verfahren – keines erfasst alles. Das Fundament ist saubere Protokollierung mit wenigen, aussagekrĂ€ftigen Alarmen: neues Admin-Konto, Login zur Unzeit, Massen-Download, abgeschaltete Schutzfunktion. ErgĂ€nzt um Endpunkt-, Netz- und Verhaltensanalyse (EDR, NDR, UEBA). Besonders wirksam und oft unterschĂ€tzt ist Deception: Honeypots, Honeytokens und Canary-Tokens sind Köder ohne legitimen Zweck – wer sie berĂŒhrt, ist fast sicher ein Angreifer. Das erzeugt Alarme fast ohne Fehlalarme, und Canary-Tokens lassen sich in Minuten auslegen. Erst die Kombination erhöht die Chance, dass ein Angriff an mindestens einer Stelle auffĂ€llt – und jeder Alarm braucht eine klare ZustĂ€ndigkeit, auch ohne 24/7-SOC.

📚🔍