Glossar · einfach erklärt

Cyber Kill Chain

Die Cyber Kill Chain zerlegt Angriffe in Phasen — und zeigt, dass Verteidiger an jeder Stufe unterbrechen können.

Die Cyber Kill Chain ist ein Phasenmodell für gezielte Angriffe: von der Aufklärung über Bewaffnung, Zustellung, Ausnutzung und Installation bis zu Command-and-Control und dem eigentlichen Ziel — etwa Datendiebstahl oder Verschlüsselung.

Die zentrale Botschaft ist optimistisch: Ein Angriff ist eine Kette, und der Verteidiger muss sie nur an einer Stelle durchtrennen. Jede Phase bietet eigene Erkennungs- und Abwehrpunkte.

Die Phasen und ihre Gegenmaßnahmen

Früh in der Kette wirken Prävention und Hygiene: Angriffsflächen-Management gegen die Aufklärung, E-Mail- und Web-Schutz gegen die Zustellung, Patching und Härtung gegen die Ausnutzung. Ab der Installation übernehmen EDR und Anwendungs-Kontrollen; Command-and-Control-Verkehr fangen DNS-Filter und NDR; die Wirkung begrenzen Segmentierung, Rechtekonzepte und Backups.

Modern gelesen ist die Kette kein starres Nacheinander — reale Angriffe springen, wiederholen Phasen und laufen parallel. Als Denkmodell für Verteidigungstiefe bleibt sie trotzdem wertvoll: Wer jede Phase mit mindestens einer Kontrolle belegt, zwingt Angreifer zu mehreren erfolgreichen Schritten statt einem.

So nutzt man das Modell praktisch

Kontrollen den Phasen zuordnen: Wo sind wir stark, wo blind?
Vorfälle entlang der Kette rekonstruieren: Wie weit kam der Angreifer — und warum?
Investitionen ausbalancieren: nicht alles in Prävention, genug in Erkennung und Eindämmung.
Mit MITRE ATT&CK verfeinern, wenn es technikgenau werden soll.

Häufige Fragen zu Cyber Kill Chain

Welche Phasen hat die Cyber Kill Chain?

Klassisch sieben: Aufklärung, Bewaffnung, Zustellung, Ausnutzung, Installation, Command-and-Control und Aktionen am Ziel. Reale Angriffe halten sich nicht immer an die Reihenfolge — als Raster für Verteidigungstiefe funktioniert das Modell trotzdem.

Ist die Kill Chain noch aktuell?

Als Denkmodell ja, als exakte Beschreibung moderner Angriffe nur bedingt: Ransomware-Gruppen und Cloud-Angriffe springen zwischen Phasen und nutzen legitime Werkzeuge. Deshalb kombiniert man sie heute mit ATT&CK, das konkrete Techniken katalogisiert.

Was bringt mir das Modell konkret?

Eine einfache Vollständigkeitsprüfung: Jede Phase sollte mindestens eine Erkennungs- oder Abwehrkontrolle haben. Diese Zuordnung deckt typische Schieflagen auf — etwa viel Prävention am Perimeter, aber kaum Erkennung lateraler Bewegung im Inneren.

Wo unterbricht man die Kette am wirksamsten?

Es gibt keinen einzelnen besten Punkt — die Stärke liegt in der Tiefe. Frühe Unterbrechung (Zustellung, Ausnutzung) verhindert Schaden am billigsten; späte Kontrollen (Segmentierung, Backups) begrenzen ihn, wenn alles andere versagt. Beides gehört zusammen.

Wie verhält sich die Kill Chain zu ATT&CK?

Die Kill Chain liefert den groben Ablauf, ATT&CK das feine Vokabular: Jede Phase lässt sich mit konkreten ATT&CK-Techniken unterlegen. Viele Teams nutzen die Kette für Kommunikation mit dem Management und ATT&CK für die technische Arbeit.