Glossar · einfach erklärt

MITRE ATT&CK

MITRE ATT&CK ist der Katalog realer Angreifer-Taktiken und -Techniken — die gemeinsame Sprache für Erkennung und Verteidigung.

MITRE ATT&CK ist eine frei verfügbare, laufend gepflegte Wissensbasis über das Verhalten realer Angreifer: Taktiken beschreiben das Ziel eines Schritts (etwa Erstzugang, Rechteausweitung, Exfiltration), Techniken die konkreten Methoden dazu — belegt mit beobachteten Fällen und bekannten Gruppen.

Der praktische Wert liegt in der gemeinsamen Sprache: Wenn Erkennungsregeln, Berichte und Übungen dieselben Technik-IDs referenzieren, werden Lücken sichtbar und Diskussionen präzise.

Wie nutzt man ATT&CK in der Praxis?

Verteidiger legen ihre Erkennungs- und Schutzmaßnahmen über die Matrix: Welche Techniken decken wir ab, wo sind wir blind? Diese Coverage-Sicht priorisiert Investitionen besser als jedes Bauchgefühl. Threat-Intelligence-Teams beschreiben Angreifergruppen anhand ihrer typischen Techniken; Red Teams bauen daraus realistische Übungsszenarien.

Wichtig ist die richtige Erwartung: ATT&CK ist ein Katalog, kein Maßnahmenplan. Vollständige Abdeckung ist weder möglich noch nötig — es geht darum, die für das eigene Risikoprofil relevanten Techniken bewusst zu adressieren.

Wofür Teams ATT&CK verwenden

Gap-Analyse: Erkennungsabdeckung je Technik bewerten und priorisieren.
Threat-informed Defense: Schutz an real beobachteten Angreifer-Methoden ausrichten.
Purple-Team-Übungen: Angriffe simulieren und Erkennung technikgenau prüfen.
Berichte und Vorfälle einheitlich klassifizieren — intern wie mit Dienstleistern.

Häufige Fragen zu MITRE ATT&CK

Was unterscheidet Taktiken und Techniken in ATT&CK?

Taktiken sind die Ziele eines Angriffsschritts — etwa Zugang erlangen, Rechte ausweiten, Daten exfiltrieren. Techniken sind die konkreten Methoden, mit denen Angreifer diese Ziele erreichen, oft mit Untertechniken verfeinert und mit realen Fällen belegt.

Ist ATT&CK dasselbe wie die Cyber Kill Chain?

Nein: Die Kill Chain beschreibt den idealtypischen Ablauf eines Angriffs in Phasen, ATT&CK katalogisiert konkrete Techniken unabhängig von einer festen Reihenfolge. Die Kill Chain erzählt die Geschichte, ATT&CK liefert das detaillierte Vokabular.

Wie hilft ATT&CK bei der Tool-Auswahl?

Anbieter von EDR, NDR und SIEM mappen ihre Erkennungen zunehmend auf ATT&CK-Techniken. Das macht Angebote vergleichbar: Statt Marketingversprechen lässt sich fragen, welche Techniken ein Produkt tatsächlich erkennt — und wie sich das testen lässt.

Können kleine Teams ATT&CK sinnvoll nutzen?

Ja — pragmatisch: die zehn bis zwanzig Techniken identifizieren, die für das eigene Umfeld am relevantesten sind (etwa aus Berichten über die eigene Branche), und dafür Erkennung und Härtung prüfen. Das ist wertvoller als der Versuch vollständiger Abdeckung.

Was ist ATT&CK for ICS?

Eine eigene Matrix für industrielle Steuerungssysteme: Sie beschreibt Techniken gegen OT-Umgebungen — von der Manipulation von Steuerlogik bis zum Unterdrücken von Alarmen. Für Produktionsumgebungen ist sie der passende Bezugsrahmen, nicht die Enterprise-Matrix allein.