DORA Threat Intelligence
Umfasst die gesamte Wertschöpfungskette von der Rohdaten-Aggregation bis zur entscheidungsreifen Analyse für Vorstand, CISO und IKT-Risikomanagement.
Entscheidungsorientierter Analyseweg
Die folgenden Schritte sind ein Arbeitsmuster. Die Plattform behauptet weder eine aktuelle Bedrohungslage noch eine institutsbezogene Exposition.
Leitfrage
Ist die Quelle authentisch, aktuell, unabhängig bestätigt und für den Scope verwendbar?
Arbeitsprodukt
Quellennachweis mit Veröffentlichungszeit, Abrufzeit, Herausgeber, Original-URL und Vertrauensniveau
Gate
Provenienz und Einschränkungen dokumentiert
Leitfrage
Welche kritische oder wichtige Funktion, Assets, Daten, Provider und Abhängigkeiten sind tatsächlich exponiert?
Arbeitsprodukt
Institutsbezogenes Szenario mit Angriffsweg, Voraussetzungen und betroffenen Geschäftsleistungen
Gate
Asset- und Funktions-Owner haben den Kontext plausibilisiert
Leitfrage
Welche präventiven, detektiven und korrektiven Kontrollen unterbrechen den Angriffsweg nachweisbar?
Arbeitsprodukt
Kontroll-Mapping mit Testreferenz, Abdeckung, Ausnahme und Restunsicherheit
Gate
Behauptete Wirksamkeit ist durch aktuelle Evidence gestützt
Leitfrage
Welche Auswirkung und Eintrittsannahme sind mit welcher Methode begründet, und welche Behandlung ist verhältnismäßig?
Arbeitsprodukt
Entscheidungsvorlage mit Optionen, Frist, Owner, Restrisiko und Eskalationsweg
Gate
Kompetenzgerechte Entscheidung und Begründung protokolliert
Leitfrage
Welche Änderung folgt für Monitoring, Incident Response, Tests, Schulung oder Drittparteiensteuerung?
Arbeitsprodukt
Nachverfolgte Übergaben mit Zielsystem, Verantwortlichem und Wirksamkeitsprüfung
Gate
Übernahme bestätigt und Folgereview terminiert
Provenienz und Confidence
Ein technisches Signal wird erst durch nachvollziehbare Herkunft, Kontext und Unsicherheit entscheidungsfähig. Feed-Verfügbarkeit oder bloße Nennung eines Akteurs ist kein Relevanznachweis.
Dimension
Prüffrage
Ist Herausgeber und Originalfundstelle verifiziert?
Mindestnachweis
Primärquelle, Signatur, amtliche Veröffentlichung oder bestätigter Providerkanal
Dimension
Prüffrage
Sind Ereignis-, Veröffentlichungs- und Abrufzeit getrennt dokumentiert?
Mindestnachweis
Zeitstempel, Version und Gültigkeitsfenster
Dimension
Prüffrage
Ist das Signal durch unabhängige Quellen oder interne Telemetrie gestützt?
Mindestnachweis
Korrespondierende Meldung, Log-/SIEM-Referenz oder Analystenprüfung
Dimension
Prüffrage
Besteht ein belegter Bezug zu Funktionen, Assets, Technologien oder Providern?
Mindestnachweis
Inventar-, Architektur-, Vertrags- oder Prozessreferenz
Dimension
Prüffrage
Welche Unsicherheit bleibt bei Akteur, TTP, Ziel und Auswirkung?
Mindestnachweis
Begründetes Confidence-Level mit bekannten Lücken und Gegenhypothesen
DORA Artikel 3 Ziffer 8
„Bedrohungsanalyse: Informationen, die aggregiert, umgewandelt, analysiert, ausgewertet oder erweitert wurden, um den notwendigen Kontext für die Entscheidungsfindung zu schaffen und ein relevantes und ausreichendes Verständnis für die Abmilderung der Auswirkungen eines IKT-bezogenen Vorfalls oder einer Cyberbedrohung zu ermöglichen, einschließlich der technischen Einzelheiten eines Cyberangriffs, der für den Angriff verantwortlichen Personen und ihres Modus Operandi und ihrer Beweggründe."
Aggregation & Sammlung
Rohdaten-Lagebild
Analyse & Bewertung
Bewertetes Bedrohungsprofil
Kontextualisierung
Business-kontextualisierte Bedrohungslage
Entscheidungsunterstützung
Entscheidungsvorlage / Board-Report
Systematische Zusammenführung von Bedrohungsinformationen aus internen und externen Quellen als Grundlage jeder fundierten Analyse.
Umwandlung von Rohdaten in bewertete Bedrohungsinformationen: Validierung, Kontextualisierung und Risikobewertung.
Anreicherung der technischen Bedrohungsdaten mit Business-Kontext: Betroffene kritische Funktionen, Datenklassen, regulatorische Auswirkungen.
Aufbereitung der Analyse für Management-Entscheidungen: Handlungsoptionen, Risikoakzeptanz, Ressourcenallokation, Eskalation.
Die angezeigten Akteursprofile und Einstufungen sind generische Referenzannahmen. Sie dürfen nicht als aktuelle Threat Intelligence oder als Bewertung eines Instituts verwendet werden.
Motivation: Geopolitik, Wirtschaftsspionage, Sabotage
Fähigkeit: Sehr hoch · Ziel: Kritische Infrastruktur, Banken, Behörden
Advanced Persistent Threats, Zero-Day-Exploits, Supply-Chain-Attacken
DORA Art. 5, 7, 13, 26-27 (TLPT)
Motivation: Finanzieller Gewinn, Erpressung
Fähigkeit: Hoch · Ziel: Finanzinstitute, Zahlungsdienstleister
Ransomware-as-a-Service, Social Engineering, Phishing, Initial Access Broker
DORA Art. 10, 17-18 (Incident Reporting), 24
Motivation: Politische Agenda, Protest, Aufmerksamkeit
Fähigkeit: Mittel · Ziel: Öffentlich sichtbare Dienste, Social-Media-Präsenz
DDoS, Website-Defacement, Datenleak-Öffentlichmachung
DORA Art. 5, 13, 24
Motivation: Rache, finanziell, menschliches Versagen
Fähigkeit: Niedrig bis mittel · Ziel: Interne Systeme, Kundendaten, Admin-Zugänge
Datenexfiltration, Privilege Escalation, Social Engineering, Phishing
DORA Art. 5, 8, 10, 13
Motivation: Neugier, Reputation, Herausforderung
Fähigkeit: Niedrig · Ziel: Schwachstellen bekannter Systeme, öffentliche Dienste
Automated Scans, bekannte Exploits, Standard-Schwachstellen
DORA Art. 24-25 (Vulnerability Scanning)
Motivation: Fahrlässigkeit, unzureichende Sicherheitsmassnahmen
Fähigkeit: Systemimmanent · Ziel: Provider-Infrastruktur, Supply-Chain, Cloud-Dienste
Sicherheitslücken in Provider-Umgebung, fehlende Patch-Governance
DORA Art. 28-30 (IKT-Drittparteienrisiko)
7-Phasen-Modell des Cyberangriffs mit Erkennungs- und Abwehrmassnahmen.
1. Reconnaissance
Informationssammlung über das Ziel
Erkennung
SIEM-Korrelation, Anomalie-Erkennung
Abwehr
Reduzierung der Angriffsfläche, OSINT-Monitoring
2. Weaponization
Erstellung oder Anpassung von Schadcode
Erkennung
Eindämmung durch EDR, Datei-Reputation
Abwehr
Application Control, Hardening
3. Delivery
Übermittlung der Nutzlast ans Ziel
Erkennung
E-Mail-Security, Web-Proxy, Network-Detection
Abwehr
Sicherheitsschulung, Anti-Phishing
4. Exploitation
Ausnutzung einer Schwachstelle
Erkennung
EDR, Vulnerability-Scanning, HIDS
Abwehr
Patch-Management, Schwachstellen-Assessment
5. Installation
Etablierung eines persistenten Zugangs
Erkennung
EDR, File-Integrity-Monitoring, SIEM
Abwehr
Privilege Management, MFA, Hardening
6. Command & Control (C2)
Aufbau einer kontrollierten Kommunikation
Erkennung
Network-Detection, DNS-Analyse, Proxy-Logs
Abwehr
Egress-Filtering, Network-Segmentierung
7. Actions on Objectives
Durchführung der eigentlichen Schädigung
Erkennung
SIEM-Korrelation, DLP, Audit-Logs
Abwehr
Backup, Incident-Response-Plan, DLP
Konkrete Angriffsszenarien mit MITRE ATT&CK-Techniken und Massnahmen.
Ein Mitarbeiter öffnet einen getarnten PDF-Anhang einer scheinbar legitimen Geschäftspartner-E-Mail. Der Anhang enthält einen initialen Downloader (IcedID/Qakbot), der später eine Ransomware-Gruppe (LockBit/BlackCat/Play) einbringt. Die Gruppe exfiltriert Daten und verschlüsselt kritische Systeme.
MITRE ATT&CK
Ziel-Assets
Erkennung
EDR-Alert auf Schadcode-Ausführung, anomaler SMB-Datenverkehr, Massen-Umbenennung von Dateien
Massnahmen
Netzsegmentierung, Wiederherstellung aus Offline-Backups, Credential-Reset für gesamte Domäne
DORA: Art. 10, 17-18, 24
Ein Angreifer schleust Schadcode in eine weit verbreitete Open-Source-Bibliothek (npm/PyPI) oder kompromittiert einen Software-Lieferanten. Die kompromittierte Komponente wird als reguläres Update ausgerollt und ermöglicht Hintertür-Zugriff.
MITRE ATT&CK
Ziel-Assets
Erkennung
Abweichungen im Build-Prozess, unerwartete Code-Änderungen in Dependencies
Massnahmen
Isolation der Build-Umgebung, Rollback auf letzte saubere Version, SBOM-Prüfung
DORA: Art. 5, 24-25, 28-30
Ein Angreifer gibt sich per E-Mail als Vorstandsmitglied aus und fordert eine dringende Überweisung oder Herausgabe von Zugangsdaten. Die E-Mail verwendet gefälschte Absenderadressen mit Bezug zu aktuellen Geschäftsvorfällen.
MITRE ATT&CK
Ziel-Assets
Erkennung
DMARC/DKIM-Verletzungsalarme, anomaler E-Mail-Fluss zwischen FK und Finanzabteilung
Massnahmen
Rückruf der E-Mail, Überprüfung erfolgter Überweisungen, Vier-Augen-Prinzip für Zahlungen
DORA: Art. 10, 13, 15
Ein Erpresser kündigt einen mehrwelligen DDoS-Angriff auf öffentlich erreichbare Dienste des Instituts an, falls kein Lösegeld gezahlt wird.
MITRE ATT&CK
Ziel-Assets
Erkennung
Anomaler Traffic-Anstieg, erhöhte Antwortzeiten, Connection-Timeout-Alarme
Massnahmen
Aktivierung des DDoS-Schutz-Providers, Traffic-Scrubbing, Strafanzeige
DORA: Art. 5, 10, 17
Ein Mitarbeiter mit legitimen Zugriffsrechten kopiert systematisch Kunden- und Transaktionsdaten auf externen USB-Speicher oder in private Cloud-Dienste.
MITRE ATT&CK
Ziel-Assets
Erkennung
Anomale Datenbankzugriffe, ungewöhnlich hohe Datenvolumen, Zugriffe ausserhalb Arbeitszeit
Massnahmen
Zugriffssperre, forensische Sicherstellung, DLP-Richtlinien verschärfen
DORA: Art. 8, 10, 13
Ein Angreifer findet eine öffentlich zugängliche S3-Bucket-Konfiguration oder ungesicherte Kubernetes-API. Über die offene Konfiguration werden Zugriffsschlüssel extrahiert.
MITRE ATT&CK
Ziel-Assets
Erkennung
Cloud-Security-Posture-Alarme, unerwartete IAM-Rollen-Nutzung, unbekannte IPs auf Cloud-APIs
Massnahmen
Rotation aller Cloud-Zugriffsschlüssel, Korrektur der IAM-Richtlinien, IaC-Überprüfung
DORA: Art. 24-25, 28-30
Netzwerk-, Host- und Verhaltensindikatoren pro Bedrohungsakteur.
Staatliche Akteure (APT)
🌐 Netzwerk
💻 Host
👤 Verhalten
Organisierte Kriminalität
🌐 Netzwerk
💻 Host
👤 Verhalten
Hacktivisten
🌐 Netzwerk
💻 Host
👤 Verhalten
Insider
🌐 Netzwerk
💻 Host
👤 Verhalten
Script Kiddies
🌐 Netzwerk
💻 Host
👤 Verhalten
Drittanbieter / Provider
🌐 Netzwerk
💻 Host
👤 Verhalten
Arbeitsrechner für eine methodisch begründete Szenariohypothese. Der Score ist weder ein Institutswert noch eine automatische Risikoentscheidung.
Risk Score
DORA: Art. 7 Abs. 2 (Risikobewertung), Art. 5 Abs. 2 (Berichterstattung), Art. 24-25 (Schwachstellenbewertung)
Präventive, detektive und korrektive Sicherheitskontrollen pro Bedrohungsakteur.
Staatliche Akteure (APT)
✅ Präventiv
🔍 Detektiv
🔧 Korrektiv
Organisierte Kriminalität
✅ Präventiv
🔍 Detektiv
🔧 Korrektiv
Hacktivisten
✅ Präventiv
🔍 Detektiv
🔧 Korrektiv
Insider
✅ Präventiv
🔍 Detektiv
🔧 Korrektiv
Script Kiddies
✅ Präventiv
🔍 Detektiv
🔧 Korrektiv
Drittanbieter / Provider
✅ Präventiv
🔍 Detektiv
🔧 Korrektiv
Diamond Model
Analysiert die Beziehung zwischen Angreifer, Infrastruktur, Fähigkeit und Ziel
MITRE ATT&CK
Standardisiertes Framework zur Klassifizierung von TTPs (Taktiken, Techniken, Prozeduren)
Kill Chain
Phasenmodell des Cyberangriffs von Reconnaissance bis Actions on Objectives
Cyber Threat Framework (CTF)
Strukturierte Beschreibung von Bedrohungsaktivitäten nach Phasen und Handlungssträngen
STIX/TAXII
Standardisiertes Austauschformat für Cyber-Bedrohungsinformationen
CVSS/EPSS
Bewertung der technischen Schwere und Ausnutzungswahrscheinlichkeit
| Bericht | Zielgruppe | Inhalt | Frequenz | DORA |
|---|---|---|---|---|
| Tägliches Bedrohungs-Lagebild | SOC / CISO | Aktuelle Warnungen, neue CVEs, erhöhte Aktivität, Quellen-Status | täglich | — |
| Wöchentliche Bedrohungsanalyse | CISO / IKT-Risikomanagement | Bewertete Bedrohungslage, TTP-Trends, relevante Akteure, Handlungsempfehlungen | wöchentlich | — |
| Monatliches Threat-Intelligence-Briefing | IKT-Risikomanagement / Auslagerungsmanagement | Zusammenfassung aller Bedrohungsquellen, Trendentwicklung, Provider-Bedrohungslage | monatlich | — |
| Quartalsbericht an das Leitungsorgan | Vorstand / Risikokomitee | Strategische Bedrohungslage, Auswirkungen auf das Institut, Ressourcenbedarf | quartalsweise | Art. 5 Abs. 2 |
| Ad-hoc-Eskalationsbericht | CISO / Vorstand / Aufsicht | Sofortmeldung bei akuter kritischer Bedrohung mit Massnahmenplan | ad-hoc | Art. 17-18 |
Definition Bedrohungsanalyse
Begriffs- und Provenienzrahmen für die Analyse
Governance und IKT-Risikomanagementrahmen
Entscheidungsrollen, Integration und dokumentierte Übergaben
Identifizierung, Klassifizierung und Risikoszenarien
Funktions-, Asset-, Abhängigkeits- und Szenariokontext
Erkennung anomaler Aktivitäten
Detection-Hypothesen und beobachtbare Indikatoren
Lernen, Weiterentwicklung und Kommunikation
Rückkopplung in Kontrollen, Schulung, Reviews und Berichte
Management und Klassifizierung von IKT-Vorfällen
Gesteuerte Übergabe beobachteter Ereignisse an das Vorfallmanagement
Resilienztests und TLPT
Szenariobasierter Input für Testplanung und Threat-led Testing
IKT-Drittparteienrisiko
Provider- und Lieferkettenkontext für Risiko- und Vertragssteuerung
Gesteuerte Übergaben
Ziel
Übergabekriterium
Materielles Szenario oder veränderte Exposition
Mindestinhalt
Szenario, betroffene Funktion, Bewertungsannahmen, Kontrolle, Restrisiko und Entscheidung
Ziel
Übergabekriterium
Kontrolllücke, schwache Detection oder fehlende Evidence
Mindestinhalt
Kontrollziel, Gap, Nachweisanforderung, Owner und gewünschter Zielzustand
Ziel
Übergabekriterium
Beobachtete Kompromittierung oder erfüllte Eskalationskriterien
Mindestinhalt
Beobachtung, Zeitlinie, betroffene Services, technische Indikatoren und Triage-Entscheid
Ziel
Übergabekriterium
Szenario ist kritisch, plausibel oder bisher nicht ausreichend getestet
Mindestinhalt
Testziel, Szenario, Kontrollhypothese, erwartetes Ergebnis und Abbruchkriterien
Ziel
Übergabekriterium
Provider-, Konzentrations- oder Lieferkettenabhängigkeit betroffen
Mindestinhalt
Providerbezug, Vertrags-/Servicekontext, Exit-Annahme und erforderliche Assurance
