Advanced Persistent Threat (APT)

Was ist ein Advanced Persistent Threat (APT)?

Ein Advanced Persistent Threat (APT) ist ein hochqualifizierter und ressourcenstarker Gegner beziehungsweise dessen zielgerichtetes, wiederholtes und längerfristiges Vorgehen, das mehrere Angriffsvektoren nutzt, sich an die Abwehr anpasst und erforderlichen Zugriff aufrechterhalten will.

Technische Einordnung: Die aktuelle NIST-Definition beschreibt einen Gegner.

Woran lässt sich ein APT erkennen?

Die Einordnung beruht auf einer Gesamtbewertung: erhebliche Fähigkeiten und Ressourcen, mehrere Angriffsvektoren, ein ausgewähltes Ziel, der Aufbau oder Ausbau von Zugriff sowie wiederholtes und anpassungsfähiges Vorgehen über längere Zeit. Der Gegner versucht dabei, die für seine Ziele erforderliche Interaktion aufrechtzuerhalten. Mögliche Ziele sind Informationsabfluss, die Beeinträchtigung einer Mission oder die Vorbereitung späterer Aktionen.

Fachliche Auslegung: Das ist kein formaler Tatbestand und keine abschließende Checkliste. Aus der von NIST beschriebenen Merkmalsgesamtheit folgt, dass ein einzelner Indikator, lange Unentdecktheit oder fortgeschrittene Malware allein keine belastbare APT-Einordnung tragen.

Für wen ist die APT-Einordnung relevant?

Sie ist für Organisationen relevant, deren IT-Infrastruktur gezielt angegriffen werden kann. Der technische Begriff hat keinen festen persönlichen oder sektoralen Anwendungsbereich und ist nicht auf Behörden oder kritische Infrastrukturen beschränkt. ENISA beobachtet staatlich ausgerichtete Gruppen als wichtigen Kontext, macht staatliche Nähe aber nicht zur Begriffsbedingung.

Ist ein APT immer ein staatlicher Angreifer?

Nein. APT ist keine belastbare Attribution. Nach der NIST-Definition kann die Bezeichnung einen einzelnen Gegner oder mehrere Gegner erfassen, die zusammenarbeiten, sich opportunistisch überschneiden oder unbeabsichtigt zusammenlaufen. Herkunft, konkrete Gruppenidentität, staatliche Anbindung und Motiv müssen deshalb anhand gesonderter fallbezogener Erkenntnisse bewertet werden. Die Bezeichnung allein beweist weder staatliche Täterschaft noch ein bestimmtes Spionageinteresse.

Ist ein APT eine Malware oder eine einzelne Angriffstechnik?

Nein. Der Begriff beschreibt den Gegner und sein anhaltendes Vorgehen, nicht ein einzelnes Schadprogramm, eine Malware-Familie oder eine einzelne Technik. Zur Bewertung gehören Ziele, Zugriffsaufbau, mehrere Vektoren, Wiederholung und Anpassung. NIST schließt neben cyberbezogenen auch physische und täuschende Vektoren ein.

Gibt es für einen APT eine Mindestdauer oder feste Schwelle?

Nein. Für die technische Bezeichnung bestehen weder eine einheitliche Mindestdauer noch ein numerischer Schwellenwert oder eine allgemeine Frist. „Persistent“ bezeichnet die wiederholte langfristige Zielverfolgung, die Anpassung an Gegenmaßnahmen und das Aufrechterhalten der Interaktion. Konkrete Melde-, Reaktions- oder Aufbewahrungsfristen können unabhängig von der APT-Einordnung aus anderweitig anwendbaren Vorgaben oder Verträgen folgen.

Entsteht aus der Bezeichnung APT unmittelbar eine Pflicht?

Nein. APT ist eine technische Bedrohungs- und Lagebezeichnung, keine eigenständige Rechtskategorie. Aus dem Begriff allein folgt keine allgemeine Pflicht. Welche verbindlichen Anforderungen bei einem konkreten Vorfall greifen, muss getrennt anhand der betroffenen Organisation, des Sachverhalts und der jeweils anwendbaren Vorgaben geprüft werden.

Häufige Fehlannahmen

• „Jeder lange unentdeckte Angriff ist ein APT.“ Die Dauer allein genügt nicht; entscheidend ist die Gesamtbewertung der Fähigkeiten, Ressourcen, Vektoren, Zielauswahl, Wiederholung und Anpassung.
• „APT ist der Name einer besonders fortgeschrittenen Malware.“ Ein APT bezeichnet einen Gegner beziehungsweise dessen Kampagne. Einzelne Schadprogramme und Techniken sind lediglich mögliche Bestandteile.
• „APT bedeutet automatisch staatlich gesteuert.“ Die technische Einordnung liefert keine verlässliche Herkunfts- oder Gruppenzuordnung. Attribution benötigt zusätzliche fallbezogene Belege.
• „Nur Behörden und kritische Infrastrukturen sind betroffen.“ Der Begriff ist nicht auf bestimmte Sektoren beschränkt; relevant ist, ob eine Organisation gezielt angegriffen werden kann.
• „Persistent hat eine feste Mindestzahl von Tagen.“ Es gibt keine allgemeine numerische Grenze. Gemeint ist ein längerfristiges, wiederholtes und anpassungsfähiges Vorgehen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte orientieren sich an den freiwilligen, sektorübergreifenden Cybersecurity Performance Goals der CISA. Umfang und Priorität sollten zur eigenen Risikolage, technischen Umgebung, Reife und Ressourcenlage passen; aus dem Begriff APT selbst entsteht keine Pflicht.

1. Phishing-resistente Mehrfaktor-Authentisierung priorisieren: Besonders sensible und extern erreichbare Zugänge sollten gegen den Missbrauch erbeuteter Zugangsdaten abgesichert werden.
2. Privilegierte Konten trennen: Administrative Tätigkeiten sollten über gesonderte Konten erfolgen, damit ein kompromittiertes Alltagskonto nicht unmittelbar weitreichende Rechte eröffnet.
3. Protokollierung und Überwachung angemessen ausbauen: Relevante Endpunkte, Netze und Fernzugänge sollten so überwacht werden, dass verdächtige Aktivitäten untersucht und Zusammenhänge über Zeit erkannt werden können.
4. Incident Response pflegen und üben: Rollen, Eskalationswege, Kommunikationsabläufe und Wiederherstellung sollten in einem aktuellen Plan festgelegt und regelmäßig praktisch erprobt werden.

Für die Geschäftsleitung

APT ist für jede gezielt angreifbare Organisation ein Risikobegriff, aber weder ein Beweis staatlicher Täterschaft noch eine automatische Pflichten- oder Fristenkategorie. Die zentrale Entscheidung lautet, welche Erkennungs-, Reaktions- und Wiederherstellungsfähigkeiten angesichts der eigenen Risikolage priorisiert werden. Als Nachweis der Steuerung können der Umsetzungsstand der priorisierten Kontrollen sowie Pflege und Übung des Incident-Response-Plans dienen.

Quellen

• NIST Computer Security Resource Center: Advanced Persistent Threat
• ENISA: Threat Landscape 2025
• CISA: Cross-Sector Cybersecurity Performance Goals
• CISA: Cross-Sector Cybersecurity Performance Goals – Frequently Asked Questions
• CISA: Take First Steps Towards Better Cybersecurity With These Four Goals