Kurzdefinition: Threat Intelligence ist aufbereitetes, handlungsrelevantes Wissen über aktuelle Bedrohungen, Angreifergruppen, ihre Werkzeuge und Vorgehensweisen. Es hilft, die eigene Verteidigung gezielt auszurichten, Angriffe früher zu erkennen und knappe Ressourcen auf die realen Gefahren zu konzentrieren.
Was ist Threat Intelligence?
Verwertbares Wissen über die Bedrohungslage — wer angreift, wie, mit welchen Werkzeugen und Zielen. Es reicht von konkreten technischen Indikatoren bis zu strategischen Lagebildern.
Wozu dient sie?
Zur Priorisierung und Früherkennung. Wer weiß, welche Angriffe die eigene Branche gerade treffen, kann Abwehr und Erkennung gezielt darauf ausrichten, statt blind zu verteidigen.
Welche Ebenen gibt es?
Operativ und technisch (konkrete Indikatoren für die Erkennung), taktisch (Vorgehensweisen der Angreifer) und strategisch (Lagebild für Entscheidungen der Leitung).
Wie hängt sie mit SOC und SIEM zusammen?
Sie speist die Erkennung. Aktuelle Indikatoren verbessern die SIEM-Regeln und die Arbeit des SOC; ohne Bedrohungswissen bleibt die Erkennung generisch.
Woher kommt Threat Intelligence?
Aus behördlichen Quellen (BSI, ENISA), kommerziellen Diensten, Branchenaustausch und eigenen Beobachtungen. Der Austausch in der Branche erhöht den Wert für alle.
Häufige Fehlannahmen
- „Threat Intelligence ist nur für Geheimdienste.“ Nein. Auch Unternehmen nutzen sie praktisch.
- „Mehr Daten sind automatisch besser.“ Nein. Es zählt die Relevanz, nicht die Menge.
- „Sie ersetzt eigene Erkennung.“ Nein. Sie verbessert sie.
- „Ein einmaliges Lagebild genügt.“ Nein. Die Bedrohung ändert sich laufend.
- „Branchenaustausch bringt nichts.“ Doch. Geteiltes Wissen schützt alle besser.
Was die Geschäftsleitung tun sollte
- Quellen nutzen. Behördliche und branchenspezifische Informationen beziehen.
- Erkennung speisen. Indikatoren in SIEM/SOC einbinden.
- Priorisieren. Abwehr auf reale Bedrohungen ausrichten.
- Austauschen. Am Branchenaustausch teilnehmen.
Für die Geschäftsleitung
Threat Intelligence richtet die Verteidigung an der realen Bedrohungslage aus, statt blind zu schützen. Wer relevante Bedrohungsinformationen in Erkennung und Priorisierung einbindet, erkennt Angriffe früher und setzt seine Mittel wirksamer ein.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
