---
title: "Hören Sie auf, MITRE-Techniken zu zählen. Schließen Sie die Vordertür. | Guardian360"
description: "Angreifer nutzen immer wieder dieselbe kleine, stabile Auswahl an Techniken, doch die Branche verkauft \"100% MITRE-Abdeckung\". Warum diese Kennzahl eher beruhigt als schützt, und wo Verteidigungsaufwand sich wirklich auszahlt."
url: https://guardian360.net/de/blog/stop-counting-mitre-techniques-start-closing-the-front-door/
locale: de
source: guardian360.net
---
[← Alle Beiträge](https://guardian360.net/de/blog)

Meinung

# Hören Sie auf, MITRE-Techniken zu zählen. Schließen Sie die Vordertür.

Von Jan Martijn Broekhof · 30. Juni 2026

Vor ein paar Wochen habe ich an der Abschlusspräsentation eines HBO-Studenten Software Development teilgenommen. Die Arbeit war gut, doch ein einzelner Moment in seinem Vortrag ist mir seitdem im Gedächtnis geblieben. Er hatte eine Studie aus 2024 von NC State University gelesen und stellte dem Publikum eine Frage, die mich seitdem nicht mehr losgelassen hat: Wenn Angreifer Jahr für Jahr auf dieselbe kleine Auswahl an Techniken zurückgreifen, warum besteht unsere gesamte Branche dann darauf, etwas anderes zu messen?

Das ist eine berechtigte Frage, und je länger ich darüber nachdachte, desto unangenehmer wurde sie. Denn die ehrliche Antwort ist, dass wir das Falsche messen, dass wir es schlecht messen, und dass wir das Ergebnis als Beruhigung verkaufen.

## Das Arsenal ist kleiner, als die Vermarktung glauben macht

Die betreffende Studie, “Attackers reveal their arsenal” von Rahman, Basak, Mahdavi Hezaveh und Williams, ging erfrischend konkret vor. Die Forscher nahmen 667 Cyber-Threat-Intelligence-Berichte, auf die sich MITRE ATT&CK beruft und die mehr als zehntausend dokumentierte Techniken umfassen, und untersuchten, welche davon tatsächlich wiederkehren.

Die Antwort ist ernüchternd für jeden, der sich Angreifer als endlos erfinderisch vorstellt. Die Forscher identifizierten neunzehn weitverbreitete Techniken, die zusammen für mehr als ein Drittel von allem Dokumentierten stehen. Keine dieser weitverbreiteten Techniken zeigte einen rückläufigen Trend. Das gängige Bild des Angreifers als rastloser Innovator, der ständig neue Methoden erfindet, hält der Beweislage nicht stand. Angreifer sind Gewohnheitstiere. Sie nutzen wieder, was funktioniert, denn was funktioniert, funktioniert weiter.

Man könnte meinen, dies wäre eine gute Nachricht für Verteidiger. Ein kleines, stabiles Arsenal klingt nach einem Problem, das sich in den Griff bekommen lässt. Und doch hat die Branche darauf reagiert, indem sie eine ganze Marketingsprache rund um die Abdeckung all dessen aufgebaut hat.

## Warum verkauft Ihnen dann jeder Anbieter “100% MITRE-Abdeckung”?

Das ist die Frage, die sich ein CISO tatsächlich stellt, meist irgendwo zwischen der zweiten und dritten Anbieter-Demo. Jedes Produkt beansprucht umfassende MITRE-ATT&CK-Abdeckung. Jede Heatmap leuchtet beruhigend grün. Und fast nichts davon bedeutet das, was der Käufer denkt, dass es bedeutet.

Unabhängige Analysen deuten darauf hin, dass traditionelle SIEM-Systeme im Durchschnitt nur etwa 21 Prozent der ATT&CK-Techniken erkennen, und dass viele der plakativen Abdeckungsansprüche auf endpunktzentrierten Tests beruhen statt auf den Cloud-, Identitäts- und SaaS-Bereichen, in denen sich heute so viele Sicherheitsvorfälle abspielen. Die Zahl auf der Folie und der tatsächliche Schutz in der Umgebung sind nicht dasselbe.

Abdeckung lässt sich leicht verkaufen, weil sie sich leicht darstellen lässt. Eine Matrix, in der die meisten Felder ausgefüllt sind, wirkt wie Kompetenz. Zu verhindern, dass ein Angreifer überhaupt durch die Vordertür kommt, ist dagegen unsichtbar. Niemand fotografiert den Sicherheitsvorfall, der nicht passiert ist. So sind wir dazu gekommen, die Kennzahl zu belohnen, die sich gut vorführen lässt, statt das Ergebnis, das die Organisation tatsächlich schützt. Das ist Abdeckungstheater, und wir bezahlen alle für die Eintrittskarten.

## Das grausamste Paradox: Die häufigsten Techniken sind am schwersten zu erkennen

Hier wird die NC-State-Studie wirklich unangenehm. Die Forscher stellen fest, dass die am weitesten verbreiteten Techniken einzeln betrachtet harmlos wirken. Systeminformationen sammeln, eine Command Shell ausführen, eine Datei übertragen: Jede dieser Aktionen ist nicht von gewöhnlicher, legitimer Systemaktivität zu unterscheiden. Sie werden erst dann zu einem Angriff, wenn man sie in ihrer Abfolge sieht, und dann befindet sich der Akteur bereits im System.

Das ist keine theoretische Sorge. Bei den MITRE ATT&CK Evaluations 2025 musste eines der Testszenarien fallengelassen werden, weil die Prüfer die scheinbar legitimen administrativen Handlungen des Angreifers nicht zuverlässig von echten unterscheiden konnten, wie Forrester anschließend berichtete. Lesen Sie das noch einmal. MITRE selbst, das einen kontrollierten Test mit vollständiger Kenntnis dessen durchführte, was der Angreifer tat, konnte für diese Techniken böswilliges Verhalten nicht sauber von legitimem unterscheiden.

Die Techniken, die Angreifer am häufigsten nutzen, sind also genau diejenigen, die sich der Erkennung am stärksten entziehen. Die Abdeckungs-Heatmap verspricht, sie zu erfassen. Die Beweislage zeigt, dass selbst die Menschen, die das Framework entworfen haben, damit zu kämpfen haben. Wir messen nicht nur das Falsche; wir beanspruchen Gewissheit ausgerechnet über den Teil des Problems, der sie am wenigsten verdient.

## Ein ehrliches Eingeständnis, auch über meine eigene Plattform

An dieser Stelle verlangt Fairness, dass ich den Blick auf mich selbst richte. Guardian360 entwickelt die Lighthouse-Plattform, die kontinuierliches Schwachstellen-Scanning, Compliance-Empfehlungen gegen mehr als vierzig Normen und Gesetze, Sicherheitseinblicke für Microsoft 365 und Eindringlingserkennung bietet. Wenn Sie die neunzehn weitverbreiteten Techniken aus der Studie nehmen und fragen, wie viele davon unsere Plattform verhindert oder zuverlässig erkennt, lautet die ehrliche Antwort: sehr wenige davon direkt. Der größte Teil dieses Arsenals ist Post-Exploitation-Verhalten auf dem Endpunkt, und das ist nicht das, wofür eine Schwachstellen- und Compliance-Plattform gebaut ist.

Ich könnte das beschönigen. Ich werde es nicht tun. Und hier ist der entscheidende Punkt: Auch kein anderer Anbieter kann ehrlich behaupten, die gesamte Kette abzudecken. Diejenigen, die Ihnen eine vollständig grüne Matrix zeigen, sind nicht fähiger als der Rest von uns. Sie sind nur weniger offen darüber, wo ihr Produkt endet. Ein Käufer ist weit besser bedient mit einem Anbieter, der klar sagt, was er tut, was er nicht tut, und wo jemand anderes gebraucht wird, als mit einem, der jedes Feld eingefärbt hat und hofft, dass Sie keine kritischen Fragen stellen.

## Wo das Spiel tatsächlich gewonnen wird: die Vordertür

Wenn die weitverbreiteten Techniken größtenteils Dinge sind, die Angreifer tun, nachdem sie bereits eingedrungen sind, lautet die naheliegende Frage, wie sie überhaupt hineingekommen sind. Und darüber geben die Daten ungewöhnlich klar Auskunft.

Laut dem Verizon 2025 Data Breach Investigations Report ist die Ausnutzung von Schwachstellen auf den zweiten Platz unter den Erstzugriffsvektoren vorgerückt, vertreten in 20 Prozent der Sicherheitsvorfälle und 34 Prozent höher als im Vorjahr. Gestohlene Zugangsdaten machen 22 Prozent aus, Phishing liegt bei rund 15 Prozent. Die zwei oder drei Wege, über die Angreifer tatsächlich hineingelangen, stehen alle ganz am Anfang der Kette, nicht versteckt in den Post-Exploitation-Techniken, die die Heatmaps füllen. Die Studie selbst kommt aus der anderen Richtung zum gleichen Schluss und nennt Spear-Phishing als den häufigsten Weg zur Erstinfektion.

Hier zahlt sich Verteidigungsaufwand aus. Patchen Sie alles, was dem Internet zugewandt ist, insbesondere die Edge-Geräte und VPNs, die Angreifer heute schon treffen, bevor der Patch überhaupt ausgerollt wurde. Schließen Sie die Lücken bei den Zugangsdaten. Und seien Sie beim Thema Phishing ehrlich darüber, was Training leisten kann und was nicht. Derselbe Verizon-Bericht stellte fest, dass Training die Klickrate kaum verändert, die hartnäckig bei etwa 1,5 Prozent bleibt, dass geschulte Mitarbeitende verdächtige E-Mails aber etwa viermal häufiger melden. Sie trainieren Menschen nicht dazu, unklickbar zu werden. Sie können sie aber in ein schnelles menschliches Sensornetzwerk verwandeln. Das ist ein anderes und deutlich erreichbareres Ziel.

Nichts davon erfordert eine Wand aus grünen Feldern. Es erfordert die Entscheidung, dass Angreifer draußen zu halten mehr wert ist, als im Nachhinein und im Vokabular von MITRE genau beschreiben zu können, wie sie sich bewegt haben, sobald sie drinnen waren.

## Die Frage, die Sie das nächste Mal stellen sollten

Ich behaupte nicht, dass Erkennung keine Rolle spielt. Assume-Breach-Denken existiert aus gutem Grund: Prävention lässt Lücken zu, und eine reife Organisation muss den Eindringling erkennen können, der trotzdem durchkommt. Aber “assume breach” ist still und leise zu einem Freibrief geworden, zu wenig in die Vermeidung von Sicherheitsvorfällen zu investieren, und die Abdeckungs-Heatmap ist das Requisit, das dies verantwortungsvoll erscheinen lässt.

Wenn Ihnen also das nächste Mal ein Anbieter eine MITRE-Matrix zeigt, fragen Sie nicht, wie viele Techniken er erkennt. Fragen Sie, welche er verhindert, fragen Sie, was er ehrlicherweise nicht kann, und fragen Sie, wo Ihre Vordertür noch weit offen steht. Das Arsenal ist klein und vorhersehbar. Unsere Verteidigung sollte dort beginnen, wo auch der Angreifer beginnt.

## Quellen

- Rahman, Basak, Mahdavi Hezaveh & Williams (NC State University, 2024), “Attackers reveal their arsenal: An investigation of adversarial techniques in CTI reports”. [https://arxiv.org/abs/2401.01865](https://arxiv.org/abs/2401.01865)
- Verizon 2025 Data Breach Investigations Report, für die Erstzugriffsvektoren (Ausnutzung von Schwachstellen 20%, gestohlene Zugangsdaten 22%, Phishing rund 15%) und die Zahlen zur Meldung nach Training.
- Forrester (2025), Analyse der MITRE ATT&CK Evaluations 2025, zum Szenario, das fallengelassen wurde, weil legitime und böswillige administrative Handlungen nicht zuverlässig zu unterscheiden waren.
- Mitiga, für die unabhängige Zahl, wonach traditionelle SIEM-Systeme im Durchschnitt rund 21% der ATT&CK-Techniken erkennen, sowie die Kritik an endpunktzentrierten “100% Abdeckung”-Aussagen.
- MITRE ATT&CK Evaluations, als neutrale Referenz dafür, was die Evaluation ist und was nicht.