Das US-Standardisierungsinstitut NIST definiert Threat Intelligence als Bedrohungsinformationen, die aggregiert, aufbereitet, analysiert, interpretiert oder angereichert wurden, um den nötigen Kontext für Entscheidungen zu liefern (NIST-Glossar, auf Basis von SP 800-150). Der letzte Teil ist der wichtigste. Ein Feed mit einer Million Indikatoren ist noch keine Intelligence, solange er nicht verändert, was jemand sperrt, patcht, meldet oder abschalten lässt.
Genau hier hakt es in der Praxis. In der SANS-CTI-Umfrage 2026 bewerteten 91 Prozent der CISOs CTI als wertvoll oder sehr wertvoll, aber nur 26 Prozent sagten, dass sie ihre Entscheidungen deutlich beeinflusst. Dieser Leitfaden zeigt, wie Sie diese Lücke schließen, auch ohne eigene Analystin.
Welche Arten von Threat Intelligence gibt es?
CTI wird meist nach Zielgruppe und Zeithorizont unterteilt. Ältere Modelle kennen drei Ebenen und fassen technisch und taktisch zusammen. Heute ist die Aufteilung in vier Ebenen verbreiteter.
| Ebene | Welche Frage sie beantwortet | Für wen | Typisches Ergebnis |
|---|---|---|---|
| Strategisch | Welche Bedrohungen zählen für unser Geschäft, und wie ändern sie sich? | Geschäftsführung, Aufsichtsrat, Risikomanagement | Quartalsbriefing, Input fürs Risikoregister |
| Operativ | Welche Kampagne oder welcher Akteur zielt gerade auf uns oder unsere Branche? | Security-Leitung, Incident Response | Kampagnenbericht, Reaktionsplan |
| Taktisch | Wie gehen diese Angreifer vor, und erkennen wir das? | SOC, Detection Engineering | Techniken nach MITRE ATT&CK, Erkennungsregeln |
| Technisch | Was genau sperren oder suchen wir? | Firewall, Mailfilter, EDR, SIEM | Domains, IPs, URLs, Datei-Hashes |
Technische Indikatoren lassen sich am leichtesten sammeln und veralten am schnellsten. Die Pyramid of Pain von David Bianco bringt es auf den Punkt: Einen Hash oder eine IP zu sperren kostet Angreifer fast nichts. Wer dagegen ihre Techniken erkennt, zwingt sie, ihre Arbeitsweise zu ändern. Gute Programme nutzen alle vier Ebenen und wissen, auf welche Ebene eine Aufgabe gehört.
Wie funktioniert der Threat-Intelligence-Zyklus?
Der Intelligence-Zyklus stammt aus der Arbeit von Nachrichtendiensten und lässt sich gut auf IT-Sicherheit übertragen. Er hat sechs Schritte, und den ersten lassen die meisten Teams aus:
- Steuerung. Halten Sie schriftlich fest, welche Fragen das Programm beantworten soll, die sogenannten Intelligence Requirements. "Bereiten Kriminelle Phishing gegen unsere Kunden vor?" ist eine solche Frage. "Bedrohungsdaten sammeln" ist keine. Die Geschäftsführung gehört dazu: In der SANS-Umfrage 2025 stieg der Anteil der Organisationen, in denen das Management an diesen Fragen mitwirkt, von 33 Prozent (2023) auf 52 Prozent.
- Sammlung. Erheben Sie die Daten, die diese Fragen beantworten können, und nur diese.
- Aufbereitung. Normalisieren, Dubletten entfernen, anreichern, etwa mit WHOIS-, DNS- und Hosting-Daten, damit niemand rohe Logs lesen muss.
- Analyse. Relevanz und Verlässlichkeit bewerten, Zusammenhänge herstellen und entscheiden, was das für Sie bedeutet.
- Weitergabe. Das Ergebnis in der Form liefern, die jede Zielgruppe braucht: Sperrliste für den Mailfilter, eine Seite für die Geschäftsführung, Takedown-Antrag für den Hoster. Wie weit es geteilt werden darf, kennzeichnen Sie mit dem Traffic Light Protocol (TLP 2.0).
- Feedback. Prüfen, ob daraus eine Maßnahme wurde und ob die Fragen noch passen. Dann beginnt der Zyklus von vorn.
Quellen für Threat Intelligence: von OSINT bis BSI
Das meiste, was ein mittelständisches Unternehmen braucht, ist kostenlos. Der kommerzielle Markt verkauft vor allem Auswahl und Geschwindigkeit.
- Eigene Telemetrie. Phishing-Meldungen von Beschäftigten, Mailfilter-Logs, fehlgeschlagene Anmeldungen, EDR-Alarme. Die relevanteste Quelle, die Sie haben, weil sie zeigt, wer es bereits versucht.
- OSINT. Open Source Intelligence: neue Domainregistrierungen, Certificate-Transparency-Logs, Passive DNS, öffentliche Sandboxes und URL-Scanner, soziale Netzwerke, Paste-Seiten und Berichte von Sicherheitsforschern.
- Behörden und Communities. Warnungen von BSI und CERT-Bund, Branchen-ISACs und Austauschgruppen. Die Teilnahme an der Allianz für Cyber-Sicherheit des BSI ist kostenlos und umfasst Lageberichte und Warnmeldungen. Seit Januar 2026 läuft die Anmeldung über das BSI-Portal.
- Kommerzielle Feeds und Dienste. Kuratierte Indikatoren, Akteursberichte, Darknet-Monitoring und Brand-Monitoring. Sinnvoll dort, wo sie Analysestunden sparen.
- Austausch mit anderen. Der informelle Draht zu Sicherheitsteams in der eigenen Branche liefert oft die konkretesten Warnungen. Vereinbaren Sie vorher TLP-Stufen.
Zum Speichern und Teilen sind die Open-Source-Plattformen MISP und OpenCTI verbreitet. Beide sprechen STIX und TAXII, die Standardformate für maschinenlesbare Bedrohungsdaten. Für das Verhalten von Angreifern ist MITRE ATT&CK die gemeinsame Sprache. Version 19 vom April 2026 umfasst für Unternehmensumgebungen 15 Taktiken, 222 Techniken und 475 Subtechniken und deckt erstmals auch mehr KI- und Social-Engineering-Methoden ab (MITRE ATT&CK v19).
Externe und Brand Threat Intelligence: der blinde Fleck vieler Teams
Die meisten CTI-Programme schauen nach innen: Was trifft unsere Firewall, unseren Mailserver, unsere Endgeräte? Viele Angriffe werden aber anderswo vorbereitet. Bevor eine Phishing-Kampagne gegen Ihre Kundschaft startet, registriert jemand eine Lookalike-Domain, beantragt ein TLS-Zertifikat, richtet einen Mailserver ein und kopiert Ihre Login-Seite. Bevor ein Fake-Shop in Ihrem Namen Bestellungen annimmt, kopiert jemand Ihren Katalog. Nichts davon berührt Ihr Netzwerk, interne Werkzeuge sehen es also nicht.
Diesen Teil deckt externe oder Brand Threat Intelligence ab, auch Digital Risk Protection genannt. Die Signale sind öffentlich und kommen früh:
- Neue Domains, die Ihrer Brand ähneln, mit Tippfehlern, Zusatzwörtern oder ähnlich aussehenden Zeichen.
- Zertifikate für diese Domains, sichtbar in den Certificate-Transparency-Logs.
- MX-Einträge auf einer Lookalike-Domain, ein starkes Indiz dafür, dass bald Mails verschickt werden.
- Seiten, die Ihr Logo, Ihr Layout oder Ihr Login-Formular kopieren.
- Social-Media-Profile und Anzeigen mit Ihrem Namen oder dem Ihrer Führungskräfte.
Das Ausmaß kann erheblich sein. In unserer DoppelCart-Recherche haben wir rund 119.000 Domains einem einzigen Fake-Shop-Netzwerk zugeordnet, das echte Shops kopiert. Brand Intelligence hat außerdem eine klare Maßnahme am Ende und lässt sich deshalb gut messen: Domain intern sperren, Kunden warnen und die Seite per Takedown entfernen lassen. Wie stark Phishing heute von geliehenen Brands lebt, zeigen unsere Phishing-Zahlen 2026.
Threat Intelligence im Mittelstand: So starten kleine Teams
An Fachwissen scheitern kleine Teams selten. In der SANS-Umfrage 2026 waren fehlende Zeit und fehlendes Budget mit je 44 Prozent die größten Hürden, noch vor fehlender Expertise. Der Plan muss also wenig Stunden kosten. Ein realistischer Einstieg für ein Unternehmen ohne eigenes Security Operations Center:
- Woche 1: fünf Fragen aufschreiben. Zum Beispiel: Wer hätte etwas davon, uns anzugreifen? Welche unserer Systeme sind aus dem Internet erreichbar? Imitiert jemand unsere Brand? Welche Schwachstellen in unserer Software werden aktiv ausgenutzt? Über welche Dienstleister könnte jemand hereinkommen?
- Woche 2: die kostenlosen Grundlagen abonnieren. Warnungen von BSI und CERT-Bund, Herstellerhinweise zur eingesetzten Software, die Allianz für Cyber-Sicherheit und, falls vorhanden, eine Branchengruppe.
- Woche 3: die externe Angriffsfläche erfassen. Domains, öffentliche IPs, Cloud-Dienste und Social-Media-Konten auflisten. Eine Angriffsfläche, die Sie nicht kennen, können Sie nicht schützen.
- Woche 4: Brand-Monitoring einschalten. Lookalike-Domains und Fake-Profile beobachten, mit eigenen Skripten gegen die Certificate-Transparency-Logs oder mit einem Dienst wie Domain-Monitoring.
- Jede Woche: eine Stunde Sichtung. Neue Funde durchgehen, für jeden eine Maßnahme festlegen und notieren, was passiert ist. Dieses Protokoll ist Ihr erster CTI-Bericht.
- Jedes Quartal: eine Seite für die Geschäftsführung. Was hat sich geändert, was haben Sie getan, was brauchen Sie? Das ist Ihre strategische Intelligence.
KI-Werkzeuge helfen beim Lesen. Laut SANS setzen 45 Prozent der Organisationen KI bereits in der CTI ein, vor allem zum Zusammenfassen von Berichten, für Entwürfe und zur Automatisierung. Behandeln Sie KI-Ergebnisse als Entwurf, den jemand prüft, besonders wenn daraus eine Sperre oder ein Takedown folgt.
NIS-2, DORA und Threat Intelligence
Beide Regelwerke nennen kein CTI-Programm beim Namen, sind ohne aber kaum zu erfüllen. DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU. Die Verordnung verlangt, Informationen über Schwachstellen und Cyberbedrohungen zu sammeln (Artikel 13), und erlaubt ausdrücklich den Austausch von Cyber Threat Intelligence in vertrauenswürdigen Gemeinschaften (Artikel 45). Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten (BSI). Es verlangt Risikomanagementmaßnahmen und die Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden. Grundlage für beides ist das Wissen, welche Bedrohungen für Sie relevant sind.
Auch das Teilen braucht Regeln. Laut SANS haben 55 Prozent der Organisationen keinen rechtlich geprüften Prozess für den Austausch von CTI. Wenn Sie Indikatoren mit anderen teilen wollen, legen Sie TLP-Stufen fest und sprechen Sie vorher mit Ihrem Datenschutzbeauftragten, denn auch E-Mail-Adressen in Indikatoren können personenbezogene Daten sein.
Woran Sie erkennen, ob Ihre CTI wirkt
Zählen Sie Entscheidungen, nicht Daten. "Eingelesene Indikatoren" wächst mit jedem Feed und sagt nichts aus. Bessere Kennzahlen:
- Wie viele Ihrer Fragen Sie in diesem Quartal beantwortet haben.
- Die Zeit vom ersten Signal bis zur Maßnahme, etwa von der Domainregistrierung bis zur Sperre oder zum Takedown.
- Erkennungen, Sperren und Takedowns, die aus Intelligence entstanden sind und nicht erst aus einem Vorfall.
- Vorfälle, vor denen Sie gewarnt waren, und solche, vor denen Sie hätten gewarnt sein sollen.
Wo nebty ansetzt
nebty ist keine allgemeine CTI-Plattform. Wir decken den externen, brandbezogenen Teil ab: Lookalike-Domains, Phishing-Seiten, Fake-Shops und Fake-Profile, die auf Ihr Unternehmen zielen, mit Beweisen und dem Takedown, der sie entfernt. Wer mit KI-Agenten arbeitet, holt die Funde über unseren MCP-Server in die eigenen Abläufe. Für eine einzelne verdächtige Seite sind der kostenlose Website-Scan und Wer hostet die Website? ein guter Anfang.
Häufige Fragen
Was ist der Unterschied zwischen Bedrohungsdaten und Threat Intelligence?
Bedrohungsdaten sind roh: eine Liste von IP-Adressen, ein Malware-Hash, eine neu registrierte Domain. Threat Intelligence entsteht, wenn jemand diese Daten geprüft, eingeordnet und mit einer Entscheidung verbunden hat. "Diese Domain imitiert unsere Login-Seite, wurde gestern registriert und hat schon einen Mailserver, also sperren wir sie und beantragen einen Takedown" ist Intelligence.
Welche Arten von Threat Intelligence gibt es?
Üblich sind vier Ebenen. Strategische Intelligence informiert die Geschäftsführung über Bedrohungstrends und Risiken. Operative Intelligence beschreibt konkrete Kampagnen und Akteure. Taktische Intelligence erfasst die Vorgehensweise der Angreifer, oft nach MITRE ATT&CK. Technische Intelligence liefert maschinenlesbare Indikatoren wie Domains, IPs und Datei-Hashes. Manche Modelle fassen taktisch und technisch zusammen.
Reicht OSINT für ein mittelständisches Unternehmen?
Für den Einstieg ja. Warnungen von BSI und CERT-Bund, Certificate-Transparency-Logs, neue Domainregistrierungen, öffentliche Sandboxes und Community-Feeds decken viel ab. Was kleinen Teams meist fehlt, sind nicht Daten, sondern Zeit zum Sortieren. Entscheidend sind deshalb klare Fragen und eine feste Routine, aus den Antworten Maßnahmen zu machen.
Was ist Brand Threat Intelligence?
Erkenntnisse über Bedrohungen, die Ihren Namen außerhalb Ihres eigenen Netzwerks nutzen: Lookalike-Domains, Phishing-Seiten, Fake-Shops, gefälschte Social-Media-Profile und betrügerische Anzeigen. Oft heißt das auch externe Threat Intelligence oder Digital Risk Protection. Firewalls und Endpoint-Lösungen sehen diesen Teil nicht.
Schreiben NIS-2 oder DORA Threat Intelligence vor?
Nicht unter diesem Namen, aber beide setzen sie praktisch voraus. DORA verlangt von Finanzunternehmen, Informationen über Schwachstellen und Cyberbedrohungen zu sammeln, und erlaubt den Austausch von Threat Intelligence in vertrauenswürdigen Gemeinschaften. Das NIS-2-Umsetzungsgesetz fordert Risikomanagement und schnelle Meldungen erheblicher Vorfälle. Beides funktioniert nur, wenn Sie wissen, was Sie bedroht.
Was kostet Cyber Threat Intelligence?
Von reiner Arbeitszeit bis zu sechsstelligen Plattformverträgen. Ein kleines Team kann mit kostenlosen Quellen, einer Open-Source-Plattform wie MISP und wenigen Stunden pro Woche beginnen. Bezahlte Dienste lohnen sich dort, wo sie Analysezeit sparen, etwa beim Filtern von Lookalike-Domains oder bei Takedowns.
