MITRE ATT&CK für Incident Response: Solides Fundament, kein Autopilot
06.07.2026 mitre attckincident responsedetection engineeringthreat intelligence
Kaum ein Framework hat die Sprache der Verteidiger in den letzten Jahren so geprägt wie MITRE ATT&CK. Doch die Frage, ob es tatsächlich eine gute Basis für Incident Response ist, lässt sich nicht mit einem simplen Ja beantworten – dafür lohnt sich ein Blick auf Struktur, aktuelle Weiterentwicklung und die Grenzen des Modells.
Was ATT&CK für IR-Teams tatsächlich leistet
MITRE ATT&CK ist eine öffentliche Wissensdatenbank, die katalogisiert, wie Cyberangreifer tatsächlich vorgehen, basierend auf real beobachteten Angriffen, und organisiert Angreiferverhalten in einer strukturierten Matrix, die den gesamten Lebenszyklus eines Angriffs abbildet. Das Framework unterscheidet zwischen Taktiken (den Zielen des Angreifers in jeder Phase) und Techniken (den konkreten Methoden zur Zielerreichung), wobei Sub-Techniken noch feinere Details liefern.
Für die Incident Response ist genau das der Mehrwert: Alerts allein erzählen selten die ganze Geschichte – ein verdächtiger PowerShell-Befehl oder ein ungewöhnlicher Remote-Dienst kann ein erster Hinweis sein, aber ohne gemeinsame Sprache für Angreiferverhalten wird die Triage zum Rätselraten. ATT&CK erlaubt es Teams, zu verstehen, was passiert ist, was wahrscheinlich als Nächstes folgt und was geprüft werden sollte, bevor der Angreifer verschwindet.
Praktisch zeigt sich das in mehreren Bausteinen: Der ATT&CK Navigator visualisiert Verteidigungsabdeckung und unterstützt Red/Blue-Team-Planung, Tools wie Atomic Red Team oder Caldera testen Erkennungsfähigkeiten gegen konkrete Techniken, und Community-Projekte wie RE&CT übersetzen Response Playbooks in vollständige Listen von Aufgaben zur Reaktion auf eine spezifische Bedrohung, mit optionaler Zuordnung zu MITRE ATT&CK, wobei die Philosophie auf dem ATT&CK-Framework basiert.
Auch die Weiterentwicklung des Frameworks bleibt dynamisch. Mit ATT&CK v17 im April 2025 kam die Hinzufügung einer ESXi-Plattform zu ATT&CKs Enterprise-Domäne, eine deutliche Verbesserung der Beschreibungen von Enterprise-Gegenmaßnahmen und die Umbenennung der Network-Plattform in Network Devices. Noch einschneidender ist die Änderung in v19 (April 2026): MITRE ATT&CK v19 teilt die Defense-Evasion-Taktik (TA0005) in zwei neue Taktiken auf – Stealth für Techniken, bei denen Angreifer bösartige Aktivität in legitimes Verhalten einbetten, und Impair Defenses für Techniken, bei denen Angreifer Sicherheitskontrollen aktiv deaktivieren, verschlechtern oder kompromittieren; die frühere Technik T1562 wird zur Taktik erhoben, Stealth übernimmt die alte TA0005-ID. Diese Trennung ist mehr als Kosmetik: Sobald man Verstecken von Zerstören trennt, ergibt der Rest der Aufteilung sofort Sinn – das Verhalten sieht auf der Leitung anders aus, das Erkennungsprogramm, das jedes fängt, ist unterschiedlich, die Triage-Reaktion ist unterschiedlich, und das Investitionsprofil zum Aufbau von Abdeckung ist unterschiedlich.
Wo ATT&CK an Grenzen stößt
So wertvoll die Taxonomie ist – sie ersetzt weder Prozess noch Telemetriequalität. Ein zentrales Praxisproblem: Fast jedes Produkt und jeder Service kann ATT&CK-Techniken loggen, doch die unbeabsichtigte Folge ist, dass die meisten dafür generierten Alerts schlicht legitime Aktivität markieren. Grund dafür ist der Trend zu Living-off-the-Land-Techniken: Je besser Verteidiger darin wurden, individuelle Malware schnell zu erkennen, desto mehr setzten Angreifer auf Methoden mit geringerem Risiko und geringeren Kosten.
Auch die reine Coverage-Metrik trügt: Wird das Mapping als einmaliges Tabellenprojekt behandelt statt in Versionskontrolle mit klaren Verantwortlichen zu leben, stirbt es – und wer „Abdeckung" zählt, ohne die Telemetriequalität zu prüfen, deckt in Wahrheit nichts ab, wenn das Verhalten nicht zuverlässig beobachtbar ist. Eine McAfee/UC-Berkeley-Umfrage unter CISOs zeigte zudem strukturelle Reibung: 45 % nannten Interoperabilität als größte Herausforderung, 43 % hatten Schwierigkeiten, ereignisspezifische Daten auf Taktiken und Techniken zu mappen.
Für spezialisierte Umgebungen zeigt sich eine weitere Lücke: Obwohl Frameworks wie MITRE ATT&CK das Verhalten von Angreifern über verschiedene Domänen dokumentieren, zeigen sie Grenzen bei der Darstellung der einzigartigen Eigenschaften cyber-physischer Angriffe, da bestehende Modelle oft die Integration physischer Prozesse, Systemzustände und domänenspezifischer Auswirkungen nicht erfassen.
Fazit: gute Basis, aber kein Ersatz für Prozess
ATT&CK ist keine eigenständige IR-Methodik wie SANS PICERL oder NIST SP 800-61 – es ist die Vokabelliste, nicht das Drehbuch. Cross-funktionale Ownership ist entscheidend: Incident Response braucht Detection Engineering für die richtige Telemetrie, Threat Intelligence für relevante Trend-Techniken und IT-Operations für Containment und Recovery – ohne diese Zusammenarbeit wird ATT&CK zum Reference-Poster statt zum Betriebsmodell. Wer pragmatisch startet – mit den zehn für die eigene Umgebung relevantesten Techniken, darauf aufbauenden Playbooks und Detections, denn ein schmales, funktionierendes Programm schlägt ein breites, ungenutztes – holt aus dem Framework tatsächlich Mehrwert. Kombiniert mit einem etablierten Prozessmodell und laufender Versionspflege (v17 → v19 in gut einem Jahr) ist ATT&CK damit eine der stärksten verfügbaren Grundlagen für strukturierte Incident Response – aber eben nur eine Grundlage, kein Autopilot.
← Zurück zur Übersicht