Glossar

Begriffe von A bis Z

Aggregationsresistenz

Eigenschaft eines Controls, auch dann zu greifen, wenn ein Angriff in viele einzeln legitim erscheinende Mikroschritte zerlegt wird. Eines der vier Bewertungskriterien (Kap. 3.2).

AI – Artificial Intelligence

Im deutschen Sprachgebrauch auch „KI". Dieses Werk verwendet durchgängig „AI", um an die MHC-Bezeichnungen und die zitierten Frameworks anzuschließen.

Angreifergeduld

Bewertungskriterium: Beruht die Schutzwirkung darauf, dass ein Angriff für einen Gegner zu mühsam ist? Unter Mythos strukturell geschwächt.

Crypto-Agility

Fähigkeit eines Systems, kryptografische Mechanismen kurzfristig zu ändern, etwa bei Kompromittierung eines Algorithmus oder bei PQC-Migration.

Fähigkeitsentkopplung

Bewertungskriterium: Hängt die Likelihood-Annahme von einer historischen Korrelation zwischen Akteur und Fähigkeit ab, die durch Mythos aufgehoben wurde?

FIDO2 / WebAuthn

Authentisierungsstandards der FIDO-Alliance für phishing-resistente MFA. Verankern die Authentisierung kryptografisch an der Origin-Domain.

Frontier AI

Systeme an der Leistungsgrenze der KI-Entwicklung. In der öffentlichen Diskussion heißen Systeme der Fähigkeitsklasse, die MRIS als Mythos bezeichnet, Frontier AI oder agentische KI.

MHC – Mythos-Härtungs-Control

In diesem Schnellheft eingeführte Kategorie eines Zusatz-Controls, das eine Mythos-relevante Wirksamkeitslücke schließt, die die ISO 27002:2022 nur implizit abdeckt. Dreizehn MHC in Kapitel 9.

MRIS – Mythos-resistente Informationssicherheit

„MRIS" (Mythos-resistente Informationssicherheit) bezeichnet das hier vorgestellte, unabhängige Rahmenwerk; das vorliegende Schnellheft ist dessen Referenzfassung. Wo im Folgenden von „MRIS" die Rede ist, ist stets das Rahmenwerk gemeint, nicht dieses einzelne Dokument.

Mythos

In diesem Schnellheft Klassenbegriff: agentische Frontier-Modelle mit autonomer Schwachstellen-Entdeckung und Exploit-Kettenbau, unabhängig vom Anbieter (u. a. Claude Mythos/Fable 5, OpenAI Daybreak mit GPT-5.5-Cyber, Microsoft MDASH). Ursprünglich Bezeichnung des Referenzmodells Claude Mythos Preview (Kap. 2.5).

PQC – Post-Quantum-Cryptography

Kryptografische Verfahren, die gegen Angreifer mit Quantum-Computer-Fähigkeiten resistent sind. NIST-Standardisierung (ML-KEM, ML-DSA, SLH-DSA).

Reine Reibung

Kategorie für Controls, deren klassische bzw. verbreitete Implementierungsform gegenüber Mythos-Angreifern keine hinreichende eigenständige Schutzwirkung mehr bietet, weil sie auf begrenzter Angreiferkapazität oder auf menschlich handhabbaren Reaktionszeiten beruht. Vier Controls in Kapitel 6.

SBOM – Software Bill of Materials

Maschinenlesbare Liste aller Softwarekomponenten eines Artefakts. Formate: SPDX, CycloneDX. Pflicht durch CRA Annex I Teil II.

SLSA – Supply-chain Levels for Software Artifacts

Rahmenwerk für Build-Provenance mit vier Reifestufen. Level 3+ für kritische Build-Pfade empfohlen.

SOAR

Security Orchestration, Automation and Response. Plattform-Kategorie für automatisierte Incident-Response-Workflows.

SPIFFE / SPIRE

Standard und Referenz-Implementierung für Workload-Identitäten. Basis für Zero-Trust-Architekturen in Cloud-native-Umgebungen.

Standfest

Kategorie für Controls, deren Schutzwirkung aus einer harten Barriere stammt, die auch unter Mythos fortbesteht. 29 Controls in Kapitel 4.

Store-now-decrypt-later

Bedrohungsmodell, bei dem heute exfiltrierte verschlüsselte Daten aufbewahrt werden, um sie nach Verfügbarkeit von Quantum-Computing zu entschlüsseln.

TEE – Trusted Execution Environment

Hardware-gestützter, isolierter Ausführungsbereich für vertrauliche Datenverarbeitung. Basis für Confidential Computing.

Teilweise degradiert

Kategorie für Controls, deren Schutzwirkung erhalten bleibt, deren ursprünglich angenommene Stärke aber unter Mythos sinkt. 37 Controls in Kapitel 5.

Threat Priority Score

Threat Priority Score = Threat-Relevanz × Business Impact × Exposure × Control Gap, je Faktor auf einer Skala von 1 bis 5. Der Threat Priority Score ist ein qualitativer Priorisierungsindex, kein Ersatz für eine formale Risikoanalyse (ISO/IEC 27005) oder eine organisationsspezifische Risikomatrix. Die Multiplikation der Faktoren macht relative Handlungsprioritäten sichtbar; der Wert ist ordinal, nicht metrisch — ein Score von 400 ist nicht „doppelt so dringlich“ wie 200, sondern dient der Reihung und Triage.

TLPT – Threat-Led Penetration Testing

Penetrationstest nach realen Bedrohungsszenarien, verankert in DORA Art. 26/27 und im TIBER-EU-Framework.

UEBA – User and Entity Behavior Analytics

Detektionskategorie auf Basis von Verhaltens-Baselines und ML-gestützter Anomalieerkennung.

Zeitkompression

Bewertungskriterium: Setzt das Control menschliche Reaktionszeit in einer Kette voraus, in der der Angreifer autonom operiert?

Zero Trust

Architekturprinzip, nach dem keinem Akteur, keinem Gerät und keinem Netz implizit vertraut wird. Jede Transaktion wird explizit verifiziert. NIST SP 800-207.