MHC-05 Verhaltensbasierte Detection und Kill-Chain-Korrelation

Auf einen Blick

Operativer Nutzen

Erkennt Angreifer an ihrem Verhalten und an der Kette zusammenhängender Schritte, statt nur an bekannten Signaturen — und fängt so auch getarnte, mit legitimen Mitteln geführte Angriffe.

Betroffene Richtlinie

Richtlinie zur Sicherheitsüberwachung (Logging, Monitoring, Detection).

Abhängigkeiten

setzt zentrale, manipulationssichere Protokollierung voraus (A.8.15); liefert die Signale für die Automatisierung in MHC-11.

Aufwandstreiber

hängt von Umfang der Protokollquellen, der vorhandenen SIEM-/Detection-Plattform und der verfügbaren Analyse-Kapazität ab. Der konkrete Aufwand richtet sich nach den Ressourcen der Organisation.

Primäre Kennzahl

Abdeckung der für das dokumentierte organisationsspezifische Threat Profile relevanten ATT&CK-Techniken (Anteil mit wirksamer, durch Tests validierter Erkennung).

Berührte Standards (ohne Erfüllungsanspruch)

ISO/IEC 27002 A.8.16/A.5.7 primär, ergänzend A.8.15 (Protokollierung als Datengrundlage), A.5.3, A.5.14, A.5.15, A.8.1, A.8.3, A.8.4, A.8.7, A.8.12; vollständige Zuordnung in MRIS Anhang A. MITRE ATT&CK; C5:2026 OPS-13; NIS2-DVO Nr. 3.2; DORA Art. 10.

Control-Statement

Angriffe werden anhand von Verhaltensauffälligkeiten und der Verknüpfung zusammenhängender Ereignisse erkannt, nicht allein anhand einzelner bekannter Signaturen. Die Erkennung orientiert sich an einem anerkannten Katalog von Angriffstechniken (MITRE ATT&CK) mit messbarer Abdeckung; die gezielte Suche nach noch unentdeckten Angriffen (Threat-Hunting) ist eine feste Funktion.

Zweck und Bedrohungsbezug

AI-gestützte Angreifer gehen unauffällig vor: Sie nutzen bordeigene Systemwerkzeuge statt mitgebrachter Schadsoftware und tarnen ihre Steuerkanäle, sodass jeder einzelne Schritt für sich harmlos wirkt. Klassische, signaturbasierte Erkennung schlägt dabei nicht an. Außerdem zerlegen agentische Angreifer ihr Vorgehen in viele kleine, je für sich unverdächtige Aktionen — die Gefahr zeigt sich erst im Zusammenhang. Schutzziel ist, Angriffe an ihrem Verhalten und an der Abfolge zusammenhängender Schritte zu erkennen, auch wenn keine bekannte Signatur vorliegt.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Alle 93 Controls in der Analysematrix · Alle 45 Controls in der Befundmatrix · Alle 23 Anforderungen der Bausteinfamilie

Reifegrad-Pfad

Initial

MITRE ATT&CK als Erkennungsrahmen eingeführt; geringe Abdeckung.

Defined

die für das dokumentierte organisationsspezifische Threat Profile relevanten Techniken zuverlässig abgedeckt; dokumentiertes Threat-Hunting.

Managed

gegen Täuschung robuste, lernende Erkennung; fortlaufende Überprüfung und Bestätigung der Abdeckung.

Messung und Audit-Nachweis

Kennzahl

Abdeckung der wichtigsten Angriffstechniken nach MITRE ATT&CK (gemessen und durch Angriffstests bestätigt); ergänzend Zahl und Ergebnis der durchgeführten Threat-Hunts.

Nachweis

Abdeckungsübersicht (z. B. DeTT&CT), Ergebnisse der Angriffstests, dokumentierte Hunting-Durchläufe mit Technik-Zuordnung.

Nachweislogik (in Anlehnung an ISO/IEC 27001, Clause 9)

dokumentiert? — Überwachungsrichtlinie, Abdeckungsübersicht, Hunting-Protokolle; verantwortlich? — Detection-/SOC-Leitung; Häufigkeit? — fortlaufender Betrieb, regelmäßige Hunts und Abdeckungsprüfung; Toleranz? — keine dauerhaft unbeobachteten wichtigen Techniken.

Typische Fehler

• Die Erkennung bleibt signaturbasiert; Angriffe mit bordeigenen Werkzeugen lösen keinen Alarm aus.
• Die ATT&CK-Abdeckung wird behauptet, aber nie durch kontrollierte Angriffstests überprüft — die Erkennung greift im Ernstfall nicht.
• Einzelne Alarme werden abgearbeitet, aber nie zu Ketten verknüpft; die Zusammenhänge bleiben unsichtbar.
• Threat-Hunting wird als Nebenaufgabe behandelt und mangels Kapazität faktisch nicht durchgeführt.

Abgrenzung und Restrisiko

Abgrenzung

betrifft das Erkennen von Angriffen; die anschließende automatisierte Reaktion behandelt MHC-11, das automatisierte Testen der eigenen Abwehr MHC-09.

Restrisiko

Erkennung ist nicht Verhinderung — sehr langsame, stark getarnte oder neuartige Angriffe können unentdeckt bleiben; setzt die Erkennung auf maschinelles Lernen, bleibt die gezielte Täuschung der Modelle ein Restrisiko.

ISO/IEC 27002:2022

A.5.3 Aufgabentrennung; A.5.7 Informationen über die Bedrohungslage; A.5.14 Informationsübermittlung; A.5.15 Zugangssteuerung; A.8.1 Endpunktgeräte des Benutzers; A.8.3 Informationszugangsbeschränkung; A.8.4 Zugriff auf den Quellcode; A.8.7 Schutz gegen Schadsoftware; A.8.12 Verhinderung von Datenlecks; A.8.16 Überwachung von Aktivitäten.

Framework

MITRE ATT&CK (Enterprise, laufend aktualisiert); C5:2026 OPS-13; NIS2-DVO Nr. 3.2; DORA Art. 10; NIST SP 800-94 (Fassung 2007); Methodik-Beispiele PEAK und TaHiTI, Abdeckungsmessung mit DeTT&CT, Angriffstests mit Atomic Red Team.

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog

Quelle: MRIS Implementation Guide (ISO/IEC 27001), Fassung 2.0. Lizenz CC BY-SA 4.0. © 2026 Richard Peddi.