Preemptive Cybersecurity: Früher eingreifen statt nur schneller reagieren

Security-Teams haben in den vergangenen Jahren vor allem eines gelernt: genauer hinzusehen. Mehr Telemetrie, bessere Detection-Methoden und eine stärkere Vernetzung von Security-Daten sollen helfen, Angriffe möglichst schnell zu erkennen.

Das funktioniert. Es hat allerdings einen Nebeneffekt: Mehr Sichtbarkeit produziert zunächst mehr Informationen. Diese müssen gesammelt, korreliert, bewertet und im richtigen Moment in eine Entscheidung übersetzt werden. Gerade in größeren Umgebungen kann zusätzliche Detection deshalb auch mehr SIEM-Volumen, neue Regeln und zusätzlichen Aufwand bedeuten.

Die nächste Entwicklungsstufe der Cybersecurity sollte deshalb weniger davon geprägt sein, noch mehr zu beobachten. Sie sollte stärker darauf ausgerichtet sein, die Handlungsmöglichkeiten eines Angreifers aktiv zu beeinflussen.

Gartner bezeichnet diese Entwicklung als Preemptive Cybersecurity. Laut Prognose könnten entsprechende Lösungen bis 2030 rund 50 Prozent der IT-Security-Ausgaben ausmachen. 2024 lag dieser Anteil noch unter fünf Prozent. Predictive Threat Intelligence, Automated Moving Target Defense und Advanced Deception könnten damit deutlich stärker in moderne Cybersecurity-Strategien einfließen.

Drei Schritte, auf die es ankommen wird

Hinter Preemptive Cybersecurity steckt vor allem ein Perspektivwechsel: Verteidiger warten nicht mehr nur darauf, einen Angriff zu erkennen. Sie versuchen, die Bedingungen zu verändern, unter denen ein Angreifer operiert. Gartner fasst dieses Prinzip in drei Begriffen zusammen:

• Deny (Verweigern): Welche Optionen können wir dem Angreifer nehmen?
  Ein erfolgreicher Erstzugriff ist noch kein erfolgreicher Angriff. Ein Angreifer muss zunächst weitere Systeme erreichen, Credentials finden oder Privilegien ausweiten. „Deny“ bedeutet deshalb, genau diese Handlungsmöglichkeiten systematisch einzuschränken. Je weniger verwertbare Wege zur Verfügung stehen, desto schwieriger wird es, aus einem kompromittierten Zugang tatsächlichen Schaden zu entwickeln.

• Deceive (Täuschen): Welche Entscheidungswege können wir für Angreifer riskant machen?
  Angreifer kennen eine fremde Infrastruktur nicht. Sie müssen suchen, ausprobieren und bewerten, welche Systeme, Identitäten und Informationen relevant sind. Diese Unsicherheit lässt sich nutzen.
  Die Idee dahinter ist bekannt: Honeypots locken Angreifer seit Jahrzehnten auf Systeme, die bewusst als glaubwürdige Köder platziert werden. Die Verteidigung schafft damit einen Ort, an dem bereits die Interaktion verdächtig ist. Die Reconnaissance des Angreifers wird damit selbst zum Detection-Sensor.
• Disrupt (Stören): Wo können wir den Angriff früh aus dem Takt bringen?
  Je weiter ein Angriff fortschreitet, desto kleiner wird häufig das Zeitfenster für die Verteidigung. „Disrupt“ zielt deshalb darauf ab, verdächtige Aktivitäten bereits während der Reconnaissance oder lateraler Bewegung sichtbar zu machen und Gegenmaßnahmen einzuleiten. Entscheidend ist der Zeitgewinn: Security-Teams sollen handeln können, bevor der Angreifer sein eigentliches Ziel erreicht. Aus Security-Sicht kann es dabei um Minuten oder Stunden gehen. Aus Unternehmenssicht darum, ob aus einem kompromittierten Zugang ein größerer Sicherheitsvorfall, ein Produktionsausfall oder zusätzlicher Recovery-Aufwand entsteht.

Security-Maßnahmen müssen für Angreifer unberechenbarer werden

Damit verschiebt sich das Kräfteverhältnis zumindest ein Stück. Angreifer rechnen heute aber mit aktivem Monitoring und versuchen, ihre Aktivitäten entsprechend zu verschleiern. Schwieriger wird es, wenn sie nicht mehr sicher einschätzen können, was in einer Umgebung echt ist und was nicht.

Advanced Deception entwickelt diesen Gedanken nun weiter. Statt einzelner Köder können Verteidiger glaubwürdige falsche Wege und Orientierungspunkte in einer Infrastruktur schaffen. Damit verändert sich auch die Rolle der Detection: Sie beobachtet nicht nur, welchen Weg ein Angreifer nimmt. Bereits die Entscheidung für einen falschen Weg bzw. für eine Sackgasse kann zum Signal werden.

„Preemptive Cybersecurity verschiebt den Zeitpunkt, an dem wir als Verteidiger Einfluss auf einen Angriff nehmen können. Wir versuchen nicht nur, verdächtiges Verhalten möglichst schnell zu erkennen, sondern bringen Angreifer früher in Situationen, in denen sie sich durch ihre eigenen Entscheidungen verraten können“, erklärt Florian Kraus, General Manager der DAGMA GmbH. „Advanced Deception macht diesen Ansatz nun praktisch nutzbar. Lösungen wie Labyrinth platzieren glaubwürdige falsche Systeme, Credentials oder andere Orientierungspunkte in der Umgebung. Sobald ein Angreifer damit interagiert, entsteht ein Signal mit hoher Relevanz und das Security-Team erhält einen konkreten Ansatzpunkt für die weitere Untersuchung.“

Die vielleicht interessanteste Entwicklung hinter Preemptive Cybersecurity liegt deshalb in einem erweiterten Verständnis von Prävention. Es geht nicht nur um die Frage, wie sich ein Angriff verhindern lässt. Ebenso relevant wird, welche Entscheidungen ein Angreifer während eines Angriffs treffen kann und welche davon ihn sichtbar machen.

Damit dürften Ansätze an Bedeutung gewinnen, die Angreifer möglichst früh vor Entscheidungen stellen und bei denen ein falscher Schritt zum Vorteil für die Verteidiger wird.

Oder, frei nach Labyrinth’s Slogan: „Let’s make hackers cry!“

(Hinweis: Dieser Artikel wurde mit KI modifiziert. Inhalte sind fachlich auf Richtigkeit geprüft.)