Digital resources in the Social Sciences and Humanities OpenEdition Our platforms OpenEdition Books OpenEdition Journals Hypotheses Calenda Libraries OpenEdition Freemium Follow us
Kategorien
Allgemein

Cyber-Kill-Chains – Herausforderungen und mögliche Defensiven

Am Vortrag vom 03.11. «Cyberangriffe verstehen – von der Bedrohung bis zur Verfolgung» von Markus Ruchti, dem Chef Dezernat digitale Kriminalität bei der Kantonspolizei Bern, wurde die digitale Kriminalität – Cyberkriminalität – von der herkömmlichen «klassischen» Kriminalität differenziert betrachtet. Das Internet bietet nämlich eine neuartige Umgebung für kriminelles Verhalten (Casey, 2008). Unter anderem wurden typische Cybercrime-Phänomene erwähnt, wie der Ransomware-Angriff, E-Banking Trojaner, oder auch Pishing-Betrüge, welche unter anderem mit dem Hacking fremder Systeme und Datendiebstahl einhergehen. Besonderes Interesse hat die Thematik der Cyber Kill Chain in mir geweckt, konkret die geplanten Phasen eines koordinierten organisierten Cyberangriffs von Täterschaften, wie beispielsweise von organisierten kriminellen Gruppen. Gezielte (Cyber-)Angriffe durchlaufen nämlich
mehrere, mehr oder minder systematische, methodisch durchdachte Schritte. Dadurch stellt sich für mich die Frage, welche konkreten Methoden und Systeme dabei helfen könnten, solche systematisierten
Cyber-Angriffe zu erkennen und diese schliesslich erfolgreich abzuwehren. Denn nur, wenn geklärt wird, wie genau solche täterbezogenen Handlungen ablaufen, können (typische) Verhaltensmuster vorhergesagt und präventive Massnahmen sowie immer besser werdende, anpassungsfähige digitale Abwehrsysteme entwickelt und erfolgreich angewendet werden.

Was sind Cyber Kill Chains?

Ruchti beschreibt in seinem Vortrag folgende (koordinierte) Schritte eines Cyberangriffs der «Cyber Kill Chain»:

Diese Schritte sind deutlich vereinfacht dargestellt im Vergleich dazu, wie sie in der Realität tatsächlich ablaufen. Klassischerweise folgen kriminelle Cyberangriffe einem bestimmten Schema: Zunächst bereiten sich kriminelle Gruppen vor und beschaffen Informationen über ihr Zielobjekt, beispielsweise über hochsensible Daten eines Unternehmens. Dabei identifizieren sie mögliche Schwachstellen des Zielsystems und versuchen, mithilfe bewährter Methoden in die jeweilige IT-Infrastruktur einzudringen. Anschliessend verankern sie Schadsoftware oder führen einen Hacking-Angriff im Zielsystem aus. In einem letzten Schritt werden Daten verschlüsselt oder entwendet, um daraus monetäre oder überwachende Profite zu erzielen. In diesem Zusammenhang wird in der Literatur der Begriff der Intrusion Kill-Chain verwendet. Dieser beschreibt die einzelnen Phasen, welche ein Aggressor (Cyberangreifer) bei einem zielgerichteten, online-bezogenen Angriff typischerweise durchläuft (Hutchins et al., 2011). Dazu zählen die systematische Vorbereitung, das Eindringen in das Zielsystem, die Etablierung eines dauerhaften Zugriffs sowie die anschliessende Umsetzung des Angriffsziels. Davon abzugrenzen ist die Cyber-Kill-Chain, welche diese Phasen detaillierter und technischer beschreibt. Sie beginnt mit der Reconnaissance, also der Recherche, Identifizierung und Auswahl geeigneter Ziele. Darauf folgt die Weaponization, bei der die einzusetzenden (Online-)Werkzeuge erstellt werden. In der Phase der Delivery wird die Waffe in die Zielumgebung übertragen, welche häufig über E-Mails, Webseiten oder USB-Sticks realisiert wird. Anschliessend wird durch Exploitation ein sogenannter Exploit-Code aus gelöst, indem Schwachstellen des Zielsystems ausgenutzt werden. In der Phase der Installation wird häufig ein Remote Access Trojaner installiert (Schadsoftware, die einem Angreifer einen dauerhaften
Fernzugriff auf das Zielsystem ermöglicht), um Persistenz im System sicherzustellen. Daraufhin folgt das Command and Control, bei dem eine Verbindung zu einem externen Server aufgebaut wird, über den die Angreifer das Zielsystem steuern können. Abschliessend werden unter Actions on Objectives die eigentlichen Angriffshandlungen zur Zielerreichung ausgeführt, meist in Form von Datendiebstahl oder Sabotage (Hutchins et al., 2011).

Was sind Crime Scripts?

Meine Recherche zur Cyber Kill Chain führte mich ebenso zum Begriff der «Crime Scripts», welcher vom forensischen Psychologen Derek Cornish im Jahr 1994 etabliert wurde. Der Begriff basiert auf der
Rational-Choice-Theory von Adam Smith 1776, die von einer Nutzenmaximierung beim Entscheidungsprozess von Täterschaften ausgeht. Crime Scrips meinen ein analytisches Werkzeug, oder anders
gesagt, ein methodisches Vorgehen, um verschiedene Straftaten theoretisch und in ihrem Ablauf zu beschreiben. Cornish spricht dabei von einem «skript-theoretischem-Ansatz» (Cornish, 1994; Dehghanniri & Borrion, 2019). Die Crime Scripts sollen dabei helfen, Verhaltensroutinen hinsichtlich rationaler und zielgerichteter Entscheidungsprozesse von Täterschaften systematisch zu erklären und dadurch Vorhersagen über deren darauffolgenden Schritte zu treffen. Die Vorhersagen sollen präventiven Abwehrstrategien dienen (Cornish, 1994; Dehghanniri & Borrion, 2019). Ein solches Crime Script kann beispielsweise die einzelnen Phasen eines Cyberangriffs strukturiert abbilden, indem es aufzeigt, welche Entscheidungen eine Täterschaft vor der Tat (z. B. Zielauswahl und Informationsbeschaffung), während der Tat (z. B. Wahl der Angriffsmethode und Ausnutzung von Schwachstellen) sowie nach der Tat (z. B. Monetarisierung oder Verschleierung der Spuren) trifft. Dabei werden für jede Phase konkrete Handlungsoptionen, notwendige Ressourcen und mögliche Entscheidungsalternativen systematisch festgehalten (Cornish, 1994; Dehghanniri & Borrion, 2019).

Crime Scripts und Schwierigkeiten der Cybercrime-Delikte

Die Crime Scripts werden laut Cornish (1994) auf Basis verhaltenspsychologischer Erkenntnisse und Muster erstellt. Hierbei werden wahrscheinliche rationale, zweck- und zielorientierte Tätervorgehen analysiert und mittels computerbasierter Abwehrsysteme vorhergesagt. Crime Scripts dienen der Generierung, Organisation und Systematisierung vorhandenen Wissens über prozedurale Aspekte und Voraussetzungen von Straftaten und mit dem damit zusammenhängenden Täterverhalten. Die notwendigen Fähigkeiten und Ressourcen werden dabei detailliert beschrieben und kategorisiert (Cornish, 1994; Dehghanniri & Borrion, 2019; Hutchins et al., 2011). Erschwert werden solche Systematisierungen und Voraussagen, wenn Cybercrime-Delikte zu analysieren sind und nicht konventionelle, analoge Straftaten. Cybercrime-Delikte unterliegen nämlich sogenannten APTs (Ahmad et al., 2019; Hutchins et al., 2011).

APT steht für «Advanced Persistent Threats» und wird nach Ahmad et al. (2019) als eine Entität definiert, die an organisierten, böswilligen, hochgradig raffinierten und wiederholten Netzwerkangriffen sowie
Ausbeutungsoperationen beteiligt ist. Ein typisches Beispiel hierfür sind langfristig angelegte Cyberkampagnen, bei denen APT-Gruppen gezielt staatliche Institutionen oder grosse Unternehmen infiltrieren, um über einen längeren Zeitraum unbemerkt sensible Informationen auszuspähen, etwa indem sie sich monatelang Zugriff auf interne E-Mail-Systeme oder Forschungsdaten verschaffen. Das Ziel dabei ist, sensible, private Daten und Informationen einer Zielorganisation zu erhalten, um dadurch deren Betrieb aus Konkurrenzgründen oder dergleichen zu sabotieren, beispielsweise durch das Abgreifen von Geschäftsgeheimnissen oder strategischen Planungsdokumenten. Kurzum geht es primär um Datendiebstahl sowie Geheimdienstsammlung. Oft stammen APTs von kriminellen Syndikaten oder rivalisieren den Unternehmen (Ahmad et al., 2019; Hutchins et al., 2011).

Die Schwierigkeit, APTs zu durchbrechen oder zu antizipieren, liegt an ihren charakteristischen Merkmalen der Raffinesse, Ausdauer beziehungsweise der langfristigen Leistungsfähigkeit sowie an deren
Heimlichkeit, etwa, wenn Angreifer ihre Aktivitäten bewusst auf Nachtstunden oder geringe Netzwerkbelastungen verlagern. Dabei nutzen APTs speziell entwickelte Techniken, um automatisierte Erkennung zu umgehen, zum Beispiel durch massgeschneiderte Schadsoftware, die sich dem üblichen Nutzerverhalten anpasst. Durch ihre damit einhergehende Flexibilität und ihr robustes Set an Tools und Techniken erscheint es besonders komplex, diese Muster durch herkömmliche technologiezentrierte Netzwerksicherheitssysteme zu durchbrechen. Auch ihr unerwartetes, also subtiles Vorgehen bei Missionstasks macht sie nahezu unsichtbar für andere, etwa wenn einzelne Angriffsschritte über Wochen verteilt durchgeführt werden (Ahmad et al., 2019). Kurz gesagt operieren APTs so, dass sie ihre Strategien Angriff für Angriff anpassen, orientiert am Erfolg oder Misserfolg der jeweiligen Angriffsstrategie (Hut
chins et al., 2011).

Welche neuartigen, zeitgemässen Methoden gibt es, um solche APTs zu durchbrechen?

Die Situation der APTs erscheint jedoch nicht aussichtslos für Verteidigungsakteure. Um APTs und die Cyber-Kill-Chains erfolgreich zu identifizieren und zu unterbinden, gibt es einen innovativen Ansatz. Da konventionelle Sicherheitssysteme, wie beispielsweise Intrusion Detektion Systeme und Anti-Virus Programme, nicht mehr mit technologisch intelligenten Cyberangriffen und hochentwickelten APTs mithalten können, wurden sogenannte «Intelligence-Driven Computer Network Defense (CND)» entwickelt (Hutchins et al., 2011). Diese verteidigungsorientierten Ansätze, wie die CND, basieren darauf, gewonnene Bedrohungsinformationen systematisch auszuwerten, um Angreifer-Aktivitäten frühzeitig zu erkennen, deren Vorgehensweisen zu verstehen und gezielt in einzelne Phasen der Cyber-Kill-Chain einzugreifen. Der Schutz erfolgt dabei weniger reaktiv, sondern vielmehr präventiv, indem Angriffsmuster, Taktiken und Techniken analysiert werden, um zukünftige Angriffe zu antizipieren und abzuwehren.

Was genau sind Intelligence-Driven Computer Network Defense (CND)?

Intelligence-Driven Computer Network Defense (CND) ist ein Ansatz innerhalb des Risikomanagements, der darauf abzielt, gezielt die Bedrohungskomponente von Cyberrisiken zu adressieren (Hutchins et al., 2011). Im Unterschied zu herkömmlichen Sicherheitsansätzen, die primär auf die Identifikation und Behebung technischer Schwachstellen fokussiert sind, richtet sich dieser Ansatz stärker auf die Analyse potenzieller Angreifer. Dazu gehört eine kontinuierliche Auswertung möglicher Gegnerschaft, ihrer Fähigkeiten, Charakteristika, Zielsetzungen, Vorgehensweisen sowie ihrer jeweiligen Limitationen.

Das übergeordnete Ziel solcher Abwehrsysteme besteht in der Etablierung eines Zustands der sogenannten Informationsüberlegenheit. Diese wird durch den Aufbau sogenannter «Intelligence Feedback Loops» erreicht, also verstärkender Rückkopplungsschleifen, welche Verteidigern ermöglichen, aus je dem erkannten oder abgewehrten Angriffsversuch zu lernen. Auf diese Weise soll die Wahrscheinlichkeit eines erfolgreichen gegnerischen Cyberangriffs mit jedem weiteren Infiltrationsversuch schrittweise reduziert werden (Hutchins et al., 2011).

Warum sind solche Intelligence-Driven CNDs erfolgreich?

Intelligence-Driven CNDs gelten insbesondere gegenüber APTs, als erfolgreich, weil sie Angriffe konsequent aus der Perspektive des Angreifers analysieren und daraus handlungsrelevante Hinweise für die Verteidigung ableiten (Hutchins et al., 2011). Im Zentrum steht dabei die Annahme, dass zielgerichtete Angriffe typischerweise einem wiederkehrenden Ablauf folgen, etwa den Phasen einer (Cyber-)Kill Chain. Weil ein Aggressor diese Schritte nacheinander durchlaufen muss, entstehen an verschiedenen Stellen Ansatzpunkte, um einen Angriff frühzeitig zu stören: Bereits eine wirksame Gegenmassnahme in nur einer Phase kann dazu führen, dass der gesamte Angriff nicht wie geplant fortgesetzt werden kann (Hutchins et al., 2011).

Praktisch bedeutet das, dass Intelligence-Driven CNDs nach Mustern suchen, die auf solche wiederkehrenden Abläufe hindeuten. Dafür nutzen sie sogenannte Indikatoren. Diese sind wiedererkennbare Spuren im Vorgehen des Angreifers, die auf bestimmte Techniken oder Werkzeuge schliessen lassen (Hutchins et al., 2011). Ein anschauliches Beispiel ist, wenn eine Gegnerschaft wiederholt über sehr ähnliche Phishing-E-Mails initialen Zugriff zu erlangen versucht oder in mehreren Angriffen vergleichbare Infrastruktur für «Command and Control» nutzt. Solche Wiederholungen sind für Angreifer funktional, weil sie erprobte Methoden effizient erneut einsetzen können. Sie werden aber zugleich zu einem Anknüpfungspunkt für Verteidigende, weil sie dadurch eher erkennbar werden (Hutchins et al., 2011). Auf dieser Grundlage können CNDs objektive Informationen über das gegnerische Vorgehen gewinnen und daraus ableiten, welche Merkmale bei künftigen Eindringversuchen wahrscheinlich erneut auftreten. Besonders konsistente Indikatoren erhöhen die Sicherheit solcher Einschätzungen, weil sie es ermöglichen, zukünftige Aktivitäten mit wachsender Präzision zu antizipieren und Abwehrmassnahmen gezielt dort zu priorisieren, wo sie den grössten Effekt entfalten (Hutchins et al., 2011). Entscheidend ist damit nicht nur das Erkennen einzelner Vorfälle, sondern das fortlaufende Lernen aus Angriffen: Wenn Verteidigende schneller geeignete Gegenmassnahmen implementieren können, als Angreifer ihre Vorgehensweise anpassen, entsteht ein taktischer Vorteil zugunsten der Verteidigung (Hutchins et al., 2011).

Fazit – Was bedeutet der Einsatz von CND’s für das weitere Vorgehen?

Nach meiner Recherche zeigt sich das oben genannte Intelligence-Driven Computer Network Defense System als ein äusserst effizienter Ansatz, um Cyberangriffe erfolgreich abzuwehren. Dabei ist jedoch zu berücksichtigen, dass Cybertäterschaften durch verbesserte Verteidigungsmechanismen zugleich angeregt werden, ihre Strategien und Methoden weiterzuentwickeln. Hutchins et al. (2011) weisen darauf hin, dass eine sogenannte «Courses of Action Matrix» beim Tracking von Kill Chains unterstützen kann, indem defensive Massnahmen systematisch den jeweiligen Angriffsphasen zugeordnet werden. Auf diese Weise lassen sich umfassende Verteidigungsstrategien über alle Phasen eines Angriffs hinweg realisieren. Dadurch kann langfristig eine erhöhte Resilienz gegenüber APTs aufgebaut werden, wobei deren Persistenz und Wiederholungsnatur zunehmend zu einer immanenten Schwäche werden.

Die Kill Chains eignen sich dabei besonders gut, um einen strukturierten Überblick über die potenziellen Schritte eines Angreifers zu behalten und gezielte Gegenmassnahmen abzuleiten. Weiter könnten die konkreten Schritte der «Courses of Action Matrix» vertieft untersucht und evaluiert werden, um zu analysieren, inwiefern sie sich in der Praxis tatsächlich bewähren. Die bestehende Literatur (Ahmad et al., 2019; Casey, 2008; Cornish, 1994; Madarie et al., 2024) zeigt insgesamt vielversprechende Perspektiven für cyberangriffssichere Computerverteidigungssysteme auf, was die Hoffnung auf eine umfassende und effektive Verteidigungsstrategie weiter stärkt.

Meines Erachtens bestehen ebenso aussichtsreiche Chancen, mit den beschriebenen Methoden künftig erfolgreich und präventiv gegen Cyberangriffe vorzugehen. Voraussetzung hierfür ist jedoch, dass unterschiedliche Formen der Cyberkriminalität klar definiert und systematisch beschrieben werden, um darauf aufbauend geeignete Verteidigungsmechanismen entwickeln zu können. In diesem Zusammenhang verweise ich auf das systematische Review von Madarie et al. (2024), das insbesondere das Cybercrime Scripting analysiert und methodische Ansätze wie objektorientierte Modellierungen sowie den Einsatz der «Unified Modelling Language» vorstellt, um eine einheitlichere und effektivere Strukturierung zu ermöglichen. Die Autoren weisen zugleich darauf hin, dass Crime Scripting im Bereich der Cyberkriminalität häufig unterentwickelt bleibt, da die fortschreitende technologische Entwicklung kontinuierliche Anpassungen und Erweiterungen erfordert.

Darüber hinaus erscheint mir die Berücksichtigung psychologischer Komponenten von Cybertäterschaften besonders relevant. Das Erkennen und Erklären wiederkehrender psychologischer Muster können dazu beitragen, das Verhalten von Täterschaften besser zu prognostizieren und dadurch gezielte Präventivmassnahmen zu entwickeln. Casey (2008) beschreibt in diesem Zusammenhang, wie kriminelles Cyberverhalten aus psychologischer Perspektive analysiert werden kann und inwiefern Elemente der kriminellen Profilerstellung auf Cyberkriminalität übertragbar sind.

Quellenverzeichnis

    Ahmad, A., Webb, J., Desouza, K. C., & Boorman, J. (2019). Strategically-motivated advanced persistent threat: Definition process, tactics and a disinformation model of counterattack. Computers & Security, 86, 402–418. https://doi.org/10.1016/j.cose.2019.07.001

    Casey, E. (2008). Cyberpatterns: Criminal behavior on the Internet. In B. E. Turvey (Ed.), Criminal profiling: An introduction to behavioral evidence analysis (4th ed., pp. 361–378). Elsevier.

    Cornish, D. (1994). The procedural analysis of offending and its relevance for situational prevention. London School of Economics.

    Dehghanniri, H., & Borrion, H. (2019). Crime Scripting: A systematic review. European Journal of Criminology, 1–22. https://doi.org/10.1177/1477370819850943

    Hutchins, E. M., Cloppert, M. J., & Amin, R. M. (2011). Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains. Lockheed Martin Corporation.

    Madarie, R., Weulen Kranenbarg, M., & de Poot, C. (2024). Introducing object-oriented modelling to cybercrime scripting: Visualisation for improved analysis. Crime Science, 13, 27.
    https://doi.org/10.1186/s40163-024-00227-5


    OpenEdition schlägt Ihnen vor, diesen Beitrag wie folgt zu zitieren:
    kristinakelava (16. Februar 2026). Cyber-Kill-Chains – Herausforderungen und mögliche Defensiven. Einblicke in die Digital Humanities. Abgerufen am 7. März 2026 von https://doi.org/10.58079/15pcy


    Schreibe einen Kommentar

    Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

    This site uses Akismet to reduce spam. Learn how your comment data is processed.