Glossar

260 Einträge aus Schwachstellen-Management, Threat-Intel, IT-Forensik, DFIR, Recht und Tooling, jede Abkürzung mit Langform und Kontext. Suchen Sie nach einem Begriff oder springen Sie über das Inhaltsverzeichnis zur Kategorie.

Glossar durchsuchen

Identifier

CPEStandardisierte Produkt-/VersionskennungCommon Platform Enumeration: CPE ist ein standardisiertes Benennungsschema für IT-Produkte, Betriebssysteme und Hardware. Eine CPE-Zeichenkette identifiziert eindeutig Hersteller, Produkt und Version und erlaubt es, Schwachstellen (CVE) maschinell den betroffenen Produkten zuzuordnen. CPE ist damit der Klebstoff zwischen einer abstrakten Schwachstelle und dem konkreten Asset im eigenen Bestand.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CVEAllgemeine Schwachstellen und RisikenCommon Vulnerabilities and Exposures: Eine CVE-ID ist die weltweit anerkannte, eindeutige Kennung pro öffentlich bekannter Schwachstelle im Format CVE-JJJJ-NNNN(N). Vergeben wird sie von der MITRE Corporation und einem Netz autorisierter Partner (CNAs). Wichtig: Die CVE-ID benennt eine Schwachstelle, sagt aber für sich genommen nichts über deren Schweregrad oder Ausnutzungswahrscheinlichkeit — dafür dienen CVSS, EPSS und der KEV-Katalog.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CWEKlassifikations-Schema für Software-SchwachstellenCommon Weakness Enumeration: CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse. So lässt sich von der Einzellücke zur eigentlichen Ursache und damit zur Vermeidung kommen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
DSADebian-SicherheitshinweisDebian Security Advisory: Eine DSA ist der offizielle Sicherheitshinweis des Debian-Projekts für eine oder mehrere Schwachstellen in Debian-Paketen. Sie nennt die betroffenen Pakete, die zugehörigen CVE-IDs und die Version, in der das Problem behoben ist. Für Betreiber von Debian-Systemen ist die DSA die maßgebliche, herstellerseitige Handlungsanweisung.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
GHSAGitHub-SicherheitshinweisGitHub Security Advisory: Eine GHSA ist ein Eintrag in der GitHub Advisory Database, die vor allem Schwachstellen in Open-Source-Abhängigkeiten verschiedener Programmiersprach-Ökosysteme erfasst. Sie trägt eine eigene Kennung im Format GHSA-xxxx-xxxx-xxxx und kann bestehen, bevor oder ohne dass eine klassische CVE-ID existiert. Für die Software-Lieferkette ist GHSA damit eine der schnellsten Quellen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
GSDOffene, community-getriebene Schwachstellen-DatenbankGlobal Security Database: Die GSD ist ein Open-Source-Projekt der Cloud Security Alliance (CSA), das eine offene, gemeinschaftlich gepflegte Alternative bzw. Ergänzung zum CVE-System aufbauen will. Die Daten werden frei lizenziert über Git verwaltet und sollen die Lücken adressieren, die in klassischen Schwachstellen-Identifikatoren wahrgenommen werden. Konzeptionell ähnelt die GSD-Kennung der CVE, setzt aber auf einen offenen Beitragsprozess.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
IMEIInternationale Mobilfunk-Geräte-KennungInternational Mobile Equipment Identity: Die IMEI ist die in der Regel 15-stellige, weltweit eindeutige Kennung eines Mobilfunkgeräts — sie identifiziert das Gerät selbst, nicht den Anschluss oder die Person. In der Mobilforensik dient sie der eindeutigen Gerätezuordnung, etwa beim Abgleich von Asservaten mit Verbindungsdaten. Sie lässt sich auf den meisten Geräten über eine kurze Tastenfolge abrufen.; Detail-Seite öffnen
IMSIInternationale Mobilfunk-Teilnehmer-KennungInternational Mobile Subscriber Identity: Die IMSI identifiziert den Teilnehmer (die SIM) im Mobilfunknetz und ist damit das Gegenstück zur geräteseitigen IMEI. Sie ist auf der SIM gespeichert und setzt sich aus Landes- und Netzkennung sowie einer teilnehmerspezifischen Nummer zusammen. Wegen ihrer Sensibilität wird sie im Netz möglichst durch temporäre Kennungen ersetzt.; Detail-Seite öffnen
RHSARed-Hat-SicherheitshinweisRed Hat Security Advisory: Eine RHSA ist der offizielle Sicherheitshinweis von Red Hat für Schwachstellen in Red-Hat-Produkten, vor allem Red Hat Enterprise Linux. Sie verknüpft betroffene Pakete mit den zugehörigen CVE-IDs, einer Schweregradeinstufung und den korrigierten Versionen. Für Red-Hat-Umgebungen ist sie die maßgebliche Patch-Referenz.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
USNUbuntu-SicherheitshinweisUbuntu Security Notice: Eine USN ist der offizielle Sicherheitshinweis von Canonical für Schwachstellen in Ubuntu. Sie benennt die betroffenen Pakete, die zugehörigen CVE-IDs und die Version, in der die Lücke geschlossen ist. Für Ubuntu-Systeme ist die USN die verbindliche Quelle für den tatsächlichen Patch-Status.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Scoring

CVSSAllgemeines Schwachstellen-BewertungssystemCommon Vulnerability Scoring System: CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EPSSSystem zur Vorhersage von Exploit-WahrscheinlichkeitenExploit Prediction Scoring System: EPSS schätzt die Wahrscheinlichkeit, dass eine Schwachstelle innerhalb der nächsten 30 Tage tatsächlich ausgenutzt wird, als Wert zwischen 0 und 1. Es beantwortet damit eine andere Frage als CVSS: nicht „wie schwer wäre eine Ausnutzung“, sondern „wie wahrscheinlich ist sie“. Beide Werte gemeinsam richten die Patch-Reihenfolge an der realen Bedrohung statt an theoretischer Schwere aus.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EPSS-PerzentilEPSS-PerzentilrangEPSS Percentile Rank: Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking. Auf den CVE-Seiten steht das Perzentil deshalb auf einer Skala von 0 bis 100 ohne Prozentzeichen (etwa „Perzentil 99,98“), der Score dagegen in Prozent (etwa „99,99 %“).; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EPSS-ScoreEPSS-AusnutzungswahrscheinlichkeitEPSS Exploit Probability: Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“. Der Score ist die direkte, operative Zahl — anders als das EPSS-Perzentil, das nur die relative Position im Katalog beschreibt.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
Priority-ScorePriorisierungs-ScorePriority Score: Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?; Detail-Seite öffnen

Standards & Rahmenwerke

ATT&CKWissensbasis gegnerischer Taktiken und TechnikenAdversarial Tactics, Techniques & Common Knowledge: MITRE ATT&CK ist eine offene, kuratierte Wissensbasis realer Angreifer-Vorgehensweisen, gegliedert nach Taktiken (dem „Warum“ eines Schritts) und Techniken (dem „Wie“). Sie liefert eine gemeinsame Sprache, um Angriffe zu beschreiben, Erkennungen zu kartieren und Lücken in der eigenen Abwehr sichtbar zu machen. ATT&CK basiert ausdrücklich auf beobachtetem Verhalten, nicht auf Theorie.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ATT&CK for ICSMITRE ATT&CK für industrielle SteuerungssystemeMITRE ATT&CK for Industrial Control Systems: ATT&CK for ICS überträgt die ATT&CK-Logik auf die Welt der Betriebstechnik (OT) und industriellen Steuerungssysteme. Statt klassischer IT-Ziele beschreibt es Taktiken und Techniken, die auf physische Prozesse zielen — etwa das Manipulieren von Steuerungslogik oder das Unterdrücken von Schutzfunktionen. Es ist das gemeinsame Vokabular für die Analyse von Angriffen auf Produktion, Energie und KRITIS.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
BAITBankaufsichtliche Anforderungen an die ITBanking Supervisory Requirements for IT (Germany): Die BAIT sind ein BaFin-Rundschreiben, das auf Grundlage des § 25a KWG die aufsichtlichen Erwartungen an die IT-Organisation und Informationssicherheit von Banken konkretisiert. Sie waren über Jahre der maßgebliche nationale Maßstab für IT-Sicherheit im Bankensektor. Mit der EU-Verordnung DORA werden sie schrittweise abgelöst.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
BSI-Leitfaden IT-ForensikBSI-Leitfaden IT-ForensikBSI Guideline on IT Forensics: Der BSI-Leitfaden IT-Forensik ist die maßgebliche deutschsprachige Referenz für ein methodisches, gerichtsverwertbares Vorgehen bei der forensischen Untersuchung von IT-Vorfällen. Er beschreibt einen strukturierten Prozess von der strategischen Vorbereitung über die Datensicherung bis zur Auswertung und Dokumentation. Damit liefert er einen verlässlichen Rahmen, der Nachvollziehbarkeit und Beweiswert sichert.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CRAEU-Cyberresilienz-Verordnung (Verordnung 2024/2847)Cyber Resilience Act: Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Die CE-Kennzeichnung wird damit um eine Cybersicherheits-Dimension erweitert.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CSAFStandard für maschinenlesbare SicherheitshinweiseCommon Security Advisory Framework: CSAF ist ein offener Standard für maschinenlesbare Sicherheitshinweise. Statt Advisories als Fließtext zu veröffentlichen, beschreibt CSAF sie in einem strukturierten Format, das automatisiert verarbeitet werden kann — wer ist betroffen, in welcher Version, mit welcher Gegenmaßnahme. Es ist die Antwort auf die schlichte Tatsache, dass kein Mensch mehr alle relevanten Advisories manuell lesen kann.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EDREndpunkt-Erkennung und -ReaktionEndpoint Detection and Response: EDR überwacht Endpunkte — Arbeitsplätze, Server, mobile Geräte — kontinuierlich, zeichnet ihr Verhalten auf und erkennt verdächtige Aktivitäten anhand von Mustern statt nur anhand bekannter Signaturen. Anders als klassischer Virenschutz erlaubt EDR die Untersuchung und gezielte Reaktion, etwa das Isolieren eines kompromittierten Hosts. Die forensische Endpunkt-Telemetrie ist eine Kernzutat moderner Detektion.; Detail-Seite öffnen
IDW PS 982: Prüfungsstandard des IDW für die Prüfung des internen Kontrollsystems. Unterscheidet Angemessenheit (Design) und Wirksamkeit (Betrieb über einen Zeitraum).; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
IEC 61508IEC 61508 — Funktionale Sicherheit elektrischer/elektronischer SystemeIEC 61508 — Functional Safety of E/E/PE Systems: IEC 61508 ist die übergeordnete Grundnorm für funktionale Sicherheit elektrischer, elektronischer und programmierbarer elektronischer Systeme. Sie definiert, wie sicherheitsgerichtete Funktionen so ausgelegt werden, dass ein gefährlicher Ausfall hinreichend unwahrscheinlich wird — quantifiziert über Sicherheits-Integritätslevel (SIL 1-4). Sie ist die Wurzel, aus der zahlreiche branchenspezifische Sicherheitsnormen abgeleitet sind.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
IEC 61511IEC 61511 — Funktionale Sicherheit der ProzessindustrieIEC 61511 — Functional Safety for the Process Industry: IEC 61511 ist die Anwendung der Grundnorm IEC 61508 auf die Prozessindustrie und regelt dort sicherheitsgerichtete Systeme — sogenannte Safety Instrumented Systems (SIS). Solche Systeme bringen eine Anlage bei drohender Gefahr selbsttätig in einen sicheren Zustand, etwa durch Notabschaltung. Sie sind die letzte technische Verteidigungslinie in chemischen, petrochemischen und vergleichbaren Anlagen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
IEC 62443IEC 62443 — Sicherheit industrieller Automatisierungs- und SteuerungssystemeIEC 62443 — Security for Industrial Automation and Control Systems: IEC 62443 ist die maßgebliche Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Anders als reine IT-Standards adressiert sie ausdrücklich die Besonderheiten der Betriebstechnik und verteilt Verantwortung über alle Beteiligten — Betreiber, Integratoren und Hersteller. Sie ist im OT-Umfeld das, was ISO 27001 in der klassischen IT ist.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ISAE 3402International Standard on Assurance Engagements 3402: Internationaler Standard für Berichte über das Kontrollsystem eines Dienstleisters, in Deutschland als IDW PS 951. Typ 1 bestätigt das Design, Typ 2 die Wirksamkeit über einen Zeitraum.; Detail-Seite öffnen
ISO 27001ISO/IEC 27001 — Informationssicherheits-ManagementsystemISO/IEC 27001 — Information Security Management System: ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Eine Zertifizierung durch eine akkreditierte Stelle ist der gängige, prüfbare Nachweis dafür, dass ein ISMS wirksam betrieben wird.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
KAITKapitalverwaltungsaufsichtliche Anforderungen an die ITCapital Management Supervisory Requirements for IT (Germany): Die KAIT waren das BaFin-Rundschreiben, das die IT-aufsichtlichen Erwartungen speziell für Kapitalverwaltungsgesellschaften konkretisierte — das sektorspezifische Gegenstück zu den BAIT. Sie übertrugen Grundsätze zu IT-Governance, Informationssicherheit und Auslagerung auf die Fondsbranche. Mit der EU-Verordnung DORA wurden sie aufgehoben.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
KRITISKritische InfrastrukturenCritical Infrastructure: KRITIS bezeichnet Organisationen und Einrichtungen mit wesentlicher Bedeutung für das staatliche Gemeinwesen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit zur Folge hätte. In Deutschland sind die betroffenen Sektoren und Schwellenwerte über das BSI-Gesetz und die BSI-Kritisverordnung (BSI-KRITISV) definiert. Mit NIS2 wurde der Kreis regulierter Einrichtungen weit über den klassischen KRITIS-Begriff hinaus ausgedehnt.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
MDMVerwaltung mobiler EndgeräteMobile Device Management: MDM bezeichnet die zentrale Verwaltung mobiler Endgeräte — Smartphones, Tablets, teils Laptops — über eine Management-Plattform. Sie erlaubt es, Geräte zu registrieren, Sicherheitsrichtlinien durchzusetzen, Anwendungen zu verteilen und im Verlust- oder Diebstahlfall aus der Ferne zu sperren oder zu löschen. MDM ist heute meist Teil einer breiteren Endpunkt-Verwaltung (UEM).; Detail-Seite öffnen
MDRVerwaltete Erkennung und ReaktionManaged Detection and Response: MDR ist kein Produkt, sondern ein Dienst: Ein spezialisierter Anbieter betreibt Erkennung und Reaktion für eine Organisation, kombiniert Technik mit menschlichen Analysten und übernimmt Triage, Untersuchung und eingeleitete Gegenmaßnahmen. MDR schließt die Lücke zwischen „wir haben Werkzeuge gekauft“ und „jemand wertet die Alarme rund um die Uhr aus“. Es ist die betriebene Antwort auf den Fachkräftemangel in der Cybersicherheit.; Detail-Seite öffnen
MISPOffene Threat-Intelligence-Sharing-PlattformMISP — Open Source Threat Intelligence Platform: MISP ist eine offene Plattform für das Sammeln, Strukturieren und Teilen von Bedrohungsinformationen — insbesondere von Indikatoren wie schädlichen IP-Adressen, Domains oder Datei-Hashes. Sie ermöglicht es Organisationen, Erkenntnisse über Angriffe vertrauensbasiert und maschinenlesbar untereinander auszutauschen. MISP ist im CERT- und SOC-Umfeld einer der verbreitetsten Bausteine der Threat Intelligence.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
NDRNetzwerk-Erkennung und -ReaktionNetwork Detection and Response: NDR überwacht den Netzwerkverkehr, modelliert normales Verhalten und erkennt Abweichungen, die auf laterale Bewegung, Datenabfluss oder Command-and-Control hindeuten. Während EDR den Endpunkt sieht, sieht NDR die Verbindungen dazwischen — auch von Geräten, auf denen sich kein Agent installieren lässt. Beide Perspektiven zusammen ergeben erst ein vollständiges Bild.; Detail-Seite öffnen
NIS2EU-Richtlinie über Netz- und Informationssicherheit 2Network and Information Security Directive 2: NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. In Deutschland wird sie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das das BSI-Gesetz grundlegend reformiert.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
SIEMSicherheitsinformations- und Ereignis-ManagementSecurity Information and Event Management: Ein SIEM sammelt, normalisiert und korreliert sicherheitsrelevante Logdaten aus dem gesamten Technologie-Stack zentral und löst daraus Alarme aus. Es ist die gemeinsame Datendrehscheibe für Detektion, Untersuchung und Nachweisführung — von Servern und Endpunkten über Netzwerk und Cloud bis zu Anwendungen. Ohne diese zentrale Sicht bleibt Sicherheitsüberwachung punktuell und blind für zusammenhängende Angriffsmuster.; Detail-Seite öffnen
SigmaGenerisches Format für ErkennungsregelnSigma — Generic Detection Rule Format: Sigma ist ein offenes, herstellerneutrales Format, um Erkennungsregeln für Logdaten zu beschreiben — gewissermaßen das, was YARA für Dateien ist, für Log-Ereignisse. Eine in Sigma formulierte Regel lässt sich über Werkzeuge in die Abfragesprache verschiedener SIEM-Systeme übersetzen. So werden Erkennungslogiken austauschbar und unabhängig vom konkreten Produkt teilbar.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
SOARSicherheits-Orchestrierung, -Automatisierung und -ReaktionSecurity Orchestration, Automation and Response: SOAR bündelt Werkzeuge und Prozesse, um wiederkehrende Sicherheitsabläufe über sogenannte Playbooks zu automatisieren und zu orchestrieren. Statt jeden Alarm manuell durch eine Kette von Werkzeugen zu schleusen, führt ein Playbook Anreicherung, Bewertung und erste Gegenmaßnahmen verlässlich und protokolliert aus. Ziel ist es, Reaktionszeiten zu verkürzen und Analysten von Routinearbeit zu entlasten.; Detail-Seite öffnen
SOC 2System and Organization Controls 2: Prüfbericht nach den Trust Services Criteria des AICPA (Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz). Üblicher Nachweis für Cloud- und SaaS-Anbieter.; Detail-Seite öffnen
Three Lines Model: Rollenmodell des IIA (2020): operatives Management, Risiko- und Compliance-Funktionen, Interne Revision – unter der Verantwortung des Leitungsorgans.; Detail-Seite öffnen
VAITVersicherungsaufsichtliche Anforderungen an die ITInsurance Supervisory Requirements for IT (Germany): Die VAIT waren das BaFin-Rundschreiben, das die IT-aufsichtlichen Erwartungen für Versicherungsunternehmen konkretisierte — das sektorspezifische Pendant zu BAIT und KAIT. Sie übertrugen Grundsätze zu IT-Governance, Informationssicherheit, Auslagerung und Notfallmanagement auf die Versicherungsbranche. Mit der EU-Verordnung DORA wurden sie aufgehoben.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
XDRErweiterte Erkennung und ReaktionExtended Detection and Response: XDR führt Signale aus mehreren Sicherheitsdomänen — Endpunkt, Netzwerk, Cloud, Identität, E-Mail — in einer gemeinsamen Erkennungs- und Reaktionsschicht zusammen. Ziel ist es, isolierte Einzelalarme zu einer zusammenhängenden Angriffsgeschichte zu verknüpfen und so schneller zu erkennen und gezielter zu reagieren. XDR ist damit die domänenübergreifende Weiterentwicklung von EDR.; Detail-Seite öffnen
XIEMErweitertes Sicherheitsvorfall- und Ereignis-ManagementExtended Security Incident and Event Management: XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command. Der Leitgedanke: durchgehende Sichtbarkeit von der Erkennung bis zur belastbaren Reaktion, ohne dass eine Einrichtung eigene 24/7-Kapazitäten aufbauen muss.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ZAITZahlungsdiensteaufsichtliche Anforderungen an die ITPayment Services Supervisory Requirements for IT (Germany): Die ZAIT waren das BaFin-Rundschreiben, das die IT-aufsichtlichen Erwartungen für Zahlungsdienstleister und E-Geld-Institute konkretisierte — das jüngste Mitglied der xAIT-Familie. Sie übertrugen die bewährten Grundsätze zu IT-Sicherheit und Auslagerung auf einen besonders dynamischen, technologiegetriebenen Sektor. Mit der EU-Verordnung DORA wurden sie aufgehoben.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Institutionen

ACSAllianz für Cyber-SicherheitAlliance for Cyber Security (Germany): Die Allianz für Cyber-Sicherheit ist eine vom BSI 2012 gegründete Kooperations-Initiative, die deutsche Unternehmen, Verwaltungen und Forschungseinrichtungen mit staatlichen Stellen zu einem gemeinsamen Informationsraum zusammenschließt. Sie liefert Lagebilder, Handlungsleitfäden und Warnmeldungen und ermöglicht einen vertrauensbasierten Austausch — ohne Zertifizierungs-Overhead und für Partner kostenfrei. Sie ist der niedrigschwellige Einstieg in Deutschlands staatlich-privates Cyber-Sicherheits-Netzwerk.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ACSCAustralisches Cybersicherheitszentrum (Australian Signals Directorate)Australian Cyber Security Centre (Australian Signals Directorate): Das ACSC ist das nationale Cybersicherheitszentrum Australiens und Teil der Australian Signals Directorate (ASD) in Canberra. Es veröffentlicht Alerts zu akut ausgenutzten Schwachstellen, Advisories zu Bedrohungen und Leitfäden wie die Essential Eight. Viele Hinweise entstehen gemeinsam mit den Partnerbehörden der Five Eyes.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ANSSIFranzösische nationale CybersicherheitsbehördeFrench National Cybersecurity Agency: Die ANSSI ist die nationale Cybersicherheitsbehörde Frankreichs. Sie ist zuständig für den Schutz staatlicher und kritischer Informationssysteme, gibt Sicherheitsvorgaben und Zertifizierungen heraus und betreibt das nationale CERT-FR. Innerhalb Europas zählt sie zu den prägenden, technisch besonders einflussreichen Behörden.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
BaFinBundesanstalt für FinanzdienstleistungsaufsichtFederal Financial Supervisory Authority (Germany): Die BaFin ist die deutsche Aufsichtsbehörde für Banken, Versicherer, Kapitalverwaltungs- und Zahlungsdienstleister, gegründet 2002 mit Sitz in Bonn und Frankfurt am Main. Sie überwacht die Stabilität und Integrität des Finanzsektors und hat dafür über Jahre die IT-aufsichtlichen Rundschreiben der xAIT-Familie (BAIT, VAIT, KAIT, ZAIT) erlassen. Mit der EU-Verordnung DORA ist sie zugleich zentrale nationale Aufsicht für die digitale operationale Resilienz.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
BSIBundesamt für Sicherheit in der InformationstechnikFederal Office for Information Security (Germany): Das BSI ist die zentrale deutsche Behörde für Cybersicherheit mit Sitz in Bonn. Es gestaltet Informationssicherheit für Staat, Wirtschaft und Gesellschaft, gibt Standards wie den IT-Grundschutz heraus, betreibt mit CERT-Bund die nationale Vorfallskoordination und ist zentrale Aufsichts-, Registrierungs- und Meldestelle für KRITIS und NIS2. Für deutsche Organisationen ist es die maßgebliche staatliche Referenz.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CERT-BundComputer-Notfallteam des BundesComputer Emergency Response Team of the German Federal Administration: CERT-Bund ist das im BSI angesiedelte Computer-Notfallteam des Bundes. Es beobachtet die Bedrohungslage, warnt über den Warn- und Informationsdienst (WID) vor akuten Schwachstellen und Angriffskampagnen und koordiniert die Reaktion auf Sicherheitsvorfälle in Bundesbehörden und darüber hinaus. Es ist der operative Arm der staatlichen Vorfallsbewältigung in Deutschland.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CERT-FRStaatliches Computer-Notfallteam FrankreichsFrench Governmental Computer Emergency Response Team: CERT-FR ist das von der ANSSI betriebene staatliche Computer-Notfallteam Frankreichs. Es beobachtet Bedrohungen, veröffentlicht Warnungen und Analysen und koordiniert die Reaktion auf Sicherheitsvorfälle mit nationaler Relevanz. Seine technischen Hinweise gelten über Frankreich hinaus als hochwertige Quelle.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CISAUS-Behörde für Cyber- und InfrastruktursicherheitCybersecurity and Infrastructure Security Agency (USA): Die CISA ist die zivile Cybersicherheitsbehörde der USA, angesiedelt im Heimatschutzministerium. Sie schützt kritische Infrastrukturen, koordiniert die nationale Vorfallsbewältigung und betreibt den weltweit beachteten Katalog bekannter ausgenutzter Schwachstellen (KEV). Zudem ist sie der staatliche Sponsor des CVE-Programms.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CJEUGerichtshof der Europäischen UnionCourt of Justice of the European Union: Der Gerichtshof der Europäischen Union (EuGH, engl. CJEU) mit Sitz in Luxemburg legt Unionsrecht verbindlich aus und entscheidet in letzter Instanz über Streitigkeiten zwischen Mitgliedstaaten, EU-Organen und Bürgern. Seine Urteile prägen die praktische Anwendung von DSGVO, DSA und Cybersecurity-Rahmenwerken europaweit.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CJICOBüro für internationale strafjustizielle ZusammenarbeitCriminal Justice International Cooperation Office: Ein CJICO ist die nationale Schnittstelle für internationale strafjustizielle Zusammenarbeit — z. B. bei Rechtshilfeersuchen, Europäischen Ermittlungsanordnungen (EIO) und Notfall-Auskunftsersuchen (EDR) gegenüber ausländischen Anbietern. Die Bezeichnung variiert je nach Mitgliedstaat, die Funktion bleibt konstant.; Detail-Seite öffnen
CNACVE-VergabestelleCVE Numbering Authority: Eine CNA ist eine vom CVE-Programm autorisierte Stelle, die für ihren definierten Zuständigkeitsbereich eigenständig CVE-IDs vergeben darf — etwa ein Hersteller für seine eigenen Produkte. Dieses dezentrale Modell verteilt die Last der Schwachstellen-Erfassung auf viele Schultern. Es ist das organisatorische Rückgrat hinter der scheinbar simplen CVE-Nummer.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
COSOCommittee of Sponsoring Organizations of the Treadway Commission: Committee of Sponsoring Organizations of the Treadway Commission. Herausgeber des Internal Control Framework (2013, fünf Komponenten, 17 Prinzipien) und des ERM Framework (2017).; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EJCNEuropäisches Justiznetzwerk für CyberkriminalitätEuropean Judicial Cybercrime Network: Das European Judicial Cybercrime Network (EJCN) vernetzt bei Eurojust Staatsanwältinnen und Ermittlungsrichter aus allen EU-Mitgliedstaaten, die auf Cyberkriminalität spezialisiert sind. Ziel ist der schnelle fachliche Austausch bei grenzüberschreitenden Ermittlungen — u. a. zu EDR, EIO und elektronischen Beweismitteln.; Detail-Seite öffnen
EJNEuropäisches Justizielles NetzEuropean Judicial Network: Das Europäische Justizielle Netz (EJN) ist ein Netz nationaler Kontaktstellen, das die justizielle Zusammenarbeit in Strafsachen zwischen EU-Mitgliedstaaten erleichtert — insbesondere bei Rechtshilfe und der Vollstreckung von Anordnungen wie der EIO. Kein Ermittlungsapparat, sondern Vermittler und Auskunftsstelle.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ENISAAgentur der Europäischen Union für CybersicherheitEuropean Union Agency for Cybersecurity: Die ENISA ist die Cybersicherheitsagentur der Europäischen Union. Sie unterstützt Mitgliedstaaten und Institutionen mit Expertise, koordiniert europaweite Zusammenarbeit und spielt eine zentrale Rolle bei der Umsetzung von NIS2, dem Cyber Resilience Act und den europäischen Zertifizierungsschemata. Sie ist die fachliche Klammer der EU-Cybersicherheitspolitik.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EuropolEuropäisches Polizeiamt (inkl. EC3)European Union Agency for Law Enforcement Cooperation (incl. EC3): Europol ist die Strafverfolgungsbehörde der Europäischen Union mit Sitz in Den Haag, die die Polizeien der Mitgliedstaaten bei der Bekämpfung schwerer und organisierter Kriminalität unterstützt und vernetzt. Für Cyberkriminalität betreibt Europol das Europäische Zentrum zur Bekämpfung der Cyberkriminalität (EC3). Es ist die zentrale Drehscheibe der EU im Kampf gegen Cybercrime.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
FIRSTInternationaler Verbund von Notfall- und SicherheitsteamsForum of Incident Response and Security Teams: FIRST ist der internationale Dachverband der Vorfallsreaktions- und Sicherheitsteams (CERTs, CSIRTs, PSIRTs). Er fördert die weltweite Zusammenarbeit bei der Bewältigung von Sicherheitsvorfällen und betreut zentrale offene Standards — darunter CVSS, EPSS und das TLP-Modell. Damit prägt FIRST die gemeinsame Sprache der Verteidiger.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
HKCERTComputer-Notfallteam und Koordinationsstelle HongkongsHong Kong Computer Emergency Response Team Coordination Centre: Auch bekannt als: HKCERT/CC; HKCERT ist das Computer-Notfallteam Hongkongs, betrieben vom Hong Kong Productivity Council. Es veröffentlicht Security Bulletins zu Schwachstellen in verbreiteter Software mit eigener Risikostufe von „Low“ bis „Extremely High“, betroffenen Versionen, Lösung und Links auf die Hersteller-Hinweise.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
JPCERT/CCKoordinierungsstelle des japanischen Computer-NotfallteamsJapan Computer Emergency Response Team Coordination Center: JPCERT/CC ist das nationale Computer-Notfallteam Japans mit Sitz in Tokio. Es veröffentlicht Warnhinweise (注意喚起) zu kritischen Schwachstellen, koordiniert die Behebung mit Herstellern und betreibt gemeinsam mit der IPA die Schwachstellendatenbank JVN. Seine Warnhinweise vermerken oft früh, wenn eine Schwachstelle bereits angegriffen wird.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
MSRCMicrosoft-SicherheitsreaktionszentrumMicrosoft Security Response Center: Das MSRC ist die zentrale Stelle bei Microsoft für die Bearbeitung und Veröffentlichung von Sicherheitslücken in Microsoft-Produkten. Es koordiniert die Reaktion auf gemeldete Schwachstellen, vergibt als CNA eigene CVE-IDs und veröffentlicht die monatlichen Sammel-Updates. Angesichts der Verbreitung von Microsoft-Software ist es eine der folgenreichsten herstellereigenen Stellen überhaupt.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
NCSC NZNationales Cybersicherheitszentrum NeuseelandsNational Cyber Security Centre (New Zealand): Das NCSC NZ ist das nationale Cybersicherheitszentrum Neuseelands, angesiedelt beim Government Communications Security Bureau (GCSB) in Wellington. Seit 2023 hat es die Aufgaben von CERT NZ übernommen und veröffentlicht Alerts zu Schwachstellen, die aktiv ausgenutzt werden oder kurz davorstehen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
NCSC UKNationales Cybersicherheitszentrum des Vereinigten KönigreichsNational Cyber Security Centre (United Kingdom): Auch bekannt als: NCSC-UK; Das NCSC UK ist das nationale Cybersicherheitszentrum des Vereinigten Königreichs und Teil des Nachrichtendienstes GCHQ, mit Sitz in London. Es veröffentlicht Warnungen zu ausgenutzten Schwachstellen, gemeinsame Hinweise mit den Partnerbehörden der Five Eyes und technische Malware-Analyseberichte mit Indikatoren.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
NCSC-NLNationales Cybersicherheitszentrum der NiederlandeNational Cyber Security Centre (Netherlands): Das NCSC-NL ist das nationale Cybersicherheitszentrum der Niederlande. Es unterstützt staatliche Stellen und Betreiber kritischer Infrastrukturen mit Lagebild, Warnungen und Vorfallskoordination und ist Teil des europäischen Netzes nationaler Cybersicherheitsstellen. Es gilt als aktiv und international gut vernetzt.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
NISTUS-Institut für Standards und TechnologieNational Institute of Standards and Technology (USA): Das NIST ist die US-amerikanische Normungs- und Technologiebehörde, deren Veröffentlichungen weit über die USA hinaus Maßstäbe setzen. Im Sicherheitsbereich betreibt es die National Vulnerability Database (NVD), gibt das vielbeachtete Cybersecurity Framework heraus und veröffentlicht die einflussreiche Normenreihe der SP-800-Dokumente. Seine Standards prägen die globale Sicherheitspraxis.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
PSIRTProdukt-SicherheitsreaktionsteamProduct Security Incident Response Team: Ein PSIRT ist die herstellerseitige Stelle, die Sicherheitslücken in den eigenen Produkten bearbeitet — von der Entgegennahme einer Meldung über die Behebung bis zur Veröffentlichung eines Advisories. Es ist das Gegenstück zum internen CSIRT, das die eigene Organisation schützt: Ein PSIRT schützt die Kunden des Herstellers. Mit der Produktregulierung gewinnt diese Funktion stark an Bedeutung.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
SANSSANS Institute: Das SANS Institute ist eine der bekanntesten privaten Einrichtungen für Aus- und Weiterbildung sowie Forschung im Bereich Informationssicherheit. Es bietet praxisnahe Schulungen und Zertifizierungen an, veröffentlicht weithin genutzte Leitfäden und betreibt mit dem Internet Storm Center eine aktive Lagebeobachtung. Im Gegensatz zu den staatlichen Stellen ist es ein kommerzieller, aber fachlich angesehener Akteur.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
SingCERTSingapurisches Computer-Notfallteam (Cyber Security Agency of Singapore)Singapore Computer Emergency Response Team (Cyber Security Agency of Singapore): Auch bekannt als: CSA Singapore; SingCERT ist das nationale Computer-Notfallteam Singapurs und gehört zur Cyber Security Agency of Singapore (CSA). Es veröffentlicht Alerts zu akuten, oft bereits ausgenutzten Schwachstellen und Advisories zu Bedrohungen und Schutzmaßnahmen, jeweils mit Hintergrund, betroffenen Produkten und Empfehlungen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ZACZentrale Ansprechstellen CybercrimeCentral Cybercrime Contact Points (Germany): Die Zentralen Ansprechstellen Cybercrime (ZAC) sind die polizeilichen Kontaktstellen des Bundes und der Länder, an die sich Unternehmen und Institutionen bei IT-Sicherheitsvorfällen wenden können. Sie nehmen Vorfälle entgegen, beraten und leiten erste strafverfolgende Maßnahmen ein. Für die Wirtschaft sind sie der direkte Draht zur Polizei im Cyber-Ernstfall.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Daten-Quellen

abuse.chGemeinnützige Threat-Intelligence-Quelleabuse.ch — Community Threat Intelligence: abuse.ch ist eine im akademischen Umfeld der Schweiz betriebene, gemeinnützige Initiative, die frei nutzbare Threat-Intelligence-Dienste bereitstellt. Über mehrere Plattformen sammelt und teilt sie Indikatoren zu Schadsoftware, Steuerservern und bösartigen Dateien. Sie zählt zu den am breitesten genutzten offenen Quellen der Verteidiger-Gemeinschaft.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CrowdSecKollaborative Angriffserkennung und -abwehrCrowdSec — Collaborative Intrusion Prevention: CrowdSec ist eine quelloffene Lösung zur verhaltensbasierten Angriffserkennung und -abwehr, deren Besonderheit die kollektive Komponente ist: Teilnehmende Installationen teilen Signale über bösartige Adressen und speisen so eine gemeinschaftliche Sperrliste. Wer einmal irgendwo auffällig wird, kann vielerorts blockiert werden. Das Modell überträgt den Schwarm-Gedanken auf die Netzabwehr.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EUVDSchwachstellendatenbank der Europäischen UnionEuropean Union Vulnerability Database: Die EUVD ist die von der ENISA betriebene Schwachstellendatenbank der Europäischen Union. Sie führt öffentlich verfügbare Informationen zu Schwachstellen aus vielen Quellen zusammen — darunter das CVE-Programm und der KEV-Katalog — und vergibt eigene EUVD-Kennungen. Sie ist als europäische, souveräne Ergänzung der etablierten Quellen angelegt, nicht als deren Ersatz.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
MalpediaEnzyklopädie für SchadsoftwareMalpedia — Malware Encyclopedia: Malpedia ist eine kuratierte, frei zugängliche Wissensbasis zu Schadsoftware-Familien, betrieben am Fraunhofer FKIE. Sie bündelt strukturierte Informationen, Referenzen und Erkennungsmerkmale und schafft so eine gemeinsame, konsistente Benennung von Malware. Für Analyse und Threat Intelligence ist sie ein verlässliches Nachschlagewerk.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
NVDUS-amerikanische SchwachstellendatenbankNational Vulnerability Database (USA): Die NVD ist die vom US-amerikanischen NIST betriebene Schwachstellendatenbank, die CVE-Einträge um Bewertungen, Produktzuordnungen (CPE) und Klassifikationen (CWE) anreichert. Sie war über Jahre die globale Standardreferenz für angereicherte Schwachstellendaten. Seit 2024 kämpft sie jedoch mit einem erheblichen Bearbeitungsrückstand.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
OSVSchwachstellendatenbank für Open-Source-SoftwareOpen Source Vulnerabilities: OSV ist eine offene Schwachstellendatenbank und ein zugehöriges Datenschema mit Fokus auf Open-Source-Abhängigkeiten. Statt an Produktnamen knüpft OSV präzise an Paketversionen in den jeweiligen Sprach-Ökosystemen an und beantwortet so die Frage, ob eine konkrete Abhängigkeit betroffen ist. Für die Sicherheit der Software-Lieferkette ist das ein entscheidender Unterschied.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
OTXOffene Plattform zum Austausch von BedrohungsdatenOpen Threat Exchange: OTX ist eine offene, community-getriebene Plattform zum Austausch von Bedrohungsdaten, ursprünglich von AlienVault begründet. Nutzer teilen sogenannte Pulses — gebündelte Indikatoren zu einer Kampagne oder Bedrohung — und können sie in eigene Werkzeuge übernehmen. OTX gehört zu den bekanntesten frei zugänglichen Sammelpunkten für Indikatoren.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
VirusTotalMulti-Engine-Analysedienst für Dateien und URLsVirusTotal: VirusTotal ist ein weit verbreiteter Online-Dienst, der eingereichte Dateien und URLs mit zahlreichen Erkennungs-Engines gleichzeitig prüft und das Ergebnis zusammenführt. Darüber hinaus dient er als riesige, durchsuchbare Wissensbasis über bereits gesehene Artefakte und ihre Beziehungen. Für die schnelle Ersteinschätzung verdächtiger Objekte ist er ein Standardwerkzeug.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
WIDWarn- und Informationsdienst des CERT-BundWarning and Information Service (CERT-Bund): Der WID ist der Warn- und Informationsdienst des CERT-Bund im BSI. Er veröffentlicht strukturierte Warnmeldungen zu Schwachstellen in verbreiteten Produkten, jeweils mit Einstufung, betroffenen Versionen und Handlungsempfehlungen. Für deutschsprachige Organisationen ist er eine verlässliche, behördliche Frühwarnquelle.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Konzepte

AIKünstliche IntelligenzArtificial Intelligence: Künstliche Intelligenz bezeichnet Verfahren, mit denen Maschinen Aufgaben lösen, die bislang menschliche Urteilskraft erforderten — etwa Muster in großen Datenmengen erkennen oder Sprache verarbeiten. In der Cybersicherheit wirkt KI in beide Richtungen: Sie verbessert Erkennung und Triage, befähigt aber zugleich Angreifer. Sie ist Werkzeug und Bedrohung in einem.; Detail-Seite öffnen
Air GapAir Gap (physische Netztrennung)Air Gap: Ein Air Gap ist die vollständige physische Trennung eines Systems oder Netzes von allen anderen Netzen, insbesondere vom Internet. Die Idee: Was nicht verbunden ist, kann auch nicht aus der Ferne angegriffen werden. In der Praxis ist diese Trennung jedoch seltener und durchlässiger, als viele annehmen.; Detail-Seite öffnen
APTFortgeschrittene, andauernde BedrohungAdvanced Persistent Threat: Ein APT ist ein gut ausgestatteter, zielgerichteter Angreifer, der sich dauerhaft und möglichst unentdeckt in einem Netzwerk festsetzt, statt schnellen Schaden zu suchen. Charakteristisch sind Geduld, maßgeschneidertes Vorgehen und oft staatliche oder kriminelle Ressourcen im Hintergrund. Der Begriff beschreibt weniger eine einzelne Technik als ein Bedrohungsprofil.; Detail-Seite öffnen
APT-LifecycleLebenszyklus eines gezielten AngriffsAPT Lifecycle / Cyber Kill Chain: Der APT-Lebenszyklus beschreibt die typischen Phasen eines gezielten Angriffs — von der Aufklärung über den Erstzugang und das Festsetzen bis zur lateralen Bewegung und zum eigentlichen Ziel. Solche Modelle machen sichtbar, dass ein Angriff kein einzelner Moment, sondern eine Abfolge ist. Jede Phase bietet eine Chance zur Erkennung und Unterbrechung.; Detail-Seite öffnen
ARErweiterte RealitätAugmented Reality: Augmented Reality (AR) ergänzt die reale Wahrnehmung um digitale Einblendungen — Text, Bilder, 3D-Objekte — meist über Smartphone, Tablet oder AR-Brille. Im Sicherheitskontext relevant, weil AR-Sitzungen Standort-, Sensor- und Kameradaten mit externen Diensten teilen und damit neue Datenschutz- und Angriffsflächen eröffnen.; Detail-Seite öffnen
BCMBetriebliches Kontinuitätsmanagement / NotfallmanagementBusiness Continuity Management: BCM ist die organisierte Vorsorge, die sicherstellt, dass ein Unternehmen auch während und nach einer schweren Störung — etwa einem Cyberangriff — handlungsfähig bleibt und kritische Abläufe aufrechterhalten oder schnell wiederherstellen kann. Es beantwortet die Frage „Was tun wir, wenn es trotzdem passiert?“. Spätestens Ransomware hat BCM aus der Theorie in die gelebte Praxis gezwungen.; Detail-Seite öffnen
Bug BountyBelohnungsprogramm für SchwachstellenmeldungenBug Bounty Programme: Ein Bug-Bounty-Programm lädt externe Sicherheitsforscher ein, Schwachstellen in definierten Systemen zu suchen, und belohnt verantwortungsvoll gemeldete Funde finanziell. Es macht aus potenziellen Angreifern verbündete Tester und nutzt die Schwarmintelligenz der Forschungsgemeinschaft. Voraussetzung ist ein klarer Rahmen, der erlaubtes Vorgehen und Belohnungen festlegt.; Detail-Seite öffnen
C2Steuerung kompromittierter SystemeCommand and Control: C2 bezeichnet die Infrastruktur und Kommunikation, über die ein Angreifer kompromittierte Systeme fernsteuert — Befehle erteilt, Daten abzieht und weitere Schadsoftware nachlädt. Sie ist die Nabelschnur zwischen Angreifer und Opfer. Ihre Erkennung ist einer der wirksamsten Hebel, um einen laufenden Angriff zu stoppen.; Detail-Seite öffnen
CVDKoordinierte Offenlegung von SchwachstellenCoordinated Vulnerability Disclosure: CVD bezeichnet das abgestimmte Vorgehen, bei dem der Finder einer Schwachstelle und der betroffene Hersteller die Veröffentlichung gemeinsam steuern: erst beheben, dann offenlegen. Ziel ist, Nutzer zu schützen, ohne Angreifern unnötig Zeitvorsprung zu verschaffen. CVD ist der heute breit akzeptierte Mittelweg zwischen sofortiger Geheimhaltung und sofortiger Vollveröffentlichung.; Detail-Seite öffnen
Detektive Kontrolle: Kontrolle, die ein Ereignis nach Eintritt erkennt, etwa ein SIEM-Alarm. Ergänzt präventive und korrektive Kontrollen.; Detail-Seite öffnen
EUEuropäische UnionEuropean Union: Die Europäische Union (EU) ist der Staatenverbund aus 27 europäischen Mitgliedstaaten mit gemeinsamem Binnenmarkt und einem harmonisierten Regelwerk auch im Digitalbereich — u. a. DSGVO, NIS2, DORA, DSA und CRA. Für Sicherheitsteams heißt das: Vorgaben sind länderübergreifend, Durchsetzung erfolgt national.; Detail-Seite öffnen
Evidenz: Nachweis, dass eine Kontrolle ausgeführt wurde: Log, Ticket, Freigabe, Bericht. Ohne Evidenz gilt eine Kontrolle für den Prüfer als nicht vorhanden.; Detail-Seite öffnen
Full DisclosureSofortige Vollveröffentlichung von SchwachstellenFull Disclosure: Full Disclosure bezeichnet die Praxis, alle Details einer Schwachstelle sofort und vollständig öffentlich zu machen — ohne Schonfrist für den Hersteller. Die Befürworter argumentieren mit Transparenz und maximalem Druck zur schnellen Behebung; Kritiker verweisen auf das Risiko, Angreifern eine fertige Vorlage zu liefern. Es ist der radikale Gegenpol zur koordinierten Offenlegung.; Detail-Seite öffnen
HashverfahrenKryptografisches HashverfahrenCryptographic Hash Function: Ein Hashverfahren bildet beliebige Daten auf einen Wert fester Länge ab — den Hash oder Fingerabdruck. Gute kryptografische Hashverfahren sind praktisch nicht umkehrbar, und schon eine winzige Änderung der Eingabe ändert den Hash vollständig. Diese Eigenschaften machen sie zum Werkzeug für Integritätsprüfung, Wiedererkennung und forensische Beweissicherung.; Detail-Seite öffnen
HDDMagnetische FestplatteHard Disk Drive: Eine HDD ist ein magnetisches Speichermedium mit rotierenden Scheiben und beweglichen Schreib-/Leseköpfen. In der IT-Forensik ist sie besonders dankbar: Gelöschte Daten bleiben oft physisch erhalten, bis sie überschrieben werden, sodass sich vieles rekonstruieren lässt. Im Vergleich zur SSD ist ihr Verhalten für die Beweissicherung berechenbarer.; Detail-Seite öffnen
HoneypotKöder- bzw. TäuschungssystemHoneypot: Ein Honeypot ist ein bewusst verwundbar oder attraktiv wirkendes Köder-System, das keinen produktiven Zweck hat — und genau deshalb ein wertvolles Frühwarnsignal ist: Jede Interaktion damit ist verdächtig. Honeypots dienen dazu, Angreifer anzulocken, ihr Vorgehen zu studieren und Angriffe früh zu erkennen. Sie sind ein klassisches Mittel der Täuschungstechnik (Deception).; Detail-Seite öffnen
HoneytokenHoneytoken (Köder-Artefakt)Honeytoken: Ein Honeytoken ist ein bewusst platzierter digitaler Köder — etwa eine gefälschte Zugangsdatei, ein Lockvogel-Datensatz oder ein präparierter Link —, der keinerlei legitimen Zweck hat und allein dazu dient, Alarm zu schlagen, sobald ihn jemand berührt. Jede Nutzung ist per Definition verdächtig. Honeytokens sind die kleinste, eleganteste Form der Täuschungstechnik.; Detail-Seite öffnen
IACSIndustrielle Automatisierungs- und SteuerungssystemeIndustrial Automation and Control Systems: IACS ist der Oberbegriff für die Gesamtheit der Systeme, die industrielle Prozesse automatisieren und steuern — von Sensoren und Steuerungen über Leitsysteme bis zu den zugehörigen Netzen. Er umfasst die engeren Begriffe ICS, SCADA und DCS. IACS ist der Bezugsrahmen, auf den sich die Sicherheitsnormenreihe IEC 62443 ausdrücklich bezieht.; Detail-Seite öffnen
ICSIndustrielle SteuerungssystemeIndustrial Control Systems: ICS bezeichnet die Steuerungssysteme, die industrielle Prozesse überwachen und regeln — etwa in Fertigung, Energieversorgung oder Wasserwirtschaft. Dazu gehören Komponenten wie speicherprogrammierbare Steuerungen (PLC), Leitsysteme (SCADA, DCS) und Bedienoberflächen (HMI). Anders als in der Büro-IT geht es hier um die direkte Steuerung physischer Vorgänge.; Detail-Seite öffnen
IKSInternes KontrollsystemInternal Control System: Internes Kontrollsystem: Gesamtheit der Maßnahmen, mit denen ein Unternehmen Ziele sichert, Risiken steuert und Vorgaben einhält – und das nachweisen kann. Maßgeblicher Rahmen ist COSO.; Detail-Seite öffnen
IoCKompromittierungsindikatorIndicator of Compromise: Ein IoC ist ein konkretes, beobachtbares Artefakt, das auf eine Kompromittierung hindeutet — etwa eine schädliche IP-Adresse, eine Domain, ein Datei-Hash oder ein verdächtiger Registry-Eintrag. IoCs sind die handfeste Währung der Threat Intelligence: Sie lassen sich teilen und automatisiert gegen die eigene Umgebung abgleichen. Sie beschreiben jedoch die Spur, nicht das Verhalten.; Detail-Seite öffnen
ITGCIT General Controls: IT General Controls: übergreifende IT-Kontrollen zu Zugriff, Änderung, Betrieb und Entwicklung. Grundlage aller Anwendungskontrollen.; Detail-Seite öffnen
Key Control: Kontrolle, deren Ausfall ein wesentliches Risiko unbeherrscht ließe. Key Controls werden vorrangig getestet und dokumentiert.; Detail-Seite öffnen
KIKünstliche IntelligenzArtificial Intelligence (German term): KI ist der deutsche Begriff für Künstliche Intelligenz (engl. AI) — Verfahren, mit denen Maschinen Aufgaben übernehmen, die zuvor menschliche Urteilskraft verlangten. In der Cybersicherheit ist KI Werkzeug und Bedrohung zugleich. Über die Technik hinaus gewinnt in Europa die regulatorische Einordnung an Bedeutung.; Detail-Seite öffnen
Lateral MovementLaterale BewegungLateral Movement: Lateral Movement bezeichnet die Phase eines Angriffs, in der sich ein Eindringling vom ersten kompromittierten System aus seitwärts durch das Netz bewegt, um an wertvollere Ziele und höhere Rechte zu gelangen. Der erste Treffer ist selten das eigentliche Ziel. Diese Ausbreitung sichtbar zu machen, ist eine der wichtigsten Aufgaben der Erkennung.; Detail-Seite öffnen
LEAStrafverfolgungsbehördeLaw Enforcement Agency: Eine Law Enforcement Agency (LEA) ist eine staatliche Behörde mit Ermittlungs- und Durchsetzungsbefugnissen bei Straftaten — in Deutschland etwa BKA, LKAs, Zollfahndung. Für Diensteanbieter relevant, weil LEAs Bestandsdaten-, Nutzungsdaten- und Herausgabeersuchen stellen können; die formale Grundlage entscheidet, was ausgeliefert werden darf.; Detail-Seite öffnen
Living off the LandLiving off the Land (Leben vom Land)Living off the Land (LotL): Living off the Land bezeichnet eine Angriffstechnik, bei der die Angreifer keine eigene Schadsoftware mitbringen, sondern die bereits vorhandenen, legitimen Bordmittel des Systems missbrauchen — etwa Verwaltungswerkzeuge und Skriptsprachen des Betriebssystems. So tarnen sie sich als normaler Betrieb. Genau das macht sie für klassische Virenschutzlösungen so schwer fassbar.; Detail-Seite öffnen
MFAMehrfaktorauthentisierungMulti-Factor Authentication: MFA verlangt beim Anmelden mehr als nur ein Passwort: Zusätzlich ist mindestens ein weiterer, unabhängiger Faktor nötig — etwa ein Code aus einer App, ein Hardware-Schlüssel oder ein biometrisches Merkmal. Selbst wenn ein Passwort gestohlen wird, bleibt der Zugang so versperrt. MFA ist eine der wirksamsten Einzelmaßnahmen gegen Kontoübernahmen.; Detail-Seite öffnen
OSINTOpen Source Intelligence: OSINT ist die Gewinnung von Erkenntnissen aus frei und öffentlich zugänglichen Quellen — Webseiten, Register, soziale Medien, technische Datenbanken und mehr. Sie ist legal und nutzt ausschließlich, was ohnehin offen verfügbar ist. Sowohl Verteidiger als auch Angreifer betreiben OSINT — nur mit umgekehrtem Vorzeichen.; Detail-Seite öffnen
OTBetriebstechnikOperational Technology: OT bezeichnet die Hard- und Software, die physische Prozesse und Anlagen direkt überwacht und steuert — im Gegensatz zur klassischen, datenverarbeitenden IT. Dazu gehören Steuerungen, Sensoren und Leitsysteme in Produktion, Energie, Wasser oder Gebäudetechnik. In der OT zählt zuerst die Verfügbarkeit und die Sicherheit des physischen Prozesses.; Detail-Seite öffnen
PentestPenetrationstestPenetration Test: Ein Penetrationstest ist ein beauftragter, kontrollierter Angriff auf ein System, um ausnutzbare Schwachstellen aufzudecken, bevor es echte Angreifer tun. Anders als ein automatisierter Schwachstellenscan kombiniert er Werkzeuge mit menschlicher Kreativität und Verkettung mehrerer Schwächen. Das Ergebnis ist eine belegte Aussage darüber, was ein Angreifer tatsächlich erreichen könnte.; Detail-Seite öffnen
PIIPersonenbezogene bzw. personenidentifizierende DatenPersonally Identifiable Information: PII bezeichnet Informationen, mit denen sich eine konkrete Person identifizieren lässt — direkt (Name, Ausweisnummer) oder in Kombination mehrerer Merkmale. In Europa ist der weiter gefasste Begriff der personenbezogenen Daten der DSGVO maßgeblich. Der Schutz solcher Daten ist nicht nur Sicherheits-, sondern auch Rechtspflicht.; Detail-Seite öffnen
Plausible DeniabilityGlaubhafte AbstreitbarkeitPlausible Deniability: Plausible Deniability bezeichnet die Eigenschaft eines Systems, die Existenz bestimmter Daten glaubhaft bestreiten zu können — etwa durch verborgene, verschlüsselte Bereiche, deren Vorhandensein sich nicht nachweisen lässt. Das Konzept stammt aus der Kryptografie und der Verschleierung. In der Forensik ist es eine Herausforderung, weil es gezielt Beweisbarkeit untergräbt.; Detail-Seite öffnen
Red TeamAngreiferteam zur realistischen SicherheitsprüfungRed Team: Ein Red Team simuliert einen realistischen Angreifer mit einem konkreten Ziel — etwa Zugriff auf eine bestimmte Information — und nutzt dabei alle Wege: Technik, Mensch und Prozess. Anders als ein Pentest, der Schwachstellen in einem Scope auflistet, prüft das Red Team die Erkennungs- und Reaktionsfähigkeit der Verteidiger im Ganzen. Es geht um die Frage: Würden wir es überhaupt merken?; Detail-Seite öffnen
Responsible DisclosureVerantwortungsvolle OffenlegungResponsible Disclosure: Responsible Disclosure bezeichnet die Praxis, eine gefundene Schwachstelle zunächst vertraulich dem Hersteller zu melden und ihm Zeit zur Behebung zu geben, bevor Details veröffentlicht werden. Sie ist der ältere Begriff für das, was heute meist als koordinierte Offenlegung (CVD) bezeichnet wird. Der Kerngedanke: Nutzer schützen, statt mit dem Fund zu glänzen.; Detail-Seite öffnen
SandboxIsolierte AusführungsumgebungSandbox: Eine Sandbox ist eine abgeschottete Umgebung, in der sich verdächtiger Code gefahrlos ausführen und beobachten lässt, ohne das produktive System zu gefährden. Sie ist ein zentrales Werkzeug der dynamischen Malware-Analyse: Statt eine Datei nur statisch zu prüfen, sieht man, was sie tatsächlich tut. Zugleich ist Sandboxing ein Schutzprinzip moderner Software.; Detail-Seite öffnen
SHA-256Sicheres Hashverfahren mit 256 BitSecure Hash Algorithm 256-bit: SHA-256 ist ein weit verbreitetes kryptografisches Hashverfahren aus der SHA-2-Familie, das aus beliebigen Daten einen 256 Bit langen Fingerabdruck erzeugt. Es gilt nach heutigem Stand als sicher und ist der De-facto-Standard für Integritätsprüfung, digitale Signaturen und die Identifikation von Dateien. In der Forensik ist es das übliche Verfahren zur Beweissicherung.; Detail-Seite öffnen
SOCSicherheits-Leitstand / Security Operations CenterSecurity Operations Center: Ein SOC ist die Kombination aus Menschen, Prozessen und Technik, die Sicherheitsereignisse kontinuierlich überwacht, Vorfälle erkennt, bewertet und die Reaktion steuert. Es ist der organisatorische Ort, an dem aus SIEM-Alarmen tatsächliche Entscheidungen und Gegenmaßnahmen werden. Maßgebliche Kennzahlen sind die mittlere Zeit bis zur Erkennung (MTTD) und bis zur Reaktion (MTTR).; Detail-Seite öffnen
SPoCZentrale AnlaufstelleSingle Point of Contact: Ein Single Point of Contact (SPoC) ist eine für einen bestimmten Zweck benannte zentrale Anlaufstelle — im Justizkontext etwa die nationale Stelle, an die ausländische Behörden EIO- oder EDR-Ersuchen richten. Vorteil: klare Zuständigkeit, kürzere Reaktionszeiten, weniger Fehl-Adressierung.; Detail-Seite öffnen
SSDHalbleiterlaufwerkSolid State Drive: Eine SSD speichert Daten in Flash-Speicherzellen ohne bewegliche Teile und ist damit schneller und robuster als eine magnetische Festplatte. Für die Forensik bringt sie jedoch eine Tücke mit: Mechanismen wie TRIM und interne Speicherverwaltung können gelöschte Daten eigenständig und schnell endgültig vernichten. Das macht die Beweissicherung anspruchsvoller als bei einer HDD.; Detail-Seite öffnen
SteganographieVerbergen von Informationen in unverdächtigen TrägernSteganography: Steganographie ist die Kunst, Informationen so zu verbergen, dass schon ihre bloße Existenz unerkannt bleibt — etwa indem Daten unsichtbar in einem Bild, einer Audiodatei oder einem Dokument eingebettet werden. Anders als die Verschlüsselung, die den Inhalt unlesbar macht, versteckt die Steganographie die Botschaft selbst. Beide Techniken lassen sich auch kombinieren.; Detail-Seite öffnen
Threat HuntingThreat Hunting (proaktive Bedrohungssuche)Threat Hunting: Threat Hunting ist die proaktive, hypothesengeleitete Suche nach Angreifern, die bereits im Netz sind, aber von automatischen Alarmen noch nicht erfasst wurden. Statt auf einen Alarm zu warten, geht der Hunter aktiv auf die Jagd nach verdächtigen Spuren. Es ist die Antwort auf die Erkenntnis, dass kein Erkennungssystem alles fängt.; Detail-Seite öffnen
Threat IntelligenceCyber Threat IntelligenceCyber Threat Intelligence (CTI): Threat Intelligence ist aufbereitetes Wissen über Bedrohungen — über Angreifer, ihre Werkzeuge, Vorgehensweisen und Indikatoren —, das aus Rohdaten zu handlungsrelevanten Erkenntnissen verdichtet wird. Sie beantwortet nicht nur „Was ist passiert?“, sondern „Wer bedroht uns wie, und was tun wir dagegen?“. Gute Threat Intelligence verwandelt Daten in Entscheidungen.; Detail-Seite öffnen
TTPTaktiken, Techniken und ProzedurenTactics, Techniques, and Procedures: TTP steht für Tactics, Techniques and Procedures — die Beschreibung des Verhaltens von Angreifern auf drei Ebenen: das übergeordnete Ziel (Taktik), die Methode dorthin (Technik) und die konkrete Umsetzung (Prozedur). TTPs beschreiben, wie ein Angreifer arbeitet, nicht bloß welche Werkzeuge er nutzt. Genau deshalb sind sie so aussagekräftig und schwer zu fälschen.; Detail-Seite öffnen
USVereinigte Staaten von AmerikaUnited States of America: Die Vereinigten Staaten von Amerika (US, USA) sind Sitz vieler Diensteanbieter, deren Daten unter US-Recht stehen — u. a. dem CLOUD Act, der US-Behörden unter Bedingungen extraterritorialen Zugriff auf Daten US-basierter Anbieter erlaubt. Für europäische Kunden ist das rechtlich relevant, insbesondere im Zusammenspiel mit DSGVO und EDR-Verfahren.; Detail-Seite öffnen
VerschlüsselungVerschlüsselungEncryption: Verschlüsselung wandelt lesbare Daten mithilfe eines Schlüssels in eine unlesbare Form um, sodass nur Befugte mit dem passenden Schlüssel sie wieder entschlüsseln können. Sie ist das grundlegende Werkzeug, um Vertraulichkeit zu schützen — bei der Übertragung wie bei der Speicherung. Ohne sie gäbe es kein sicheres Internet und keinen wirksamen Datenschutz.; Detail-Seite öffnen
VEXVulnerability Exploitability eXchange: VEX ist ein maschinenlesbares Format, mit dem ein Hersteller mitteilt, ob ein Produkt von einer bestimmten Schwachstelle tatsächlich betroffen und ausnutzbar ist — oder eben nicht. Es ist die wichtigste Ergänzung zur SBOM, weil es die Flut potenzieller Treffer auf die wirklich relevanten reduziert. Es beantwortet die Frage „Betrifft mich das überhaupt?“.; Detail-Seite öffnen
VRVirtuelle RealitätVirtual Reality: Virtual Reality (VR) ersetzt die reale Umgebung vollständig durch eine computergenerierte, meist über ein Headset. Sicherheitsrelevant ist der Datenreichtum: VR-Sitzungen erheben Bewegungs-, Blick- und Biometriedaten, die sich zu einer eindeutigen Nutzersignatur verdichten lassen — mit entsprechenden Datenschutz- und Missbrauchsrisiken.; Detail-Seite öffnen
WazuhQuelloffene SicherheitsplattformWazuh — Open Source Security Platform: Wazuh ist eine verbreitete quelloffene Sicherheitsplattform, die Funktionen von SIEM und endpunktbasierter Erkennung (XDR) vereint. Über Agenten sammelt sie Ereignisse von Servern, Endpunkten und Cloud-Diensten, wertet sie regelbasiert aus und unterstützt u. a. Integritätsüberwachung, Schwachstellenerkennung und Compliance-Nachweise. Als Open Source ist sie ohne Lizenzkosten einsetzbar.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
YARAMustererkennung für SchadsoftwareYARA — Pattern Matching for Malware: YARA ist ein offenes Werkzeug und eine Regelsprache, mit der sich Schadsoftware anhand charakteristischer Muster — Textfragmente, Byte-Folgen, struktureller Merkmale — beschreiben und wiedererkennen lässt. Analysten formulieren Regeln, die eine Malware-Familie identifizieren, und können damit ganze Datei- oder Speicherbestände durchsuchen. YARA gilt als Standardwerkzeug der Malware-Analyse.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
Zero DayZero-Day-SchwachstelleZero-Day Vulnerability / Exploit: Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke, die den Verteidigern (oder dem Hersteller) noch unbekannt ist und für die es daher noch keinen Patch gibt. Der Name rührt daher, dass dem Hersteller „null Tage“ zur Behebung blieben, bevor sie ausgenutzt wurde. Sie ist besonders gefährlich, weil klassische Abwehr auf Bekanntes ausgerichtet ist.; Detail-Seite öffnen
Zero TrustZero Trust / Zero-Trust-ArchitekturZero Trust / Zero Trust Architecture (ZTA): Zero Trust ist ein Sicherheitsmodell, das mit der Annahme bricht, alles innerhalb des eigenen Netzes sei vertrauenswürdig. Der Leitsatz lautet „never trust, always verify“: Jeder Zugriff wird einzeln, kontextabhängig und fortlaufend geprüft — unabhängig davon, ob er von innen oder außen kommt. Schutz richtet sich nicht mehr an der Netzgrenze aus, sondern an den einzelnen Ressourcen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Marker / Klassifikation

KEVKatalog bekannter ausgenutzter SchwachstellenKnown Exploited Vulnerabilities Catalog: Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Eine Schwachstelle im KEV ist kein theoretisches Risiko mehr.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
TLPAmpel-Protokoll zur Einstufung der WeitergabeTraffic Light Protocol: Das Traffic Light Protocol ist ein einfaches, international anerkanntes Farbschema, das festlegt, wie weit eine geteilte Information weitergegeben werden darf. Mit vier Stufen — von „nur für Empfänger“ bis „frei“ — schafft es eine gemeinsame Sprache für den vertraulichen Austausch von Bedrohungsdaten. Es regelt nicht den Inhalt, sondern den erlaubten Empfängerkreis.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
TLP:AMBERTLP-Stufe Gelb — begrenzte WeitergabeTLP:AMBER: TLP:AMBER kennzeichnet Informationen, die nur eingeschränkt weitergegeben werden dürfen — innerhalb der eigenen Organisation und an Kunden oder Klienten, die zum Schutz handeln müssen. Es ist die Stufe für sensible Bedrohungsdaten, die Wirkung entfalten sollen, ohne öffentlich zu werden. Die Verschärfung TLP:AMBER+STRICT begrenzt die Weitergabe auf die eigene Organisation.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
TLP:GREENTLP-Stufe Grün — Weitergabe in der CommunityTLP:GREEN: TLP:GREEN kennzeichnet Informationen, die innerhalb der eigenen Community oder Branche frei geteilt werden dürfen, aber nicht über öffentliche Kanäle verbreitet werden sollen. Es ist die Stufe für Erkenntnisse, von denen ein breiterer Kreis Gleichgesinnter profitieren soll, ohne dass sie der Allgemeinheit — und damit potenziellen Angreifern — offen zugänglich werden.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
TLP:REDTLP-Stufe Rot — keine WeitergabeTLP:RED: TLP:RED ist die strengste Stufe: Die Information ist ausschließlich für die unmittelbar anwesenden oder direkt angesprochenen Empfänger bestimmt und darf an niemanden sonst weitergegeben werden — auch nicht innerhalb der eigenen Organisation. Sie ist für hochsensible Erkenntnisse reserviert, deren Bekanntwerden unmittelbaren Schaden anrichten könnte.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
TLP:WHITETLP-Stufe Weiß bzw. Clear — frei verteilbarTLP:WHITE (now TLP:CLEAR): TLP:WHITE — in der aktuellen Fassung in TLP:CLEAR umbenannt — kennzeichnet Informationen ohne Weitergabebeschränkung: Sie dürfen frei, auch öffentlich, verbreitet werden. Üblich sind dabei die normalen Regeln zu Urheberrecht und korrekter Quellenangabe. Es ist die niedrigste Vertraulichkeitsstufe des Ampel-Protokolls.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Forensik & DFIR

AI Act: Auch bekannt als: KI-Verordnung, Verordnung (EU) 2024/1689; EU-Verordnung über künstliche Intelligenz mit risikobasierten Pflichten für Anbieter und Betreiber; für Strafverfolgung und Beweisanalyse gelten gesonderte Hochrisiko-Regeln und Transparenzpflichten.; Detail-Seite öffnen
Anti-Forensik: Auch bekannt als: Spurenverwischung, Anti-Forensics; Techniken von Angreifern, Spuren zu löschen, zu verfälschen oder Analysewerkzeuge in die Irre zu führen – etwa Log-Manipulation, Zeitstempelfälschung, Verschlüsselung und speicherresidente Schadsoftware.; Detail-Seite öffnen
Beweismittelkette: Auch bekannt als: Chain of Custody, CoC, Beweiskette; Lückenlose Dokumentation, wer ein Beweismittel wann, wo und wie übernommen, verwahrt, verändert oder weitergegeben hat.; Detail-Seite öffnen
Black-Box-Problem: Auch bekannt als: Nicht-auditierbare KI-Ausgabe; Situation, in der ein KI-System ein Ergebnis liefert, ohne dass der Weg dorthin nachvollzogen werden kann – forensisch unbrauchbar, selbst wenn das Ergebnis statistisch richtig ist.; Detail-Seite öffnen
CEPOL: Auch bekannt als: Agentur der EU für die Aus- und Fortbildung auf dem Gebiet der Strafverfolgung; EU-Agentur für Polizeiausbildung; baut mit der Expertise Development Training Modality ein mehrstufiges Programm zur rechtmäßigen Entschlüsselung auf.; Detail-Seite öffnen
Cloud-Forensik: Auch bekannt als: Cloud Forensics; Forensische Sicherung und Analyse in Umgebungen, deren Hardware ein Anbieter kontrolliert, in denen Daten verteilt gespeichert und automatisch gelöscht werden können.; Detail-Seite öffnen
CWA 17865:2022: Auch bekannt als: Mobile Forensic Tool Checklist; CEN-CENELEC-Workshop-Vereinbarung mit Anforderungen an eine durchgängige mobile forensische Untersuchungskette und einer Checkliste zur Auswahl von Werkzeugen.; Detail-Seite öffnen
DFIRDigitale Forensik und Reaktion auf SicherheitsvorfälleDigital Forensics and Incident Response: Verbindung von forensischer Beweissicherung und Vorfallsbewältigung in einem Vorgehen, damit Eindämmung und spätere Nachweisbarkeit sich nicht gegenseitig zerstören.; Detail-Seite öffnen
Digital Forensics as a Service: Auch bekannt als: DFaaS, Hansken; Bereitstellung forensischer Analysekapazität als zentraler Dienst statt als lokale Werkzeuginstallation; Vorbild ist die Plattform Hansken des Niederländischen Forensischen Instituts.; Detail-Seite öffnen
Digitale Forensik: Auch bekannt als: Digital Forensics, IT-Forensik, Computerforensik; Anwendung informatischer Methoden und ermittlungstechnischer Verfahren auf digitale Spuren, so dass Ergebnisse nachvollziehbar, wiederholbar und vor Gericht verwertbar sind.; Detail-Seite öffnen
EACTDA: Auch bekannt als: European Anti-Cybercrime Technology Development Association; Europäischer Verein, der Werkzeuge aus EU-Forschungsprojekten für Strafverfolgungsbehörden weiterentwickelt, pflegt und über die Europol-Repositorien verteilt.; Detail-Seite öffnen
EC3: Auch bekannt als: European Cybercrime Centre, Europol EC3; Zentrum für Cyberkriminalität bei Europol in Den Haag; koordiniert grenzüberschreitende Ermittlungen und betreibt unter anderem die Entschlüsselungsplattform für die Mitgliedstaaten.; Detail-Seite öffnen
ECTEG: Auch bekannt als: European Cybercrime Training and Education Group; Europäische Gruppe für Aus- und Fortbildung in Cyberkriminalität; entwickelt Kursmaterial für Strafverfolgungsbehörden, derzeit unter anderem zur Fahrzeug- und Drohnenforensik.; Detail-Seite öffnen
eDiscoveryElektronische Sichtung von BeweismittelnElectronic discovery: eDiscovery (Electronic Discovery) — Identifikation, Sichtung und Bereitstellung elektronischer Dokumente in Zivilverfahren und internen Ermittlungen. Werkzeuge filtern Millionen Mails, Office-Dateien und Chats auf relevante Träger — Sprung-Heuristiken, OCR und Sentiment-Filter.; Detail-Seite öffnen
Ersthelfer: Auch bekannt als: First Responder; Person, die als erste am betroffenen System ist – Administrator, Servicetechniker, Mitarbeiter – und deren Handeln in den ersten Minuten über den Erhalt der Beweise entscheidet.; Detail-Seite öffnen
Fahrzeugforensik: Auch bekannt als: Vehicle Forensics, EVFF; Auswertung von Daten aus Infotainment, Telematik und Steuergeräten von Fahrzeugen und Drohnen; in Europa über das European Vehicle Forensics Framework teilweise standardisiert.; Detail-Seite öffnen
File CarvingWiederherstellung von Dateien anhand ihrer StrukturFile Carving: File Carving ist eine forensische Technik, mit der sich Dateien aus Rohdaten rekonstruieren lassen — auch dann, wenn das Dateisystem keine Verweise mehr enthält. Statt sich auf Verzeichniseinträge zu verlassen, sucht das Verfahren nach charakteristischen Signaturen und Strukturen, die den Anfang und das Ende einer Datei kennzeichnen. So werden gelöschte oder verwaiste Daten sichtbar.; Detail-Seite öffnen
Flüchtige Daten: Auch bekannt als: Volatile Daten, Live-Daten, RAM-Forensik; Informationen, die nur im laufenden Betrieb existieren – Arbeitsspeicher, Netzwerkverbindungen, laufende Prozesse, Sitzungsschlüssel – und beim Abschalten verloren gehen.; Detail-Seite öffnen
Forensische Sicherung: Auch bekannt als: Acquisition, Beweissicherung, Datensicherung (forensisch); Erstellung einer unveränderten, per Hashwert geprüften Kopie eines Datenträgers, Speichers oder Datenbestands, bevor irgendetwas daran analysiert oder bereinigt wird.; Detail-Seite öffnen
Forensisches Image: Auch bekannt als: Disk Image, Bit-für-Bit-Kopie; Sektorgenaue Kopie eines Datenträgers einschließlich gelöschter und unbelegter Bereiche, als Grundlage jeder weiteren Analyse.; Detail-Seite öffnen
Gerichtsverwertbarkeit: Auch bekannt als: Admissibility, Beweisverwertbarkeit; Eignung eines Beweismittels, in einem Gerichts- oder Verwaltungsverfahren berücksichtigt zu werden – abhängig von rechtmäßiger Erhebung, intakter Beweismittelkette und nachvollziehbarer Analyse.; Detail-Seite öffnen
Hash-Verifikation: Auch bekannt als: Integritätsnachweis, Prüfsumme, SHA-256; Mathematischer Nachweis, dass ein Beweismittel seit der Sicherung unverändert ist, über einen kryptografischen Hashwert, der bei jedem Schritt erneut berechnet und verglichen wird.; Detail-Seite öffnen
IoT-Forensik: Auch bekannt als: Internet-of-Things-Forensik, OT-Forensik, Geräteforensik; Spurensicherung auf vernetzten Geräten ohne standardisierte Betriebssysteme, forensische Schnittstellen oder lokale Datenhaltung – von der Kamera bis zur Industriesteuerung.; Detail-Seite öffnen
ISO/IEC 27037: Auch bekannt als: Leitfaden Beweissicherung; Internationale Norm mit Leitlinien für Identifikation, Sammlung, Sicherung und Aufbewahrung digitaler Beweismittel.; Detail-Seite öffnen
ISO/IEC 27042: Auch bekannt als: Leitfaden Beweisanalyse; Internationale Norm mit Leitlinien für Analyse und Interpretation digitaler Beweismittel, einschließlich Anforderungen an Kompetenz, Methodenwahl und Dokumentation.; Detail-Seite öffnen
Kontrollierter KI-Einsatz: Auch bekannt als: Controlled AI Use, KI-Governance in der Forensik; Einsatz von KI in der Beweisanalyse nur mit protokollierten Aktionen, menschlicher Prüfung und dokumentiertem Ergebnis – so dass jeder Schritt vor Gericht nachvollzogen werden kann.; Detail-Seite öffnen
Kryptowährungs-Forensik: Auch bekannt als: Blockchain-Forensik, Crypto Tracing, Virtual Currency Forensics; Nachverfolgung von Transaktionen in öffentlichen Blockchains zur Zuordnung von Adressen, Geldflüssen und Dienstleistern, etwa nach einer Ransomware-Zahlung.; Detail-Seite öffnen
Live-ForensikLive-ForensikLive Forensics: Live-Forensik ist die Untersuchung eines laufenden, eingeschalteten Systems, um flüchtige Daten zu sichern, die beim Abschalten verloren gingen — etwa den Arbeitsspeicher, aktive Netzwerkverbindungen, laufende Prozesse und entschlüsselte Inhalte. Sie ist unverzichtbar, wenn die entscheidenden Spuren nur im laufenden Betrieb existieren. Jeder Eingriff verändert das System jedoch geringfügig.; Detail-Seite öffnen
Memory-ForensikSpeicherforensikMemory Forensics: Speicherforensik ist die Analyse des flüchtigen Arbeitsspeichers (RAM) eines Systems. Im Speicher finden sich Spuren, die nirgends sonst existieren: laufende und versteckte Prozesse, entschlüsselte Daten, eingegebene Passwörter, aktive Verbindungen und speicherresidente Schadsoftware. Sie ist oft der einzige Weg, moderne, dateilose Angriffe zu fassen.; Detail-Seite öffnen
Mobile-ForensikMobilforensikMobile Forensics: Mobilforensik ist die forensische Untersuchung von Smartphones, Tablets und ähnlichen Geräten. Sie ist besonders anspruchsvoll, weil diese Geräte stark verschlüsselt, geschlossen und herstellerspezifisch sind und eine Fülle sensibler Daten enthalten — von Nachrichten über Standorte bis zu App-Spuren. Der Zugriff ist oft die größte Hürde.; Detail-Seite öffnen
NetzwerkforensikNetzwerkforensikNetwork Forensics: Netzwerkforensik ist die Untersuchung von Netzwerkverkehr und -aufzeichnungen, um einen Angriff zu rekonstruieren — welche Verbindungen bestanden, welche Daten flossen, mit welchen Gegenstellen kommuniziert wurde. Sie betrachtet die Spuren, die ein Angreifer im Netz hinterlässt, statt nur die auf einem Endgerät. Oft ist sie der Schlüssel, um Datenabfluss und Steuerung (C2) nachzuweisen.; Detail-Seite öffnen
Open-Source-Forensikwerkzeuge: Auch bekannt als: The Sleuth Kit, Autopsy, Volatility, Wireshark, FREETOOL, Tools4LEAs; Frei verfügbare, quelloffene Werkzeuge für Datenträger-, Speicher- und Netzwerkanalyse, deren Funktionsweise – anders als bei proprietären Produkten – vollständig überprüfbar ist.; Detail-Seite öffnen
Reproduzierbarkeit: Auch bekannt als: Wiederholbarkeit, Nachvollziehbarkeit, Repeatability; Anforderung, dass ein anderer Sachverständiger mit denselben Daten und denselben dokumentierten Schritten zum selben Ergebnis kommt.; Detail-Seite öffnen
Sachverständigengutachten: Auch bekannt als: Expert Testimony, Forensischer Bericht; Schriftliche, für Nicht-Techniker verständliche Darstellung von Vorgehen, Befunden und Schlussfolgerungen einer forensischen Untersuchung, die der Verfasser vor Gericht vertreten kann.; Detail-Seite öffnen
Slack SpaceUngenutzter Restbereich von SpeicherblöckenSlack Space: Slack Space ist der ungenutzte Platz zwischen dem Ende einer Datei und dem Ende des letzten von ihr belegten Speicherblocks. Weil Speicher in festen Blockgrößen vergeben wird, bleibt fast immer ein Rest übrig — und dieser Rest kann Fragmente früherer Daten enthalten. Für die Forensik ist er eine oft übersehene Fundgrube.; Detail-Seite öffnen
Software Bill of MaterialsSoftware-StücklisteSoftware Bill of Materials: Auch bekannt als: SBOM; Maschinenlesbare Liste aller Komponenten und Abhängigkeiten einer Software mit Version und Lizenz – Grundlage für Lizenzprüfung, Schwachstellenabgleich und Herstellerpflichten nach dem Cyber Resilience Act.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
Standardarbeitsanweisung: Auch bekannt als: SOP, Standard Operating Procedure, Ablaufplan; Schriftlich festgelegter, geprüfter Ablauf für einen wiederkehrenden forensischen Arbeitsschritt – von der Erstsicherung am Arbeitsplatz bis zur Übergabe an Behörden.; Detail-Seite öffnen
Standardisiertes Datenformat: Auch bekannt als: Interoperabilität, Austauschformat, Handover-Schema; Einheitliches Format für forensische Ergebnisse und Beweismittel, damit Werkzeuge verschiedener Hersteller in einer Verarbeitungskette zusammenarbeiten und die Beweismittelkette maschinenlesbar mitgeführt wird.; Detail-Seite öffnen
Timeline-AnalyseForensische Zeitleisten-AnalyseTimeline Analysis: Die Timeline-Analyse bringt die zahllosen Zeitstempel eines Systems — von Dateien, Protokollen, Registry-Einträgen und Anwendungen — in eine gemeinsame chronologische Ordnung. So entsteht aus verstreuten Einzelspuren eine zusammenhängende Erzählung des Geschehens. Sie ist eine der wirkungsvollsten Methoden, um den Ablauf eines Vorfalls zu rekonstruieren.; Detail-Seite öffnen
Werkzeugvalidierung: Auch bekannt als: Tool Validation, Tool Testing; Nachweis, dass ein forensisches Werkzeug unter definierten Bedingungen korrekte und reproduzierbare Ergebnisse liefert, bevor seine Ausgaben als Beweis verwendet werden.; Detail-Seite öffnen
WipingSicheres Löschen von DatenSecure Wiping / Data Erasure: Wiping bezeichnet das sichere, endgültige Löschen von Daten durch tatsächliches Überschreiben — im Gegensatz zum normalen „Löschen“, das meist nur den Verweis entfernt, während die Inhalte erhalten bleiben. Ziel ist, dass die Daten auch mit forensischen Mitteln nicht mehr rekonstruierbar sind. Es ist die andere Seite der Forensik: das bewusste Vernichten von Spuren.; Detail-Seite öffnen

Angriffsarten

Brute-ForceBrute-Force-AngriffBrute-Force Attack: Ein Brute-Force-Angriff probiert systematisch alle möglichen Kombinationen durch, um ein Passwort oder einen Schlüssel zu erraten — rohe Rechengewalt statt Raffinesse. Seine Erfolgsaussicht hängt allein von der Stärke des Geheimnisses und den Schutzmaßnahmen ab. Gegen kurze oder schwache Passwörter ist er erschreckend wirksam.; Detail-Seite öffnen
Buffer OverflowPufferüberlaufBuffer Overflow: Ein Pufferüberlauf entsteht, wenn ein Programm mehr Daten in einen Speicherbereich schreibt, als dieser fassen kann, und dabei benachbarten Speicher überschreibt. Geschickt ausgenutzt, kann ein Angreifer so eigenen Code zur Ausführung bringen. Es ist eine der ältesten und folgenreichsten Klassen von Software-Schwachstellen.; Detail-Seite öffnen
CHERNOVITECHERNOVITE (Bedrohungsgruppe)CHERNOVITE (Activity Group): CHERNOVITE ist die von Dragos vergebene Bezeichnung für die Angreifergruppe, die den modularen ICS-Werkzeugkasten PIPEDREAM entwickelt hat. Sie wird als staatlich zugeordneter Akteur eingeschätzt, der auf die Beeinträchtigung industrieller Steuerungen ausgerichtet ist. Bemerkenswert ist, dass ihr Werkzeug entdeckt wurde, bevor es zerstörerisch eingesetzt werden konnte.; Detail-Seite öffnen
DatenexfiltrationDatenexfiltrationData Exfiltration: Datenexfiltration ist der unbefugte Abfluss von Daten aus einer Organisation nach außen — das eigentliche Ziel vieler Angriffe. Sie ist oft der letzte Schritt einer längeren Kette und vollzieht sich gern getarnt, um nicht aufzufallen. Wo sie gelingt, entstehen der größte Schaden und die größten rechtlichen Folgen.; Detail-Seite öffnen
DDoSVerteilter ÜberlastungsangriffDistributed Denial of Service: Ein DDoS-Angriff überlastet ein Ziel mit einer Flut von Anfragen aus vielen verteilten Quellen gleichzeitig, bis ein Dienst für legitime Nutzer nicht mehr erreichbar ist. Die Verteilung über zahllose Systeme — oft ein Botnetz — macht ihn schwer abzuwehren und zu blockieren. Er greift nicht die Vertraulichkeit, sondern die Verfügbarkeit an.; Detail-Seite öffnen
DefacementVerunstaltung von WebseitenWebsite Defacement: Defacement ist die unbefugte Veränderung des sichtbaren Inhalts einer Website — Angreifer ersetzen etwa die Startseite durch eine eigene Botschaft. Es ist ein lauter, demonstrativer Angriff, der vor allem auf Sichtbarkeit und Rufschädigung zielt. Anders als heimliche Einbrüche soll Defacement gesehen werden.; Detail-Seite öffnen
DoSÜberlastungs- bzw. VerfügbarkeitsangriffDenial of Service: Ein DoS-Angriff zielt darauf, einen Dienst oder ein System für legitime Nutzer unverfügbar zu machen — durch Überlastung oder das gezielte Ausnutzen einer Schwachstelle, die das System zum Absturz bringt. Er greift die Verfügbarkeit an, eines der drei Schutzziele der Informationssicherheit. Die verteilte Variante mit vielen Quellen heißt DDoS.; Detail-Seite öffnen
Drive-by-DownloadUnbemerkter Schadcode-Download beim SeitenbesuchDrive-by Download: Bei einem Drive-by-Download wird Schadcode bereits durch den bloßen Besuch einer manipulierten Website auf das Gerät geladen — ohne dass der Nutzer bewusst etwas herunterlädt oder anklickt. Ausgenutzt werden Schwachstellen im Browser oder in dessen Komponenten. Der Angriff macht das Surfen selbst zum Einfallstor.; Detail-Seite öffnen
ExploitAusnutzungscode für eine SchwachstelleExploit: Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht. Ein „Zero-Day-Exploit“ nutzt eine noch unbekannte, ungepatchte Schwachstelle.; Detail-Seite öffnen
Hash-KollisionHash-KollisionHash Collision: Eine Hash-Kollision liegt vor, wenn zwei verschiedene Eingaben denselben Hashwert ergeben. Bei einem sicheren kryptografischen Hashverfahren soll das praktisch unmöglich sein; gelingt es dennoch gezielt, ist das Verfahren gebrochen und für Sicherheitszwecke untauglich. Genau das ist MD5 und SHA-1 widerfahren.; Detail-Seite öffnen
IndustroyerIndustroyer (CrashOverride)Industroyer / CrashOverride: Industroyer (auch CrashOverride) ist eine ICS-Schadsoftware, die im Dezember 2016 einen Stromausfall in Kiew verursachte und etwa ein Fünftel der Stadt für rund eine Stunde vom Netz trennte. Sie war modular aufgebaut und sprach industrielle Schaltanlagen direkt über deren eigene Protokolle an. Eine Variante, Industroyer2, kam 2022 erneut gegen die Ukraine zum Einsatz.; Detail-Seite öffnen
InnentäterInnentäter / InnentäterinInsider Threat: Ein Innentäter ist eine Person mit legitimem Zugang — Mitarbeitende, Dienstleister, Partner —, die diesen Zugang zum Schaden der Organisation nutzt oder fahrlässig einen Schaden ermöglicht. Die Bedrohung ist besonders heikel, weil sie von innen kommt, Vertrauen genießt und reguläre Schutzmaßnahmen umgeht. Sie umfasst böswillige wie unbeabsichtigte Fälle.; Detail-Seite öffnen
Integer OverflowGanzzahlüberlaufInteger Overflow: Ein Integer Overflow entsteht, wenn das Ergebnis einer Rechenoperation den Wertebereich überschreitet, den der verwendete Ganzzahltyp darstellen kann, und unbemerkt „umschlägt“ — etwa von einem sehr großen positiven zu einem negativen Wert. Solche stillen Fehler können Sicherheitsprüfungen aushebeln und in weitere Schwachstellen wie Pufferüberläufe münden.; Detail-Seite öffnen
KeyloggerTastatureingaben-RekorderKeylogger: Ein Keylogger zeichnet heimlich Tastatureingaben auf, um Passwörter, Nachrichten und andere vertrauliche Eingaben abzugreifen. Er existiert als Software oder als kleines, zwischengeschaltetes Hardwaregerät. Sein Ziel ist das unbemerkte Mitlesen genau an der Stelle, an der Geheimnisse entstehen — der Tastatur.; Detail-Seite öffnen
MalwareSchadsoftwareMalware (Malicious Software): Malware ist der Oberbegriff für jede Software, die geschrieben wurde, um Schaden anzurichten — Daten zu stehlen, zu verschlüsseln, Systeme zu stören oder Angreifern Kontrolle zu verschaffen. Sie umfasst viele Familien wie Viren, Würmer, Trojaner, Ransomware und Spyware. Sie ist das verbindende Werkzeug hinter den meisten technischen Angriffen.; Detail-Seite öffnen
MITMMittelsmann-AngriffMan-in-the-Middle attack: Man-in-the-Middle (MITM) — Angreifer schleust sich zwischen zwei Kommunikationspartner und gibt sich gegenüber beiden als der jeweils andere aus. Klassisch im WLAN (Evil-Twin), per ARP-Spoofing, BGP-Hijack oder TLS-Stripping. Gegenmittel: Zertifikats-Pinning, gegenseitige Auth.; Detail-Seite öffnen
PhishingPhishing: Phishing ist der Versuch, Menschen durch gefälschte Nachrichten zur Preisgabe von Zugangsdaten oder zu schädlichen Handlungen zu verleiten — etwa über eine täuschend echte E-Mail mit Link auf eine nachgebaute Anmeldeseite. Es zielt nicht auf die Technik, sondern auf den Menschen. Es ist einer der häufigsten Erstzugangswege überhaupt.; Detail-Seite öffnen
PIPEDREAMPIPEDREAM (INCONTROLLER)PIPEDREAM / INCONTROLLER: PIPEDREAM (von Mandiant als INCONTROLLER bezeichnet) ist ein 2022 entdeckter, modularer Werkzeugkasten zum Angriff auf industrielle Steuerungen. Im Unterschied zu früheren ICS-Schadprogrammen ist er nicht auf eine einzelne Anlage zugeschnitten, sondern als wiederverwendbares Baukastensystem gegen verbreitete Geräte ausgelegt. Er gilt als die siebte bekannte ICS-spezifische Schadsoftware.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
Privilege EscalationRechteausweitungPrivilege Escalation: Privilege Escalation bezeichnet das Ausweiten der eigenen Rechte auf einem System über das ursprünglich Erlaubte hinaus — vom einfachen Nutzer zum Administrator. Sie ist ein zentraler Zwischenschritt vieler Angriffe: Erst mit erhöhten Rechten lassen sich Schutzmaßnahmen abschalten, Daten umfassend abgreifen und Persistenz einrichten. Sie verwandelt einen kleinen Fuß in der Tür in volle Kontrolle.; Detail-Seite öffnen
RansomwareErpressungssoftwareRansomware: Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und für die Freigabe ein Lösegeld fordert. Sie zählt zu den folgenreichsten Bedrohungen für Unternehmen, weil sie den Betrieb unmittelbar lahmlegt. Moderne Varianten kombinieren die Verschlüsselung mit dem Diebstahl und der Androhung einer Veröffentlichung der Daten.; Detail-Seite öffnen
Rogue APUnautorisierter WLAN-ZugangspunktRogue Access Point: Ein Rogue AP ist ein unautorisierter WLAN-Zugangspunkt — entweder von einem Angreifer aufgestellt, um Nutzer abzufangen, oder von Mitarbeitenden unbedacht ins Netz gehängt. In beiden Fällen entsteht ein unkontrollierter Zugang, der die Netzgrenze umgeht. Eine besonders heikle Variante ist der „Evil Twin“, der ein vertrautes Netz täuschend nachahmt.; Detail-Seite öffnen
SandwormSandworm (APT-Gruppe)Sandworm (APT): Sandworm ist eine staatlich zugeordnete Angreifergruppe, die für einige der folgenreichsten Angriffe auf kritische Infrastruktur verantwortlich gemacht wird — darunter die Stromausfälle in der Ukraine 2015 und 2016 sowie der Industroyer2-Angriff 2022. Die Gruppe wird der russischen Militäraufklärung (GRU) zugeordnet. Sie steht beispielhaft für die Bedrohung durch einen geduldigen, gut ausgestatteten Akteur (APT).; Detail-Seite öffnen
Side-ChannelSeitenkanalangriffSide-Channel Attack: Ein Seitenkanalangriff gewinnt geheime Informationen nicht durch das Brechen eines Verfahrens, sondern durch das Beobachten seiner physischen Nebenwirkungen — etwa Stromverbrauch, Laufzeit, elektromagnetische Abstrahlung oder Cache-Verhalten. Statt das Schloss zu knacken, lauscht der Angreifer an seinen Geräuschen. Solche Angriffe sind subtil und oft schwer abzuwehren.; Detail-Seite öffnen
Smudge AttackSchmierspur-AngriffSmudge Attack: Ein Smudge-Angriff liest die Fingerabdruck-Schmierspuren auf einem Touchscreen aus, um ein Entsperrmuster oder einen PIN zu erraten. Die Fettrückstände der Finger verraten, welche Stellen berührt wurden — und damit oft die Eingabe. Es ist ein einfacher, physischer Angriff ganz ohne Schadsoftware.; Detail-Seite öffnen
Social EngineeringSoziale ManipulationSocial Engineering: Social Engineering ist die gezielte Manipulation von Menschen, um sie zu Handlungen oder zur Preisgabe von Informationen zu bewegen, die der Sicherheit schaden — der Angriff auf den Menschen statt auf die Technik. Es nutzt Vertrauen, Autorität, Hilfsbereitschaft, Angst und Zeitdruck aus. Phishing ist seine bekannteste, aber bei Weitem nicht einzige Ausprägung.; Detail-Seite öffnen
StuxnetStuxnet: Stuxnet ist die 2010 entdeckte Schadsoftware, die gezielt die Urananreicherungsanlage im iranischen Natanz sabotierte und dabei rund tausend Zentrifugen zerstörte. Sie gilt als die erste bekannte digitale Waffe, die physischen Schaden in der realen Welt anrichtete. Mit ihr begann die Ära der gezielten Angriffe auf industrielle Steuerungen.; Detail-Seite öffnen
TritonTriton (TRISIS)Triton / TRISIS: Triton (auch TRISIS oder HatMan) ist die 2017 entdeckte Schadsoftware, die erstmals gezielt ein Sicherheits-Notabschaltsystem (Safety Instrumented System, SIS) angriff — konkret die Triconex-Controller von Schneider Electric in einer Industrieanlage im Nahen Osten. Weil sie genau die Schutzschicht ins Visier nahm, die Menschenleben sichern soll, markiert sie eine besonders gefährliche Eskalation.; Detail-Seite öffnen
WörterbuchangriffWörterbuchangriffDictionary Attack: Ein Wörterbuchangriff errät Passwörter, indem er gezielt eine Liste wahrscheinlicher Begriffe durchprobiert — echte Wörter, Namen, gängige Muster und bekannte Leak-Passwörter — statt blind alle Kombinationen. Er ist die intelligentere, schnellere Verwandte des reinen Brute-Force-Angriffs. Gegen menschlich gewählte Passwörter ist er besonders erfolgreich.; Detail-Seite öffnen
XenotimeXenotime (auch TEMP.Veles)Xenotime (a.k.a. TEMP.Veles): Threat-Aktor, dem Dragos die Entwicklung und den Einsatz der Triton/Trisis-Malware (2017, petrochemische Anlage Saudi-Arabien) zuschreibt. Mandiant tracked dieselbe Gruppe als TEMP.Veles und verband sie öffentlich mit dem russischen Forschungsinstitut CNIIHM in Moskau. Aktivität nach 2018 weitete sich auf US-amerikanische und europäische Stromversorger aus — bislang ohne disruptiven Vorfall, aber mit Reconnaissance auf Schutzsystem-Ebene.; Detail-Seite öffnen

Werkzeuge

ConpotConpot (ICS/SCADA-Honeypot)Conpot ICS/SCADA Honeypot: Conpot ist ein quelloffener Honeypot, der industrielle Steuerungssysteme (ICS/SCADA) nachbildet — inklusive typischer OT-Protokolle wie Modbus oder S7comm. Er macht Angriffe auf industrielle Infrastruktur sichtbar, ohne reale Anlagen zu gefährden. Damit ist er für die OT-Sicherheit besonders relevant.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
CowrieCowrie (SSH/Telnet-Honeypot)Cowrie SSH/Telnet Honeypot: Cowrie ist ein quelloffener Honeypot mittlerer Interaktionstiefe, der SSH- und Telnet-Dienste nachbildet und die Aktivitäten von Angreifern detailliert aufzeichnet. Er gaukelt eine echte Shell vor und protokolliert jeden eingegebenen Befehl. Er ist einer der meistgenutzten Honeypots überhaupt.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
DionaeaDionaea (Malware-Honeypot)Dionaea Malware Honeypot: Dionaea ist ein quelloffener Honeypot, der darauf spezialisiert ist, Schadsoftware einzufangen. Er bildet verwundbare Netzwerkdienste nach und lockt Angriffe an, um die übertragenen Schadprogramme zur späteren Analyse zu sichern. Er ist der Nachfolger des früheren Honeypots Nepenthes.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
GhidraGhidra (Reverse-Engineering-Suite)Ghidra: Ghidra ist eine quelloffene Suite zum Reverse Engineering von Software, mit der sich kompilierte Programme wieder in lesbaren Code zerlegen und analysieren lassen. Sie wird in der Malware-Analyse und Schwachstellenforschung eingesetzt, um zu verstehen, was ein Programm tatsächlich tut. Als freies Werkzeug hat sie die Reverse-Engineering-Arbeit breit zugänglich gemacht.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
OpenCanaryOpenCanary (Honeypot-Daemon)OpenCanary: OpenCanary ist ein quelloffener, schlanker Honeypot-Daemon, der sich als verschiedene Netzwerkdienste ausgibt und Alarm schlägt, sobald jemand mit ihnen interagiert. Er funktioniert wie eine unsichtbare Stolperdraht-Falle im eigenen Netz. Jede Berührung ist verdächtig — und damit ein wertvolles, fehlalarmarmes Signal.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
PlasoPlaso (log2timeline): Plaso ist ein quelloffenes Werkzeug, das aus einer Vielzahl forensischer Artefakte automatisiert eine umfassende Zeitleiste erstellt — eine sogenannte Super-Timeline. Es sammelt Zeitstempel aus Dateisystemen, Protokollen, Browser-Spuren, der Registry und vielem mehr und führt sie zusammen. Es ist das Rückgrat vieler Timeline-Analysen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
Sleuth KitThe Sleuth Kit: The Sleuth Kit (TSK) — Open-Source-Toolkit für Datenträger- und Dateisystem-Forensik. CLI-Werkzeuge (mmls, fls, icat) plus die GUI Autopsy darüber. Standardwerkzeug für Disk-Image-Analyse.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
SuricataSuricata (IDS/IPS/NSM)Suricata: Suricata ist eine quelloffene Engine zur Erkennung und Abwehr von Netzwerkangriffen (IDS/IPS) und zur Netzüberwachung (NSM). Sie prüft den Netzwerkverkehr regelbasiert auf bekannte Bedrohungen, protokolliert Metadaten und kann verdächtige Verbindungen melden oder blockieren. Sie ist ein zentraler Baustein netzbasierter Sicherheit.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
T-PotT-Pot — Multi-Honeypot-PlattformT-Pot — The All-In-One Multi Honeypot Platform: T-Pot ist eine quelloffene All-in-one-Honeypot-Plattform, die zahlreiche einzelne Honeypots zusammen mit Netzüberwachung und Visualisierung in einem Docker-basierten System bündelt. Gepflegt wird sie von der Telekom Security. Sie ist der einfachste Einstieg, um Angriffe aus dem Internet sichtbar zu machen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
TimesketchTimesketch: Timesketch ist eine quelloffene Plattform zur gemeinsamen Analyse forensischer Zeitleisten. Sie nimmt große Timeline-Datensätze auf, macht sie durchsuchbar und erlaubt mehreren Analysten, an derselben Untersuchung kollaborativ zu arbeiten — mit Markierungen, Anmerkungen und gemeinsamen Erkenntnissen. Sie ist die Auswertungsoberfläche zu Werkzeugen wie Plaso.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
VolatilityVolatility (Speicherforensik-Framework)Volatility: Volatility ist ein quelloffenes Framework für die Speicherforensik — die Analyse des Arbeitsspeichers (RAM) eines Systems. Aus einem Speicherabbild rekonstruiert es laufende Prozesse, geladene Module, Netzwerkverbindungen und Spuren von Schadsoftware. Es ist eines der wichtigsten Werkzeuge, um dateilose und getarnte Angriffe zu fassen.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
WiresharkWireshark (Netzwerk-Analysewerkzeug)Wireshark: Wireshark ist das verbreitetste quelloffene Werkzeug zur Analyse von Netzwerkverkehr. Es zeichnet Datenpakete auf und zerlegt sie bis ins Detail, sodass sich Kommunikation Schritt für Schritt nachvollziehen lässt. In der Netzwerkforensik, Fehlersuche und Protokollanalyse ist es ein Standardinstrument.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
ZeekZeek (Netzwerk-Monitor)Zeek: Zeek ist ein quelloffener Netzwerk-Sicherheitsmonitor, der den Verkehr nicht primär nach Signaturen durchsucht, sondern ihn in reichhaltige, strukturierte Protokolle übersetzt — wer wann mit wem über welches Protokoll kommunizierte. Diese Metadaten sind die Grundlage für Analyse, Threat Hunting und Netzwerkforensik. Zeek ist auf große Netze und Dauerbetrieb ausgelegt.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)

Artefakte

ADSAlternative Datenströme (NTFS)Alternate Data Streams: Alternate Data Streams sind eine Eigenheit des NTFS-Dateisystems: An eine Datei lassen sich zusätzliche, unsichtbare Datenströme anhängen, die im normalen Verzeichnis nicht erscheinen. Was als legitimes Feature gedacht ist, wird gern zum Verstecken von Daten oder Schadcode missbraucht. Für die Forensik sind ADS ein bekanntes Versteck.; Detail-Seite öffnen
BitlockerBitLocker-FestplattenverschlüsselungBitLocker: BitLocker — Microsofts Full-Disk-Encryption für Windows. Kombiniert TPM-gebundenen Schlüssel mit Recovery-Key (BEK). Forensisch: Recovery-Key aus AD/Entra suchen, sonst nur Live-Akquise oder Cold-Boot-Angriff.; Detail-Seite öffnen
BookmarkLesezeichen (Browser-Artefakt)Bookmark (Browser Artefact): Lesezeichen sind die vom Nutzer gespeicherten Verweise auf Webseiten und damit ein forensisch aussagekräftiges Artefakt: Sie zeigen, welche Seiten für eine Person bewusst von Interesse waren. Anders als der flüchtige Verlauf werden sie absichtlich angelegt und bleiben dauerhaft erhalten. Sie geben Einblick in Gewohnheiten und Absichten.; Detail-Seite öffnen
CookieHTTP-CookieHTTP Cookie: Ein Cookie ist eine kleine Datei, die eine Website im Browser ablegt, um einen Nutzer über Aufrufe hinweg wiederzuerkennen — etwa für Anmeldungen oder Einstellungen. Forensisch sind Cookies aufschlussreich, weil sie belegen, welche Dienste wann genutzt wurden. Zugleich sind sie ein bekanntes Ziel für Sitzungsdiebstahl.; Detail-Seite öffnen
FATFAT (Dateizuordnungstabelle)File Allocation Table: FAT ist ein einfaches, sehr verbreitetes Dateisystem, das über eine Zuordnungstabelle festhält, welche Speicherbereiche zu welcher Datei gehören. Wegen seiner Einfachheit und breiten Kompatibilität findet es sich bis heute auf USB-Sticks, Speicherkarten und in eingebetteten Geräten. Forensisch ist es gut verstanden und ergiebig.; Detail-Seite öffnen
Memory DumpSpeicherabbildMemory Dump: Ein Memory Dump ist eine Momentaufnahme des Arbeitsspeichers (RAM) eines Systems zu einem bestimmten Zeitpunkt. Er enthält, was zur Laufzeit aktiv war: Prozesse, geladene Module, Netzwerkverbindungen, entschlüsselte Daten und mitunter Schadcode. Er ist die Grundlage der Speicherforensik und oft der Schlüssel zu dateilosen Angriffen.; Detail-Seite öffnen
MFTMaster File Table (NTFS)Master File Table: Die Master File Table ist das zentrale Verzeichnis des NTFS-Dateisystems: Sie führt für jede Datei einen Eintrag mit Namen, Größe, Zeitstempeln und dem Speicherort. Forensisch ist sie eine erstklassige Quelle, weil sie detailliert dokumentiert, welche Dateien existieren oder existierten und wann sie verändert wurden. Sie ist ein Herzstück der Windows-Forensik.; Detail-Seite öffnen
PagefileAuslagerungsdateiPagefile: Die Auslagerungsdatei (Pagefile) ist ein Bereich auf dem Datenträger, in den Windows Teile des Arbeitsspeichers auslagert, wenn dieser knapp wird. Forensisch ist sie wertvoll, weil sie Bruchstücke dessen enthalten kann, was im RAM war — auch dann noch, wenn das System längst aus ist. Sie ist gewissermaßen ein dauerhafter Abdruck flüchtiger Daten.; Detail-Seite öffnen
PrefetchPrefetch (Windows)Prefetch: Prefetch ist ein Windows-Mechanismus, der das Starten von Programmen beschleunigt, indem er für jede ausgeführte Anwendung eine kleine Datei mit Startinformationen anlegt. Forensisch ist das ein Glücksfall: Prefetch-Dateien belegen, welche Programme wann und wie oft gelaufen sind. Sie sind ein zentrales Indiz für Programmausführung.; Detail-Seite öffnen
Windows RegistryWindows-RegistrierungsdatenbankWindows Registry: Die Windows Registry ist die zentrale Konfigurationsdatenbank des Betriebssystems, in der System- und Anwendungseinstellungen, Benutzerprofile und unzählige Spuren der Nutzung hinterlegt sind. Für die Forensik ist sie eine wahre Fundgrube: Sie dokumentiert angeschlossene Geräte, gestartete Programme, Anmeldungen und vieles mehr. Sie ist eines der wichtigsten Windows-Artefakte überhaupt.; Detail-Seite öffnen

Protokolle & Formate

DCSProzessleitsystemDistributed Control System: Ein DCS ist ein verteiltes Leitsystem zur Steuerung komplexer, kontinuierlicher Industrieprozesse — etwa in der Chemie, Raffinerie oder Energieerzeugung. Anders als zentrale Steuerungen verteilt es die Regelung auf mehrere, über das Anlagennetz verbundene Stationen. Es ist das Nervensystem großer Prozessanlagen.; Detail-Seite öffnen
HMIMensch-Maschine-SchnittstelleHuman-Machine Interface: Ein HMI ist die Bedienoberfläche, über die Menschen industrielle Prozesse beobachten und steuern — vom Bildschirm im Leitstand bis zum Bedienpanel an der Maschine. Es übersetzt komplexe Prozesszustände in verständliche Anzeigen und nimmt Steuerbefehle entgegen. Es ist die Brücke zwischen Operator und Anlage.; Detail-Seite öffnen
IEC 60870-5-104IEC 60870-5-104 (Fernwirkprotokoll)IEC 60870-5-104: IEC 60870-5-104 (kurz IEC-104) ist ein in der europäischen Energieversorgung verbreitetes Fernwirkprotokoll, über das Leitstellen mit Umspannwerken und Stationen kommunizieren. Es überträgt Messwerte und Schaltbefehle über TCP/IP-Netze. Bekannt wurde es als Angriffsweg der Industroyer-Schadsoftware.; Detail-Seite öffnen
IEC 61850IEC 61850 (Norm für Schaltanlagen-Kommunikation)IEC 61850: IEC 61850 ist eine Normenreihe für die Kommunikation in elektrischen Schaltanlagen und Umspannwerken, die die Vernetzung von Schutz-, Steuer- und Messgeräten standardisiert. Sie ermöglicht die moderne, digitalisierte Stationsautomatisierung. Mit der Vernetzung wächst auch hier die Relevanz der Cybersicherheit.; Detail-Seite öffnen
IPInternetprotokollInternet Protocol: Das Internet Protocol (IP) ist das grundlegende Protokoll, das Datenpakete adressiert und durch Netze bis zum Ziel weiterleitet. Es ist die gemeinsame Sprache, auf der praktisch die gesamte moderne Netzkommunikation aufbaut. Ohne IP gäbe es kein Internet, wie wir es kennen.; Detail-Seite öffnen
ModbusModbus (Industrieprotokoll)Modbus: Modbus ist eines der ältesten und am weitesten verbreiteten Kommunikationsprotokolle der Industrieautomation. Es ist einfach, robust und herstellerübergreifend — und genau deshalb bis heute allgegenwärtig in Steuerungen, Sensoren und Aktoren. Es wurde jedoch ohne jede Sicherheitsfunktion entworfen.; Detail-Seite öffnen
OPC UAOPC Unified Architecture: Moderner, herstellerneutraler Daten- und Telemetriestandard für Industrieautomatisierung (IEC 62541). Ablöser des klassischen OPC DA. Im Unterschied zu Legacy-Protokollen bringt OPC UA Authentifizierung, Verschlüsselung und Zertifikate mit — wenn sie aktiviert sind. Standard-Konfigurationen mit anonymer Anmeldung sind weiterhin häufig anzutreffen. Das PIPEDREAM-Toolkit (2022) hatte ein dediziertes OPC-UA-Modul zur Manipulation generischer Server.; Detail-Seite öffnen
PCAPPaketmitschnittPacket Capture: PCAP bezeichnet sowohl das Mitschneiden von Netzwerkverkehr als auch das verbreitete Dateiformat, in dem die erfassten Pakete gespeichert werden. Ein Paketmitschnitt hält den Netzverkehr originalgetreu fest und ist damit das wichtigste Rohmaterial der Netzwerkforensik. Was nicht aufgezeichnet wurde, lässt sich nicht analysieren.; Detail-Seite öffnen
PLCSpeicherprogrammierbare Steuerung (SPS)Programmable Logic Controller: Eine SPS (englisch PLC) ist ein robuster Industrierechner, der einen physischen Prozess unmittelbar steuert — er liest Sensoren aus und schaltet Aktoren nach einer hinterlegten Logik. SPS sind die Arbeitspferde der Automatisierung und in nahezu jeder Anlage zu finden. Wer eine SPS kontrolliert, kontrolliert den Prozess.; Detail-Seite öffnen
ProfinetProcess Field Net: Ethernet-basiertes Echtzeit-Protokoll von Siemens / PI (PROFIBUS & PROFINET International), in europäischer Fertigung Quasi-Standard. Trägt zyklische Prozessdaten, azyklische Konfiguration und Engineering-Verkehr — alles auf demselben Layer-2-Segment. Schwachstellen im Profinet-Stack treffen typischerweise direkt Siemens SIMATIC S7-1500 und kompatible Drittanbieter wie Phoenix Contact PLCnext oder Hilscher-Module. Schutz erfolgt fast immer durch Netz-Zonierung, nicht durch Protokoll-Härtung.; Detail-Seite öffnen
RTUFernbedienungsstationRemote Terminal Unit: Eine RTU ist eine robuste Feldstation, die an weit entfernten oder unzugänglichen Orten Messwerte erfasst und Befehle einer Leitstelle ausführt — etwa an einer Pipeline, einem Umspannwerk oder einer Wasserstation. Sie ist die Schnittstelle zwischen dem zentralen SCADA-System und der verteilten Anlage vor Ort. Sie arbeitet oft autark und über große Distanzen.; Detail-Seite öffnen
SCADAÜberwachung und Steuerung verteilter ProzesseSupervisory Control and Data Acquisition: SCADA bezeichnet Systeme zur zentralen Überwachung und Steuerung weiträumig verteilter industrieller Prozesse — etwa Strom-, Gas- oder Wassernetze. Eine Leitstelle sammelt Daten von Feldstationen (RTUs, PLCs) und sendet Steuerbefehle zurück. SCADA ist das übergeordnete Nervensystem kritischer Infrastruktur.; Detail-Seite öffnen
SISSicherheits-NotabschaltsystemSafety Instrumented System: Ein SIS ist ein unabhängiges Sicherheitssystem, das eine Industrieanlage automatisch in einen sicheren Zustand fährt, wenn ein Prozess gefährliche Grenzen erreicht — etwa Überdruck oder Überhitzung. Es ist die letzte technische Schutzbarriere zur Vermeidung von Schäden an Mensch, Umwelt und Anlage. Ein Angriff darauf ist besonders folgenschwer.; Detail-Seite öffnen
TCPÜbertragungssteuerungsprotokollTransmission Control Protocol: TCP ist das Protokoll, das eine zuverlässige, geordnete Datenübertragung über das ansonsten unzuverlässige IP gewährleistet. Es stellt sicher, dass alle Datenpakete vollständig und in der richtigen Reihenfolge ankommen — die Grundlage für Web, E-Mail und die meisten Anwendungen. Gemeinsam bilden sie den TCP/IP-Stapel.; Detail-Seite öffnen
UDPBenutzer-Datagramm-ProtokollUser Datagram Protocol: UDP ist ein einfaches Transportprotokoll, das Daten ohne Verbindungsaufbau und ohne Zustellgarantie verschickt — schnell, aber „ungesichert“. Es eignet sich für Anwendungen, bei denen Tempo wichtiger ist als Vollständigkeit, etwa Sprach- und Videoübertragung, DNS oder Zeitabgleich. Es ist das schlanke Gegenstück zu TCP.; Detail-Seite öffnen
VPNVirtuelles privates NetzwerkVirtual Private Network: Ein Virtual Private Network (VPN) bündelt Datenverkehr in einen verschlüsselten Tunnel, der zwei Endpunkte über ein unsicheres Netz (typisch das Internet) verbindet. Enterprise-VPNs (IPsec, WireGuard, OpenVPN) verbinden Standorte oder Remote-Mitarbeiter mit dem Firmennetz; Consumer-VPNs anonymisieren die Quell-IP. Beides sind reine Transport-Kontrollen — sie ersetzen keine Endpoint-Sicherheit.; Detail-Seite öffnen

Recht & Compliance

§ 202a StGB§ 202a StGB — Ausspähen von DatenSection 202a German Criminal Code — Data Espionage: § 202a StGB stellt das unbefugte Verschaffen von Zugang zu besonders gesicherten Daten unter Strafe — also das Überwinden einer Zugangssicherung, um an fremde, nicht für einen bestimmte Daten zu gelangen. Schon das „Knacken“ des Schutzes ist strafbar, unabhängig davon, ob die Daten anschließend genutzt werden. Die Vorschrift ist ein Grundpfeiler des deutschen Computerstrafrechts.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
§ 202b StGB§ 202b StGB — Abfangen von DatenSection 202b German Criminal Code — Interception of Data: § 202b StGB stellt das unbefugte Abfangen nicht-öffentlicher Datenübermittlungen unter Strafe — etwa das Mitschneiden fremder Netzwerkkommunikation oder elektromagnetischer Abstrahlung. Erfasst werden Daten während der Übertragung, nicht im gespeicherten Zustand. Die Vorschrift ergänzt das Ausspähen von Daten um die Übertragungsebene.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
§ 202c StGB§ 202c StGB — Vorbereiten des Ausspähens und Abfangens von DatenSection 202c German Criminal Code — Acts Preparatory to Data Espionage: § 202c StGB — der sogenannte „Hackerparagraph“ — stellt bereits Vorbereitungshandlungen unter Strafe: das Herstellen, Verschaffen, Verkaufen oder Verbreiten von Passwörtern, Sicherungscodes oder von Programmen, deren Zweck die Begehung einer Tat nach § 202a oder § 202b ist. Strafbar ist also schon das Bereitstellen der Mittel. Die Norm war und ist wegen ihres weiten Wortlauts umstritten.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
§ 303a StGB§ 303a StGB — DatenveränderungSection 303a German Criminal Code — Data Tampering: § 303a StGB stellt das rechtswidrige Löschen, Unterdrücken, Unbrauchbarmachen oder Verändern fremder Daten unter Strafe. Geschützt wird das Interesse des Berechtigten an der unversehrten Nutzbarkeit seiner Daten — gewissermaßen die „Sachbeschädigung“ im digitalen Raum. Auch der Versuch ist strafbar.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
§ 303b StGB§ 303b StGB — ComputersabotageSection 303b German Criminal Code — Computer Sabotage: § 303b StGB stellt die erhebliche Störung einer Datenverarbeitung unter Strafe, die für einen anderen von wesentlicher Bedeutung ist. Erfasst werden unter anderem Datenveränderung, das Eingeben oder Übermitteln von Daten in Schädigungsabsicht (etwa DoS-/DDoS-Angriffe) und das Beschädigen von Anlagen. Bei Angriffen auf Unternehmen und Behörden steigt der Strafrahmen deutlich.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
BSI-KritisVBSI-KritisverordnungBSI Criticality Regulation: Die BSI-Kritisverordnung (BSI-KritisV) konkretisiert, welche Anlagen in Deutschland als Kritische Infrastruktur (KRITIS) gelten. Sie legt dazu je Sektor Anlagenkategorien und Schwellenwerte fest — als Regelmaßstab dient die Versorgung von rund 500.000 Personen. Wer einen Schwellenwert überschreitet, unterliegt besonderen Pflichten gegenüber dem BSI.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
DORAVerordnung über die digitale operationale Resilienz im FinanzsektorDigital Operational Resilience Act: DORA ist die EU-Verordnung (EU) 2022/2554 für die digitale operationale Resilienz des Finanzsektors. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten — anders als NIS2 ist keine nationale Umsetzung nötig. Sie verpflichtet Finanzunternehmen und ihre IKT-Dienstleister zu IKT-Risikomanagement, Vorfallsmeldung, Resilienztests und strenger Steuerung von Drittparteienrisiken.; Detail-Seite öffnen Originalquelle (öffnet in neuem Tab)
EIOEuropäische ErmittlungsanordnungEuropean Investigation Order: Die Europäische Ermittlungsanordnung (EIO) ist ein Rechtsakt, mit dem eine Justizbehörde eines EU-Mitgliedstaats eine andere Justizbehörde eines anderen Mitgliedstaats direkt um Ermittlungsmaßnahmen ersucht — schneller und formaler als klassische Rechtshilfe (MLA). Grundlage ist die Richtlinie 2014/41/EU.; Detail-Seite öffnen
Emergency Disclosure RequestNotfall-AuskunftsersuchenEmergency Disclosure Request: Ein Emergency Disclosure Request (EDR) ist ein an einen Diensteanbieter gerichtetes Notfall-Auskunftsersuchen einer Strafverfolgungsbehörde, mit dem bei unmittelbarer Lebensgefahr Bestandsdaten ohne den üblichen Rechtshilfeweg herausgegeben werden können. Wichtig: Nicht mit „EDR“ im Cyber-Sinn (Endpoint Detection & Response) verwechseln.; Detail-Seite öffnen
MLAKlassische RechtshilfeMutual Legal Assistance: Mutual Legal Assistance (MLA) ist die formelle grenzüberschreitende Rechtshilfe zwischen Staaten auf Grundlage bilateraler Verträge oder multilateraler Übereinkommen — der klassische, aber vergleichsweise langsame Weg für Beweismittelherausgabe. Wo möglich wird MLA innerhalb der EU durch die schnellere EIO ergänzt oder ersetzt.; Detail-Seite öffnen
VLOPSehr große Online-PlattformVery Large Online Platform: Eine Very Large Online Platform (VLOP) ist eine Online-Plattform mit mehr als 45 Mio. monatlichen Nutzern in der EU, für die der Digital Services Act (DSA) besonders strenge Pflichten vorsieht — z. B. Risikobewertungen, Transparenzberichte, Prüfung durch unabhängige Auditoren. Die Kommission benennt VLOPs formell.; Detail-Seite öffnen
VLOSESehr große Online-SuchmaschineVery Large Online Search Engine: Eine Very Large Online Search Engine (VLOSE) ist das Suchmaschinen-Pendant zur VLOP unter dem Digital Services Act (DSA): mehr als 45 Mio. monatliche Nutzer in der EU und dementsprechend verschärfte Sorgfalts-, Melde- und Auditpflichten. Die Kommission benennt VLOSEs ebenfalls formell.; Detail-Seite öffnen

Identifier10

Scoring5

Standards & Rahmenwerke29

Institutionen28

Daten-Quellen9

Konzepte52

Marker / Klassifikation6

Forensik & DFIR41

Angriffsarten29

Werkzeuge13

Artefakte10

Protokolle & Formate16

Recht & Compliance12