Wenn wir komplexes Verhalten verstehen wollen, versuchen wir fast automatisch eine Struktur zu schaffen. Wir zerlegen Abläufe, ordnen Schritte und versuchen Muster zu erkennen. Cyberangriffe sind dabei kein Ausnahmefall: Ob beim Nachstellen von Angriffen im Pentesting/Red Teaming oder bei der Aufklärung vorgefallener Angriffe in der IT-Forensik – erst Struktur macht das Geschehen nachvollziehbar und bringt Ordnung in ein zunächst unübersichtliches Umfeld.
Die Cyber Kill Chain bietet hierfür einen bewährten Rahmen. Das Modell beschreibt Angriffe nicht als isolierte Einzelereignisse oder unvorhersehbares Chaos, sondern als zusammenhängenden Prozess mit klaren Phasen, die analysiert, nachgestellt und unterbrochen werden können. Damit schafft es eine gemeinsame Denkgrundlage für unterschiedliche sicherheitsrelevante Disziplinen.
Die Cyber Kill Chain wurde 2011 vom US-Rüstungskonzern Lockheed Martin entwickelt. Der Begriff leitet sich von der militärischen "Kill Chain" ab, die die Schritte eines Angriffs von der Zielidentifikation bis zur Zerstörung beschreibt. In die digitale Welt übertragen, beschreibt das Modell, dass jeder erfolgreiche Cyberangriff eine definierte Kette von sieben aufeinanderfolgenden Phasen durchlaufen muss.
Um das Modell und die abstrakten Stufen greifbarer zu machen, wird jede der sieben Phasen im Folgenden nicht nur beschrieben, sondern auch mit Beispielen und technischen Details aus der Praxis ergänzt.
In der Aufklärungsphase sammeln Cyber-Kriminelle Informationen über das Ziel, um den Angriff gezielt vorzubereiten (sogenanntes „Targeting“). Ziel ist es, potenzielle Schwachstellen, Strukturen und Angriffspunkte zu identifizieren.
Nachdem Schwachstellen oder Zielpersonen identifiziert sind, bereiten Cyber-Kriminelle in der Bewaffnungsphase die eigentlichen Angriffswerkzeuge vor oder passt sein Werkzeug spezifisch an. Ziel ist es, die zuvor gewonnenen Informationen in eine konkrete Angriffsmethode zu überführen, die technisch funktioniert und möglichst unauffällig ist.
In der Delivery-Phase bringen Cyber-Kriminelle ihr vorbereitetes Angriffswerkzeug zum Ziel. Entscheidend ist dabei die Wahl eines Übertragungswegs, der möglichst glaubwürdig wirkt und bestehende Schutzmechanismen umgeht.
Die Exploitation-Phase kennzeichnet sich u.a. durch kurzlebige, sicherheitskritische Aktivitäten. Ziel dieser Phase ist es Zugang zum Zielobjekt zu erhalten, bspw. durch die aktive Ausnutzung einer Schwachstelle und Umgehung von Sicherheitsmechanismen.
Ein einmaliger Zugriff reicht professionellen Angriffsgruppen selten aus. Ziel ist es, dauerhaften oder zumindest mehrfachen Zugriff zu erhalten und sich im Zielobjekt zu verankern. Nach erfolgreicher Ausnutzung installieren Cyber-Kriminelle daher Komponenten zur Sicherstellung der Persistenz.
In dieser Phase bauen die Aggressoren einen externen Kommunikationskanal zum kompromittierten Zielobjekt auf. Über diesen Kanal werden Befehle empfangen und Daten exfiltriert.
In der letzten Phase verfolgen die Cyber-Kriminellen ihre eigentlichen Ziele. Diese können je nach Motivation variieren oder miteinander kombiniert werden. Die Auswirkungen sind in dieser Phase für die Betroffenen unmittelbar einzusehen.
Während die Cyber Kill Chain ein exzellentes Einstiegsmodell ist, stößt sie in der modernen Sicherheitsarchitektur an Grenzen.
Das Modell suggeriert einen strikt linearen Ablauf. In der Realität, besonders bei komplexen Angriffen (Advanced Persistent Threats), springen Cyber-Kriminelle oft zwischen Phasen hin und her oder überspringen Schritte. Zudem fokussiert sich die Cyber Kill Chain stark auf die Abwehr am Netzwerkrand (Perimeter) und weniger auf das Szenario, in dem sich ein Aggressor bereits im internen Netzwerk bewegt („Assume Breach“-Mentalität).
Für operative Sicherheitsteams hat sich daher das MITRE ATT&CK Framework als De-facto-Standard etabliert. Anders als die lineare Kill Chain handelt es sich hierbei um eine umfassende Wissensdatenbank in Form einer Matrix, die Taktiken und Techniken auf Basis realer Angriffsbeobachtungen detailliert beschreibt. Es ist weniger eine "Checkliste" als vielmehr ein "Periodensystem" der Angriffsarten. Entsprechend können durch die detaillierte Beschreibung der Techniken und Taktiken, gezielt Maßnahmen zur Prävention, Detektion und Härtung auf operativer Ebene abgeleitet werden. Sicherheitskontrollen lassen sich somit konkreten Angriffstechniken zuordnen und systematisch überprüfen.
Ein hybrider Ansatz ist die Unified Kill Chain (UKC). Sie erweitert das klassische Modell auf 18 Schritte und erkennt an, dass Angriffe oft in Schleifen verlaufen: Cyber-Kriminelle brechen ein ("In"), breitet sich aus ("Through") und exfiltriert dann Daten ("Out").
Fazit für die Praxis
Die Cyber Kill Chain (nach Lockheed Martin) stellt – trotz der aufgezeigten Grenzen des Modells – ein wirkungsvolles Instrument für das Management dar, um Sicherheitsstrategien strukturiert zu entwickeln, Budgetentscheidungen fundiert zu treffen und Cyberangriffe nachvollziehbar zu erklären. Das Modell verdeutlicht, warum Investitionen in E-Mail-Sicherheit (Phase 3), Endpoint Detection & Response (Phasen 4 und 5) sowie Netzwerküberwachung (Phase 6) gleichermaßen notwendig sind und als abgestimmtes Gesamtkonzept betrachtet, werden sollten.
Für technische Teams bietet sie einen strategischen Rahmen, der durch detailliertere Modelle wie MITRE ATT&CK operativ konkretisiert und vertieft wird. Während die Cyber Kill Chain das „Warum“ und „Wo“ beantwortet, liefern operative Modelle das „Wie“.
Ob strategische Sicherheitsplanung, realitätsnahe Angriffssimulationen (Pentesting) oder die strukturierte Aufklärung von Sicherheitsvorfällen im Rahmen von Incident Response und forensischen Untersuchungen – wir unterstützen Sie dabei, Angriffe entlang der gesamten Kill Chain zu verstehen, zu testen und wirksam zu erkennen.
