Die Malware ist identifiziert, der Incident ist analysiert. Und dann kommt die Frage, die viele Teams erst spät stellen: Wer steckt eigentlich dahinter, wie arbeitet die Gruppe, und was wird sie als Nächstes tun? Genau hier setzt Threat Intelligence an. Sie beschreibt nicht nur die Schadsoftware, sondern den Gegner selbst: seine Vorgehensweise (TTPs), seine Ziele und seine Motivation.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
In dieser Anleitung lernst du, welche öffentlichen Quellen für Threat Intelligence besonders wertvoll sind, wie du mit ChatGPT ein Trade-Actor-Profil aufbaust, Detection-Empfehlungen ableitest und daraus einen verteilbaren Report erstellst. Am Beispiel der Ransomware-Gruppe LockBit zeige ich dir Schritt für Schritt, wie du Informationen, die sonst verstreut in Blogs, Reports und Feeds liegen, in wenigen Minuten bündelst. Die Zeitstempel verweisen auf das zugehörige Video-Tutorial.
Wichtigste Erkenntnisse
- Threat Intelligence beantwortet die Fragen Wer, Wie, Wen und Warum und verschiebt deine Verteidigung von reaktiv zu proaktiv.
- Die wichtigsten OSINT-Quellen reichen von Herstellerberichten (Mandiant, CrowdStrike, Microsoft) über Behörden (CISA, BSI) bis zu Wissensdatenbanken wie MITRE ATT&CK Groups, Malpedia und dem Ransomware-Wiki.
- ChatGPT eignet sich, um verstreute Informationen zu konsolidieren, sofern du die Quellen anschließend prüfst.
- Konkrete Detection-Empfehlungen mit Logquellen, Beispielqueries und erwarteter False-Positive-Rate lassen sich direkt aus den TTPs ableiten.
- Ein Report entsteht in Minuten, wenn du der KI die Struktur vorgibst und danach rund 30 Prozent der Arbeit selbst übernimmst: prüfen, einordnen, persönlich verfeinern.
Schritt 1: Die richtigen OSINT-Quellen kennenlernen
Bevor du mit der KI arbeitest, solltest du wissen, wo gute Informationen herkommen. Threat Intelligence beginnt mit öffentlichen Berichten. Große Security-Anbieter wie Mandiant, CrowdStrike und Microsoft veröffentlichen regelmäßig ausführliche Analysen zu Angreifergruppen. Diese Reports enthalten meist Angriffsketten, eingesetzte Werkzeuge und Indikatoren, die sich direkt in deine Detections übertragen lassen.
Ergänzend solltest du die Warnungen staatlicher Stellen im Blick behalten. Die US-amerikanische CISA veröffentlicht aktuelle Advisories, das deutsche BSI liefert Warnmeldungen mit Relevanz für den deutschen Markt.
Schritt 2: Wissensdatenbanken zu Gruppen und Malware nutzen
Neben Berichten brauchst du strukturiertes Referenzwissen. Die MITRE ATT&CK Groups listen bekannte Angreifergruppen mit ihren Techniken auf und verlinken auf die jeweiligen Quellen. Das ist die ideale Grundlage, um Verhaltensmuster in ein gemeinsames Vokabular zu übersetzen.
Für Malware eignet sich Malpedia als Enzyklopädie, in der du Schadsoftware-Familien, Varianten und Referenzen findest. Wenn du es mit Ransomware zu tun hast, ist das Ransomware-Wiki hilfreich. Dort findest du Informationen zu Erpressergruppen und veröffentlichten Leaks, also dazu, welche Daten bereits abgeflossen sind.
Schritt 3: Aktuelle Nachrichten und IOC-Feeds einbeziehen
Berichte erscheinen oft mit Verzögerung. Für die Geschwindigkeit brauchst du deshalb Nachrichtenquellen wie BleepingComputer, The Record oder SecurityWeek. Auch Security-Forscher auf Social Media veröffentlichen neue Erkenntnisse häufig als Erste. Das Tempo kommt mit einem Preis: Nicht jede Meldung ist vollständig geprüft, daher gilt: Erst gegenchecken, dann übernehmen.
Für technische Indikatoren nutzt du Feeds wie AlienVault OTX, abuse.ch oder VirusTotal. Dort findest du IP-Adressen, Domains und Hashes. Diese Daten lassen sich gut für Infrastrukturrecherchen verwenden.
Schritt 4: Das Problem der verstreuten Informationen lösen
Das eigentliche Problem liegt in der Verteilung. Ein Report steckt hier, ein Tweet dort, ein Eintrag im Wiki woanders. Genau an dieser Stelle hilft ChatGPT, die Informationen zu konsolidieren. Du bekommst keine fertige Wahrheit, sondern eine erste, strukturierte Grundlage, die du anschließend verifizierst.
Starte mit einer klaren Rollenbeschreibung. Formuliere den Prompt so, dass die KI als Trade-Intelligence-Analyst agiert, und gib die gewünschte Gliederung vor: Overview, Targeting, Tactics and Techniques, Tools und Infrastruktur, Recent Activity, Indicators of Compromise, Detection Opportunities und Referenzen. Eine vorgegebene Struktur sorgt dafür, dass das Ergebnis vergleichbar bleibt.
Schritt 5: Webzugriff bewusst steuern und Quellen prüfen
Mit aktivierter Websuche greift ChatGPT auf aktuelle Webinhalte zu und bezieht Informationen über das Trainingsdatum hinaus ein. Das dauert länger, liefert aber aktuellere Ergebnisse, weil mehr Quellen ausgewertet werden. Entscheide also vorab, ob du aktuelle Daten brauchst oder mit dem bereits vorhandenen Wissen arbeitest.
Achte darauf, dass die Antwort Verlinkungen enthält. Nur so kannst du jede Aussage nachvollziehen und gegebenenfalls selbst nachschlagen. Behandle Zeitangaben wie 2023 oder 2024 kritisch und prüfe, ob sie zum aktuellen Stand passen. Gerade bei Gruppen, die sich umbenennen oder neu formieren, kann sich viel ändern.
Schritt 6: Das Trade-Actor-Profil auswerten
Das fertige Profil enthält meist Aliase, Aktivitätszeitraum, Struktur und Motivation, zum Beispiel finanziell motivierte Erpressung. Im Targeting siehst du bevorzugte Branchen, geografische Schwerpunkte und typische Opfergrößen. Der technische Teil beschreibt Taktiken, Techniken und Prozeduren, eingesetzte Werkzeuge, Infrastruktur und die jüngste Aktivität. Dazu kommen Indicators of Compromise und Referenzen für die Vertiefung.
Lies das Profil nicht nur durch, sondern markiere die Punkte, die für dein Umfeld relevant sind. Eine Gruppe, die ausschließlich Fertigungsbetriebe angreift, ist für ein Softwareunternehmen anders zu bewerten als für einen Maschinenbauer.
Schritt 7: Konkrete Detection-Empfehlungen ableiten
Der eigentliche Wert von Threat Intelligence entsteht bei der Umsetzung. Dafür baust du einen Prompt, der sich auf die zuvor ermittelten TTPs bezieht. Fordere für jede Technik an, was überwacht werden soll, welche Logquellen nötig sind, und lass Beispielqueries als Pseudocode oder in Splunk SPL erzeugen. Ergänze die erwartete False-Positive-Rate und begrenze die Antwort auf die fünf wichtigsten Detection-Möglichkeiten.
Typische Ergebnisse umfassen den Missbrauch gültiger Konten, laterale Bewegung über Remote Services und Admin-Shares, Datenfilterung und Exfiltration über Upload-Tools sowie das Löschen von Schattenkopien. Setze die Empfehlungen anschließend in deiner eigenen Umgebung gegen. Nicht jede Query passt zu deinen Logquellen, und Syntax muss oft angepasst werden.
Schritt 8: Den Threat-Intelligence-Report erstellen
Sobald Profil und Detections stehen, geht es an die Verteilung. Ein Report für das interne Team oder das Management sollte knapp, klar strukturiert und verständlich sein. Gib der KI deshalb ein Format vor: professionelle Tonalität, Abschnitte, eine Klassifizierung wie „Internal“ im Header und Angaben zur Relevanz für die eigene Organisation.
Typische Abschnitte sind Executive Summary, Trade Overview, Relevanz für die Organisation, analysierte TTPs, Indicators of Compromise, Migrationsempfehlungen, Detection-Möglichkeiten, Intelligence Gaps und Referenzen. Der fertige Report lässt sich als PDF exportieren oder direkt in ein Dokument kopieren.
Schritt 9: Die 70-30-Regel anwenden
Lass die KI die Hauptarbeit erledigen, aber überarbeite das Ergebnis selbst. Als grobe Faustregel gilt: Rund 70 Prozent übernimmt ChatGPT, etwa 30 Prozent bleiben bei dir. Prüfe Fakten, korrigiere Fehler, passe Begriffe an die Sprache deines Teams an und ergänze Kontext aus deiner eigenen Erfahrung. Erst dann verschickst du den Report.
Diese Kontrolle ist kein Nice-to-have. Sprachmodelle können Details falsch wiedergeben oder Quellen verkürzen. Ein Report, der an das Management geht, muss belastbar sein.
Schritt 10: Mehrere Bedrohungsakteure vergleichen
Für Priorisierungen ist der Vergleich mehrerer Gruppen besonders hilfreich. Du kannst etwa die drei aktivsten Ransomware-Gruppen eines Jahres gegenüberstellen. Formuliere den Prompt präzise: Zeitraum, Anzahl der Gruppen und gewünschte Vergleichsdimensionen wie Aktivitätsdauer, Ransomware-Familie, Initial Access und doppelte Erpressung.
Das Ergebnis ist eine Vergleichsmatrix mit Empfehlungen, welche Gruppe vorrangig überwacht werden sollte und warum. Beachte, dass solche Analysen mehr Rechenzeit benötigen, da viele Quellen ausgewertet werden.
Schritt 11: Threat Intelligence in deinen Workflow integrieren
Threat Intelligence bringt nur dann etwas, wenn sie im Alltag ankommt. Nutze die KI, um konkrete Anwendungsfälle zu erzeugen: ein kurzes Briefing für das Security Operations Center, ein Detection-Engineering-Backlog mit priorisierten Fällen, eine Vulnerability-Management-Priorisierung oder ein Awareness-Training. Auch für Tabletop-Übungen lassen sich realistische Szenarien erstellen.
Bei der Priorisierung von Schwachstellen zählt das reale Angreiferverhalten mehr als ein reiner CVSS-Wert. Eine Lücke, die von der beobachteten Gruppe aktiv ausgenutzt wird, verdient Vorrang, auch wenn ihr Schweregrad niedriger eingestuft ist.
Zusammenfassung – Threat Intelligence mit ChatGPT: Angreifer verstehen
Threat Intelligence beantwortet die Frage, wer dein Gegner ist und wie er vorgeht. Du sammelst das Wissen aus öffentlichen Quellen wie Herstellerberichten, Behördenwarnungen, Wissensdatenbanken und IOC-Feeds. ChatGPT hilft dir, diese Informationen zu einem Trade-Actor-Profil zu bündeln, Detection-Empfehlungen mit Beispielqueries abzuleiten und einen Report zu erstellen. Entscheidend bleibt deine Prüfung: Quellen verifizieren, Ergebnisse einordnen und den Report mit eigener Expertise verfeinern. So verschiebst du deine Verteidigung von der Reaktion hin zur gezielten Vorbereitung.
FAQ
Was ist der Unterschied zwischen Threat Intelligence und einer Incident-Analyse?Die Incident-Analyse beschreibt, was in deinem Netzwerk passiert ist. Threat Intelligence beschreibt, wer dahintersteckt, wie die Gruppe arbeitet und was als Nächstes zu erwarten ist.
Welche Quellen sind für den Einstieg am wichtigsten?Ein guter Einstieg sind Berichte von Mandiant, CrowdStrike und Microsoft, die Warnungen von CISA und dem BSI, die MITRE ATT&CK Groups sowie Malpedia und das Ransomware-Wiki.
Kann ich ChatGPT ungeprüft für einen Threat-Intelligence-Report verwenden?Nein. Die KI liefert eine strukturierte Grundlage, aber Fakten, Quellen und Zeitangaben musst du selbst prüfen. Als Richtwert gilt die 70-30-Regel, also rund 30 Prozent eigene Überarbeitung.
Was bedeutet die False-Positive-Rate bei einer Detection?Sie gibt an, wie häufig eine Regel fälschlicherweise anschlägt, obwohl kein Angriff vorliegt. Eine hohe Rate bedeutet viel unnötige Arbeit für das Team und sollte bei der Priorisierung berücksichtigt werden.
Warum sollte ich die Websuche in ChatGPT aktivieren?Mit aktivierter Websuche werden aktuellere Informationen einbezogen, die nach dem Trainingsstand des Modells entstanden sind. Die Antwort dauert dann länger, enthält aber häufiger Verlinkungen, die du nachprüfen kannst.
Wie erkenne ich, welche Detection für meine Umgebung passt?Prüfe, ob die benötigten Logquellen in deiner Umgebung vorhanden sind und ob die Queries an deine Syntax und Datenstruktur angepasst werden können. Teste jede Regel zunächst im Monitoring-Modus, bevor du sie scharf schaltest.
