Threat Hunting für Anfänger: Finden, was Alarme übersehen

TL;DR

Threat Hunting ist die proaktive Praxis, Netzwerke und Datensätze nach Angreifern zu durchsuchen, die automatisierte Erkennungstools übersehen. Forschungen des SANS Institute zeigen, dass Organisationen mit dedizierten Threat-Hunting-Programmen Sicherheitsverletzungen 2,5-mal schneller erkennen als solche, die sich ausschließlich auf Alarme verlassen. Dieser Leitfaden behandelt die hypothesenbasierte Methodik, das MITRE ATT&CK Framework als Jagdkarte, essenzielle Datenquellen wie EDR-Telemetrie und DNS-Logs sowie praktische Tools wie Elastic, Splunk und Velociraptor.

Das SIEM-Dashboard zeigte Grün auf allen Panels. Keine kritischen Alarme. Keine Ereignisse hoher Schwere. Nichts, das Aufmerksamkeit erforderte. Innerhalb desselben Netzwerks hatte eine Advanced-Persistent-Threat-Gruppe seit sechs Monaten Zugang aufrechterhalten. Sie hatten einen Domain Controller kompromittiert, 14 Gigabyte geistiges Eigentum exfiltriert und drei separate Persistenzmechanismen auf Endpoints über zwei Kontinente etabliert. Jede ihrer Aktionen blieb unter den Erkennungsschwellen, die das Sicherheitsteam konfiguriert hatte. Jedes Tool funktionierte genau wie vorgesehen. Und jedes Tool übersah sie komplett.

Es war eine Threat Hunterin, die sie fand. Nicht durch einen Alarm. Nicht durch einen Signaturabgleich. Durch eine Hypothese: „Wenn ein Angreifer unsere Umgebung kompromittiert hätte, wo würde er Persistenz etablieren und wie würde das in unserer Telemetrie aussehen?" Diese einzige Frage, gestellt von einer Analystin, die sich weigerte, Stille als Beweis für Sicherheit zu akzeptieren, enthüllte sechs Monate unentdeckter Spionage.

Das ist das zentrale Versprechen des Threat Hunting. Du hörst auf, darauf zu warten, dass Tools dir sagen, dass etwas nicht stimmt. Du gehst selbst suchen.

Reaktiv vs. proaktiv: Warum Alarme nicht ausreichen

Traditionelle Security Operations Center arbeiten mit einem reaktiven Modell. Erkennungstools lösen Alarme aus. Analysten priorisieren sie. Der Zyklus wiederholt sich. Dieses Modell funktioniert für bekannte Bedrohungen, die Angriffe, die zu existierenden Signaturen und Regeln passen. Es versagt gegen Angreifer, die deine Erkennungsfähigkeiten studieren und bewusst darunter operieren.

Laut CrowdStrikes 2025 Global Threat Report involvierten 75 % der Eindringlinge Hands-on-Keyboard-Aktivität, die minimale automatisierte Alarme generierte. Angreifer nutzten legitime Anmeldedaten, native Betriebssystem-Tools und vertrauenswürdige administrative Dienstprogramme. Keine Malware, die Antivirus auslöst. Kein Exploit, der zu einer Signatur passt. Nur ein Mensch, der vor einer Tastatur sitzt und die gleichen Tools benutzt, die deine Administratoren täglich verwenden.

Proaktives Threat Hunting kehrt das Modell um. Statt darauf zu warten, dass die Maschine „etwas stimmt nicht" sagt, sagt ein menschlicher Analyst „lass mich überprüfen, dass nichts falsch ist". Die Unterscheidung klingt subtil. In der Praxis ist es der Unterschied zwischen der Entdeckung einer Sicherheitsverletzung in 8 Tagen versus 21. Mandiants M-Trends 2025 Bericht dokumentierte genau diese Lücke: Organisationen mit strukturierten Hunting-Programmen reduzierten die mediane Verweildauer von 21 auf 8 Tage.

Hypothesenbasiertes Hunting: Mit einer Frage beginnen

Jeder effektive Threat Hunt beginnt mit einer Hypothese. Keine vage Vermutung, sondern eine spezifische, testbare Aussage über das Verhalten des Angreifers.

Eine schwache Hypothese: „Irgendetwas könnte mit unserem Netzwerk nicht stimmen."

Eine starke Hypothese: „Ein Angreifer könnte geplante Aufgaben auf Windows-Endpoints nutzen, um Persistenz aufrechtzuerhalten, indem er Aufgaben erstellt, die kodierte PowerShell-Befehle außerhalb der Geschäftszeiten ausführen."

Das Sqrrl-Framework (archiviert, die Methodik bleibt grundlegend) identifiziert drei Quellen für die Hypothesengenerierung:

Intelligence-basierte Hypothesen stammen aus Threat-Intelligence-Berichten. Wenn eine neue APT-Kampagne dokumentiert wird, fragst du: „Könnte diese Gruppe uns mit diesen Techniken angegriffen haben?"

Situationsbasierte Hypothesen stammen aus deiner eigenen Umgebung. Eine neue Cloud-Migration, eine kürzliche Akquisition oder ein ungewöhnlicher Anstieg des ausgehenden DNS-Verkehrs können Jagdfragen generieren.

Analytik-basierte Hypothesen stammen aus statistischen Anomalien in deinen Daten. Ein Endpoint, der plötzlich DNS-Anfragen an Domains mit hochentropischen Namen stellt. Ein Dienstkonto, das sich zum ersten Mal seit sechs Monaten von einer Workstation aus authentifizierte.

MITRE ATT&CK als dein Jagd-Framework

Das MITRE ATT&CK Framework ist die am weitesten verbreitete Struktur zur Organisation von Threat-Hunting-Aktivitäten. Es katalogisiert über 200 Angreifertechniken in 14 Taktiken, vom initialen Zugriff bis zur Exfiltration.

So übersetzt sich ATT&CK in einen strukturierten Jagd-Workflow:

1. Wähle eine Taktik. Starte mit einer der 14 ATT&CK-Taktiken. Persistenz und Defense Evasion sind starke Startpunkte, weil Angreifer sie in fast jedem Eindringen verwenden müssen.

2. Wähle spezifische Techniken. Unter der Persistenz-Taktik listet ATT&CK Techniken wie Boot or Logon Autostart Execution, Create or Modify System Process und Scheduled Task/Job.

3. Mappe zu Datenquellen. ATT&CK sagt dir genau, welche Datenquellen jede Technik enthüllen. Für Scheduled Task/Job brauchst du Windows Event Log (Event IDs 4698, 4702), Prozesserstellungs-Logs (Sysmon Event ID 1) und Dateierstellungsereignisse in Aufgabenverzeichnissen.

4. Schreibe Erkennungsabfragen. Übersetze die Technikbeschreibung in spezifische Abfragen gegen deine Log-Daten.

5. Untersuche Anomalien. Jedes Ergebnis, das nicht zu bekannten administrativen Mustern passt, wird zu einer Spur.

Die SANS 2025 Threat Hunting Umfrage ergab, dass 68 % der Organisationen mit aktiven Hunting-Programmen Bedrohungen entdeckten, die bestehende Erkennungstools nicht identifiziert hatten.

Datenquellen: Wo Angreifer Spuren hinterlassen

EDR-Telemetrie ist die wertvollste einzelne Quelle. Endpoint Detection and Response Plattformen wie CrowdStrike Falcon, Microsoft Defender for Endpoint und SentinelOne erfassen Prozesserstellungsbäume, Dateimodifikationen, Registry-Änderungen, Netzwerkverbindungen und DLL-Ladevorgänge auf Host-Ebene.

DNS-Abfrage-Logs enthüllen die Kommunikation mit Command-and-Control-Infrastruktur. Angreifer verwenden häufig Domain Generation Algorithms (DGA), um Domains zu erstellen, die nur für Stunden auflösen bevor sie rotieren.

Proxy- und Web-Gateway-Logs erfassen ausgehende HTTP/HTTPS-Verkehrsmetadaten. Eine Workstation, die alle 60 Sekunden exakt 4.096 Bytes an dieselbe externe IP sendet, zeigt Beaconing-Verhalten konsistent mit Malware Command-and-Control.

Authentifizierungs-Logs von Active Directory decken Lateral Movement auf. Ein Angreifer, der einen Endpoint kompromittiert, muss sich typischerweise durch das Netzwerk bewegen, um hochwertige Ziele wie Datenbankserver und Domain Controller zu erreichen.

Netzwerk-Flow-Daten (NetFlow, sFlow) liefern eine Aufzeichnung jeder Netzwerkkonversation: Quelle, Ziel, Ports, Protokolle, Byte-Zähler und Dauer.

Der Jagd-Workflow: Von der Hypothese zum Fund

Schritt 1: Formuliere die Hypothese. Definiere, wonach du suchst, wo du Beweise erwartest und wie „normal" in diesem Kontext aussieht.

Schritt 2: Identifiziere benötigte Daten. Mappe die Hypothese auf spezifische Datenquellen und Log-Typen. Verifiziere, dass die Daten existieren und den relevanten Zeitraum abdecken.

Schritt 3: Erstelle und führe Abfragen aus. Beginne breit, um die Baseline zu verstehen, dann grenze progressiv ein, um Anomalien zu isolieren.

Schritt 4: Analysiere die Ergebnisse. Bewerte jede Anomalie gegen dein Wissen über die Umgebung. Nicht jeder Ausreißer ist bösartig.

Schritt 5: Dokumentiere und eskaliere. Wenn du bestätigte bösartige Aktivität entdeckst, eskaliere an deinen Incident-Response-Prozess. Wenn du Erkennungslücken entdeckst, erstelle neue Alarme oder Regeln.

Schritt 6: Verfeinere und wiederhole. Jeder Hunt generiert neue Fragen, die zur nächsten Hypothese werden.

Werkzeuge des Handwerks

Elastic Security (ELK Stack)

Eine KQL-Beispielabfrage für verdächtige PowerShell-Ausführung:

process.name: "powershell.exe" AND process.args: ("-enc" OR "-encodedcommand" OR "FromBase64String") AND NOT user.name: ("SYSTEM" OR "svc-deploy")

Splunk

Eine SPL-Beispielabfrage für DNS-Beaconing-Verhalten:

index=dns sourcetype=stream:dns
| stats count dc(query) as unique_queries avg(bytes_out) as avg_bytes by src_ip dest_ip
| where count > 500 AND unique_queries < 10 AND avg_bytes < 512
| sort - count

Velociraptor

Velociraptor ist ein Open-Source-Tool für Endpoint-Sichtbarkeit und Forensik, das speziell für Threat Hunting und Incident Response konzipiert wurde. Es fragt Endpoints direkt und in Echtzeit mit VQL (Velociraptor Query Language) ab. Für Teams ohne kommerzielle EDR-Plattform bietet Velociraptor Enterprise-Scale-Endpoint-Hunting ohne Lizenzkosten.

Threat Hunting vs. Incident Response: Ergänzende Disziplinen

Incident Response beginnt, wenn etwas auslöst: ein Alarm, ein Benutzerbericht oder eine externe Benachrichtigung. Du weißt, dass etwas passiert ist. Die Arbeit ist Eindämmung, Untersuchung und Behebung.

Threat Hunting beginnt, wenn nichts ausgelöst hat. Kein Alarm, kein Bericht, keine Benachrichtigung. Du gehst davon aus, dass ein Angreifer trotz der Stille anwesend sein könnte. Die Arbeit ist Entdeckung.

Die beiden Disziplinen speisen sich gegenseitig. Hunts, die Bedrohungen entdecken, gehen in Incident-Response-Workflows über. Incident-Response-Untersuchungen, die Lücken in der Erkennungsabdeckung aufdecken, generieren Hypothesen für zukünftige Hunts. Der SOC-Analyst, der letzten Monat einen Phishing-Vorfall untersuchte und entdeckte, dass die Organisation keine Sichtbarkeit über OAuth-Token-Missbrauch hatte, hat jetzt eine Jagdhypothese für das nächste Quartal.

Dein erstes Hunting-Programm aufbauen

Starte, indem du vier Stunden pro Woche für strukturiertes Hunting widmest. Wähle eine ATT&CK-Technik pro Sitzung. Schreibe die Hypothese. Führe die Abfragen aus. Dokumentiere die Ergebnisse. Vier Stunden pro Woche über 52 Wochen ergeben 52 dokumentierte Hunts.

Baue einen Hypothesen-Backlog auf. Jeder Threat-Intelligence-Bericht, jeder Vorfall, jede Anomalie kann eine Jagdhypothese generieren. Pflege eine priorisierte Liste, damit du immer weißt, was als Nächstes zu jagen ist.

Das SANS Institute Threat Hunting Maturity Model beschreibt fünf Stufen von HMM0 (initial, überwiegend reaktiv) bis HMM4 (führend, mit automatisierten Jagd-Workflows integriert in SOC-Operationen). Die meisten Organisationen starten bei HMM1. Das Ziel ist nicht, HMM4 sofort zu erreichen, sondern stetig Fortschritte zu machen, indem Hunting zu einer konsistenten, dokumentierten Praxis wird.

Vom passiven Monitoring zur aktiven Entdeckung

Die Sicherheitsindustrie hat zwei Jahrzehnte damit verbracht, schnellere, intelligentere, teurere Alarmmaschinen zu bauen. Sie funktionieren. Sie fangen die meisten Bedrohungen. Aber „die meisten" ist nicht „alle", und die Bedrohungen, die sie übersehen, sind tendenziell diejenigen, die katastrophalen Schaden anrichten.

Threat Hunting schließt diese Lücke. Es erkennt eine fundamentale Wahrheit an, dass kein Erkennungssystem vollständig ist, und kanalisiert diese Erkenntnis in produktives Handeln. Die Analystin, die den sechsmonatigen APT fand, benutzte kein Tool, das der Rest des Teams nicht hatte. Sie benutzte dasselbe SIEM, dasselbe EDR, dieselben Daten, auf die alle anderen Zugriff hatten. Der Unterschied war eine Frage: „Was, wenn hier etwas ist, das wir nicht gesehen haben?"

Diese Frage, konsequent gestellt und methodisch untersucht, ist die gesamte Disziplin. Starte mit einer Hypothese. Führe einen Hunt durch. Dokumentiere, was du findest. Dann mach es nächste Woche wieder. Die Angreifer warten nicht darauf, dass deine Tools aufholen. Du solltest es auch nicht.