Was ist die Cyber-Kill-Chain? Schritte, Beispiele und wie man sie unterbricht

Jeder Cyberangriff folgt einem bestimmten Ablauf. Der Angreifer muss zunächst eindringen, sich ein Fußfach verschaffen, sich durch die Umgebung bewegen und schließlich sein Ziel erreichen. Dieser Ablauf ist nicht zufällig. Er folgt einer erkennbaren Abfolge von Phasen, und die Cyber-Kill-Chain bietet Sicherheitsteams ein Rahmenkonzept, um genau zu verstehen, wie diese Abfolge aussieht und an welcher Stelle sie unterbrochen werden kann.

Für MSPs und IT-Teams, die komplexe, verteilte Umgebungen schützen, ist die Kill Chain mehr als nur ein theoretisches Modell. Sie dient als praktischer Ansatz, um Sicherheitsmaßnahmen dem tatsächlichen Verlauf von Angriffen gegenüberzustellen und zu erkennen, wo Lücken in der Absicherung Unternehmen angreifbar machen. Tools wie Datto EDR, Kaseya SIEM und Kaseya MDR sind darauf ausgelegt, Angreifer in verschiedenen Phasen dieser Kette zu stoppen, bevor der Schaden ein Stadium erreicht, aus dem eine Wiederherstellung nur noch schwer möglich ist.

Was ist die Cyber-Kill-Chain?

Die Cyber-Kill-Chain ist ein Rahmenkonzept, das die Phasen eines Cyberangriffs von der anfänglichen Erkundung bis hin zum Erreichen des endgültigen Ziels durch den Angreifer abbildet. Es wurde 2011 von Lockheed Martin entwickelt und basiert auf dem militärischen Konzept der „Kill-Chain“, bei dem ein Gefecht mit dem Feind in einzelne, identifizierbare Schritte unterteilt wird, die jeweils gezielt angegriffen und gestört werden können.

In der Cybersicherheit erfüllt das Modell denselben Zweck. Indem sie die Abfolge der Schritte verstehen, die ein Angreifer durchlaufen muss, können Sicherheitsteams in jeder Phase Kontrollpunkte identifizieren, an denen der Angriff erkannt, verlangsamt oder vollständig gestoppt werden kann. Ein Angreifer, der in Phase zwei gestoppt wird, erreicht Phase fünf nie. Ein Angreifer, der in Phase vier entdeckt wird, kann eingedämmt werden, bevor er Phase sieben erreicht.

Das Rahmenwerk wurde ursprünglich mit Blick auf Advanced Persistent Threats (APTs) entwickelt: raffinierte, langwierige Angriffe, die von gut ausgestatteten Angreifern durchgeführt werden, die vor dem Handeln sorgfältig planen. Es eignet sich nach wie vor am besten für diese Art von Bedrohungen, doch seine Logik lässt sich allgemein darauf anwenden, wie Sicherheitsteams über mehrschichtige Abwehrmaßnahmen gegen strukturierte Angriffe aller Art nachdenken.

Die 7 Schritte der Cyber-Kill-Chain

Das ursprüngliche Modell von Lockheed Martin umfasst sieben aufeinanderfolgende Schritte. Jeder Schritt stellt einen Punkt dar, an dem die Verteidigung eingreifen kann.

Schritt 1: Erkundung

Bevor der Angreifer einen Angriff startet, sammelt er Informationen über das Ziel. Dazu gehört das Auswerten öffentlich zugänglicher Daten über die Infrastruktur der Organisation, E-Mail-Adressen von Mitarbeitern, Stellenanzeigen, aus denen die verwendete Technologie hervorgeht, Social-Media-Profile sowie alle nach außen gerichteten Systeme, die als Einfallstore dienen könnten.

Die Aufklärung kann passiv erfolgen, indem Open-Source-Informationen (OSINT) genutzt werden, ohne direkt auf die Systeme des Ziels zuzugreifen, oder aktiv, indem nach offenen Ports gesucht, Softwareversionen ermittelt und nach Schwachstellen gesucht wird. Je mehr Informationen ein Angreifer dabei sammelt, desto präziser und überzeugender wird der anschließende Angriff.

Defensiver Ansatz: Überwachung auf externe Scan-Aktivitäten, Einschränkung öffentlich zugänglicher technischer Informationen und Kontrolle darüber, welche mitarbeiterbezogenen Systeme mit dem Internet verbunden sind.

Schritt 2: Waffeneinsatz

Der Angreifer nutzt die bei der Erkundung gewonnenen Erkenntnisse, um seine Angriffsnutzlast zu erstellen oder zusammenzustellen. Dazu gehört in der Regel die Erstellung schädlicher Dateien, die darauf ausgelegt sind, eine bestimmte, in der Umgebung des Ziels identifizierte Schwachstelle auszunutzen. Ein Phishing-Dokument mit einem eingebetteten Makro, das einen Fernzugriffstrojaner verbreitet, ein manipuliertes PDF, das eine Schwachstelle im Reader ausnutzt, oder ein Dropper, der bei Ausführung Ransomware installiert, sind allesamt Beispiele für solche Manipulationen.

Sicherheitsverantwortliche haben selten direkten Einblick in diese Phase, da sie vollständig auf der vom Angreifer kontrollierten Infrastruktur stattfindet. Der Schwerpunkt liegt hier auf der Verringerung der Angriffsfläche, die durch die Erkundung offengelegt wurde: Durch das schnelle Schließen bekannter Sicherheitslücken werden die Waffen beseitigt, die der Angreifer einsetzen wollte.

Schritt 3: Lieferung

Der Angreifer übermittelt die schädliche Nutzlast an das Ziel. E-Mails sind der häufigste Übertragungsweg, insbesondere im Rahmen von Phishing-Kampagnen, die bösartige Anhänge oder Links enthalten. Weitere Übertragungswege sind kompromittierte Websites, die Drive-by-Downloads auslösen, bösartige USB-Sticks, kompromittierte Software-Updates von Drittanbietern (Supply-Chain-Angriffe) sowie die Ausnutzung von Diensten mit Internetanbindung.

Schwerpunkt der Abwehr: E-Mail-Filterung, Webfilterung, DNS-Schutz und Schulungen zur Sensibilisierung der Benutzer für Sicherheitsfragen kommen alle in der Übertragungsphase zum Einsatz. Das Blockieren der Übertragung, bevor die Nutzlast ein Gerät erreicht, ist die wirksamste Abwehrmaßnahme, da dadurch alle nachfolgenden Phasen verhindert werden.

Schritt 4: Ausnutzung

Sobald die Schadsoftware ihr Ziel erreicht hat, wird sie ausgeführt und nutzt eine Sicherheitslücke aus, um sich einen ersten Zugriff zu verschaffen. Dabei kann es sich um eine Software-Sicherheitslücke in einer nicht gepatchten Anwendung handeln, um einen Browser-Exploit, der durch den Besuch einer bösartigen Seite ausgelöst wird, oder um ein Makro, das in einem Office-Dokument ausgeführt wird, nachdem der Benutzer auf „Inhalt aktivieren“ geklickt hat.

An dieser Stelle gelangt der Angreifer von außerhalb der Umgebung in deren Inneres. Die Ausnutzung ist genau die Phase, auf deren Erkennung Endpunkt-Erkennungs-Tools speziell ausgelegt sind: Die Verhaltensanalyse identifiziert die ungewöhnlichen Prozessaktivitäten, die auf eine erfolgreiche Ausnutzung folgen, selbst wenn die Schwachstelle selbst zuvor nicht bekannt war.

Schritt 5: Installation

Sobald der Angreifer sich Zugang verschafft hat, installiert er persistente Malware oder eine Hintertür, um seine Präsenz aufrechtzuerhalten, selbst wenn der ursprüngliche Einstiegspunkt geschlossen wird. Zu den gängigen Persistenzmechanismen gehören das Erstellen von Startschlüsseln in der Registrierung, das Einrichten von geplanten Aufgaben, das Hinzufügen von Autostart-Einträgen oder das Einsetzen eines Fernzugriffstrojaners, der Signale an eine vom Angreifer kontrollierte C&C-Infrastruktur sendet.

Das Ziel besteht darin, einen Neustart, eine Passwortänderung oder einen Patch zu überstehen, der die ursprüngliche Sicherheitslücke schließt. Ohne eine dauerhafte Installation verliert der Angreifer den Zugriff in dem Moment, in dem die Sitzung endet. EDR-Tools mit kontinuierlicher Endpunkt-Telemetrie sind speziell darauf ausgelegt, die für diese Phase charakteristischen Änderungen an der Registrierungsdatenbank, neue geplante Aufgaben und die Erstellung ungewöhnlicher Prozesse zu erkennen.

Schritt 6: Führung und Kontrolle (C2)

Die installierte Malware richtet einen Kommunikationskanal zur vom Angreifer kontrollierten Infrastruktur ein. Über diesen Kanal kann der Angreifer Befehle erteilen, Daten empfangen, zusätzliche Tools einsetzen und die nächsten Phasen des Angriffs aus der Ferne steuern. Der C2-Datenverkehr wird häufig als legitimer Webdatenverkehr getarnt, über beliebte Cloud-Dienste geleitet oder verschlüsselt, um einer Entdeckung zu entgehen.

Diese Phase bietet eine entscheidende Gelegenheit zur Erkennung. Die C2-Kommunikation muss die Netzwerkgrenze überschreiten, was bedeutet, dass sie von Netzwerküberwachungstools und DNS-Filterungen abgefangen werden kann. Ein Endgerät, das zwar kompromittiert wurde, dessen C2-Kanal jedoch blockiert ist, kann nicht weiter gesteuert werden. Durch die Isolierung an dieser Stelle wird der Vorfall eingedämmt, bevor eine laterale Bewegung beginnt.

Schritt 7: Maßnahmen zur Zielerreichung

In der letzten Phase setzt der Angreifer sein Ziel um. Bei finanziell motivierten Angreifern bedeutet dies in der Regel den Einsatz von Ransomware und die Verschlüsselung von Daten, den Diebstahl von Daten zu Erpressungs- oder Verkaufszwecken oder Finanzbetrug. Staatlich gestützte Akteure können Spionage, die Zerstörung kritischer Systeme oder den langfristigen, dauerhaften Zugriff für zukünftige Zwecke anstreben.

Dies ist die Phase, deren Bewältigung den größten Schaden verursacht und die höchsten Kosten verursacht. Angriffe, die zu Handlungen an Zielen führen, erfordern eine umfassende Reaktion auf den Vorfall: forensische Untersuchung, Wiederherstellung des Systems, gegebenenfalls Meldung an die Aufsichtsbehörden und Reputationsmanagement. Der Hauptzweck aller Maßnahmen, die dieser Phase in einer Verteidigungsstrategie vorausgehen, besteht darin, sicherzustellen, dass der Angreifer niemals so weit kommt.

Beispiel für eine Cyber-Kill-Chain: Ein Ransomware-Angriff

Anhand der sieben Schritte anhand eines konkreten Bedrohungsszenarios lässt sich veranschaulichen, wie das Modell in der Praxis funktioniert:

1. Aufklärung: Der Angreifer identifiziert ein mittelständisches Produktionsunternehmen anhand einer Stellenanzeige, in der auf eine bestimmte Version einer ERP-Software mit einer bekannten Sicherheitslücke verwiesen wird. Außerdem sammelt er auf LinkedIn Namen von Mitarbeitern und E-Mail-Adressen.
2. Missbrauch: Anhand der Mitarbeiterdaten erstellen sie eine Phishing-E-Mail, in der sie sich als Lieferant ausgeben. Als Anhang fügen sie ein Dokument bei, das die Schwachstelle im ERP-System ausnutzt und bei Ausführung einen Fernzugriffstrojaner auf dem Rechner installiert.
3. Zustellung: Die Phishing-E-Mail wird an einen Mitarbeiter der Kreditorenbuchhaltung gesendet. Sie umgeht die E-Mail-Filter, da die Absenderdomain eine überzeugende Fälschung ist und der Anhang nicht als bekannter bösartiger Hash markiert ist.
4. Ausnutzung: Der Mitarbeiter öffnet den Anhang. Das Dokumentmakro wird ausgeführt, nutzt die Sicherheitslücke aus und führt einen PowerShell-Befehl aus, der den Trojaner von einem vom Angreifer kontrollierten Server herunterlädt.
5. Installation: Der Trojaner installiert sich als geplante Aufgabe, die so konfiguriert ist, dass sie auch nach einem Neustart bestehen bleibt. Er sendet alle paar Minuten über HTTPS Signale an die C2-Infrastruktur.
6. Befehls- und Kontrollstruktur: Der Angreifer bestätigt den Zugriff, setzt Tools zum Auslesen von Anmeldedaten ein und bewegt sich mehrere Tage lang lateral durch die Umgebung, wobei er Dateifreigaben und Backup-Systeme kartiert, bevor er aktiv wird.
7. Maßnahmen zur Zielerreichung: Der Angreifer verbreitet die Ransomware gleichzeitig von mehreren kompromittierten Endgeräten aus im gesamten Netzwerk. Die Dateiverschlüsselung beginnt auf Dutzenden von Systemen, bevor überhaupt ein Alarm ausgelöst wird.

Wäre diese Kette in Schritt drei (E-Mail-Filterung, die die Phishing-Nachricht abfängt), Schritt vier (EDR, das die Ausführung von PowerShell erkennt) oder Schritt sechs (DNS-Filterung, die das C2-Beacon blockiert) unterbrochen worden, hätte dies jeweils das Endergebnis verhindert. Je weiter der Angreifer in der Kette voranschreitet, bevor er entdeckt wird, desto kostspieliger und komplexer wird die Reaktion.

Cyber-Kill-Chain vs. MITRE ATT&CK: Was ist der Unterschied?

Beide Rahmenwerke beschreiben das Verhalten von Angreifern, arbeiten jedoch auf unterschiedlichen Detailebenen und dienen unterschiedlichen Zwecken.

Die Cyber-Kill-Chain ist ein übergeordnetes, sequenzielles Modell. Sie beschreibt die allgemeinen Phasen eines Angriffs in ihrer Reihenfolge und eignet sich daher für die strategische Planung, zum Verständnis des Angriffsverlaufs sowie zur Kommunikation mit nicht-technischen Beteiligten. Ihre sieben Schritte bieten Sicherheitsteams ein gemeinsames Vokabular, um zu erörtern, an welcher Stelle im Lebenszyklus eines Angriffs eine Bedrohung erkannt wurde oder wo die Abwehrmaßnahmen versagt haben.

MITRE ATT&CK ist eine detaillierte, ständig aktualisierte Wissensdatenbank zu Taktiken, Techniken und Vorgehensweisen (TTPs) von Angreifern. Anstelle von sieben aufeinanderfolgenden Phasen katalogisiert sie Hunderte spezifischer Techniken, die nach Taktiken geordnet sind und aus beobachteten Angriffen in der Praxis stammen. Es handelt sich nicht um einen linearen Ablauf: Ein Angreifer kann Techniken aus mehreren MITRE-Taktiken gleichzeitig oder in unterschiedlicher Reihenfolge anwenden, je nachdem, auf welche Situation er stößt.

Die beiden Rahmenwerke ergänzen sich gegenseitig. Die Kill Chain bietet einen strukturellen Überblick über den Verlauf eines Angriffs. MITRE ATT&CK liefert die technischen Details dazu, wie genau jede Phase dieses Verlaufs ausgeführt wird. Sicherheitsteams nutzen die Kill Chain häufig für die Kommunikation bei Vorfällen und die strategische Verteidigungsplanung, während sie MITRE ATT&CK für die Entwicklung von Erkennungsmechanismen, die Zuordnung von Warnmeldungen und die Bewertung der Abdeckung durch Tools einsetzen.

Datto EDR ordnet seine Erkennungen dem MITRE ATT&CK-Framework zu, was bedeutet, dass Warnmeldungen mit dem Kontext der jeweils verwendeten Taktik und Technik übermittelt werden. Dadurch werden die technischen Details von MITRE mit der entsprechenden Phase der Kill Chain verknüpft, sodass Analysten sowohl die konkret beobachtete Technik als auch deren Einordnung in den Gesamtablauf des Angriffs erkennen können.

Grenzen der Cyber-Kill-Chain

Das Kill-Chain-Modell ist zwar sehr nützlich, weist jedoch auch erhebliche Einschränkungen auf, die Sicherheitsteams kennen müssen.

Es geht von einem linearen Angriffsablauf aus:
Das ursprüngliche Modell beschreibt einen sequenziellen Ablauf von Stufe eins bis Stufe sieben. Bei realen Angriffen werden jedoch häufig Stufen übersprungen, mehrere Stufen gleichzeitig ausgeführt oder frühere Stufen erneut durchlaufen. Ein Angreifer, der bereits über Zugangsdaten aus einem früheren Sicherheitsvorfall verfügt, könnte die Phasen der Erkundung und der Auslieferung komplett überspringen.

Der Schwerpunkt liegt auf Bedrohungen am Netzwerkperimeter
Das Modell wurde in einer Zeit entwickelt, in der es lokale Netzwerke mit klar definierten Grenzen gab. Insider-Bedrohungen, Cloud-native Angriffe, kompromittierte Zugriffe durch Dritte und Angriffe auf die Lieferkette lassen sich nicht eindeutig in die traditionelle Kill-Chain-Struktur einordnen.

Es berücksichtigt nicht die Geschwindigkeit moderner Angriffe
Der „Unit 42 Global Incident Response Report 2026“ hat ergeben, dass die schnellsten Angriffe mittlerweile bereits innerhalb von 72 Minuten nach dem ersten Zugriff zum Abzug von Daten führen. Das Kill-Chain-Modell geht davon aus, dass die Verteidiger in jeder Phase Zeit haben, den Angriff zu erkennen und darauf zu reagieren. Bei schnell ablaufenden automatisierten Angriffen ist dieses Zeitfenster jedoch oft enger, als das Modell vermuten lässt.

Dies kann ein trügerisches Gefühl der Vollständigkeit vermitteln
. Eine Organisation, die in allen sieben Phasen der Kill Chain Kontrollmaßnahmen implementiert hat, kann dennoch erhebliche Lücken aufweisen, wenn diese Maßnahmen nicht auf die spezifischen Techniken zugeschnitten sind, die Angreifer in den einzelnen Phasen anwenden. MITRE ATT&CK ist ein besseres Instrument zur Bewertung der Abdeckung auf Technikebene.

Wie kann die Cyber-Kill-Chain die Sicherheit verbessern?

Trotz ihrer Einschränkungen bleibt die Kill Chain ein praktisches Rahmenkonzept für eine strukturierte Verteidigungsplanung. So lässt sie sich anwenden:

• Ordnen Sie Ihre Kontrollmaßnahmen den einzelnen Phasen zu: Ermitteln Sie für jede der sieben Phasen, über welche Instrumente und Prozesse Sie verfügen, um Angreiferaktivitäten zu erkennen oder zu verhindern. Die Lücken, die bei dieser Übung zutage treten, zeigen auf, wo Investitionen erforderlich sind.
• Priorisieren Sie die Abwehr von Angriffen in der Frühphase: Je früher in der Angriffskette Sie einen Angriff stoppen, desto geringer ist der Schaden und desto einfacher ist die Behebung. Kontrollmaßnahmen bei der Übertragung (E-Mail-Filterung, DNS-Schutz) und bei der Ausnutzung (Patching, EDR-Verhaltenserkennung) bieten den größten Nutzen, da sie alle nachfolgenden Phasen verhindern.
• Nutzen Sie das „Kill-Chain“-Konzept bei der Nachbetrachtung von Vorfällen: Gehen Sie nach jedem Sicherheitsvorfall die einzelnen Schritte der Kill Chain durch und ermitteln Sie, in welchem Schritt der Angreifer entdeckt wurde, wie weit er vor der Eindämmung vorgedrungen war und welche Kontrollmaßnahmen – sofern vorhanden – den Angriff früher hätten abfangen können. Dies führt zu konkreten, umsetzbaren Verbesserungsvorschlägen statt zu allgemeinen Schlussfolgerungen wie „die Sicherheit verstärken“.
• Verlassen Sie sich nicht allein auf die Kill Chain: Ergänzen Sie diese durch MITRE ATT&CK, um die Erfassungsreichweite auf Technikenebene zu bewerten, sowie durch Bedrohungsinformationen, die die spezifischen TTPs der Angreifer widerspiegeln, die es auf Ihre Branche abgesehen haben.

Wie Kaseya die Kill Chain durchbricht

Die Sicherheitsplattform von Kaseya wurde entwickelt, um MSPs und kleinen IT-Teams die Möglichkeit zu geben, Angriffe in mehreren Phasen der Kill Chain gleichzeitig zu erkennen und abzuwehren, ohne dass dafür ein großes internes Sicherheitsteam erforderlich ist.

Datto EDR ist in den Phasen der Ausnutzung, Installation sowie der Steuerung und Kontrolle aktiv. Die Verhaltensüberwachung erkennt abnormale Prozessabläufe, Persistenzmechanismen und C2-Beaconing und bietet über 65 automatisierte Reaktionsmaßnahmen, um diese zu isolieren, zu beenden und unter Quarantäne zu stellen, bevor eine laterale Bewegung einsetzt. Die Erkennungen werden dem MITRE ATT&CK-Modell zugeordnet, wodurch Analysten sofort einen Kontext darüber erhalten, welche Technik zum Einsatz kommt und an welcher Stelle der Angriffsablauf sie sich befindet.

Kaseya SIEM bietet plattformübergreifende Transparenz über die gesamte Kill Chain hinweg und korreliert dabei Telemetriedaten aus über 60 Datenquellen, darunter Endgeräte, Netzwerk, Identitätsmanagement und Cloud. Ereignisse, die für sich genommen keinen Zusammenhang zu haben scheinen – wie eine fehlgeschlagene Anmeldung, der Start eines ungewöhnlichen Prozesses oder anomaler ausgehender Datenverkehr –, fügen sich zu einem zusammenhängenden Kill-Chain-Muster in einem einzigen korrelierten Vorfall zusammen. Die Log-Aufbewahrungsdauer von 400 Tagen ermöglicht die forensische Rekonstruktion, die erforderlich ist, um die Verweildauer und den gesamten Umfang zu ermitteln.

Kaseya MDR ergänzt das System um eine Analystenebene, die die Erkennung in aktive Abwehr umwandelt. In den USA ansässige Sicherheitsanalysten überwachen Ihre Umgebung rund um die Uhr, untersuchen bestätigte Bedrohungen und ergreifen Eindämmungsmaßnahmen, bevor Angriffe in spätere Phasen übergehen – ohne dass Sie dafür ein rund um die Uhr besetztes SOC betreiben müssen.

Zusammen decken diese Funktionen die gesamte Angriffskette vom Endgerät bis zur Cloud ab und bieten MSPs und IT-Teams die nötige Transparenz und Reaktionsfähigkeit, um Angriffe zu stoppen, lange bevor sie ihr Ziel erreichen.