Was ist die Cyber-Kill-Chain? Schritte, Beispiele und wie man sie unterbricht

Jeder Cyberangriff folgt einem bestimmten Ablauf. Der Angreifer muss zunächst in das System eindringen, dort Fuß fassen, sich durch die Umgebung bewegen und schließlich sein Ziel erreichen. Dieser Ablauf ist nicht zufällig. Er folgt einer erkennbaren Abfolge von Phasen, und die „Cyber Kill Chain“ bietet Sicherheitsteams ein Rahmenkonzept, um genau zu verstehen, wie diese Abfolge aussieht und an welcher Stelle sie unterbrochen werden kann.

Für MSPs und IT-Teams, die komplexe, verteilte Umgebungen schützen, ist die „Kill Chain“ mehr als nur ein theoretisches Modell. Sie dient als praktischer Ansatz, um Sicherheitsmaßnahmen anhand des tatsächlichen Angriffsverlaufs abzugleichen und zu erkennen, wo Lücken im Schutzumfang bestehen, die Unternehmen angreifbar machen. Tools wie Datto EDR, Kaseya SIEM und Kaseya MDR sind darauf ausgelegt, Angreifer in verschiedenen Phasen dieser Kette zu stoppen, bevor der Schaden ein Ausmaß erreicht, das nur schwer wieder gutzumachen ist.

Was ist die Cyber-Kill-Chain?

Die „Cyber Kill Chain“ ist ein Rahmenkonzept, das die Phasen eines Cyberangriffs von der anfänglichen Erkundung bis hin zum Erreichen des Endziels durch den Angreifer abbildet. Es wurde 2011 von Lockheed Martin entwickelt und orientiert sich am militärischen Konzept der „Kill Chain“, bei dem ein Gefecht mit dem Feind in identifizierbare Schritte unterteilt wird, die jeweils gezielt angegriffen und gestört werden können.

In der Cybersicherheit erfüllt das Modell denselben Zweck. Indem sie die Abfolge der Schritte verstehen, die ein Angreifer durchlaufen muss, können Sicherheitsteams in jeder Phase Kontrollpunkte identifizieren, an denen der Angriff erkannt, verlangsamt oder vollständig gestoppt werden kann. Ein Angreifer, der in Phase zwei gestoppt wird, erreicht niemals Phase fünf. Ein Angreifer, der in Phase vier erkannt wird, kann eingedämmt werden, bevor er Phase sieben erreicht.

Das Rahmenwerk wurde ursprünglich mit Blick auf „Advanced Persistent Threats“ (APTs) entwickelt: ausgeklügelte, lang andauernde Angriffe, die von gut ausgestatteten Angreifern durchgeführt werden, die vor dem Handeln sorgfältig planen. Es eignet sich nach wie vor am besten für diese Art von Bedrohungen, obwohl sich seine Logik allgemein darauf anwenden lässt, wie Sicherheitsteams über mehrschichtige Abwehrmaßnahmen gegen jede Art von strukturiertem Angriff nachdenken.

Die 7 Schritte der Cyber-Kill-Chain

Das ursprüngliche Modell von Lockheed Martin definiert sieben aufeinanderfolgende Schritte. Jeder Schritt stellt einen Punkt dar, an dem die Verteidiger eingreifen können.

Schritt 1: Erkundung

Bevor der Angreifer einen Angriff startet, sammelt er Informationen über das Ziel. Dazu gehört die Ermittlung öffentlich zugänglicher Daten über die Infrastruktur der Organisation, E-Mail-Adressen von Mitarbeitern, Stellenanzeigen, aus denen die verwendete Technologie hervorgeht, Social-Media-Profile sowie alle nach außen gerichteten Systeme, die als Einstiegspunkte dienen könnten.

Die Aufklärung kann passiv erfolgen, indem Open-Source-Informationen (OSINT) genutzt werden, ohne direkt auf die Systeme des Ziels zuzugreifen, oder aktiv, indem nach offenen Ports gesucht, Softwareversionen identifiziert und Schwachstellen auslotet werden. Je mehr Informationen ein Angreifer hierbei sammelt, desto präziser und überzeugender wird der anschließende Angriff.

Defensiver Schwerpunkt: Überwachung auf externe Scan-Aktivitäten, Einschränkung öffentlich zugänglicher technischer Informationen und Kontrolle darüber, welche mitarbeiterbezogenen Systeme dem Internet ausgesetzt sind.

Schritt 2: Waffenanwendung

Der Angreifer nutzt die bei der Erkundung gewonnenen Erkenntnisse, um seine Angriffsnutzlast zu erstellen oder zusammenzustellen. Dazu gehört in der Regel die Erstellung schädlicher Dateien, die darauf ausgelegt sind, eine bestimmte, in der Umgebung des Ziels identifizierte Schwachstelle auszunutzen. Ein Phishing-Dokument mit einem eingebetteten Makro, das einen Fernzugriffstrojaner verbreitet, ein manipuliertes PDF, das eine Schwachstelle im PDF-Reader ausnutzt, oder ein Dropper, der bei Ausführung Ransomware installiert, sind allesamt Beispiele für eine solche Manipulation.

Sicherheitsverantwortliche haben selten direkten Einblick in diese Phase, da sie vollständig auf der vom Angreifer kontrollierten Infrastruktur stattfindet. Der Schwerpunkt liegt hier auf der Verringerung der Angriffsfläche, die durch die Erkundung offengelegt wurde: Durch das schnelle Schließen bekannter Sicherheitslücken werden die Waffen beseitigt, die der Angreifer einsetzen wollte.

Schritt 3: Lieferung

Der Angreifer übermittelt die schädliche Nutzlast an das Ziel. E-Mails sind der häufigste Übertragungsweg, und zwar über Phishing-Kampagnen mit schädlichen Anhängen oder Links. Zu den weiteren Übertragungsmethoden zählen kompromittierte Websites, die Drive-by-Downloads auslösen, schädliche USB-Sticks, kompromittierte Software-Updates von Drittanbietern (Supply-Chain-Angriffe) sowie die Ausnutzung von Diensten mit Internetanbindung.

Schwerpunkt der Abwehr: E-Mail-Filterung, Webfilterung, DNS-Schutz und Schulungen zur Sensibilisierung der Benutzer für Sicherheitsfragen kommen alle in der Zustellungsphase zum Einsatz. Das Blockieren der Zustellung, bevor die Nutzlast ein Gerät erreicht, ist die wirksamste verfügbare Abwehrmaßnahme, da dadurch alle nachfolgenden Phasen verhindert werden.

Schritt 4: Ausnutzung

Sobald die Nutzlast das Ziel erreicht hat, wird sie ausgeführt und nutzt eine Sicherheitslücke aus, um sich einen ersten Zugriff zu verschaffen. Dabei kann es sich um eine Software-Sicherheitslücke in einer nicht gepatchten Anwendung handeln, um einen Browser-Exploit, der durch den Besuch einer bösartigen Seite ausgelöst wird, oder um ein Makro, das in einem Office-Dokument ausgeführt wird, nachdem der Benutzer auf „Inhalt aktivieren“ geklickt hat.

An dieser Stelle gelangt der Angreifer von außerhalb der Umgebung in deren Inneres. Die Ausnutzung ist die Phase, auf deren Erkennung Endpunkt-Erkennungstools speziell ausgelegt sind: Mithilfe der Verhaltensanalyse werden die ungewöhnlichen Prozessaktivitäten identifiziert, die auf eine erfolgreiche Ausnutzung folgen – selbst wenn die Schwachstelle selbst zuvor nicht bekannt war.

Schritt 5: Installation

Sobald der Angreifer sich einen ersten Zugriff verschafft hat, installiert er persistente Malware oder eine Hintertür, um seine Präsenz aufrechtzuerhalten, selbst wenn der ursprüngliche Einstiegspunkt geschlossen wird. Zu den gängigen Mechanismen zur Aufrechterhaltung der Präsenz gehören das Erstellen von Startschlüsseln in der Registrierung, das Einrichten von geplanten Aufgaben, das Hinzufügen von Autostart-Einträgen oder das Einsetzen eines Fernzugriffstrojaners, der Signale an eine vom Angreifer kontrollierte Command-and-Control-Infrastruktur sendet.

Das Ziel besteht darin, einen Neustart, eine Passwortänderung oder einen Patch, der die ursprüngliche Sicherheitslücke schließt, zu überstehen. Ohne eine dauerhafte Installation verliert der Angreifer den Zugriff in dem Moment, in dem die Sitzung endet. EDR-Tools mit kontinuierlicher Endpunkt-Telemetrie sind speziell darauf ausgelegt, die für diese Phase charakteristischen Änderungen an der Registrierungsdatenbank, neue geplante Aufgaben und die Erstellung ungewöhnlicher Prozesse zu erkennen.

Schritt 6: Befehls- und Kontrollsystem (C2)

Die installierte Malware richtet einen Kommunikationskanal zurück zur vom Angreifer kontrollierten Infrastruktur ein. Über diesen Kanal kann der Angreifer Befehle erteilen, Daten empfangen, zusätzliche Tools einsetzen und die nächsten Phasen des Angriffs aus der Ferne steuern. Der C2-Datenverkehr wird häufig als legitimer Webverkehr getarnt, über beliebte Cloud-Dienste geleitet oder verschlüsselt, um einer Entdeckung zu entgehen.

Diese Phase bietet eine entscheidende Gelegenheit zur Erkennung. Die C2-Kommunikation muss die Netzwerkgrenze überschreiten, was bedeutet, dass sie von Netzwerküberwachungstools und DNS-Filterung erfasst werden kann. Ein Endgerät, das kompromittiert wurde, dessen C2-Kanal jedoch blockiert ist, kann nicht weiter gesteuert werden. Durch die Isolierung an dieser Stelle lässt sich der Vorfall eindämmen, bevor eine laterale Bewegung einsetzt.

Schritt 7: Maßnahmen zur Zielerreichung

In der letzten Phase setzt der Angreifer sein Ziel um. Bei finanziell motivierten Angreifern bedeutet dies in der Regel den Einsatz von Ransomware und die Verschlüsselung von Daten, den Diebstahl von Daten zum Zwecke der Erpressung oder des Verkaufs sowie Finanzbetrug. Staatlich gestützte Akteure verfolgen möglicherweise Spionagezwecke, die Zerstörung kritischer Systeme oder den langfristigen, dauerhaften Zugriff für zukünftige Zwecke.

Dies ist die Phase, deren Bewältigung den größten Schaden verursacht und die höchsten Kosten verursacht. Angriffe, die bis zu Aktionen an Zielen vordringen, erfordern eine umfassende Reaktion auf den Vorfall: forensische Untersuchung, Wiederherstellung der Systeme, gegebenenfalls Meldung an die Aufsichtsbehörden und Reputationsmanagement. Der Hauptzweck aller Maßnahmen, die dieser Phase in einer Verteidigungsstrategie vorausgehen, besteht darin, sicherzustellen, dass der Angreifer niemals so weit vordringt.

Beispiel für eine Cyber-Kill-Chain: Ein Ransomware-Angriff

Anhand der sieben Schritte anhand eines konkreten Bedrohungsszenarios lässt sich veranschaulichen, wie das Modell in der Praxis funktioniert:

1. Erkundung: Der Angreifer identifiziert ein mittelständisches Fertigungsunternehmen anhand einer Stellenanzeige, in der auf eine bestimmte Version einer ERP-Software mit einer bekannten Sicherheitslücke verwiesen wird. Außerdem sammelt er auf LinkedIn Namen von Mitarbeitern und E-Mail-Formate.
2. Ausnutzung: Anhand der Mitarbeiterdaten erstellen sie eine Phishing-E-Mail, in der sie sich als Lieferant ausgeben. Als Anhang fügen sie ein Dokument bei, das die ERP-Sicherheitslücke ausnutzt und bei Ausführung einen Fernzugriffstrojaner auf dem Rechner installiert.
3. Zustellung: Die Phishing-E-Mail wird an einen Mitarbeiter der Kreditorenbuchhaltung gesendet. Sie umgeht die E-Mail-Filter, da die Absenderdomain eine überzeugende Fälschung ist und der Anhang nicht als bekannter bösartiger Hash markiert ist.
4. Ausnutzung: Der Mitarbeiter öffnet den Anhang. Das Dokumentmakro wird ausgeführt, nutzt die Sicherheitslücke aus und führt einen PowerShell-Befehl aus, der den Trojaner von einem vom Angreifer kontrollierten Server herunterlädt.
5. Installation: Der Trojaner installiert sich selbst als geplante Aufgabe, die so konfiguriert ist, dass sie auch nach einem Neustart bestehen bleibt. Er sendet alle paar Minuten über HTTPS Signale an die C2-Infrastruktur.
6. Befehls- und Kontrollstruktur: Der Angreifer bestätigt den Zugriff, setzt Tools zum Auslesen von Anmeldedaten ein und verbringt mehrere Tage damit, sich lateral durch die Umgebung zu bewegen und Dateifreigaben sowie Backup-Systeme zu erfassen, bevor er aktiv wird.
7. Maßnahmen zur Zielerreichung: Der Angreifer verbreitet die Ransomware gleichzeitig von mehreren kompromittierten Endgeräten aus im gesamten Netzwerk. Die Dateiverschlüsselung beginnt auf Dutzenden von Systemen, bevor überhaupt ein Alarm ausgelöst wird.

Wäre diese Kette in Schritt drei (E-Mail-Filterung, die die Phishing-Nachricht abfängt), Schritt vier (EDR, das die Ausführung von PowerShell erkennt) oder Schritt sechs (DNS-Filterung, die das C2-Beacon blockiert) unterbrochen worden, hätte dies jeweils das Endergebnis verhindert. Je weiter der Angreifer in der Kette voranschreitet, bevor er entdeckt wird, desto kostspieliger und komplexer wird die Reaktion.

Cyber-Kill-Chain vs. MITRE ATT&CK: Worin besteht der Unterschied?

Beide Rahmenwerke bilden das Verhalten von Angreifern ab, arbeiten jedoch auf unterschiedlichen Detailebenen und dienen unterschiedlichen Zwecken.

Die Cyber-Kill-Chain ist ein übergeordnetes, sequenzielles Modell. Sie beschreibt die allgemeinen Phasen eines Angriffs in ihrer Reihenfolge und eignet sich daher für die strategische Planung, zum Verständnis des Angriffsverlaufs sowie zur Kommunikation mit nicht-technischen Beteiligten. Ihre sieben Schritte bieten Sicherheitsteams ein gemeinsames Vokabular, um zu erörtern, an welcher Stelle im Lebenszyklus eines Angriffs eine Bedrohung erkannt wurde oder wo die Abwehrmaßnahmen versagt haben.

MITRE ATT&CK ist eine detaillierte, kontinuierlich aktualisierte Wissensdatenbank zu Taktiken, Techniken und Vorgehensweisen (TTPs) von Angreifern. Anstelle von sieben aufeinanderfolgenden Phasen katalogisiert sie Hunderte spezifischer Techniken, die nach Taktiken geordnet sind und aus beobachteten Angriffen in der Praxis stammen. Der Ablauf ist nicht sequenziell: Ein Angreifer kann Techniken aus mehreren MITRE-Taktiken gleichzeitig oder in unterschiedlicher Reihenfolge einsetzen, je nachdem, auf welche Situation er stößt.

Die beiden Rahmenwerke ergänzen sich gegenseitig. Die „Kill Chain“ bietet einen strukturellen Überblick über den Verlauf eines Angriffs. MITRE ATT&CK liefert die technischen Details dazu, wie genau jede Phase dieses Verlaufs ausgeführt wird. Sicherheitsteams nutzen die „Kill Chain“ häufig für die Kommunikation bei Vorfällen und die strategische Verteidigungsplanung, während sie MITRE ATT&CK für die Entwicklung von Erkennungsmechanismen, die Zuordnung von Warnmeldungen und die Bewertung der Abdeckung durch Tools einsetzen.

Datto EDR ordnet seine Erkennungen dem MITRE ATT&CK-Framework zu, was bedeutet, dass Warnmeldungen mit dem Kontext der jeweils verwendeten Taktik und Technik übermittelt werden. Dadurch werden die technischen Details von MITRE mit der jeweiligen Phase der Kill Chain verknüpft, sodass Analysten sowohl die konkret beobachtete Technik als auch deren Einordnung in den Gesamtablauf des Angriffs erkennen können.

Einschränkungen der Cyber-Kill-Chain

Das „Kill-Chain“-Modell ist zwar von großem Nutzen, weist jedoch auch erhebliche Einschränkungen auf, die Sicherheitsteams kennen müssen.

Es geht von einem linearen Angriff aus. Das ursprüngliche Modell beschreibt einen sequenziellen Ablauf von Stufe eins bis Stufe sieben. Bei realen Angriffen werden jedoch häufig Stufen übersprungen, mehrere Stufen gleichzeitig ausgeführt oder frühere Stufen erneut durchlaufen. Ein Angreifer, der bereits über Zugangsdaten aus einem früheren Sicherheitsvorfall verfügt, könnte die Phasen der Erkundung und der Auslieferung komplett überspringen.

Der Schwerpunkt liegt auf Bedrohungen am Netzwerkperimeter. Das Modell wurde in einer Zeit entwickelt, in der es noch lokale Netzwerke mit klar definierten Grenzen gab. Insider-Bedrohungen, cloudnative Angriffe, kompromittierte Zugriffe durch Dritte und Angriffe auf die Lieferkette lassen sich nicht eindeutig in die traditionelle Kill-Chain-Struktur einordnen.

Es berücksichtigt nicht die Geschwindigkeit moderner Angriffe. Der „Unit 42 Global Incident Response Report 2026“ hat ergeben, dass die schnellsten Angriffe mittlerweile bereits innerhalb von 72 Minuten nach dem ersten Zugriff zum Abfluss von Daten führen. Das Kill-Chain-Modell geht davon aus, dass die Verteidiger in jeder Phase Zeit haben, den Angriff zu erkennen und darauf zu reagieren. Bei schnell ablaufenden, automatisierten Angriffen ist dieses Zeitfenster jedoch oft enger, als das Modell vermuten lässt.

Dies kann ein trügerisches Gefühl der Vollständigkeit vermitteln. Eine Organisation, die in allen sieben Phasen der Kill Chain Kontrollmaßnahmen implementiert hat, kann dennoch erhebliche Lücken aufweisen, wenn diese Kontrollmaßnahmen nicht auf die spezifischen Techniken ausgerichtet sind, die Angreifer in den einzelnen Phasen einsetzen. MITRE ATT&CK ist ein besseres Instrument zur Bewertung der Abdeckung auf Technikebene.

Wie kann die Cyber-Kill-Chain die Sicherheit verbessern?

Trotz ihrer Einschränkungen bleibt die „Kill Chain“ ein praktisches Rahmenkonzept für eine strukturierte Verteidigungsplanung. So lässt sie sich anwenden:

• Ordnen Sie Ihre Kontrollmaßnahmen den einzelnen Phasen zu: Ermitteln Sie für jede der sieben Phasen, über welche Instrumente und Prozesse Sie verfügen, um Angreiferaktivitäten zu erkennen oder zu verhindern. Die Lücken, die bei dieser Übung zutage treten, zeigen auf, wo Investitionen erforderlich sind.
• Priorisieren Sie die Abwehr von Angriffen in der Frühphase: Je früher Sie einen Angriff in der „Kill Chain“ stoppen, desto geringer ist der Schaden und desto einfacher ist die Behebung. Kontrollmaßnahmen bei der Übertragung (E-Mail-Filterung, DNS-Schutz) und bei der Ausnutzung (Patches, EDR-Verhaltenserkennung) bieten den höchsten Nutzen, da sie alle nachfolgenden Phasen verhindern.
• Wenden Sie bei der Analyse von Sicherheitsvorfällen das „Kill-Chain“-Konzept an: Gehen Sie nach jedem Sicherheitsvorfall die einzelnen Schritte der Kill Chain durch und ermitteln Sie, in welchem Schritt der Angreifer entdeckt wurde, wie weit er vor der Eindämmung vorgedrungen war und welche Sicherheitsmaßnahmen – sofern vorhanden – den Angriff früher hätten abfangen können. Dies führt zu konkreten, umsetzbaren Verbesserungsvorschlägen statt zu allgemeinen Schlussfolgerungen wie „die Sicherheit verstärken“.
• Verlassen Sie sich nicht allein auf die Kill Chain: Ergänzen Sie diese durch MITRE ATT&CK, um die Erfassungsreichweite auf Technikebene zu bewerten, sowie durch Bedrohungsinformationen, die die spezifischen TTPs der Angreifer widerspiegeln, die es auf Ihre Branche abgesehen haben.

Wie Kaseya die Kill-Chain unterbricht

Die Sicherheitsplattform von Kaseya wurde entwickelt, um MSPs und kleinen IT-Teams die Möglichkeit zu geben, Angriffe in mehreren Phasen der Kill Chain gleichzeitig zu erkennen und abzuwehren, ohne dass dafür ein großes internes Sicherheitsteam erforderlich ist.

Datto EDR ist in den Phasen der Ausnutzung, Installation sowie der Steuerung und Kontrolle aktiv. Die Verhaltensüberwachung erkennt anomale Prozessausführung, Persistenzmechanismen und C2-Beaconing und bietet über 65 automatisierte Reaktionsmaßnahmen, um die betroffene Umgebung zu isolieren, Prozesse zu beenden und in Quarantäne zu versetzen, bevor eine laterale Bewegung einsetzt. Die Erkennungsergebnisse werden dem MITRE ATT&CK-Modell zugeordnet, sodass Analysten sofort erkennen können, welche Technik zum Einsatz kommt und an welcher Stelle der Angriffsablauf sie sich befindet.

Kaseya SIEM bietet plattformübergreifende Transparenz über die gesamte Kill-Chain hinweg und korreliert Telemetriedaten aus über 60 Datenquellen, darunter Endgeräte, Netzwerk, Identitätsmanagement und Cloud. Ereignisse, die für sich genommen keinen Zusammenhang zu haben scheinen – wie eine fehlgeschlagene Anmeldung, der Start eines ungewöhnlichen Prozesses oder anomaler ausgehender Datenverkehr –, fügen sich zu einem zusammenhängenden Kill-Chain-Muster in einem einzigen korrelierten Vorfall zusammen. Die Aufbewahrung von Protokollen über einen Zeitraum von 400 Tagen ermöglicht die forensische Rekonstruktion, die erforderlich ist, um die Verweildauer und den gesamten Umfang zu ermitteln.

Kaseya MDR ergänzt das System um eine Analystenebene, die die Erkennung in aktive Abwehr umwandelt. In den USA ansässige Sicherheitsanalysten überwachen Ihre Umgebung rund um die Uhr, untersuchen bestätigte Bedrohungen und leiten Eindämmungsmaßnahmen ein, bevor Angriffe in spätere Phasen übergehen – ohne dass Sie dafür ein rund um die Uhr besetztes SOC betreiben müssen.

Zusammen decken diese Funktionen die gesamte Angriffskette vom Endgerät bis zur Cloud ab und bieten MSPs und IT-Teams die nötige Transparenz und Reaktionsfähigkeit, um Angriffe zu stoppen, lange bevor sie ihre Ziele erreichen.