Was ist das MITRE ATT&CK Framework — und warum ist es wirklich wichtig?
Mehr als 90 % der Unternehmenssicherheitsteams behaupten, das MITRE ATT&CK Framework zu nutzen. Weit weniger setzen es tatsächlich operativ ein. Diese Lücke — zwischen dem Verweis auf ein Framework und seinem präzisen Einsatz — ist genau dort, wo Sicherheitsvorfälle entstehen.
ATT&CK steht für Adversarial Tactics, Techniques, and Common Knowledge — das ist die vollständige Bedeutung von MITRE ATT&CK. Entwickelt von der MITRE Corporation ab 2013, entstand es aus einem internen Forschungsprojekt namens FMX, das reales Angreiferverhalten in Windows-Enterprise-Umgebungen beobachtete. Heute deckt es Enterprise (Windows, macOS, Linux, Cloud, Container, Netzwerk), Mobile und ICS ab — mit über 600 Techniken über 14 Taktiken in der ATT&CK-Version 16 von 2026.
Das ist kein Compliance-Checkbox. Es ist eine lebendige Wissensbasis, die auf beobachtetem Bedrohungsverhalten aufgebaut ist und nach echten Einbruchskampagnen kategorisiert wird. Man kann es als Periodensystem der Angreifermethoden betrachten.
Grundkonzepte: Taktiken, Techniken und Sub-Techniken
Das Framework organisiert Angreiferverhalten in drei Ebenen: Taktiken beschreiben das Ziel des Angreifers in einer bestimmten Phase — von Reconnaissance über Initial Access bis Impact. Techniken zeigen, wie dieses Ziel erreicht wird, beispielsweise Spearphishing-Anhänge (T1566.001). Sub-Techniken liefern granulare Varianten, etwa LSASS Memory Dumping unter OS Credential Dumping (T1003).
Jeder Technikeintrag enthält Beschreibungen, Verfahrensbeispiele von bekannten Bedrohungsgruppen, Erkennungshinweise und Minderungsempfehlungen. Diese prozeduralen Daten — aus CTI-Berichten, Malware-Analysen und Incident-Response-Erkenntnissen — unterscheiden ATT&CK von generischen Best-Practice-Frameworks.
Die MITRE ATT&CK Technikliste und der Navigator
Die schiere Menge an MITRE ATT&CK Techniken schüchtert Teams ein. Aber das Ziel ist keine vollständige Abdeckung — es geht um Erkennungsgenauigkeit. Beginnen Sie mit den Techniken, die für Ihr Bedrohungsmodell am relevantesten sind. ATT&CKs Gruppenbereich ordnet bekannte APTs und kriminelle Gruppen bestimmten Techniken zu — damit erhalten Sie sofort eine priorisierte Teilmenge der gesamten Technikliste.
Der MITRE ATT&CK Navigator ist ein webbasiertes Tool zur Annotation und Filterung der ATT&CK-Matrix. Coverage-Mapping zeigt, welche Techniken aktuelle Kontrollen erkennen. Bedrohungsakteur-Overlays laden vorgefertigte Layer für bekannte Gruppen, sodass Sie sofort sehen, welche ihrer Techniken Sie erkennen können und welche nicht. Exportieren Sie Bewertungslayer als JSON für programmatische Verwendung in SOAR-Workflows.
Teams, die Vulnerability Management betreiben, profitieren besonders von Navigator-Layern in Kombination mit EPSS-Scoring, um CVEs zu priorisieren, die über Techniken in Ihren Lückenbereichen aktiv ausgenutzt werden.
Cyber Kill Chain vs. MITRE ATT&CK
Die Kill Chain von Lockheed Martin beschreibt einen Angriff in sieben linearen Phasen. ATT&CK hingegen ist nicht-linear, technikenanular und evidenzbasiert. Ein Angreifer kann mehrmals zwischen Lateral Movement und Privilege Escalation wechseln — die Linearität der Kill Chain erfasst das nicht.
Kill Chain gewinnt bei: Executive-Kommunikation und High-Level-Incident-Rekonstruktion. ATT&CK gewinnt bei: Detection Engineering, Threat Hunting, Red Team Scoping und Lückenanalyse. Die besten Sicherheitsprogramme nutzen beide — Kill Chain für die Erzählung, ATT&CK für das Engineering.
Teams, die Cloud Security-Programme aufbauen, sollten beachten, dass ATT&CKs Cloud-Matrix erheblich gereift ist. Die Kill Chain wurde nicht für Cloud-native Angriffspfade entwickelt — sie ist älter als diese.
Wie Sicherheitsteams ATT&CK 2026 tatsächlich einsetzen
Detection Engineering: Ordnen Sie jede Erkennungsregel in Ihrem SIEM einer ATT&CK-Technik-ID zu. Paaren Sie dies mit VM Scans, um eine bidirektionale Sicht zu erhalten: welche Schwachstellen existieren und welche ATT&CK-Techniken könnten sie ausnutzen.
Red Team und Purple Team: Tools wie Atomic Red Team und CALDERA führen ATT&CK-gemappte Testfälle aus. Purple Teaming mit ATT&CK wandelt diese Übungen in einen kontinuierlichen Verbesserungskreislauf um. Für Teams, die SAST und Secret Detection in Pipelines einsetzen, liefert ATT&CK den adversarialen Kontext dafür, warum bestimmte Code-Muster gefährlich sind — T1552 (Unsecured Credentials) entspricht direkt hardkodierten Secrets.
Container- und Cloud-Sicherheit: ATT&CKs Cloud-Matrix ist mit Techniken wie T1537 und T1530 für AWS, Azure und GCP erheblich relevanter geworden. Teams, die Container Image Scanning betreiben, sollten gefundene Schwachstellen den ATT&CK-Techniken zuordnen, die sie ermöglichen.
Compliance: NIST CSF 2.0 referenziert ATT&CK explizit. Für Teams, die Compliance über mehrere Frameworks hinweg verwalten, wird ATT&CK zur vereinheitlichenden technischen Schicht — ein Satz von Erkennungen, der in mehrere Compliance-Berichte einfließt.
Häufige Fehler bei der ATT&CK-Nutzung
100% Technikenabdeckung anzustreben ist der häufigste Fehler. Sie können nicht jede ATT&CK-Technik erkennen — manche erfordern Telemetrie, die Sie nicht haben, andere haben Falsch-Positiv-Raten, die sie im Produktionsbetrieb unbrauchbar machen. ATT&CK als statisch zu behandeln ist der zweite Fehler: Version 16 hat neue Cloud-Sub-Techniken hinzugefügt und Erkennungshinweise überarbeitet. Teams, die Coverage gegen v13 gemappt und nie aktualisiert haben, arbeiten mit veralteten Daten. ATT&CK ist kein Framework, das man einmal implementiert — es ist ein Programm, das kontinuierlich betrieben wird.