Warum passive Erkennung nicht mehr ausreicht
IBMs Cost of a Data Breach Report 2026 beziffert die durchschnittlichen Kosten eines Datenschutzvorfalls auf 4,88 Millionen US-Dollar. Die noch ernuechterndere Zahl: Die durchschnittliche Verweildauer von Angreifern in Netzwerken betraegt bei rein reaktiven Sicherheitsarchitekturen noch immer rund 194 Tage. Threat Hunting existiert genau dafuer, diese Luecke zu schliessen: nicht auf Alarme warten, sondern Angreifer aktiv aufspueren, bevor sie ihr Ziel erreichen.
Dieser Leitfaden richtet sich an Security Engineers, SOC-Analysten und Security-Architekten, die ein fundiertes, praxisorientiertes Verstaendnis von Threat Hunting entwickeln moechten.
Was ist Threat Hunting?
Threat Hunting ist der proaktive, von Menschen geleitete Prozess, bei dem Netzwerke, Endpunkte und Datensaetze gezielt nach Angreiferaktivitaeten durchsucht werden, die automatisierte Kontrollen umgangen haben. Man reagiert nicht auf einen Alarm, sondern formuliert eine Hypothese und ueberprueft diese aktiv.
Drei Hunting-Modelle definieren das Reifegrad-Spektrum: Intel-gesteuerte Hunts, TTP-basierte Hunts und Anomalie-getriebene Hunts. Jeder Ansatz verfolgt dasselbe Ziel: Bedrohungen finden, bevor sie Schaden anrichten.
Threat Hunting vs. Threat Intelligence
Threat Intelligence ist der Input. Threat Hunting ist die Aktivitaet. Intelligence informiert darueber, was Angreifer tun. Hunting nutzt diese Erkenntnisse, um gezielt nach diesen Verhaltensweisen in Logs, EDR-Telemetrie und Netzwerk-Flows zu suchen. In modernen Cloud Security-Umgebungen ist die Kombination beider Disziplinen heute eine Basisanforderung reifer Sicherheitsprogramme.
Effektive Threat-Hunting-Techniken 2026
Stack Counting und Long-Tail-Analyse
Stack Counting ist eine der aeltesten und effektivsten Hunting-Techniken. Man zaehlt Vorkommen eines Feldes und untersucht die seltenen Werte im Long Tail. Legitime Umgebungen haben vorhersehbare Elternprozesse. Ein PowerShell-Prozess, der von einem PDF-Reader gestartet wird, ist sofort verdaechtig.
MITRE ATT&CK-basierte TTP-Hunts
Man waehlt eine Technik aus der ATT&CK-Matrix und sucht aktiv in der EDR-Telemetrie nach verdaechtigen Mustern. Die Kombination mit Vulnerability Management-Daten hilft, Prioritaeten zu setzen.
Hunting in Cloud- und Container-Umgebungen
Cloud-Hunting erfordert andere Techniken als klassisches On-Premises-Hunting. Container Image Scanning und Runtime-Security-Tooling werden zunehmend Teil der Hunting-Oberflaeche.
Threat Hunting Framework: Ein wiederholbarer Prozess
Ein strukturiertes Framework wie der Sqrrl/SANS Hunting Loop oder TaHiTI transformiert individuelles Expertenwissen in eine wiederholbare organisatorische Faehigkeit. Jeder Hunt sollte eine Detektionsverbesserung hervorbringen.
Threat Hunting Tools 2026
CrowdStrike Falcon, Microsoft Defender fuer Endpunkt und SentinelOne dominieren das EDR-Segment. Das Microsoft Defender-Oekosystem bietet mit KQL-basierten Advanced Hunting Queries eine leistungsstarke Plattform. Sigma-Regeln haben sich als gemeinsame Sprache etabliert. Fuer Cloud-Umgebungen sind Falco und native Dienste unverzichtbar. Die Integration mit einer CSPM-Loesung verbindet praventive Posture-Sichtbarkeit mit reaktiver Hunting-Telemetrie.
Threat Hunting Zertifizierungen
GIAC GCTI, SANS FOR508, eCTHP und BTL2 sind die relevantesten Qualifikationen fuer Threat Hunter 2026. Praktische Erfahrung zaehlt mehr als jedes Zertifikat.
Integration in das Sicherheitsprogramm
Hunt-Outputs sollten als Detektionslueckenberichte in die Detection-Engineering-Pipeline fliessen. Code Security und Secret Detection reduzieren die Angriffsoberflaeche, die Threat Hunter ueberwachen muessen.
Messung der Wirksamkeit
Relevante KPIs umfassen neu entdeckte TTPs pro Hunt, Verbesserung der Detektionsabdeckung, Hunt-to-Incident-Konversionsrate und Time-to-Hypothesis. Organisationen mit reifen Hunting-Programmen reduzieren die Angreifer-Verweildauer auf einstellige Tage.