Begriffe aus der Cyberresilienz.

A

Air-Gap

Physische oder logische Trennung eines Systems vom Netzwerk, sodass kein direkter Zugriff aus anderen Netzen möglich ist. Wird z. B. für kritische Backup-Speicher eingesetzt, die ein Angreifer auch mit Domain-Admin-Rechten nicht erreichen kann.

Angriffsvektor

Auch: Eintrittsvektor. Der Weg, über den ein Angreifer in ein System gelangt — etwa eine Phishing-Mail mit Malware-Anhang, eine ausnutzbare Schwachstelle in einer öffentlich erreichbaren Anwendung, ein kompromittierter Lieferanten-Zugang oder ein gestohlenes Passwort. Im Rahmen einer Root Cause Analysis wird der Eintrittsvektor rekonstruiert, um nicht nur den infizierten Endpunkt zu reinigen, sondern die eigentliche Eintrittstür zu schließen.

APT

Advanced Persistent Threat — hochmotivierte Angreifer mit langer Vorbereitung, oft staatlich oder organisierte Kriminalität. Verbleiben über Wochen oder Monate unbemerkt im Netz, eskalieren Berechtigungen schrittweise und exfiltrieren gezielt — anders als „lauter" agierende Ransomware-Gruppen, die auf schnelle Erpressung setzen. Lassen sich nur durch dauerhafte Detektion sichtbar machen, nicht durch Einzel-Scans.

AVV

Auftragsverarbeitungsvereinbarung — vertraglicher Rahmen nach Art. 28 DSGVO, wenn ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet (z. B. ein IT-Dienstleister auf den Systemen eines Mandanten). Regelt Zweckbindung, technische und organisatorische Maßnahmen, Subunternehmer-Einsatz und Löschpflichten. Für Berufsgeheimnisträger nicht ausreichend — dort kommt eine eigenständige Verpflichtung nach §203 StGB hinzu.

B

Backup, Immutable

Backup-Speicher, dessen Inhalt während der Aufbewahrungsfrist nicht verändert oder gelöscht werden kann — auch nicht durch privilegierte Konten. Schützt vor Ransomware, die Backups gezielt mitverschlüsselt.

BAIT

Bankaufsichtliche Anforderungen an die IT — Rundschreiben der BaFin zur IT-Sicherheit von Banken und Finanzinstituten. Konkretisiert die Mindestanforderungen aus § 25a KWG für den IT-Bereich.

Blue Team

Verteidigendes Sicherheitsteam — typischerweise SOC, Incident Response und Threat Hunting. Beobachtet die eigenen Systeme in Echtzeit, erkennt Angriffe, greift ein und verbessert kontinuierlich die Detektion. Gegenstück zum Red Team; gemeinsame Übungen mit beiden Seiten heißen Purple Team.

BSI

Bundesamt für Sicherheit in der Informationstechnik — die zentrale deutsche Cybersicherheitsbehörde. Veröffentlicht Standards (BSI-Grundschutz, IT-Grundschutz-Kompendium) und ist Aufsichtsbehörde für KRITIS-Betreiber.

C

C2

Command and Control — Server-Infrastruktur, mit der Angreifer kompromittierte Systeme nach erfolgreichem Eindringen steuern (Befehle senden, Daten abziehen, weitere Schadsoftware nachladen). Die Kommunikation zwischen infiziertem System und C2-Server ist meist verschlüsselt und tarnt sich als legitimer Web-Traffic. Wird durch Network Detection und DNS-Filterung sichtbar — und ist einer der ersten Eingriffspunkte im Containment.

CASB

Cloud Access Security Broker — Sicherheits-Komponente zwischen Anwendern und Cloud-Diensten, die Zugriffe protokolliert, Richtlinien durchsetzt und nicht-freigegebene Dienste sichtbar macht („Shadow IT"). Typische Funktionen: Datenklassifizierung, DLP-Regeln, MFA-Erzwingung und Compliance-Reports für M365, Google Workspace, Salesforce und ähnliche Plattformen. Wird relevant, sobald Cloud-Dienste an klassischen Perimeter-Sicherheitslösungen vorbei genutzt werden.

Chain of Custody

Lückenlose Dokumentation darüber, wer wann mit digitalen Beweismitteln umgegangen ist — vom Zeitpunkt der Sicherung bis zur Auswertung. Voraussetzung für die gerichtsfeste Verwertung forensischer Ergebnisse, etwa in Strafverfahren oder im Streit mit Versicherern. Erfordert standardisierte Werkzeuge und protokollierte Prozesse.

Containment

Phase im Incident Response, in der die Ausbreitung eines laufenden Vorfalls gestoppt wird. Typische Maßnahmen: Isolation betroffener Endgeräte vom Netzwerk, Sperrung kompromittierter Konten, Blockierung der Kommunikation mit Command-and-Control-Servern. Geht der eigentlichen Bereinigung voraus — erst stoppen, dann säubern.

CRA

Cyber Resilience Act — EU-Verordnung mit Cybersicherheits-Anforderungen für Produkte mit digitalen Elementen, also Hard- und Software, die direkt oder indirekt mit einem Gerät oder Netz verbunden sind. Hersteller müssen über den gesamten Produktlebenszyklus Schwachstellen managen, Sicherheits-Updates bereitstellen und eine SBOM pflegen. Tritt stufenweise in Kraft, mit voller Wirkung ab Ende 2027.

CVE

Common Vulnerabilities and Exposures — standardisiertes Katalogsystem für öffentlich bekannte Software-Schwachstellen, betrieben von MITRE. Jede Schwachstelle erhält eine eindeutige ID (z. B. CVE-2021-44228 für Log4Shell) und einen Datensatz mit betroffenen Produkten, Auswirkungen und Workarounds. Bildet die Grundlage für Schwachstellenmanagement, SBOM-Auswertung und Supply-Chain-Monitoring.

Cyberresilienz

Fähigkeit einer Organisation, den Geschäftsbetrieb auch bei Sicherheitsvorfällen aufrechtzuerhalten oder schnell wiederherzustellen. Geht über reine Prävention hinaus und umfasst Prävention, Detektion, Reaktion und Wiederanlauf.

D

DMARC

Domain-based Message Authentication, Reporting and Conformance — Verfahren zur Authentifizierung des Absenders einer E-Mail anhand der versendenden Domain. Verhindert, dass Angreifer Nachrichten unter fremdem Namen versenden können (Spoofing). Wird durch passende DNS-Einträge konfiguriert und ergänzt SPF und DKIM zur vollständigen Mail-Authentifizierung.

DORA

Digital Operational Resilience Act — EU-Verordnung für den Finanzsektor, findet seit dem 17. Januar 2025 Anwendung. Definiert Anforderungen an IT-Risikomanagement, Vorfallsmeldung und kritische IT-Dienstleister.

DSGVO

Datenschutz-Grundverordnung — EU-weite Verordnung zum Schutz personenbezogener Daten. Verpflichtet Organisationen u. a. zu technischen und organisatorischen Maßnahmen sowie zur Meldung von Datenschutzverstößen.

E

EDR

Endpoint Detection and Response — Sicherheitslösung, die verdächtige Aktivitäten auf Endgeräten (Laptops, Server) erkennt und automatisiert oder durch Analysten reagiert. Geht deutlich über klassische Antivirus-Software hinaus.

H

Honeypot

Bewusst exponiertes System ohne echten Geschäftswert, das wie ein legitimes Ziel aussieht — etwa ein scheinbar ungeschützter Datei-Server oder eine Datenbank mit Lockdaten. Jeder Zugriff darauf ist verdächtig, weil legitime Nutzer dort nichts zu suchen haben. Liefert daher zuverlässige Frühwarnungen über laterale Bewegungen und Reconnaissance-Aktivitäten im internen Netz.

I

IDS / IPS

Intrusion Detection / Prevention System — netzwerkbasierte Systeme zur Erkennung (IDS) bzw. aktiven Abwehr (IPS) von Angriffen anhand bekannter Muster oder Anomalien.

Incident Response

Strukturierter Prozess zur Reaktion auf Sicherheitsvorfälle — von der Erkennung über Eindämmung und Ursachenanalyse bis zur Wiederherstellung und Nachbereitung.

ISO 27001

Internationale Norm für Informationssicherheits-Managementsysteme. Zertifizierbar — viele Kunden und Versicherer fordern sie als Nachweis eines systematischen Sicherheitsmanagements.

K

KRITIS

Kritische Infrastrukturen — Einrichtungen mit hoher Bedeutung für das staatliche Gemeinwesen, deren Ausfall erhebliche Versorgungsengpässe oder Sicherheitsgefährdungen zur Folge hätte. Reguliert durch das BSI-Gesetz.

L

Lateral Movement

Bewegung eines Angreifers von einem bereits kompromittierten System zu weiteren Systemen im selben Netzwerk. Ziel ist meist Privilegieneskalation oder das Erreichen wertvoller Datenbestände. Wird durch Netzwerksegmentierung erschwert und durch Detection-Lösungen wie EDR, NDR oder SIEM sichtbar.

M

MDR

Managed Detection and Response — extern bereitgestellter Service zur 24/7-Überwachung, Analyse und Reaktion auf Sicherheitsvorfälle. Kombiniert Tooling mit Analysten.

MFA

Multi-Factor Authentication — Anmeldung, die zwei oder mehr unabhängige Faktoren kombiniert: etwas, das man weiß (Passwort), etwas, das man besitzt (Authenticator-App, Hardware-Token) oder etwas, das man ist (Fingerabdruck, Gesichtsscan). Schützt gegen den Standardangriff, ein gestohlenes Passwort allein wirken zu lassen. Heute Mindeststandard für externe Zugriffe und Administrator-Konten.

MITRE ATT&CK

Adversarial Tactics, Techniques, and Common Knowledge — Wissensdatenbank über reale Angriffsmethoden, gepflegt von der gemeinnützigen MITRE Corporation. Strukturiert nach Taktik (Ziel des Angreifers) und Technik (konkretes Vorgehen). Dient SOC-Arbeit und Threat Hunting als gemeinsamer Bezugsrahmen — Angriffe werden eindeutig benannt, Erkennungslücken sichtbar.

N

NDR

Network Detection and Response — Sicherheitslösung zur Analyse von Netzwerkverkehr, um Angriffe zu erkennen, die auf Endpunkten nicht sichtbar sind (z. B. Lateral Movement, Datenabfluss).

NIS2

Network and Information Security Directive 2 — EU-Richtlinie zur IT-Sicherheit, die seit Oktober 2024 deutlich größere Unternehmenskreise verpflichtet (auch Mittelständler). Vorgaben zu Risikomanagement, Meldepflichten und Lieferkettensicherheit.

O

OWASP

Open Worldwide Application Security Project — gemeinnützige Stiftung, die offene Standards, Methoden und Werkzeuge für die Sicherheit von Web-Anwendungen entwickelt. Bekannteste Veröffentlichung sind die OWASP Top 10, eine regelmäßig aktualisierte Liste der häufigsten Schwachstellen in Web-Anwendungen — heute De-facto-Referenz für Web Application Firewalls und Code-Reviews.

P

PAM

Privileged Access Management — spezialisierte Verwaltung privilegierter Zugriffe wie Administrator-Konten, Service-Accounts und Notfall-Zugänge. Erzwingt erhöhte Authentifizierung (z. B. MFA), zeitlich begrenzte Berechtigungen und Session-Recording. Hintergrund: Privilegierte Konten sind das Hauptziel von Angreifern, weil sie Zugriff auf die Sicherheitsarchitektur selbst gewähren.

Phishing

Versuch, über gefälschte Nachrichten an Anmeldedaten, Finanzinformationen oder Klicks auf Schadcode zu gelangen — meist per E-Mail, zunehmend auch per SMS (Smishing) oder Anruf (Vishing). Zielgerichtete Varianten gegen einzelne Personen heißen Spear Phishing, gegen Führungskräfte Whaling. Phishing ist der häufigste initiale Angriffsvektor in Unternehmen und damit der Hauptansatzpunkt von Awareness-Trainings und E-Mail-Sicherheit.

Purple Team

Kollaborativer Modus, in dem Red Team und Blue Team gezielt zusammenarbeiten — Angreifer und Verteidiger sehen sich gegenseitig die Karten an. Ziel: Erkennungslücken systematisch schließen, statt sie nur in einem Test sichtbar zu machen. Typischer Ablauf: Das Red Team führt eine Angriffstechnik aus, das Blue Team prüft in Echtzeit, ob und wann sie diese in SIEM und EDR sieht — gemeinsam wird nachjustiert.

R

RCA

Root Cause Analysis — strukturierte Analyse, die nach einem Sicherheitsvorfall die eigentliche Ursache identifiziert. Nicht nur das Symptom (z. B. infizierter Endpunkt), sondern den Eintrittsvektor und die strukturellen Schwachstellen, die ihn ermöglicht haben. Grundlage für nachhaltige Maßnahmen statt punktueller Reparatur.

Red Team

Offensives Sicherheitsteam, das echte Angreifer simuliert — oft über Wochen, mit verdeckten Methoden, Social Engineering und gegebenenfalls physischem Zutritt. Geht über klassische Penetrationstests hinaus, weil nicht nur einzelne Systeme geprüft werden, sondern die gesamte Verteidigungskette einschließlich Menschen und Prozesse. Gegenstück zum Blue Team; gemeinsame Übungen mit beiden Seiten heißen Purple Team.

RTO / RPO

Recovery Time Objective und Recovery Point Objective — die beiden Kennzahlen der Wiederherstellung. RTO definiert, wie schnell ein System nach einem Ausfall wieder verfügbar sein muss; RPO, wieviel Datenverlust dabei maximal akzeptabel ist (z. B. zwei Stunden zwischen letztem Backup und Ausfallzeitpunkt). Beide Werte sollten pro Kernsystem vertraglich festgelegt sein — nicht erst im Ernstfall verhandelt.

S

SBOM

Software Bill of Materials — strukturierte Stückliste aller Komponenten und Abhängigkeiten einer Software, einschließlich Open-Source-Bibliotheken und deren Versionen. Ermöglicht im Fall einer neu bekanntgewordenen Schwachstelle (z. B. Log4Shell) sofort zu erkennen, welche eigenen Anwendungen betroffen sind. Wird durch den Cyber Resilience Act und andere Regulierungen zunehmend verpflichtend.

Shared Responsibility

Modell der geteilten Verantwortung — z. B. zwischen Cloud-Anbieter und Kunde oder zwischen interner IT und Managed-Security-Dienstleister. Definiert klar, wer für welche Sicherheits-Disziplinen zuständig ist.

SIEM

Security Information and Event Management — System, das Sicherheits-relevante Logdaten aus verschiedenen Quellen sammelt, korreliert und Alarme bei verdächtigen Mustern erzeugt.

SOAR

Security Orchestration, Automation and Response — Plattform, die Sicherheitswerkzeuge wie SIEM, EDR und Ticketsystem orchestriert und Reaktionsabläufe automatisiert (z. B. „Bei diesem Indikator: betroffenes Konto sperren, Endgerät isolieren, Ticket eröffnen, Analyst benachrichtigen"). Reduziert manuelle Arbeit im SOC bei Standardvorfällen und sichert konsistente Reaktion auch nachts. Sinnvoll erst ab einer gewissen Vorfallzahl — sonst überwiegt der Konfigurationsaufwand den Nutzen.

SOC

Security Operations Center — zentrale organisatorische Einheit, die Sicherheits-Vorfälle erkennt, analysiert und auf sie reagiert. Kann intern betrieben oder als Service eingekauft werden (SOC-as-a-Service).

T

Threat Hunting

Proaktive Suche nach Angriffsspuren, die noch keinen Alarm ausgelöst haben. Anders als die reaktive Alarmbearbeitung im SOC geht Threat Hunting hypothesengetrieben vor — Analysten prüfen Logs und Telemetriedaten gezielt auf konkrete Angriffsmuster. Nutzt MITRE ATT&CK als gemeinsamen Bezugsrahmen.

TISAX

Trusted Information Security Assessment Exchange — Prüfverfahren für Informationssicherheit in der Automobilindustrie. Pflicht für viele Zulieferer.

Typosquatting

Registrierung von Domains, die populären Marken nur geringfügig ähneln — etwa „googel.com" statt „google.com" oder „rnicrosoft.com" mit „rn" statt „m". Wird für Phishing, Malware-Verbreitung und Markenmissbrauch eingesetzt; ein flüchtiger Tippfehler oder Vorlesefehler in einer E-Mail reicht, damit ein Opfer die falsche Seite ansteuert. Schutz erfordert kombinierte Maßnahmen aus DNS-Filterung, Awareness-Training und Markenüberwachung.

V

VS-NfD

Verschlusssache — Nur für den Dienstgebrauch. Niedrigste deutsche Geheimhaltungsstufe für staatliche Information. Erfordert akkreditierte IT-Umgebungen und freigegebene Mitarbeitende.

X

XDR

Extended Detection and Response — Erweiterung des EDR-Konzepts auf mehrere Telemetrie-Quellen: Endpoint, Netzwerk, Identität, Cloud und E-Mail werden gemeinsam korreliert. Ziel: Angriffe sichtbar machen, die einzelne Werkzeuge nur als isolierte, scheinbar harmlose Ereignisse sehen würden. Funktional verwandt mit SIEM — aber als integrierter Vendor-Stack mit vor-kuratierten Erkennungen, nicht als offene Log-Sammelstelle.

Z

Zero Trust

Sicherheitsprinzip nach dem Motto 'never trust, always verify'. Statt Netzwerk-internen Verkehr per se zu vertrauen, wird jede Anfrage authentifiziert, autorisiert und protokolliert — unabhängig vom Standort.

Zero-Day

Sicherheitslücke, für die zum Zeitpunkt ihrer aktiven Ausnutzung noch kein Patch existiert — der Hersteller hat „null Tage" Zeit, um sie zu schließen, weil sie bereits angegriffen wird. Klassische signaturbasierte Schutzmaßnahmen greifen bei Zero-Days nicht; Verteidigung läuft über Verhaltenserkennung (EDR), Netzwerk-Anomalien (NDR) und schnelle Reaktion. Echte Zero-Days sind selten — die meisten kritischen Angriffe nutzen längst bekannte, aber ungepatchte Schwachstellen.