Threat Intelligence für KMU: Einstieg ohne eigenes SOC

Warum Threat Intelligence kein Konzernthema mehr ist

Lange galt Threat Intelligence als Disziplin für Großunternehmen mit eigenen Security Operations Centern. Teams aus Analysten werteten Bedrohungsdaten aus, korrelierten Indicators of Compromise und erstellten Lagebilder. Für ein mittelständisches Unternehmen mit fünf bis fünfzig IT-Arbeitsplätzen klang das nach einer anderen Welt.

Diese Einschätzung war nie ganz richtig. Heute ist sie gefährlich falsch. Angreifer unterscheiden nicht nach Unternehmensgröße. Ransomware-Gruppen scannen automatisiert das gesamte Internet nach verwundbaren Systemen. Ein ungepatchter Exchange-Server bei einem Maschinenbauer in Schwaben ist für sie genauso attraktiv wie einer bei einem DAX-Konzern — oft sogar attraktiver, weil die Abwehr schwächer ist.

Threat Intelligence bedeutet im Kern: strukturiert verstehen, wer Sie angreifen könnte, mit welchen Methoden und über welche Schwachstellen. Sie brauchen dafür kein SOC. Sie brauchen die richtigen Quellen, einen klaren Prozess und die Fähigkeit, Erkenntnisse in konkrete Maßnahmen umzusetzen.

Was Threat Intelligence konkret liefert

Threat Intelligence lässt sich in drei Ebenen unterteilen. Jede Ebene beantwortet andere Fragen:

Strategische Intelligence

Wer greift Unternehmen in Ihrer Branche an? Welche Motive stehen dahinter? Welche geopolitischen Entwicklungen beeinflussen die Bedrohungslage? Diese Ebene richtet sich an die Geschäftsführung und hilft bei Budgetentscheidungen. Quellen sind Lageberichte des BSI, Veröffentlichungen von ENISA oder Branchenverbänden.

Taktische Intelligence

Welche Angriffstechniken werden aktuell eingesetzt? Welche Malware-Familien sind aktiv? Wie gehen Angreifer bei der Erstinfektion vor? Diese Ebene hilft IT-Verantwortlichen, Abwehrmaßnahmen zu priorisieren. Das MITRE ATT&CK Framework ordnet bekannte Techniken systematisch ein.

Operative Intelligence

Welche IP-Adressen, Domains oder Dateihashes sind aktuell mit Angriffen verknüpft? Diese technischen Indikatoren (Indicators of Compromise, kurz IoC) lassen sich direkt in Firewalls, E-Mail-Filter oder Endpoint-Lösungen einspeisen. Sie sind die unmittelbarste Form von Threat Intelligence.

Das BSI empfiehlt in seinem Lagebericht 2025: „Auch kleine und mittlere Unternehmen sollten verfügbare Bedrohungsinformationen systematisch nutzen, um ihre Abwehr an die aktuelle Lage anzupassen."

Kostenlose Quellen für den Einstieg

Der Einstieg in Threat Intelligence muss nichts kosten. Es gibt etablierte Quellen, die frei verfügbar sind:

• BSI-Warnmeldungen und Lageber­ichte: Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht regelmäßig Warnungen zu aktiven Bedrohungen, Schwachstellen und Angriffskampagnen. Der jährliche Lagebericht gibt einen strategischen Überblick.
• CERT-Bund: Das Computer Emergency Response Team des BSI veröffentlicht technische Advisories zu Schwachstellen in verbreiteter Software. Diese lassen sich nach Hersteller und Produkt filtern.
• MITRE ATT&CK: Die öffentlich zugängliche Wissensbasis dokumentiert Angriffstechniken systematisch. Sie können prüfen, welche Techniken in Ihrer Branche besonders häufig eingesetzt werden und ob Ihre Abwehr darauf vorbereitet ist.
• AlienVault OTX: Eine offene Plattform für den Austausch von Bedrohungsindikatoren. Sie können nach Branchen oder Regionen filtern und erhalten IoCs, die sich in Sicherheitslösungen integrieren lassen.
• Abuse.ch: Die Schweizer Non-Profit-Initiative betreibt mehrere Feeds zu Malware, Botnetzen und schädlichen URLs. Die Daten sind frei zugänglich und maschinenlesbar.
• ENISA Threat Landscape: Die europäische Cybersicherheitsagentur veröffentlicht jährlich eine Analyse der wichtigsten Bedrohungen. Der Bericht ordnet Trends ein und benennt die aktivsten Bedrohungsakteure in Europa.

Keine dieser Quellen erfordert einen Vertrag oder eine Lizenz. Der Aufwand liegt nicht im Zugang, sondern in der regelmäßigen Auswertung.

Von der Information zur Maßnahme: Ein Prozess für KMU

Threat Intelligence ist nur dann nützlich, wenn sie zu Handlungen führt. Ein Lagebericht, der ungelesen in einem Postfach liegt, verbessert die Sicherheit nicht. Für KMU empfiehlt sich ein schlanker Prozess in vier Schritten:

1. Relevanz definieren

Nicht jede Bedrohung betrifft Ihr Unternehmen. Ein Angriff auf industrielle Steuerungssysteme ist für eine Steuerberatung irrelevant. Definieren Sie Ihren Scope: Welche Systeme betreiben Sie? Welche Software setzen Sie ein? In welcher Branche sind Sie aktiv? Diese Eingrenzung filtert 80 % des Rauschens heraus.

2. Quellen auswählen und bündeln

Wählen Sie zwei bis drei Quellen aus, die zu Ihrem Profil passen. BSI-Warnmeldungen und CERT-Bund-Advisories sind für fast jedes Unternehmen relevant. Ergänzen Sie branchenspezifische Quellen, falls verfügbar — etwa von Branchenverbänden oder ISACs (Information Sharing and Analysis Centers).

3. Wöchentlich auswerten

Blockieren Sie 30 Minuten pro Woche für die Auswertung. Prüfen Sie: Gibt es neue Schwachstellen in Software, die Sie einsetzen? Gibt es Warnungen zu Angriffskampagnen in Ihrer Branche? Gibt es neue IoCs, die Sie in Ihre Sicherheitslösungen einspeisen sollten? Dokumentieren Sie die Ergebnisse in einem kurzen Protokoll.

4. Maßnahmen ableiten und umsetzen

Jede relevante Erkenntnis mündet in eine konkrete Maßnahme: Patch einspielen, Firewall-Regel anpassen, Mitarbeiter informieren oder Incident-Response-Plan aktualisieren. Ohne diesen letzten Schritt bleibt Threat Intelligence ein Lesekreis ohne Wirkung.

Tools für KMU ohne eigenes SOC

Sie brauchen kein SIEM mit sechs Analysten. Für den Einstieg reichen pragmatische Werkzeuge:

• RSS-Reader oder E-Mail-Alerts: Die einfachste Variante. BSI-Warnmeldungen und CERT-Bund-Advisories lassen sich als RSS-Feed oder per E-Mail abonnieren. Kein Setup, keine Kosten.
• OpenCTI oder MISP: Open-Source-Plattformen für Threat Intelligence. Sie sammeln, korrelieren und visualisieren Bedrohungsdaten. Die Einrichtung erfordert technisches Know-how, aber beide Tools sind kostenlos und werden von aktiven Communities gepflegt.
• Managed Threat Intelligence: Wenn interne Ressourcen fehlen, bieten Dienstleister kuratierte Feeds und Lageberichte an. Sie filtern die relevanten Informationen für Ihre Branche und liefern fertige Handlungsempfehlungen.

Für viele KMU ist die Kombination aus BSI-Alerts und einem strukturierten wöchentlichen Review der sinnvollste Einstieg. Komplexere Lösungen können später folgen, wenn der Prozess etabliert ist.

Threat Intelligence und NIS2

Die NIS2-Richtlinie macht Threat Intelligence nicht explizit zur Pflicht. Aber sie fordert in Artikel 21 ein Risikomanagement, das „auf einem gefahrenübergreifenden Ansatz" basiert. In der Praxis bedeutet das: Sie müssen die aktuelle Bedrohungslage kennen, um Risiken realistisch bewerten zu können.

Auditoren fragen zunehmend, woher Unternehmen ihre Einschätzung der Bedrohungslage ableiten. „Wir haben davon nichts mitbekommen" ist keine akzeptable Antwort, wenn das BSI Wochen vorher vor genau dieser Schwachstelle gewarnt hat.

Auch die Meldepflichten nach NIS2 setzen voraus, dass Sie Vorfälle erkennen können. Threat Intelligence verbessert die Erkennungsfähigkeit, weil Sie wissen, wonach Sie suchen müssen. Ein bekannter IoC in Ihren Logs ist ein Frühwarnsignal. Ohne Threat Intelligence bleibt er ein unauffälliger Logeintrag.

Die Nachweispflichten in NIS2 und ISO 27001 lassen sich ebenfalls leichter erfüllen, wenn Sie dokumentieren können, dass Sie Bedrohungsinformationen systematisch auswerten. Ein wöchentliches Protokoll der Threat-Intelligence-Auswertung ist ein starkes Dokument bei jedem Audit.

Häufige Fehler beim Einstieg

Drei Fehler sehen wir regelmäßig bei Unternehmen, die mit Threat Intelligence starten:

• Zu viele Quellen auf einmal: Wer zehn Feeds abonniert, ertrinkt in Daten. Starten Sie mit zwei bis drei Quellen und erweitern Sie erst, wenn der Prozess stabil läuft.
• Keine Umsetzung: Intelligence ohne Action ist Unterhaltung. Jede Auswertung muss in einer konkreten Entscheidung enden — auch wenn die Entscheidung lautet: kein Handlungsbedarf.
• Fehlender Branchenbezug: Generische Bedrohungsberichte sind wenig hilfreich, wenn sie keine Relevanz für Ihre spezifische IT-Landschaft haben. Filtern Sie konsequent nach den Technologien und Branchen, die Sie betreffen.

Threat Intelligence ist kein Projekt, das irgendwann abgeschlossen ist. Es ist eine laufende Praxis — wie das Lesen von Fachnachrichten für Ihre Branche. Der Unterschied: Die Erkenntnisse fließen direkt in Ihre Sicherheitsmaßnahmen ein. Eine Plattform wie Titan kann dabei helfen, Bedrohungsinformationen mit Ihrem Risikomanagement zu verknüpfen und Maßnahmen nachvollziehbar zu dokumentieren — vom ersten IoC bis zur umgesetzten Gegenmaßnahme.