Verarbeitung & Zusammenfassung von Bedrohungsinformationen

Sicherheitsteams ertrinken in Warnmeldungen, Hersteller-Blogs, Feeds und Darknet-Gerede, das größtenteils für den eigenen Bestand irrelevant ist. LLMs lesen diese Quellen, übersetzen sie, extrahieren Indikatoren und Angriffstechniken in maschinenlesbares STIX, verknüpfen sie mit ATT&CK und den eigenen Assets der Organisation und schreiben kurze, maßgeschneiderte Lagebilder. Ergebnis: Analysten verbringen ihre Zeit mit Entscheiden und Handeln statt mit Lesen und Copy-and-paste.

Problem & Nutzen

• Heute: Eine Analystin bzw. ein Analyst für Cyber Threat Intelligence (CTI) oder eine überlastete IT-Leitung liest täglich Dutzende Quellen, extrahiert IOCs manuell in eine TIP/MISP, ordnet TTPs von Hand ATT&CK zu und schreibt Lagebilder. Berichte kommen in vielen Sprachen und Formaten (PDF, HTML, Tweets, Forenbeiträge). Die meisten KMU haben gar keine CTI-Rolle und sehen nur rohe Feeds innerhalb ihrer Sicherheitswerkzeuge.
• KI-Nutzen: (1) das tägliche Aufkommen zusammenfassen und deduplizieren; (2) unstrukturierte Berichte in strukturierte STIX-2.1-Objekte überführen; (3) nach Relevanz für Branche, Software-Stack und exponierte Assets der Organisation filtern; (4) Fragen der Analysten in natürlicher Sprache beantworten („Welche Akteure setzen diesen Loader gegen Logistikunternehmen ein?“); (5) aus beschriebenen TTPs Ideen zur Erkennung entwerfen; (6) zielgruppengerechte Ausgaben erstellen (technisch für das SOC, CISO, Vorstand).
• Belege: Herstellerangaben zur eingesparten Zeit gibt es (z. B. veröffentlichen Google, Microsoft und Recorded Future Assistenzfunktionen), aber unabhängige quantifizierte Studien sind begrenzt; wissenschaftliche Arbeiten zeigen, dass LLMs CTI-Entitäten extrahieren und ATT&CK mit nützlicher, aber unvollkommener Genauigkeit zuordnen können, weshalb die menschliche Validierung bleibt [5][6]. Messen Sie lieber Ihre eigene Ausgangslage, statt allgemeinen Zahlen zu trauen.
• Regulatorischer Sog: NIS2 (Richtlinie (EU) 2022/2555) und DORA verlangen Risikomanagement, Behandlung von Vorfällen und Informationsaustausch; Bedrohungsinformationen speisen die Risikoanalyse und Überwachung, die diese Pflichten voraussetzen [7].

Varianten

• KMU / MSP: kuratierte tägliche Zusammenstellung der Warnmeldungen, die für die tatsächlich genutzte Software und Cloud-Dienste relevant sind, plus KEV-/CVE-Alarme.
• CTI-Team im Enterprise: TIP-zentrierte Pipeline mit Extraktion von Bericht zu STIX, Akteursprofilen und Beantwortung von RFIs (Request for Information).
• Branchen-ISAC / CERT / öffentlicher Sektor: mehrsprachige Aufnahme, Austausch über TAXII-/MISP-Gemeinschaften, TLP-bewusste Weitergabe (siehe Risiken).
• Finanzsektor (DORA/TIBER-EU): Zusammenfassungen der Bedrohungslage, die in den Zuschnitt bedrohungsgesteuerter Penetrationstests einfließen (SEC-007).
• Schwachstellenzentriert: Zusammenfassung von Exploits, die in freier Wildbahn genutzt werden, zur Priorisierung von Patches (SEC-004).
• Marken-/Darknet-Überwachung: siehe SEC-021; zu OSINT-Linkanalyse allgemein siehe KNOW-026.
• Privatnutzung: nicht anwendbar, abgesehen von verbraucherorientierten CERT-Newslettern.

So funktioniert es

1. sources (advisories, blogs, PDFs, feeds, forums, vendor TI)
2. collection & normalisation (RSS/API/TAXII, scraping, document parsing, language detection)
3. deduplication & clustering (embeddings; same campaign reported by many vendors)
4. LLM extraction (entities: actor, malware, CVE, IOC, TTP; schema-constrained JSON
5. STIX 2.1)
6. validation (regex/defang checks for IOCs, ATT&CK ID lookup, source citation per claim)
7. relevance scoring against asset inventory, sector and tech stack
8. summarisation & briefing generation (per audience, with source links, TLP label)
9. analyst review
10. publish to TIP/MISP/OpenCTI, SIEM watchlists, ticket, chat

• Extraktion: Ein LLM mit strukturierten Ausgaben liest den Bericht und gibt STIX-Objekte aus; IOCs werden deterministisch validiert (vertrauen Sie nie einem vom LLM getippten Hash oder einer IP), und jede Aussage behält einen Verweis auf die Quellpassage.
• ATT&CK-Zuordnung: Retrieval über die offizielle ATT&CK-Wissensbasis plus LLM oder feingetunter Klassifikator; eine Technik-ID wird nur ausgegeben, wenn sie in der Matrix existiert.
• Retrieval/Q&A: Vektor- plus Stichwortindex und optional ein Wissensgraph über STIX-Objekte (GraphRAG, siehe KNOW-013).
• Mensch-in-der-Schleife (Human-in-the-Loop): Eine Analystin bzw. ein Analyst gibt Objekte frei, bevor sie in die gemeinsame TIP gelangen oder Blocklisten speisen; Lagebilder für das Management werden geprüft; automatisches Blockieren auf Grundlage von LLM-extrahierten IOCs wird ohne Validierung nicht empfohlen.

Datenaufbereitung

Die Eingaben sind überwiegend öffentliche oder halböffentliche Texte: Warnmeldungen von Herstellern, CERT-Bulletins, Schwachstellen-Feeds (CVE, KEV), Blogs, PDF-Berichte und Mailinglisten, dazu Ihr eigenes Inventar von Assets und Software, um die Relevanz zu beurteilen. In einem KMU ist das Inventar die Schwachstelle; es liegt im ERP/in der CMDB, in einer Excel-Liste oder nirgends.

Typische Lücken: keine aktuelle Liste von Assets und Software, Berichte als gescannte oder unsaubere PDFs, Duplikate über Feeds hinweg, uneinheitliche Benennung von Akteuren und Schadsoftware-Familien, unklare Vertrauensstufen der Quellen und keine Verschlagwortung nach Branche.

Schritte der Aufbereitung: 1. Ein minimales Inventar von Assets und Software aufbauen, damit sich die Relevanz abgleichen lässt (PREP-001, PREP-011). 2. Einen kleinen Satz vertrauenswürdiger Quellen auswählen (BSI/CERT-Bund, PSIRTs der Hersteller, ISAC) und die Feed-Aufnahme einrichten. 3. PDFs und Webseiten in sauberen Text umwandeln (DOC-014, PREP-007) und deduplizieren. 4. Tags und ein einfaches Schema wie STIX oder MISP-Taxonomien definieren (PREP-019). 5. Einige geprüfte Beispiel-Lagebilder als Goldstandard aufbewahren (PREP-016).

Der Aufwandsanteil ist gering, etwa 10 bis 20 Prozent. Mischen Sie vertrauliche Vorfallsdaten niemals ohne Klassifizierungsregeln in öffentliche Werkzeuge (PREP-024).

Umsetzungswege

Welcher Weg für wen

• KMU: Weg A. Feeds mit Bedrohungsinformationen und eingebauten Zusammenfassungen Ihres Sicherheitsanbieters, Dienste nationaler CERTs (CERT-Bund, BSI) oder ein MDR-Anbieter brauchen keine eigene Plattform.
• Enterprise: Weg B. Ein SOC mit vorhandener TIP/SIEM ergänzt LLM-Extraktion und Zusammenfassung über in der EU gehostete APIs, was sich gut mit den eigenen Daten integrieren lässt.
• Entwickler: Weg C. MISP, OpenCTI und ein lokales Modell auf HW3 ergeben einen vollständigen, kostenlosen Lab-Stack.
• Öffentlicher Sektor: Weg C. Sensibler Vorfallskontext und Souveränitätsanforderungen sprechen für selbst betriebene Verarbeitung mit Austausch über CERT-Netzwerke.

Weg A — Kaufen (Standardsoftware) (für die meisten empfohlen)

• TI-Plattformen von Herstellern mit generativen Assistenten: Google Threat Intelligence (Mandiant/VirusTotal mit Gemini-Zusammenfassungen), Microsoft Defender Threat Intelligence / Security Copilot, Recorded Future (Intelligence Cloud mit KI), CrowdStrike Falcon Intelligence / Charlotte AI, Palo Alto Unit 42, Anomali, ThreatConnect, Flashpoint, Intel 471, Silobreaker.
• EU- / europäische Anbieter: EclecticIQ (NL, TIP), Sekoia.io (FR, XDR mit CTI), Filigran (FR, kommerzielle OpenCTI-Plattform), HarfangLab (FR), Bitdefender (RO) GravityZone intelligence, WithSecure (FI), Orange Cyberdefense (FR) CTI-Dienste, regionale Angebote vom Typ Hornetsecurity/G DATA. CERT-Bund/BSI und nationale CSIRTs stellen kostenlose Warnmeldungen bereit.
• Wählen Sie A, wenn: es keine eigene CTI-Analystin bzw. keinen eigenen CTI-Analysten gibt, der SIEM-/XDR-Anbieter den Assistenten bereits mitliefert oder Sie kuratierte, fertige Informationen brauchen. Prüfen Sie den Datenstandort in der EU, ob Ihre Anfragen/internen Asset-Daten Modelle des Anbieters trainieren, und den Umgang mit TLP.

Weg B — Auf Cloud-KI-Diensten aufbauen

• Modelle: Claude, GPT, Gemini (EU-Regionen über Vertex AI / Azure OpenAI / AWS Bedrock) oder Mistral (EU-Anbieter) mit strukturierten Ausgaben / Tool Calling; Modelle mit langem Kontext verarbeiten Berichte von 50–100 Seiten in einem Durchgang.
• Plattform: MISP oder OpenCTI als Speicher, Konnektoren pycti/PyMISP, n8n oder Tines/Torq zur Orchestrierung; STIX-Validierung mit dem OASIS stix2-validator.
• Wählen Sie B, wenn: Sie bereits MISP/OpenCTI betreiben und eigene Extraktion, Zusammenfassung und Weiterleitung wünschen. Senden Sie nur öffentliche Berichte an externe APIs; halten Sie das interne Asset-Inventar und Vorfallsdaten aus den Prompts heraus oder nutzen Sie in der EU gehostete/selbst betriebene Modelle.

Weg C — Selbst betreiben (Open Source)

• Plattform: OpenCTI und MISP (beide Open Source, STIX/TAXII-fähig); Cortex/TheHive für die Analyse; ATT&CK-Daten über die Bibliothek mitreattack-python oder das ATT&CK-STIX-Repository.
• Modelle: Open-Weight-LLMs wie Qwen3, Llama 3.x/4, offene Veröffentlichungen von Mistral Small/Medium, gpt-oss, betrieben mit vLLM oder Ollama; Embeddings wie BGE-M3 oder multilingual-e5; für die Klassifikation feingetunte Encoder-Modelle (z. B. vom Typ SecureBERT, CTI-BERT) aus der Forschung.
• Hardware: HW3 (eine GPU mit 48–96 GB) für ein Modell mit ~30–70B und langem Kontext; HW2 genügt für Modelle mit ~8–14B bei kürzeren Dokumenten. Betriebsaufwand: gering bis mittel, vor allem Pflege der Konnektoren.
• Wählen Sie C, wenn: Berichte TLP:AMBER/RED sind, Sie ein CERT/ISAC/eine öffentliche Stelle sind oder Souveränitätsanforderungen externe APIs verbieten.

Weg D — Eigenes Training

Ein kleines Modell für die Klassifikation von ATT&CK-Techniken oder domänenspezifische NER feintunen, wenn das Volumen hoch ist und API-Kosten oder Latenz zählen. Benötigt einige tausend von Experten gelabelte Sätze/Berichte; die Korrekturen der Analysten aus dem Prüfschritt sind der natürliche Datensatz. Öffentliche Datensätze aus der Forschungsgemeinschaft (z. B. TRAM-/ATT&CK-gelabelte Korpora) helfen beim Start [6].

Stand der Technik (2026)

• Extraktion von Bericht zu STIX mit strukturierten Ausgaben ist praxistauglich; die Entitätsextraktion für CVEs, Namen von Schadsoftware und IOCs ist zuverlässig, während Extraktion von Beziehungen, Zuordnung von Urhebern und Zuordnung von ATT&CK-Subtechniken die Schwachpunkte bleiben.
• Agentenbasierte CTI-Assistenten: Assistenten der Hersteller beantworten Fragen über ihren eigenen Intelligence-Graphen und fassen Kampagnen zusammen; offene Werkzeuge ergänzen MCP-Server für MISP/OpenCTI, damit allgemeine Agenten sie abfragen können [2][3].
• Standards: STIX 2.1/TAXII 2.1 (OASIS) und MITRE ATT&CK sind die Basis für den Austausch; das TLP 2.0 von FIRST regelt die Weitergabe [1][4].
• Grenzen und Fehlerbilder: halluzinierte IOCs, erfundene Zuordnung von Akteuren, veraltete oder vermengte Aliasnamen, selbstsichere, aber falsche Zusammenfassungen von Quellen geringer Qualität, Prompt Injection über abgerufene Inhalte (Angreifer können Anweisungen in Seiten platzieren, die die Pipeline aufnimmt) und Vergiftung von Feeds. Gegenmaßnahmen: deterministische Validierung, Quellenangaben, Quarantäne nicht vertrauenswürdiger Inhalte, kein Werkzeugzugriff während der Extraktion und Vertrauenslabels (Admiralty-Skala), die die Zuverlässigkeit der Quelle von der Glaubwürdigkeit der Information trennen.

Gemeinsame Bausteine & Kombinationen

• Gleicher Stack (llm-general + embedding-text + vector-db + knowledge-graph): KNOW-013 (GraphRAG), KNOW-026 (OSINT-Analyse), DOC-014 (Dokumentenparsing), LANG-009 (Übersetzung fremdsprachiger Berichte).
• Nachgelagerte Verbraucher: SEC-001 (SOC-Triage nutzt angereicherte TI), SEC-003 (Berichte der Schadsoftware-Analyse speisen die Extraktion), SEC-004 (Patch-Priorität unter Berücksichtigung von Exploits), SEC-007 (Szenarien für autorisierte Tests), SEC-009 (Nachweise zu Risiko und Compliance), SEC-021 (Marken- und Darknet-Überwachung).
• Ein selbst betriebener LLM-Server plus MISP/OpenCTI kann SEC-001, SEC-003, SEC-008 und SEC-009 bedienen.

Aufwand, Kosten & Kennzahlen

• Weg A: Tage bis Wochen; Abonnement je Platz oder nach Datenvolumen, hochwertige fertige Informationen sind ein großer Kostentreiber; viele Anbieter bündeln den Assistenten in bestehende XDR-/SIEM-Lizenzen.
• Weg B: 1–2 Monate für eine Pipeline aus Zusammenstellung und Extraktion auf einem vorhandenen MISP/OpenCTI; Token-Kosten klein im Vergleich zur Analystenzeit (nur öffentliche Dokumente).
• Weg C: 2–4 Monate inkl. Härtung der Konnektoren und Evaluierung; GPU-Server plus Wartung.
• Kennzahlen: Analystenstunden für Lesen/Triage pro Woche, Anteil der extrahierten IOCs/TTPs, die ohne Änderung akzeptiert werden, Präzision des Relevanzfilters (gemeldete Einträge als nützlich beurteilt), Zeit von der Veröffentlichung einer Warnmeldung bis zur internen Maßnahme, Rate falscher IOCs, die in Blocklisten gelangen, Nutzung der Lagebilder durch das Management.

Menschen & Veränderung

Die Zusammenfassung von Bedrohungsinformationen verarbeitet externe Informationen, nicht das Verhalten von Beschäftigten, daher ist der organisatorische Aufwand gering, aber nicht null.

• Betriebsrat: nein im Normalfall; das System überwacht weder Verhalten noch Leistung von Beschäftigten, daher wird § 87 Abs. 1 Nr. 6 BetrVG in der Regel nicht ausgelöst. Informieren Sie ihn dennoch rechtzeitig, wenn sich Arbeitsabläufe im SOC wesentlich ändern (§ 90 Abs. 1 Nr. 3). Prüfen Sie erneut, wenn beschäftigtenbezogene Vorfallsdaten analysiert werden.
• Die Geschäftsleitung legt den Umfang fest und akzeptiert, dass Zusammenfassungen Entscheidungshilfe sind; die IT-Sicherheit ist Prozessverantwortliche und definiert vertrauenswürdige Quellen; die IT kümmert sich um die Integration; Recht/Compliance prüft Lizenzen der Feeds und Meldepflichten (NIS2, Meldung von Vorfällen).
• Datenschutzbeauftragte(r): nur nötig, wenn personenbezogene Daten (z. B. geleakte Zugangsdaten, Namen in Berichten) verarbeitet werden; AVV mit dem API-Anbieter prüfen (Art. 28 DSGVO).
• KI-Kompetenz: Unterstützen Sie Analysten dabei, halluzinierte IOCs und falsche Zuordnungen zu erkennen (Art. 4 KI-Verordnung).
• Pilot: Beginnen Sie mit einer Analystin bzw. einem Analysten oder der IT-Leitung, die bzw. der das wöchentliche Lagebild erstellt, und vergleichen Sie mit der manuellen Version.
• Typische Sorgen: Vertrauen in Zusammenfassungen und die Angst, sensiblen Kontext an ein Cloud-Modell abfließen zu lassen. Begegnen Sie ihnen mit Quellenangaben in jeder Zusammenfassung, menschlicher Freigabe, bevor etwas Blocklisten speist, und einer Regel zur zulässigen Nutzung (GUIDE-007).

Siehe GUIDE-007, GUIDE-013 und GUIDE-006.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): minimales Risiko — defensive Analyseunterstützung, keine Kategorie nach Anhang III; Art. 4 KI-Kompetenz gilt. Profiliert die Pipeline namentlich genannte Personen so, dass ihre Rechte berührt werden (z. B. zu Zwecken der Strafverfolgung), ändert sich die Einstufung; das liegt außerhalb dieses Anwendungsfalls.
• DSGVO: Berichte, geleakte Datenabzüge und Forenbeiträge enthalten personenbezogene Daten (Namen, E-Mail-Adressen, Zugangsdaten). Legen Sie die Rechtsgrundlage fest (berechtigtes Interesse, Art. 6 Abs. 1 lit. f, plus Sicherheitspflichten nach NIS2), minimieren Sie die Speicherung, vermeiden Sie die langfristige Aufbewahrung personenbezogener Daten aus Breach-Dumps, führen Sie eine DSFA durch, wenn geleakte Daten in großem Umfang verarbeitet werden, und halten Sie personenbezogene Daten ohne AVV und Verarbeitung in der EU aus APIs von Modellen Dritter heraus.
• NIS2/DORA: Der Austausch von Bedrohungsinformationen wird gefördert (NIS2 Art. 29, freiwilliger Informationsaustausch); die KI-Pipeline ist Teil Ihrer IKT-Lieferkette, beziehen Sie sie daher in das Lieferantenrisikomanagement ein [7].
• Vertraulichkeit: Beachten Sie TLP-Labels; fügen Sie kein Material der Stufe TLP:AMBER/RED in externe Dienste ein; setzen Sie die Weitergabe der Labels in den Ausgaben durch.
• Sicherheit der Pipeline selbst: Prompt Injection über abgerufene Seiten, vergiftete Feeds, versehentlicher aktiver Kontakt mit bösartiger Infrastruktur (Abruf in der Sandbox, URLs entschärfen). Die Sammlung im Darknet muss dem nationalen Recht und der rechtmäßigen Sammelpraxis des Anbieters folgen; kaufen Sie keine kriminellen Dienste und interagieren Sie nicht mit ihnen.
• Gegenmaßnahmen: menschliche Freigabe vor der Veröffentlichung von IOCs oder dem Blockieren, Herkunftsnachweis für jede Aussage, Evaluierungsset aus früheren Berichten, Audit-Protokoll.

Erste Schritte

1. Informationsbedarf definieren: Branche, Schlüsseltechnologien, Kronjuwelen, Zielgruppen (SOC, CISO, Vorstand).
2. 10–20 vertrauenswürdige Quellen auswählen (CERT-Bund/BSI, CERT-EU, CISA KEV, Warnmeldungen der Hersteller für Ihren Stack) und in MISP oder OpenCTI aufnehmen.
3. Eine LLM-Zusammenstellung bauen: deduplizieren, zusammenfassen, Relevanz anhand Ihrer Asset-Liste bewerten und Quellen angeben; zwei Wochen lang mit dem vergleichen, was eine Analystin bzw. ein Analyst auswählen würde.
4. Die Extraktion von Bericht zu STIX mit deterministischer IOC-Validierung und Freigabe durch Analysten ergänzen.
5. Freigegebene Ausgabe mit SIEM-Beobachtungslisten verbinden und Kennzahlen sowie falsche IOCs monatlich prüfen.

Quellen

1. OASIS — STIX 2.1 and TAXII 2.1 specifications — https://oasis-open.github.io/cti-documentation/
2. OpenCTI (Filigran) documentation — https://docs.opencti.io/
3. MISP project — https://www.misp-project.org/documentation/
4. MITRE ATT&CK — https://attack.mitre.org/
5. FIRST — Traffic Light Protocol (TLP) 2.0 — https://www.first.org/tlp/
6. CTI-focused LLM research (e.g. "AnnoCTR", CTIBench) — https://arxiv.org/abs/2406.07599
7. Directive (EU) 2022/2555 (NIS2) — https://eur-lex.europa.eu/eli/dir/2022/2555/oj
8. ENISA — Threat Landscape — https://www.enisa.europa.eu/topics/cyber-threats/threats-and-trends
9. Regulation (EU) 2024/1689 (AI Act) — https://eur-lex.europa.eu/eli/reg/2024/1689/oj