Bedrohungsanalyse
Threat Modeling für Cybersecurity
TL;DR
Bedrohungsanalyse (Threat Modeling) ist die strukturierte Identifikation potenzieller Bedrohungen für IT-Assets. Methoden: STRIDE, PASTA, MITRE ATT&CK, BSI Bedrohungskatalog.
Was ist Bedrohungsanalyse?
Top-Bedrohungen 2026 (ENISA Threat Landscape):
- Ransomware (immer noch #1)
- Lieferketten-Angriffe
- Phishing + Social Engineering
- DDoS
- Insider Threats
- State-Sponsored APTs
- KI-gestützte Angriffe (Deepfake-Phishing)
Praxisbeispiel
KMU im Maschinenbau: Bedrohungsanalyse identifiziert Top-3: Ransomware, Industriespionage (China), Insider mit Konstruktionsdaten. Schutzmaßnahmen priorisiert.
Rechtlicher Rahmen: Deutschland und Österreich
Die Bedrohungs- und Risikoanalyse ist unter NIS2 kein Selbstzweck, sondern die Grundlage der verpflichtenden Risikomanagementmaßnahmen. Diese beruhen auf einem gefahrenübergreifenden Ansatz und nennen die Risikoanalyse als erste Mindestmaßnahme (EU: Art. 21 Abs. 2 lit. a NIS-2-Richtlinie, RL (EU) 2022/2555). Die nationale Umsetzung ist inhaltlich weitgehend deckungsgleich, unterscheidet sich aber in Paragrafen-Nummerierung und zuständiger Behörde.
Deutschland
Besonders wichtige und wichtige Einrichtungen müssen als Mindestmaßnahme Konzepte für die Risikoanalyse und die Sicherheit der Informationssysteme umsetzen (§ 30 Abs. 2 Nr. 1 BSIG, BSIG 2025). Die Bedrohungsanalyse liefert dafür die Eingangsdaten. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI); als methodische Referenz dient unter anderem der BSI-Bedrohungskatalog (IT-Grundschutz).
Österreich
In Österreich ist die Bedrohungs- und Risikoanalyse Teil der Risikomanagementmaßnahmen nach § 32 Abs. 4 NISG 2026 (Netz- und Informationssystemsicherheitsgesetz, BGBl. I Nr. 94/2025). Die Maßnahmen beruhen auf einem gefahrenübergreifenden Ansatz und umfassen zumindest die Risikoanalyse (§ 32 Abs. 4 lit. a). Zuständige Behörde ist die Cybersicherheitsbehörde.