Der OODA Loop: Warum Orient entscheidet

Bei einem Hunt kann die Telemetrie vollständig sein und die Entscheidung trotzdem feststecken. Dann fehlt nicht noch ein Log. Es fehlt Orientierung.

Quelle: John Boyd, A Discourse on Winning and Losing, einschließlich „The Essence of Winning and Losing“.

Genau deshalb nutze ich den OODA Loop im Threat Hunting. Nicht als Prozessgrafik, sondern als Diagnose: Beobachten wir zu wenig, ordnen wir falsch ein, entscheiden wir zu spät oder können wir die Entscheidung nicht umsetzen?

OODA ist keine Vier-Schritte-Checkliste

Observe, Orient, Decide, Act klingt wie eine saubere Reihenfolge. Boyds Darstellung ist unruhiger. Beobachtung, Orientierung, Entscheidung und Handlung beeinflussen einander fortlaufend. Neue Informationen verändern die Einordnung, eine Handlung erzeugt neue Beobachtungen, und ein impliziter Entschluss kann schneller wirken als ein formaler Ablauf.

Für einen Hunt ist das wichtig. Eine Suchabfrage liefert kein neutrales Ergebnis. Was ich überhaupt abfrage, hängt bereits davon ab, wie ich die Umgebung und den möglichen Angreifer verstehe.

Orient entscheidet

Zwei Analysten können dieselben DNS-Daten sehen und zu unterschiedlichen Schlüssen kommen. Der Unterschied liegt oft nicht in der Datenmenge, sondern im Modell der Umgebung: Welche Systeme sprechen normalerweise miteinander? Welche Änderung wurde gestern ausgerollt? Welcher Dienst erklärt die Abweichung, und welche Erklärung passt gerade nicht?

Erfahrung wirkt an dieser Stelle nicht wie eine weitere Regel. Sie verändert, welche Fragen plausibel werden. Das ist auch der Grund, warum Episode 2 dieser Serie Zertifikate nicht mit Urteilsfähigkeit gleichsetzt.

Zwei Entscheidungszyklen treffen aufeinander

Ein Angreifer beobachtet ebenfalls, lernt die Umgebung, probiert einen Weg und passt ihn an. Threat Hunting arbeitet deshalb nicht gegen ein statisches IOC, sondern gegen einen beweglichen Akteur. Wer nur bekannte Indikatoren abgleicht, untersucht die letzte Handlung. Wer Verhalten einordnet, kann den nächsten Schritt früher erkennen.

Das bedeutet nicht, jede Entscheidung zu automatisieren. Automation kann Observe beschleunigen. Orient bleibt dort menschliche Arbeit, wo Kontext, Risiko und widersprüchliche Signale zusammenkommen. Episode 3 vertieft diese Trennung zwischen automatisierter Vorauswahl und manueller Analyse.

Wo ist der eigene Loop langsam?

Ich stelle bei einem festgefahrenen Hunt drei Fragen. Fehlt Sichtbarkeit? Dann ist Observe schwach. Sind die Daten vorhanden, aber niemand kann Normalzustand und Abweichung belastbar erklären? Dann ist Orient der Engpass. Ist die Bewertung klar, aber eine Suche, Eskalation oder Eindämmung wartet tagelang auf Freigaben? Dann stockt Decide oder Act.

Diese Unterscheidung schützt vor einer bequemen Fehldiagnose. Mehr Tooling repariert fehlende Telemetrie. Es ersetzt weder Erfahrung noch eine handlungsfähige Organisation.