Im Versicherungsumfeld lässt sich der Alert-Pfad leicht nachweisen. Es gibt Meldungen, Tickets, Bearbeitungszeiten und Eskalationen. Der Aufbau eines belastbaren Umgebungsbildes ist schwerer sichtbar, obwohl dort ein großer Teil der Analyse liegt.
Die Interviewstudie von Maxam und Davis beschreibt deshalb zwei gleichzeitig laufende Pfade. Für den Betrieb reicht es nicht, beide zu kennen. Sie müssen als getrennte Arbeitsstränge geführt und an klaren Stellen wieder verbunden werden.
Zwei Arbeitsstränge statt einer Warteschlange
Der Alert-Strang beginnt mit einem bekannten Signal. Eine Regel, ein Indikator oder eine Signatur löst aus. Der Auftrag ist klar: Befund prüfen, Reichweite bestimmen und bei Bedarf eskalieren.
Der Baseline-Strang beginnt mit einer anderen Frage. Was hat sich in dieser Umgebung verändert, ohne dass bereits ein Alarm den Suchraum vorgibt? Hier entstehen Verhaltensprofile, Vergleichszeiträume und offene Beobachtungen.
Beides in dieselbe Warteschlange zu legen, macht den zweiten Strang unsichtbar. Alerts bringen Dringlichkeit und feste Fristen mit. Baseline-Arbeit verliert dann fast immer, obwohl sie neue Erkennung erst ermöglicht.
Die Übergabe ist der entscheidende Punkt
Eine Anomalie wird nicht dadurch zum Incident, dass sie ungewöhnlich ist. Der Baseline-Strang muss Beobachtung, Vergleich und Unsicherheit so festhalten, dass der Alert-Strang daraus einen prüfbaren Fall machen kann.
Umgekehrt sollte ein bestätigter Befund die Baseline verändern. Ein neu verstandener Prozess, ein legitimer Wartungsweg oder ein bisher unbekannter Kommunikationspartner gehört nach der Untersuchung in das Umgebungswissen zurück. Sonst prüft das Team dieselbe Abweichung später erneut.
Der operative Wert liegt damit nicht in zwei parallelen Listen. Er liegt im Rückkanal zwischen ihnen.
Was in regulierten Umgebungen messbar werden muss
Eine reine Alert-Metrik belohnt den sichtbaren Pfad. Sie zeigt geschlossene Tickets, aber nicht, ob das Team seine Umgebung besser versteht als vor dem Hunt.
Für den zweiten Strang würde ich deshalb andere Nachweise führen. Welche Baseline wurde aktualisiert? Welche Beobachtung wurde zu einer neuen Hypothese? Welche bestätigte Abweichung floss in Detection Engineering oder Dokumentation zurück? Welche Unsicherheit blieb offen?
Das sind keine universellen Leistungskennzahlen. Sie machen jedoch sichtbar, dass Analysearbeit stattgefunden hat, auch wenn sie keinen Incident produziert.
Kurz gesagt
Episode 1 korrigiert die Vorstellung, jeder Hunt müsse mit einer fertigen Hypothese beginnen. Diese Folge zieht die betriebliche Konsequenz daraus. Alert- und Baseline-Arbeit brauchen getrennten Raum, eine nachvollziehbare Übergabe und einen Rückkanal in das Umgebungswissen.
Quelle: William P. Maxam III und James C. Davis (2024), "An Interview Study on Third-Party Cyber Threat Hunting Processes in the U.S. Department of Homeland Security".
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.