Nach einer Threat-Hunting-Mission ist man erschöpft. Die nächste Mission wartet bereits. Der Abschlussbericht muss fertig werden. In dieser Situation passiert meistens dasselbe: Die Nachbesprechung wird aufgeschoben, und findet nie statt. Das ist ein Fehler. Nicht weil sie eine formale Pflicht ist, sondern weil ohne sie nichts aus der Mission gelernt wird. Und weil das Wissen, das dabei verloren geht, beim nächsten Mal fehlt.
Fünf Fragen nach der Mission
Ein Hot Wash ist eine strukturierte Nachbesprechung direkt nach einer Mission. Keine lange Sitzung, kein Management-Theater. Fünf Fragen, ehrlich beantwortet:
- Was war der Plan?
- Was ist tatsächlich passiert?
- Was hat funktioniert?
- Was hat nicht funktioniert?
- Was ändern wir beim nächsten Mal?
In der DHS-Studie beschreibt ein Team Lead den Prozess so: "We're constantly looking for how we can improve... So basically after every mission... we do a hot wash and we say: 'Okay, what could have gone better?'"
Das klingt selbstverständlich. In der Praxis passiert es selten.
Änderungen gehören zwischen zwei Einsätze
Ein Detail aus der Studie hat mich besonders angesprochen: Die befragten DHS-Teams führen Prozessänderungen bewusst nur zwischen Missionen ein, nie während einer laufenden Untersuchung. Der Grund ist direkt: "If you change the tactics too often, you are going to tire out your analysts... You're gonna get confused when you go to write the final report."
Das kenne ich aus eigener Erfahrung. Wenn mitten in einem Incident Response-Einsatz plötzlich die Dokumentationsstruktur wechselt oder neue Tools eingeführt werden, steigt der Fehleraufwand und die Kommunikation bricht zusammen. Der Bericht leidet darunter. Die Ergebnisse auch.
Der richtige Moment für Verbesserungen ist nach der Mission, und der Hot Wash ist der Mechanismus dafür.
Wissen aus Köpfen holen
Die Studie nennt einen wichtigen Hintergrund für die untersuchten DHS-Teams: Die befragten Analysten wechselten im Schnitt alle zwei Jahre die Position. Das belegt keinen branchenweiten Durchschnitt. Es zeigt aber für diese Teams, warum operatives Wissen nicht nur in einzelnen Köpfen bleiben darf.
Gute Prozesse mildern diesen Verlust. Der Hot Wash ist der Mechanismus, mit dem Wissen aus den Köpfen in die Dokumentation wandert. Was funktioniert hat, wird festgehalten. Was nicht funktioniert hat, wird geändert. Das neue Teammitglied in zwei Jahren hat damit eine realistischere Grundlage als ein generisches Handbuch.
Ich habe das in Incident-Response-Projekten direkt erlebt. After-Action-Reviews nach Ransomware-Vorfällen haben mehr operativen Wert als die meisten Sicherheitsschulungen, weil sie auf echten Ereignissen basieren. Das Prinzip ist dasselbe wie beim Hot Wash.
Kurz gesagt
Die Gründe sind immer die gleichen: zu wenig Zeit, die nächste Aufgabe wartet, der Bericht ist wichtiger. Das stimmt kurzfristig. Mittel- und langfristig zahlt ein Team, das keinen Hot Wash macht, einen anderen Preis: wiederholte Fehler, verlorenes Wissen, neue Mitarbeitende ohne brauchbare Orientierung.
Drei Fragen reichen als Minimum, wenn keine Zeit für alle fünf ist: Was hat funktioniert? Was nicht? Was ändern wir? Fünfzehn Minuten. Direkt nach der Mission, bevor die Erschöpfung die Erinnerung überschreibt.
Ein Hot Wash ist kein administrativer Abschluss. Er sorgt dafür, dass eine Mission die nächste tatsächlich verbessert.
Quelle: William P. Maxam III und James C. Davis (2024), "An Interview Study on Third-Party Cyber Threat Hunting Processes in the U.S. Department of Homeland Security".
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.