Angriffspfade bewerten: schwächstes Glied, Summe oder gewichtete Hybridform
Wie man einen zerlegten Angriffspfad zu einer Bewertung zusammenführt — und warum die Wahl der Aggregation über die gesamte Priorisierung entscheidet.
Ein Angriffspfad ist selten ein einzelner Schritt. Er besteht aus mehreren Teilschritten, die aufeinander aufbauen: Netzzugang erlangen, Authentisierung umgehen, Firmware einspielen, Persistenz herstellen. Jeder Teilschritt lässt sich einzeln einschätzen — und dann steht man vor der Frage, die überraschend oft übergangen wird: Wie wird daraus ein Wert für den ganzen Pfad?
Die Antwort ist keine Formsache. Sie entscheidet darüber, welche Maßnahme zuerst umgesetzt wird.
Zuerst: ODER oder UND?
Bevor aggregiert wird, muss die Struktur klar sein. In einem Angriffsbaum gibt es zwei Arten von Verzweigungen, und sie verhalten sich entgegengesetzt:
ODER-Knoten: Mehrere Wege führen zum Ziel, einer genügt. Der Angreifer wählt — und er wählt den einfachsten. Die Schwierigkeit des Gesamtpfads ist damit die des leichtesten Teilpfads.
UND-Knoten: Mehrere Bedingungen müssen zusammen erfüllt sein. Der Angreifer braucht alle. Die Schwierigkeit summiert sich — und es genügt, eine Bedingung zu brechen, um den Pfad zu schließen.
Diese Unterscheidung ist bereits die halbe Antwort. Wer sie sauber modelliert, hat für jeden Knoten die passende Aggregationsregel gleich mitgeliefert.
Drei Wege, Teilschritte zusammenzuführen
Für die Teilschritte innerhalb eines Pfads haben sich drei Ansätze etabliert:
| Ansatz | Logik | Stärke | Schwäche |
|---|---|---|---|
| Schwächstes Glied | Der leichteste Teilschritt bestimmt den Wert | realistisch bei Wahlmöglichkeit; konservativ | ignoriert, dass viele leichte Schritte in Summe Aufwand bedeuten |
| Summe | Alle Teilschritte werden addiert | bildet Ketten ab, in denen wirklich alles nötig ist | überschätzt Pfade, bei denen der Angreifer abkürzen kann |
| Durchschnitt | Mittelwert über die Teilschritte | glättet Ausreißer | verwässert — ein trivialer Einstieg verschwindet hinter schweren Folgeschritten |
In der Praxis bewährt sich eine gewichtete Hybridform: ODER-Verzweigungen nach dem schwächsten Glied, UND-Verknüpfungen additiv, und für einzelne Faktoren Gewichte, die zum Produkt passen. Bei einem Feldgerät im verschlossenen Schaltschrank wiegt das Gelegenheitsfenster schwerer als die benötigte Ausrüstung; bei einem Gerät am offenen Netz ist es umgekehrt.
Warum der Durchschnitt fast immer die falsche Wahl ist
Von den drei Ansätzen ist der Mittelwert der verführerischste und der gefährlichste. Er wirkt ausgewogen und liefert schöne Zahlen — und er versteckt genau das, worauf es ankommt.
Ein Beispiel: Ein Pfad besteht aus einem trivialen Einstieg (offener Debug-Port) und drei anspruchsvollen Folgeschritten. Der Mittelwert sieht mittelmäßig aus. Tatsächlich ist der offene Port das Problem — er ist der Punkt, an dem eine einzige Maßnahme den ganzen Pfad kappt.
Bewertung dient der Priorisierung. Ein Verfahren, das die billigste wirksame Maßnahme unsichtbar macht, verfehlt seinen Zweck.
Die Regel, die daraus folgt
Aus der Struktur ergibt sich die Handlungsanweisung unmittelbar: Unterbrechen Sie zuerst den einfachsten vollständigen Pfad. Nicht den spektakulärsten, nicht den technisch interessantesten, nicht den, über den zuletzt ein Vortrag lief.
Der Grund ist schlicht: Ein Angreifer sucht sich den günstigsten Weg. Solange dieser offen ist, ändert das Härten der schwierigeren Wege an seiner Erfolgsaussicht nichts — es verbraucht nur Budget.
Bei UND-Verknüpfungen greift die Regel besonders wirksam. Weil dort alle Bedingungen erfüllt sein müssen, genügt es, die am billigsten zu beseitigende Bedingung zu adressieren. Ein Pfad, der Netzzugang und fehlende Integritätssicherung verlangt, lässt sich über die Integritätssicherung schließen — auch wenn der Netzzugang bestehen bleibt.
Was dokumentiert gehört
Welchen Ansatz Sie wählen, ist weniger wichtig, als dass die Wahl nachvollziehbar ist. Drei Dinge gehören deshalb in die Analyse:
Die Aggregationsregel selbst. Ein Satz genügt: „ODER-Knoten nach schwächstem Glied, UND-Knoten additiv.” Ohne diese Angabe lässt sich keine einzige Zahl der Analyse nachrechnen.
Die Gewichtung und ihre Begründung. Wenn das Gelegenheitsfenster stärker wiegt, sollte dastehen, warum — typischerweise eine Eigenschaft des Einsatzumfelds.
Die Konsistenz über die Pfade hinweg. Unterschiedliche Regeln für unterschiedliche Pfade machen die Ergebnisse unvergleichbar, und Vergleichbarkeit ist der einzige Grund, überhaupt zu aggregieren.
Der ehrliche Blick auf die Genauigkeit
Keine dieser Methoden erzeugt eine Messgröße. Sie erzeugen eine belastbare Reihenfolge — und genau das ist der Zweck. Wer Angriffspfade auf zwei Nachkommastellen bewertet, verwechselt Nachvollziehbarkeit mit Präzision.
Die Frage, die eine Bewertung beantworten muss, lautet nicht „wie hoch genau ist dieses Risiko?”, sondern „womit fangen wir an, und können wir das begründen?”
Teil A des Reifecheck: Wie belastbar ist Ihre TRA-Methodik?
Der TRA-Reifecheck zeigt in wenigen Minuten, wo Ihr Nachweis heute steht — Prozessreife, Umsetzungsabdeckung und die Lücke dazwischen.