Welche sieben Phasen hat die Cyber Kill Chain?

Erkundung (Reconnaissance), Bewaffnung (Weaponization), Zustellung (Delivery), Ausnutzung (Exploitation), Installation, Fernsteuerung (Command and Control) und Zielerreichung (Actions on Objectives).

Wofür nutzen Unternehmen die Cyber Kill Chain?

Als Denkmodell für die Verteidigung — zu jeder Phase lässt sich prüfen, welche Maßnahme einen Angriff erkennen oder stoppen würde. So werden Lücken sichtbar, etwa wenn es zwar eine Firewall gibt, aber keine Erkennung von verdächtigem ausgehendem Datenverkehr.

Was ist der Unterschied zwischen Cyber Kill Chain und MITRE ATT&CK?

Die Cyber Kill Chain beschreibt den groben, linearen Ablauf eines Angriffs in sieben Phasen. MITRE ATT&CK ist eine deutlich detailliertere Wissensbasis mit Taktiken und Hunderten konkreter Techniken realer Angreifer. Die Kill Chain eignet sich für den Überblick und die Kommunikation mit dem Management, ATT&CK für die technische Erkennung und Analyse.

Welche Kritik gibt es an der Cyber Kill Chain?

Das Modell ist stark auf Angriffe von außen mit Schadsoftware ausgerichtet. Innentäter, Angriffe über gestohlene Zugangsdaten oder Cloud-Dienste und die Ausbreitung innerhalb des Netzwerks bildet es nur unzureichend ab. Erweiterungen wie die Unified Kill Chain ergänzen deshalb weitere Phasen.

GlossarDefinition

Was ist die Cyber Kill Chain?

Zuletzt aktualisiert: 1. Oktober 2026

Kurz erklärt: Die Cyber Kill Chain ist ein von Lockheed Martin entwickeltes Modell, das einen gezielten Cyberangriff in sieben aufeinanderfolgende Phasen zerlegt: Erkundung, Bewaffnung, Zustellung, Ausnutzung, Installation, Fernsteuerung und Zielerreichung. Der Grundgedanke für die Verteidigung: Wird der Angriff in irgendeiner Phase unterbrochen, scheitert er — je früher, desto geringer der Schaden. Für eine detaillierte Analyse einzelner Angriffstechniken wird heute meist ergänzend MITRE ATT&CK genutzt.

Die Cyber Kill Chain ist ein Modell, das die typischen Schritte beschreibt, die Angreifer unternehmen, um ein Netzwerk oder System zu kompromittieren. Entwickelt wurde es von Lockheed Martin in Anlehnung an militärische Zielketten. Es dient dazu, Cyberangriffe systematisch zu verstehen und zu verhindern — genau diese Angriffsschritte werden bei Pentests für KMU nachgestellt.

Die sieben Phasen

Erkundung / Reconnaissance: Der Angreifer sammelt Informationen über das Ziel — Mitarbeitende aus LinkedIn und Website, eingesetzte Software, erreichbare Systeme.
Bewaffnung / Weaponization: Aus den Informationen entsteht das Angriffswerkzeug, etwa ein präpariertes Office-Dokument mit Schadcode.
Zustellung / Delivery: Das Werkzeug gelangt zum Ziel — meist per Phishing-Mail, über eine kompromittierte Website oder einen USB-Stick.
Ausnutzung / Exploitation: Eine Schwachstelle oder ein Klick des Opfers bringt den Schadcode zur Ausführung.
Installation: Der Angreifer verankert sich dauerhaft, z. B. durch eine Hintertür (Backdoor) oder Malware, die einen Neustart übersteht.
Fernsteuerung / Command and Control (C2): Das kompromittierte System baut eine Verbindung zum Angreifer auf und nimmt Befehle entgegen.
Zielerreichung / Actions on Objectives: Der Angreifer setzt sein eigentliches Ziel um — Daten stehlen, Systeme verschlüsseln oder sabotieren.

Die Kill Chain unterbrechen: Verteidigung je Phase

Der zentrale Nutzen für Verteidiger: Ein Angriff muss alle Phasen durchlaufen. Wird er an einer Stelle gestoppt, scheitert er. Je früher das gelingt, desto geringer ist der Schaden.

Phase	Mögliche Gegenmaßnahmen
Erkundung	Öffentlich sichtbare Informationen reduzieren, Angriffsfläche kennen
Bewaffnung	(kaum beeinflussbar) — Bedrohungslage beobachten
Zustellung	E-Mail-Filter, Awareness-Schulung, Web-Filter
Ausnutzung	Patch-Management, Härtung, Makros blockieren
Installation	EDR, Application Whitelisting, eingeschränkte Rechte
Fernsteuerung	Firewall-Regeln für ausgehenden Verkehr, DNS-Filter, Netzwerk-Monitoring
Zielerreichung	Segmentierung, Data Loss Prevention, getestete Backups, SIEM-Alarmierung

Dieses Prinzip mehrerer Verteidigungslinien entspricht dem Ansatz Defence in Depth.

Grenzen des Modells und Weiterentwicklungen

Die Kill Chain ist stark auf Angriffe von außen mit Schadsoftware zugeschnitten. Innentäter, Angriffe mit gestohlenen Zugangsdaten, Cloud-Szenarien und die seitliche Ausbreitung im Netzwerk (Lateral Movement) bildet sie nur grob ab. Deshalb gibt es Erweiterungen wie die Unified Kill Chain, die weitere Phasen ergänzt.

Für die detaillierte technische Analyse hat sich MITRE ATT&CK durchgesetzt — eine Wissensbasis mit Taktiken und konkreten Techniken realer Angreifergruppen. In der Praxis ergänzen sich beide: die Kill Chain für den Überblick und die Kommunikation mit der Geschäftsführung, ATT&CK für Erkennungsregeln und Vorfallanalysen.

Häufige Fragen

Welche sieben Phasen hat die Cyber Kill Chain?: Erkundung (Reconnaissance), Bewaffnung (Weaponization), Zustellung (Delivery), Ausnutzung (Exploitation), Installation, Fernsteuerung (Command and Control) und Zielerreichung (Actions on Objectives).
Wofür nutzen Unternehmen die Cyber Kill Chain?: Als Denkmodell für die Verteidigung — zu jeder Phase lässt sich prüfen, welche Maßnahme einen Angriff erkennen oder stoppen würde. So werden Lücken sichtbar, etwa wenn es zwar eine Firewall gibt, aber keine Erkennung von verdächtigem ausgehendem Datenverkehr.
Was ist der Unterschied zwischen Cyber Kill Chain und MITRE ATT&CK?: Die Cyber Kill Chain beschreibt den groben, linearen Ablauf eines Angriffs in sieben Phasen. MITRE ATT&CK ist eine deutlich detailliertere Wissensbasis mit Taktiken und Hunderten konkreter Techniken realer Angreifer. Die Kill Chain eignet sich für den Überblick und die Kommunikation mit dem Management, ATT&CK für die technische Erkennung und Analyse.
Welche Kritik gibt es an der Cyber Kill Chain?: Das Modell ist stark auf Angriffe von außen mit Schadsoftware ausgerichtet. Innentäter, Angriffe über gestohlene Zugangsdaten oder Cloud-Dienste und die Ausbreitung innerhalb des Netzwerks bildet es nur unzureichend ab. Erweiterungen wie die Unified Kill Chain ergänzen deshalb weitere Phasen.