Die Attribution von Cyberangriffen ist der Prozess, anhand technischer Spuren, nachrichtendienstlicher Erkenntnisse und des Kontexts zu bestimmen, wer hinter einem Cyberangriff steht – eine Gruppe, eine Person oder ein Staat.
Wie Attribution funktioniert
Analysten kombinieren mehrere Ebenen von Belegen:
- Technisch – Ähnlichkeiten im Malware-Code, wiederverwendete Infrastruktur, Kompromittierungsindikatoren, Kompilierzeitstempel, Spracheinstellungen und Programmierfehler.
- Verhaltensbezogen – Taktiken, Techniken und Prozeduren (TTPs), abgebildet in MITRE ATT&CK, Arbeitszeiten und Zielauswahl.
- Strategisch – wem der Angriff nützt, der geopolitische Kontext sowie Erkenntnisse aus menschlichen oder technischen Quellen, über die Regierungen verfügen.
Sicherheitsanbieter verfolgen Aktivitätscluster unter eigenen Namen, sodass ein Akteur mehrere Bezeichnungen haben kann – APT28 etwa ist auch als Fancy Bear bekannt. Modelle wie das Diamond Model of Intrusion Analysis helfen, die Belege zu strukturieren.
Warum Attribution relevant ist
Wer den Gegner kennt, kann dessen nächste Schritte besser vorhersagen und Threat Intelligence gezielt priorisieren. Regierungen ermöglicht Attribution Anklagen, Sanktionen und diplomatische Reaktionen: Die USA machten Nordkorea öffentlich für den Angriff auf Sony Pictures 2014 verantwortlich, und 2018 schrieben die USA, Großbritannien und Verbündete NotPetya dem russischen Militär zu.
Attribution ist zugleich schwierig und wird mitunter gezielt in die Irre geführt. Angreifer legen falsche Fährten: Die Malware Olympic Destroyer, die die Olympischen Winterspiele 2018 traf, enthielt Hinweise auf die nordkoreanische Lazarus Group, wurde später aber der GRU-Einheit Sandworm zugeschrieben. Geteilte Tools, geleakte Malware und angeheuerte Auftragnehmer trüben das Bild zusätzlich, weshalb seriöse Analysten Attribution mit Konfidenzstufen angeben.
Best Practices
- Intern zuerst den Angriff stoppen; die Attribution kann später folgen.
- Logs und forensische Beweise für Analysten und Strafverfolger sichern.
- Einzelne Indikatoren vorsichtig bewerten und mehrere unabhängige Quellen suchen.
- Profile von APT-Gruppen verfolgen, die für die eigene Branche relevant sind.
