Angreifergruppe

Angreifergruppe bezeichnet in der Informationssicherheit eine organisierte Einheit, die sich auf das Durchführen von Angriffen gegen Informationssysteme spezialisiert hat. Solche Gruppen können staatliche Akteure, kriminelle Netzwerke, Hacktivisten oder kommerzielle Angreifer sein. Sie arbeiten meist in Teams mit klaren Rollen wie Operatoren, Entwicklern und Infrastrukturunterstützung und setzen eigenständige oder gemietete Ressourcen ein, darunter Malware, Exploit-Suiten, Command-and-Control-Server und Phishing-Kanäle.

Die Einordnung von Angreifergruppen erfolgt anhand ihrer Taktiken, Techniken und Verfahren (TTPs) sowie ihrer Zielsetzung. In der Fachwelt wird oft auf Rahmenwerke wie MITRE ATT&CK zurückgegriffen, um Muster von Angriffen zu beschreiben. Typische TTPs umfassen Spearphishing, Ausnutzung von Sicherheitslücken, Verbreitung von Malware, Ransomware, Credential Stuffing, Supply-Chain-Attacken und die Nutzung legitimer Dienste für Privilegienerweiterung oder Tarnung. Zielgruppen reichen von Unternehmen und Behörden bis zu kritischen Infrastrukturen.

Erkennung und Abwehr von Angreifergruppen erfolgen durch Threat Intelligence, frühzeitige Patch- und Konfigurationsmanagement, Mehrfaktorauthentifizierung, E-Mail-Sicherheit, Endpunkt- und Netzwerkschutz sowie fundierte Incident-Response- und Ermittlungskapazitäten. Die Attribution bleibt oft schwierig, da Angreifer Tarnung, olika Hintergründe und verschleierte Infrastrukturen einsetzen. Berichte über Gruppen basieren häufig auf Mustern aus Campaigns, Indikatoren für Kompromittierung (IOCs) und TTPs statt auf dauerhaft feststehenden Identitäten.

Rechtlich fallen Angriffe in der Regel unter Cyberkriminalität und werden je nach Rechtsordnung strafrechtlich verfolgt; internationale Zusammenarbeit und Informationsaustausch spielen dabei eine wichtige Rolle. In der Forschung dient der Begriff der Angreifergruppe als zentrale Kategorie zur Beschreibung von wiederkehrenden Bedrohungen und deren Motivation.