ZweiOnCTI

About ZweiOnCTI

ZweiOnCTI — CTI geschüttelt, nicht gerührt Der CTI-Podcast für den DACH-Raum. Operativ. Technisch. Evidenzbasiert. Cyber Threat Intelligence ohne Vendor-Lärm und ohne Lagebild-Routine. ZweiOnCTI nimmt sich pro Folge ein Konzept vor und zerlegt es bis dorthin, wo es im Alltag trägt — was funktioniert, was nicht, und warum. Keine Hersteller-Folien, keine Panik-Zahlen ohne Methodenfussnote, keine Frameworks-Bingo-Karten. Stattdessen: Pyramid of Pain, Intelligence Cycle, IOC-Halbwertszeit, Diamond Model, Threat Hunting, Detection Engineering, Adversary Emulation — diskutiert mit Praxis und mit der Bereitschaft, Industriekonsens dort zu schütteln, wo er nicht hält. Wir nehmen das Feld ernst. Uns selbst nicht ganz so. Wer spricht Jan ist Geschäftsführer der CICS GmbH und Managing Director Technology bei IRISX SYSTEMS. Offizier-Hintergrund aus der Schweizer Armee — Electronic Warfare & Cyber Defense. GCFA. Er argumentiert gerne gegen Konsens und stellt die unangenehmen Fragen. Elias ist Analyst bei CICS und studiert Informationssicherheit. Er bringt Theorie, kluge Gegeneinwände und die Fragen, die im Lehrbuch leichter klingen als sie es in der Praxis sind. Sein Job: nicht stichwortgeben, sondern mitdenken. Für dich Wenn du als Analystin, CTI-Praktiker, Detection Engineer, Security-Architekt oder Incident Responder im DACH-Raum operativ mit Cyber-Bedrohungen arbeitest. Wenn du studierst und nach der Praxis-Übersetzung deiner Theorie suchst. Wenn du als CISO oder Security-Verantwortlicher wissen willst, was hinter den Buzzwords deiner Vendor-Pitches steckt — und was nicht. Was du pro Folge bekommst Rund 45 Minuten. Ein Konzept, sauber aufgemacht. Mindestens eine Position, die nicht ins Vendor-Briefing passt — mit geschüttelter Begründung. Und eine Mitnahme, die am Montag anwendbar ist. Bis dann. Geschüttelt. Nicht gerührt.

Publisher

Jan Dubs-Banholzer, Elias Schneider

Category

technology

Language

de

Explicit

No

First episode

29 Apr 2026

Latest episode

12 Oct 2026

Latest episodes

12 episodes in the feed.

1. 

   12 Oct 2026

   Detection Engineering aus CTI

   Die Kommandozeile statt des Hashes — Detection Engineering, ohne der grünen Kachel zu trauen. Ein Hash aus einem öffentlichen Akira-Report, darauf eine Sigma-Regel: ein Feld, ein Wert, vom offiziellen Werkzeug fehlerfrei konvertiert. Gegen echte Telemetrie getestet: kein einziger Treffer. Daneben eine hässliche Community-Regel von 2019, die keinen Hash kennt, nur eine Kommandozeile — „vssadmin delete shadows" — und sofort anspringt. Den Hash tauscht der Angreifer mit jedem Build. Wer aber Schattenkopien löschen will, T1490, muss genau dieses Bordmittel mit genau diesem Befehl laufen lassen, ob Akira, LockBit oder was nächste Woche kommt. Der Hash ist die Fussnote im Report. Das Verhalten ist die Regel. Nur ist höher nicht automatisch besser. Auf der Fünf-Stufen-Skala für Host-Regeln sass die tote auf eins (flüchtige Werte), die alte auf drei (LOLBins). Stufe fünf: Persistenz nach Konto-Diebstahl, im Microsoft-365-Audit-Log ein Add-MailboxPermission. Nackt geschrieben feuert das in einer Bank 200-mal am Tag, 199 davon Assistenzen, Funktions-Postfächer, eine Migration. Das ist schlimmer als tot: die tote Regel tut nichts, die laute stumpft den Analysten ab, bis er den echten Alarm wegklickt wie die anderen. Also härten statt wegwerfen, über Felder, die der Angreifer nicht frei wählen kann — nicht „ignoriere Frau Müller", denn morgen heisst er so, sondern: Akteur kein Admin-Konto, Delegation frisch, Zielprinzipal ungewöhnlich. Aus 200 am Tag werden zwei pro Woche. Nicht so hoch wie möglich, sondern so hoch wie im eigenen Stack tragbar. Dann die grüne Kachel. Eine Heatmap zeigt, wo eine Regel hinterlegt ist, nicht, wo sie feuert — die tote Hash-Regel hätte T1490 brav grün gefärbt. Von über 13.000 Regeln in hunderten Produktions-SIEMs feuert rund jede achte nie; abgedeckt sind im Schnitt rund 21 Prozent der bekannten Techniken. Südwestfalen-IT, Oktober 2023: Akira über ein Cisco-VPN ohne Mehrfaktor, am selben Tag reihenweise fehlgeschlagene anonyme Anmeldungen an den Datei-Freigaben, bis zur Verschlüsselung rund elf Tage. Eine Schwellenregel hätte keinen einzigen IOC gebraucht; die Daten standen in den Logs, gefehlt hat die Regel. Und das Ziel verschiebt sich: vom Erstzugang bis zur Übergabe an den nächsten Akteur vergehen laut der aktuellen Vorfalls-Auswertung im Mittel 22 Sekunden, 2022 waren es über acht Stunden. Detection kauft keine Zeit an der Tür, sondern in der Mitte, wo sich der nächste Akteur festsetzt, Rechte ausweitet, Sicherungen wegräumt. Genau dort sitzt die vssadmin-Regel. Leerstellen: welche Cisco-Lücke den Einstieg öffnete, ist nur vermutet; die Bank ist ein durchgerechnetes Szenario, kein Fall; und dass Angreifer über Log-Inhalte die Sprachmodell-Triage mitlenken, ist ausdrücklich Einschätzung, keine Studie. Was du mitnimmst Ein Handgriff für Montag: Nimm eine bestehende Produktionsregel und führ die Technik wirklich aus, kontrolliert auf einem Testsystem — mindestens eine feuert nicht. Dann die ehrliche Landkarte gegen das aktuelle Akira-Verhalten, pro Technik erst „sehe ich sie?", dann „fange ich sie?". Fehlende Visibility und fehlende Detection sind zwei Krankheiten, zwei Handgriffe: VPN-Logs, die nie im SIEM landen, heisst Log anbinden; Recon-Kommandozeilen ohne Regel, Regel schreiben. Und Regeln wie Code: Git, Pull Request, Ausführungstest als Gate. Kostet nichts, läuft lokal, für KRITIS ist Detektion ohnehin Pflicht — die Frage ist nie das Budget, sondern die Disziplin. Unbequem daran: „Feuert sie?" ist nur die halbe Kennzahl; ein Alarm, der 40 Minuten in der Warteschlange liegt, ist gegen eine Übergabe in Sekunden eine Dokumentationsmassnahme. Konvertiert sauber heisst nicht feuert. Eine ungetestete Regel ist eine Behauptung, kein Schutz. Geschüttelt. Nicht gerührt.

2. 

   28 Sept 2026

   Dark Web Intelligence

   Die Quelle statt der Zahl — Dark-Web-Intelligence, ohne der Leak-Seite zu glauben. Im Januar taucht eine Erpressergruppe auf, die niemand kennt, und steht bis Ende März bei 253 Opfern: Krankenhäuser, Banken, Industrie. Dann bricht ein Bandenkrieg aus, eine rivalisierende Gruppe übernimmt die Infrastruktur und stellt die internen Protokolle ins Netz — es gab nie einen Einbruch. Keinen einzigen. Opferliste erfunden, Beweisdaten erzeugt, der Betrieb lief von einem Mobiltelefon. 253 Geister, aufgenommen in die Quartalsstatistik der halben Branche. Dagegen die Vendor-Folie: Weltkarte mit pulsierenden Punkten, „500+ Quellen", 93 Prozent True-Positive. Nur: Monitoring ist reaktiv und kennt keinen Kontext, es matcht Zeichenketten, und Vollabdeckung gibt es strukturell nicht — invite-only Foren und verschlüsselte Kanäle entziehen sich. Der Alert meldet, dass dein Name gefallen ist. Ob du ein Problem hast, meldet er nicht. „Dark Web" ist dabei ein Sammelbegriff für vier Quellen mit vier Reliabilitäten: das Forum, Desinformations-Umgebung by design, reflexartig D3 — rund 60 Beiträge, bis Reputation dort zu tragen beginnt; der Marktplatz, der die Ware gegen den Verkäufer diszipliniert; die Leak-Site, die publiziert, wenn das Opfer nicht zahlt; Telegram, schnell und kaum verifizierbar. Eine Ebene tiefer dasselbe bei Zugangsdaten. Das Stealer Log liefert Session-Cookies, Autofill, Fingerprints — MFA wird nicht gebrochen, sondern umgangen, und ein Passwort-Reset beendet keine Sitzung: erst Tokens serverseitig ziehen, dann das Gerät bereinigen, dann Passwort und Faktor. Die Breach-Datenbank ist Jahre alt, ihr Risiko heisst Wiederverwendung. Die Comboliste ist der kontextärmste Zustand derselben Daten, 30 bis 60 Prozent Überlappung mit Stealer-Logs — und die „16 Milliarden Zugangsdaten" vom Sommer 2025 waren genau das: ein recyceltes Aggregat, mehrfach gezählt. Dabei hatte fast ein Drittel der Unternehmen mit Ransomware-Vorfall in den 16 Wochen davor mindestens eine Infostealer-Infektion. Volumen ist die Kennzahl, die man nennt, wenn man über Verlässlichkeit nicht reden will. Fair bleibt: der Vorlauf ist real — täglich erscheinen Daten von mindestens acht Firmen auf Leak-Seiten, und das sind nur rund 10 Prozent aller Ransomware-Opfer. Garantiert ist er nicht. Bei Chain IQ, Juni 2025, lagen Publikation um 17:15 und Kundeninformation um 20:00 desselben Abends. Südwestfalen-IT stand nie auf Akiras Leak-Site — ein Monitoring hätte nichts gemeldet, gefehlt hat MFA am VPN. Und nach „Operation Cronos" listete LockBit alte, gefälschte, rückdatierte Opfer, um Stärke zu simulieren — in der Zählung sieht das identisch aus wie ein echter Einbruch. Zwei Leerstellen: die 60-Beiträge-Schwelle stammt aus Daten von 2015 und trägt als Prinzip, nicht als Marktbeschreibung; Chain IQ ist Selbstauskunft, keine Forensik. Was du mitnimmst Stell dem nächsten Datenblatt drei Fragen. Wie greift ihr auf die Quelle zu — sitzt jemand im Forum, oder crawlt ein Bot einen Aggregator? Was passiert zwischen Post und Alert, prüft das jemand? Und die True-Positive-Rate: gemessen woran, mit welcher Stichprobe, von wem? Wer alle drei beantwortet, verkauft einen Prozess; wer keine beantwortet, eine Weltkarte mit Punkten — brauchbar, solange du weisst, was du kaufst. Die Reihenfolge bleibt: erst Zugangsdaten- und Endpunkt-Hygiene, Mehrfaktor besonders am Netzrand, dann Monitoring obendrauf. Unbequem daran: „erst verifizieren, dann reagieren" beschreibt die Arbeit des Analysten, nicht die Uhr, unter der die Organisation steht — nichts zu finden ist der langsamste aller Befunde, und der Anruf des grössten Kunden kommt in zwei Stunden. Verifikation entscheidet, was du glaubst, nicht wann du sprichst. Nächste Folge: aus Angreifer-Verhalten werden Detektionen. Geschüttelt. Nicht gerührt.

3. 

   7 Sept 2026

   Malware Intelligence

   Das Verhalten statt der Byte-Folge — Malware-Intelligence, ohne dem Fingerabdruck zu glauben. Hundert Prozent Übereinstimmung, null Überschneidung mit irgendeiner anderen Datei: der Rich Header von Olympic Destroyer zeigte im Februar 2018 auf eine bekannte Lazarus-Komponente. Sauberer geht ein Beweis nicht. Er war hineingelegt — Feld für Feld nachgebaut, aufgeflogen nicht durch ein besseres Werkzeug, sondern durch manuelles Nachzählen. Dafür brauchte es ein echtes Sample der Gruppe, die belastet werden sollte. Diese Struktur interessiert genau eine Berufsgruppe: die Leute, die Samples gruppieren. Die Fälschung war nicht für die Tat gebaut, sie war für die Analyse gebaut. Die anderen beiden Täuschungen kommen ohne Absicht aus. WhisperGate und HermeticWiper, Kiew 2022: gleiches Land, gleiches Zeitfenster, gleiche Erpressungs-Tarnung — und kein gemeinsamer Code; die belastbare Zuordnung kam erst 2024 über eine US-Anklageschrift. Gemeinsame Taktik ist nicht gemeinsamer Code, gemeinsamer Code nicht derselbe Akteur, derselbe Akteur nicht dieselbe Person am Rechner. Die Masse selbst sind ehrlich: imphash markiert seit 2014 die eigene Grenze, und ein Go-„Hello World" teilt seinen Wert mit Snatch-Ransomware, weil derselbe Compiler. Seit November liegt die Werkbank ein Stockwerk höher — PROMPTFLUX lässt sich seinen Quellcode stündlich von einem Sprachmodell neu schreiben, PROMPTSTEAL seine Befehle erst im Einsatz erzeugen. Wer nicht prüft, ob der Treffer bloss die Laufzeitumgebung beschreibt, attribuiert einen Compiler, bald ein Modell. Bleibt der Test, der neun Jahre trug: echte Erpressung braucht einen Wiederherstellungs-Mechanismus, ein Wiper im Erpresser-Kostüm hat keinen. Bei NotPetya war die Installations-ID erwürfelt, kein ableitbarer Schlüssel — Befund binnen 48 Stunden, für einen Hamburger Konsumgüter-Konzern 17 stillstehende Fabriken. GigaWiper im Juli 2026: keine Notiz, kein Schlüssel, nichts zu zahlen und nichts zu entschlüsseln. Bis Ende April: VECT schreibt vier Nonces in denselben Puffer, drei davon still verworfen; wer zahlt, bekommt seine wichtigsten Dateien nicht zurück — kein Vorsatz, sondern Unvermögen. Und die vierte Variante braucht gar keine Verschlüsselung: Anfang 2026 Mehrfaktor im laufenden Videocall umgestellt, danach Lösegeldforderung und Leak-Site-Eintrag, keine verschlüsselte Datei, dahinter Spionage. Leerstellen: mittlere Konfidenz statt hoher, und PROMPTFLUX ist ausdrücklich experimentell geführt. Was du mitnimmst Stell vor jedem Cluster eine Frage: beschreibt der Treffer die Schadsoftware oder nur die gemeinsame Werkbank? Und schreib Regeln auf das, was die Familie tun muss, egal wie oft sie neu gebaut wird. „Kein Wiederherstellungs-Mechanismus im Sample erkennbar" trägt, „das Ziel war Zerstörung" ist eine Aussage über eine Absicht und aus der Datei nicht belegbar. Operativ ändert das an Tag eins nichts — wiederherstellen statt verhandeln. Was sich ändert, ist die Behauptung, die du danach aufstellen darfst. Ein Beleg, der zu gut passt, ist ein Prüfanlass und kein Ergebnis. Geschüttelt. Nicht gerührt.

4. 

   24 Aug 2026

   OSINT-Methodik

   Der Grundriss statt der Fassade — OSINT, ohne an der Tür zu klingeln. „Senior ICS-Engineer, Erfahrung mit Siemens S7-1500" — ein Satz aus der Personalabteilung, und der Angreifer hält Port 102, S7comm, per s7-info Modell und Firmware, dazu das CISA-Advisory mit den bekannten Schwachstellen. Bevor ein Paket fliegt. Der Reflex, jetzt Anzeigen zu entschärfen, greift daneben: die Anzeige ist nicht die Lücke, sie ist der Zeitvorsprung — wer sie unpräzise macht, bekommt die falschen Bewerbungen. Dieselbe Logik als Kette, eine gute Stunde, gegen eine anonymisierte Kantonalbank: crt.sh (http://crt.sh) über die CT-Logs, Passive DNS für die historischen A-Records, AS- und NetBlock-Zuordnung, Abgleich mit den Anzeigen. Am Ende Subdomains, Infrastruktur, NetBlocks, Stack-Verdacht — im Monitoring nichts. Die Website zeigt, was eine Organisation zeigen will. Die Kette zeigt, was sie betreibt. Problem: die halbe empfohlene Werkzeugliste ist Ruine. SpiderFoots freier Zweig ist seit der Intel-471-Übernahme 2022 ohne Release, über 180 offene Issues; Recon-ng hat der Maintainer selbst als ungepflegt markiert, Python-3.12-Bug inklusive; Amass trägt den Bruch von 3 auf 4 und 5. Wer das 2026 noch als „Standard" empfiehlt, empfiehlt Stillstand. Unterschätzt dagegen theHarvester: aktiv gepflegt, schnellster Erst-Sweep, begrenzt durch API-Schlüssel und Rate-Limits. Was den Werkzeugwechsel überlebt, ist eine Tabelle mit vier Spalten — der Bedarf, präzise: nicht „was gibt es über Firma X", sondern „welche Authentisierungs-Endpunkte sind extern erreichbar"; die Quelle, die genau das beantwortet; die Methode, passiv oder aktiv, und bei aktiv: wer autorisiert; das Tag nach STANAG 2511, im Hochvolumen ehrlich oft F6. Wer eine Quelle für alles hält, hat keinen Plan, sondern ein Lieblingswerkzeug. Passiv heisst nur: kein Paket ans Ziel. CT-Logs sind append-only, jede TLS-Subdomain stand irgendwann drin, abgefragt wird das Archiv, nicht der Server. Blind bleibt das für getunnelte Infrastruktur hinter einem CDN, für selbstsignierte Zertifikate, für alles unter der Sensor-Frequenz. Rechtlich sagt „passiv" ohnehin nichts: in Deutschland trägt aus Meta gegen Bundeskartellamt nur die Prüftrias, Randnummer 106, nicht die Fallwertung — es ging um Werbung; in der Schweiz nDSG Art. 31 plus EDÖB-Erkennbarkeit, Öffentlichkeit endet am Login. Warum das zählt: Südwestfalen-IT (Akira über eine VPN ohne Zweitfaktor, 72 Kommunen), Xplain (4.779 sensitive Datenobjekte des Bundes), Radix (1,3 Terabyte) — jedes Mal der Dritte als Einstieg. Zwei Leerstellen: keine höchstrichterliche Entscheidung in DE, AT oder CH zu passivem Scanning, und die Kantonalbank-Kette ist reproduzierbare Methodik, kein dokumentierter Fall — die Stunde illustrativ statt gemessen. Was du mitnimmst Zieh die Kette einmal gegen dich selbst — crt.sh (http://crt.sh), Passive DNS, AS und NetBlock, Stellenanzeigen-Abgleich — und danach gegen die Lieferanten, ohne die du nicht arbeitest. Was dabei entsteht, ist zugleich der Nachweis-Baustein, den NIS2, NISG und ISG sehen wollen. Die Reihenfolge ist nicht verhandelbar: erst der Bedarf, dann die Quelle, dann — wenn überhaupt — das Werkzeug; jede Zeile getaggt, jeder blinde Fleck notiert. Die unbequeme Seite: Über-Sammeln ist keine Sorgfalt, sondern Rauschen plus Rechts-Exposition — personenbezogene Treffer, die niemand gebraucht hat, machen die Ergebnisse unverwertbar. Wer seine eigene Exposition nicht kennt, wird von jemand anderem aufgeklärt. Nächste Folge: Malware-Intelligence — was Samples verraten, und warum YARA auf Verhalten statt auf Byte-Sequenzen matchen sollte. Geschüttelt. Nicht gerührt.

5. 

   10 Aug 2026

   C2-Infrastruktur

   Einzelschicht-Detektion ist tot, Layering lebt — C2 richtig jagen. Fünf Tage lebt ein Cobalt-Strike-Server im Median — die meisten lesen daraus die falsche Lektion: schneller Blocklisten pflegen. Das Fenster ist nicht das Problem, die Schicht ist es. Gemessen wird (Censys 2025) nur Scan-Sichtbarkeit, nicht Detektionstempo, nicht Operationsdauer: 11,2 Tage Mittel, 5,0 Median, und nur für Cobalt-Strike-Teamserver — Viper liegt bei 17,4/18,5, fast das Vierfache. Was das operativ heisst, zeigt LockBit 2025: eine Beacon-Domain, dann SystemBC- und GhostSOCKS-Proxies, am elften Tag die Verschlüsselung. Wer dort nur die IOC-Ebene hatte, blockte eine Wegwerf-Front und verpasste den Rest. Durchgetragen hat das Beaconing: RITA erkannte das Muster über die ganze Verweildauer, unabhängig vom Profil und trotz Jitter. Kein einzelner Layer schloss die Kette. Die drei Schichten. Malleable-C2 entwertet den Einzel-IOC: URIs, User-Agent, Kodierung, TLS-Zertifikat, sleeptime, jitter — alles frei einstellbar, häufigstes Profil: eine jQuery-Imitation; vor dem Teamserver stehen Redirectors, die IP, die du siehst, ist die Wegwerf-Front, nie die Steuerung. Was übrig bleibt — Default-Named-Pipes, Watermarks — fängt die Undisziplinierten, nicht den einen, gegen den es zählt. Die Fingerabdruck-Schicht: JA3 ist order-dependent und seit Chrome v110, Anfang 2023, erledigt, dazu uTLS, das ein ClientHello byte-genau nachbaut — Fingerabdrücke sprangen von zehntausenden auf über eine Milliarde. JARM ist Triage, kein Beweis: 4.500 Treffer aus einem Wert, erst im Verbund rund 70 Kandidaten. JA4 sortiert vor dem Hashen, besser — gegen uTLS ebenso blind. Und zur Ehrlichkeit: Fortras 80-Prozent-Rückgang nach MORPHEUS (690 Instanzen, 593 vom Netz) ist Eigenauskunft, unabhängig bestätigt ist nur die Richtung — BEACON 28 Prozent (2021) auf 5,4 (2025). Im DACH-Winkel: Ende 2025 wurden deutsche Hoster als „Threat Activity Enabler" beschrieben — aurologic als Upstream, Aeza International (AS210644) mit 7,5 Prozent der Tier-1-C2-Server zwischen Juli 2024 und Juli 2025. Und die Lücke gehört dazu: kein öffentlicher Write-up belegt Cobalt Strike sauber gegen ein namentlich genanntes Opfer in CH, DE oder AT. Xplain trägt das nur mit Herleitungs-Caveat. M-Trends sieht High-End-Vertragskunden, nicht den Zuger Mittelstand. Was du mitnimmst Den Layering-Reflex: eine Schicht allein ist keine Detektion, sie ist eine Meinung — IOC-Ebene, Fingerabdruck und Verhalten übereinanderlegen und schauen, wo sie sich kreuzen. Beaconing als belastbarste Einzelschicht, weil der Rückkanal als einziges nicht wegkonfigurierbar ist: Intervall, Jitter, Datengrösse, ziel- und profilagnostisch, Score 0 bis 1 — ein Ranking, kein Alarm. Eine Sigma-Regel auf vier Beinen: Proxy-Logs, Browser-UA plus jQuery-Pfad plus zu kleine, zu konstante Antwortgrösse als Muster in der Zeile, Häufung im Zeitfenster, Allowlist-Filter für Update-Server, Telemetrie, NTP und RMM-Heartbeats — das letzte Bein trägt die anderen drei. Eine Woche Audit-Modus, dann scharf. Und die ehrliche Schwelle: im 20-Mann-Betrieb ohne SOC ist die Rohausgabe nicht tragbar, der False-Positive-Preis lohnt erst ab stabiler Baseline oder im MDR. Umgehen kann der Angreifer das nur, indem er seltener funkt und Kontrollfrequenz bezahlt. Cliff-Marker auf die nächste Folge: OSINT für die Infrastruktur-Recherche, die Pivot-Techniken systematisch. Geschüttelt. Nicht gerührt.

6. 

   27 Jul 2026

   Passive DNS & Certificate Transparency

   Die unsichtbaren Zeugen — was das Internet über Angreifer speichert. Vierundneunzig Lookalike-Domains auf einer IP (45.79.222.138, AS63949 Akamai-Linode), quer durch elf Marken — Instagram und TikTok mit je zwölf, dazu FedEx, Zurich, Credit Suisse, Migros Bank — und jede löst auf openresty mit Reverse-Eintrag parklogic.net (http://parklogic.net) auf, Score null bei urlscan: Parking-Infrastruktur der .ph-Registry, kein Live-Phishing. 24 Stunden Maximum Merge Delay: kein Zertifikats-Eintrag ist älter als einen Tag. 33,5 Prozent der rund 10,9 Milliarden Zertifikate im Q1 2026 sind Pre-Certificates — Stunden bis Tage vor dem Angriff im öffentlichen Log. Chrome erzwingt CT seit April 2018, Firefox seit Februar 2025; wer HTTPS will, kommt nicht mehr daran vorbei — Angreifer schon gar nicht, weil eine Phishing-Seite ohne Schloss ihr halbes Opferpublikum verliert. Passive DNS ist der Fahrtenschreiber: Sensoren oberhalb des Resolvers hören zu und schreiben mit, welche Domain WANN auf welche IP zeigte — first-seen und last-seen als die zwei Zeitstempel, die alles tragen. Certificate Transparency ist das öffentliche Grundbuch: jede Zertifikats-Ausstellung wird beurkundet, jeder darf reinschauen. Aus dem DigiNotar-Skandal 2011 wurde 2012 RFC 6962. Let'\''s Encrypt stellt rund 54 Prozent aller Zertifikate aus. Provider: CIRCL.lu (http://CIRCL.lu) in Luxemburg als öffentlicher Dienst, dazu Validin, Spamhaus, DNSDB, VirusTotal — am Coyote-Trojaner reicht ein IP-Pivot zu 48 zusammenhängenden Domains bei Validin. Der saubere Gegenpol zum Parking-Rauschen ist Juniper Threat Labs Juli 2024: ein C2-Server, ein Reverse-Passive-DNS-Pivot, plus sieben Domains und plus zwei IPs — AsyncRAT, XWorm, VenomRAT. Und zur Ehrlichkeit gehört der blinde Fleck: crt.sh (http://crt.sh) war im Live-Fall rate-limited, der CT-Cousin-Nachzug lief nicht durch — die Korroboration trägt urlscan, nicht CT. Im DACH-Winkel: Es kommt nicht nur darauf an, WAS ein Werkzeug kann, sondern WER die Sensoren betreibt und WO die Daten liegen. Wer seine gesamte Frühwarnung an einen einzigen US-Anbieter hängt, hängt an dessen Rechtsraum und Preismodell — für ein Energieunternehmen oder Spital keine Tool-Frage, sondern eine der Handlungsfähigkeit im Ernstfall. CIRCL.lu (http://CIRCL.lu) steht als europäische, kostenlose Alternative — kein Anti-US-Reflex, sondern Risikomanagement mit Fallback. Was du mitnimmst Den Pivot-Reflex: vor dem Blocken immer erst pivotieren — weil du nicht eine Domain blocken willst, sondern das ganze Nest. Einen CT-Alert für deine eigene Domain bei crt.sh (http://crt.sh) — 10 Minuten, kostenlos, fängt Phishing-Klone, bevor deine Kunden draufklicken. CAA-Records im DNS, die festlegen, welche CAs für deine Domain ausstellen dürfen — eine ganze Klasse von Missbrauch fällt weg, bevor irgendjemand pivotieren muss. Angreifer-Infrastruktur über Monate tracken und Namensmuster sowie first-seen-/last-seen-Rhythmen lesen — aus reaktivem Blocken wird vorausschauendes Erkennen. Und die Disziplin, bei der ersten schönen Zahl nicht stehenzubleiben: Registrierung plus Parking ist noch keine Kampagne; ein Lookalike-Name ist erst dann Angreifer-Infrastruktur, wenn er aktiv ist und zeitlich eingegrenzt bestätigt ist — geparkte Domains wandern auf die Watchlist und schlagen erst bei Scharfschaltung an. Cliff-Marker auf die nächste Folge: C2-Infrastruktur — wie kurz so ein Server wirklich lebt, und warum die Jagd nach einzelnen IOCs allein nicht mehr trägt. Geschüttelt. Nicht gerührt.

7. 

   13 Jul 2026

   Das Diamond Model

   Wenn die Karikatur das Modell ersetzt Elf. Vier. Sechs. Elf Bestandteile hat das Diamond Model von Caltagirone, Pendergast und Betz aus dem Jahr 2013 — vier Knoten, sechs Kanten, zwei Meta-Features, sieben Axiome. Vier davon kennt jede Vendor-Folie. Sechs der elf Bestandteile fallen in der Industrie-Lesart regelmässig unter den Tisch. Das ist die Karikatur, vor der Caltagirone selbst im Summary-Paper von 2020 warnt. In der fünften Sach-Folge zerlegen wir das Werkzeug in seiner vollen Tiefe — vier Knoten plus sechs bidirektionale Kanten, plus die Meta-Features Social-Political und Technology, plus die sieben Axiome. Wir machen es am härtesten Demonstrationsfall der westlichen Cyber-Threat-Intelligence: Sandworm, von Mandiant 2024 zu APT44 promoviert, mit einem Activity-Thread von BlackEnergy 2014 bis Industroyer2 2022. Was bedeutet das Social-Political-Meta-Feature, wenn es in den meisten Vendor-Reports ein weisser Fleck bleibt? Welcher Knoten in einem Sandworm-Profil trägt die forensische Härte einer US-Justizministerium-Anklage mit sechs namentlich genannten Offizieren der Unit 74455 — und welcher hängt an einer Code-Ähnlichkeit zu VPNFilter, die analytisch erschlossen, nicht belegt ist? Wir bauen die Sandworm-Linie als Activity-Thread mit Konfidenz-Abstufung pro Knoten — NotPetya 2017 als A1 über die DOJ-Anklage, Industroyer2 2022 als A1 über ESET-Forensik plus CERT-Ukraine-Validierung, KA-SAT am 24. Februar 2022 als A3 auf Staaten-Ebene (EU-Rats-Erklärung, „Russian Federation", nicht „Unit 74455 spezifisch") plus A2 als analytische Brücke. Wir prüfen das DACH-Kollateral mit der Disziplin, die Diamond verlangt: bei Beiersdorf bleibt die belastbare Zahl 35 Millionen Euro Umsatzverschiebung aus der Heidenreich-Telefonkonferenz vom 3. August 2017 — nicht die populäre 210-Millionen-Zahl, die in keinem Konzernbericht steht. Bei Enercon sind 5.800 ausgefallene Anlagen mit 11 GW Gesamtleistung durch drei voneinander unabhängige DACH-Quellen belegt — die Anlagen drehten autark weiter, ausgefallen war die Fernwartung. Im dritten Akt setzen wir Diamond gegen MITRE ATT&CK, klären die Komplementarität an Sandworms MITRE-Eintrag G0034, und jagen Volt Typhoon live durchs Modell mit fünf Konfidenzgraden für fünf Knoten. Die Folge argumentiert gegen den Konsens, dass Diamond ein veraltetes Vier-Punkte-Diagramm sei — und hält sich strikt an den Wortlaut der Quellen, die in den Fussnoten der Vendor-Decks stehen, wenn man sie liest. Wir erfinden keine Konfidenz. Wir machen die in den Quellen dokumentierte sichtbar. Was du mitnimmst Ein Threat-Actor-Eintrag im Threat-Intelligence-Platform-Inventar gegen das volle Diamond prüfen — alle vier Knoten, alle sechs Kanten, beide Meta-Features. Pro Knoten und pro Kante eine Konfidenz auf der Admiralty-Skala vergeben statt einer Sammel-Bewertung pro Eintrag. Diamond-Adversary auf ATT&CK-Group mappen, Diamond-Capability auf ATT&CK-Technik. Und intern den Redefinition-Schritt durchlaufen, wenn eine neue forensische Quelle einen Knoten unter eine andere Härte stellt — sonst wird das Tracking ein Archiv, keine Analyse. Pflichtwissen für CTI-Leads, SOC-Analyst:innen und alle, die staatsnahe Adversary über Jahre hinweg sauber tracken müssen. Geschüttelt. Nicht gerührt.

8. 

   29 Jun 2026

   Threat Actor Profiling — jenseits der APT-Namen

   Vier Probe-Fragen trennen ein Profil von einer IOC-Sammlung mit Briefkopf. Achtundzwanzig für Deutschland relevante APT-Gruppen meldet das BSI im Lagebericht 2025, zweiundzwanzig waren es im Lagebericht 2024 — und im Achtseiter steht offen, dass die Differenz keine Vollzählung ist, sondern eine Sichtbarkeitszählung auf Basis einer einzigen Vendor-Stichprobe plus Bundesbehörden-Telemetrie. Sieben Namen führt die MITRE-ATT&CK-Groups-Bibliothek für ein einziges Activity-Cluster: APT29, Cozy Bear, The Dukes, NOBELIUM, Midnight Blizzard, UNC2452, StellarParticle. Drei Zahlen, die das Lese-Problem der Branche markieren: Codenamen sind Aktenzeichen, Profile sind Befunde, und die meisten DACH-Vorstands-Briefings verwechseln das eine mit dem anderen. In der vierten Sach-Folge legen wir die Probe-Fragen-Disziplin neben die Realität der Industrie-Profile. Vier Fragen, ableitbar aus Caltagirones Diamond-Model und aus dem SANS-CTI-Curriculum von Nickels: Motivation, Capability, Intent, Opportunity. Capability und Intent fallen in der Praxis auseinander — die eine Frage ist eine Werkzeugkasten-Frage, die andere eine Operations-Frage, und wer sie im Paar belässt, baut Detection-Entscheidungen entlang eines Vektors, der zwei Dimensionen hat. Wir lesen drei Fälle gegen das Quartett: Volt Typhoon mit Five-Eyes-Pre-Positioning-These und Living-off-the-Land-Tradecraft, Salt Typhoon mit dreizehn-Nationen-Joint-Advisory zur signalauswertenden Sammlung auf Telekommunikations-Backbones, und APT28 mit dem zehnjährigen Profil-Wachstum von FireEye-Codename 2014 bis zur konsolidierten Bundesregierungs-Attribution durch BfV und BMI am 3. Mai 2024. Was die BSI-Zahl methodisch misst — und was nicht. Warum Mandiants APT44-Reklassifizierung trotz Vendor-Eigeninteresse ein Lehrstück für ein sauberes Profil ist. Wie die Cyderes-Kritik an ATT&CK-Dual-Use-Techniken die Probe-Frage Capability trifft, ohne sie zu kippen — und wie MITREs „Summiting the Pyramid" v3.0 mit STP-Bewertung pro Detection-Regel die Lücke wieder schliesst. Warum die Bitkom-Zahl 87 Prozent Betroffenheit gefühlte Betroffenheit misst, nicht forensische Vorfälle. Und warum Robert M. Lees Trennung zwischen Activity-Tracking und True Attribution für die meisten DACH-Defender den entscheidenden Layer-Wechsel markiert. Die Folge argumentiert gegen den Konsens, dass ein Industrie-Profil mit IOC-Tabelle und ATT&CK-Tags schon ein operativ nützliches Profil sei — und hält sich strikt an die Methoden-Offenlegungen, die in den Berichten selbst stehen, wenn man sie liest. Das Probe-Fragen-Quartett ist editorische Heuristik, nicht der etablierte Industrie-Standard. Wir markieren das explizit, weil die Industrie genug Frameworks hat, die als „neu" verkauft werden und es nicht sind. Was du mitnimmst Vor jedem Industrie-Profil die vier Fragen Motivation, Capability, Intent, Opportunity explizit durchgehen — und wenn drei davon nicht beantwortet sind, das Dokument als Rohstoff behandeln, nicht als Profil. Activity-Tracking von True Attribution trennen — Big-A-Attribution gehört in den strategischen Layer, nicht in den taktischen Workflow. Amtliche Methoden-Offenlegung als Mass-Standard nutzen, an dem Vendor-Reports gemessen werden. Pflichtwissen für jeden, der Vendor-Reports filtert, Threat-Briefings ans Board weitergibt oder Detection-Entscheidungen aus Industrie-Profilen ableitet. Geschüttelt. Nicht gerührt.

9. 

   15 Jun 2026

   Intelligence Requirements — PIRs die tatsächlich funktionieren

   Roberts-Kriterien, GIR-PIR-SIR-Hierarchie, drei DACH-Sektor-Builds live Drei Worte heisst die meistgenannte Priority Intelligence Requirement in DACH-CTI-Programmen 2026: „Monitor Ransomware Threats." Vier Kriterien hat Scott Roberts 2016 für eine echte PIR formuliert — Singular, Atomic, Decision Centric, Timeliness. Hundertachtzig Anforderungs-Templates listet das Intel-471-CU-GIR-Framework, das in der DACH-Industrie regelmässig als PIR-Set missverstanden wird. Drei Worte, null Roberts-Kriterien erfüllt. Hundertachtzig importierte Themen, keine einzige organisationsspezifische Entscheidung. Workshop-Format. Eine Stunde. Wir bauen live drei Sektor-PIR-Sets — Schweizer Energieversorger, deutscher Maschinenbauer, österreichisches Finanzinstitut — und legen die methodische Genealogie nebeneinander: US Army Field Manual 34-2 von 1994 als kanonische Definition, Roberts' Medium-Blog von 2016 als de-facto-CTI-Konvention, FIRST-CTI-SIG-Curriculum, CTI-CMM v1.0 von 2024 als Reife-Framework. Was ist eine PIR im Roberts-Sinn? Eine Frage, deren Antwort eine Stakeholder-Entscheidung ermöglicht. Was ist sie nicht? Ein Topic-Bucket, ein Sammelplan-Filter, eine BDEW-Whitepaper-Übersetzung in achtzehn Punkten. Drei Negativ-Folien aus der DACH-Realität: Xplain 2023 — eine PIR mit Legal und Procurement im Workshop-Raum hätte gefragt, welche Subdienstleister produktive Personendaten ohne vertraglichen Schutz halten, existierte aber nicht. SPD-Hack via CVE-2023-23397 — eine sektorale PIR auf APT28-Infrastruktur-Korrelation wäre Anfang 2023 handlungsfähig gewesen, ist aber in keinem DACH-Mittelstands-Programm vor 2024 dokumentiert. NIS2 Artikel 21 — listet zehn Mindestmassnahmen, „Priority Intelligence Requirement" kommt im gesamten Artikel und in der ENISA-Implementation-Guidance kein einziges Mal vor. Wer einer Organisation sagt „wegen NIS2 brauchen Sie PIRs", verkauft CTI-Tradecraft als Compliance-Pflicht. Drei Stolpersteine räumen wir explizit aus dem Weg: PIR als Vendor-Vokabel für „Use Case", „NIS2 verlangt PIRs", Roberts' Heuristik als „Industry Standard". Die Folge argumentiert gegen die Konsens-Praxis, hundertachtzig fremde GIR-Templates als eigene PIR-Liste zu adoptieren — und hält sich strikt an die Doktrin, die seit 1994 in jedem ernstzunehmenden Field Manual steht. Wir erfinden keine Kontroverse. Wir machen den Unterschied zwischen Themenliste und Anforderungs-Set sichtbar. Was du mitnimmst Drei bis fünf PIRs nach Roberts in einem Vier-Stunden-Workshop bauen — Stakeholder-Set vor Methodik, Stühle im Raum für IT-Security, OT, Legal, HR, Risk, Business Continuity, Procurement —, eine quartalsweise Refinement-Kadenz im RFI-Register verankern, drei Stolpersteine in der nächsten Vendor-Demo erkennen. Pflichtwissen für jeden, der ein CTI-Programm vor CFO, Aufsichtsbehörde oder NIS2-Auditor begründen muss. Geschüttelt. Nicht gerührt.

10. 

    1 Jun 2026

    Der Intelligence Cycle — und wo er bricht

    Sechs Phasen, drei strukturelle Bruchpunkte, ein DACH-Lehrstück Vierunddreissig Tage liegen zwischen dem Initial Access bei der Landesverwaltung Kärnten am 21. April 2022 und der Detection am 24. Mai. Sechs Phasen umfasst der klassische Intelligence Cycle, der in jedem CTI-Lehrgang als kanonische Lehrform hängt. Sechsunddreissig Prozent der Programme messen laut SANS-CTI-Umfrage 2024 ihre Effektivität — vierundsechzig Prozent nicht. Drei Zahlen, die zusammengenommen die These der Folge tragen: der Cycle ist als Lehrmodell brauchbar, als Beschreibung der realen CTI-Praxis aber unzureichend — und der Massstab für Reife ist nicht „wir haben einen Cycle", sondern „wir schliessen ihn". Wir legen die Phasen einzeln auf den Tisch und gehen mit konkreten DACH-Fällen durch jede einzelne Bruchstelle. Phase 1 — Direction — fehlt strukturell im DACH-Mittelstand, illustriert am A1-Telekom-Fall: sechs Monate Verweildauer, Hundert-Personen-Eradication, über zehntausend Systeme reset, vermutete staatliche Akteure ohne hinterlegte Priority Intelligence Requirements. Phase 2 — Collection — versagt im Land-Kärnten-Lehrstück und bei MediaMarktSaturn. Phase 4 — Analysis — bricht öffentlich an Olympic Destroyer 2018, dem kanonischen False-Flag-Lehrstück mit gefälschtem Rich Header, das die initialen Lazarus-Attributionen drei Wochen lang aufrecht hielt. Und wir zerlegen die ACH-Empirie, die seit sieben Jahren unter Druck steht: Dhami 2019, Karvetski 2020, Whitesmith 2024 — Brainstorming und Devil's Advocacy haben empirischen Support, Analysis of Competing Hypotheses hat keinen. Phase 5 — Dissemination — funktioniert vorbildlich beim SPD-Hack, sechzehn Monate nach der initialen Kompromittierung, mit koordinierter BfV-BMI-Communiqué-Kette. Phase 6 — Feedback — bricht strukturell, weil ein vergessenes RFI-Register keine Schlagzeile produziert. Wir zeigen Xplain als die seltene geschlossene Schleife auf Bundes-Niveau — Edöb-Bericht plus Bundesrats-Administrativuntersuchung mit konkreten Lieferanten-Massnahmen — und legen drei weitere DACH-Cases daneben: Continental, Südwestfalen-IT, Funke Mediengruppe. Die Folge argumentiert gegen den Konsens, dass „wir machen den Cycle" schon ein CTI-Programm sei — und hält sich strikt an die Empirie, die BSI, BACS, CERT.at und ENISA selbst publizieren, ohne den Cycle-Begriff überhaupt zu führen. Wir erfinden keine Kontroverse. Wir machen die methodische Disziplin sichtbar, die in der Behörden-Praxis längst gelebt wird. Was du mitnimmst Den Reife-Test in Phase 6 anwenden — RFI-Register der letzten zwölf Monate vorzeigen, Frequenz und Timing prüfen —, eine realistische Bias-Mitigation einführen, die empirisch trägt (Devil's Advocacy als feste Rolle, nicht ACH-Theater), und drei Sofort-Schritte, die ein DACH-Mittelstands-Programm an einem Tag beginnen kann. Pflichtwissen für jeden, der CTI-Reife vor Vorstand, Aufsichtsbehörde oder CFO begründen muss. Geschüttelt. Nicht gerührt.

11. 

    18 May 2026

    Was ist CTI, wirklich?

    S1E01 — Was ist CTI, wirklich? Die Demontage der Gleichung „Feed gleich Intelligence" 50.000. 5. 4. Fünfzigtausend Indikatoren verspricht die Sales-Folie pro Tag. Fünf Tage misst Censys als Median-Lebensdauer eines kommerziellen Cobalt-Strike-Command-and-Control-Servers. Vier Prozent Overlap haben zwei Premium-Threat-Intelligence-Feeds laut der bislang sauberen USENIX-Messung. Drei Zahlen, die zusammengenommen erklären, warum „mehr Feeds gleich mehr Breite" ein Vendor-Slogan ist, kein empirischer Befund. In der ersten Sach-Folge nach dem Piloten legen wir die Definitionen nebeneinander, die seit dreizehn Jahren zitiert werden: McMillans Gartner-Definition von 2013 mit ihren fünf Qualitätsmerkmalen, NIST SP 800-150, Biancos Pyramid of Pain in der heute kanonischen Sechs-Ebenen-Fassung von 2014 — und die MITRE-Erweiterung Summiting the Pyramid aus Dezember 2024, die das Modell zum ersten Mal seit elf Jahren empirisch unterlegt. Was unterscheidet Daten von Information, Information von Intelligence? Welches McMillan-Kriterium erfüllt ein STIX-Eintrag mit IP-Adresse und Vendor-Tag „Akira-related"? Genau eines von fünf. Warum bezahlen Kunden zweier marktführender Premium-Anbieter laut Bouwmans Interview-Teil gar nicht für die Indikatoren — sondern für die narrativen Reports? Wir messen den Decay an zwei Censys-Snapshots, lesen den Phishing-Survival-Survey von Lee und Lim (Median 5,5 Stunden, Google Safe Browsing erfasst 18,4 Prozent in 4,5 Tagen), prüfen die SANS-CTI-Umfrage 2024 — 36 Prozent der Programme messen ihre Effektivität, 64 Prozent nicht — und legen drei DACH-Lehrstücke daneben: Südwestfalen-IT, Xplain, SPD-Parteizentrale. Dreimal lag die verletzbare Ebene oberhalb von Hash und IP. Dreimal hätte kein Indikator-Feed der Welt den Vorfall verhindert. Dreimal folgte eine regulatorische Reaktion — NIS2-Umsetzungsgesetz, NISG 2026, Schweizer ISG —, die Prozess verlangt, nicht Konsum. Die Folge argumentiert gegen den Konsens, dass kommerzieller Feed-Konsum schon ein CTI-Programm sei — und hält sich strikt an die Empirie, die in den Fussnoten der Sales-Decks selbst steht, wenn man sie liest. Wir erfinden keine Kontroverse. Wir machen die in den Studien dokumentierte sichtbar. Was du mitnimmst Ein CTI-Produkt an fünf McMillan-Kriterien prüfen, jeden Indikator einer der sechs Pyramid-Ebenen zuordnen, jedes Artefakt am So-what-Test von Katie Nickels messen — Wen interessiert das? Was soll die Organisation tun? Wie machen wir es erneut? Pflichtwissen für jeden, der ein CTI-Programm aufbaut, reift oder vor Vorstand und Aufsichtsbehörde verantwortet. Geschüttelt. Nicht gerührt.

12. 

    29 Apr 2026

    Zahlen, die niemand hinterfragt

    S1E00 — Zahlen, die niemand hinterfragt Methodenkritik im DACH-Cybersecurity-Diskurs 309.000. 280.000. 202 Milliarden. Drei Zahlen, die in jeder zweiten Vorstandspräsentation auftauchen — und drei Zahlen, deren Methodikseiten kaum jemand gelesen hat. In dieser Zwischenfolge legen wir die Quelldokumente nebeneinander: die BSI-Malware-Statistik, den Bitkom-Wirtschaftsschutzbericht, die BACS-Halbjahresberichte. Was misst eine „neue Malware-Variante" eigentlich? Ein veränderter Hashwert. Auch wenn an der Funktionalität nichts neu ist — das schreibt das BSI selbst auf seiner Methodikseite. Was steckt hinter den 202 Milliarden Euro Schaden? 1.002 Telefoninterviews, Selbsteinschätzung, hochgerechnet auf die deutsche Gesamtwirtschaft. Und warum sind die BACS-Zahlen methodisch sauberer — aber öffentlich seltener zitiert? Wir nehmen jede Zahl auseinander, lesen die Fussnoten, die in den Schlagzeilen verloren gehen, und ziehen am Ende einen praktischen Filter: Wann ist eine Cybersecurity-Zahl operative Kennzahl, wann politisches Signal, wann Vendor-Argument? Die Folge argumentiert gegen den Konsens, dass diese Zahlen „stimmen" — aber sie hält sich strikt an das, was die Statistikämter selbst auf ihren Methodikseiten schreiben. Wir erfinden keinen Streit. Wir machen den vorhandenen sichtbar. Was du mitnimmst Schadenszahl einem methodischen Typ zuordnen — gemessen, berichtet, geschätzt, hochgerechnet — und weisst, für welchen Argumentationskontext sie sich eignet. Pflichtwissen für jeden, der vor Vorstand, Verwaltungsrat oder Behörde Risiken kommunizieren muss. Geschüttelt. Nicht gerührt.

Reach and audience

Public platform figures. Ratings count people who left a rating, not total listeners.

Spotify

5.0 / 5

6 ratings

Contact ZweiOnCTI

Guest appearances

Does not typically book guests

Based on episode analysis; this does not confirm that the show is currently accepting guests.