ATT&CK steht für Adversarial Tactics, Techniques, and Common Knowledge. Herausgeber ist die gemeinnützige MITRE Corporation, die auch das CVE-Programm betreut. Die Datenbank ist für alle kostenlos nutzbar und wird regelmäßig erweitert; die aktuelle Version 20 erschien am 13. Oktober 2026. Es gibt drei Matrizen: Enterprise für klassische IT und Cloud, Mobile für Smartphones und ICS für industrielle Steuerungen.
Wie ist ATT&CK aufgebaut?
- Taktik: das Warum, also das Ziel eines Schritts, etwa Erstzugang oder Rechteausweitung.
- Technik: das Wie, zum Beispiel T1566 Phishing oder T1190 das Ausnutzen einer aus dem Internet erreichbaren Anwendung.
- Subtechnik: eine genauere Variante, etwa T1110.004 Credential Stuffing als Unterfall von Brute Force.
- Prozedur: wie eine bestimmte Gruppe die Technik konkret umgesetzt hat, belegt mit Quellen.
Zu jeder Technik nennt ATT&CK Gegenmaßnahmen (Mitigations) und Erkennungsstrategien. Die Enterprise-Matrix umfasst in Version 20 insgesamt 227 Techniken und 479 Subtechniken.
Die 15 Taktiken der Enterprise-Matrix
In Version 20 gliedert sich die Enterprise-Matrix in 15 Taktiken: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration und Impact. Bis Version 18 waren es 14 Taktiken, damals noch mit Defense Evasion an der Stelle von Stealth und Defense Impairment. Wer ältere Berichte oder Auswertungen nutzt, sollte deshalb auf die Version achten.
Wofür wird ATT&CK genutzt?
- Erkennung planen: Ein Security Operations Center oder SIEM-Team ordnet seine Regeln Techniken zu und sieht so, wo Lücken bestehen.
- Threat Intelligence einordnen: Laut MITRE gibt ATT&CK eine gemeinsame Sprache, um Bedrohungsinformationen zu strukturieren und zu vergleichen.
- Tests gestalten: Penetrationstests und Red-Team-Übungen spielen gezielt Techniken nach, die für die eigene Branche relevant sind.
- Abdeckung zeigen: Der kostenlose ATT&CK Navigator markiert in der Matrix, welche Techniken erkannt oder verhindert werden.
Praxis für KMU und Gemeinden
Niemand muss alle Techniken abdecken. Sinnvoller ist der Blick auf häufige Einstiegswege: Phishing (T1566), das Ausnutzen von Diensten am Netzwerkrand (T1190), gültige, aber gestohlene Konten (T1078) und externe Fernzugänge (T1133). Für Push-Spam auf das Smartphone gibt es mit T1621 eine eigene Technik, siehe MFA-Fatigue. Fragen Sie Ihren Dienstleister, welche dieser Techniken Ihre Schutzmaßnahmen erkennen oder verhindern, und lassen Sie es sich an der Matrix zeigen.
Grenzen
ATT&CK ist ein Nachschlagewerk, keine Checkliste und kein Reifegradmodell. Eine markierte Technik in der Matrix sagt nicht, wie gut sie erkannt wird. Die Taktiken sind bewusst ungeordnet; ein echter Angriff folgt keiner festen Reihenfolge. Laut MITRE ergänzen sich ATT&CK und das Phasenmodell der Cyber Kill Chain, wobei ATT&CK die feinere Beschreibungsebene liefert.
Bezug zu TOMORIS
EXPERTS Cyber Security priorisiert Schutzmaßnahmen nach Wirkung und bereitet Erkennung, Meldung und Reaktion gemeinsam mit Ihrem Team vor. Trainings zu typischen Angriffswegen bietet UNIVERSITY Cyber Security.