Betrieb Praktisch
Bedrohungsmodellierung für eine kleine Plattform
Wer es tatsächlich auf Ihren Dienst abgesehen haben könnte, in welcher Reihenfolge, und welche davon eine Hosting-Entscheidung betrifft. Bei den meisten ist das nicht der Fall — genau das zu wissen ist der Sinn der Übung.
13 Min. Lesezeit Veröffentlicht am 2. Mai 2026 Geprüft vor 1 Monat
Bedrohungsmodellierung hat den Ruf, ein Unternehmensritual mit Diagrammen zu sein, die niemand liest. Das muss nicht so sein. Für eine kleine Plattform dauert die nützliche Version eine Stunde, liefert eine geordnete Liste, und ihr wichtigstes Ergebnis ist zu wissen, welche Risiken Ihre Infrastrukturentscheidungen überhaupt betreffen — denn bei den meisten lautet die ehrliche Antwort: keines.
Reihenfolge zählt mehr als Vollständigkeit
Der klassische Fehler ist eine lange Liste von allem, was schiefgehen könnte, wobei jeder Punkt als gleich dringend behandelt wird. Das führt zu Lähmung und am Ende trotzdem zu einer aus dem Bauch heraus getroffenen Entscheidung. Eine geordnete Liste von sieben Punkten ist mehr wert als eine erschöpfende Liste von vierzig, weil Sie ohnehin nur auf die ersten drei reagieren und die übrigen nie erreichen werden.
Ordnen Sie nach Wahrscheinlichkeit × Kosten für Sie, nicht danach, wie alarmierend das Szenario klingt. Ein staatlicher Gegner ist der beängstigendste Punkt jeder Liste und für fast jede kleine Plattform der unwahrscheinlichste — während ein Leck von Zugangsdaten durch einen ehemaligen Auftragnehmer unspektakulär, äußerst häufig und meist katastrophal ist.
Sieben Gegner, nach Wahrscheinlichkeit geordnet
| Gegner | Wahrscheinlichkeit | Hosting hilft | Was tatsächlich hilft |
|---|---|---|---|
| Sie, an einem schlechten Tag | Sicher | Nein | Sicherungen, aus denen Sie tatsächlich schon einmal wiederhergestellt haben, und ein Änderungsprozess für alles, was Authentifizierung oder DNS betrifft. Die wahrscheinlichste Ursache für Ihren schlimmsten Ausfall sind Sie selbst. |
| Automatisiertes Scannen | Ständig | Nein | Patches einspielen, keine Passwort-Authentifizierung, keine Standardzugangsdaten. Das ist Hintergrundrauschen; es richtet sich nicht gegen Sie persönlich, und es hört nie auf. |
| Kompromittierung von Zugangsdaten | Hoch | Nein | Ein hardwarebasierter zweiter Faktor, API-Tokens mit begrenztem Umfang, und der Entzug von Zugriffsrechten am Tag des Ausscheidens statt im Quartal danach. |
| Ein Beschwerdeführer mit einem Formular | Hoch | Ja | Das ist der einzige Fall, den der Rechtsraum Ihres Hosting-Anbieters tatsächlich betrifft: ob eine bloße Korrespondenz allein ausreicht, um Ihren Dienst lahmzulegen. |
| Volumetrischer Angriff | Mittel | Teilweise | Filterung vorgelagert (upstream), und insbesondere ein Anbieter, der filtert, statt Sie zum Selbstschutz per Null-Routing abzuschalten. |
| Ein gezielter Eindringling | Niedrig | Nein | Segmentierung, minimale Rechtevergabe, verschlüsselte Daten im Ruhezustand und Protokolle an einem Ort, an dem der Eindringling sie nicht verändern kann. |
| Ein staatlicher Akteur | Sehr niedrig | Teilweise | Der Rechtsraum bestimmt den rechtlichen Weg, nicht den technischen. Wenn das wirklich Teil Ihres Modells ist, holen Sie sich rechtlichen Rat statt eines Hosting-Tarifs. |
Welche davon eine Hosting-Entscheidung betrifft
Zwei von sieben, und teilweise ein dritter. Dieses Verhältnis ist für sich genommen das nützlichste Ergebnis der Übung, und deshalb spart es mehr Geld, sie vor der Wahl eines Anbieters durchzuführen, als jede Vergleichstabelle.
Hosting ändert tatsächlich: ob eine Beschwerde Ihren Dienst entfernen kann, ohne dass ein Gericht eingeschaltet wird, und wie viele verschiedene Parteien in der Lage sind, Ihnen aus Gründen zu kündigen, die Sie nie zu sehen bekommen.
Hosting ändert teilweise: wie ein volumetrischer Angriff gehandhabt wird — vorgelagert gefiltert, oder per Null-Routing abgeschaltet, um die übrigen Kunden des Anbieters zu schützen. Fragen Sie schriftlich nach, welches von beidem gilt, denn die beiden Begriffe werden oft synonym verwendet, bedeuten für Sie aber das genaue Gegenteil.
Hosting ändert nichts an: Ihren eigenen Fehlern, Scanning, der Kompromittierung von Zugangsdaten oder einem Eindringling, der bereits im System ist. Vier der sieben, darunter die ersten drei.
Die Ein-Stunden-Version
- Listen Sie auf, was Sie tatsächlich besitzen (10 Min.). Keine Systeme — Daten. E-Mail-Adressen von Nutzern, Zahlungsdaten, private Nachrichten, hochgeladene Dateien, Zugangsdaten zu anderen Diensten. Notieren Sie, was am schlimmsten zu verlieren wäre und was am schlimmsten zu leaken wäre; das ist selten dasselbe.
- Listen Sie auf, wer jeweils daran interessiert wäre (10 Min.). Seien Sie konkret. „Hacker“ ist kein Gegner; „jemand, der Zugangsdaten-Dumps kauft, um Konten weiterzuverkaufen“ ist einer, und das erfordert andere Abwehrmaßnahmen.
- Ordnen Sie nach Wahrscheinlichkeit × Kosten (10 Min.). Ignorieren Sie, wie dramatisch etwas klingt. Die unspektakulären Punkte dominieren.
- Schreiben Sie für die ersten drei die erste Stunde auf (20 Min.). Was Sie in den ersten sechzig Minuten jeweils tun würden. Wenn Sie das nicht beantworten können, ist genau das der Befund — und er ist wertvoller als die Rangliste selbst.
- Markieren Sie, welche von Infrastrukturentscheidungen betroffen sind (10 Min.). In der Regel zwei der obersten fünf. Jetzt wissen Sie, was Ihre Hosting-Entscheidung tatsächlich bewirkt.
Wiederholen Sie es, wenn sich etwas Grundlegendes ändert — ein neuer Datentyp, eine neue Integration, jemand verlässt das Unternehmen — statt nach festem Zeitplan. Kalendergesteuerte Überprüfungen werden übersprungen; ereignisgesteuerte werden durchgeführt, weil ein konkreter Anlass vor Ihnen liegt.
Drei Fehler, die die ganze Übung nutzlos machen
Den Gegner modellieren, den Sie interessant finden. Über die Fähigkeiten eines Nationalstaats nachzudenken macht mehr Spaß als über ein geleaktes API-Token in einem öffentlichen Repository. Eines von beidem ist fast jedem widerfahren, den Sie kennen. Ordnen Sie ehrlich, und die langweiligen Punkte gewinnen — genau das ist der Sinn.
Eine Maßnahme mit einem Ergebnis verwechseln. „Wir verwenden Verschlüsselung“ ist keine Abschwächung, solange Sie nicht sagen können, was sie verhindert und was nicht. Die Festplattenvollverschlüsselung auf einem laufenden Server schützt vor einer Festplatte, die das Gebäude verlässt; sie bewirkt nichts gegen einen Eindringling mit einer Shell auf der laufenden Maschine, weil das Volume bereits entsperrt ist.
Ein Dokument statt einer Entscheidung erzeugen. Wenn sich nach der Übung nichts geändert hat — keine Berechtigung entzogen, keine Sicherung getestet, keine Frage an den Anbieter gestellt —, war es keine Bedrohungsmodellierung, sondern ein Nachmittag. Das Ergebnis sollten drei Maßnahmen sein, denen jeweils ein Name zugeordnet ist.
Wenn die Zeile zum Beschwerdeführer diejenige ist, die Ihre Tabelle dominiert, lautet die nächste Frage, welcher Rechtsraum infrage kommt und wie sich überprüfen lässt, was ein Anbieter darüber behauptet — sechs Fragen, an einem Nachmittag zu beantworten. Erscheint sie überhaupt nicht in Ihren obersten fünf, brauchen Sie uns wahrscheinlich nicht, und das ist ein durchaus gutes Ergebnis für eine Stunde Arbeit.
Geschrieben von den Ingenieuren, die die Plattform betreiben, und zuletzt überprüft vor 1 Monat. Wenn hier etwas falsch ist oder veraltet, sagen Sie es über das Kundenpanel — von dort stammt etwa die Hälfte davon.
