Zuletzt aktualisiert: 27. August 2026

Cyber Threat Intelligence (CTI) und Digital Risk Protection (DRP): Unterschiede und Zusammenspiel

Das Wichtigste in Kürze

• Cyber Threat Intelligence (CTI) verdichtet Bedrohungsinformationen zu Kontext, der konkrete Entscheidungen unterstützt. Dazu gehören Erkenntnisse über Akteure, Kampagnen, Infrastruktur, Schwachstellen und Taktiken, Techniken und Verfahren.
• Digital Risk Protection (DRP) überwacht externe digitale Risiken mit Bezug zu definierten Schutzobjekten wie Marken, Domains, Führungskräften oder Zugangsdaten. Digital Risk Protection Services, kurz DRPS, können zusätzlich Validierung, Alarmierung und Reaktionsunterstützung anbieten.
• CTI ist eine Informations- und Analysefunktion. DRP ist stärker auf bestimmte externe Risikoarten und deren Bearbeitung ausgerichtet. Produktkategorien und Leistungsgrenzen unterscheiden sich je nach Anbieter.
• External Attack Surface Management (EASM) ergänzt beide Perspektiven um die Frage, welche zur Organisation gehörenden oder fachlich relevanten Systeme aus dem Internet sichtbar und erreichbar sind.
• Der Nutzen entsteht nicht durch möglichst viele Feeds oder Alarme. Entscheidend sind klare Intelligence-Anforderungen, nachvollziehbare Evidenz, zuständige Bearbeiter und messbare Reaktionen.

Was Cyber Threat Intelligence von reinen Bedrohungsdaten unterscheidet

Cyber Threat Intelligence wird häufig verkürzt als Threat Intelligence bezeichnet. Gemeint ist nicht jede Liste verdächtiger IP-Adressen oder Datei-Hashes. Das National Institute of Standards and Technology beschreibt Threat Intelligence als Bedrohungsinformation, die zusammengeführt, verarbeitet, analysiert, interpretiert oder angereichert wurde, damit sie den notwendigen Kontext für Entscheidungen liefert. Die Unterscheidung zwischen Daten, Information und Intelligence ist für die Praxis entscheidend.

Ein einzelner technischer Indikator kann auf eine bekannte Command-and-Control-Infrastruktur hinweisen. Ohne Zeitpunkt, Quelle, Vertrauensniveau und Bezug zur eigenen Umgebung bleibt seine Aussagekraft begrenzt. CTI verbindet solche Indikatoren beispielsweise mit einer Kampagne, den beobachteten Zielen, eingesetzten Werkzeugen und möglichen Gegenmaßnahmen. Das Ergebnis sollte eine konkrete Frage beantworten: Welche Bedrohungen sind für unsere Branche, Technologien oder exponierten Systeme relevant, und welche defensive Entscheidung folgt daraus?

Typische Inhalte sind Indicators of Compromise, Angreiferinfrastruktur, Malware-Familien, Schwachstellen, Exploits, Kampagnen und Tactics, Techniques and Procedures, kurz TTPs. MITRE ATT&CK stellt für beobachtetes Angreiferverhalten eine gemeinsame Wissensbasis und Taxonomie bereit. ATT&CK ist jedoch weder ein Live-Feed noch eine Priorisierung für ein bestimmtes Unternehmen. Erst der Abgleich mit der eigenen Umgebung macht aus dem allgemeinen Wissen einen handlungsbezogenen Kontext.

Die Zielgruppe bestimmt die Form der Intelligence. Die ENISA unterscheidet in ihrer Methodik strategische, taktische und operative Adressaten. Strategische Analysen unterstützen Entscheidungen über Bedrohungsentwicklungen, Investitionen und Risikoschwerpunkte. Taktische Informationen beschreiben häufig TTPs und helfen etwa Detection Engineering, Threat Hunting und Incident Response. Operative Informationen beziehen sich stärker auf bevorstehende oder laufende Aktivitäten. Technische Indikatoren können diese Ebenen unterstützen, sind aber oft kurzlebiger als Erkenntnisse über Angreiferverhalten.

Ein belastbarer CTI-Prozess beginnt daher mit Intelligence-Anforderungen. Ein Hersteller mit internationaler Lieferkette benötigt andere Antworten als ein kommunaler Versorger oder ein SaaS-Anbieter. Geeignete Fragen lauten beispielsweise: Welche Akteure greifen derzeit unsere Branche in Europa an? Welche unserer internetexponierten Technologien kommen in aktuellen Kampagnen vor? Welche neuen Phishing-Infrastrukturen imitieren unsere Marke? Ohne solche Anforderungen wächst die Sammlung, ohne dass ihre operative Bedeutung steigt.

Was Digital Risk Protection abdeckt

Digital Risk Protection richtet den Blick auf externe digitale Risiken, die sich auf eine Organisation, ihre Marken, Beschäftigten oder Kunden beziehen. Google beschreibt DRP als eine Kombination aus Produkten und Services zum Schutz wichtiger Assets und Daten vor externen Bedrohungen. Diese Marktbeschreibung ist nicht normiert. Deshalb muss der konkrete Leistungsumfang eines Angebots einzeln geprüft werden.

Typische Schutzobjekte sind Unternehmens- und Produktnamen, offizielle Domains, Markenbegriffe, Führungskräfte, E-Mail-Adressen und besonders relevante digitale Dienste. Aus diesen Ausgangspunkten sucht ein DRP-Dienst beispielsweise nach täuschend ähnlichen Domains, gefälschten Anmeldeseiten, Markenmissbrauch, veröffentlichten Zugangsdaten, betrügerischen Profilen oder Hinweisen auf Datenlecks. Manche Angebote beziehen App-Stores, soziale Netzwerke, offene Plattformen sowie schwer zugängliche Quellen ein. Andere beschränken sich auf Domain- und Webbeobachtung.

Digital Risk Protection Services gehen häufig über die reine Erkennung hinaus. Sie prüfen Funde, dokumentieren Evidenz, priorisieren das Risiko und unterstützen je nach Vertrag bei Sperrung, Takedown, Benachrichtigung oder Eskalation. Eine ähnlich aussehende Domain ist zunächst nur ein Kandidat. Für eine belastbare Bewertung sind unter anderem Registrierung, DNS-Konfiguration, Hosting, Inhalte, Zertifikate und beobachtetes Verhalten relevant. Auch legitime Reseller, Kampagnenagenturen oder Namensüberschneidungen können Treffer erzeugen.

DRP darf nicht pauschal mit Dark-Web-Monitoring gleichgesetzt werden. Ein Anbieter kann Untergrundforen und Leak-Plattformen beobachten, ein anderer nicht. Ebenso wenig folgt aus einem Fund automatisch, wer dahintersteht oder ob bereits ein Angriff stattgefunden hat. Herkunft, Zugriffsrecht, Aktualität und Beweiskette der Daten gehören daher in die Leistungsprüfung. Bei personenbezogenen Daten und kompromittierten Zugangsdaten müssen zusätzlich Datenschutz, Zugriffsschutz und definierte Löschfristen berücksichtigt werden.

Der Begriff Digital Threat Monitoring wird teilweise für einen Ausschnitt von DRP verwendet. Brand Protection konzentriert sich meist stärker auf Marken- und Identitätsmissbrauch. External Threat Intelligence Services können wiederum CTI, Monitoring und Analystenleistungen bündeln. Diese Begriffe sind keine verlässlichen Synonyme. Aussagekräftiger sind die tatsächlich beobachteten Quellen, Schutzobjekte, Analyseleistungen und Reaktionswege.

CTI und DRP im direkten Vergleich

CTI und DRP überschneiden sich bei externen Bedrohungssignalen. Der Ausgangspunkt ist jedoch unterschiedlich. CTI organisiert Informationen über Bedrohungen und stellt Kontext für Entscheidungen bereit. DRP beginnt typischerweise mit den zu schützenden Entitäten einer Organisation und sucht nach externen Risiken mit direktem Bezug zu diesen Entitäten.

Ein Beispiel verdeutlicht das Zusammenspiel. CTI meldet eine Kampagne, bei der eine Gruppe gefälschte Microsoft-365-Anmeldeseiten gegen eine bestimmte Branche einsetzt. DRP findet eine neu registrierte Domain, die den Namen des eigenen Unternehmens imitiert und eine entsprechende Login-Seite ausliefert. CTI erklärt Vorgehensweise und möglichen Kampagnenbezug; DRP liefert den organisationsspezifischen Fund und stößt die Bearbeitung an. Erst weitere Evidenz zeigt, ob beide Beobachtungen tatsächlich zur selben Kampagne gehören.

In einem zweiten Fall veröffentlicht ein Hersteller eine kritische Schwachstelle. CTI ergänzt Informationen über aktive Ausnutzung und bekannte Angreiferverfahren. Diese Information hilft bei der Priorisierung, beantwortet aber nicht, ob ein eigenes System betroffen ist. Dafür sind Asset-, Versions- und Expositionsdaten erforderlich. Hier berührt CTI das Vulnerability Management und die externe Angriffsflächenanalyse.

Wie CTI, DRP und EASM zusammenwirken

Die drei Perspektiven lassen sich über ihre Leitfragen trennen. CTI liefert Kontext zu Bedrohungen und Angreiferverhalten. DRP erkennt mögliche Angriffe oder Missbrauch rund um definierte externe Schutzobjekte. EASM untersucht, welche Systeme und Dienste einer Organisation aus dem Internet auffindbar, erreichbar und technisch auffällig sind. Der Beitrag EASM, CAASM und DRPS im Vergleich erläutert die angrenzenden Produktkategorien ausführlicher.

Ein EASM-Befund kann beispielsweise einen unbekannten öffentlich erreichbaren Host zeigen. CTI kann dazu Kontext liefern, wenn die beobachtete Technologie aktuell von bestimmten Akteuren ausgenutzt wird. DRP kann parallel erkennen, dass eine fremde Domain den Dienst oder die Marke imitiert. Diese Befunde dürfen nicht automatisch zu einem gemeinsamen Angriffspfad verbunden werden. Sie benötigen eine nachvollziehbare Zuordnung, einen verantwortlichen Owner und eine fachliche Validierung.

LocateRisk konzentriert sich auf öffentlich beobachtbare technische Expositionen, Security Ratings und die wiederkehrende Bewertung eigener Organisationen oder Lieferanten. Eine EASM-Analyse kann Domains, Hosts, Dienste und technische Merkmale aus einer Outside-in-Perspektive erfassen. Die Zuordnung lässt sich anhand entdeckter Beziehungen erweitern und anschließend durch bestätigten Scope, Whitelists oder fachliche Auswahl steuern.

Bedrohungs- und Schwachstelleninformationen können solche technischen Befunde priorisieren. Der bei LocateRisk verwendete Ansatz Preemptive Intelligence verbindet frühe Schwachstellenhinweise mit der beobachtbaren Angriffsfläche. Das ist keine vollständige CTI-Funktion und kein allgemeiner DRP-Dienst. LocateRisk beansprucht in diesem Zusammenhang weder ein breites Monitoring von Untergrundforen noch Takedown-Leistungen.

Für Lieferanten entsteht eine weitere Grenze: Externe Daten geben Hinweise, aber selten den internen Geschäfts- und Kontrollkontext. Ein DRP- oder EASM-Signal kann eine Nachfrage, eine priorisierte Prüfung oder eine vertraglich geregelte Eskalation auslösen. Es ersetzt nicht die Bestätigung durch den Dienstleister. CTI kann helfen, branchen- oder technologiespezifische Bedrohungen bei der Auswahl kritischer Lieferanten stärker zu gewichten.

Ein Arbeitsablauf vom Signal bis zur Reaktion

Der erste Schritt ist eine begrenzte Zahl klarer Anforderungen. Statt „alle Bedrohungen beobachten“ sollte das Team festlegen, welche Entscheidungen unterstützt werden sollen. Beispiele sind die schnelle Erkennung von Phishing-Domains, die Priorisierung aktiv ausgenutzter Schwachstellen auf externen Systemen oder ein monatliches Lagebild für besonders exponierte Geschäftsbereiche.

Danach wird der Scope definiert. Für DRP umfasst er Marken, Domains, Produkte, relevante Personen und erlaubte Varianten. Für CTI gehören Branche, Regionen, Technologien, Bedrohungsakteure und Informationsbedürfnisse dazu. EASM beginnt mit bestätigten Unternehmensbezügen und kann den Scope anhand beobachteter Beziehungen erweitern. Automatisch gefundene Kandidaten benötigen einen Zuordnungsstatus; bestätigte Assets können anschließend in eine Whitelist oder eine fachlich zugeschnittene Sicht übernommen werden.

Im dritten Schritt werden Quellen und Daten eingesammelt. Dazu können Behördenhinweise, Hersteller-Advisories, Informationsaustauschgruppen, kommerzielle Feeds, eigene Vorfälle, Domain- und Zertifikatsdaten sowie anbieterabhängige externe Quellen gehören. Für jede Quelle sollten Aktualität, Abdeckung, Herkunft, Nutzungsrecht und bekannte Grenzen dokumentiert sein. Eine hohe Treffermenge ist kein Qualitätsnachweis.

Es folgen Normalisierung, Deduplizierung und Anreicherung. STIX bietet ein standardisiertes Modell für den Austausch strukturierter Threat-Intelligence-Objekte; TAXII beschreibt einen Transportmechanismus. Nicht jeder Prozess benötigt diese Standards. Bei mehreren Quellen und Werkzeugen können sie jedoch die technische Integration erleichtern. Das Traffic Light Protocol von FIRST unterstützt die Kennzeichnung, wie weit Informationen geteilt werden dürfen. TLP ersetzt keine vertragliche oder rechtliche Prüfung.

Vor einer Reaktion steht die Validierung. Analysten prüfen Quelle, Zeitbezug, Belege und mögliche Fehlzuordnungen. Sie kennzeichnen, ob ein Zusammenhang bestätigt, wahrscheinlich oder offen ist. Anschließend wird priorisiert: Geschäftskritikalität, öffentliche Erreichbarkeit, Angriffswahrscheinlichkeit, mögliche Auswirkungen und verfügbare Gegenmaßnahmen fließen zusammen. Ein CTI-Bericht ohne Asset-Bezug kann strategisch relevant sein, aber keine sofortige technische Maßnahme rechtfertigen.

Jeder priorisierte Fall braucht einen Bearbeiter und eine Frist. Phishing-Domains gehen möglicherweise an Brand Protection und Incident Response, exponierte Systeme an den Asset Owner, kompromittierte Konten an Identity und SOC. Nach der Maßnahme wird geprüft, ob der Zustand verändert wurde. Diese Rückmeldung verbessert Suchmuster, Priorisierungsregeln und künftige Intelligence-Anforderungen.

Auswahlkriterien, Kennzahlen und typische Grenzen

Vor der Auswahl eines CTI- oder DRP-Angebots sollte das Unternehmen den konkreten Engpass benennen. Fehlt Bedrohungskontext für Detection und Priorisierung, steht CTI im Vordergrund. Werden Marken- und Identitätsmissbrauch zu spät erkannt, passt ein DRP-Anwendungsfall. Fehlt die Sicht auf eigene öffentlich erreichbare Systeme, ist EASM näher am Problem. Ein Anbieter kann mehrere Bereiche abdecken, doch der gemeinsame Produktname beweist keine funktionale Tiefe.

Wichtige Prüffragen betreffen Quellenabdeckung, regionale und sprachliche Reichweite, Aktualisierungsfrequenz, historische Daten, Suchlogik, Evidenzdarstellung und den Umgang mit Fehlalarmen. Ebenso relevant sind Exportmöglichkeiten, API, SIEM- und Ticket-Integration, Rollenmodell, Datenstandort und Aufbewahrungsfristen. Bei DRP kommen Takedown-Berechtigung, Nachweisführung, erreichbare Plattformen und Reaktionszeiten hinzu. Bei CTI sollte erkennbar sein, wie Analysen entstehen und welches Vertrauensniveau Aussagen besitzen.

Geeignete Kennzahlen verbinden Signale mit Ergebnissen. Für DRP sind Zeit bis zur Validierung, Anteil bestätigter Funde, Zeit bis zur Sperrung oder Entfernung und Wiederholungsquote nützlich. Für CTI eignen sich der Anteil beantworteter Intelligence-Anforderungen, die Nutzung in Detection- oder Risikoprozessen, Zeit bis zur operativen Bereitstellung und dokumentierte Entscheidungen. Für EASM kommen bestätigte neue Assets, Zeit bis zur Owner-Zuordnung und behobene Expositionen hinzu.

Die Zahl gelieferter Indikatoren, beobachteter Quellen oder erzeugter Alarme sollte nicht allein als Erfolg gelten. Solche Mengen können steigen, ohne die Sicherheit zu verbessern. Aussagekräftiger ist, ob relevante Fälle schneller erkannt, korrekt zugeordnet und innerhalb definierter Fristen bearbeitet wurden. Auch Fehlalarme und zurückgenommene Zuordnungen gehören in die Auswertung.

Keine der Kategorien besitzt automatisch Einblick in jede interne Abhängigkeit oder Schutzmaßnahme. CTI kann falsch, veraltet oder zu allgemein sein. DRP kann legitime Inhalte als verdächtig einstufen oder geschlossene Quellen nicht abdecken. EASM kann Beziehungen und Technologien nur anhand beobachtbarer Evidenz zuordnen. Ein belastbarer Prozess dokumentiert diese Unsicherheit, kombiniert externe Hinweise mit internem Kontext und prüft die Wirkung der Maßnahmen.

Häufige Fragen

---

Was ist der wichtigste Unterschied zwischen CTI und DRP?

CTI analysiert Bedrohungsinformationen und schafft Kontext für Entscheidungen. DRP sucht nach externen digitalen Risiken mit Bezug zu definierten Schutzobjekten wie Marken, Domains oder Zugangsdaten und unterstützt deren Bearbeitung. Angebote können beide Funktionen kombinieren.

---

Ist Digital Risk Protection dasselbe wie Dark-Web-Monitoring?

Nein. Dark-Web- oder Untergrundquellen können Teil eines DRP-Angebots sein, sind aber nicht automatisch enthalten. Andere wichtige Bereiche sind ähnliche Domains, Phishing-Seiten, Markenmissbrauch, offengelegte Zugangsdaten oder betrügerische Profile.

---

Was ist der Unterschied zwischen CTI und EASM?

CTI liefert Kontext zu Bedrohungen, Akteuren, Kampagnen und Vorgehensweisen. EASM untersucht die öffentlich sichtbare technische Angriffsfläche einer Organisation. CTI kann EASM-Befunde priorisieren, belegt aber nicht automatisch, dass ein eigenes System betroffen ist.

---

Braucht jedes Unternehmen eine eigene CTI-Plattform?

Nein. Der Bedarf hängt von Intelligence-Anforderungen, Teamgröße, bestehender Tool-Landschaft und Risikoprofil ab. Viele Unternehmen können mit kuratierten Behörden- und Herstellerinformationen sowie klaren internen Prozessen beginnen. Eine zusätzliche Plattform lohnt sich erst, wenn sie konkrete Informations- oder Integrationslücken schließt.

---

Welche Kennzahlen zeigen den Nutzen von CTI und DRP?

Geeignet sind unter anderem Zeit bis zur Validierung, Anteil bestätigter Funde, umgesetzte Detection- oder Schutzmaßnahmen, Zeit bis zur Sperrung und der Anteil beantworteter Intelligence-Anforderungen. Die reine Zahl von Feeds, Indikatoren oder Alarmen ist kein belastbarer Erfolgsnachweis.

Sie möchten zunächst verstehen, welche technischen Risiken von außen an Ihrer Organisation oder bei kritischen Lieferanten sichtbar sind? Starten Sie mit einer IT-Risikoanalyse von LocateRisk und ordnen Sie die Ergebnisse anschließend in Ihre CTI-, Exposure- und Risikoprozesse ein.