Webcast-Aufzeichnung:
„It’s the Geopolitics, stupid!“ – Die Rolle geopolitischer Faktoren im Bereich der Cyber Threat Intelligence

Vielen Dank für Ihr großes Interesse an unserem Webcast „It’s the Geopolitics, stupid!“ – Die Rolle geopolitischer Faktoren im Bereich der Cyber Threat Intelligence, der am 15. Januar 2026 stattfand. Für alle, die nicht live teilnehmen konnten oder einzelne Inhalte erneut nachvollziehen möchten, stellen wir Ihnen ab sofort die vollständige Aufzeichnung sowie ergänzende Materialien zur Verfügung:

Ihre Fragen, unsere Antworten: Q&A zum Webcast

Während des Webcasts wurden relevante Fragen gestellt, die wir für Sie gesammelt und beantwortet haben:

1.  Zum Thema „Attacker Controlled Infrastructure“, trifft es doch vermutlich auch, dass Angriffe aus großen Cloud-Netzen quasi immer leichter durchsetzbar / schwieriger zu blocken sind? So leicht wie legitime Accounts übernommen werden und anschließend missbraucht werden können.

A:  Ja, das trifft zu. Angriffe aus großen Cloud- und CDN-Netzen sind oft schwerer zu erkennen und zu blockieren, da Angreifer gezielt legitime, vertrauenswürdige Infrastruktur missbrauchen. Neben klassischen Schwachstellen bei Cloud-Anbietern – die bei Ausnutzung potenziell viele Kunden gleichzeitig betreffen – spielt vor allem die Nutzung „legitimer“ Cloud-Services eine große Rolle. Dazu zählen etwa Content-Delivery-Netzwerke oder SaaS-Plattformen, die unbewusst als Angriffsplattform dienen. Dieses Vorgehen wird häufig als „Living off the Cloud Infrastructure“ bezeichnet und funktioniert teilweise sogar ohne die Übernahme privilegierter Accounts, da Angreifer vorhandene, reguläre Cloud-Funktionen für ihre Zwecke einsetzen.

2.  Gibt es Erkenntnisse, warum Russland die Satellitenkommunikation von Elon Musk nicht stört?

A:  Zu diesem konkreten Fall liegen keine belastbaren Erkenntnisse vor, warum Russland die Satellitenkommunikation von Starlink nicht gezielt stört. Generell zeigt sich jedoch, dass bei öffentlich bekannten Schwachstellen in großen, zentralen Infrastrukturen staatliche wie auch kriminelle Akteure sehr schnell aktiv werden und diese massenhaft ausnutzen. Diese Dynamik erschwert häufig die eindeutige Attribution von Angriffen. Unabhängig vom konkreten Szenario unterstreicht dies die wachsende Bedeutung robuster Sicherheitsmechanismen, insbesondere im Bereich Identity- und Access-Management sowie einer starken Authentifizierung.

3.  Wie relevant ist die Gefahr geopolitisch motivierter Sanktionen (z.B. aus den USA) für eine Cybersicherheitsstrategie? Der Fall des Internationalen Strafgerichtshofs zeigt, wie politische Entscheidungen plötzlich den Zugang zu zentralen digitalen Infrastrukturen beeinflussen können. Sollen Organisationen solche geopolitischen Risiken bereits in ihrer Notfallplanung berücksichtigen?

A: Die Gefahr geopolitisch motivierter Sanktionen ist hoch relevant für moderne Cybersicherheitsstrategien. Abhängigkeiten von globalen Cloud- und Plattformanbietern werfen zentrale Fragen der digitalen Souveränität auf – insbesondere, wer im Ernstfall Zugänge sperren oder Dienste abschalten kann. Beispiele wie das Sperren von Accounts durch große Anbieter zeigen, dass politische Entscheidungen unmittelbare Auswirkungen auf den Betrieb kritischer digitaler Infrastrukturen haben können. Organisationen sollten solche geopolitischen Risiken daher unbedingt in ihre Notfall- und Resilienzplanung einbeziehen und frühzeitig tragfähige Alternativen sowie Exit-Strategien vorbereiten.

4.  Wäre Threat Intel aus den USA eher einseitig und für europäische Firmen ungeeignet?

A: Threat Intelligence aus den USA ist keineswegs grundsätzlich einseitig oder für europäische Unternehmen ungeeignet – im Gegenteil, sie ist aktuell unverzichtbar, da viele führende Threat-Research-Anbieter dort ansässig sind und qualitativ hochwertige sowie schnelle Erkenntnisse liefern. Sie sollte jedoch nicht die einzige Informationsquelle sein. Politische Rahmenbedingungen und strategische Interessen können Einfluss auf Abdeckung und Schwerpunktsetzung nehmen, etwa wenn bestimmte Angreifergruppen weniger berücksichtigt werden. Für europäische Organisationen ist daher eine bewusste Kuratierung entscheidend: Threat Intelligence sollte regelmäßig überprüft, mit weiteren internationalen, staatlichen und zivilgesellschaftlichen Quellen trianguliert und um regionale europäische Perspektiven ergänzt werden, um blinde Flecken zu vermeiden und ein ausgewogenes Lagebild zu erhalten.

5.  Gibt es Erkenntnisse, ob die Intel-Prozessoren manipuliert werden? Micro-code Manipulation z.B. per UDP-Paket an die Ethernetschnittstelle (Patch-Mechanismus für Intel-Prozessoren)

A: Für praktisch beobachtete, technisch bestätigte Manipulationen von Intel-Prozessoren – etwa durch bösartige Microcode-Updates oder netzwerkbasierte Eingriffe über Schnittstellen – gibt es bislang keine belastbaren Belege. Das Thema ist jedoch nicht rein theoretisch: Seit Jahren existieren Forschungsarbeiten und Proof-of-Concepts zu Angriffen auf CPU- und Hardware-Ebene sowie regelmäßig veröffentlichte Hardware-Schwachstellen, die anschließend über Microcode-Updates mitigiert werden.
Ergänzend ist zu erwähnen, dass im Oktober 2024 von chinesischer Seite öffentlich Vorwürfe erhoben wurden, Intel habe Backdoor-Funktionalitäten in Prozessoren integriert, die US-Spionage ermöglichen sollen. Diese Anschuldigungen sind politisch hoch aufgeladen und wurden bislang nicht unabhängig verifiziert. Sie verdeutlichen jedoch, dass Vertrauen in Hardware, Lieferkettensicherheit sowie digitale Souveränität zunehmend Teil sicherheitspolitischer Debatten sind.

6.  Inwieweit setzt sich die KI in der Cybersicherheit schon durch (z. B. zur Detektion von Angriffen und somit auch zur Durchführung von Angriffen)? Bekannte aktuelle Beispiele?

A: KI wird in der Cybersicherheit zunehmend eingesetzt, sowohl zur Verteidigung als auch zur Durchführung von Angriffen. Auf der Verteidigungsseite hilft sie beispielsweise bei der automatisierten Analyse von Angriffsmustern und der Beschleunigung von Erkennungsprozessen. Auf der Angreiferseite zeigen aktuelle Beispiele wie die Lamehak-Malware (APT28) oder Berichte zu chinesischen und nordkoreanischen Angriffen, dass KI-Agenten genutzt werden, um Aufgaben wie Code-Analyse, Kontoüberprüfung oder Angriffsschritte zu automatisieren und zu koordinieren. Dabei handelt es sich meist um unterstützende, teilautonome Prozesse, die menschliche Operatoren entlasten und beschleunigen, weniger um vollautonome, eigenständig agierende KI-Angreifer. Gleichzeitig gibt es noch Defizite, etwa wenn KI bei der Bewertung von Angriffserfolgen „halluziniert“ und Ergebnisse falsch interpretiert. Insgesamt ist der Einsatz von KI in der Cyberabwehr und bei Angriffen ein wachsendes, dynamisches Feld, das aktuell verstärkt beobachtet und weiterentwickelt wird.

Jetzt kostenfreies Whitepaper sichern

Passend zum Webcast stellen wir Ihnen außerdem unser zentrales TI-Whitepaper aus der vergangenen Threat-Intelligence-Kampagne zur Verfügung – kompakt aufbereitet und direkt anwendbar für Ihre strategische Planung:

Sie möchten mehr erfahren?

Unsere Experten stehen Ihnen gerne für eine persönliche Beratung zur Verfügung.

→  Jetzt Beratungstermin vereinbaren

Wir freuen uns, wenn wir Sie auch bei zukünftigen Veranstaltungen begrüßen dürfen.