Im August 2026 kündigte Google eine umfassende Reform im Bereich der Cybersicherheit an, die die grundlegenden Prinzipien zur Identifizierung digitaler Bedrohungen betrifft. Das Unternehmen verzichtete auf das veraltete Numerierungssystem (APT1, APT28 usw.) und setzt stattdessen auf ein neues, intuitiveres und einprägsameres System aus Codenamen. Diese Entscheidung der Google Threat Analysis Group soll die Arbeit von Sicherheitsfachleuten erleichtern und die Reaktionszeit auf Vorfälle angesichts des explosionsartigen Anstiegs der Cyberbedrohungen verkürzen.
Von Zahlen zu Codenamen: Die Logik des neuen Systems
Die neue Methodologie, über die TechCrunch berichtet, vereint die Ansätze der Google Threat Analysis Group und von Mandiant (das von Google im Jahr 2022 übernommen wurde). Zuvor verließen sich die Experten auf abstrakte Bezeichnungen, die mit der Zeit aufgrund ihrer Vielzahl unhandlich wurden. Shane Huntley, technischer Direktor der Google Threat Intelligence Group, erklärte, dass Anfang der 2010er Jahre, als Berichte über Cyberangriffe erst begannen veröffentlicht zu werden, niemand damit gerechnet hatte, dass die Anzahl der verfolgten Gruppen fünftausend Aktivitätscluster erreichen würde.
Das System erhielt eine strenge Struktur: Das erste Wort im Namen wird zufällig gewählt, um es leicht zu merken, während das zweite Wort das Herkunftsland der Gruppe angibt. Beispielsweise wird für Gruppen aus China das Präfix Castle verwendet, für den Iran Ion und für Nordkorea Neptune. Dieser Ansatz ermöglicht es Forschern, den geografischen Vektor der Bedrohung sofort zu bestimmen und die aktuelle Aktivität mit historischen Daten zu den Arbeitsmethoden eines bestimmten Akteurs zu verknüpfen.
Praktischer Nutzen für den Infrastrukturschutz
Wie Huntley betont, geht das Ziel der Neuerung über die bloße Benutzerfreundlichkeit für Analysten hinaus. Das Verständnis des „Porträts“ des Angreifers – seiner Ziele, Taktiken und vergangenen Handlungen – ist für Organisationen, die einem Angriff ausgesetzt sind, von kritischer Bedeutung. „Wenn Sie tatsächlich gehackt werden, ist die Kenntnis darüber, wie sich der Angreifer verhält und was er in der Vergangenheit getan hat, entscheidend für die Reaktion und die Planung des Schutzes“, betonte der Experte. Ein einheitliches Benennungssystem innerhalb des Google-Ökosystems ermöglicht es, angesammelte Erkenntnisse schneller für die Untersuchung von Vorfällen und den Aufbau eines effektiven Schutzes zu nutzen.
Widersprüchliche Daten und Schwierigkeiten bei der Vereinheitlichung
Trotz des Strebens nach Standardisierung weisen Experten auf objektive Schwierigkeiten bei dem Versuch hin, ein einheitliches globales Benennungssystem zu schaffen. Eine vollständige Vereinheitlichung zwischen verschiedenen Unternehmen ist praktisch unmöglich, da die Spezialisten unterschiedliche Datensätze und Telemetriedaten von Remote-Knoten erhalten. Dies führt dazu, dass dieselbe Aktivität von verschiedenen Anbietern unterschiedlich bewertet und klassifiziert werden kann.
Darüber hinaus gibt es Unterschiede bei der Verfolgbarkeit verschiedener Bedrohungsarten. Staatliche Hackergruppen lassen sich in der Regel aufgrund der Stabilität ihrer Ziele und Methoden einfacher identifizieren. Cyberkriminelle und Söldnergruppen (mercenary groups) sind hingegen deutlich schwieriger zu klassifizieren: Sie ändern häufig ihre Zusammensetzung, spalten sich in neue Gruppen auf und bedienen verschiedene Auftraggeber, was die klaren Grenzen für ihre Identifizierung verwischt.
