---
title: "Threat Modeling — kanonische Referenz · VORNAC Research"
description: "STRIDE, LINDDUN, Attack-Tree und das Diamond Model als strukturiertes Notiz-Template — gepaart mit präventiven und reaktiven Control-Karten über den Angriffslebenszyklus."
url: https://www.vornac.com/research/threat-intelligence/threat-modeling-canon
lang: de
published: 2026-06-02
updated: 2026-06-02
alternate_en: https://www.vornac.com/en/research/threat-intelligence/threat-modeling-canon
---

[Research-Index](https://www.vornac.com/research) / [5 · Threat Intelligence & Adversary Modeling](https://www.vornac.com/research/threat-intelligence) / Threat Modeling — kanonische Referenz

Background · [5 Threat Intelligence & Adversary Modeling](https://www.vornac.com/research/threat-intelligence)

# Threat Modeling — kanonische Referenz.

STRIDE, LINDDUN, Attack-Tree und das Diamond Model als strukturiertes Notiz-Template — gepaart mit präventiven und reaktiven Control-Karten über den Angriffslebenszyklus.

## STRIDE — Per-Komponente-Threat-Enumeration

-   **S**poofing — Identity-Claim ist fake. Verteidigung: Authentifizierung.
-   **T**ampering — Daten modifiziert in Transit oder at Rest. Verteidigung: Integrity (Signaturen, MACs).
-   **R**epudiation — Actor leugnet Aktion. Verteidigung: Logging + Non-Repudiation (signierte Actions).
-   **I**nformation Disclosure — vertrauliche Daten geleakt. Verteidigung: Verschlüsselung + Access-Control.
-   **D**enial of Service — Verfügbarkeit degradiert. Verteidigung: Rate-Limiting, Redundanz, Isolation.
-   **E**levation of Privilege — Actor gewinnt Rechte, die er nicht haben sollte. Verteidigung: Autorisierung, Least Privilege.
-   **Workflow.** Data-Flow-Diagramm zeichnen → Trust-Boundaries identifizieren → pro Element, das eine Grenze überquert, STRIDE durchgehen → Bedrohung + Mitigation + Restrisiko notieren.

## LINDDUN — Privacy-Threats

-   **L**inkability — verschiedene Actions können demselben Actor zugeordnet werden.
-   **I**dentifiability — pseudonyme Daten können re-identifiziert werden.
-   **N**on-Repudiation — Actor kann eine Action nicht leugnen (Privacy liest das als Schaden, nicht als Vorteil).
-   **D**etectability — Actor ist als Ausführender einer Action detektierbar.
-   **D**isclosure of Information — siehe STRIDE-I.
-   **U**nawareness — User weiß nicht, welche Daten gesammelt/verarbeitet werden.
-   **N**on-Compliance — System verletzt Regulation (DSGVO, CCPA).
-   **Wann.** Überall wo persönliche Daten fließen. Richtiges Framework für jede DSGVO-/DPIA-Arbeit.

## Attack-Trees

-   **Root = Adversary-Objektiv.** Z.B. "Customer-PII exfiltrieren".
-   **OR-Nodes für alternative Pfade.** Admin phishen ODER Web-App exploiten ODER Insider.
-   **AND-Nodes für benötigte Kombinationen.** Admin phishen UND MFA umgehen.
-   **Leaf-Evaluation.** Pro Blatt: Kosten, Skill, Zeit, Detektions-Wahrscheinlichkeit. Billigstes ungemitigtes Blatt = höchstpriorisierte Verteidigung.
-   **Deployed-Defenses markieren.** Verteidigte Blätter schneiden Subtrees ab; verbleibende Pfade zeigen tatsächliches Restexposure.

## Diamond-Modell

-   **Vier Vertices.** Adversary, Capability, Infrastructure, Victim. Zwei Meta-Features: sozio-politisch (warum), Technologie (wie).
-   **Pivot-Beziehungen.** Ein Vertex ist Anker (z.B. erbeutete C2-IP = Infrastructure); via dem, was über die IP bekannt ist, zu anderen Vertices pivoten (von welchem Actor genutzt? welches Tooling? welche Victims getroffen?).
-   **Disziplin.** Jede Behauptung mit Source + Konfidenz getaggt. Vertices ohne Source = "unbekannt", nicht Best-Guess. Best-Guess in einem Diamond ist, was falsche Attribution produziert.

## Präventive vs reaktive Controls über den Lifecycle

-   **Recon / Weaponization.** Präventiv: externe Angriffsfläche minimieren, OSINT-Cleanup. Reaktiv: auf Reconnaissance-Muster überwachen (CT-Log-Monitoring eigener Certs, Honeypot-Subdomains).
-   **Delivery.** Präventiv: Mail-Gateway, Web-Gateway, USB-Controls. Reaktiv: Sandbox-Detonation-Alerts, EDR-Exec-Telemetrie.
-   **Exploitation.** Präventiv: Patching, Exploit-Mitigations (CFG, CET, ASLR). Reaktiv: EDR-Exploit-Behavior-Detections.
-   **Installation.** Präventiv: App-Allowlisting, Code-Signing-Enforcement. Reaktiv: Persistenz-Orte überwachen (Autoruns, Scheduled Tasks).
-   **Command & Control.** Präventiv: Egress-Filtering, DNS-Sinkhole für Known-Bad. Reaktiv: NTA, das C2-Beaconing-Muster detektiert.
-   **Actions on Objective.** Präventiv: Data-Loss-Prevention, Segmentierung. Reaktiv: Anomales-Data-Egress-Detection, Deception (Canary-Files).

**Faustregel**Framework nach der Frage wählen, die du beantwortest, nicht nach Vertrautheit. STRIDE für Komponenten-Level-Threat-Enumeration. Attack-Tree für "ist X erreichbar". LINDDUN für Privacy. Diamond für Incident-Analyse. STRIDE für ein Incident-Write-up zu nutzen verschwendet Aufwand und produziert ein schlechtes Write-up.

Domain

[5 · Threat Intelligence & Adversary Modeling](https://www.vornac.com/research/threat-intelligence)

Stufe

Background

Engagement-Phasen

ReconBekannte CVEs

Veröffentlicht

2\. Juni 2026

Akronym nachschlagen?

[Glossar öffnen](https://www.vornac.com/glossary)

## Verwandte Notizen in dieser Domain

-   [Featured OSINT — Recon-Mindmap](https://www.vornac.com/research/threat-intelligence/osint-mindmap)
-   [Background APT-Operationen — Referenz](https://www.vornac.com/research/threat-intelligence/apt-operations)
-   [Background Red-Team-Planung & Intel-Analyse](https://www.vornac.com/research/threat-intelligence/red-team-planning)
-   [Background E-Mail- & Fraud — Untersuchungsreferenz](https://www.vornac.com/research/threat-intelligence/email-and-fraud-forensics)

[Vorherige Notiz OSINT — Recon-Mindmap](https://www.vornac.com/research/threat-intelligence/osint-mindmap) [Zurück zur Domain](https://www.vornac.com/research/threat-intelligence) [Nächste Notiz APT-Operationen — Referenz](https://www.vornac.com/research/threat-intelligence/apt-operations)

Von der Referenz zum Befund

## Validieren Sie das in Ihrer eigenen Umgebung.