Verhaltensanalyse | |
 | Inhaltsverzeichnis Was ist eine Verhaltensanalyse?Die Verhaltensanalyse ist ein Analysekonzept der Cyber-Sicherheit und wird meist als User and Entity Behavior Analytics (UEBA), User Behavior Analytics (UBA) oder verhaltensbasierte Erkennung bezeichnet. Der Ansatz greift auf das psychologische Konzept des Behaviorismus zurück, die Lehre vom beobachtbaren Verhalten. Auf die IT übertragen bedeutet dies einen Wechsel der Erkennungsmethode. Die klassische signaturbasierte Erkennung sucht nach bereits bekannten Mustern von Schadcode. Die Verhaltensanalyse bewertet stattdessen das kontinuierliche Verhalten im Netzwerk. Das System erlernt zunächst den Normalzustand von Benutzern sowie IT-Entitäten und meldet Abweichungen von dieser Baseline als potenzielle Angriffe oder Störungen. Die zentralen Merkmale der Verhaltensanalyse im Überblick:
Wie funktioniert eine Verhaltensanalyse?Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet in seiner Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung eine musterbasierte und eine anomaliebasierte Detektion. Die Verhaltensanalyse deckt den anomaliebasierten Teil ab und arbeitet dabei in drei Schritten. Baseline aufbauen: Ein UEBA-System sammelt über Tage bis Wochen Telemetrie aus Log-Quellen, etwa Anmeldungen, Dateizugriffe, Netzwerkverbindungen und Cloud-Aktivitäten. Daraus erstellt es je Benutzer und je Entität ein Referenzprofil des normalen Verhaltens mit typischen Arbeitszeiten und Standorten, genutzten Geräten, üblichen Datenmengen und Zugriffsmustern. Anomalien erkennen: Künstliche Intelligenz (Machine Learning) und statistische Modelle vergleichen das aktuelle Verhalten laufend mit der Baseline. Meldet sich ein Konto plötzlich nachts aus einem fremden Land an, lädt es ungewöhnlich große Datenmengen herunter oder greift ein Server erstmals auf sensible Datenbanken zu, bewertet das IT-System diese Abweichung.Risiko bewerten: Einzelne Anomalien sind selten beweiskräftig. Deshalb verdichtet die Verhaltensanalyse mehrere Auffälligkeiten zu einem Risk Score je Nutzer oder Entität. Ein priorisierter Alarm entsteht erst, wenn dieser Wert eine festgelegte Schwelle überschreitet. Wie unterscheiden sich UBA und UEBA?Die IT-Marktforschung prägte den heutigen Begriff im Jahr 2015 und erweiterte den älteren Begriff User Behavior Analytics (UBA) um das „E” für Entities. Für eine präzise Bedrohungserkennung profilieren die Werkzeuge seither neben den Benutzern auch andere Entitäten. Dazu zählen verwaltete und unverwaltete Endgeräte, Server und Anwendungen, sowohl in der Cloud als auch auf mobilen Geräten und im eigenen Rechenzentrum. Als eigenständige Produktkategorie ist UEBA heute weitgehend verschwunden. Die Funktionen sind in Plattformen für SIEM, Extended Detection and Response (XDR) und Identitätssicherheit aufgegangen, ähnlich wie bei Security Orchestration, Automation and Response (SOAR). Große SIEM-Anbieter führen UEBA inzwischen als Funktion ihres Kernprodukts. Mehrere Hersteller haben ihre UEBA-Engines zu vollwertigen SIEM-Plattformen ausgebaut. Auch Lösungen für EDR, Network Detection and Response (NDR) und Identity Threat Detection and Response (ITDR) nutzen Verhaltensanalyse als Kernmechanik. Anwendungsfälle der Verhaltensanalyse in der Cyber-SicherheitDie Empfehlungen des US-amerikanischen NIST zur Absicherung von Unternehmensnetzen nennen die Analyse des Verhaltens von Benutzern und Entitäten ausdrücklich als Funktion gegen Insider-Bedrohungen. Insider-Risiken: Berechtigte Nutzer, die Daten stehlen oder sabotieren, umgehen die klassischen Kontrollen am Netzübergang. Auffällig wird allein ihr verändertes Verhalten. Dieser Anwendungsfall gilt als der wichtigste der Verhaltensanalyse. Kontoübernahme: Meldet sich ein gekapertes Konto von neuen Geräten, zu untypischen Zeiten oder mit ungewöhnlichen Zugriffsmustern an, erkennt die Verhaltensanalyse die Übernahme trotz gültiger Zugangsdaten. Datenabfluss: Ungewöhnlich große Downloads, Uploads an unbekannte Ziele oder massenhafte Dateizugriffe weichen von der Baseline ab. Sie erzeugen dadurch einen hohen Risk Score. Lateral Movement: Bewegt sich ein Angreifer seitwärts durch das Netzwerk, greifen Konten und Hosts auf IT-Systeme zu, mit denen sie sonst nie kommunizieren. Ein solches Zugriffsmuster ist ein typisches Anomaliesignal.Verhaltensbasierte Malware-Erkennung: Auf Endpunkten ergänzt die Verhaltensanalyse die reine Signaturprüfung. Sie bewertet die Aktionen eines Programms zur Laufzeit, etwa das massenhafte Verschlüsseln von Dateien als typisches Verhalten von Ransomware. Verhaltensanalyse und DatenschutzEine Verhaltensanalyse verarbeitet zwangsläufig personenbezogene Daten von Beschäftigten und besitzt technisches Überwachungspotenzial. In Deutschland greift deshalb die Mitbestimmung. Nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz muss der Betriebsrat der Einführung technischer Einrichtungen zustimmen, die zur Verhaltens- oder Leistungskontrolle geeignet sind. Das gilt für UEBA ebenso wie für SIEM-Systeme. Zusätzlich verlangt die Datenschutz-Grundverordnung (DSGVO) eine Rechtsgrundlage, in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f. Hinzu kommen die Zweckbindung auf die Angriffserkennung sowie bei hohem Risiko eine Datenschutz-Folgenabschätzung. Als bewährte Praxis gilt die Pseudonymisierung. Die Analysen laufen auf pseudonymisierten Daten und erst ein konkreter Sicherheitsvorfall rechtfertigt die Aufdeckung der Identität. Eine frühe Einbindung von Betriebsrat und Datenschutzbeauftragten verhindert, dass ein sinnvolles Sicherheitswerkzeug als Mitarbeiterüberwachung scheitert. Vorteile der Verhaltensanalyse, Risiken & HerausforderungenVorteile der VerhaltensanalyseErkennt Unbekanntes: EineVerhaltensanalyse findet neuartige Angriffe und den Missbrauch gültiger Konten, für die keine Signaturen existieren. Sie schließt damit genau die Lücke, die eine rein signaturbasierte Erkennung offenlässt. Weniger Alarmflut: Risk Scores bündeln viele schwache Signale zu wenigen priorisierten Alarmen. Das senkt die Alarmmüdigkeit im SOC und lenkt die Aufmerksamkeit auf die Fälle mit echtem Risiko. Breite Abdeckung: Nutzer, Hosts, Anwendungen und Cloud-Dienste laufen in einem einheitlichen Modell zusammen. Angriffe, die sich über mehrere dieser Ebenen erstrecken, fallen dadurch überhaupt erst auf. Risiken der VerhaltensanalyseFehlalarme: Legitime Verhaltensänderungen wie eine neue Rolle, Dienstreisen oder ein Projektwechsel erzeugen Anomalien ohne Angriff. Ohne laufende Nachjustierung bindet das Analystenzeit, die an anderer Stelle fehlt. Überwachungspotenzial: Ohne klare Zweckbindung und ohne Mitbestimmung droht der Konflikt mit Datenschutz und Belegschaft. Pseudonymisierung und eine dokumentierte Zweckbindung entschärfen das Risiko. Blinde Flecken in der Lernphase: Ist ein Angreifer bereits während des Baseline-Trainings aktiv, gilt sein Verhalten als normal. Eine anfängliche Prüfung der Baseline gegen bekannte Angriffsspuren begrenzt diesen Effekt. Herausforderungen der VerhaltensanalyseDatenqualität: Die Aussagekraft der Analyse hängt unmittelbar von den angebundenen Log-Quellen und deren Vollständigkeit ab. Fehlende Quellen erzeugen Lücken im Profil, die im laufenden Betrieb schwer auffallen. Anpassungsaufwand: Schwellwerte und Modelle brauchen eine Anpassung an die jeweilige Organisation und eine laufende Nachjustierung. Dafür ist eine feste Zuständigkeit nötig. Erklärbarkeit: Analysten im SOC müssen nachvollziehen können, warum ein Modell einen bestimmten Risk Score vergibt. Ohne sie bleibt ein Alarm für die Bewertung und für die Begründung gegenüber dem Betriebsrat unbrauchbar.  Verhaltensanalyse: Fragen und AntwortenHäufige Fragen (FAQ)Was bedeutet UEBA? UEBA steht für User and Entity Behavior Analytics, also die Analyse des Verhaltens von Benutzern und Entitäten zur Erkennung von Cyber-Angriffen. Was hat Verhaltensanalyse mit Behaviorismus zu tun? Der Behaviorismus ist eine psychologische Lehrrichtung, die allein beobachtbares Verhalten bewertet. Die Verhaltensanalyse überträgt diesen Grundgedanken auf die Cyber-Sicherheit und trägt deshalb gelegentlich denselben Namen. Worin unterscheiden sich UBA und UEBA? UBA analysierte allein das Benutzerverhalten. Die IT-Marktforschung erweiterte den Begriff 2015 um Entitäten wie Endgeräte, Server und Anwendungen. Wie unterscheidet sich Verhaltensanalyse von signaturbasierter Erkennung? Die signaturbasierte Erkennung vergleicht Ereignisse mit bekannten Angriffsmustern. Die Verhaltensanalyse erkennt Abweichungen vom erlernten Normalverhalten und findet so auch unbekannte Angriffe. Gibt es eine offizielle Definition von Verhaltensanalyse oder UEBA? Nein. Behörden und Standardisierungsorganisationen wie das BSI (Bundesamt für Sicherheit in der Informationstechnik), das US-amerikanische NIST und ISO führen keine normative Definition. UEBA geht auf eine Marktkategorie eines IT-Marktforschungsunternehmens zurück. Welche Bedrohungen erkennt UEBA besonders gut? Insider-Risiken, kompromittierte Konten, Datenabfluss und Lateral Movement, also Angriffe ohne Schadsoftware. Was ist eine Baseline? Das erlernte Referenzprofil des normalen Verhaltens eines Nutzers oder einer Entität, etwa typische Anmeldezeiten, Geräte und Datenmengen. Abweichungen gelten als Anomalien. Was ist ein Risk Score? Ein aggregierter Risikowert je Nutzer oder Entität, der mehrere Anomalien bündelt. Ein Alarm entsteht erst ab einer festgelegten Schwelle, was die Zahl der Fehlalarme senkt. Braucht es UEBA als eigenes Produkt? Meist nicht mehr. Die Funktionen sind heute in Plattformen für SIEM, XDR, EDR und ITDR integriert. Ist Verhaltensanalyse mit dem Datenschutz vereinbar? Ja, sofern Zweckbindung, Rechtsgrundlage nach DSGVO, Pseudonymisierung und die Mitbestimmung des Betriebsrats nach § 87 BetrVG beachtet werden. Ersetzt Verhaltensanalyse die signaturbasierte Erkennung? Nein. Beide Analysekonzepte ergänzen einander. Signaturen erkennen Bekanntes schnell und präzise, die Verhaltensanalyse deckt Unbekanntes auf. Quellenangabe: BSI (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung) NIST (SP 800-215, Guide to a Secure Enterprise Network Landscape) CrowdStrike (What is User and Entity Behavior Analytics?) Microsoft (Advanced threat detection with User and Entity Behavior Analytics in Microsoft Sentinel) Exabeam (UEBA Tools: Key Capabilities and 8 Tools You Should Know) Securonix (What is User Entity and Behavior Analytics?) Splunk (Splunk User and Entity Behavior Analytics) BetrVG (§ 87, Mitbestimmungsrechte) DSGVO (Artikel 6, Rechtmäßigkeit der Verarbeitung) Verwandte Einträge: Security Orchestration, Automation and Response (SOAR) Künstliche Intelligenz für Cyber-Sicherheit Security Information and Event Management (SIEM) Identity Threat Detection and Response (ITDR) Endpoint Detection and Response (EDR) Extended Detection and Response (XDR) Security Operations Center (SOC) Zukünftige Verlinkungen: Insider-Risiken Gültige Konten (Kontoübernahme) Exfiltration Lateral Movement Network Detection and Response (NDR) Autor: Stand: 26. Oktober 2026 Weitere Informationen zum Begriff “Verhaltensanalyse”:„Der Virtuelle IT-Sicherheitsberater – Künstliche Intelligenz (KI) ergänzt statische Anomalien-Erkennung und signaturbasierte Intrusion Detection" „Künstliche Intelligenz und Cybersicherheit – Unausgegoren aber notwendig" „Serious Games für wirksame Cybersecurity Awareness im ISMS" „Relevanz von Werten für den Einsatz von KI" „Übungsaufgaben und Ergebnisse zum Lehrbuch-Cybersicherheit“ „Bücher im Bereich Cyber Security und IT-Sicherheit zum kostenlosen Download"
„Master-Studiengang Internet-Sicherheit (IT-Sicherheit, Cybersicherheit)“ „IT-Notfall- Marktplatz IT-Sicherheit“ „IT-Sicherheitstools - Marktplatz IT-Sicherheit“ „Selbstlernangebot - Marktplatz IT-Sicherheit“ „Köpfe der IT-Sicherheit - Marktplatz IT-Sicherheit“ „Vertrauenswürdigkeits-Plattform" Summary Article Name Verhaltensanalyse DescriptionVerhaltensanalyse (UEBA) erkennt Cyber-Angriffe, indem sie mit Künstlicher Intelligenz das normale Verhalten von Nutzern und IT-Systemen lernt und Abweichungen davon als Risiko bewertet. Author Prof. Norbert Pohlmann Publisher Name Institut für Internet-Sicherheit – if(is) Publisher Logo  |
| |
