Wer nach Threat Intelligence Feed sucht, braucht meist schnell eine praxistaugliche Definition: Ein Feed ist strukturierte Intelligence, die Analysten in CTI-Plattformen importieren, um Datensätze anzureichern, Aktivitäten zu korrelieren und Untersuchungen zu unterstützen. Die entscheidenden Fragen sind dabei ganz praktische: Welche Daten enthält der Feed, wie werden sie erhoben, wie viel Kontext wird mitgeliefert und ob er in operative Abläufe passt.
Dieser Artikel richtet sich an Analysten, die Feeds für Ingestion und Nutzung bewerten. Er verwendet ein Erhebungsmodell von Active Defense, verweist auf wöchentliche Scam-Briefings aus Live-Gesprächen und bezieht sich auf monatliche Berichte zu Scam-Daten.
Weiterlesen: Was ist ein IoC-Feed?
Die folgenden Abschnitte behandeln:
- Inhalte
- Quellen
- Qualitätsprüfungen
- Formate und Bereitstellung
- wann sich die Ergänzung eines spezialisierten Feeds lohnt
Was ein Threat-Intelligence-Feed enthält
Die Grundeinheit in einem Threat-Intelligence-Feed ist der Indikator. Ein Indikator ist ein Datenelement, das dabei helfen kann, bösartige Infrastruktur, Konten, Zahlungswege oder Artefakte zu identifizieren, die mit einer Operation verbunden sind.
Häufige Indikatortypen sind:
- URLs und Domains
- IP-Adressen
- E-Mail-Adressen
- Telefonnummern
- Datei-Hashes
- Konto- oder Account-Kennungen
- Zahlungskennungen
- zugehörige Metadaten
Ein Feed wird nützlicher, wenn er nicht nur Rohwerte, sondern auch Kontext enthält. Analysten brauchen in der Regel Angaben wie First-Seen-Zeitpunkt, Quelle, Konfidenz, Typ, Beziehungen und Hinweise, die ihnen helfen zu entscheiden, ob sie einen Datensatz blockieren, anreichern, auf eine Watchlist setzen, eskalieren oder ignorieren sollen. Ohne diesen Kontext ist ein Feed schwerer abzustimmen und leichter fehlzuverwenden.
Das gilt nicht nur für klassische Malware- oder Netzwerk-Telemetrie. Auch Scam-Operationen legen Indikatoren offen, die für Untersuchungen und Korrelationsarbeit relevant sind. Dazu können Krypto-Wallets, Bankdaten, Messenger-Accounts, Geschenkkarten, Payment-Handles sowie Foto- oder Datei-Hashes gehören.
Active Defense ist ein Beispiel für dieses Erhebungsmodell. Es betreibt KI-Köder-Personas, die Betrüger auf Telegram und per E-Mail im Gespräch halten, und wandelt das, was die Betrüger übermitteln, in strukturierte Intelligence um. Aus jeder Nachricht extrahiert Active Defense Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Accounts, Links, Geschenkkarten, Payment-Handles sowie Datei- und Foto-Hashes.
Jeder extrahierte Indikator erhält einen Konfidenz-Score. Das ist in nachgelagerten Workflows wichtig, weil Analysten nicht jeden Datensatz gleich behandeln müssen. Sie können nach Datensätzen mit höherer Konfidenz filtern, Einträge mit mittlerer Konfidenz zur Prüfung weiterleiten oder Daten mit niedrigerer Konfidenz für Anreicherung und Akteur-Tracking statt für direktes Blockieren nutzen.
Woher Threat-Intelligence-Feeds kommen
Ein Threat-Intelligence-Feed kann aus sehr unterschiedlichen Erhebungsmethoden entstehen, und dieser Ursprung prägt, was Analysten nach der Ingestion mit den Daten tun können.
Häufige Quellen sind:
- Netzwerk- und Endpoint-Telemetrie
- Malware- und Dateianalyse
- Abuse-Meldungen und Nutzereinreichungen
- Incident-Response-Fallarbeit
- direkte Interaktion mit bösartigen Akteuren
Für CTI-Teams ist die Quelle wichtig, weil sie beeinflusst, welche Art von Evidenz ein Feed enthalten kann. Passive Erhebung erfasst oft technische Artefakte, die erst nach Zustellung oder Ausführung sichtbar werden. Direkte Interaktion kann operative Details früher sichtbar machen: die Konten, Zahlungswege, Kontaktpunkte und Medien, die ein Akteur schon während des Austauschs selbst versendet.
Genau dieses Modell nutzt Active Defense. Es betreibt KI-Köder-Personas auf Telegram und per E-Mail und wandelt das, was Betrüger senden, in einen Threat-Intelligence-Feed um. Zu den extrahierten Daten gehören Krypto-Wallets, Bankdaten, Telefonnummern, Messenger-Accounts, Links, Geschenkkarten, Payment-Handles sowie Datei- und Foto-Hashes. Jeder Indikator erhält einen Konfidenz-Score.
Die Erhebungsmethode beeinflusst auch die Provenienz. Bei Active Defense wird jede Nachricht im Moment ihres Eingangs gespeichert. Wenn ein Betrüger später eine Löschfunktion im Chat nutzt, entfernt das nicht die gespeicherte Kopie. Für Analysten unterstützt das die Prüfung der Quelle und eine konsistente Rekonstruktion aus dem Nachrichtenverlauf.
Auch die Interaktion selbst ist kontrolliert. Antworten werden von KI entworfen und standardmäßig von einem menschlichen Operator freigegeben. Das ist wichtig, wenn bewertet werden soll, wie die zugrunde liegenden Gesprächsdaten entstehen und wie viel menschliche Aufsicht am Punkt der Erhebung vorhanden ist.
Wie Analysten die Feed-Qualität beurteilen
Für CTI-Teams geht es bei Feed-Qualität weniger um Volumen als darum, ob Datensätze den operativen Einsatz bestehen. Ein Feed muss sich sauber importieren lassen, bei erneuter Ingestion konsistent bleiben und Analysten genug Details liefern, um zu entscheiden, was als Nächstes zu tun ist.
Nützliche Prüfungen umfassen in der Regel:
- klare Typisierung jedes Indikators
- Konfidenz-Bewertung
- ausreichend Kontext für die Triage
- reproduzierbare Historie
- Beziehungsdaten für Clustering
- Exporte, die zum CTI-Stack passen
Ein Qualitätstest ist, ob der Feed die Quellenhistorie bewahrt, statt nur den zuletzt transformierten Datensatz. Bei Active Defense wird jede Nachricht im Moment ihres Eingangs gespeichert. Wenn ein Betrüger später „für alle löschen“ verwendet, bleibt die gespeicherte Kopie erhalten. Für Analysten unterstützt das die Überprüfung von Extraktionsergebnissen und konsistente Neubildungen aus dem ursprünglichen Nachrichtenstrom.
Ein weiterer Test ist, ob der Feed mehr erfasst als bloße Zeichenfolgen. Active Defense speichert Fotos, Sprachnachrichten und Dateien per SHA-256, Fotos zusätzlich mit einem perzeptuellen Hash. Das gibt Analysten mehr Möglichkeiten, wiederverwendete Medien über verschiedene Fälle hinweg abzugleichen.
Auch das Scoring ist wichtig, wenn Teams unterschiedliche Behandlungspfade benötigen. Bei Active Defense umfassen die aus jeder Nachricht extrahierten Indikatoren Krypto-Wallets, URLs, E-Mail-Adressen, Telefonnummern, Messenger-Accounts, Bankdaten, Geschenkkarten, Payment-Handles sowie Datei- und Foto-Hashes. Jeder erhält einen Konfidenz-Score aus einer strukturellen Prüfung und einem LLM. So können Teams Datensätze, die sich eher für direkte Maßnahmen eignen, besser von solchen trennen, die sich besser für Anreicherung, Prüfung oder Clustering eignen.
Ein letztes Qualitätssignal ist, ob der Feed zusammenhängende Aktivitäten verbindet. Hier werden Chats, die einen Indikator, ein wiederverwendetes Foto oder einen weitergeleiteten Account gemeinsam haben, einem Akteur zugeordnet. Das hilft Analysten, in ihrem CTI-Workflow von einem einzelnen Datensatz auf eine Akteur-Ebene zu wechseln.
Formate, Bereitstellung und Integration in einen CTI-Stack
Für Analysten ist nicht nur entscheidend, ob ein Threat-Intelligence-Feed nützliche Indikatoren enthält. Entscheidend ist auch, ob der Feed den CTI-Stack in einer Form erreicht, die sich ohne zusätzlichen Bereinigungsaufwand ingestieren, abbilden und erneut verarbeiten lässt.
Typische Anforderungen an die Bereitstellung sind unkompliziert:
- ein strukturiertes Format für CTI-Plattformen
- ein flaches Format für Tests, Validierung oder Neben-Workflows
- stabile Exporte, die sich aus der Quellenhistorie neu erzeugen lassen
Genau hier ist das Design der Bereitstellung wichtig. Active Defense stellt jedem Kunden einen eigenen Feed bereit, keinen gemeinsam genutzten Stream. Exporte sind in STIX 2.1, TAXII 2.1 und CSV verfügbar.
Kundenspezifische Bereitstellung hilft, wenn Teams eigene Ingestion-Regeln, Aufbewahrungsentscheidungen oder nachgelagerte Mappings wollen. Außerdem erleichtert sie es, die Feed-Verarbeitung mit interner Fallarbeit und Plattformschemata abzustimmen.
Die Rekonstruierbarkeit ist genauso wichtig wie das Exportformat. Weil der Feed aus der gespeicherten Historie neu aufgebaut werden kann, können Teams ältere Daten nach Schemaänderungen, Pipeline-Updates oder Plattformmigrationen erneut ingestieren, ohne von einem einmaligen Export abhängig zu sein.
Für Teams, die den Integrationsaufwand bewerten, gibt es niedrigschwellige Möglichkeiten, die Eignung vor einem breiteren Rollout zu testen:
- ein kostenloses Feed-Sample für qualifizierte Leads
- ein 90-Tage-Pilot für bis zu 500 Gespräche für 1.900 EUR netto, anschließend auf das Abonnement angerechnet
Console und API laufen auf Azure in Deutschland.
Wann sich die Ergänzung eines spezialisierten Feeds lohnt
Die Ergänzung eines spezialisierten Threat-Intelligence-Feeds lohnt sich, wenn Ihre CTI-Plattform breite Indikatoren bereits gut verarbeitet, Ihrem Team aber weiterhin Abdeckung für einen bestimmten Abuse-Workflow fehlt.
Eine häufige Lücke sind Scam-Operationen. Analysten ingestieren womöglich bereits Domain-, Malware- und Abuse-Daten, erfassen aber trotzdem nicht die Zahlungs- und Identitätsebene, die Betrüger im direkten Kontakt offenlegen. Diese Ebene kann beim Verknüpfen von Fällen, bei der Betrugsanalyse und beim Akteur-Tracking helfen.
Genau diese Art von Abdeckung bietet Active Defense. Es verwandelt Scam-Gespräche auf Telegram und per E-Mail in einen kundenspezifischen Feed. Aus diesen Chats extrahiert und bewertet es:
- Krypto-Wallets
- Bankdaten
- Telefonnummern
- Messenger-Accounts
- Links
- Geschenkkarten
- Payment-Handles
- Datei- und Foto-Hashes
Der Feed ist besonders nützlich, wenn Ihr Team Fragen beantworten muss wie:
- Welche Indikatoren gehören zu demselben Akteur?
- Welche Zahlungswege tauchen über Fälle hinweg wiederholt auf?
- Welche Accounts oder Medien erscheinen unter neuen Vorwänden erneut?
Weil Chats, die einen Indikator, ein wiederverwendetes Foto oder einen weitergeleiteten Account gemeinsam haben, einem Akteur zugeordnet werden, kann der Feed Clustering-Arbeit unterstützen, die einfache Indikatorlisten nicht leisten.
Für die Bewertung ist der praktische Weg zunächst klein: Fordern Sie ein kostenloses Feed-Sample an, wenn Sie die Voraussetzungen erfüllen, oder testen Sie einen 90-Tage-Pilot für bis zu 500 Gespräche für 1.900 EUR netto, anschließend auf das Abonnement angerechnet.
Fragen, die Analysten zu Threat-Intelligence-Feeds stellen
Wie aktuell muss ein Threat-Intelligence-Feed sein?
Die notwendige Aktualität hängt vom Anwendungsfall ab. Für Blocking und schnelle Triage wollen Teams die Bereitstellung in der Regel so schnell wie möglich nach der Erhebung. Für Recherche, Akteur-Tracking und retrospektive Korrelation können auch etwas ältere Daten noch nützlich sein, wenn die Historie vollständig und konsistent ist.
Wichtig ist, zu wissen, wie der Feed erzeugt wird und ob sich der zugrunde liegende Datensatz später rekonstruieren lässt.
Können Analysten einen Indikator bis zur Quellevidenz zurückverfolgen?
In der Regel müssen sie das können. Ein Feed ist leichter vertrauenswürdig, wenn der Quelldatensatz erhalten bleibt und die Überprüfung von Extraktion und Beziehungen unterstützt.
Bei Active Defense wird jede Nachricht im Moment ihres Eingangs gespeichert, sodass ein späteres „für alle löschen“ durch einen Betrüger die Kopie nicht entfernt. Fotos, Sprachnachrichten und Dateien bleiben ebenfalls als Artefakte für spätere Analysen erhalten.
Reicht ein gemeinsamer Feed aus, oder brauchen Teams einen eigenen Feed?
Das hängt vom Workflow ab. Ein gemeinsamer Feed kann bei breiter Sichtbarkeit helfen. Ein kundenspezifischer Feed ist oft besser, wenn ein Team eigene Ingestion-Regeln, Mappings und einen eigenen Pfad zur Wiederverarbeitung innerhalb der CTI-Plattform will.
Active Defense gibt jedem Kunden einen eigenen Feed mit STIX-2.1-Export.
Welche Art von Analystenprüfung gibt es im Erhebungsprozess?
Die Erhebungsmethode beeinflusst, wie Teams die Ergebnisse interpretieren. Bei Active Defense werden Antworten an Betrüger von KI entworfen und standardmäßig von einem menschlichen Operator freigegeben. Für Analysten, die die Quellenqualität bewerten, bedeutet das: Es gibt menschliche Prüfung im Interaktionskreislauf statt vollständig unbeaufsichtigter ausgehender Nachrichten.
Eine praktische Definition zum Mitnehmen
Ein Threat-Intelligence-Feed ist ein strukturierter, nutzbarer Strom aus Indikatoren plus Kontext, der Analysten dabei hilft, bösartige Aktivitäten zu erkennen, anzureichern, zu korrelieren und zu untersuchen.
Was einen Feed nützlich macht, ist nicht nur die Zahl der enthaltenen Datensätze. Analysten ziehen meist mehr Nutzen aus Daten, mit denen sie in der Praxis arbeiten können:
- klarer Kontext
- Konfidenz-Scores
- Beziehungen zwischen Datensätzen
- Exporte, die in bestehende CTI-Workflows passen
Diese Eigenschaften erleichtern es, Datensätze zu triagieren, die Behandlung abzustimmen und zu entscheiden, was in Blocking, Anreicherung, Watchlists oder Fallarbeit gehört.
Im Beispiel dieses Artikels verwandelt Active Defense Scam-Gespräche auf Telegram und per E-Mail in einen kundenspezifischen Feed aus bewerteten Indikatoren und verknüpften Akteursdaten.
Wenn Ihr Team Scam-fokussierte Intelligence bewertet, ist ein praktischer nächster Schritt, Beispieldaten zu prüfen und Pilotoptionen mit Ihren aktuellen Quellen zu vergleichen, bevor Sie entscheiden, ob der Feed Ihrem Stack nützliche zusätzliche Abdeckung bietet.