Die Pyramide zeigt: Je höher man ansetzt, desto aufwendiger wird es für den Angreifer. Unten blockiert man einfache Dinge wie IP-Adressen oder Datei-Hashes. Das bringt wenig, der Angreifer wechselt sie in Sekunden. Eine WAF (Web Application Firewall) erkennt z.B. nicht nur einzelne IPs, sondern das Verhalten eines Angriffs auf Anwendungsebene. Je weiter oben man ansetzt, desto mehr muss der Angreifer sein gesamtes Vorgehen ändern.

Ganz oben stehen TTPs (Tactics, Techniques & Procedures). Das beschreibt wie ein Angreifer vorgeht: welche Methoden, in welcher Reihenfolge, mit welchen Tools.

Wer dieses Prinzip verstanden hat, kommt zu Sicherheitsregeln, die immer gelten, wenn zielgerichtete und effektive Cyber-Resilienz gewünscht ist, unabhängig von Technologie oder System, wie z. B.:

• Least Privilege: nur die Rechte, die nötig sind.
• Zero Trust: nichts vertrauen, alles verifizieren.
• Defense in Depth: mehrere Sicherheitsschichten, kein single point of failure.
• Fail Secure: im Fehlerfall sicher, nicht angreifbar.
• TOFU: Trust On First Use, Vertrauensgarantie bei Erstverwendung.
• Bare Metal: volle Kontrolle, keine unnötigen Abstraktionsschichten.
• Code-Correctness: verhindern von Manipulation am Codeverhalten, durch Ausnutzung von Exploits. Die ursprüngliche Spezifikation muss bewahrt bleiben.
• Harvest now, decrypt later: Verwendung quantensicherer Verfahren für Verschlüsselung, digitale Signaturen und Schlüsselaustausch, beispielsweise AES-256 für die symmetrische Verschlüsselung und Kyber (ML-KEM) für den asymmetrischen Schlüsselaustausch. Dadurch soll verhindert werden, dass heute abgefangene und aufgezeichnete Daten künftig entschlüsselt, gelesen und missbraucht werden können.