💻 computer science

Assessing the ROI of Cyber Threat Intelligence: An Operational and Financial Evaluation Framework

Dieses Paper schlägt ein umfassendes Framework zur Bewertung des Return on Investment von Cyber Threat Intelligence vor, indem es einen Threat Intelligence Effectiveness Index (TIEI) zur Messung der operativen Reife sowie eine Break-even-orientierte Finanzmethode einführt, um die Investitionsfähigkeit trotz der inhärenten Schwierigkeit der Messung verhinderter Cyber-Vorfälle zu quantifizieren.

Ursprüngliche Autoren: Matteo Strada, Stelvio Cimato

Veröffentlicht 2026-07-17

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Matteo Strada, Stelvio Cimato

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind der Kapitän eines massiven, hochtechnologischen Raumschiffs, das durch den Asteroidengürtel des Internets kreuzt. Ihre Aufgabe ist es, das Schiff vor Weltraum-Piraten, unkontrollierten Asteroiden und hinterhältigen Saboteuren zu schützen. Sie haben ein Team von Ausgucken, ein Radarsystem und einen Schildgenerator. Aber der knifflige Teil ist: Der beste Tag, den Ihr Team erleben kann, ist ein Tag, an dem nichts passiert. Keine Alarme, keine Explosionen, keine Schäden. Das Schiff fährt einfach ruhig weiter.

Dies ist die Welt der Cyber Threat Intelligence (CTI). Betrachten Sie CTI als das „Super-Spionagenetzwerk“ für Ihr digitales Schiff. Anstatt nur darauf zu warten, dass ein Alarm losgeht, sammelt CTI geheime Berichte von anderen Schiffen, Spionen und Sensoren, um Ihnen genau zu sagen, wo die Piraten sich verstecken, welche Waffen sie benutzen und wie sie einen Angriff planen. Es verwandelt einen Berg aus verwirrendem Rauschen in eine klare, handlungsorientierte Karte.

Aber es gibt ein großes Problem für die Leute, die dieses Spionagenetzwerk bezahlen (die Schiffseigentümer, oder in der realen Welt: Chefs und Vorstände von Unternehmen). Sie wollen wissen: „Ist dieses teure Spionagenetzwerk wirklich sein Geld wert?“ Im normalen Geschäftswesen, wenn Sie einen neuen Motor kaufen und das Schiff dadurch schneller wird, können Sie die Geschwindigkeit messen. Aber in der Cybersicherheit, wenn Sie ein Spionagenetzwerk kaufen und Ihr Schiff dadurch nicht angegriffen wird, wie beweisen Sie, dass Sie Geld gespart haben? Man kann keinen Beleg für eine Katastrophe vorlegen, die nie stattgefunden hat. Dies ist das „Präventionsparadoxon“: Je besser Sie Ihren Job machen, desto unsichtbarer wird Ihr Erfolg.

Hier kommt eine neue Studie von Matteo Strada und Stelvio Cimato ins Spiel. Sie sind wie die Ingenieure des Schiffes, die versuchen, einen neuen Typ Taschenrechner zu bauen. Sie wissen, dass man den Wert eines „Nicht-Ereignisses“ nicht einfach schätzen kann, also haben sie ein cleveres zweiteiliges System entwickelt, um herauszufinden, ob Ihr Spionagenetzwerk tatsächlich Geld spart.

Zuerst bauten sie einen „Threat Intelligence Effectiveness Index“ (TIEI). Stellen Sie sich dies als einen „Schulbericht der Spionschule“ vor. Anstatt nur eine einzige Note zu geben, prüft er vier verschiedene Fähigkeiten:

Qualität: Sind die Spionenberichte tatsächlich wahr und nützlich?
Anreicherung (Enrichment): Hat das Team zusätzliche Details zu den Berichten hinzugefügt (wie etwa die Verbindung eines Piratenschiffs zu einer bestimmten Bande)?
Integration: Hat das Team diese Berichte tatsächlich in das Radar und die Schilde des Schiffes eingespeist, oder lagen sie nur in einer Schublade?
Auswirkung (Impact): Hat das Schiff schneller reagiert? Hat der Schild mehr Angriffe abgeblockt?

Das Coole an ihrem Schulbericht ist, dass er streng ist. Wenn Ihr Team zwar großartig darin ist, Berichte zu beschaffen, aber schrecklich darin, sie zu nutzen, sinkt die Gesamtnote drastisch. Es ist wie eine Kette: Die gesamte Kette ist nur so stark wie ihr schwächstes Glied. Man kann keine perfekte Punktzahl haben, wenn ein Teil versagt.

Zweitens entwickelten sie eine „Break-Even-Karte“. Da niemand genau weiß, wie oft ein Pirat angegriffen hätte, wenn es das Spionagenetzwerk nicht gäbe, sagen die Autoren: „Hören wir auf zu raten und fangen wir an zu kartieren.“ Sie zeichneten eine Linie auf einem Graphen, die die Beziehung zwischen zwei Unbekannten zeigt:

Wie wahrscheinlich ist ein großer Angriff? (Die Wahrscheinlichkeit).
Wie sehr begrenzt das Spionagenetzwerk diesen? (Die Abschwächung/Mitigation).

Die Karte zeigt, dass für Ihr Spionagenetzwerk, um die Kosten zu decken, diese zwei Zahlen multipliziert einen bestimmten „Kipppunkt“ überschreiten müssen. Zum Beispiel: Im Finanzsektor (Banken) illustriert die Studie: Falls Ihr Spionagenetzwerk 20 % potenzieller Katastrophen verhindern kann, müsste Ihr Unternehmen pro Jahr eine realistische Chance eines großen Angriffs von mindestens 34,4 % haben, um den Break-Even-Punkt zu erreichen. Im Gesundheitswesen (Krankenhäuser) sind die Zahlen ähnlich: Sie bräuchten eine 34,9 % Chance auf einen großen Angriff, um eine 20 %ige Stopp-Rate zu rechtfertigen.

Entscheidend ist, dass die Autoren diese Zahlen nicht als universelle Fakten „gefunden“ haben. Es sind keine Vorhersagen dessen, was passieren wird. Stattdessen sind sie illustrative Stress-Test-Inputs. Die Studie stellt explizit klar, dass dies hypothetische Szenarien sind, die dazu dienen, die Funktionsweise der Mathematik aufzuzeigen. Die Zahlen ändern sich je nach den spezifischen Kosten und Risiken Ihrer Organisation.

Die Autoren ließen auch tausende Computersimulationen laufen (als würde man ein Videospiel eine Million Mal mit unterschiedlichen Einstellungen spielen), um zu sehen, wie die Mathematik unter Unsicherheit standhält. In diesen Simulationen nutzten sie den „Schulbericht der Spionschule“ (TIEI) nur als Kalibrierungsannahme für ein spezifisches Referenzszenario. Sie kamen nicht zu dem Schluss, dass ein hoher TIEI eine Erreichung des Break-Even-Punktes in der realen Welt garantiert. Stattdessen zeigten sie: Wenn man von einem reifen Programm (hoher TIEI) ausgeht, legt die Mathematik nahe, dass ein breiterer Bereich plausibler Erfolgsraten möglich ist. Wenn Ihr Programm weniger reif ist, schrumpft der Bereich der plausiblen Erfolgsraten.

Die große Erkenntnis ist nicht, dass sie eine magische Zahl gefunden haben, die beweist, dass CTI immer ein Gewinner ist. Stattdessen haben sie Unternehmen ein ehrliches Werkzeug gegeben, um auf zu raten. Sie sagen: „Sagen Sie Ihrem Chef nicht einfach ‚Wir haben Millionen gespart‘, weil Sie es nicht beweisen können. Zeigen Sie ihm stattdessen Ihren Schulbericht, um zu beweisen, dass Sie gut in Ihrem Job sind, und zeigen Sie ihm dann diese Karte, um zu beweisen, dass die Investition angesichts Ihrer spezifischen Risiken und der Annahmen, die Sie bereit sind zu treffen, sinnvoll ist.“

Es ist ein Weg, die unsichtbare Kunst der „Prävention schlechter Dinge“ in eine klare, logische Geschäftsentscheidung zu verwandeln. Es räumt ein, dass wir die Zukunft nicht kennen können, gibt uns aber eine solide Methode, um für sie zu planen – um sicherzustellen, dass das Geld, das für Spione ausgegeben wird, tatsächlich das Schiff schützt, anstatt nur teure, ungenutzte Karten zu kaufen.

Technisches Resümee: Bewertung des ROI von Cyber Threat Intelligence

1. Problemstellung

Die Quantifizierung des Return on Investment (ROI) für Cyber Threat Intelligence (CTI)-Programme steht vor einem grundlegenden Messproblem: Erfolgreiche Prävention führt zu „Nicht-Ereignissen“, die kein beobachtbares finanzielles Signal hinterlassen. Folglich entzieht sich CTI-Ausgaben einer traditionellen Kosten-Nutzen-Analyse. Darüber hinaus ist der Wert von CTI oft indirekt; er wirkt als Kraftmultiplikator für nachgelagerte Kontrollen (z. B. Firewalls, EDR, Analysten) statt als eigenständige technische Kontrolle. Dies erschwert die kausale Attribuierung und die Definition der Investitionsgrenze. Traditionelle Wirtschaftsmodelle, wie das Gordon–Loeb-Modell (GL), sind für unabhängige technische Kontrollen konzipiert und scheitern daran, die probabilistischen Risikominderungs- und Hebeleffekte zu erfassen, die mit intelligentengesteuerten Workflows einhergehen. Ohne ein belastbares Modell riskieren CTI-Programme, als reine Kostenstellen wahrgenommen zu werden, was zu Unterfinanzierung und Fehlallokation von Ressourcen führt.

2. Methodik

Das Paper schlägt einen mehrschichtigen Rahmen vor, der quantitative Metriken, qualitative Indikatoren und einen spezifischen Finanzmodellierungsansatz kombiniert, um die Messlücke zu schließen.

2.1 Der Threat Intelligence Effectiveness Index (TIEI)

Um die CTI-Reife operationalisierbar zu machen, führen die Autoren den Threat Intelligence Effectiveness Index (TIEI) ein. Im Gegensatz zu herkömmlichen gewichteten arithmetischen Mitteln, die Linearität voraussetzen und erlauben, dass hohe Werte in einem Bereich Defizite in einem anderen kompensieren, nutzt der TIEI ein gewichtetes geometrisches Mittel. Diese Formulierung bestraft Schwachstellen, was die Realität widerspiegelt, dass ein Mangel in einer Dimension (z. B. mangelhafte Integration) den Wert anderer Dimensionen zunichtemachen kann.

Der TIEI aggregiert vier Dimensionen:

Intelligence Quality (Qualität der Intelligence): Genauigkeit, Aktualität, Relevanz und Vollständigkeit.
Enrichment (Anreicherung): Abbildung auf TTPs (ATT&CK), interne Korrelation, Entitätsverknüpfung und Handlungsfähigkeit.
Integration & Automation (Integration & Automatisierung): Kontrollabdeckung, Zustellungsrate, Automatisierungsraten und SLA-Einhaltung.
Operational Impact (Operativer Impact): Reduktion der Mean Time to Detect (MTTD) und Mean Time to Respond (MTTR), Reduktion von False-Positives und Coverage-Steigerung.

Die Scores werden auf einer Skala von [1, 100] unter Verwendung definierter Zielwerte oder Multi-Anker-Normalisierung (unakzeptabel, Referenz, Stretch-Level) normiert, um die Reproduzierbarkeit zu gewährleisten.

2.2 Finanzrahmen: Breakeven-First-Ansatz

Das Paper verschiebt den Fokus von der Vorhersage spezifischer ROI-Werte hin zur Definition einer Breakeven-Machbarkeitsfront (Breakeven Feasibility Frontier). Dieser Ansatz erkennt an, dass die organisationsspezifische jährliche Wahrscheinlichkeit eines materiellen Verlustereignisses ( $p_0$ ) und der CTI-zuordnungsfähige Minderungsfaktor ( $M$ ) Unbekannte sind, die nicht zuverlässig aus allgemeinen Branchenberichten geschätzt werden können.

Das Modell definiert die Gesamtkosten des Betriebs (Total Cost of Ownership, TCO) für CTI ( $TCO_{CTI}$ ) so, dass sie nicht nur Plattform- und Feed-Kosten umfassen, sondern auch die inkrementellen nachgelagerten Kosten, die zur Operationalisierung der Intelligence erforderlich sind (Integration, Engineering, Automatisierung).

Die Bedingung für einen positiven ROI wird wie folgt abgeleitet:
$p_0 \times M > \kappa$
Wobei $\kappa = \frac{TCO_{CTI}}{L_M}$ und $L_M$ die bedingte Schadenshöhe des Ereignisses ist.

Dies schafft eine Zwei-Unbekannten-Front: Eine Organisation muss nachweisen, dass das Produkt ihrer spezifischen Ereigniswahrscheinlichkeit und ihrer spezifischen Minderungsfähigkeit den Kosten-zu-Verlust-Quotienten übersteigt.

2.3 Konditionierte Simulation

Um zu illustrieren, wie sich Unsicherheit ausbreitet, verwenden die Autoren eine PERT-Simulation, die auf den TIEI-Score konditioniert ist. Der Minderungsfaktor ( $M$ ) wird als PERT-Verteilung modelliert, deren Grenzen (pessimistisch, wahrscheinlich, optimistisch) affine Funktionen des TIEI-Scores sind. Dies verknüpft die operative Reife direkt mit dem Bereich plausibler finanzieller Ergebnisse, ohne einen einzelnen deterministischen Wert zu behaupten.

3. Zentrale Beiträge

Das Paper leistet zwei primäre Beiträge:

Der Threat Intelligence Effectiveness Index (TIEI): Ein strukturierter, gewichteter geometrischer Reifegrad-Maßstab, der Intelligence-Qualität, Anreicherung, Integration und operativen Impact erfasst. Er bestraft explizit unausgewogene Leistungen und bietet eine reproduzierbare Basis zur Verfolgung der Programmentwicklung.
Ein Breakeven-First-Finanzentscheidungsrahmen: Eine Methode, die $p_0$ und $M$ als Unbekannte behandelt und die Kombinationen charakterisiert, die für einen positiven ROI erforderlich sind. Dieser Rahmen umfasst eine umfassende Definition der Investitionsgrenze (TCO) und zeigt auf, wie bedarfsgerechte Breakeven-Anforderungen abgeleitet werden können, ohne auf irreführende sektorweite Prävalenzdaten zurückzugreifen.

4. Ergebnisse und Anwendung

Der Rahmen wurde an illustrativen Szenarien im Finanzdienstleistungssektor und im Gesundheitswesen angewendet.

Finanzdienstleistungen: Bei geschätzten Kosten eines Breaches ( $L_M$ ) von 5,82 Mio. $ und einer All-in-Jahresinvestition ( $TCO_{CTI}$ ) von 0,40 Mio. $ beträgt die Machbarkeitskonstante $\kappa$ 6,87 %. Die Analyse zeigt, dass für ein CTI-Programm mit einer Minderungsfähigkeit von 20 % ( $M=0,20$ ) die branchenspezifische jährliche Wahrscheinlichkeit eines materiellen Ereignisses 34,4 % überschreiten muss.
Gesundheitswesen: Bei geschätzten Kosten eines Breaches von 8,595 Mio. \ $und einer Investition von 0,60 Mio. \$ liegt $\kappa$ bei 6,98 %. Ebenso erfordert eine Minderungsfähigkeit von 20 % eine Ereigniswahrscheinlichkeit von über 34,9 %.

Das Paper betont, dass es sich hierbei nicht um Vorhersagen des Sektorrisikos handelt, sondern um Machbarkeitsfronten. Sie definieren das Mindestmaß an Evidenz, das eine Organisation vorlegen muss, um die Investition zu rechtfertigen. Die TIEI-konditionierte PERT-Simulation verdeutlicht zudem, dass für ein reifes Programm (TIEI = 80) die Wahrscheinlichkeit, einen positiven ROI zu erzielen, signifikant steigt, wenn die angenommene Ereigniswahrscheinlichkeit ( $p_0$ ) steigt – die Simulation stützt sich jedoch darauf, dass die Organisation ein defensierbares $p_0$ liefert.

5. Bedeutung und Ansprüche

Die Autoren behaupten, dass dieser Rahmen einen reproduzierbaren Grund für CTI-Investitionsentscheidungen bietet, indem er die operative Reife (TIEI) mit einer prüfbaren finanziellen Grenze verknüpft.

Neuinterpretation des ROI: Das Paper argumentiert, dass ROI als Maß für „vermiedene Fragilität“ statt als Gewinnsteigerung betrachtet werden sollte, was das „Präventionsparadoxon“ adressiert, bei dem erfolgreiche Sicherheit unsichtbar bleibt.
Kausale Konsistenz: Durch den Verzicht auf die Ersetzung der organisationsspezifischen Ereigniswahrscheinlichkeiten durch breite Sektorprävalenzen vermeidet der Rahmen den „Kategoriefehler“, bei dem traditionelle kontrollbasierte Modelle auf informationelle Assets angewendet werden.
Ganzheitliche Bewertung: Der Ansatz integriert quantitative Leistungsindikatoren (MTTD, MTTR), qualitative strategische Werte (Markenschutz, regulatorische Compliance) und Finanzmodellierung (FAIR-basierte Risikominderung).
Bescheidenheit der Ansprüche: Das Paper stellt explizit klar, dass es keinen universellen Sektor-ROI schätzt. Die numerischen Fronten sind deterministische Sensitivitätsgrenzen basierend auf Szenario-Inputs, keine Konfidenzintervalle. Die TIEI-konditionierte PERT-Simulation wird als sekundäre, annahmenbedingte Illustration und nicht als prädiktives Werkzeug präsentiert.

Die Studie kommt zu dem Schluss, dass trotz erheblicher Messherausforderungen (Attribuierung, Datenüberlastung, Immaterielles) ein mehrschichtiger Ansatz, der den TIEI mit einem Breakeven-First-Finanzmodell kombiniert, Führungskräften ermöglicht, den Wert von CTI als defensible strategische Investition statt als Kostenstelle zu kommunizieren.