State Level Actor

State‑Level Actors gehören zu den kritischsten Bedrohungsquellen in der modernen Informationssicherheit, da sie mit erheblichen Ressourcen und klaren staatlichen Interessen im Hintergrund agieren.

Im Kontext der Informationssicherheit sind „State‑Level Actors“ Angreifende, die direkt von einem Staat betrieben oder zumindest klar von einem Staat gesteuert, unterstützt oder beauftragt werden und ihre Cyberoperationen zur Durchsetzung staatlicher Interessen einsetzen.

Rolle und Ziele in der Informationssicherheit

State‑Level Actors (oft auch „Nation‑State Threat Actors“ genannt) betreiben gezielte Cyberangriffe mit typischen Zielen wie:

• nachrichtendienstliche Spionage (Abfluss vertraulicher Informationen, Forschungsdaten, Verteidigungs‑ und Regierungsinformationen),
• Diebstahl von geistigem Eigentum und Geschäftsgeheimnissen,
• Sabotage oder Störung von IT‑/OT‑Infrastrukturen,
• politische Einflussnahme (z.B. Wahlbeeinflussung, Desinformationskampagnen).

Im Gegensatz zu „normalen“ Cyberkriminellen steht bei ihnen weniger kurzfristiger finanzieller Gewinn im Vordergrund, sondern langfristige strategische Vorteile für den jeweiligen Staat.

Fähigkeiten und typische Vorgehensweisen

State‑Level Actors gelten als besonders anspruchsvolle Bedrohungsquelle, weil sie:

• über hohe finanzielle, technische und personelle Ressourcen verfügen (z.B. Nutzung und Aufbau von 0‑Day‑Exploits, eigene Toolchains, dedizierte Operationsteams),
• oft als „Advanced Persistent Threats (APT)“ agieren, also langfristig und unauffällig in Netzen bleiben, statt nur einmalig zuzuschlagen,
• komplexe mehrstufige Angriffsketten nutzen (Kombination aus Phishing/Social Engineering, Supply‑Chain‑Angriffen, Ausnutzung von Schwachstellen, Lateral Movement, Tarnung in legitimen Tools),
• auch Taktiken klassischer Cyberkrimineller einsetzen (z.B. Ransomware, Infostealer), um ihre eigentlichen Spionage‑ oder Sabotageziele zu verschleiern.

Beispiele für typische Angriffsszenarien:

• Kompromittierung eines Software‑Herstellers, um über Updates viele Zielunternehmen zu infizieren (Supply‑Chain‑Angriff),
• langfristige Infiltration von Forschungs‑ oder Regierungsnetzen zur kontinuierlichen Exfiltration sensibler Daten.

Abgrenzung: State‑Level vs. State‑Sponsored

In der Praxis wird unterschieden zwischen:

• direkten staatlichen Einheiten: Gruppen, die innerhalb von Militär, Nachrichtendiensten oder Sicherheitsbehörden operieren,
• State‑Sponsored / State‑Aligned Gruppen: formal nichtstaatliche Organisationen oder Dienstleistende (z.B. Sicherheitsfirmen, „Contractors“), die technisch, finanziell oder operativ von einem Staat gesteuert/unterstützt werden.

Für die Verteidigenden ist die Unterscheidung oft zweitrangig: Beide Kategorien haben in der Regel ein vergleichbares Ressourcen‑ und Fähigkeitsniveau und agieren im Sinne staatlicher Interessen.

Relevanz für ISMS, ISO 27001 und BSI‑Grundschutz

Für ein ISMS (egal ob ISO 27001 oder BSI‑Grundschutz) sind State‑Level Actors vor allem als Bedrohungsquelle im Risikomanagement relevant:

• Sie gehören zur Kategorie hochprofessioneller, gezielter Angriffe mit potentiell sehr hohem Schadensausmaß und langer Verweildauer.
• Besonders betroffen sind kritische Infrastrukturen, öffentliche Einrichtungen, High‑Tech‑Unternehmen, Rüstungs‑ und R&D‑Bereiche, aber zunehmend auch „normale“ Unternehmen durch ausgelagerte Tools/Techniken (Malware‑as‑a‑Service, wiederverwendete APT‑Tools).
• Schutzmaßnahmen sind in der Regel eher strategisch: starke Härtung der Kernsysteme, Detektions‑ und Reaktionsfähigkeit (SOC, SIEM, EDR, Threat Hunting), Supply‑Chain‑Security, Zusammenarbeit mit CERT/CSIRT, sektoralen ISACs usw.

Für die Risikobewertung im ISMS kann es sinnvoll sein, State‑Level Actors als eigene Angreifenden‑Kategorie mit sehr hohen Fähigkeiten und sehr hohen Ressourcen zu modellieren und die Eintrittswahrscheinlichkeit abhängig von Branche, Exponierung (z.B. KRITIS‑Status, internationale Lieferketten, politische Sichtbarkeit) und geopolitischem Kontext zu bewerten. Auch Unternehmen ohne KRITIS‑Status können mittelbar betroffen sein, z.B. als Teil von Lieferketten, durch Dienstleistende (Managed Services, Cloud‑Anbietende) oder als Zuliefernde sensibler Sektoren.

Ein praktischer Ansatz im ISMS ist es, State‑Level Actors explizit als eigene Angreifenden‑Kategorie im Bedrohungsmodell zu führen und dafür konservativ hohe Fähigkeiten, hohe Motivation und hohe Ressourcen anzusetzen, insbesondere wenn Dein Unternehmen in sensiblen Sektoren tätig ist.

Weiterführende Quellen

• Microsoft: Beschreibung und Nomenklatur von „Nation‑State Actors“ im Rahmen der Threat‑Actor‑Taxonomie (z.B. wetterbasierte Benennung): https://learn.microsoft.com/en-us/unified-secops/microsoft-threat-actor-naming
• Blogbeitrag von Microsoft zur Umstellung auf die neue Threat‑Actor‑Taxonomie (u.a. Kategorisierung nach Herkunft, Motivation, Fähigkeiten): https://www.microsoft.com/en-us/security/blog/2023/04/18/microsoft-shifts-to-a-new-threat-actor-naming-taxonomy/
• ENISA Threat Landscape: Übersicht über aktuelle Cyberbedrohungen, inklusive staatlich unterstützter Akteure (State‑Sponsored Actors): https://www.enisa.europa.eu/topics/cyber-threats/threat-landscape
• ENISA Threat‑Landscape‑Berichte mit detaillierten Analysen zu Kampagnen und Taktiken staatlich unterstützter Akteure, z.B. Kapitel zu „State‑Sponsored Actors“ in den jährlichen Reports (verlinkt von der Übersichtsseite): https://www.enisa.europa.eu/topics/cyber-threats/threat-landscape