Proaktive Bedrohungssuche mit KQL und MITRE ATT&CK: 5 hochwertige Sentinel-Abfragen für Ihr SOC
31. März 2026• Creative Web Studio GmbH
Reaktive Sicherheit reicht nicht mehr aus. Dieser Leitfaden zeigt, wie Sie mit KQL und dem MITRE ATT&CK Framework proaktiv nach Bedrohungen in Microsoft Sentinel suchen – mit 5 praxiserprobten Hunting-Abfragen für Identity, Endpoints und Cloud.
## Warum reaktive Sicherheit nicht mehr ausreicht Moderne Cyberangriffe verlaufen selten laut und auffällig. Angreifer bewegen sich heute oft wochenlang unbemerkt in Unternehmensnetzwerken, bevor sie zuschlagen. Sie nutzen legitime Systemwerkzeuge, stehlen Zugangsdaten und bewegen sich seitwärts durch die Infrastruktur – alles unterhalb der Erkennungsschwelle klassischer Sicherheitsregeln. Für Schweizer KMU und Unternehmen, die Microsoft-Technologien einsetzen, stellt sich daher eine entscheidende Frage: Warten wir auf Alarme, oder suchen wir aktiv nach Bedrohungen, die noch keine Alarme ausgelöst haben? **Proaktive Bedrohungssuche** – auf Englisch «Threat Hunting» – ist die Antwort auf diese Herausforderung. Sie geht über automatisierte Erkennungsregeln hinaus und setzt auf hypothesengesteuerte Analyse: Sicherheitsteams formulieren Annahmen über mögliches Angreiferverhalten und überprüfen diese systematisch mit Daten. Das Werkzeug dafür in Microsoft Sentinel ist **KQL – die Kusto Query Language**. --- ## Was ist KQL und warum ist es das Herzstück von Microsoft Sentinel? KQL ist die Abfragesprache für Azure Log Analytics und Microsoft Sentinel. Sie ähnelt SQL, ist aber für zeitbasierte Log-Daten optimiert. Das Grundprinzip ist einfach: Eine Tabelle wird durch eine Pipe-Kette von Operatoren gefiltert, transformiert und aggregiert. ```kusto // Einfaches Beispiel: Alle fehlgeschlagenen Anmeldungen der letzten 24 Stunden SigninLogs | where TimeGenerated > ago(24h) | where ResultT...