Welche Security-Quelle meldet zuerst? Eine Messung über 287 Fälle

Die Auswahl von Threat-Intelligence-Quellen ist entscheidend für die Reaktionsfähigkeit von Security-Teams. Eine Messung über 287 quellenübergreifende Fälle untersucht, welche Quellen zuerst über relevante Ereignisse berichten und welche die umfassendste Abdeckung bieten. Die Analyse konzentriert sich auf sechs Quellen mit ausreichender Beteiligung, die mindestens 15 Fälle abgedeckt haben.

Wie gemessen wurde

Die Auswertung basiert auf 287 quellenübergreifend belegten Fällen. Für die Analyse wurden sechs Quellen mit ausreichender Beteiligung berücksichtigt, die jeweils an mindestens 15 Fällen beteiligt waren. Die Messung des Feed-Zeitstempels dient als Indikator für den Zeitpunkt der Veröffentlichung. Es ist zu beachten, dass dies nicht zwingend dem tatsächlichen Veröffentlichungszeitpunkt entspricht. Die Themenbildung erfolgt durch einen Ähnlichkeitsalgorithmus, der Vorfälle zusammenfassen oder trennen kann. Die Auswertung ist auf die im eigenen Bestand vorhandenen Quellen beschränkt; nicht bezogene Quellen können daher nicht in die Analyse einbezogen werden. Eine Erstmeldung ist ein Tempomaß und keine Qualitätsaussage; einordnende Formate erscheinen naturgemäß später.

Wer zuerst dran ist

BleepingComputer liefert die meisten Erstmeldungen. Von den 287 Fällen war BleepingComputer in 92 Fällen die erste Quelle, die über ein Ereignis berichtete. Dies entspricht einer Erstmeldungsquote von 54 Prozent bei 171 Beteiligungen. Der mittlere Rückstand von BleepingComputer beträgt 21,7 Stunden, was den geringsten Wert unter den analysierten Quellen darstellt. The Hacker News weist mit 194 Beteiligungen die breiteste Abdeckung auf, erreicht jedoch eine Erstmeldungsquote von 39 Prozent.

Warum Behördenquellen ein zweigeteiltes Profil haben

CISA Current Activity zeigt ein zweigeteiltes Profil. Die Erstmeldungsquote liegt bei 50 Prozent, was auf eine signifikante Anzahl von Fällen hinweist, in denen CISA die ursprüngliche Informationsquelle ist. Gleichzeitig beträgt der mittlere Rückstand 121,1 Stunden. Dieser hohe Rückstand bei einer hohen Erstmeldungsquote deutet darauf hin, dass CISA Current Activity entweder die erste Quelle für eine Meldung ist oder eine späte Bestätigung liefert. Die Beteiligung von CISA Current Activity liegt bei 46 Fällen.

Was Community-Signale leisten

Quellen wie BleepingComputer, die oft auf Community-Signale und schnelle Berichterstattung setzen, sind entscheidend für die Frühwarnung. Mit 92 Erstmeldungen und einem mittleren Rückstand von 21,7 Stunden ermöglicht BleepingComputer Security-Teams, schnell auf neue Bedrohungen aufmerksam zu werden. Diese Art von Quelle ist wertvoll, um einen ersten Überblick über aufkommende Risiken zu erhalten, auch wenn die anfänglichen Informationen möglicherweise noch nicht vollständig eingeordnet sind.

Was das für die Quellenauswahl heißt

Die Analyse zeigt, dass keine einzelne Quelle alle Anforderungen an Tempo, Beweiskraft und Vorlauf abdecken kann. Security-Teams sollten eine Kombination von Quellen nutzen, um sowohl schnelle Erstmeldungen als auch umfassende Abdeckung zu gewährleisten. Quellen wie BleepingComputer sind für die schnelle Initialinformation unerlässlich, während breiter abdeckende Quellen wie The Hacker News für eine umfassende Lagebeurteilung wichtig sind. Behördenquellen wie CISA Current Activity können entweder als primäre Informationsquelle dienen oder eine späte, aber autoritative Bestätigung liefern. Eine effektive Quellenauswahl erfordert das Verständnis der spezifischen Stärken und Schwächen jeder Quelle.

Die Zahlen im Überblick

Erstmeldungen und mittlerer Rückstand je Quelle

Zur Methodik: Grundlage sind alle Themen im SecBoard-Bestand, an denen mindestens zwei verschiedene Quellen beteiligt sind — 287 Fälle, Stand 30. August 2026. „Zuerst dran" bezeichnet die Quelle mit dem frühesten Veröffentlichungszeitstempel innerhalb eines Themas. Der Rückstand ist der Mittelwert über alle Themen, an denen eine Quelle beteiligt war, gemessen gegen die jeweils früheste Meldung; eine Erstmeldung geht mit null Stunden ein. Ausgewiesen sind Quellen mit mindestens 15 Beteiligungen.