Zum Hauptinhalt springen

Attack Path (Angriffspfad)

Ein Attack Path (Angriffspfad) ist nach ISO/SAE 21434 die Abfolge konkreter, absichtlicher Angriffsschritte, mit der ein Angreifer ein Bedrohungsszenario realisieren kann — etwa: Kompromittierung der Telematikeinheit über die Mobilfunkschnittstelle, laterale Bewegung auf den CAN-Bus, Absetzen manipulierter Botschaften an das Bremssteuergerät. Die Norm verlangt, zu jedem Bedrohungsszenario die möglichen Angriffspfade zu analysieren; ihre Bewertung erfolgt über die Attack Feasibility.

Top-down und Bottom-up

Für die Herleitung nennt die Norm zwei Vorgehensweisen. Top-down werden Bedrohungsszenarien systematisch in die Angriffsschritte zerlegt, die zu ihrer Realisierung nötig sind; das verbreitetste Werkzeug dafür sind Angriffsbäume, die Teilziele, Alternativen und Abhängigkeiten über UND/ODER-Knoten strukturieren. Bottom-up wird von bekannten Schwachstellen ausgegangen — etwa aus CVE-Meldungen oder Pentest-Ergebnissen — und konstruiert, welche Bedrohungsszenarien sich darüber erreichen lassen. In der Praxis ergänzen sich beide Richtungen: Top-down sichert die Vollständigkeit der Analyse, Bottom-up verankert sie in der realen Schwachstellenlage.

Vom Pfad zum Risiko

Jeder Angriffspfad wird anhand von Faktoren wie benötigter Zeit, Fachwissen, Systemkenntnis, Gelegenheitsfenster und Ausrüstung bewertet; daraus ergibt sich der Attack Feasibility Level. Da ein Angreifer den bequemsten Weg wählt, bestimmt der am leichtesten durchführbare Pfad die Bewertung des Bedrohungsszenarios. Zusammen mit dem Impact Level des zugehörigen Schadensszenarios ergibt sich daraus über die Risikomatrix der Risk Level.

Angriffspfade in der Praxis

Angriffspfade laufen entlang der Kanäle und Schnittstellen, die die Item Definition beschreibt, und sie überqueren dabei Komponentengrenzen. Genau das macht ihre Pflege aufwendig: Eine neue Schwachstelle in einer Komponente kann die Durchführbarkeit auf mehreren Pfaden gleichzeitig verändern, und eine neue Maßnahme unterbricht im besten Fall gleich mehrere Pfade. Für Analysen nach ISO/SAE 21434, die über Jahre konsistent bleiben müssen, bewährt sich deshalb ein modellbasierter Ansatz, bei dem Bewertungsänderungen entlang der Pfade propagieren, statt von Hand nachgezogen zu werden.

Mehr zum Thema

Verwandte Begriffe

Attack Tree Attack Feasibility TARA Threat Modeling

Häufige Fragen

Wie werden Angriffspfade hergeleitet?
Die Norm nennt zwei Vorgehensweisen: Top-down werden Bedrohungsszenarien systematisch in die Angriffsschritte zerlegt, die zu ihrer Realisierung nötig sind — etwa mit Angriffsbäumen. Bottom-up wird von bekannten Schwachstellen aus konstruiert, welche Bedrohungsszenarien sich darüber erreichen lassen. In der Praxis ergänzen sich beide Richtungen.
Wie hängen Attack Path und Attack Tree zusammen?
Der Angriffsbaum ist eine Darstellungsform, der Angriffspfad das Ergebnis: Ein Weg von einem Blatt bis zur Wurzel eines Angriffsbaums beschreibt einen vollständigen Angriffspfad. Über UND/ODER-Knoten hält der Baum fest, welche Schritte kombiniert werden müssen und welche Alternativen ein Angreifer hat.
Welcher Angriffspfad bestimmt das Risiko eines Bedrohungsszenarios?
Der am leichtesten durchführbare. Ein Angreifer wählt den bequemsten Weg zum Ziel, deshalb bestimmt der Pfad mit der höchsten Attack Feasibility die Bewertung des Bedrohungsszenarios. Eine Maßnahme senkt das Risiko nur, wenn sie alle leichten Pfade verteuert, nicht nur einen.
Fachlich geprüft von Jens Bühl, Product Owner am 21. August 2026