Attack Tree (Angriffsbaum)
Ein Attack Tree (Angriffsbaum) zerlegt ein Angriffsziel hierarchisch in Teilziele und konkrete Angriffsschritte. In der TARA nach ISO/SAE 21434 dienen Angriffsbäume dazu, Angriffspfade systematisch zu modellieren und ihre Durchführbarkeit nachvollziehbar zu bewerten. Die Methode stammt aus der klassischen IT-Sicherheit und wurde Ende der 1990er Jahre durch Bruce Schneier populär — lange bevor die Automobilnormen sie aufgriffen.
Aufbau eines Angriffsbaums
Die Wurzel des Baums ist das Ziel des Angreifers — etwa „Manipulation der Bremsfunktion“. Jede Ebene darunter verfeinert, wie dieses Ziel erreicht werden kann; die Blätter sind konkrete, einzeln bewertbare Angriffsschritte. Zwei Verknüpfungstypen strukturieren den Baum:
- ODER-Knoten: Es genügt, dass ein Unterpfad gelingt — alternative Wege zum selben Teilziel, etwa „Zugriff über den OBD-Port“ oder „Kompromittierung der Telematikeinheit“.
- UND-Knoten: Alle Unterpfade müssen gelingen — etwa erst Zugang zum Bordnetz erlangen und dann die Authentisierung des Steuergeräts umgehen.
Ein Weg von einem Blatt bis zur Wurzel beschreibt einen vollständigen Angriffspfad. Der Baum macht damit sichtbar, welche Kombinationen von Schritten ein Angreifer braucht — und wo eine einzelne Maßnahme gleich mehrere Pfade unterbricht.
Angriffsbäume in der TARA
In der Threat Analysis and Risk Assessment (TARA) der ISO/SAE 21434 folgt auf die Identifikation von Bedrohungsszenarien die Frage, wie eine Sicherheitseigenschaft konkret verletzt werden kann. Genau hier setzen Angriffsbäume an: Sie leiten zu jedem Bedrohungsszenario die zugehörigen Angriffsschritte her. Jeder Schritt wird anhand von Faktoren wie Zeit, Fachwissen, Zugang und Ausrüstung bewertet; daraus ergibt sich der Attack Feasibility Level (AFL) des Pfads. Zusammen mit dem Impact Level des Schadensszenarios bestimmt der AFL über die Risikomatrix den Risk Level — und damit, welche Risiken behandelt werden müssen.
Attack Tree und Fault Tree: verwandte Struktur, andere Welt
Der Angriffsbaum ist das Security-Gegenstück zum Fehlerbaum (FTA) der funktionalen Sicherheit. Beide zerlegen ein unerwünschtes Top-Ereignis über UND/ODER-Logik in Ursachen. Der entscheidende Unterschied liegt in der Natur der Ursachen: Die FTA modelliert zufällige Ausfälle und rechnet mit Eintrittswahrscheinlichkeiten. Der Angriffsbaum modelliert absichtliche Handlungen eines intelligenten Gegners — bewertet wird nicht, wie wahrscheinlich ein Schritt „passiert“, sondern wie leicht ein motivierter Angreifer ihn durchführen kann.
Angriffsbäume in der Praxis: Die Pflege ist die eigentliche Arbeit
Einen Angriffsbaum aufzustellen ist der kleinere Teil der Arbeit. In realen Systemen tauchen dieselben Assets und Angriffsschritte in mehreren Bäumen auf, und Angriffspfade pflanzen sich über Komponentengrenzen fort. Wird eine neue Schwachstelle bekannt, lautet die Frage: Verändert sie den AFL auf einem Pfad, der bisher als akzeptabel galt? Diese Neubewertung an fünf Stellen gleichzeitig konsistent zu halten, überfordert tabellenbasierte Ansätze schnell — die Bewertungen driften auseinander, und die Entscheidungshistorie geht verloren. Für prüffähige Analysen nach ISO/SAE 21434 bewährt sich deshalb eine modellbasierte Pflege, bei der Änderungen entlang der Pfade propagieren, statt von Hand nachgezogen zu werden.