Die Ebenen sollen manche Angriffe verhindern, andere aufdecken, ihre Bewegung oder Wirkung begrenzen und die Wiederherstellung unterstützen.
Wirksame Tiefe entsteht durch komplementäre und hinreichend unabhängige Schutzmaßnahmen. Dieselbe Kontrolle an mehreren Stellen zu wiederholen kann den Anschein von Schutz erzeugen, während ein gemeinsamer Failure Mode bestehen bleibt — etwa mehrere Werkzeuge, die alle vom selben Identitätssystem, derselben Telemetriequelle oder derselben fehlerhaften Richtlinie abhängen.
Echte Tiefe umfasst zudem Funktionen, nicht nur Hersteller: Prävention kauft Zeit, Erkennung bemerkt das Versagen, die Reaktion begrenzt die Ausbreitung und die Wiederherstellung stellt den Dienst wieder her. Übungen, die gezielt eine Ebene umgehen — ein übersehener Alarm, eine erphishste Zugangsberechtigung — zeigen, ob die übrigen Ebenen wirklich kompensieren oder still dieselben Annahmen teilen.
Wichtigste Punkte
Mögliche EbenenSicheres Design, Identitätskontrollen, gehärtete Endpunkte, Segmentierung, Monitoring, Reaktion, geschützte Backups und geübte Wiederherstellung.
DesignprinzipDavon ausgehen, dass einzelne Schutzmaßnahmen umgangen, falsch konfiguriert, nicht verfügbar oder kompromittiert sein können.
ValidierungsbedarfTesten, ob die Ebenen hinreichend unabhängige Failure Modes haben und ob Erkennung und Wiederherstellung noch funktionieren, nachdem eine präventive Kontrolle versagt hat.
Wichtige EinschränkungÜbermäßige Schichtung kann die Komplexität erhöhen, Verantwortlichkeiten verwässern und neue Failure Paths schaffen; jede Ebene braucht einen definierten Zweck.