Defense Impairment (MITRE ATT&CK, Taktik TA0112) ist mit ATT&CK v19 (2026) aus der früheren Defense-Evasion-Taktik hervorgegangen. Während Stealth (TA0005) darauf zielt, sich zu verbergen, greift Defense Impairment aktiv ein: Sicherheitswerkzeuge, Logging und Telemetrie werden geschwächt, damit der Verteidiger nicht mehr sieht oder vertrauen kann, was passiert. Dieser Hub erklärt Ziel, Mechanik und Abgrenzung, die relevanten Technikklassen, die Voraussetzungen und vor allem die Operator-Entscheidung - denn Defenses zu schwächen ist mächtig, aber laut. Funktionsfähige Bypässe liefert er bewusst nicht.
Was ist Defense Impairment?
Defense Impairment umfasst alle Techniken, mit denen ein Angreifer die Verteidigung aktiv schwächt, statt ihr nur auszuweichen: ein EDR stoppen, das Windows-Ereignisprotokoll abschalten, ETW-Telemetrie unterdrücken, eine Firewall-Regel ändern oder die Inspektion im eigenen Prozess (AMSI) neutralisieren. Das operative Ziel ist, dem Verteidiger die Sicht oder die Kontrolle zu nehmen.
Mit ATT&CK v19 hat MITRE diese aktive Sabotage von der reinen Tarnung getrennt, weil beide einen völlig unterschiedlichen Footprint haben. Dieser Hub bleibt konzeptionell: Er zeigt Architektur, Mechanik, Entscheidungslogik und Footprint - keine einsatzbereiten Defense-Breaking-Payloads.
Unterschied zu Stealth
Stealth und Defense Impairment verfolgen gegensätzliche Strategien. Der entscheidende Unterschied liegt im Footprint: Tarnung versucht, gar nicht erst aufzufallen; aktives Schwächen ist selbst ein Ereignis.
| Aspekt | Stealth (TA0005) | Defense Impairment (TA0112) |
|---|---|---|
| Strategie | Sich verbergen, wie normal aussehen | Schutz und Sichtbarkeit aktiv schwächen |
| Beispiel | Obfuscation, Masquerading, LOLBins | EDR stoppen, Logging abschalten, ETW unterdrücken |
| Footprint | Möglichst keiner | Der Eingriff selbst ist ein starkes Signal |
| Voraussetzung | Oft ohne erhöhte Rechte möglich | Je nach Technik erhöhte Rechte oder eigener Prozesskontext |
Daraus folgt die wichtigste operative Einsicht: Ein verstummtes EDR oder ein geleertes Log ist für einen aufmerksamen Verteidiger kein blinder Fleck, sondern ein Alarm. Defense Impairment tauscht Sichtbarkeit gegen ein anderes, oft lauteres Signal.
Relevante ATT&CK-Techniken
Kern der Taktik ist T1562 Impair Defenses mit seinen Subtechniken. Die wichtigsten:
| Technik | ATT&CK | Prinzip |
|---|---|---|
| Disable or Modify Tools | T1562.001 | Sicherheitssoftware stoppen, deinstallieren oder umkonfigurieren |
| Disable Windows Event Logging | T1562.002 | Die Windows-Ereignisprotokollierung abschalten |
| Impair Command History Logging | T1562.003 | Shell-History (z. B. Bash, PowerShell) unterdrücken |
| Disable or Modify System Firewall | T1562.004 | Firewall-Regeln manipulieren, um Kanäle zu öffnen |
| Indicator Blocking | T1562.006 | Telemetrie-Weiterleitung blockieren, etwa ETW-Provider stören |
Technikklassen und Mechanik
Security-Tool-Tampering (T1562.001)
Der direkteste Weg: das Schutzprodukt selbst angreifen - Dienst stoppen, Treiber entladen, Konfiguration entschärfen oder über einen verwundbaren signierten Treiber (BYOVD-Prinzip) aus dem Kernel heraus deaktivieren. Mechanik: Eingriff in einen geschützten Prozess oder Dienst. Voraussetzung: hohe Rechte, oft SYSTEM. Footprint: stark - moderne Produkte melden den Versuch.
Tamper Protection meldet Manipulationsversuche direkt; das Stoppen oder Deinstallieren eines Sicherheitsdienstes, das Laden eines bekannten verwundbaren Treibers und das plötzliche Ausbleiben erwarteter Heartbeats sind starke Signale. Das Schweigen eines sonst aktiven Sensors ist selbst der Alarm. Erkennungslogik auf blue-team.net.
Logging- und Telemetry-Impairment (T1562.002, T1562.003, T1562.006)
Statt das Produkt anzugreifen, wird die Datenquelle geschwächt: das Ereignisprotokoll abschalten, die Command-History unterdrücken, ETW-Provider stören oder die Weiterleitung blockieren. Mechanik: Eingriff in die Telemetrie-Pipeline. Voraussetzung: meist administrative Rechte. Footprint: die Lücke in einer sonst lückenlosen Ereigniskette.
Das Leeren oder Stoppen des Event-Logs erzeugt selbst Ereignisse (etwa Event ID 1102 oder 1100), eine abrupt endende Telemetriequelle fällt gegen die Baseline auf, und zentrale Log-Weiterleitung macht lokales Abschalten wirkungslos - die Daten liegen dann schon auf dem SIEM. Mehr auf blue-team.net.
In-Process-Impairment: AMSI und ETW (konzeptionell)
Hierher gehört das aktive Neutralisieren der Inspektion im eigenen Prozess - die AMSI-Prüfung ausschalten oder den ETW-Provider im Prozess stummschalten. Es kann als Defense Impairment eingeordnet werden, weil nicht der Code verborgen (Stealth), sondern die prüfende Instanz selbst geschwächt wird. ATT&CK-Techniken lassen sich allerdings mehreren Taktiken zuordnen - die Trennung ist eine Einordnung, keine starre 1:1-Regel. Die Bypass-Klassen sind hier nur konzeptionell benannt:
| Klasse | Prinzip (konzeptionell) | Footprint |
|---|---|---|
| AMSI-Umgehung | Die AMSI-Prüfung im eigenen Prozess neutralisieren | Integritätsbruch der AMSI-Funktionen, Schreibzugriff eines Prozesses auf den eigenen Code |
| ETW-Manipulation | Das Tracing im eigenen Prozess stören | Unerwartetes Verstummen einer sonst aktiven ETW-Quelle |
| EDR-Tampering / Unhooking | Die Beobachtungsschicht des EDR schwächen oder umgehen | Frisch geladene, ungehookte Modulkopien, Abweichung von der erwarteten Hook-Landschaft |
Viele dieser Eingriffe hinterlassen charakteristische Speicher- oder Modul-Artefakte, und das Verstummen einer Telemetriequelle ist selbst ein Signal. Die funktionalen Details sind bei MITRE und im Unprotect Project dokumentiert; die Erkennung steht auf blue-team.net.
Wann ein Red Teamer Defense Impairment einsetzt - und wann nicht
Defense Impairment ist das laute Werkzeug im Kasten. Ein erfahrener Operator greift selten zuerst dazu. Die Entscheidung folgt klaren Abwägungen:
| Frage | Überlegung |
|---|---|
| Ist es überhaupt nötig? | Oft kommt man mit Stealth weiter, ohne eine Kontrolle anzutasten. Impairment ist der Ausweg, wenn Ausweichen nicht reicht. |
| Habe ich die Rechte? | Viele systemweite Techniken brauchen erhöhte Rechte und damit oft vorherige Privilege Escalation; manche wirken schon im eigenen Benutzer- oder Prozesskontext. |
| Wie laut ist der Eingriff? | Tamper Protection und Log-Meta-Ereignisse machen viele Eingriffe sofort sichtbar. Das Schweigen danach ist selbst ein Alarm. |
| Gibt es eine leisere Alternative? | Eine Technik wählen, die gar nicht erst durch die Kontrolle beobachtet wird, schlägt oft das Abschalten der Kontrolle. |
| Was kostet es die nächste Phase? | Ein ausgelöster Tamper-Alarm kann die gesamte Operation auffliegen lassen - der kurzfristige Gewinn kann teuer werden. |
Die Faustregel erfahrener Operatoren: Defense Impairment wird gezielt und spärlich eingesetzt, unmittelbar vor einer ohnehin unvermeidbar lauten Aktion - nicht als pauschaler erster Schritt.
In unserer durchgehenden, autorisierten Übung bei der fiktiven Nordlicht Logistik GmbH verzichtet das Red Team zunächst bewusst auf Defense Impairment - das Abschalten des EDR wäre lauter als die leise Weiterarbeit mit Stealth. Erst kurz vor einer unvermeidbar lauten Aktion erwägt das Team, gezielt eine einzelne Telemetriequelle zu schwächen - und entscheidet sich dagegen, weil das Verstummen den wachsamen SOC-Kollegen erst recht alarmieren würde.
Einordnung und Grenze
Dieser Hub zeigt Prinzip, Mechanik und Footprint - keine funktionsfähigen Bypässe, Treiber-Exploits oder einsatzbereiten Defense-Breaking-Payloads. Solche Bausteine nützen Angreifern direkt und tragen nichts zum Verständnis bei. Wer sie für legitime Forschung oder autorisierte Tests braucht, findet sie bei MITRE, im Unprotect Project und in Konferenzbeiträgen. Hier steht die Entscheidung im Vordergrund: ob, wann und mit welchem Preis man die Verteidigung aktiv schwächt.
Das aktive Schwächen von Schutzmechanismen gehört ausschließlich in autorisierte Tests mit wirksamer Erlaubnis des Berechtigten. Der Eingriff in fremde Sicherheitssysteme ohne Berechtigung kann abhängig vom Einzelfall strafrechtlich relevant sein. Dieser Beitrag dient der Information und der Absicherung legitimer Sicherheitsarbeit und ist keine Rechtsberatung.
Einordnung in die Angriffskette
Viele systemweite Defense-Impairment-Techniken benötigen erhöhte Rechte und damit oft vorherige Privilege Escalation; andere wirken bereits im eigenen Benutzer- oder Prozesskontext. Gezielt eingesetzt wird die Taktik vor lauten Schritten - etwa vor Credential Access oder dem Betrieb eines C2-Kanals. Die leisere Schwester-Taktik ist Stealth. Einen Überblick über alle Taktiken gibt die Payload-Sammlung.
Häufige Fragen
Warum ist Defense Impairment eine eigene Taktik?
Mit ATT&CK v19 (2026) hat MITRE die frühere Defense-Evasion-Taktik in Stealth (TA0005) und Defense Impairment (TA0112) getrennt. Der Grund: Sich zu verbergen und Schutz aktiv zu sabotieren sind unterschiedliche Ziele mit völlig unterschiedlichem Footprint.
Ist das Abschalten des EDR nicht der sicherste Weg?
Selten. Moderne Produkte haben Tamper Protection, und ein verstummter Sensor fällt gegen die Baseline sofort auf. Das Schweigen wird zum Alarm. Oft ist eine leisere Technik, die gar nicht erst beobachtet wird, die bessere Wahl.
Wo ist die Grenze zu Stealth?
Stealth verbirgt die eigene Aktivität, ohne die Kontrolle anzutasten. Defense Impairment greift in die Kontrolle selbst ein. Das Neutralisieren der AMSI-Prüfung kann als Impairment eingeordnet werden, weil die Kontrolle selbst geschwächt wird; das bloße Verschleiern eines Skripts ist Stealth. Da Techniken mehreren Taktiken zugeordnet sein können, ist das eine Einordnung, keine starre Regel.