? => [Previous post.] 
? => Folgt:
Am 03.06.2026 trafen sich 11 Bedrohungsmodellierungsbegeisterte von TMC DACH in gemütlicher Runde, um die vierte Frage des vier-Fragen-Rahmens zu ergründen: “Haben wir (hinreichend) gute Arbeit geleistet?”
Das Format der Zusammenkunft war ein Lagerfeuer: Dabei geht es nicht darum, dass eine präsentierende Person die Weisheit mit Löffeln gefressen hat. Stattdessen ergründen wir gemeinsam unterschiedliche Perspektiven auf ein Thema.
Vier Fragen zur Bedrohungsmodellierung
Die vier Fragen aus Shostack’s vier Fragen Rahmen zur Bedrohungsmodellierung lauten wie folgt:
- Woran arbeiten wir? ↔ What are we working on?
- Was kann schief gehen? ↔ What can go wrong?
- Was tun wir deswegen? ↔ What are we going to do about it?
- Haben wir (hinreichend) gute Arbeit geleistet? ↔ Did we do a good (enough) job?
Lilith (@Laxarella), die durch den Abend geführt hat, hatte den Eindruck, dass die vierte Frage oft unter den Tisch fällt. So war auch scherzhaft vom Drei-Fragen-Rahmen die Rede.
Was heißt es also, im Threat Modeling “gute Arbeit” geleistet zu haben??
Zugang: Ist gute Arbeit = keine schlechte Arbeit?
Lilith verwies auf die Arbeit von Hendrik, der in seinem Projekt the Threat Modeling of Threat Modeling Methoden der Bedrohungsmodellierung auf Threat Modeling selbst angewendet hat. Unter dem Schlagwort Meta Threat Modeling finden sich weitere Beiträge dazu.
Ein positiver Zugang zum Thema gute Arbeit ist somit: Wie sieht gute Arbeit aus? → Wie erreichen wir das?
Ein negativer Zugang benennt mögliche zukünftige Probleme (Gefahren) mit dem Prozess. → Dann verhindern, vermeiden, erkennen und beheben wir. Oder wir beurteilen zunächst das Risiko - Wie wahrscheinlich trifft das auf uns zu? Wie schlimm wäre es? So, wie wir das eben von Bedrohungsmodellierung gewohnt sind.
Oft lassen sich beide Zugänge dual ineinander übersetzen: Das Ziel, alle wesentlichen Gefahren ermittelt zu haben, ist beispielsweise gleichbedeutend damit, keine wesentliche Gefahr übersehen zu haben.
Gruppenarbeit
Die darauf folgende Gruppenarbeit sammelte von den Teilnehmenden verschieden Aspekte guter oder schlechter Arbeit in einem gemeinsamen Excalidraw Projekt.
Die Vorlage war bewusst offen für beide Zugänge - positiv wie negativ.
Die Teilnehmenden steuerten einen bunten Blumenstrauß vielfältiger Facetten bei, was gute oder schlechte Bedrohungsmodellierung ausmachte.
Hier kam uns die mittlere Gruppengröße zu Gute: Die Zeit reichte, um alle Eintragungen nach dem Sammeln zu sichten und zu diskutieren!
Dabei kam zum Vorschein, dass für manche der Teilnehmenden “gute Arbeit” viel einfacher aussehen kann, als für andere. Die Teilnehmenden schilderten auch ihre Erfahrungen über bereits durchgeführte Bedrohungsmodellierungen. Manche waren schon froh, wenn das Thema Bedrohungsmodellierung bei den Beteiligten zunächst nur gut ankam. Andere wollten natürlich tiefer in die Materie einsteigen und sehen gute Arbeit erst dann, wenn alle gefundenen Bedrohungen besprochen wurden.
Essenz und gelernte Lektionen
Es war spannend zu sehen, wie unterschiedlich die vierte Frage betrachtet werden kann und wird. Es gab jedoch keinen Punkt, zu dem keiner der Teilnehmenden zugestimmt hätte. Somit war der kleinste gemeinsame Nenner von allen, dass die Betroffenen positiv gegenüber einer Bedrohungsmodellierung gestimmt sind. Wenn sich darüber hinaus noch hilfreiche Erkenntnisse in einem akzeptablen Zeitrahmen ergeben haben, umso besser!
Der negative Zugang erwies sich als ergiebiger was die Lösungsmöglichkeiten anging: Während positive Nennungen oft “nur” ein wohliges Gefühl erzeugten (“ach, das ist aber schön”), wurde dann doch nicht verfolgt: Wie kommen wir dort eigentlich hin? Dies gelang bei den negativ-Themen besser. Womöglich hätte eine andere Moderation hier noch andere Ergebnisse erzielen können.