Cyberangriffe treffen selten nur eine einzelne Organisation. Häufig sind mehrere Ziele zugleich betroffen, und genau deshalb zählt eine schnelle, standardisierte Weitergabe von Bedrohungsinformationen. Mit STIX/TAXII 2.1 wird der Austausch für viele Beteiligte deutlich einfacher und stärker automatisiert – damit lokale Beobachtungen schneller in gemeinsame Schutzmaßnahmen übergehen.
Das Nationale Cyber Security Centrum (NCSC) hat dafür die Aufnahme von STIX/TAXII 2.1 auf der „Pas toe of leg uit“-Liste beim Forum Standaardisatie angestoßen. Seit dem 1. Juli 2026 ist die Version 2.1 dort enthalten, wodurch die zuvor gelistete ältere STIX/TAXII-Version ersetzt wird.
Warum Bedrohungsinformationen gemeinschaftlich geteilt werden müssen
Stellen Sie sich vor, eine Organisation oder ein zentraler Lieferant wird zum Ziel einer bislang unbekannten Ransomware-Kampagne. In einem solchen Fall versuchen Analysten oft zuerst herauszufinden, welche Hinweise auf die Angriffsquelle hindeuten – zum Beispiel IP-Adressen oder Domänen. Diese Hinweise werden als Indicators of Compromise bezeichnet.
Mit STIX lassen sich solche Indikatoren strukturiert und in einem maschinenlesbaren Format abbilden. Anschließend können sie über den TAXII-Mechanismus automatisiert und verschlüsselt zwischen Partnern ausgetauscht werden. Das betrifft nicht nur andere Organisationen, sondern auch branchennahe Zusammenschlüsse wie beispielsweise ISACs.
Der entscheidende Punkt: Angeschlossene Sicherheitskomponenten wie SIEM oder XDR können die Indikatoren direkt verarbeiten. So werden ähnlich verdächtiger Datenverkehr schneller erkannt und auf Wunsch auch blockiert – ohne dass Menschen jeden Schritt manuell ausführen müssen. Damit entsteht ein Kreislauf aus Beobachtung, Austausch und schnelleren Gegenmaßnahmen.
Was ändert sich mit STIX/TAXII 2.1 gegenüber früheren Versionen
Der größere Fortschritt liegt darin, wie das Teilen von Bedrohungsinformationen technisch umgesetzt wird. In früheren STIX/TAXII 1.x-Varianten war ein Rückfluss von Daten in der Theorie möglich, in der Praxis jedoch häufig schwer umzusetzen. Häufig resultierte daraus ein eher einseitiger Austausch.
STIX/TAXII 2.1 verbessert das deutlich: Statt veralteter XML- und SOAP-Strukturen setzt die Version stärker auf ein modernes, JSON-basiertes Datenschema sowie auf eine REST-Architektur. Dadurch wird die Implementierung von automatisiertem, bidirektionalem Austausch – inklusive der Rückmeldung von „sightings“ – wesentlich einfacher. Das erleichtert den Einsatz in der Praxis und kann helfen, die Verbreitung über mehr Beteiligte hinweg zu skalieren.
Auch die Modellierung wird flexibler. So werden in STIX 2.1 Strukturen, die früher in STIX 1.x für mehrere Zwecke genutzt werden konnten, klarer in eigenständige Entitäten aufgeteilt, etwa in Attack Pattern, Malware, Tool und Vulnerability. Zusätzlich verbessert TAXII 2.1 die Skalierbarkeit durch Funktionen wie Paginierung, Batch-Verarbeitung und bessere Filter. Das macht es leichter, auch größere Datensätze effizient zu verarbeiten als in TAXII 1.x.
Offener Standard, weniger Abhängigkeiten
Ein weiterer Vorteil ist die Ausrichtung auf moderne Kommunikationswege: STIX/TAXII 2.1 basiert auf RESTful APIs über HTTPS. Dadurch lassen sich Systeme unterschiedlicher Organisationen einfacher integrieren.
Da es sich um einen offenen Standard handelt, kann eine mögliche Lieferantenabhängigkeit bei der Umsetzung bestimmter Security-Lösungen reduziert werden. Gleichzeitig bietet STIX/TAXII 2.1 eine robuste technische Basis, um Bedrohungsinformationen auszutauschen und im Zeitverlauf weiterzuentwickeln. Das NCSC kündigt an, Erfahrungen aus der Nutzung in die Weiterentwicklung von STIX/TAXII einfließen zu lassen.
Welche Organisationen betrifft die Umstellung ab 1. Juli 2026?
Seit dem 1. Juli 2026 wurden die Standards STIX und TAXII Version 2.1 auf der „Pas toe of leg uit“-Liste ergänzt. Diese Aufnahme ersetzt die vorher dort gelistete ältere STIX/TAXII-Fassung.
Das bedeutet: Niederländische Gemeinden, Provinzen, der Staat, Wasserversorgungsbehörden sowie alle Ausführungsorganisationen müssen den offenen Standard bei der Anschaffung oder Entwicklung von Sicherheitslösungen anfragen. Eine Ausnahme gilt nur dann, wenn es dafür einen stichhaltigen Grund gibt.
Darüber hinaus werden auch andere Organisationen dazu aufgerufen, STIX/TAXII 2.1 zu nutzen, um Bedrohungsinformationen auszutauschen.
So gelingt die Einführung: 4 konkrete Schritte
Damit die Umstellung nicht zu einem „Big Bang“ wird, empfiehlt sich ein strukturierter Ansatz. In der Quelle werden vier Schritte beschrieben, die Sie dabei unterstützen, STIX/TAXII 2.1 erfolgreich in Ihre Prozesse einzubetten.
1. Bestandsaufnahme der CTI-Fähigkeiten
Beginnen Sie mit einer ehrlichen Übersicht: Welche Bedrohungsinformationen erhalten Sie bereits heute, zum Beispiel vom NCSC oder über kommerzielle Feeds? Entscheidend ist auch, wie diese Daten aktuell verarbeitet werden – und wie viel davon manuell geschieht oder über Scripts läuft.
2. Prüfen Sie die Unterstützung Ihrer Systeme
Viele Sicherheitskomponenten – etwa Threat Intelligence Platforms oder SIEM-Lösungen – unterstützen bereits STIX/TAXII 2.1. Falls nicht eindeutig ist, ob Ihre konkrete Lösung die Version 2.1 unterstützt, fragen Sie beim Lieferanten nach. Alternativ sollte STIX/TAXII 2.1 als verbindliche Anforderung in neuen Beschaffungen berücksichtigt werden.
3. Starten Sie pragmatisch mit einer Quelle
Setzen Sie auf einen kontrollierten Einstieg: Lesen Sie zunächst eine zuverlässige Quelle ein, etwa eine sektorale ISAC, über einen TAXII 2.1 Client. Testen Sie anschließend, ob Ihre Systeme die STIX-Objekte korrekt in verwertbare Alerts für Ihr Dashboard übersetzen – ohne dass Sie von Fehlalarmen überrollt werden.
Wenn das stabil funktioniert, erweitern Sie den Umfang Schritt für Schritt auf zusätzliche Quellen. So vermeiden Sie unnötige Risiken und schaffen eine solide Grundlage für den späteren Ausbau.
4. Entwickeln Sie Richtung aktives Erzeugen und Teilen
Sobald das Konsumieren von Informationen zuverlässig läuft, lohnt sich die nächste Ausbaustufe: Sie sollten selbst Befunde und Bedrohungsdaten zurück in den Austausch geben können. Definieren Sie intern, welche Arten von Informationen sich für eine Weitergabe an die Kette eignen – zum Beispiel konkrete IP-Adressen oder Malware-Hashes.
Auf diese Weise schließen Sie den bidirektionalen Kreis und erhöhen die Nutzbarkeit der gemeinsamen Daten für alle Beteiligten.
Warum der frühe Start jetzt zählt
Wer frühzeitig mit der Adoption von STIX/TAXII 2.1 beginnt, verhindert, dass die Organisation später hinterherläuft. Gleichzeitig stärkt eine reibungslose Einführung das gesamte Sicherheits-Ökosystem, weil mehr Teilnehmer Bedrohungen in ähnlicher Form verstehen und schneller darauf reagieren können.
Gerade bei schnell eskalierenden Angriffen ist der Unterschied zwischen „erst herausfinden“ und „sofort gemeinsam handeln“ oft entscheidend. Mit standardisierten, automatisierten Schnittstellen wird dieser Zeitraum messbar kürzer.
Fazit
STIX/TAXII 2.1 bringt eine Reihe praktischer Verbesserungen für den Austausch von Cyber Threat Intelligence: ein modernes, JSON-basiertes Modell, eine REST-orientierte Umsetzung, bessere Skalierbarkeit sowie die Grundlage für automatisierten, bidirektionalen Austausch inklusive Rückmeldungen von Beobachtungen.
Seit dem 1. Juli 2026 gilt die Version 2.1 im Rahmen der „Pas toe of leg uit“-Liste für zentrale öffentliche Organisationen in den Niederlanden. Wer jetzt strukturiert vorgeht – vom Bestandscheck über die Systemprüfung bis zum schrittweisen Ausbau Richtung aktives Teilen – schafft eine belastbare Grundlage für schnellere Erkennung und gemeinsame Reaktionsfähigkeit.
Quelle: https://www.ncsc.nl/expertblogs/wissel-effectiever-dreigingsinformatie-uit-met-stixtaxi-21
