Bedrohungen verstehen. Wissen, was zu tun ist.
Serify verknüpft aktuelle Bedrohungsinformationen mit Ihrer Infrastruktur und Ihren Fragestellungen. Ihr Team erhält begründete Handlungsempfehlungen, untersucht Zusammenhänge und erstellt eigene Analysen und Berichte.
Cyber Threat Intelligence für IT-, SOC-, CTI- und CSIRT-Teams · Demonstrator in Entwicklung
Betrifft uns CISA ICSA-25-023-02 zu RTU500 (CVE-2024-2617)?
- Betroffene Anlagen
- Nord (13.5.2) und Süd (13.4.3), beide hoch kritisch. West: Bestand unklar.
- Quelle und Beleg
- CISA ICSA-25-023-02: 13.4.1–13.4.4 und 13.5.1–13.5.3 betroffen, wenn Secure Update nicht auf allen CMUs aktiv ist.
- Nächster Schritt
- Secure Update in Nord und Süd nachweisen, Update auf 13.5.4 bzw. 13.7.7 prüfen, Bestand in West erheben.
Warum jetzt
Die Arbeit wächst schneller als die Teams.
Analystinnen und Analysten übernehmen mehr Quellen, mehr Meldungen und inzwischen auch die Ergebnisse von KI-Systemen, die sie weiterhin prüfen müssen. Die europäische Regulierung setzt feste Fristen obendrauf.
- 81%
- berichten von einer gestiegenen Arbeitslast im vergangenen Jahr.
- 44%
- der Teamzeit entfallen weiterhin auf manuelle, wiederkehrende Arbeit.
- 76%
- berichten von emotionaler Erschöpfung, geringerer Motivation oder mentaler Ermüdung.
Aus einer Befragung von mehr als 1.800 Sicherheitsverantwortlichen und Praktikern. 99% von ihnen setzen bereits KI ein, und der manuelle Anteil ist dadurch nicht gesunken. Tines Voice of Security 2026
Und die Fristen laufen bereits
- NIS2
Frühwarnung binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, ausführlichere Meldung binnen 72 Stunden. Die Kommission schätzt, dass nun über 160.000 Einrichtungen in den Anwendungsbereich fallen.
NIS2 Article 23 - DORA
Mehr als 22.000 Finanzunternehmen. Erstmeldung binnen vier Stunden nach Einstufung eines Vorfalls als schwerwiegend, spätestens 24 Stunden nach Entdeckung.
DORA Article 19 - CRA
Hersteller müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden nach Kenntnis an die ENISA und ihr nationales CSIRT melden, mit technischer Meldung nach 72 Stunden.
CRA reporting obligations
Was Sie damit tun
Von einer Meldung zu einer fundierten nächsten Entscheidung.
Serify entsteht für IT-, SOC-, CTI- und CSIRT-Teams, die aus Bedrohungsinformationen konkrete Maßnahmen und eigene Analysen ableiten möchten.
Erkennen, was Sie betrifft
Bereitgestellte SBOM- und Infrastrukturdaten automatisch mit neuen Meldungen abgleichen.
Zusammenhänge verstehen
Belegte Beziehungen zwischen Schwachstellen, Indikatoren, Akteuren und Kampagnen nachvollziehen.
Erkenntnisse weiterverwenden
Ergebnisse passend zu Rolle und Fragestellung prüfen, untersuchen und berichten.
Interaktive Beispiele
Eine Frage. Der Kontext, den Ihr Team braucht.
Wählen Sie eine Perspektive und erkunden Sie die Antwort: von konkreten Maßnahmen bis zur Kampagnenanalyse.
Serify
Wiedervorlage zu CISA ICSA-25-023-02 (CVE-2024-2617): Welche unserer RTU500-Anlagen müssen wir weiter untersuchen, und was fehlt für eine Entscheidung?
Meldung, Versionsbereiche und SBOM-Inventar von vier Anlagen abgeglichen· Nachgestellt · echte Meldung, fiktive Anlagen
Nord und Süd liegen im betroffenen Bereich. West ist eine Datenlücke.
Die CMU-Firmware in Nord (13.5.2) und Süd (13.4.3) liegt in den laut Meldung betroffenen Versionsbereichen; beide Anlagen sind als hoch kritisch erfasst. Ausnutzbar ist die Schwachstelle nur, wenn Secure Update nicht auf allen CMUs aktiv ist. Dazu liegt noch kein Nachweis vor.
- Nord · hoch · 2× 13.5.2Secure Update auf beiden CMUs nachweisen; Update auf 13.5.4 oder neuer prüfen.
- Süd · hoch · 2× 13.4.3Secure Update auf beiden CMUs nachweisen; Update auf 13.7.7 oder neuer prüfen.
- West · hoch · unklarDer Export vom 20.08. nennt eine CMU mit 13.5.4, ist aber weder aktuell bestätigt noch vollständig. Aktuellen Bestand erheben.
- OT-Labor · niedrig · 13.5.4Außerhalb des Bereichs. Als Vergleichsgerät für einen Verträglichkeitstest nutzbar.
Quelle, Abhilfen und Grenzen ansehen
CISA ICSA-25-023-02, Update B vom 03.03.2026 · CVE-2024-2617 · CVSS 7.2. Authentifizierte und berechtigte Nutzer können Secure Update umgehen und unsignierte Firmware einspielen, wenn Secure Update nicht auf allen CMUs einer RTU500 aktiv ist. Betroffen: CMU-Firmware 13.2.1–13.2.7, 13.4.1–13.4.4 und 13.5.1–13.5.3.
Abhilfe laut Hersteller: 13.4.x auf 13.7.7 oder neuer, 13.5.x auf 13.5.4 oder neuer; in beiden Fällen Secure Update auf allen CMUs aktivieren.
Grenzen: Der Versionsabgleich belegt keine Ausnutzbarkeit. Ein Updateziel ist keine betriebliche Freigabe; Verträglichkeitstest und Wartungsfenster stehen aus. 13.5.4 ist keine allgemeine Entwarnung, weitere Meldungen sind gesondert zu prüfen.
Datenstand: SBOM-Inventar vom 15.09.2026, West vom 20.08.2026. Anlagen, Kritikalität und Betreiberangaben sind fiktiv; die Sicherheitsmeldung ist echt.
Auf unserem Ivanti Connect Secure wurde lastauthserverused.js verändert. Das externe Integrity Checker Tool meldet keine Abweichungen. Was wissen wir, und wie gehen wir vor?
Datei mit CISA AA24-060B abgeglichen; Malware, Infrastruktur und Schwachstellen abgefragt· Nachgestellt · echte Meldung, fiktiver Alert
Die Änderung passt zu bekanntem Zugangsdaten-Diebstahl. Ein sauberer ICT-Scan entlastet nicht.
CISA AA24-060B beschreibt genau diese Datei als manipuliert, um eingegebene Zugangsdaten an eine Angreifer-Domain zu senden, und führt Varianten davon als WARPWIRE-Credential-Harvester. Laut derselben Meldung wurden Webshells auf Geräten gefunden, bei denen das ICT keine Abweichungen zeigte. Eine Kompromittierung ist damit nicht bewiesen, die Zugangsdaten sollten aber als gefährdet gelten.
- lastauthserverused.js → WARPWIRE
Credential-Harvester-Variante · AA24-060B, S. 21 - WARPWIRE → symantke[.]com
C2-Server · AA24-060B, S. 23 - Euer Gateway → symantke[.]com
Abgeleitet, in Proxy- und DNS-Logs zu prüfen
Durchgezogen: in der Meldung beschrieben. Gestrichelt: abgeleitet. Die Meldung attribuiert die Aktivität keinem Akteur; UTA0178 erscheint nur in ihren IOC-Tabellen.
Nächste Prüfung, Quellen und Fallberichte ansehen
Nächste Prüfung: Proxy- und DNS-Logs auf symantke[.]com und die weiteren Indikatoren der Meldung durchsuchen. Das aktuelle externe ICT ausführen, ein unauffälliges Ergebnis aber nicht als Entlastung werten. Zugangsdaten der VPN-Nutzer und Dienstkonten als kompromittiert behandeln.
CISA AA24-060B vom 29.02.2024: CVE-2023-46805 und CVE-2024-21887 lassen sich zu einer Codeausführung ohne Authentifizierung verketten; betroffen sind alle unterstützten Versionen 9.x und 22.x. In CISA-Laborversuchen blieb Root-Persistenz trotz Werksreset und Upgrade erhalten. Einzelne IP-Adressen der Meldung können laut CISA auch legitim genutzt werden.
Technischer Fallbericht · Beispiel
Befund: veränderte lastauthserverused.js auf Ivanti Connect Secure, ICT ohne Abweichung. Externer Kontext: AA24-060B führt die Datei als WARPWIRE-Credential-Harvester mit C2 symantke[.]com. Offen: Zeitpunkt der Änderung, ausgehende Verbindungen, betroffene Konten. Nächster Schritt: Logs auf die Indikatoren prüfen, Gerät isolieren oder neu aufsetzen, alle über das Gateway genutzten Zugangsdaten zurücksetzen.
Kundenbericht · Beispiel
Auf Ihrem VPN-Zugang wurde eine Datei verändert, die laut einer Warnung der US-Behörde CISA zum Abgreifen von Anmeldedaten genutzt wird. Ob tatsächlich Daten abgeflossen sind, ist noch offen. Vorsorglich setzen wir die Zugangsdaten zurück und prüfen das Gerät; dabei kann es kurz zu Unterbrechungen beim VPN kommen.
Beschreiben der ANSSI-Bericht zu APT28 in Frankreich und die gemeinsame Warnung zu GRU-Angriffen auf Logistikunternehmen dieselbe Aktivität? Zeige Belege und Grenzen.
Zwei Berichte: Akteure, Werkzeuge, Schwachstellen und Zeiträume verglichen· Nachgestellt · echte Berichte
Derselbe Akteur, unterschiedliche Kampagnen. Die Berichte sind nicht unabhängig.
Beide ordnen die Aktivität APT28 zu und nennen HeadLace, CVE-2023-23397 sowie Dienste wie Mocky und InfinityFree. Die Ziele unterscheiden sich: französische Verwaltung, Rüstung und Forschung bei ANSSI; Logistik, Transport und IT in 13 Ländern in der gemeinsamen Warnung. ANSSI hat diese Warnung mitgezeichnet, und sie zitiert den ANSSI-Bericht. Die Übereinstimmungen sind daher keine unabhängige Bestätigung.
Gleicher Akteur laut beiden Quellen · gemeinsame Kampagne nicht belegt
Quellen nicht unabhängig · keine gemeinsamen Indikatoren
Gemeinsamkeiten, Unterschiede und Grenzen
Gemeinsam: Zuordnung zu APT28 (Fancy Bear); HeadLace, OceanMap, MASEPIE und SteelHook werden in beiden genannt; CVE-2023-23397 und Angriffe auf Roundcube-Server; Phishing, Brute Force und kompromittierte Router; Dienste wie Mocky und InfinityFree.
Unterschiede: Nur die gemeinsame Warnung nennt GRU-Einheit 26165, die Roundcube-CVEs, CVE-2023-38831 (WinRAR) und konkrete Indikatoren. OceanMap und SteelHook wurden laut ihr nicht gegen Logistik oder IT beobachtet. Zeitraum: ANSSI ab 2021, gemeinsame Warnung ab 2022.
Grenzen: Der ANSSI-Bericht enthält keine Indikatoren, ein IOC-Abgleich ist nicht möglich. „Targeting“ umfasst dort auch erfolglose Versuche. Die gemeinsame Warnung weist darauf hin, dass ihre Indikatoren geteilte oder kompromittierte Infrastruktur sein können.
Quellen und Informationsbedarf
ANSSI CERTFR-2025-CTI-007 vom 29.04.2025: APT28-Aktivität gegen französische Einrichtungen seit 2021.
CISA AA25-141A vom Mai 2025: gemeinsame Warnung von NSA, CISA, FBI und Partnern, darunter BSI, BND, BfV und ANSSI, zu GRU-Einheit 26165 und westlicher Logistik und IT. Zitiert den ANSSI-Bericht als Quelle zu CVE-2023-23397.
Informationsbedarf: eigene Telemetrie oder Berichte außerhalb der mitzeichnenden Behörden, um die Kampagnen zu verbinden oder zu trennen.
Wissensbasis im Aufbau
Jede Analyse baut auf vorhandenem Wissen auf.
Beispiel mit echten Berichten: Neue Quellen ergänzen vorhandene Evidenz, statt sie zu ersetzen. Fortlaufende Aktualisierung und Benachrichtigungen sind geplant.
- 01
Neuer Bericht: CISA AA25-141A
Die gemeinsame Warnung vom Mai 2025 beschreibt GRU-Einheit 26165 (APT28) gegen westliche Logistik- und IT-Unternehmen.
- 02
Mit vorhandenem Wissen verknüpfen
Der ANSSI-Bericht vom April 2025 ordnet HeadLace und CVE-2023-23397 bereits APT28 zu. Die neue Warnung zitiert ihn; ANSSI hat sie mitgezeichnet.
- 03
Einschätzung ergänzen
Bisher: Verwaltung, Rüstung und Forschung in Frankreich. Neu: auch Logistik, Transport und IT in 13 Ländern, mit prüfbaren Indikatoren. Keine unabhängige Bestätigung, da die Quellen verbunden sind.
Im Aufbau
Ihre Daten und Entscheidungen bleiben unter Ihrer Kontrolle.
Europäische Souveränität beginnt mit nachvollziehbaren Grenzen: öffentliche Bedrohungsinformationen als gemeinsame Wissensbasis, getrennt vom geschützten Organisationskontext.
- Wissensbasis
- Öffentliche Quellen und ihre Belege.
- Organisationskontext
- Ihre bereitgestellten Bestände bleiben ein eigener Kontext.
- Modelle
- Modellwahl ist Teil des angestrebten flexiblen Aufbaus.
- Integration
- Schnittstellen und lokale Verarbeitung werden mit Pilot-Teams abgestimmt.
Lokale Verarbeitung und private Wissensbestände sind Zielbild, keine bereits verfügbare Leistung. Demonstrator in Entwicklung.
Unser Team
Die Menschen hinter Serify
Wir entwickeln Serify gemeinsam mit Sicherheitsteams. Philipp übersetzt ihre Anforderungen in das Produkt. Markus entwickelt die KI-Verfahren, die Informationen erschließen und für die Analyse aufbereiten.
Ausgewählte Forschung
Den Intelligence-Prozess automatisieren
Proactive Cyber Threat Intelligence · 2025
Forschungsgrundlage für die Verarbeitung von Quellen zu nutzbaren Erkenntnissen.
Publikation ansehenKI für Sicherheitstexte mit wenig Daten
Deep Learning in Textual Low-Data Regimes for Cybersecurity · 2025
Forschung zu Deep Learning, das Sicherheitstexte auch mit wenigen Trainingsbeispielen versteht.
Publikation ansehenUnsere Reise
Woran wir gerade arbeiten
2026In Bearbeitung
Plattformentwicklung
Aufbau eines funktionsfähigen Demonstrators der integrierten Serify-Plattform, bestehend aus vier Kernkomponenten: einer Knowledge Base mit aggregierten Bedrohungsinformationen aus über 500.000 überwachten Quellen; einer Acht-Agenten-Multi-Agent-Pipeline zur automatisierten Extraktion von IOCs, TTPs, Bedrohungsakteuren, CVEs und Kampagnendaten; einem webbasierten Chat-Interface für die natürlichsprachliche Interaktion mit Sicherheitsanalysten sowie einer REST API für die programmatische Integration. Der Demonstrator wird gemeinsam mit CSIRT- und SOC-Personal evaluiert.
2026 Q4In Bearbeitung
Pilotprogramm
Start eines strukturierten Pilotprogramms mit 2–4 ausgewählten CSIRT- und SOC-Teams in der DACH-Region. Pilotpartner validieren die Plattform in ihren operativen Umgebungen und liefern direktes Feedback zur Produktweiterentwicklung, angetrieben durch starken regulatorischen Rückenwind und die wachsende Nachfrage nach automatisierter Bedrohungsaufklärung.
Bevor Sie fragen
Die Fragen, die zuerst kommen.
Serify ist ein Demonstrator in Entwicklung. Diese Antworten sagen daher, was heute gilt und was Zielbild ist. Wenn etwas davon Ihrer Umgebung nicht standhält, lohnt sich ein Gespräch.
Wo liegen unsere Daten?
Auf europäischer Infrastruktur. Öffentliche Bedrohungsinformationen liegen in einer gemeinsamen Wissensbasis. Was Sie bereitstellen, etwa ein Bestandsverzeichnis, bleibt ein eigener Kontext und wird nicht damit vermischt.
Welches Modell nutzen Sie, und trainieren unsere Daten es?
Die Modellwahl ist Teil des angestrebten Aufbaus und keine feste Abhängigkeit. Wir prüfen in der Pilotphase offene und kommerzielle Modelle. Was Sie bereitstellen, wird nicht zum Training verwendet.
Können wir das on-premise betreiben?
Heute nicht. Lokale Verarbeitung ist Zielbild der Plattform, keine verfügbare Leistung. Sagen Sie uns, was Ihre Umgebung verlangt, dann sagen wir konkret, was der Demonstrator darin leisten kann und was nicht.
Wir betreiben bereits MISP und OpenCTI. Warum noch Serify?
Diese Systeme verwalten und teilen, was Sie bereits haben. Serify setzt einen Schritt davor an: neue öffentliche Berichte lesen, den Inhalt erschließen und mit Ihrem Bestand verbinden. Offene Formate wie STIX und MISP sind Teil des angestrebten Aufbaus, das Ziel ist also, diese Werkzeuge zu beliefern statt sie zu ersetzen.
Was kostet uns ein Pilotprojekt?
Vor allem Zeit. Ein Pilot heißt, eine echte wiederkehrende Aufgabe und genug Kontext mitzubringen, um zu beurteilen, ob die Antworten tragen. Wir verkaufen noch keine Lizenzen.
Pilotprojekt
Welchen Arbeitsschritt möchten Sie entlasten?
Erzählen Sie uns von Ihrem Team, Ihren Quellen und einer konkreten Aufgabe. Gemeinsam klären wir, was sich mit dem Demonstrator erproben lässt und woran wir den Nutzen messen.
Oder schreiben Sie uns direkt:
contact@serify.eu