Microsofts Namenskonvention für Bedrohungsakteure: Typhoon, Blizzard und Storm im Überblick

Von Mirko Peters · 2026-10-24

Erfahren Sie, wie Microsoft Cyber-Bedrohungsakteure mit den Bezeichnungen Typhoon, Blizzard und Storm benennt. So verstehen Sie leicht, welche Motive und Herkunft hinter einem Angreifer stecken.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Erfahren Sie, wie Microsoft Cyber-Bedrohungsakteure kategorisiert und benennt, etwa Typhoon für China, Blizzard für Russland und Storm für nicht verifizierte Gruppen. Sie lernen, wie sich diese Operationsbezeichnungen entschlüsseln lassen, damit Sicherheitsteams schnell Herkunft, Motive und Techniken eines Angriffs erkennen, auch ohne tiefes Cybersecurity-Fachwissen.

Das Wichtigste in Kürze

• Microsoft ordnet Familiennamen von Bedrohungsakteuren ihrer geografischen Herkunft oder ihrem primären operativen Motiv zu.
• Typhoon bezeichnet Akteure aus China oder mit China-Bezug, Blizzard verweist auf Russland.
• Sleet steht für Nordkorea, Sandstorm ordnet Iran zu, und Tempest kennzeichnet finanziell motivierte Kriminelle.
• Vorläufige Bezeichnungen wie 'Storm-0558' werden für aktive Bedrohungen verwendet, bevor die Zuordnung vollständig bestätigt ist.
• Wer Bedrohungsakteur-Namen versteht, kann als IT-Generalist alarmierende Sicherheitsberichte in handlungsrelevante, kontextbezogene Informationen übersetzen.

Die Namenssystematik von Microsoft für Bedrohungsakteure entschlüsselt

Wenn Sicherheitsteams ihre täglichen Incident-Berichte öffnen, sind sie oft mit Fachjargon und zufällig wirkenden Kennungen konfrontiert. Damit sich diese Bedrohungen leichter einordnen und weltweit verfolgen lassen, hat Microsoft die Kategorisierung der Angreifergruppen grundlegend überarbeitet. Statt auf kryptische hexadezimale Zeichenfolgen zu setzen oder Verteidiger zu zwingen, sich widersprüchliche Herstellernamen zu merken, ordnet Microsoft Bedrohungsgruppen wetterbezogene Familiennamen zu.

Diese Namenskonvention ist kein Zufall. Jedes Wort in einem Profil eines Bedrohungsakteurs trägt eine bewusst gewählte Bedeutung. Sie hilft Analysten, sofort zu erkennen, woher ein Angriff vermutlich kommt und was der Angreifer erreichen will. Ob Sie als IT-Administrator eine hybride Umgebung betreuen oder als Entscheider Cybersecurity-Meldungen einordnen müssen: Wer diese Systematik versteht, verwandelt unübersichtliche Informationen in strukturiertes, handlungsrelevantes Wissen.

Wie Familiennamen die geografische Herkunft anzeigen

Die Grundlage der Namenssystematik von Microsoft bildet der primäre Familienname, der einer Bedrohungsgruppe zugewiesen wird. Diese geografischen Kennzeichen geben die vermutete Herkunft oder Unterstützung der Cyberoperationen an:

• Typhoon: Gruppen, die China zugeordnet werden oder von dort aus operieren. Sie betreiben häufig langfristige Spionage gegen Behörden, Denkfabriken und kritische Infrastrukturen.
• Blizzard: Akteure aus Russland oder mit Verbindungen dorthin. Sie werden oft mit staatlich unterstützter Informationsbeschaffung und aufsehenerregenden geopolitischen Störaktionen in Verbindung gebracht.
• Sandstorm: Bedrohungsakteure mit Verbindungen zu iranischen staatlichen Interessen. Sie zielen typischerweise auf regionale Rivalen, Rüstungsunternehmen und Telekommunikationsanbieter.
• Sleet: Gruppen, die Nordkorea zugeordnet werden. Sie konzentrieren sich stark auf Kryptowährungsdiebstahl, Einbrüche bei Finanzinstituten und strategische Informationsbeschaffung.

Wer ein Präfix wie Typhoon oder Blizzard einem Vorfall zuordnet, erhält sofort einen groben geografischen Kontext dazu, wer möglicherweise gerade versucht, in die eigene digitale Infrastruktur einzudringen.

Motive anhand des operativen Fokus erkennen

Neben der Geografie kategorisiert Microsofts Benennungsarchitektur ausdrücklich, was diese Angreifer antreibt. Der sekundäre Zusatz bzw. die spezifische Familienbezeichnung zeigt das primäre Ziel des Gegners:

• Tempest: Ausschließlich für finanziell motivierte Cyberkriminelle reserviert, etwa Ransomware-Betreiber und ausgefeilte Phishing-Gruppen.
• Flood: Wird speziell für Einflussoperationen und koordinierte Desinformationskampagnen verwendet, die darauf abzielen, die öffentliche Wahrnehmung zu verändern, anstatt Daten zu stehlen.
• Tsunami: Verfolgt offensive Akteure aus der Privatwirtschaft, also kommerzielle Unternehmen, die Cyberwaffen entwickeln, bündeln und an verschiedene zahlende Kunden verkaufen.

Diese klare Unterscheidung hilft Organisationen, zwischen einem Nationalstaat, der still geistiges Eigentum abzieht, und einer finanziell motivierten Ransomware-Gruppe zu unterscheiden, die Arbeitsstationen sperrt, um eine Erpressungszahlung zu erzwingen.

Der Zweck von „Storm“-Bezeichnungen in der frühen Untersuchung

Eine der häufigsten Verwirrungen bei Teams, die Threat Intelligence einsetzen, entsteht bei Bezeichnungen wie Storm-0558. Erkennt Microsoft schädliche Aktivitäten, die eindeutig organisiert und aktiv sind, die Identität der Gruppe, eine staatliche Unterstützung oder eine langfristige Sponsorenschaft aber noch nicht bestätigt werden konnten, vergibt das Unternehmen eine vorläufige Platzhalterbezeichnung.

Das Wort Storm gefolgt von einer vierstelligen Zahl zeigt an, dass die Aktivität real und gefährlich ist, die Zuordnung jedoch noch laufend untersucht wird. Sobald die Sicherheitsforscher von Microsoft ausreichend belastbare Beweise sammeln, etwa überlappenden Code, gemeinsame Infrastruktur oder bestimmte Taktiken, Techniken und Verfahren (TTPs), wechselt die Gruppe von der vorläufigen Storm-Bezeichnung zu einem formalen, dauerhaften Wetterfamiliennamen.

Brücken schlagen mit Branchenbezeichnungen

Verschiedene Cybersecurity-Anbieter haben für dieselben Bedrohungsgruppen historisch völlig unterschiedliche Namen verwendet, was bei unternehmensübergreifenden Incident Response zu erheblicher Verwirrung führt. Microsoft ordnet seine interne Benennungssystematik aktiv den bisherigen Branchenbezeichnungen zu. So wird die russische Gruppe, die Microsoft intern als Forest Blizzard bezeichnet, in der Branche weithin als Fancy Bear oder APT28 geführt.

Diese transparente Querverweisung stellt sicher, dass Analysten, die einen Bedrohungsbericht von Microsoft, einem konkurrierenden Cloud-Anbieter oder einem Open-Source-Intelligence-Feed lesen, sofort erkennen, dass alle drei Berichte denselben Akteur beschreiben. Das beseitigt Ratearbeit und vereinfacht die anbieterübergreifende Zusammenarbeit bei größeren Sicherheitsvorfällen.

Fazit

Moderne Cyberbedrohungen zu verstehen erfordert mehr, als nur auf blinkende Lampen und Fehlermeldungen zu reagieren. Man muss die menschlichen Angreifer verstehen, die hinter dem Bildschirm agieren. Mit strukturierten Benennungskonventionen wie Typhoon, Blizzard und Storm hilft Microsoft Organisationen, Warnmeldungen einzuordnen und isolierte technische Indikatoren mit größeren kriminellen und staatlichen Kampagnen zu verknüpfen.

Wenn Sie tiefer in Passive DNS, Indicators of Compromise und die Frage einsteigen möchten, wie Sie diese Erkenntnisse in Ihrem Unternehmen nutzen, hören Sie sich die vollständige Folge des M365 FM Podcasts an. Dort erhalten Sie eine vollständige, fachchinesisch-freie Aufschlüsselung moderner Threat-Intelligence-Strategien.

Häufige Fragen

Was bedeutet die Bezeichnung „Blizzard“ in der Threat Intelligence von Microsoft?

Blizzard ist ein Familienname, mit dem Microsoft Bedrohungsakteure und Cyberoperationen kennzeichnet, die aus Russland stammen oder mit Russland verbunden sind. Sie konzentrieren sich in der Regel auf Spionage und die Beschaffung geopolitischer Informationen.

Warum verwendet Microsoft „Storm“-Bezeichnungen statt Namen?

Storm-Bezeichnungen sind vorläufige Kennzeichnungen für neu entdeckte, aktive Bedrohungscluster. Sie werden vergeben, wenn Sicherheitsforscher noch untersuchen, wer hinter der Gruppe steckt oder ob ein Nationalstaat sie unterstützt.

Worin unterscheiden sich Tempest-Gruppen von Typhoon-Gruppen?

Tempest-Gruppen sind finanziell motivierte Kriminelle, die auf Erpressung, Ransomware und Profit ausgerichtet sind. Typhoon-Gruppen hingegen sind staatlich unterstützte oder mit einem Staat verbundene Akteure, die von China aus operieren und vor allem auf Spionage abzielen.

Verwenden andere Sicherheitsanbieter die Bedrohungsakteur-Namen von Microsoft?

Andere Anbieter verwenden oft eigene Namenskonventionen (etwa APT-Nummern oder Tiernamen). Microsoft ordnet seine wetterbasierten Namen jedoch aktiv Bezeichnungen aus der Branche wie APT28 oder Fancy Bear zu, damit die Zuordnung herstellerübergreifend eindeutig bleibt.