Zusammenfassung

  • Kenias National KE-CIRT/CC meldet für Juli bis September 2026 insgesamt 2.696.335.021 erkannte Cyberbedrohungsereignisse, 14,45 Prozent mehr als im Vorquartal.
  • Es gab 20.258.111 ausgegebene Warnhinweise, 2,36 Prozent weniger. Der Bericht definiert weder die Einheit „Ereignis“ noch den Weg von der Erkennung zum Warnhinweis.

Kenias jüngster Cybersicherheitsbericht stellt zwei riesige Zahlen nebeneinander. Die Zahl erkannter Cyberbedrohungsereignisse stieg auf 2.696.335.021. Die Zahl ausgegebener Warnhinweise sank auf 20.258.111. Die erste Kennzahl legte gegenüber April bis Juni um 14,45 Prozent zu, die zweite fiel um 2,36 Prozent.

Die Kurven liefen in entgegengesetzte Richtungen. Genau das ist die sinnvolle Frage. Hier sollte die Arithmetik des Berichts in eine Erklärung des Betriebs übergehen.

Das National KE-CIRT/CC, das zur Communications Authority of Kenya gehört, nennt die erste Größe „detected cyber threat events“ und erklärt, die Warnhinweise seien als Reaktion darauf ausgegeben worden. Der Bericht für Juli bis September veröffentlicht weder ein Datenwörterbuch noch eine Regel zur Dublettenbehandlung, den Erfassungsumfang oder eine Verknüpfung zwischen Ereignis und Warnhinweis. Die Summen sind da; die Zählmaschine bleibt geschlossen.

Das Vorquartal macht den Abstand deutlicher. Von April bis Juni hatte das Zentrum 2.355.938.192 erkannte Ereignisse gemeldet, 30,03 Prozent weniger. Die Warnhinweise stiegen zugleich auf 20.748.489, ein Plus von 0,81 Prozent. Im folgenden Quartal drehten sich beide Richtungen um: mehr Ereignisse, weniger Warnhinweise. Jede Reihe kann für sich nützlich sein. Der veröffentlichte Datensatz erklärt ihren Zusammenhang nicht.

Die Ereignis-Teilsummen ergeben exakt die Gesamtsumme. Auf „Systemangriffe“ entfallen 2.552.948.966 der 2.696.335.021 Ereignisse, rund 94,7 Prozent. Dazu kommen 70.800.154 Malware-Ereignisse, 44.949.518 Brute-Force-Angriffe, 27.435.527 Angriffe auf Webanwendungen, 177.732 Angriffe auf mobile Anwendungen und 23.124 DDoS-Angriffe. Die Summe lässt sich aus der Tabelle nachrechnen.

Auch die Warnhinweise gehen exakt auf: 8.379.145 für Systemangriffe, 10.380.579 für Webanwendungen, 916.418 für Brute Force, 549.931 für Malware, 18.837 für mobile Anwendungen und 13.201 für DDoS. Der Bericht liefert ein Register je Kategorie. Die Regel, die ein Register in das andere überführt, fehlt.

Für Netzbetreiber ist das ein handfester Unterschied. Ein Sensortreffer, ein einzelner Angriff, eine bestätigte Kompromittierung, ein Vorfall und ein Warnhinweis sind verschiedene Zähleinheiten. Eine Kampagne kann viele Systeme treffen; ein lauter Sensor kann wiederholt denselben Vorgang melden; ein Hinweis kann eine ganze Aktivitätsklasse abdecken. Der Bericht sagt nicht, welche Einheit den Ereigniszähler speist oder wie solche Fälle behandelt werden.

Ohne diese Brücke macht der Anstieg aufmerksam, beantwortet dem Sicherheitschef aber nicht, ob die Exposition gewachsen ist, die Erfassung besser wurde, die Klassifizierung wechselte oder dieselbe Aktivität mehr Datensätze erzeugte. Der Bericht nennt Patches, Zugangsdaten und Schwächen von Webanwendungen, ordnet die 2,7 Milliarden Datensätze aber weder betroffenen Betreibern noch Ergebnissen für deren Dienste zu.

Die Behörde arbeitet an einer nationalen Plattform für den Austausch von Bedrohungsinformationen. Der Bericht erwähnt Schulungen, die Prüfung bestehender Austauschwege, die Planung eines nationalen CTI-Dashboards und einen ersten Aktionsplan. Jetzt sollte das Dashboard seine Belege mitplanen: Was geht in den Zähler ein, wie werden Dubletten behandelt, wann ändert sich eine Kategorie und welche Hinweise folgen?

Kenia braucht keine kleinere Zahl. Es braucht eine Zahl, die ein Betreiber prüfen kann. Der Bericht veröffentlicht eine präzise Summe, aber keine Regel dafür, was ein Ereignis ist. Das füllt eine Seite. Ein Reaktionsbudget lässt sich damit nicht begründen.

Quellen