Threat Modeling ist eine strukturierte Methode, um in einer frühen Phase der Softwareentwicklung mögliche Angriffsszenarien zu identifizieren, ihre Wahrscheinlichkeit und ihren Schaden abzuschätzen und passende Gegenmaßnahmen zu definieren. Ein typisches Threat Model beantwortet vier Fragen — was wird gebaut, was kann schiefgehen, was tun wir dagegen, haben wir eine gute Arbeit gemacht. Bekannte Methodiken sind STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege; Microsoft), DREAD (zur Bewertung), PASTA (Process for Attack Simulation and Threat Analysis), VAST und LINDDUN für Datenschutz-spezifische Modelle.
Eingesetzt wird Threat Modeling in Sicherheits-Reviews neuer Architekturen, bei Code- und Pull-Request-Reviews mit sicherheitsrelevanten Änderungen, in Compliance-Workflows (SAMM, BSIMM, NIST SSDF) und in der Konzeptionsphase neuer Features. Werkzeuge sind Microsoft Threat Modeling Tool, OWASP Threat Dragon, IriusRisk, ThreatModeler, Pytm sowie Whiteboard- und Miro-basierte Workshops mit Datenflussdiagrammen. Häufige Bestandteile sind Asset-Inventarisierung, Trust-Boundaries, Datenflussdiagramme, Bedrohungs-Katalog und Risk-Treatment-Plan.
Es geht darum, dass Sicherheits-Probleme früh in der Architektur festgelegt werden — die im Nachhinein deutlich teurer zu beheben sind. Statt erst im Pentest oder nach einem Incident zu erkennen, dass eine kritische Komponente keine Authentifizierung hat oder Daten ohne Verschlüsselung über öffentliche Netze laufen, wird Threat Modeling als systematischer Schritt in der Designphase verankert. Damit verschiebt sich Sicherheit nach links ("Shift Left Security") und wird Teil der Architekturarbeit.
Historisch wurde Threat Modeling als formale Disziplin von Microsoft im Rahmen des Security Development Lifecycle (SDL, ab 2002) etabliert; STRIDE wurde von Loren Kohnfelder und Praerit Garg in den späten 1990er-Jahren entwickelt. Adam Shostack hat das Thema in seinem Buch "Threat Modeling: Designing for Security" (2014) systematisch zusammengefasst und ist seitdem prägende Stimme der Disziplin. Mit dem Aufstieg von DevSecOps wurden "Lightweight"-Threat-Modeling-Methoden — etwa "Threat Modeling as Code" und "Continuous Threat Modeling" — populär, um die Praxis in agile, schnell veränderliche Codebases zu integrieren.
Eingeführt und geprägt wurde Threat Modeling von Microsoft, Adam Shostack, und der OWASP-Community. Adam Shostacks "Threat Modeling Manifesto" (2020) versucht, die Disziplin auf einen kleinen Satz von Werten und Prinzipien zu konzentrieren — "a culture of finding and fixing design issues over checkbox compliance". Diese pointierte Formulierung hat in der Security-Community großen Anklang gefunden und wird oft zitiert, wenn Teams diskutieren, ob ihre Threat-Model-Templates eher als Selbstzweck oder als echtes Werkzeug dienen.
Bei bluehands wird Thread Modeling kontinuirlich in die Architektur- und Design-Reviews integriert, um sicherzustellen, dass Sicherheit von Anfang an mitgedacht wird.