Seminar EclecticIQ Intelligence Center – Defense TIP und doktrinkonforme Intelligence-Produktion

Defense TIP richtet Terminologie, Metadaten und Berichtsmuster des Intelligence Center auf militärische und behördennahe Arbeitsweisen aus. Das Seminar verbindet Doktrin, Quellenbewertung, Klassifizierung, Intelligence Requirements und standardisierte Produkte mit einer praktisch nutzbaren Produktions- und Freigabekette.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• Defense-Terminologie und Plattformobjekte konsistent aufeinander abbilden
• militärische Intelligence Requirements, PIRs und Informationsbedarfe steuern
• Quellen und Informationen mit geeigneten Glaubwürdigkeitsmodellen bewerten
• doktrinkonforme Produkte mit standardisierten Vorlagen erstellen
• Klassifizierung, TLP, Freigabe und multinationale Weitergabe kontrollieren
• Cyber-, Lage- und Einflussoperationsanalyse in gemeinsame Verfahren integrieren

Zielgruppe

Defense- und Behördenanalysten, Cyber Intelligence, Lagezentren, Intelligence-Produktion, Stabsfunktionen, Informationssicherheit und Plattformadministration.

Voraussetzungen

Gute CTI- oder Intelligence-Grundkenntnisse. Erfahrung mit Intelligence Requirements, Quellenbewertung oder militärischen beziehungsweise behördlichen Berichtswegen ist hilfreich. Defense TIP muss für die Praxisumgebung freigeschaltet sein.

Seminarinhalte

1. Schritt 1: Mission, Entscheidung und Produktbedarf klären

   Auftrag, Führungsebene, Einsatzkontext, Zeitkritikalität und benötigte Entscheidung werden als Ausgangspunkt festgelegt. Daraus entstehen Produktart, Aktualisierungsrhythmus und notwendige Evidenztiefe.

2. Schritt 2: Terminologie und Rollen harmonisieren

   Begriffe für Akteure, Fähigkeiten, Absichten, Wirkung, Warnindikatoren und Informationslücken werden mit Plattformobjekten und Rollen verknüpft. Abweichende nationale Begriffe erhalten eine kontrollierte Zuordnung statt paralleler Freitextvarianten.

3. Schritt 3: Intelligence Requirements strukturieren

   Priority Intelligence Requirements, ergänzende Informationsbedarfe, Indikatoren und Entscheidungspunkte werden präzise formuliert. Verantwortliche, Watcher, Fristen und Bewertungskriterien werden im Intelligence Compass abgebildet.

4. Schritt 4: Collection- und Quellenplan erstellen

   Verfügbare Cyber-, technische, offene und partnerseitige Quellen werden nach Abdeckung, Zugriff, Aktualität und Einschränkungen geordnet. Lücken werden sichtbar gemacht und mit konkreten Beschaffungsaufträgen verbunden.

5. Schritt 5: Quellenzuverlässigkeit und Informationsglaubwürdigkeit bewerten

   Die Zuverlässigkeit der Quelle wird von der Plausibilität der konkreten Information getrennt. Bewertungen, Begründung, Unsicherheit und abweichende Einschätzungen werden in einer wiederholbaren Matrix dokumentiert.

6. Schritt 6: Klassifizierung und Weitergaberegeln anwenden

   Schutzstufe, TLP, nationale Einschränkungen, Koalitionsfreigabe und Need-to-know werden pro Objekt und Produkt geprüft. Zusammenstellungen erhalten mindestens die strengste relevante Markierung ihrer Bestandteile.

7. Schritt 7: Cyberlage in Operationskontext setzen

   Threat Actors, Kampagnen, Infrastruktur, TTPs, Ziele und potenzielle Wirkungen werden mit Mission, Region und kritischen Fähigkeiten verknüpft. Technische Indicators werden nicht ohne operative Bedeutung in die Führungslage übernommen.

8. Schritt 8: Warnindikatoren und Signposts entwickeln

   Beobachtbare Ereignisse werden definiert, die eine Hypothese stärken, schwächen oder einen Eskalationspunkt anzeigen. Jeder Signpost erhält Datenquelle, Schwelle, Verantwortlichkeit und Reaktionsoption.

9. Schritt 9: Gegenhypothesen und Täuschung berücksichtigen

   Alternative Erklärungen, Datenmanipulation, Deception und Informationsoperationen werden explizit geprüft. DISARM-Klassifikationen und Evidenzketten unterstützen die Analyse von Einflussaktivitäten.

10. Schritt 10: Doktrinkonforme Vorlagen auswählen

    Lagezusammenfassung, Threat Assessment, Indicators and Warnings, Intelligence Report und strategische Bewertung werden nach Zweck und Ebene gewählt. Pflichtabschnitte, sprachliche Konventionen und Freigabeschritte werden festgelegt.

11. Schritt 11: Produkt mit Evidenz und Confidence erstellen

    Kernaussagen werden mit Entities, Beziehungen, Zeitbezug und Quellenbewertung hinterlegt. Fakt, Bewertung, Annahme und Prognose bleiben sprachlich und strukturell getrennt.

12. Schritt 12: Multinationale Dissemination vorbereiten

    Empfänger, technische Übertragung, Format, Klassifizierung, Releasability und Rückkanal werden geplant. Vor der Weitergabe werden eingebettete Observables und Anhänge einzeln geprüft.

13. Schritt 13: Review, Challenge und Freigabe durchführen

    Ein fachlicher Reviewer prüft Evidenz und Methodik, ein Freigabeverantwortlicher Schutz und Empfängerkreis. Abweichende Bewertungen werden dokumentiert, nicht stillschweigend geglättet.

14. Schritt 14: Lessons Learned in Anforderungen zurückführen

    Nach Nutzung des Produkts werden Entscheidungsnutzen, Lücken, Fehlalarme und neue Fragen ausgewertet. Intelligence Requirements, Collection-Plan und Vorlagen werden entsprechend aktualisiert.

Praxisübungen

1. Übung 1: PIR und Signposts entwickeln

   Aus einem fiktiven Einsatzszenario werden eine priorisierte Intelligence-Anforderung, Indikatoren, Datenquellen und Entscheidungsschwellen formuliert.

2. Übung 2: Quellenbewertung durchführen

   Mehrere widersprüchliche Meldungen werden getrennt nach Quellenzuverlässigkeit und Informationsglaubwürdigkeit bewertet.

3. Übung 3: Cyber Threat Assessment erstellen

   Threat Actor, TTPs, Fähigkeiten, Absicht, Zielbezug, Wirkung und Confidence werden zu einer adressatengerechten Bewertung verbunden.

4. Übung 4: Indicators-and-Warnings-Produkt bauen

   Ein Satz von Warnindikatoren wird als laufend aktualisierbares Produkt mit Status, Schwelle und Reaktionsoption umgesetzt.

5. Übung 5: DISARM-Fall einordnen

   Eine Einflussoperation wird mit relevanten Klassifikationen, Akteuren, Narrativen und Gegenhypothesen modelliert.

6. Übung 6: Freigabekonflikt lösen

   Ein Produkt enthält Bestandteile mit unterschiedlichen Markierungen. Eine zulässige Empfängerversion wird ohne unkontrollierte Herabstufung erstellt.

7. Übung 7: Red-Team-Review durchführen

   Eine Gruppe verteidigt die Hauptbewertung, eine zweite prüft Gegenhypothesen, Datenlücken und mögliche Täuschung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.