Künstliche Intelligenz (KI)
KI in der Cyberdefence: Zwischen Hoffnung und Realität
KI in der Cybersecurity hat etwas verändert. Sie schafft Transparenz in komplexen Umgebungen und verknüpft technische Artefakte mit Risikobewertung. Sie verlagert Arbeit von repetitiver Sichtung hin zu echter Analyse und Entscheidungsfindung. Wie sieht die Praxis aus?
Save to Folio
Copiloten für Analysten, autonome Analyse-Engines, selbstlernende Anomalie-Detektion, predictive Threat Hunting: Die Liste der Features, die mit KI beworben werden, scheint endlos. Hersteller versprechen durchgängig höhere Geschwindigkeit, bessere Genauigkeit und geringeren manuellen Aufwand. Doch was funktioniert heute konkret und wiederholbar?
Der mit Abstand größte Nutzen beim Einsatz von KI entsteht derzeit im Umgang mit der Datenflut. Jede moderne IT-Umgebung produziert sie: Endpoints senden Telemetrie, Cloud-Dienste loggen API-Aufrufe, Identity-Systeme protokollieren Authentifizierungen, Netzwerksensoren erfassen Traffic-Muster, SaaS-Anwendungen liefern Audit-Logs. Der überwiegende Teil dieser Daten wird archiviert, aber nie systematisch ausgewertet, weil menschliche Analysten schlicht nicht in der Lage sind, diese Volumina, sei es auch nur retrospektiv, zu bewältigen.
Große Sprachmodelle(LLMs) und multimodale KI-Systeme aber können rohe Logs, die aus Dutzenden unterschiedlicher Formate und Quellen stammen, automatisch parsen, Vorfälle mit klaren Zeitachsen versehen, relevante Artefakte wie IP-Adressen, Hash-Werte, Prozessbäume, Registry-Keys und DNS-Anfragen extrahieren und priorisieren. Sie erkennen Korrelationen über Systemgrenzen hinweg, auch wenn sie über mehrere Tools verteilt liegen.
Die Praxis: Für einen Vorfall, bei dem ein Endpoint Malware ausführt, später laterale Bewegung über SMB stattfindet und schließlich Daten exfiltriert werden, erstellt ein KI-gestütztes System in wenigen Minuten einen strukturierten Entwurf mit Timeline, IOC-Liste, TTP-Mapping nach MITRE ATT&CK und Empfehlungen für nächste Schritte. Der Analyst übernimmt die Validierung, ergänzt organisationsspezifischen Kontext und entscheidet über Eskalation oder Schließung.
Die Qualität ist nicht immer perfekt. False Negatives oder übersehene Nuancen können vorkommen, doch der schnelle Output ist in den meisten Fällen sofort nutzbar.
Detection Engineering
profitiert ähnlich stark. Threat Intelligence-Berichte, fertige ATT&CK-Techniken, öffentliche Playbooks oder interne Post-Mortems dienen als Input. Modelle generieren daraus Erkennungsregeln in Sigma, YARA, EQL, KQL oder Splunk SPL. Sie sind zwar selten direkt einsatzbereit, und False-Positive-Raten liegen anfangs oft bei 20 bis 50 Prozent. Sie bieten jedoch einen soliden Ausgangspunkt, der manuell nur noch angepasst werden muss. Teams starten mit 70 bis 80 Prozent fertiger Logik. Die verbleibende Zeit fließt in Tuning, Testen und Kontextualisierung. Routinearbeit nimmt ab, strategisches Denken zu.
Digitale Modelle der eigenen Umgebung
Der nachhaltigste Wandel zeigt sich jedoch in der Fähigkeit, die eigene Infrastruktur als digitales Modell abzubilden und damit zu experimentieren, ohne reale Risiken einzugehen. In klassischen Industrien ist Simulation seit Jahrzehnten Standard. Flugzeugbauer testen Triebwerke virtuell unter extremen Bedingungen. Energieversorger simulieren Netzausfälle und Lastspitzen etc..
In der Cybersecurity waren Umgebungen bislang zu heterogen, zu dynamisch und zu schlecht dokumentiert, Asset-Inventare unvollständig, Netzwerkdiagramme waren veraltet und Berechtigungen undurchsichtig. Wissen über Schwachstellen und Angriffswege entstand fast ausschließlich aus realen Incidents, teuer, schmerzhaft und reaktiv.
Moderne Security-Plattformen aggregieren kontinuierlich Asset-Daten, Netzwerk-Topologien, Identity-Graphen, Schwachstellen-Scans, Konfigurationsstände und Laufzeit-Telemetrie. Daraus entsteht ein funktionales Abbild der Umgebung, ausreichend genau für sicherheitsrelevante Fragen. Lösungen wie TrendAI Vision One spielen hier eine wichtige Rolle, weil sie diese vielfältigen Datenquellen zentral zusammenführen und für modellbasierte Analysen zugänglich machen.
Das resultierende Modell bildet vor allem die Angriffsflächen ab, die reale Adversaries interessieren: Vertrauensbeziehungen zwischen Systemen, Kerberos-Delegationen, privilegierte Konten und deren Nutzungspfade, laterale Bewegungsmöglichkeiten über RDP, SMB, WinRM oder Cloud-Rollen sowie kritische Abhängigkeiten zwischen Anwendungen. Auf dieser Basis wird automatisierte Angriffspfad-Analyse möglich.
Vorteile
KI-gesteuerte Agenten durchlaufen das Modell iterativ. Sie simulieren Initial Access über Phishing oder exponierte Services, Execution via Living-off-the-Land-Binaries, Privilege Escalation über unzureichende ACLs oder Kerberoasting, Lateral Movement über Pass-the-Hash oder Pass-the-Ticket, Persistence via Scheduled Tasks oder Registry-Run-Keys sowie Exfiltration über DNS oder Cloud-Storage. Jeder simulierte Schritt berücksichtigt aktuelle Konfigurationen. Ändert sich etwas, etwa eine neue Firewall-Regel, ein frischer Patch oder eine geänderte IAM-Policy, wird der Graph neu berechnet und potenzielle Pfade werden aktualisiert.
Das Ergebnis ist eine kontinuierliche Sicht auf kritische Angriffswege. Klassische Vulnerability-Management-Tools listen Schwachstellen isoliert mit CVSS-Scores. Im digitalen Modell wird Kontext sichtbar. Eine vermeintlich mittelschwere Lücke auf einem Webserver, die über eine Kette von Fehlkonfigurationen zu Domain-Admin-Rechten führt, steigt in der Priorität dramatisch. Eine kritische Lücke auf einem air-gapped System ohne laterale Verbindungen verliert dagegen an Relevanz. Der Score allein sagt wenig, der Pfad sagt alles.
Diese Simulation ersetzt kein echtes Red Teaming mit kreativen menschlichen Angreifern, ergänzt es jedoch erheblich.
Grenzen und Risiken
KI in der Cyberverteidigung zeigt selbstverständlich noch Unzulänglichkeiten. Die Datenqualität bleibt der zentrale Engpass. Fehlende oder veraltete Asset-Daten, lückenhafte Log-Abdeckung, inkonsistente Identitätsdaten oder Shadow-IT führen zu verzerrten Modellen und falschen Priorisierungen.
Halluzinationen bei Sprachmodellen sind zudem ein reales Problem. Modelle erzeugen plausible, aber nicht immer korrekte Narrative. Ein falsch zugeordneter TTP oder ein erfundener Zusammenhang kann Entscheidungen in die Irre führen. Techniken wie RAG, Fact-Checking-Layer und strenge Leitplanken reduzieren das Risiko erheblich, eliminieren es aber nicht vollständig.
Die relevante Frage ist pragmatisch: Ist ein System mit 5 bis 10 Prozent Restfehlerrate nützlicher als eines, das nicht durch Analysten betreut wird? In den allermeisten Umgebungen vermutlich ja.
Kontextfenster und Verarbeitungskapazität begrenzen die Tiefe. Selbst State-of-the-Art-Modelle stoßen bei sehr großen Umgebungen an Grenzen. Analysen müssen oft auf Sub-Graphen reduziert werden.
Auch fehlt echte Kreativität. Adversaries kombinieren Techniken auf neue Weise, nutzen Timing oder Zero-Days. KI reproduziert bekannte Muster exzellent, erfindet aber selten grundlegend Neues. Sie wird Red Teams oder CERTs nicht ersetzen.
Ausblick
Es wird keinen abrupten Sprung zu autonomer Security geben. KI integriert sich schrittweise und unauffällig. Natürliche Sprache wird das dominante Interface. Statische Dashboards verlieren an Bedeutung, interaktive Dialoge gewinnen.
Kontinuierliche Simulation wird Standard in Governance-Prozessen. Risikoanalysen für Projekte, Mergers, Cloud-Migrationen oder neue Anwendungen basieren zunehmend auf modellierten Szenarien statt auf Annahmen. Menschliche Experten bleiben zentral, können aber fokussierter und strategischer arbeiten.
Zusammenfassend lässt sich feststellen: KI macht Cybersecurity nicht trivial oder fehlerfrei. Sie behebt keine strukturellen Schwächen wie fehlende Segmentierung, schwache Identity-Kontrollen oder mangelnde Awareness. Sie reduziert jedoch Blindheit erheblich.
Die reale Chance liegt in der disziplinierten, kontrollierten Ergänzung menschlicher Expertise durch KI, pragmatisch, schrittweise und nachhaltig.