Den größten praktischen Nutzen entfaltet KI in der Cyberabwehr derzeit beim Umgang mit großen Datenmengen. Endpoints senden Telemetriedaten, Clouddienste protokollieren API-Aufrufe, Identity-Systeme erfassen Anmeldungen, Netzwerksensoren analysieren Traffic-Muster, SaaS-Anwendungen liefern Audit-Logs. Die Gesamtmenge erreicht schnell den PByte-Bereich. Ein Großteil dieser Daten wird zwar gespeichert, aber nie systematisch ausgewertet – nicht aus Desinteresse, sondern weil menschliche Analysten diese Volumina weder in Echtzeit noch im Nachhinein vollständig bewältigen können.

Genau hier setzen große Sprachmodelle und KI-Systeme an. Sie übernehmen die erste Aufbereitung der Daten. Logs aus unterschiedlichen Quellen werden vereinheitlicht, Vorfälle zeitlich strukturiert und relevante Artefakte wie IP-Adressen, Hash-Werte oder DNS-Anfragen priorisiert. Auch Zusammenhänge über verschiedene Systeme und Werkzeuge hinweg lassen sich schneller erkennen.

Vom Log zur Incident-Analyse

In der Praxis verkürzen KI-gestützte Analysen die Reaktions- und Auswertungszeiten deutlich. Breitet sich etwa Malware nach einer Infektion über SMB im Netzwerk aus und werden anschließend Daten exfiltriert, mussten Analysten früher Informationen aus SIEM-, EDR-, Netzwerk- und Cloudlogs manuell zusammenführen. Heute erstellen KI-gestützte Systeme innerhalb weniger Minuten erste strukturierte Incident-Entwürfe mit Timeline, IOC-Liste, ATT&CK-Zuordnung und Handlungsempfehlungen. Analysten validieren die Ergebnisse, ergänzen Kontext und entscheiden über Eskalation oder Abschluss des Vorfalls. Fehler und Fehlbewertungen bleiben möglich, der Zeitgewinn ist dennoch erheblich.

Auch das Detection Engineering profitiert. Modelle generieren aus Threat-Intelligence-Berichten, ATT&CK-Techniken oder internen Post-Mortems erste Detektionsregeln für Sigma, YARA oder SIEM-Abfragen. Diese Regeln sind selten sofort produktiv nutzbar und müssen weiter angepasst werden. Trotzdem sparen Teams erheblich Zeit, weil sie nicht mehr bei null beginnen. Routinearbeit nimmt ab, während Tuning, Tests und Kontextualisierung stärker in den Fokus rücken.

Digitale Modelle der eigenen Umgebung

Der nachhaltigste Wandel zeigt sich derzeit in der Möglichkeit, die eigene Infrastruktur als digitales Modell abzubilden und darauf Sicherheitsanalysen durchzuführen, ohne produktive Systeme zu gefährden. In anderen Branchen sind solche Simulationen seit Jahrzehnten etabliert. Flugzeugbauer testen Triebwerke virtuell, Energieversorger simulieren Lastspitzen und Stromausfälle, Automobilhersteller analysieren Crash-Szenarien lange vor realen Tests.

In der Cybersecurity fehlte diese Möglichkeit lange Zeit. Umgebungen waren zu komplex, dynamisch und schlecht dokumentiert. Asset-Inventare waren unvollständig, Netzwerkpläne veraltet und Berechtigungsstrukturen schwer nachvollziehbar. Wissen über Schwachstellen und Angriffswege entstand deshalb meist erst nach realen Sicherheitsvorfällen.

Moderne Security-Plattformen führen heute kontinuierlich Informationen aus Asset-Management, Netzwerkdaten, Schwachstellen-Scans, Identitätsdiensten und Laufzeit-Telemetrie zusammen. Daraus entsteht ein Modell der Umgebung, das ausreichend präzise für sicherheitsrelevante Analysen ist. Dieses Modell bildet vor allem potenzielle Angriffswege ab: Vertrauensbeziehungen zwischen Systemen, privilegierte Konten, laterale Bewegungsmöglichkeiten oder kritische Abhängigkeiten zwischen Anwendungen.

Angriffspfade simulieren statt nur reagieren

Auf dieser Basis lassen sich Angriffspfade automatisiert simulieren. KI-Systeme analysieren dabei mögliche Schritte eines Angreifers – von der Erstinfektion über Rechteausweitung und laterale Bewegung bis hin zur Datenexfiltration. Änderungen an Firewallregeln, Berechtigungen oder Systemkonfigurationen fließen kontinuierlich in die Bewertung ein.

Dadurch entsteht eine deutlich realistischere Sicht auf Risiken. Klassische Vulnerability-Management-Tools bewerten Schwachstellen oft isoliert anhand technischer Scores. In einem Infrastrukturmodell wird dagegen sichtbar, welche Schwachstellen tatsächlich kritische Angriffspfade eröffnen.

Eine vermeintlich moderate Schwachstelle kann dadurch plötzlich hohe Priorität erhalten, wenn sie sich mit weiteren Fehlkonfigurationen kombinieren lässt. Umgekehrt verlieren kritische Lücken an Bedeutung, wenn betroffene Systeme isoliert sind und keine relevanten Angriffswege existieren. Nicht der einzelne Score ist entscheidend, sondern der tatsächliche Kontext.

Solche Simulationen ersetzen kein Red Teaming durch erfahrene Spezialisten. Sie ergänzen es jedoch sinnvoll, weil sie kontinuierlich laufen und Routineanalysen automatisieren können.

Wo KI in der Cyberabwehr an Grenzen stößt

KI in der Cyberabwehr stößt weiterhin an klare Grenzen. Der wichtigste Engpass bleibt die Datenqualität. Fehlende oder veraltete Asset-Daten, lückenhafte Log-Erfassung oder inkonsistente Identitätsdaten führen schnell zu fehlerhaften Analysen und falschen Prioritäten. Viele Unternehmen überschätzen hier ihren tatsächlichen Reifegrad.

Auch Halluzinationen von Sprachmodellen bleiben ein Problem. KI-Systeme erzeugen teilweise plausible, aber falsche Zusammenhänge oder Bewertungen. Zusätzliche Prüfmechanismen und klar definierte Sicherheitsregeln können das Risiko reduzieren, aber nicht vollständig ausschließen. Ergebnisse müssen deshalb weiterhin durch Analysten überprüft werden.

Hinzu kommen technische Grenzen. Selbst aktuelle Modelle stoßen bei sehr großen Umgebungen an Kapazitätsgrenzen. Analysen müssen daher oft vereinfacht oder auf Teilbereiche reduziert werden.

Zudem fehlt KI weiterhin die Kreativität menschlicher Angreifer. Neue Angriffskombinationen, soziale Manipulation oder bislang unbekannte Schwachstellen lassen sich nur eingeschränkt vorhersagen. KI eignet sich vor allem zur Analyse bekannter Muster, ersetzt aber weder Red Teams noch CERTs.

Wie sich Security-Teams verändern werden

Ein abrupter Wandel hin zu vollständig autonomen Security-Organisationen ist kurzfristig nicht zu erwarten. Wahrscheinlicher ist eine schrittweise Integration von KI in bestehende Prozesse und Werkzeuge. Dabei wird die Steuerung per natürlicher Sprache an Bedeutung gewinnen. Analysten formulieren Abfragen zunehmend direkt in Alltagssprache, statt komplexe Dashboards oder Abfragesprachen zu verwenden. Sicherheitsanalysen werden dadurch schneller zugänglich und flexibler.

Auch Simulationen dürften künftig stärker in Governance- und Architekturprozesse einfließen. Risikoanalysen für Cloudmigrationen, neue Anwendungen oder Infrastrukturänderungen basieren zunehmend auf modellierten Szenarien statt ausschließlich auf statischen Bewertungen. Menschliche Experten bleiben dabei zentral. KI kann Routineaufgaben beschleunigen und große Datenmengen auswerten, die Verantwortung für Bewertung und Entscheidungen bleibt jedoch bei den Teams.

Fazit

KI löst grundlegende Sicherheitsprobleme nicht automatisch. Schwache Segmentierung, unzureichende Identitätskontrollen oder mangelnde Sicherheitsprozesse bleiben auch mit KI bestehen.

Der praktische Nutzen liegt derzeit vor allem darin, komplexe Umgebungen transparenter zu machen und Sicherheitsanalysen deutlich zu beschleunigen. KI hilft dabei, große Datenmengen auszuwerten, Angriffspfade sichtbar zu machen und Routineaufgaben zu automatisieren. Dadurch bleibt mehr Zeit für Analyse, Priorisierung und strategische Entscheidungen.

Unternehmen profitieren davon vor allem dann, wenn Datenqualität, Prozesse und menschliche Kontrolle stimmen. KI ersetzt Security-Teams nicht, kann deren Arbeit aber bereits heute spürbar effizienter machen. (ln)

Über den Autor: Robert Wortmann ist Principal Security Strategist bei TrendAI.