KI bei der Erkennung von Bedrohungen und Vorfällen: wie sie in der Unternehmens-Cybersicherheit funktioniert

Wo KI den größten Effekt hat

In der Praxis hilft KI am meisten dort, wo Sicherheitsteams zu viele Signale gleichzeitig prüfen müssen: Logs, Endpunkt-Ereignisse, Netzwerkverkehr, Cloud- und E-Mail-Alerts. Laut Snowflake-Dokumentation basiert KI für Cybersecurity auf Machine Learning, Verhaltensanalyse und NLP, um verdächtige Aktivitäten zu erkennen, Risiken zu priorisieren und Teile der Sicherheitsoperationen zu automatisieren.

Das kanadische Centre for Cyber Security legt den Fokus auf *detection engineering*, also das Erstellen und Testen von Regeln, die verdächtige Aktivitäten im Netzwerk erfassen sollen. Das ist wichtig, denn KI ersetzt nicht das gesamte Monitoring, sondern beschleunigt die Auswahl von Signalen und deren Korrelierung zu einem Vorfallbild.

Wie KI Bedrohungen erkennt

Der häufigste Mechanismus ist der Vergleich von Aktivitäten mit einem festgelegten Muster normalen Verhaltens. Snowflake weist darauf hin, dass Modelle ungewöhnliche Anmeldungen, verdächtiges Abfrageverhalten, laterale Bewegungen im Netzwerk, Phishing-Indikatoren und Anomalien in der Netzwerkkommunikation erkennen können. In Microsoft-Materialien zur Cyberabwehr soll KI die Bedrohungsanalyse, die Erkennung von Schwachstellen und die Vorbereitung von Abhilfemaßnahmen durch Einsatzteams unterstützen.

Laut KPMG unterstützt KI den gesamten Zyklus der Cybersicherheit: von der Identifizierung von Bedrohungen und der Verhinderung von Vorfällen über Erkennung und Analyse bis hin zu Reaktion und Wiederherstellung. Praktisch bedeutet das, dass das System nicht nur Alarm schlägt, sondern auch bei der Priorisierung hilft, Ereignisse verbindet und die Reaktionszeit verkürzt.

Was nötig ist, damit es funktioniert

• Hochwertige Eingangsdaten - Modelle benötigen Zugang zu sicherheitsrelevanten Daten: Authentifizierungs-Logs, Endpunkt-Telemetrie, Netzwerkverkehr sowie Signale aus Cloud und E-Mail.
• Regeln und Validierung - Das Centre for Cyber Security betont, dass Detection Engineering das Erstellen und Testen von Regeln umfasst; die Wirksamkeit hängt von der kontinuierlichen Überprüfung ab, ob Alerts tatsächlich verdächtige Aktivitäten erfassen.
• Priorisierung von Vorfällen - Laut Snowflake sollte KI nicht nur erkennen, sondern auch bei der Risikobewertung helfen, damit Analysten nicht Zeit mit Alerts von geringer Relevanz verbringen.

Fallen und Einschränkungen

KPMG weist darauf hin, dass Organisationen einen Vorteil haben, wenn sie in eine *verantwortungsbewusste Implementierung* von KI investieren und nicht nur in das Tool selbst. Das erfordert Aufsicht über die Datenqualität, Tests zur Wirksamkeit und Kontrollmechanismen, damit Automatisierung nicht zu einer übermäßigen Anzahl falscher Alarme führt.

In Materialien von Microsoft und OpenAI zeigt sich eine weitere Problematik: KI beschleunigt nicht nur die Verteidigung, sondern auch die Entdeckung von Schwachstellen. Daher sollte KI als unterstützende Schicht für das SOC betrachtet werden, nicht als Ersatz für den Vorfallsreaktionsprozess.

Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.