KI im gesamten Sicherheitslebenszyklus

Seit fast einem Jahrzehnt nutzt die Sicherheitsbranche maschinelles Lernen zur Lösung von Erkennungsaufgaben. Durch die Zufuhr von genügend Protokolldaten und die Ermittlung abnormaler Verhaltensweisen konnten so Bedrohungen gefunden werden, die regelbasierte Systeme übersehen. Dies führte zu einer präziseren Anomalieerkennung, weniger Fehlalarmen, und UEBA ist nun unerlässlich. Tatsächlich entfallen fast 44% der gesamten SIEM-Ausgaben auf die Bedrohungserkennung und -analyse – mit Abstand der größte einzelne Anwendungsfall.

Der Einsatz von maschinellem Lernen zur Erkennung war nur der Anfang.

Agentic AI transformiert SIEMs von eingebetteten ML-Modellen zu agentischen Systemen, die schlussfolgern und handeln. Analysten bleiben weiterhin zentral, steigen aber erst später ein, wenn die meisten Ermittlungsarbeiten bereits erledigt sind.

Der Sumo Logic-Bericht „Security Operations Insights 2026“, eine Umfrage unter mehr als 500 IT- und Sicherheitsverantwortlichen, zeigt, dass sich SOCs weiterentwickeln. Während 96 % angeben, KI eingeführt zu haben, konzentrieren sich ihre Anwendungsfälle auf die grundlegendste Ebene des Workflows. KI kann als operative und entscheidungsrelevante Grundlage über den gesamten Lebenszyklus hinweg dienen, vom ersten Signal bis zur Lösung, aber die meisten Organisationen sind noch nicht so weit.

Hier sehen Sie, wo dieser Übergang heute steht und was erforderlich ist, um ein zukunftsfähiges SOC aufzubauen.

Wo KI bereits überzeugt

Die erste Welle der KI im Bereich der Sicherheit hat ihre Versprechen eingelöst. Die Anomalieerkennung wurde geschärft, Verhaltensbaselines ergänzten signaturbasierte Regeln, und der Nutzen ist weithin anerkannt: 90 % der Sicherheitsverantwortlichen geben an, dass KI/ML äußerst oder sehr wertvoll ist, um die Alarmmüdigkeit zu reduzieren und die Erkennungsgenauigkeit zu verbessern.

Tatsächlich nutzt fast die Hälfte der Sicherheitsverantwortlichen KI zur Bedrohungserkennung, aber nur 9 % wenden sie für die Triage von Vorfällen an – der am seltensten genannte Anwendungsfall im gesamten SOC. Dennoch kämpfen Sicherheitsoperationen nach wie vor täglich mit Alarmmüdigkeit und Fehlalarmen. Das Volumen verringerte sich nicht, weil die Angriffsfläche immer größer wurde, die Cloud-Telemetrie immer weiter zunahm und KI-beschleunigte Bedrohungen die Geschwindigkeit der eingehenden Signale schneller erhöhten, als Verbesserungen bei der Erkennung dies ausgleichen konnten.

Auch wenn die Investitionen in KI bisher vor allem auf die Erkennung ausgerichtet waren, ist diese Investition wichtig, weil die Qualität der Erkennung direkt die Obergrenze für alles Nachgelagerte festlegt. Die Genauigkeit der Erkennung bestimmt, wie viel Ermittlungsarbeit letztendlich auf dem Schreibtisch eines Menschen landet.

Die Reifekurve der KI

Die meisten SOCs lassen sich in eine von drei Stufen der KI-Reife einteilen. Wo Sie heute stehen, bestimmt, was Sie realistischerweise von Ihrem SIEM erwarten können und welche Möglichkeiten Sie ungenutzt lassen.

Phase eins: Rauschen reduzieren

Die erste Phase ist die operative Automatisierung, bei der regelbasierte Logik mit maschinellem Lernen kombiniert wird, um Verhaltensbaselines zu bilden, doppelte Warnmeldungen zu unterdrücken und Protokolle zu normalisieren. Das ist die Grundvoraussetzung, und der Business Case schreibt sich von selbst. Sie reduzieren das Fallaufkommen, die Ermittlungszeit und schließen mehr Fälle ab. Die Studie aus dem Jahr 2026 bestätigt, dass Automatisierung mittlerweile Standard ist: 70 % der Sicherheitsverantwortlichen geben an, ihre Workflows zur Bedrohungserkennung vollständig oder größtenteils automatisiert zu haben.

Phase zwei: Den Analysten anleiten

In der zweiten Phase beginnt die KI, bei den Ermittlungen zu helfen. Analystenunterstützende KI ersetzt statische Playbooks durch Systeme, die Untersuchungen in Echtzeit steuern – Zusammenfassung in natürlicher Sprache, kontextbezogene Risikobewertung und Anomalieerkennung, die Analysten eine „Warum das wichtig ist“-Erzählung statt eines rohen Ereignisstroms liefert. Nur 37 % der Sicherheitsverantwortlichen verfügen über ein Cloud-natives SIEM mit integrierten KI-Funktionen, einheitlicher Telemetrie und Skalierbarkeit, und nur 51 % geben an, dass ihr aktuelles SIEM sehr effektiv darin ist, die mittlere Erkennungszeit (MTTD) und die mittlere Reaktionszeit (MTTR) zu reduzieren. Phase zwei ist noch nicht weit verbreitet, und die Ergebnisse spiegeln dies wider.

Phase drei: Den Kreislauf schließen

In der dritten Phase wird der autonome Betrieb eingeführt. Dies ist agentische KI, bei der Systeme nicht nur analysieren und Empfehlungen aussprechen, sondern auch toolübergreifend schlussfolgern, Beweise korrelieren und im gesamten SOC-Workflow agieren, ohne auf die Ausführung jedes einzelnen Schrittes durch einen Menschen warten zu müssen.

Während die KI der zweiten Stufe dem Analysten einen besseren Ausgangspunkt bietet, reichert agentische KI Warnmeldungen mit Threat Intelligence an, ordnet Aktivitäten der Kill Chain zu und leitet autonom Reaktionsmaßnahmen ein. Nur wenige Teams sind bisher so weit. Nur 9 % der Sicherheitsverantwortlichen setzen KI derzeit für die Priorisierung von Sicherheitsvorfällen ein – genau jene Arbeitsabläufe, die agentische KI transformieren soll. Dies verdeutlicht, wie viel noch zu tun bleibt. p.

Was Sie von Ihrem SIEM im agentischen Zeitalter erwarten sollten

Nicht jedes SIEM ist für die Unterstützung agentischer KI ausgelegt, und die architektonischen Entscheidungen, die Unternehmen jetzt treffen, bestimmen, in welchem Maße sie von agentischer KI profitieren können. Drei Dinge sind nicht verhandelbar.

• Keine Anbieterbindung. Laut dem Bericht evaluieren die meisten Organisationen ihre Anbieter nur selten, und finanzielle Anreize, im Ökosystem eines einzigen Anbieters zu bleiben, sind ein Hauptgrund dafür. Eine Plattform, die Datenerfassung, -analyse und -automatisierung über proprietäre Tools und geschlossene APIs steuert, schränkt Ihre Möglichkeiten ein, die agentischen Fähigkeiten zu integrieren, die in der gesamten Branche entwickelt werden. Wenn die nächste Generation von Werkzeugen auf den Markt kommt, benötigen Sie die Architektur und die Freiheit, diese zu übernehmen.
• Offene Datenstandards. Agentische Systeme müssen sich frei über Datenquellen hinweg bewegen können. Plattformen, die auf offenen Standards wie OpenTelemetry basieren, können Telemetriedaten umgebungsübergreifend ohne proprietäre Einschränkungen erfassen, normalisieren und weiterleiten. Geschlossene Datenaufnahmepipelines setzen dem, was eine agentische Schicht sehen und worauf sie reagieren kann, eine Obergrenze.
• Entitätszentrierte Erkennung. Agentische KI bewertet, was wem in welchen Systemen in welcher Reihenfolge widerfahren ist. Eine Erkennung, die Ereignisse einem bestimmten Benutzer, Gerät oder Dienstkonto zuordnet, gibt dieser Schlussfolgerung eine kohärente Grundlage. Ohne sie hat die agentische Untersuchung keine Grundlage, auf der sie handeln kann.

Das SOC von morgen wird heute gebaut.

Die Erkennung war die erste Phase, und die Branche hat sie gemeistert. Doch die schnelle Erkennung von Bedrohungen ist nur dann von Bedeutung, wenn die Reaktion schneller erfolgt – und genau dort verlieren Organisationen immer noch Zeit.

Analystenunterstützende KI war die zweite Phase: intelligentere Triage, geführte Untersuchung, schnellere mittlere Reaktionszeit. Die meisten Teams befinden sich heute mitten in diesem Übergang, da nur die Hälfte der Sicherheitsteams ihr aktuelles SIEM als sehr effektiv bei der Reduzierung der mittleren Erkennungs- und Reaktionszeit einschätzt und lediglich 52 % zuversichtlich sind, dass ihr SIEM skalieren kann, um zukünftigen Anforderungen gerecht zu werden.

Agentische KI ist Phase drei. Teams, die in die richtigen Grundlagen investiert haben – offene Architekturen, entitätszentrierte Erkennung und keine Anbieterabhängigkeit – sind gut positioniert, diese Technologie zu übernehmen. Wer das noch nicht getan hat, wird feststellen, dass seine aktuelle SIEM-Lösung auf einer Infrastruktur basiert, die die nächsten Entwicklungen nicht unterstützen kann.

Die Organisationen, die das SOC von morgen aufbauen, wählen ihre Plattformen bereits heute.

Sind Sie bereit zu sehen, wie eine flexible Architektur für agentische KI funktioniert? Fordern Sie eine Demo an.