Eine schnellere Erkennung spielt keine Rolle, wenn der Ausbruch nur Sekunden dauert
Veröffentlicht am 12. August 2026
Wird eine Bedrohung frühzeitig erkannt, können Sie diese abwehren, bevor sie sich negativ auf Ihr Unternehmen auswirkt. Dies ist seit jeher ein Kernziel von Sicherheitsteams.
Es überrascht nicht, dass sich jedes Dashboard, jede KPI-Überprüfung und jedes Budgetgespräch zum SOC stillschweigend auf die Auswertung von Kennzahlen rund um Warnmeldungen konzentriert hat.
Früher erkennen, schneller reagieren, weniger Risiko … oder? Das erschien lange Zeit einleuchtend, und die Daten untermauerten diese Ansicht.
Leider hat sich dies mit dem Aufkommen KI-gestützter Bedrohungen schneller verändert, als sich die meisten Sicherheitsprogramme jemals darauf hätten vorbereiten können. Jüngsten Berichten zufolge ist die mittlere Ausbruchszeit (das Zeitfenster zwischen der ersten Kompromittierung und dem Zeitpunkt, zu dem ein Angreifer sich lateral bewegt oder seine Berechtigungen ausweitet) von etwa acht Stunden auf rund 22 Sekunden gesunken.
Wir reden hier nicht von 22 Minuten. Zweiundzwanzig Sekunden.
Diese Zahl sollte ausreichen, um jeden CISO dazu zu bewegen, mitten in einer Besprechung innezuhalten und zu überdenken, wie seine SecOps-Abteilung gemessen, besetzt und gestaltet ist, denn die Hauptziele, auf denen alles aufgebaut war, gelten nicht mehr.
Der Irrtum bezüglich der Erkennungsgeschwindigkeit
Die durchschnittliche Zeit bis zur Erkennung, die Zeit von der Warnung bis zur Triage und die Zeit bis zur Benachrichtigung sind gängige Kennzahlen, die im SecOps-Bereich erfasst werden, doch diese Zahlen waren nur dann aussagekräftig, wenn die Verteidiger tatsächlich noch besser im Spiel waren. Als ein Angreifer noch Stunden benötigte, um sich in einer Umgebung zu bewegen, verschaffte das Einsparen von Minuten bei der Erkennung den Teams einen Vorteil, da sie dadurch mehr Zeit hatten, im Hintergrund zu reagieren.
Da ein Sicherheitsvorfall innerhalb von Sekunden eintritt, versagt dieses Schema völlig. Selbst wenn ein Analyst in dem Moment, in dem der Vorfall eintritt, eine Warnmeldung erhält, muss er diese erst untersuchen, herausfinden, ob sie berechtigt ist, den geschäftlichen Kontext abwägen, eine Reaktion beschließen und diese dann tatsächlich umsetzen. All dies erfolgt manuell und ist zeitaufwendig. Dieser Vorfall ist an menschliche Entscheidungen, interne Arbeitsabläufe und die jeweiligen Genehmigungswege einer Organisation gebunden.
Wir haben Jahre damit verbracht, die Erkennung zu optimieren, doch mittlerweile ist die Erkennung möglicherweise nicht mehr der Teil des Prozesses, der am dringendsten optimiert werden muss. Die Branche ist sehr gut darin geworden, die Erkennung zu beschleunigen, während sie stillschweigend akzeptierte, dass die Entscheidungsfindung weiterhin vom Menschen übernommen wird und daher langsam bleibt. Dieser Kompromiss funktionierte … bis Angreifer sich schneller durch eine Umgebung bewegen konnten, als ein Analyst die ihm gemeldete Warnmeldung zu Ende lesen konnte.
Der eigentliche Engpass ist die Entscheidungskapazität
Fragt man die meisten Sicherheitsverantwortlichen, was ihnen schlaflose Nächte bereitet, werden sie das Alarmaufkommen nennen. Das ist die einfache Antwort, und sie ist zwar nicht unbedingt falsch, aber unvollständig. Das Alarmaufkommen ist ein Symptom. Der eigentliche Engpass, der dahinter steckt, ist die Entscheidungskapazität. (Lesen Sie unseren vorherigen Beitrag zum Thema „Security Theatre“)
Die meisten SOCs haben bereits einen Großteil der routinemäßigen, wiederkehrenden Vorgänge automatisiert. Wenn ein bekannter
Tritt eine bestimmte Bedingung ein, wird ein deterministischer Workflow ausgelöst, der diese automatisch abwickelt, ohne dass ein Mensch eingreifen muss.
Dieser Teil des Problems ist weitgehend gelöst, und er ist nicht der Grund, warum die Teams bis zum Äußersten ausgelastet sind. Was nach Abschluss dieser Automatisierung übrig bleibt, ist die schwierigere Kategorie: die neuartigen Situationen, die ungewöhnlichen Kombinationen von Signalen, die verdächtigen, aber unvollständigen Muster, die nicht eindeutig einer bekannten Regel entsprechen. Diese kleinere Gruppe von Fällen beansprucht einen unverhältnismäßig großen Teil der Zeit und Energie des SOC, gerade weil die herkömmliche Automatisierung bei ihnen keine sichere Entscheidung treffen kann – und doch sind dies genau die Momente, in denen die Verteidiger nun mit Maschinen- statt mit menschlicher Geschwindigkeit handeln müssen.
Dennoch investieren viele Unternehmen nach wie vor massiv in die Erkennung, während sie das damit verbundene Betriebsmodell weitgehend unverändert lassen. Von einem Analysten wird weiterhin erwartet, dass er die Beweise prüft, die Entscheidung trifft, die erforderliche Genehmigung einholt und eine Reaktion einleitet. Die Angreifer haben ihr Tempo drastisch erhöht; die meisten dieser internen Prozesse hingegen nicht.
(Wir gehen näher darauf ein, warum die Das alte Modell der Cyberabwehr versagt im Zeitalter autonomer Bedrohungen – hier.)
Warum “Human in the Loop” nicht mehr ausreicht
“Human in the Loop” ist in der Cybersicherheit so etwas wie ein Mantra geworden – und das aus gutem Grund. Niemand möchte, dass ein KI-System in seiner Umgebung unkontrollierte Entscheidungen trifft, doch das Modell versagt in dem Moment, in dem jede einzelne Entscheidung erfordert, dass ein Mensch den Vorgang unterbricht, überprüft und auf „Genehmigen“ klickt. Wenn ein KI-Agent ein Ereignis innerhalb von Sekunden untersuchen kann, aber dennoch darauf warten muss, dass ein Mensch die Empfehlung liest und einen Knopf drückt, besteht weiterhin ein Engpass.
Das bedeutet keineswegs, dass der Mensch aus dem Bild verschwindet. Was sich ändert, ist die Art seiner Rolle. Anstatt jede Entscheidung selbst zu treffen, verlagern sich die Aufgaben von Sicherheitsexperten hin zu strategischeren Aufgaben: Sie definieren, wie ein akzeptables Risiko aussieht, legen die Einsatzregeln fest, entscheiden, wo die Eskalationsschwellen liegen, und übernehmen die Verantwortung dafür, wie sich die Dinge entwickeln. Die Maschine arbeitet innerhalb dieser Grenzen und trifft sowie führt die operativen Entscheidungen aus, die in diesen Rahmen fallen. Es ist der Unterschied zwischen einem Menschen, der jede einzelne Entscheidung trifft, und einem Menschen, der steuert, wie Entscheidungen getroffen werden – und genau dieser Unterschied ist der springende Punkt.
Entscheidungen in Maschinen-Geschwindigkeit, menschliche Verantwortung
Die meisten CISOs haben keine Bedenken gegenüber KI, weil sie bezweifeln, dass sie schnell genug vorankommt. Geschwindigkeit war nie wirklich das Problem, sondern vielmehr das Vertrauen. Wahrscheinlich fragen sie sich:
Wer trägt die Verantwortung, wenn ein autonomes System einen Fehler macht?
Wie sieht der Prüfpfad im Nachhinein aus?
Wie viel Autorität sollte ein System am ersten Tag haben, und wie verändert sich das im Laufe der Zeit?
Diese Fragen haben weniger mit der zugrunde liegenden Technologie zu tun als vielmehr damit, wie ein Unternehmen diese steuert.
(Wenn Angriffe innerhalb von Sekunden erfolgen: Wie CIOs durch automatisierte Reaktionen Vertrauen schaffen ist ein lesenswerter Beitrag von Gareth Lindhal-Wise)
Die Lösung besteht weder darin, den Menschen vollständig aus dem Prozess herauszunehmen, noch darin, ihn in jeden einzelnen Schritt einzubinden. Die Lösung besteht vielmehr darin, den Prozess selbst neu zu gestalten, sodass Maschinen Entscheidungen treffen und umsetzen können, die innerhalb klar definierter Rahmenbedingungen liegen, während der Mensch die volle Verantwortung für die Festlegung dieser Rahmenbedingungen und deren Anpassung im Zuge wachsender Zuversicht behält.
Der Grad der Autonomie, der einem System gewährt wird, sollte in direktem Zusammenhang mit der Risikotoleranz einer Organisation, ihrer betrieblichen Reife und dem Vertrauen stehen, das sie sich im Laufe der Zeit erarbeitet hat. Dieses Vertrauen entsteht nicht auf einen Schlag, sondern baut sich schrittweise auf – Entscheidung für Entscheidung –, genauso wie das Vertrauen in jede neue Fähigkeit entsteht.
Ein neuer Maßstab für eine neue Ära
Sicherheitsverantwortliche müssen überdenken, was sie messen. Wenn ein Einbruch innerhalb von 22 Sekunden erfolgt, verlieren herkömmliche Erkennungskennzahlen und -standards zunehmend den Bezug zu dem, worauf es wirklich ankommt.
Etwas schneller zu erkennen, macht eine Organisation nicht automatisch widerstandsfähiger, und MTTD verliert zunehmend an Bedeutung, wenn die Entscheidungsfindung der menschlichen Verteidiger nicht mit der Geschwindigkeit Schritt halten kann, mit der Angreifer zuschlagen.
Die Zukunft von SecOps wird nicht davon abhängen, wer die meisten oder schnellsten Warnmeldungen auslöst. Sie wird davon abhängen, wer in der Lage ist, Urteilsvermögen, Entscheidungsfindung und Reaktion mit maschineller Geschwindigkeit zu skalieren und dabei die Verantwortung in menschlicher Hand zu belassen.
In einer Welt, in der ein Ausbruch nur Sekunden dauert, ging es nie wirklich um die Erkennung. Es geht vielmehr um die Entscheidungsfindung.
