Wenn Angriffe innerhalb von Sekunden erfolgen: Wie CIOs durch automatisierte Reaktionen Vertrauen schaffen

Veröffentlicht am 17. Juni 2026

Dieser Artikel ist der vierte Teil einer Reihe der Sicherheitsexperten von Ontinue.

Mit dem Aufkommen der künstlichen Intelligenz (KI) ist die echte Demokratisierung von Cyberangriffen keine Warnung mehr, sondern Realität. Die Kompetenzlücken, die einst erfahrene Angreifer von opportunistischen Cyberkriminellen trennten, verschwinden zunehmend. Gleichzeitig breiten sich „Crime-as-a-Service“-Modelle rasch über die bisher dominierenden „Ransomware-as-a-Service“-Angebote (RaaS) hinaus aus, da sie die Möglichkeit bieten, Phishing-Kampagnen zu generieren, Malware zu entwickeln, Erkundungsmaßnahmen zu automatisieren und Einbruchsaktivitäten zu beschleunigen, ohne auf das gleiche Maß an menschlichem Fachwissen angewiesen zu sein.

Diese Demokratisierung geht einher mit einer rasch wachsenden Angriffsfläche, die durch die zunehmende Nutzung der Cloud und unkontrollierte “Schatten-KI”-Tools sowie durch schnellere Angriffsausführung noch beschleunigt wird. Dadurch entsteht ein neues, modernes Bedrohungsumfeld, an das sich CIOs und CISOs anpassen müssen.  

Schnellere Abwehrmaßnahmen bedeuten Autonomie bei der Reaktion

Das traditionelle Betriebsmodell für die Reaktion auf Vorfälle – Erkennen, Analysieren, Eskalieren, Besprechen, Entscheiden, Handeln – geht implizit davon aus, dass es Zeit für Zusammenarbeit, die Zeit bis zur Eskalation und die Zeit bis zum Erhalt der Genehmigungen, bevor Abwehrmaßnahmen ergriffen werden können. Diese Annahme trifft nicht mehr zu.

Zwar können menschliche Angreifer in ihrer Erkundungsphase noch Tage, Wochen oder Monate lang inaktiv bleiben, doch sobald sie sich zum Handeln entschließen, kann der eigentliche Angriff innerhalb von Sekunden ablaufen, wie wir gesehen haben aus erster Hand in unserem globalen Security Operations Center (SOC). Die Herausforderung für alle SOCs besteht darin, über die “genehmigte” Befugnis zu verfügen, bei Bedarf blitzschnell automatisierte Reaktionen auszulösen, um einen groß angelegten Angriff im Keim zu ersticken. 

Die derzeitige Vorgehensweise führender Sicherheitsverantwortlicher, die nach dem Motto “Ich muss die Kontrolle behalten” lautet, muss nun lauten: “Ich muss den Begriff „Kontrolle“ neu definieren ”in einer Welt, in der Menschen nicht schneller reagieren können als die von KI entwickelten Angriffe.“

Der Schnittpunkt: Machtverteilung zwischen Teams, einschließlich KI

Wie sollten CIOs und CISOs diese Anpassung angehen? Indem sie auf ein Modell der geteilten Verantwortung umsteigen – zwischen internen Teams, externen Dienstleistern (SOCs) und zunehmend auch, automatisierte Systeme, die sie nutzen können. Unternehmen müssen sich der schwierigen, aber notwendigen Tatsache stellen, dass Sicherheitsteams Angriffe in Maschinen-Geschwindigkeit nicht mit den derzeitigen Entscheidungsprozessen abwehren können, die eine Diskussionsphase über akzeptable Reaktionen und anschließende Genehmigungen erfordern. Unabhängig davon, ob die Reaktion intern an ein vertrauenswürdiges Team oder extern an einen Drittanbieter (SOC) delegiert wird, müssen Unternehmen vorab genehmigte Befugnisse und den schrittweisen Einsatz von Autonomie für dringende Abwehrmaßnahmen und defensive Aktionen gewähren.

Sobald sich ein Angreifer bereits innerhalb einer Umgebung positioniert hat, handelt es sich bei dem verbleibenden Zeitfenster für den Verteidiger nicht mehr um ein Zeitfenster für die Steuerung, sondern um ein Zeitfenster für die Umsetzung. Aus diesem Grund müssen interne Genehmigungsabläufe vor dem Auftreten von Vorfällen geklärt werden, nicht erst währenddessen.

Engpässe, die dadurch entstehen, dass Menschen einen Konsens benötigen, um Maßnahmen zu genehmigen, sind nicht nur ineffizient, sondern auch emotional und operativ belastend für die Verteidiger an vorderster Front, die miterleben, wie Angriffe, die sich in Echtzeit entwickeln können jedoch nicht eingreifen.

Bevor Sie mit der Automatisierung beginnen: Eine Checkliste für die Entscheidungsfindung

Der Einsatz von KI bei der Incident-Response ist kein Argument für eine unüberlegte Automatisierung. Um sie zu verstehen und in die Praxis umzusetzen, ist ein strukturierter, risikobasierter Ansatz erforderlich, den CIOs und CISOs schrittweise entwickeln sollten, um Vertrauen aufzubauen. Dabei sollten sie die folgenden sieben Schritte befolgen:

1. Beginnen Sie mit einem Zielbetriebsmodell. Jede Organisation verfügt – oder sollte zumindest verfügen – über eine dokumentierte Übersicht über Zuständigkeiten, Entscheidungsbefugnisse und Prozesse, die ihre Arbeitsweise festlegen. Die meisten Sicherheitsbetriebsmodelle wurden jedoch unter der Annahme konzipiert, dass Zeit existiert zusammenzuarbeiten und Probleme nach oben zu eskalieren. CIOs müssen bei der Neugestaltung dieser Modelle, Governance-Strukturen und Vertrauensgrenzen die Führung übernehmen, um den Anforderungen an die Geschwindigkeit im heutigen Bedrohungsumfeld gerecht zu werden.

2. Unterteilen Sie Ihre Ressourcen und Teams in verschiedene Ebenen. Nicht alles sollte automatisiert werden, und nicht alles sollte gleich behandelt werden. Legen Sie klare Stufen für interne und externe Teams fest, einschließlich der Frage, was bearbeitet werden darf, was automatisiert werden kann und was strengstens tabu ist. Eine “Nicht anfassen”-Stufe ist ein legitimer und wichtiger Bestandteil des Modells, insbesondere bei kritischen Host-Systemen. Diese Szenarien sollten so weit wie möglich im Voraus getestet und festgelegt werden.

3. Eingaben und Ausgaben verstehen, insbesondere die Umkehrbarkeit. Fragen Sie sich bei jeder automatisierten Reaktion: Was löst sie aus? Was bewirkt sie? Lässt sie sich rückgängig machen? Die Rückgängigmachbarkeit sollte ein zentrales Designkriterium sein. Die Möglichkeit, Aktionen schnell rückgängig zu machen, falls etwas schiefgeht, senkt die Risikoschwelle für entschlossenes Handeln. Bauen Sie diese Funktion von Anfang an ein, nicht erst im Nachhinein.

4. Schaffen Sie Vertrauen durch Fakten. Das Vertrauen in die Automatisierung basiert auf historischen Mustern. Das bedeutet, die Häufigkeit von Vorfällen zu verstehen, sicherzustellen, dass menschliche Reaktionen konsistent sind, und zu gewährleisten, dass automatisierte Maßnahmen dem entsprechen, was erfahrene Analysten ohnehin tun würden. Vertrauen muss schrittweise aufgebaut werden und kann nicht als selbstverständlich vorausgesetzt werden.

5. Wenden Sie den OODA-Zyklus in Maschinen Geschwindigkeit an. Beobachten, Einordnen, Entscheiden, Handeln. Das Ziel ist es, Vertrauen in die eigene Analyse zu gewinnen – und zwar schnell genug, um mit dem Tempo der Bedrohung Schritt zu halten. Erkennung, Analyse und Reaktion bleiben die Grundlagen. Doch im heutigen Umfeld entscheidet die Fähigkeit, Reaktionen im Voraus zu autorisieren und mit maschineller Geschwindigkeit auszuführen, darüber, ob diese Grundlagen zum Erfolg führen oder scheitern.

6. Fangen Sie klein an und testen Sie es aus. Automatisierung muss nicht unbedingt eine Alles-oder-Nichts-Entscheidung sein. Beginnen Sie in Bereichen mit geringerem Risiko. Führen Sie Tabletop-Übungen durch, die simulieren, wie eine automatisierte Reaktion verlaufen wäre, um das Vertrauen innerhalb der Organisation zu stärken. Tabletop-Übungen erfordern zwar die richtige Moderation, sind aber eines der wirksamsten Instrumente, um skeptische Interessengruppen zur Akzeptanz zu bewegen.

7. Betrachten Sie die Einrichtung als einen fortlaufenden Prozess. „Einmal einrichten und dann vergessen“ ist keine Strategie. Angreifer probieren ständig neue Techniken aus. Microsoft-Konfigurationen ändern sich. Reaktionsmaßnahmen, die im letzten Quartal noch funktioniert haben, können heute schon versagen. CISOs müssen automatisierte Reaktionen kontinuierlich überwachen, testen und aktualisieren. Umgebungen entwickeln sich weiter, Plattformen wechseln und Angreifer passen sich an – deshalb muss Automatisierung ein lebendiger, anpassungsfähiger Prozess sein, um Schritt zu halten. Drittanbieter von SOC-Lösungen haben hier oft einen erheblichen Vorteil, da sie einen breiten Kundenstamm bedienen und dadurch selten auftretende Ereignisse, wie beispielsweise Änderungen an Microsoft-Konfigurationen, weitaus häufiger erleben als jedes einzelne interne Team. Dadurch verfügen sie über stärkere und schnellere Fähigkeiten zur Mustererkennung und zur Anpassung von Reaktionen.

Bevor CISOs einer automatisierten Reaktion grünes Licht geben, sollten sie die folgenden fünf Entscheidungsschritte durchlaufen. Jeder Schritt wirft Fragen auf, die beantwortet werden müssen – und zwar ehrlich –, bevor es weitergeht. Ein einziges “Nein” ist ein Signal, anzuhalten, die Lücke zu schließen und den Prozess erneut zu durchlaufen. Dies ist kein einmaliger Vorgang: Die fünfte Stufe ist bewusst offen gehalten, da akzeptable Automatisierung ein dynamischer Standard ist und kein festes Ziel.

Die Vertrauenslücke schließen, um Angriffe zu verhindern

Automatisierte Reaktionen an sich sind nichts Neues. Neu sind jedoch die Anforderungen an die Geschwindigkeit und damit auch die Notwendigkeit, dass CIOs ihre Sicherheitsverantwortlichen dabei unterstützen, Betriebsmodelle und Governance-Strukturen neu zu gestalten. Die Delegation von Entscheidungsbefugnissen im Bereich der Reaktion – sorgfältig, transparent und schrittweise – ist mittlerweile eine Voraussetzung für die Widerstandsfähigkeit des Unternehmens.