Warum ein AI-SOC Ransomware nicht allein stoppen kann
KI kann im Security Operations Center Alarme korrelieren, Rauschen reduzieren und Reaktionen automatisieren. Doch sie erkennt nur, was Telemetrie und Kontext sichtbar machen. Gerade bei Ransomware entscheidet deshalb oft menschliche Erfahrung lange vor der eigentlichen Verschlüsselung.
Künstliche Intelligenz (KI) verändert die Arbeit im Security Operations Center (SOC) erheblich. Daraus abzuleiten, dass Unternehmen künftig auf Analysten, umfassende Telemetrie oder etablierte Schutzmechanismen verzichten könnten, wäre jedoch riskant. KI kann fehlende Sichtbarkeit nicht kompensieren: Ungeschützte Endgeräte, Lücken bei der Multi-Faktor-Authentifizierung (MFA) oder unvollständige Logdaten bleiben auch mit einem AI-SOC blinde Flecken.
Die eigentliche Stärke der Technik liegt dort, wo große Datenmengen schnell verarbeitet und bekannte Muster zuverlässig bewertet werden müssen.
Wo KI Analysten tatsächlich entlastet
Moderne SOC-Plattformen können Ereignisse aus zahlreichen Datenquellen korrelieren, Alarme priorisieren und Rohprotokolle automatisch zusammenfassen. Aufgaben, für die Analysten früher viele Minuten oder Stunden benötigten, lassen sich dadurch in Sekunden erledigen. Gleichzeitig sinkt die Zahl der Meldungen, die tatsächlich menschliche Aufmerksamkeit verlangen.
Auch definierte Reaktionen lassen sich automatisieren: etwa einen eindeutig kompromittierten Endpunkt isolieren, eine Passwortänderung anstoßen oder einen Prozess blockieren, der einem bekannten Angriffsmuster entspricht.
Damit übernimmt KI vor allem Aufgaben mit geringer Unsicherheit und überschaubaren Folgen einer Fehlentscheidung: Anreicherung, Korrelation, Priorisierung und klar definierte Gegenmaßnahmen. Schwieriger wird es, sobald Verhalten mehrdeutig ist oder geschäftlicher Kontext benötigt wird.
Ransomware beginnt lange vor der Verschlüsselung
Die eigentliche Ransomware-Datei ist häufig erst der Schlusspunkt eines Angriffs. Zu diesem Zeitpunkt hat sich der Eindringling vielfach bereits Zugang verschafft, Systeme erkundet, Zugangsdaten gesucht und sich lateral durch das Netzwerk bewegt.
Ein von Bitdefender beschriebener Akira-Fall zeigt das Prinzip. Auffällig war zunächst lediglich der Advanced IP Scanner, der aus einem ungewöhnlichen temporären Benutzerverzeichnis gestartet wurde. Das Tool selbst wird auch legitim eingesetzt. Frühere Untersuchungen zeigten jedoch eine wiederkehrende Angriffskette:
- VPN-Zugriff
- Internes Scannen
- Remote-Abfrage von Registry-Bereichen mit Bezug zu Zugangsdaten
- Credential Dumping
- Laterale Bewegung per Remote Desktop Protocol (RDP)
- Ausführung der Ransomware
Das SOC griff bereits in Schritt zwei ein: Host isolieren, externen VPN-Zugang sperren, Patch-Stand prüfen und privilegierte Zugangsdaten zurücksetzen. Die Verschlüsselung fand damit gar nicht erst statt.
Entscheidend war nicht eine Malware-Signatur, sondern die Einordnung mehrerer zunächst unspektakulärer Aktivitäten zu einem bereits bekannten Angriffsmuster.
Verhalten schlägt Signatur
Dasselbe Prinzip gilt bei neu ausgenutzten Schwachstellen. Am 18. Juli 2025 registrierte das Managed-Detection-and-Response-Team (MDR) von Bitdefender verschleierte PowerShell-Aktivitäten auf einem lokalen SharePoint-Server. Schadcode sollte in ein SharePoint-Webverzeichnis eingeschleust werden.
Die zugrunde liegenden Schwachstellen waren bereits zehn Tage zuvor veröffentlicht worden. Dass Angreifer sie aktiv ausnutzten, war zu diesem Zeitpunkt jedoch noch nicht allgemein bekannt. Genau diese Phase zwischen CVE-Veröffentlichung (Common Vulnerabilities and Exposures) und breit verfügbarer Angriffserkennung ist kritisch.
Verhaltensbasierte Verfahren müssen die konkrete Schwachstelle nicht kennen. Sie können ungewöhnliche Prozessketten, Speicherzugriffe oder administrative Aktivitäten erkennen, bevor passende Signaturen existieren.
Warum Kontext nicht automatisierbar ist
Besonders deutlich werden die Grenzen bei legitimen Werkzeugen. In einem weiteren Vorfall bewertete die KI Aktivitäten signierter Windows-Binärdateien zunächst als wahrscheinlich administrativ. Ein Analyst erkannte jedoch ungewöhnliche Remote-Zugriffe auf Registry-Bereiche mit Bezug zu Anmeldedaten.
Die technische Frage lautete nicht mehr: „Ist diese Datei schädlich?“, sondern: „Ist dieses Verhalten in genau dieser Umgebung plausibel?“
KI lieferte Korrelation und Vorbewertung. Die Bedeutung des Vorgangs entstand erst durch Kenntnisse über Infrastruktur, normale Arbeitsabläufe und Angriffsmuster.
Ein leistungsfähiges AI-SOC benötigt deshalb weiterhin drei Grundlagen: vollständige Telemetrie, geschäftlichen Kontext und erfahrene Analysten. KI kann deren Arbeit erheblich beschleunigen. Sie macht sie aber nicht überflüssig.
Cristina Anghel, Senior Security Analyst Team Lead bei Bitdefender.
Weitere Artikel zum Thema:
Newsletter Abonnieren
Abonnieren Sie jetzt IT-SICHERHEIT News und erhalten Sie alle 14 Tage aktuelle News, Fachbeiträge, exklusive Einladungen zu kostenlosen Webinaren und hilfreiche Downloads.
