KI-Reife und Automatisierung: Wie viel Autonomie verträgt das SOC?

Die Zahl sicherheitsrelevanter Ereignisse wächst schneller, als Teams sie manuell bearbeiten können. Zugleich fehlen vielen Unternehmen erfahrene Analystinnen und Analysten, die Alarme bewerten, Vorfälle untersuchen und Bedrohungen aktiv aufspüren können. Aus der wachsenden Lücke zwischen Bedrohungslage und verfügbaren Fachkräften entsteht ein struktureller Bedarf an Automatisierung. Künstliche Intelligenz gilt für die betriebliche Überwachung und Abwehr von Cyberbedrohungen (Security Operations, SecOps) damit zunehmend als Notwendigkeit.

Nur wenn Erkennung und Reaktion mit der Geschwindigkeit moderner Angriffe Schritt halten, können Sicherheitsteams ihre Aufgaben dauerhaft bewältigen. Dabei kann ein sich selbst verstärkender Effekt entstehen: Wenn erfahrene Fachkräfte unter der steigenden Alarmlast ausbrennen und Unternehmen verlassen, steigt der Druck auf die verbleibenden Teams weiter. Gleichzeitig ist es schwierig, qualifiziertes Personal zu gewinnen. Automatisierung wird damit für viele Unternehmen zur Voraussetzung dafür, dass Security Operations auch unter hoher Belastung handlungsfähig bleiben.

KI-Reifegrade im SOC

Der Einsatz von künstlicher Intelligenz beginnt selten mit vollständig autonomen Security Operations. Sinnvoller ist es, den KI-Einsatz entlang der Reifeentwicklung eines Security Operations Centers (SOC) zu betrachten. Nur wenn Prozesse definiert und etabliert sind, lassen sie sich angemessen mit Automatisierung und KI unterstützen.

Analog zum „Security Operations Center – Capability Maturity Model“ (SOC-CMM), einem Rahmenwerk zur Reifegradprüfung eines SOC, lassen sich hier verschiedene Stufen unterscheiden, die von unterstützenden Funktionen bis hin zu weitgehend autonomen Abläufen reichen.

Die erste Stufe, „KI-unterstützt“, entspricht einer frühen, strukturierten Einsatzform. Systeme liefern Analystinnen und Analysten zusätzliche Informationen, bereiten Fälle auf oder reichern Alarme mit Kontext an. Die Entscheidung bleibt vollständig beim Menschen.

Bei „KI-erweitert“ geht der Einsatz einen Schritt weiter. KI übernimmt standardisierte und wiederholbare Vorarbeiten, etwa die Priorisierung von Alarmen, eine erste Klassifizierung oder die Zusammenführung relevanter Informationen. Die Analysten konzentrieren sich dadurch stärker auf die Fälle, bei denen menschliche Expertise erforderlich ist.

„KI-gesteuert“ bedeutet, dass KI bereits Teile der Entscheidungsfindung und Reaktion übernimmt. Dazu kann beispielsweise die automatisierte Eindämmung eindeutig erkannter Bedrohungen gehören. Voraussetzung dafür sind klar definierte Prozesse sowie eine kontinuierliche Messung und Kontrolle der Qualität. „KI-autonom“ bildet die höchste Stufe. Systeme analysieren Ereignisse, treffen innerhalb definierter Grenzen Entscheidungen und reagieren ohne vorherige menschliche Freigabe. Eine solche Autonomie erfordert eine entsprechend hohe Reife des SOC und sollte auf klar abgegrenzte Szenarien mit beherrschbarem Risiko beschränkt bleiben.

Die vier Stufen sind dabei nicht als starre Entwicklungsleiter zu verstehen. Ein SOC kann KI in unterschiedlichen Bereichen auf unterschiedlichen Reifestufen einsetzen. Entscheidend ist vielmehr, dass der gewählte Automatisierungsgrad zur eigenen Prozessreife, zum Risikoprofil und zu den Anforderungen an Kontrolle und Nachvollziehbarkeit passt. Darin liegt die Verbindung zum SOC-CMM: KI-Automatisierung ist kein Selbstzweck, sondern eine Fähigkeit, die mit der Reife und den Anforderungen des Security Operations Centers wachsen soll.

Die Kehrseite: Neue Abhängigkeiten satt weniger Risiko

Mit zunehmendem Automatisierungsgrad entsteht auch eine neue Risikokategorie. Viele KI-Modelle treffen Einschätzungen, die sich nicht ohne Weiteres nachvollziehen lassen. Diese mangelnde Erklärbarkeit wird zum Problem, sobald ein System eine Fehlentscheidung trifft und im Nachgang geklärt werden muss, warum ein Alarm verworfen oder ein System isoliert wurde – und wer dafür die Verantwortung trägt.

Hinzu kommt eine strukturelle Abhängigkeit von einer geringen Zahl an Anbietern, die leistungsfähige KI-Modelle und die dazugehörige Cloud-Infrastruktur bereitstellen, häufig außerhalb Europas. Sicherheitsrelevante Telemetriedaten, teilweise mit hohem Schutzbedarf, fließen dabei in Systeme, deren Betrieb und Weiterentwicklung ein Unternehmen nicht selbst kontrolliert.

Ein Wechsel des Anbieters ist oft mit erheblichem Aufwand verbunden, da Modelle, Prompts und Integrationen eng an eine Plattform gebunden sind. Damit entsteht in der Cyberabwehr dieselbe Abhängigkeitsproblematik, die aus der Diskussion um Cloud- und Hardware-Souveränität bekannt ist, allerdings mit einer zusätzlichen Dimension. Es geht nicht mehr nur um Infrastruktur, sondern auch um die Entscheidungshoheit über sicherheitskritische Vorgänge.

Eine weitere, oft unterschätzte Abhängigkeit betrifft die eigenen Mitarbeiterinnen und Mitarbeiter. Wenn Nachwuchskräfte vor allem lernen, KI-Ausgaben zu bestätigen, statt Fälle selbst zu analysieren, verliert die Organisation über Jahre genau jene analytische Urteilsfähigkeit, die im Zweifelsfall gebraucht wird, wenn ein System falschliegt oder ausfällt.

Mit steigendem Vertrauen in scheinbar perfekte KI-Ergebnisse schwindet zudem das kritische Hinterfragen von Entscheidungen. Tiefergehende Analysen auf Basis menschlichen Bauchgefühls treten in den Hintergrund. Dabei hat genau dieses Bauchgefühl in der Vergangenheit auch Vorfälle erkannt, die nach reiner Logik oder Regelwerk als False Positive geschlossen worden wären. Auch das sind Souveränitätsrisiken, die sich nicht nur technisch, sondern auch personell aufbauen.

Kontrolle behalten statt KI verhindern

Die naheliegende Reaktion, auf Automatisierung zu verzichten, ist damit nicht der richtige Weg. Ohne KI-Unterstützung lässt sich die wachsende Alarmflut kaum noch bewältigen. Souveränität bedeutet vielmehr, den Einsatz von künstlicher Intelligenz von Anfang an so zu gestalten, dass die Kontrolle erhalten bleibt. Dafür sollte der Grad menschlicher Beteiligung an die Kritikalität der jeweiligen Entscheidung gekoppelt werden.

Folgenreiche Eingriffe wie die Isolierung produktiver Systeme sollten weiterhin eine menschliche Freigabe erfordern. Risikoarme Vorarbeiten, wie zum Beispiel das temporäre Blockieren einer Phishing-URL, können dagegen stärker automatisiert werden. Ebenso wichtig sind klar definierte Eskalationsgrenzen sowie Nachvollziehbarkeit und Auditierbarkeit. Diese sollten eine feste Anforderung an jedes eingesetzte System sein und nicht erst nach einem Vorfall ergänzt werden. Souveränität bedeutet außerdem, die Wahlfreiheit zwischen mehreren Anbietern zu erhalten.

Daten, Regeln und Logik sollten so portabel gestaltet sein, dass ein Wechsel der Plattform grundsätzlich möglich bleibt. Ergänzend sollten KI-gestützte Anwendungsfälle nach ihrem jeweiligen Risiko klassifiziert werden. Regelmäßige Überprüfungen können helfen, Fehlentscheidungen zu analysieren und Schwellenwerte entsprechend anzupassen.

Fazit

Der Einstieg gelingt selten mit einem hohen Automatisierungsgrad. Sinnvoller ist ein schrittweises Vorgehen, das mit klar abgegrenzten und risikoarmen Anwendungsfällen startet. Governance-Fragen wie Verantwortlichkeiten und Eskalationsschwellen sollten vor dem Roll-Out geklärt werden und nicht erst danach. Künstliche Intelligenz sollte als Werkzeug verstanden werden, das die Steuerungsfähigkeit einer Organisation stärkt, statt sie zu ersetzen.

Genau darin liegt am Ende die eigentliche Messlatte digitaler Souveränität in der Cyberabwehr. Nicht der Verzicht auf KI entscheidet, sondern die dauerhafte Fähigkeit eines Unternehmens, zu erklären, zu korrigieren und notfalls abzuschalten, was die Maschine tut.

Damit reiht sich KI-Sicherheit in eine größere Entwicklung ein. Digitale Souveränität entscheidet sich nicht mehr nur bei Cloud- und Hardware-Fragen, sondern zunehmend auch dort, wo Maschinen an sicherheitsrelevanten Vorgängen mitwirken.