Kein IT-System kann gegen alle gegenwärtigen und zukünftigen Angriffe abgesichert werden. Unternehmen müssen deshalb neben präventiven Maßnahmen auch erkennen können, wann ein unberechtigter Zugriff stattfindet, welche Systeme betroffen sind und wer die Eindämmung verantwortet.
KI verschärft die Lage auf beiden Seiten. Angreifer können Recherche, Phishing und die Anpassung vorhandener Werkzeuge beschleunigen. Verteidiger nutzen dieselben Technologien, um Ereignisse zu korrelieren und Auffälligkeiten zu priorisieren. NIST fasst diese Entwicklung in drei Arbeitsfelder: KI-Systeme absichern, KI für die Verteidigung einsetzen und KI-gestützte Angriffe abwehren. Keine dieser Aufgaben ersetzt die grundlegende Sichtbarkeit im eigenen Netz.
Aktuelle Bedrohungslage
Die europäische Sicherheitsagentur ENISA analysierte für ihren Threat Landscape 2025 insgesamt 4.875 Vorfälle zwischen Juli 2024 und Juni 2025. Phishing war bei 60 Prozent der untersuchten Eindringwege der Einstieg, die Ausnutzung von Schwachstellen bei 21,3 Prozent. Ransomware bewertete ENISA als Bedrohung mit der größten Auswirkung.
Firewalls, Multifaktor-Authentifizierung, Updates und Backups bleiben unverzichtbar. Die Statistik zeigt aber, warum sie um Detektion ergänzt werden müssen: Zugangsdaten werden gestohlen, erlaubte Werkzeuge missbraucht und neue Schwachstellen ausgenutzt. Ein erfolgreicher Angreifer sieht in den ersten Minuten häufig wie ein legitimer Nutzer aus.
Funktion von Protokollierung und Monitoring
Fast jede relevante Aktion hinterlässt Spuren: Anmeldung, Rechteänderung, Prozessstart, Dateiabruf, Netzwerkverbindung oder Konfigurationswechsel. Logging zeichnet diese Ereignisse auf. Monitoring vergleicht sie mit dem Normalzustand und löst bei verdächtigen Kombinationen einen Alarm aus.
Die US-Sicherheitsbehörde CISA empfiehlt auch kleinen und mittleren Unternehmen, Protokolle zu zentralisieren und Hochrisikoereignisse zu überwachen. Zentralisierung ist wichtig, weil ein kompromittierter Server seine lokalen Spuren löschen kann. Werden die Ereignisse zeitnah an ein getrenntes System übertragen, bleiben sie für Analyse und Beweissicherung erhalten.
Priorisierte Überwachungssignale
Ein KMU braucht zum Start kein Security Operations Center mit hundert Regeln. Fünf Signalgruppen decken einen großen Teil der praktischen Risiken ab:
- Identitäten: viele fehlgeschlagene Anmeldungen, Login aus ungewöhnlichem Land, deaktivierte MFA oder neu angelegte Administratorkonten;
- Endgeräte und Server: ausgeschalteter Virenschutz, neue Dienste, unerwartete Skripte oder ungewöhnlich hohe Dateiänderungsraten;
- Netzwerk: neue externe Ziele, große Datenübertragungen und Verbindungen zwischen Segmenten, die normalerweise getrennt sind;
- Cloud und E-Mail: Weiterleitungsregeln, Massen-Downloads, verdächtige OAuth-Freigaben und Änderungen an Aufbewahrungsregeln;
- Backup: fehlgeschlagene Sicherungen, gelöschte Wiederherstellungspunkte und nie getestete Rücksicherungen.
Zuordnung von Alarmen und Reaktionsmaßnahmen
Monitoring scheitert selten an fehlenden Daten. Es scheitert an tausenden Meldungen ohne Priorität. Jede Alarmregel braucht deshalb eine verantwortliche Rolle, eine Dringlichkeit und eine kurze Handlungsanweisung. Bei einem neuen Administratorkonto kann das bedeuten: Konto sperren, Ursprung prüfen, aktive Sitzungen beenden, betroffene Systeme isolieren und Geschäftsführung beziehungsweise Datenschutzverantwortliche informieren.
Der Reaktionsplan sollte Telefonnummern und Entscheidungen enthalten, nicht nur Technik. Wer darf einen Produktionsserver vom Netz nehmen? Welche Anlage kann sicher weiterlaufen? Wann werden Kunden, Versicherung oder Behörden eingeschaltet? Das BSI betont für Sicherheitsvorfälle ausdrücklich schnelle, aber überlegte Reaktion und vorbereitete Zuständigkeiten.
Kennzahlen und regelmäßige Übungen
Zwei Kennzahlen reichen für den Anfang: Mean Time to Detect, die Zeit vom ersten verdächtigen Ereignis bis zur Erkennung, und Mean Time to Respond, die Zeit bis zur wirksamen Eindämmung. Beide werden nicht durch Hochglanzberichte verbessert, sondern durch Übungen. Ein quartalsweiser Test – etwa ein simuliertes kompromittiertes Konto – zeigt, ob Alarm, Erreichbarkeit und technische Sperre tatsächlich funktionieren.
KI kann bei der Priorisierung helfen, aber sie darf schlechte Telemetrie nicht kaschieren. Erst wenn Uhren synchronisiert, Systeme inventarisiert, Logs geschützt und Verantwortlichkeiten geklärt sind, entsteht ein verlässliches Lagebild. Cyberresilienz bedeutet dann nicht, jeden Angriff zu verhindern. Sie bedeutet, einen Vorfall früh zu begrenzen und den Betrieb kontrolliert wiederherzustellen.