Thought Leadership
Business Intelligence zeigt, was passiert ist. Predictive AI sagt voraus, was passieren könnte. Decision Intelligence geht weiter: Sie berechnet, welche Maßnahme das beste Ergebnis bringt – und hilft IT-Security-Teams damit von der Datenflut zur Handlung.
Der Begriff Decision Intelligence (DI) beschreibt einen interdisziplinären Ansatz, der Datenwissenschaft mit Entscheidungslogik und operativer Umsetzung verbindet, um Entscheidungsprozesse zu analysieren und zu optimieren. Im Kern geht es um die Frage: „Wie sieht die bestmögliche Entscheidung aus?“ – und das nicht auf Basis von Erfahrungswerten oder Schätzungen, sondern auf exakten und reproduzierbaren Berechnungen. Während Business Intelligence fragt „Was ist passiert?“ und prädiktive KI Prognosen liefert, geht DI den entscheidenden Schritt weiter: Sie berechnet, welche Maßnahmen die besten Ergebnisse hervorbringen.
Die drei Reifegrade der Entscheidungsunterstützung
Decision Intelligence lässt sich in drei aufeinander aufbauenden Reifegraden umsetzen – von der reinen Information bis zur autonomen Umsetzung:
Warum Decision Intelligence in der IT Security entscheidend ist
Die größte Herausforderung in der Cybersicherheit ist heute nicht mehr der Mangel an Daten, sondern die Fülle an Informationen. Security-Teams werden mit Tausenden Einzelinformationen konfrontiert: Schwachstellenmeldungen, Alarme, Logs. Sie müssen daraus priorisierte Handlungen ableiten. Hier setzt Decision Intelligence an.
1. Von der Datenflut zur Entscheidungsklarheit
„Mehr Informationen bedeuten nicht automatisch mehr Sicherheit. Wer aus einer Flut von Befunden keine Prioritäten ableiten kann, gewinnt keine Kontrolle, sondern zusätzliche Komplexität, die in der Regel weniger Sicherheit bedeutet.“
Jan Wendenburg, CEO von Onekey
Decision Intelligence hilft, Signale vom Rauschen zu trennen und die entscheidenden Fragen zu beantworten: Wie schnell kommen wir vom Signal zur Handlung? Wie sicher sind wir in unseren Entscheidungen? Welche Risiken wurden bereits vor dem Eintreten eines Incidents gemildert?
2. Mathematische Optimierung als Schlüsseltechnologie
Ein zentraler Bestandteil von DI ist die mathematische Optimierung. Machine-Learning-Modelle sind hervorragend darin, vorherzusagen, was als Nächstes passieren könnte, etwa eine steigende Risikoexposition, liefern aber keine direkten Empfehlungen, wie Verantwortliche gegensteuern können. Mathematische Optimierung liefert dagegen mit deterministischen Verfahren konkrete, reproduzierbare Lösungen für definierte Probleme. Anders als die statistischen Outputs generativer KI dienen diese Ergebnisse als belastbare Grundlage für Sicherheitsentscheidungen. In der Cybersicherheitsforschung wird dieser Ansatz zunehmend eingesetzt, etwa zur robusten Optimierung von Sicherheitsmaßnahmen unter Unsicherheit oder zur Auswahl optimaler Maßnahmen unter Abwägung von Risiko und Kosten mittels Mixed-Integer-Linear-Programming.
3. Kontext als entscheidender Faktor
Gerade in der Produktsicherheit reicht die bloße Information über die Existenz einer Schwachstelle nicht aus, um deren Bedeutung zu bestimmen. Ob ein Risiko tatsächlich relevant ist, hängt von der konkreten Firmware, den eingesetzten Softwarekomponenten, vorhandenen Schutzmechanismen, dem Einsatzgebiet und den regulatorischen Anforderungen ab. Decision Intelligence verknüpft technische Erkenntnisse mit Produktwissen, Compliance-Anforderungen und Lebenszyklusinformationen zu einem vollständigen Lagebild.
4. Menschliche Entscheidungshoheit als Prinzip
Ein zentrales Merkmal von Decision Intelligence ist, dass sie Menschen nicht ersetzen, sondern befähigen soll, bessere Entscheidungen zu treffen. Die KI übernimmt das „schwere analytische Heben“, die finale Verantwortung bleibt beim Menschen. Das ist besonders wichtig in regulierten Branchen, wo Entscheidungen nachvollziehbar, dokumentiert und fachlich verantwortet bleiben müssen.
Praxisbeispiel: Onekeys Decision-Intelligence-Ansatz
Onekey (Düsseldorf, gegründet 2020, vormals IoT Inspector) überträgt das Decision-Intelligence-Konzept systematisch auf die Product Cybersecurity und hat dafür eine vierstufige KI-Roadmap vorgelegt. Die Plattform analysiert Firmware direkt auf Binärebene (ohne Quellcode-, Geräte- oder Netzwerkzugriff) und verknüpft die technischen Erkenntnisse mit Produktwissen, Compliance-Anforderungen und Lebenszyklusinformationen zu einem vollständigen Lagebild, das über klassische Schwachstellenlisten hinausgeht.
Die vierstufige KI-Roadmap im Überblick
Stufe 1: Der kontextbasierte Chat-Agent
Den ersten Meilenstein bildet „Onekey AI“, ein Chat-Agent, der Sicherheitswissen in natürlicher Sprache zugänglich macht. Anwender können Fragen zu Schwachstellen, Firmware, Programmkomponenten, Software-Stücklisten (SBOMs), Produkten oder OQL-Abfragen stellen; die Antworten basieren den Angaben zufolge unmittelbar auf den Analyseergebnissen der Plattform.
Stufe 2: Offene Schnittstellen für unternehmenseigene KI
Im zweiten Schritt will Onekey seine Sicherheitsdaten kontrolliert für unternehmenseigene KI-Agenten, Anwendungen und automatisierte Workflows öffnen, etwa für Entwicklungsumgebungen, Ticket-Systeme, Compliance-Plattformen oder interne KI-Assistenten. Berechtigungen, Rollenmodelle und Datenhoheit bleiben dabei erhalten.
Stufe 3: Der intelligente Sicherheitsassistent
Mit dem dritten Meilenstein soll die integrierte KI Anwendern helfen, den technischen Kontext von Schwachstellen einzuordnen, Auswirkungen auf Softwarekomponenten nachzuvollziehen, Prioritäten zu setzen und Handlungsschritte abzuleiten. Die endgültige Bewertung verbleibt bewusst beim Menschen.
„KI soll Sicherheitsverantwortliche nicht ersetzen, sondern ihnen helfen, komplexe Zusammenhänge schneller zu verstehen. Gerade in regulierten Branchen müssen Entscheidungen nachvollziehbar, dokumentiert und fachlich verantwortet bleiben.“
Jan Wendenburg, CEO von Onekey
Stufe 4: Unterstützung operativer Sicherheits-Workflows
In der vierten Stufe soll der KI-Agent operative Aufgaben unterstützen: die Vorbereitung technischer Berichte, Konfigurationsaufgaben, die Verwaltung von Historien, die Erstellung von Analyseprofilen und Regelwerken sowie firmwareübergreifende Vergleichsanalysen. Auch hier verbleiben kritische Entscheidungen beim Menschen.
Wo liegt der Mehrwert gegenüber anderen Plattformen?
Was heute schon jeder kann
Die berechtigte Gegenfrage lautet: Wozu brauche ich dafür Onekey, wenn generische KI-Assistenten wie ChatGPT oder Claude längst gezielt nach Schwachstellen zu Softwarekomponenten oder CVE-Nummern gefragt werden können – und wenn etablierte Scanner wie Qualys seit über zwei Jahrzehnten Schwachstellen zuverlässig erkennen? Beides ist richtig, trifft aber nicht den Kern des Problems.
Ein generischer KI-Chat kennt öffentlich dokumentierte Schwachstellen und kann Zusammenhänge erklären. Er hat aber keinen Zugriff auf die konkrete Firmware, die tatsächlich in einem Produkt verbaut ist, kein aktuelles SBOM des eigenen Portfolios und keine laufende Bindung an die eigene Asset-Basis. Klassische Scanner wie Qualys wiederum sind im Erkennen von Schwachstellen ausgereift, arbeiten aber überwiegend netzwerk- oder agentenbasiert und damit oberhalb der Firmware-Ebene. Für eingebettete Geräte und Produktfirmware, die sich nicht einfach mit einem Agenten ausstatten lassen, ist das nur begrenzt geeignet. In beiden Fällen bleibt die eigentliche Arbeit an den Sicherheitsverantwortlichen hängen: das Wissen um eine Schwachstelle in eine Entscheidung für die eigene Infrastruktur zu übersetzen.
Auch andere KI-Anbieter rüsten auf: spezialisierte Sicherheitsmodule
Der Vergleich mit generischen KI-Chats wie ChatGPT oder Claude greift inzwischen ohnehin zu kurz, denn nahezu alle großen KI-Anbieter haben mittlerweile eigene, spezialisierte Module oder Modelle für die Schwachstellensuche jenseits des klassischen Chat-Interfaces auf den Markt gebracht oder angekündigt. Diese Systeme scannen Code aktiv, versuchen gefundene Schwachstellen in Sandbox-Umgebungen zu validieren und schlagen teils automatisiert Patches vor. Sie “erklären” also nicht nur bekanntes Wissen, sondern suchen eigenständig nach neuen Schwachstellen.
Google hat mit Gemini 3.5 Flash Cyber (auf Basis von CodeMender, vorgestellt am 21. Juli 2026) ein Modell im Pilotbetrieb für Regierungen und ausgewählte Partner, das bei internen Tests an der V8-JavaScript-Engine mehr bestätigte Probleme fand als Gemini 3.5 Flash und Claude Opus 4.6. OpenAI bietet mit Aardvark (GPT-5-basiert, seit Ende Oktober 2025 in privater Beta) einen Agenten, der Repositories fortlaufend überwacht, Funde in einer Sandbox validiert und Patches über Codex vorschlägt. In Benchmarks erreichte er eine Erkennungsrate von 92 Prozent und trug zu zehn CVE-Meldungen in Open-Source-Projekten bei.
Anthropic hat mit Claude Security (öffentliche Beta seit 30. April 2026 für Enterprise-Kunden) ein vergleichbares Angebot für Code-Repositories im Programm und forscht mit dem experimentellen Modell Claude Mythos an der autonomen Entdeckung und Verkettung von Zero-Day-Schwachstellen über Betriebssysteme und Browser hinweg, unter anderem an Schwachstellen, für die Mozilla im April 2026 rund 271 Fixes in einem einzigen Firefox-Release veröffentlichte.
Microsoft wiederum bündelt in Security Copilot einen Vulnerability-Remediation-Agenten, der jedoch weniger auf Neuentdeckung im Quellcode als auf die Priorisierung und Behebung bereits bekannter Schwachstellen in verwalteten Unternehmensumgebungen zielt.
An der Kernaussage ändert das wenig: Alle genannten Werkzeuge arbeiten auf Quellcode-, Netzwerk- oder Repository-Ebene und überwiegend auf der eigenen Codebasis der Anbieter beziehungsweise angebundener Partner-Repos. Keines davon verfügt über ein aktuelles SBOM eines fremden Produkts, eine laufende Bindung an dessen konkrete Firmware oder eine Verknüpfung mit dessen regulatorischem Compliance-Status. Genau das bleibt die Nische, in der sich Onekey, Cybellum und Finite State positionieren.
Die eigentliche Frage: Schließen statt nur wissen
Denn eine Schwachstelle zu kennen, ist heute Commodity. Die tatsächliche Herausforderung – und der Punkt, an dem sich Decision Intelligence bewähren muss – ist die Priorisierung und das Schließen im Kontext der eigenen Infrastruktur: Welche der Tausenden bekannten CVEs betreffen tatsächlich verbaute, erreichbare Komponenten in meinen Produkten? Welche lassen sich patchen, welche nur durch kompensierende Maßnahmen mindern? Und in welcher Reihenfolge, gemessen an Exponiertheit, Einsatzgebiet und regulatorischer Relevanz?
Genau hier soll die Verknüpfung von Firmware-Analyse mit Produkt-, Compliance- und Lebenszykluskontext ansetzen: nicht als zusätzliche Erkennungsebene, sondern als Priorisierungs- und Entscheidungsebene oberhalb der reinen CVE-Liste. Ob Onekey diesen Anspruch in der Praxis einlöst, hängt maßgeblich davon ab, wie weit die dritte und vierte Stufe der KI-Roadmap – intelligenter Assistent und operative Workflow-Unterstützung – tatsächlich produktiv im Einsatz sind; beide befinden sich derzeit noch im Ausbau. Ein reiner Chat-Agent auf Stufe 1 unterscheidet sich in der Praxis noch wenig von einer gut dokumentierten Wissensdatenbank.
Wie dringend eine belastbare Priorisierung gebraucht wird, zeigt eine aktuelle Kennzahl aus dem Onekey-Report 2025: Nur 32 Prozent der deutschen Industrieunternehmen fühlen sich mit den Anforderungen des Cyber Resilience Act (CRA) vertraut, 38 Prozent haben bislang keine Maßnahmen eingeleitet. Ab dem 11. September 2026 gelten erste CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen (Erstmeldung innerhalb von 24 Stunden, Folgemeldung nach 72 Stunden, Abschlussbericht nach 14 Tagen); ab dem 11. Dezember 2027 dürfen betroffene Produkte nur noch mit vollständiger CRA-Konformität in der EU in Verkehr gebracht werden. Wer bis dahin nicht nachvollziehbar begründen kann, warum welche Schwachstelle wann geschlossen wurde, hat ein Compliance-Problem, unabhängig davon, wie gut die Erkennung selbst funktioniert.
Wettbewerbsvergleich: Onekey, Cybellum und Finite State
Für einen belastbaren Vergleich lohnt der Blick auf Anbieter, die tatsächlich im selben Marktsegment antreten (der Product- und Firmware-Sicherheit), statt auf branchenfremde Plattformen wie klassische Netzwerksicherheits- oder Projektmanagement-Tools:
Cybellum und Finite State verfolgen einen ähnlich produktspezifischen Ansatz wie Onekey und zählen laut Marktbeobachtern zu dessen direkten Wettbewerbern. Der Unterschied liegt weniger in der Analysetiefe als in der Ausrichtung: Onekey positioniert seinen Weg explizit als schrittweisen Übergang vom reinen Auskunftssystem zum Entscheidungsassistenten mit klar benannten Reifegraden und definierter menschlicher Kontrolle an jeder Stufe.
SWOT-Analyse: Chancen und Risiken
Die größte Chance liegt in der Regulatorik selbst: Der CRA macht dokumentierte, nachvollziehbare Sicherheitsentscheidungen ab 2026/2027 zur Pflich. Ein Umfeld, in dem ein Decision-Intelligence-Ansatz mit eingebauter Nachvollziehbarkeit strukturell im Vorteil ist. Das größte Risiko bleibt der Wettbewerbsdruck etablierter, ressourcenstärkerer Anbieter sowie eine mögliche Marktkonsolidierung durch Zukäufe.
Fazit
Decision Intelligence markiert den Übergang von der reinen Analyse-Ära in der Cybersicherheit zum Entscheidungszeitalter. Sie verbindet KI, Machine Learning und mathematische Optimierung zu einem Ansatz, der nicht nur vorhersagt, was passieren könnte, sondern konkrete Handlungsempfehlungen liefert. Sie befähigt Sicherheitsteams, aus der Datenflut fundierte, nachvollziehbare Entscheidungen zu treffen.
Onekey positioniert sich mit diesem Ansatz in einer Nische, die durch die zunehmende Regulierung an Bedeutung gewinnt. Während größere Wettbewerber breitere Sicherheitsplattformen anbieten, liegt die Kernkompetenz in der produktspezifischen Binäranalyse und der Verbindung technischer Schwachstellen mit regulatorischen Anforderungen. Das ist ein Alleinstellungsmerkmal, das in regulierten Branchen zunehmend zum Entscheidungskriterium wird.
