Thought Leadership
KI beschleunigt die Suche nach Sicherheitslücken, während Angreifer zunehmend die Werkzeuge der Verteidiger selbst ausschalten. Was erkennt einen Angriff noch, wenn EDR und andere Security Controls bereits ausgefallen sind?
Cyberabwehr beruhte lange auf einer einfachen Annahme: Angreifer versuchen, Sicherheitswerkzeuge zu umgehen – Verteidiger versuchen, sie möglichst früh zu erkennen. Diese Arbeitsteilung beginnt sich zu verschieben.
Professionelle Angreifer nehmen zunehmend die Systeme ins Visier, von denen sie entdeckt werden könnten. Verwundbare signierte Treiber und legitime Fernwartungswerkzeuge haben Defense Evasion zu einem etablierten Bestandteil moderner Angriffsketten gemacht. Gleichzeitig verändert KI die Ökonomie der Schwachstellensuche. Die Offensive wird schneller und billiger, während Patchzyklen und Wartungsfenster sich kaum verändern. Die Kosten des Angriffs sinken schneller, als Unternehmen ihre Verteidigung anpassen können.
Zuerst fällt die Verteidigung
Marc Elias vom Symantec Threat Hunter Team führt die Entwicklung unter anderem auf den Erfolg verhaltensbasierter Erkennung zurück:
„Angreifer haben es weitgehend aufgegeben, ihre Ransomware unerkennbar zu machen, und versuchen stattdessen einfach, die Sicherheitsmechanismen auszuschalten.“
Marc Elias vom Symantec Threat Hunter Team
Damit reicht es nicht mehr zu wissen, wie gut ein EDR-System einen Angriff erkennt. Unternehmen müssen auch fragen, was passiert, wenn es ausgeschaltet wird. Je stärker Detection und Response auf wenige Plattformen konzentriert werden, desto attraktiver werden diese selbst als Angriffsziel. Die Frage lautet nicht nur: Was erkennt unser Sensor? Sondern: Was erkennt den Angriff noch, wenn dieser Sensor nicht mehr da ist?
OT zeigt das Problem in seiner extremsten Form
Auf Steuerungen läuft üblicherweise kein konventionelles EDR. Engineering Workstations, HMI-Server und Jump Hosts gehören deshalb oft zu den wenigen Systemen, auf denen Endpoint Detection möglich ist.
Verschwindet dort der Agent, wird Netzwerktransparenz zur unabhängigen Beobachtungsebene – ergänzt um Prozessdaten, Historian-Aufzeichnungen, Steuerungsdiagnosen und Fernzugriffsprotokolle. Ein Netzwerksensor lässt sich zudem nicht einfach mit einem signierten Treiber von einer Engineering Workstation entfernen. Das Ziel ist nicht der perfekte Sensor. Das Ziel ist, keinen einzelnen Sensor zum Single Point of Failure der Verteidigung zu machen.
KI verschärft die Geschwindigkeitsschere
Ta-Lun Yen von TXOne Networks demonstrierte einen LLM-gestützten Workflow für die Schwachstellensuche in Firmware-Binärdateien ohne Debug-Informationen. Das Modell hilft, begrenzte Reverse-Engineering-Kapazität auf vielversprechende Bereiche zu konzentrieren. KI macht Vulnerability Research nicht trivial, kann aber die knappste Ressource effizienter einsetzen: Expertenzeit.
Auf der Verteidigerseite bleiben Wartungsfenster knapp, Update-Pfade werden von Herstellern bestimmt und Änderungen müssen getestet werden. In OT können Patchzyklen Monate oder Jahre dauern. „Schneller patchen“ greift deshalb zu kurz. Segmentierung, kontrollierte Übergänge, Zugriffsbeschränkungen und Netzwerküberwachung gewinnen an Bedeutung.
Der Angriffsweg muss nicht über das Internet führen
USB-Sticks, Wartungslaptops externer Dienstleister und Firmware-Dateien sind legitime Übergänge in segmentierte Umgebungen – und gerade deshalb problematisch. Benny Czarny, CEO von OPSWAT: „Sie müssen nicht aus der Ferne in das Netzwerk eindringen. Sie müssen nur eine Datei, ein Gerät, einen Dienstleister oder einen Schritt in der Wartungs- und Lieferkette kompromittieren.“
Im ICS/OT Cybersecurity Budget Report 2025 nannten 27,3 Prozent der Befragten, die einen initialen Angriffsvektor bestimmen konnten, transiente Cyber-Assets wie Dienstleister-Laptops; weitere 15,2 Prozent nannten kompromittierte Wechselmedien. Das ist auch ein Governance-Problem: Wer darf solche Assets einsetzen? Wie werden sie geprüft? Welche Zone dürfen sie erreichen? Welche Nachweise bleiben erhalten?
Transparenz wird zur regulatorischen Voraussetzung
Mit dem Cyber Resilience Act bekommt Transparenz regulatorisches Gewicht. Ab dem 11. September 2026 greifen erste Meldepflichten. Hersteller müssen innerhalb von 24 Stunden eine Frühwarnung abgeben, sobald ihnen eine aktiv ausgenutzte Schwachstelle in einem Produkt bekannt wird.
Matt Wyckhouse, CEO von Finite State: „Die größte Lücke ist die Transparenz. Wenn Sie nicht genau wissen, welche Software in Ihren Produkten steckt und ob eine neue Schwachstelle Sie betrifft, ist es äußerst schwierig, eine Meldepflicht von 24 Stunden einzuhalten.“
Eine SBOM hilft nur, wenn sie aktuell gehalten und mit laufendem Vulnerability Management verbunden wird – sie muss „als lebendiges Asset und nicht als statisches Dokument behandelt werden“. Ein Audit-Export schafft noch keine operative Transparenz.
Cyberabwehr muss ihren eigenen Ausfall überleben
Security Controls müssen so konzipiert werden, als könnten einzelne davon während eines Angriffs ausfallen. Fällt Endpoint Detection aus, braucht das Unternehmen weiterhin Netzwerk- und Log-Transparenz. Ein kompromittierter Fernzugang darf keinen unkontrollierten Weg zu kritischen Systemen eröffnen. Wechselmedien und temporäre Geräte brauchen eigene Kontrollen. Update-Zusagen, Vulnerability Handling und End-of-Support-Termine gehören bereits in Lieferantenanforderungen und Verträge.
Wenn Schwachstellensuche schneller und Angriffe billiger werden, können Verteidiger nicht darauf setzen, im gleichen Tempo zu patchen. Sie müssen widerstandsfähiger gegen den Moment werden, in dem die erste Verteidigungslinie bereits gefallen ist. Die entscheidende Frage lautet deshalb nicht mehr nur: Erkennen unsere Security-Tools einen Angriff? Sondern: Was erkennt den Angriff noch, wenn das erste Security-Tool bereits ausgeschaltet wurde?
