Dein AI SOC erkennt Ransomware nicht automatisch

„Wie viele Analysten braucht das SOC-Team noch angesichts des Einzugs von künstlicher Intelligenz?“ Die Frage suggeriert die Antwort: Das AI-basierte Security Operations Center erfordert weniger Menschen.

Leider sind die Unternehmen, die diese Frage stellen, meist genau diejenigen, die ihre Telemetrielücken, ihre ungesicherten Endgeräte oder ihre unzureichende MFA-Abdeckung noch nicht angegangen sind. Sie stellen sich vor, dass Künstliche Intelligenz Probleme behebt, die sie gar nicht erkennen kann.

Ich verstehe durchaus, warum die Frage gestellt wird: Die derzeit vorherrschende Werbebotschaft im Markt lautet, dass KI menschliche SOC-Analysten ersetzen wird. Diese Sichtweise ist nicht nur falsch. Sie ist operativ gefährlich, weil sie Organisationen nahelegt, zu streichen, was KI erst nützlich macht: Telemetrie, geschäftlicher Kontext und das Urteilsvermögen der Analysten. Die Organisationen, die im SOC am meisten von KI profitieren, sind diejenigen, welche über die notwendigen Grundlagen verfügen. Organisationen, die dagegen die Grundlagen überspringen wollen und direkt KI-Tools kaufen, kämpfen weiterhin mit denselben Sichtbarkeitslücken – nur dass sie jetzt ein Dashboard haben, das diese Lücken schneller verarbeitet.

Was übernimmt KI im SOC?

Kein Zweifel, KI hat echte, messbare operative Veränderungen in der Arbeitsweise von SOC-Teams bewirkt. Die Korrelation von Telemetriedaten, für die früher ein Analyst Ereignisse aus Dutzenden von Quellen manuell verknüpfen musste, erscheint nun als priorisierter Alarm. Auswertungen, deren Erstellung aus Rohprotokollen früher eine halbe Stunde dauerte, sind nun in Sekundenschnelle fertig. Die Reduzierung von Fehlalarmen und Rauschen ist erheblich: Der Anteil der Alarme, die menschliche Aufmerksamkeit erfordern, hat sich verringert – und diese Verschiebung macht einen riesigen Unterschied, wenn ein Team Hunderte von Umgebungen gleichzeitig überwacht.

In klar abgegrenzten Umgebungen kann KI vordefinierte Eindämmungsmaßnahmen ausführen, ohne auf einen Analysten warten zu müssen. Dazu gehört beispielsweise, einen bekanntermaßen kompromittierten Endpunkt anhand spezifischer verhaltensbasierter Auslöser zu isolieren, eine Passwortzurücksetzung für ein angegriffenes Konto in die Warteschlange zu stellen oder die Ausführung eines Prozesses zu blockieren, der einer festgelegten Verhaltenssignatur entspricht.

Ehrlich beschrieben, ist die Stärke von KI dies: Sie übernimmt die Aufgaben, bei denen die Antwort bereits bekannt ist, die Unsicherheit gering ist und die betrieblichen Auswirkungen eines Fehlers begrenzt sind: Anreicherung, Korrelation, Priorisierung, vordefinierte Reaktion. Alles innerhalb dieser Grenzen ist in einem modernen SOC tatsächlich KI-Terrain.

Warum ist die Ransomware-Binärdatei das falsche Erkennungsziel?

Doch die schädlichste Variante des Verkaufsarguments für das AI SOC fokussiert sich darauf, dass die KI Malware bei der Ausführung abfangen würde. Das Problem dieses Konzepts: Der Einsatz der Ransomware ist eines der letzten Ereignisse in einem Ransomware-Vorfall. Bevor die Binärdatei ausgeführt wird, hat sich der Angreifer bereits seit Stunden, Tagen oder noch länger in der Umgebung eingenistet. Er hat auf das Netzwerk zugegriffen, es gescannt, Speicherorte für Anmeldedaten identifiziert, diese ausgelesen, sich lateral zu den benötigten Systemen bewegt und sich vergewissert, dass die Umgebung bereit ist. Wenn die Ransomware-Binärdatei auftaucht, ist die Untersuchung weitgehend abgeschlossen. Die entscheidende Frage für die betroffene Organisation ist tatsächlich, ob die Eindämmung vor oder nach der Verschlüsselung erfolgt.

Der folgende Fall aus der Praxis veranschaulicht dies: Wir identifizierten verdächtige Aktivitäten des Advanced IP Scanners, die aus einem temporären Benutzerverzeichnis heraus liefen. Diese Beobachtung allein sieht nach Rauschen aus, denn Netzwerkadministratoren nutzen Advanced IP Scanner regelmäßig. Aber das SOC-Team hatte bereits mehrere Ransomware-Vorfälle untersucht, die genau mit dieser Kombination begannen: Ein VPN-Zugriff auf die Umgebung, gefolgt von einem internen Scan mit einem Tool, das von einem ungewöhnlichen Pfad aus lief. Wir wussten, wohin diese Abfolge führt. Denn der Gesamtverlauf der Akira-Ransomware-Angriffe in mehreren mittelständischen Unternehmensumgebungen verschiedener Branchen folgte derselben Killchain:

1. VPN-Zugriff
2. Internes Scannen
3. Remote-Abfrage von Bereichen der Registry, die Anmeldedaten enthalten
4. Credential Dumping (Auslesen von Anmeldedaten aus dem Arbeitsspeicher oder Systemdateien)
5. RDP-Bewegung
6. Einsatz der Ransomware

Dies sind also sechs Schritte. Die Erkennung, die den Schaden verhinderte, erfolgte im zweiten Schritt, nicht im sechsten: Wir haben den betroffenen Host sofort isoliert, ließen den externen VPN-Zugriff deaktivieren, den Patch-Status überprüfen und privilegierte Anmeldedaten zurücksetzen. Die Folge: Die Ransomware wurde nie eingesetzt und nie ausgeführt, weil der Analyst das Ablaufmuster bereits im zweiten Schritt und nicht erst im letzten erkannt hat.

Das ist möglich, wenn Analysten denselben Ablauf schon mehrfach untersucht haben: bei verschiedenen Kunden, in verschiedenen Branchen und mit unterschiedlichen Architekturen. Wir nutzen dieselben operativen Erkenntnisse auch bei neueren Social-Engineering-Techniken, darunter ClickFix-Angriffe.

Was die Signaturabdeckung nicht erkennen kann

Signaturabdeckung und Handlungsempfehlungen von Anbietern halten nicht mit modernen Angreifern Schritt. Genau in dieser zeitlichen Lücke beweist die verhaltensbasierte Erkennung ihren Wert – und genau hier bricht das Denkmuster „KI ersetzt Analysten“ am deutlichsten zusammen.

Ein weiteres Beispiel: Am 18. Juli 2025 identifizierte das Bitdefender MDR-Team (Managed Detection and Response) verdächtige, auf einem lokalen SharePoint-Server verschlüsselte PowerShell-Aktivitäten. Diese versuchten, bösartigen Code im SharePoint-Webverzeichnis einzuschleusen. Die beiden relevanten Sicherheitslücken waren bereits am 8. Juli von Microsoft veröffentlicht worden. Was sich jedoch noch nicht herumgesprochen hatte, war die Erkenntnis, dass Angreifer diese Sicherheitslücken in der Praxis aktiv ausnutzen. Zwar erfolgte die Erkennung zehn Tage nach der Offenlegung der Schwachstelle, doch lag sie vor der großen Nutzungswelle und vor dem Zeitpunkt, zu dem Signaturen und zielgenaue Empfehlungen zum Umgang mit ihr vorhanden waren. Das ist das entscheidende Zeitfenster: die Lücke zwischen der CVE-Veröffentlichung und dem Moment, in dem die Sicherheits-Community allgemein anerkennt, dass Angreifer die Schwachstelle tatsächlich ausnutzen. Diese Lücke bemisst sich typischerweise in Tagen bis Wochen. Verhaltensbasierte Erkennung basiert auf Hinweisen, für die man die spezifische Schwachstelle nicht vorher kennen muss. Das ist ihre Stärke gegenüber signatur-basierten Werkzeugen.

Was die KI dem Analysten liefert

Ein drittes Beispiel: Dieser Fall betraf eine Aktivität, die die KI zunächst als ein wahrscheinlich legitimes administratives Verhalten einstufte, denn die Prozesse betrafen signierte Windows-Binärdateien. Es gab keine offenkundige Ausführung von Malware. Doch der Analyst erkannte, dass die Aktivität einen Remote-Zugriff auf sensible Bereiche der Registry beinhaltete, die im Zusammenhang mit Anmeldedaten stehen. Die Frage, die die KI nicht beantworten konnte, lautete: Passt das zur normalen Umgebung dieses Kunden? Der Analyst dagegen verfügte über den operativen Kontext, um zu erkennen, dass dies nicht der Fall war. Ergo: Der Host wurde isoliert und der Vorfall wurde als Vorfall mit Zugriff auf Zugangsdaten behandelt.

So läuft es, wenn die Ebene, auf der Vorfälle beurteilt werden, wie vorgesehen funktioniert. Die KI übernimmt die Korrelation, die Rauschunterdrückung und die erste Klassifizierung. Der Analyst trifft die Entscheidung, für die es notwendig war, zu verstehen, was das Verhalten im spezifischen Kontext dieses Unternehmens und dieser Umgebung bedeutete.

Es gibt also eine klare Grenze im SOC, an der die Verantwortung der KI aufhört und die eines Menschen beginnt. Diese Grenze wird durch zwei Variablen definiert: operative Auswirkungen und Unsicherheit. Wenn beide gering sind, übernimmt die KI die Aufgabe. Wenn eine davon hoch ist, geht die Aufgabe an einen Analysten. Diese Grenze lässt sich nicht wegentwickeln.