Thought Leadership
Agentische Sicherheit kann entscheidend dazu beitragen, strenge Melde- und Compliance-Fristen einzuhalten und gleichzeitig präzise Informationen über Sicherheitsvorfälle in IT-Systemen bereitzustellen.
Sobald erste Hinweise auf einen Cyberangriff in den Systemen eines Unternehmens entdeckt werden, beginnt ein Wettlauf gegen die Zeit. IT-Sicherheitsteams müssen den Angriff nicht nur so schnell wie möglich unterbinden und beheben, sondern zugleich strenge Fristen für die Meldung an die zuständigen Aufsichtsbehörden einhalten.
Je nach Art des Angriffs und Branche des betroffenen Unternehmens kann dieser Meldeprozess den Kontakt mit bis zu fünf verschiedenen Instanzen erfordern. Jede Aufsichtsbehörde hat dabei eigene Meldeverfahren, verlangt Antworten auf unterschiedliche Fragen und setzt eigene Fristen.
Für Unternehmen entsteht dadurch ein komplexes, vielschichtiges Geflecht an Vorgaben. Wird ein Vorfall jedoch nicht gemeldet, kann das schwerwiegende Folgen haben: Von hohen Geldbußen bis hin zu einem Verlust des Kundenvertrauens, in manchen Fällen sogar die persönliche Haftung von Führungskräften.
Die NIS2-Richtlinie schreibt vor, dass mittlere und große Organisationen im Bereich kritischer Infrastrukturen – etwa in den Sektoren Energie, Verkehr, Gesundheit, Finanzen und digitale Infrastruktur – innerhalb von sechs Stunden nach Erkennung eine „Frühwarnung“ an die zuständige Behörde des jeweiligen Landes oder das benannte CSIRT (Critical Security Incident Response Team) übermitteln müssen. Innerhalb von 72 Stunden muss ein vollständiger Bericht folgen. Dauert der Angriff an, sind anschließend regelmäßige Aktualisierungen erforderlich, innerhalb eines Monats muss dann ein Abschlussbericht vorgelegt werden.
Der Cyber Resilience Act, der für Hersteller aller Produkte mit einer digitalen Komponente gilt, sieht ein ähnliches Verfahren wie NIS2 vor. Bei Datenschutzverletzungen, die personenbezogene Daten betreffen, verpflichtet die Datenschutz-Grundverordnung (DSGVO) Unternehmen dazu, den Vorfall der zuständigen Datenschutzbehörde ihres Landes „unverzüglich und möglichst binnen 72 Stunden“ nach Bekanntwerden zu melden.
Der AI Act wiederum verpflichtet Anbieter von Hochrisiko-KI-Systemen, Vorfälle innerhalb von zwei Tagen zu melden, wenn diese eine „weitreichende Verletzung“ oder eine schwerwiegende und irreversible Störung kritischer Infrastrukturen zur Folge haben.
Die zusätzlichen Meldepflichten treffen Unternehmen in ganz Europa zu einer Zeit, in der zugleich die Bedrohung durch Cyberkriminelle wächst.
In Deutschland warnte das Bundeskriminalamt (BKA) kürzlich davor, dass die Cyberkriminalität 2025 ein Rekordniveau erreicht habe, und verwies auf eine wachsende Zahl ausgefeilter, KI-gestützter Straftaten aus aller Welt. Der Bundeslagebericht Cybercrime 2025 des BKA unterstreicht die anhaltend hohe Bedrohungslage für kritische Infrastrukturen, Unternehmen und Einrichtungen des öffentlichen Sektors. Den wirtschaftlichen Schaden durch Cyberangriffe im Jahr 2025 beziffert der Bericht auf rund 202 Milliarden Euro. „Cyberkriminelle greifen Deutschland jeden Tag an – unsere Unternehmen, unsere Behörden und unsere Infrastruktur“, sagte Innenminister Alexander Dobrindt bei der Vorstellung des Berichts in Berlin vor Journalisten. “Der Staat darf im digitalen Raum nicht Zuschauer sein. Wir sorgen dafür, dass unsere Ermittler technisch und rechtlich auf Augenhöhe mit den Tätern handeln und zurückschlagen können.“
Das ist eine enorme Herausforderung. Unmittelbar nach einem Cyberangriff müssen Sicherheitsteams nach besten Kräften ein Incident-Response-Team zusammenstellen, potenzielle Anomalien identifizieren, die Ausbreitung der Bedrohung eindämmen, schädliche Elemente entfernen und betroffene Systeme und Daten wiederherstellen. All das braucht Zeit. Das Problem: Die Meldefristen laufen bereits, lange bevor vollständige Gewissheit über den Vorfall besteht.
Den Umfang des Cyberangriffs bestimmen
So groß die Herausforderung auch ist, sie lässt sich bewältigen. Unternehmen, denen das erfolgreich gelingt, haben eines gemeinsam: Sie verschaffen sich schnell Klarheit über das Ausmaß des Vorfalls.
In der Identifizierungsphase des Incident Response Lifecycle bedeutet das, Warnmeldungen von Endgeräten und kompromittierten Systemen sowie Informationen über betroffene Daten und beeinträchtigte Betriebsabläufe miteinander in Verbindung zu bringen. Dabei gilt es, die Informationen aus den Protokolldaten schnell zusammenzuführen, bevor sich wichtige Spuren verlieren.
Das Problem: Die relevanten Informationen befinden sich nur selten an einem einzigen Ort. Verteilen sich Warnmeldungen auf zehn verschiedene Tools, muss auch die Untersuchung dieser Spuren über verschiedene Systeme hinweg folgen. Statt sich auf den Kern des Vorfalls zu konzentrieren, sind Teams damit beschäftigt, Informationen aus seinem gesamten Umfeld zusammenzutragen. Das erschwert eine präzise Einschätzung des tatsächlichen Ausmaßes.
Das hat Folgen, die über die eigentliche Untersuchung hinausgehen. Wird das Ausmaß des Vorfalls falsch eingeschätzt, ist auch die Meldung der Sicherheitsverletzung ungenau. Eine präzise Meldung setzt daher zunächst eine präzise Einschätzung des Vorfalls voraus.
Was für eine präzise Einschätzung erforderlich ist
Stattdessen ist eine einheitliche Datenbasis erforderlich, an die alle Warnmeldungen zur Korrelation und Analyse weitergeleitet werden. Idealerweise bietet diese Datenbasis zudem einen gewissen Grad an Automatisierung, sodass Zusammenhänge innerhalb einer Untersuchung automatisch erkannt werden können. IT-Mitarbeitende müssen die relevanten Informationen dann nicht mehr vollständig manuell zusammentragen und auswerten. Eine solche Plattform ermöglicht Unternehmen einen effektiveren Einsatz agentischer Sicherheitsprozesse.
Genau hier kann KI einen echten Mehrwert schaffen: Sie hilft dabei, die Zeit und Kompetenzen des Sicherheitsteams bestmöglich einzusetzen. Automatisch ermittelte Zusammenhänge, Erkenntnisse und maschinell generierte Handlungsempfehlungen entlasten die Fachkräfte. So können sie sich auf das konzentrieren, was sie am besten können: Situationen bewerten, Entscheidungen treffen und ihre Untersuchungen mithilfe von Erkenntnissen vorantreiben, deren Ermittlung sonst Stunden dauern würde.
In besonders effektiven Umgebungen ermittelt ein agentischer Workflow, ob und wie Warnmeldungen miteinander zusammenhängen, er zeichnet den Verlauf eines Angriffs nach und identifiziert die beteiligten Systeme und Netzwerkkomponenten. Das Ergebnis sind schnellere und präzisere Untersuchungen sowie aussagekräftigere Berichte an die Aufsichtsbehörden, die das Ausmaß eines Vorfalls, seine Auswirkungen, den aktuellen Stand sowie die nächsten Schritte prägnant zusammenfassen.
Mehr als Compliance: Warum operative Resilienz entscheidend ist
Die Vorteile dieser Technologie gehen natürlich weit über die fristgerechte Einreichung regulatorisch vorgeschriebener Berichte hinaus. Unternehmen, die Sicherheitsvorfälle schneller und präziser analysieren können, sind in nahezu jeder Hinsicht besser in der Lage, darauf zu reagieren: Sie können Angriffe effektiver eindämmen, Schäden reduzieren, Systeme schneller wiederherstellen und proaktiv Maßnahmen ergreifen, um sich besser gegen ähnliche Sicherheitsverletzungen zu schützen.
Agentische Sicherheit könnte damit nicht nur der beste Weg sein, Aufsichtsbehörden zu zeigen, dass ein Unternehmen IT-Sicherheitsrisiken ernst nimmt. Sie kann auch dazu beitragen, aus den Risiken von heute eine stärkere Widerstandsfähigkeit für die Zukunft zu entwickeln.
