Operative Kapazität als entscheidende Stellschraube

Jahrelang strebte die Cybersicherheitsbranche in erster Linie danach, mehr zu erkennen, besser zu erkennen und immer ausgefeiltere Tools einzusetzen, um noch den letzten Winkel der IT-Umgebung auszuleuchten. Dieses Paradigma entspricht nicht mehr der Realität und den Anforderungen des heutigen Tagesgeschäfts der Cybersicherheit.

Unternehmen hatten noch nie zuvor einen so guten Überblick über ihre Angriffsfläche und verfügten noch nie über so viele Möglichkeiten zur Aufdeckung von Bedrohungen. Die rasante Entwicklung von KI führt jedoch dazu, dass Angriffe immer schneller und komplexer werden – bis zu einem Punkt, an dem die bloße Erkennung allein nicht mehr ausreicht. Die Kluft besteht nicht nur zwischen den Fähigkeiten der Angreifer und den Verteidigungsinstrumenten. Sie besteht vielmehr zwischen der Geschwindigkeit, mit der sich Bedrohungen weiterentwickeln, und der operativen Kapazität, über die Unternehmen verfügen, um diese zu untersuchen, zu priorisieren und darauf zu reagieren, bevor es zu spät ist.

Die eigentliche Herausforderung entsteht erst nach der Erkennung. Jeder neue Endpunkt, jede neue digitale Identität, jede neue SaaS-Anwendung und jeder neue Cloud-Workload erhöht das Aktivitätsvolumen, das Sicherheitsteams überwachen, korrelieren und verwalten müssen. Jede neue Umgebung erfordert zudem eine stärkere Koordination zwischen Tools, Prozessen und Teams, was die Komplexität des Betriebs stetig erhöht.

Die Frage ist nicht mehr nur, ob Teams einen Vorfall erkennen können, sondern ob sie den operativen Aufwand für die Untersuchung, Einordnung und Reaktion auf diesen Vorfall in großem Maßstab souverän bewältigen können.

Die Cybersicherheit tritt in eine neue Ära ein, in der die operative Kapazität der entscheidende Faktor ist. Über kurz oder lang wird sich zeigen, ob Unternehmen tatsächlich in der Lage sind, die Kontrolle zu behalten, oder in einer Flut an Warnmeldungen untergehen. 

Nur „viel hilft viel“ war gestern

Transparenz ist nach wie vor unerlässlich. Schließlich kann man nicht auf etwas reagieren, von dem man nichts weiß. Das bloße Sammeln weiterer Daten darf jedoch nie das oberste Ziel sein, denn Informationen allein verringern das Risiko nicht.

Jede Warnmeldung muss überprüft und in Zusammenhang gebracht werden, bevor sie in eine operative Entscheidung münden kann. Jahrelang ging die Branche davon aus, das Problem bestehe lediglich darin, mehr Kontextinformationen zu erhalten. Heute zählt jedoch vor allem, diesen Kontext in Maßnahmen umzusetzen, bevor es für eine adäquate Reaktion zu spät ist.

Mit der steigenden Vielfalt an Tools und der zunehmenden Anzahl an abzusichernden Umgebungen wächst auch der Aufwand im Zuge der Auswertung aller einschlägigen Daten. Die Vielzahl verschiedener Sicherheitslösungen hat zwar die Erkennung verbessert, aber auch zu einer Fragmentierung der Abläufe geführt. Mehr Tools bedeuten nicht immer eine höhere Ausfallsicherheit, wenn den Teams die Kapazitäten fehlen, all diese Informationen zu koordinieren.

Gleichzeitig erhöht KI in den Händen von Cyberkriminellen den Druck. Sie beschleunigt Angriffe signifikant, wodurch mehr Signale zur Analyse anfallen, während gleichzeitig weniger Zeit bleibt, diese zu erkennen, zu interpretieren und darauf zu reagieren, bevor größerer Schaden entsteht.

Operative Kapazität entwickelt sich zum Flaschenhals

Der Engpass im Tagesgeschäft der IT-Security entsteht dadurch, dass bestehende Teams mit der zunehmenden, KI-bedingten Arbeitslast nicht mehr Schritt halten können. 

Jeder Vorfall erfordert das Sammeln von Informationen aus verschiedenen Tools, die Überprüfung von Beweismitteln, die Korrelation von Ereignissen und die Aufrechterhaltung des Kontexts während der gesamten Untersuchung. Diese Koordination nimmt einen immer größeren Teil der täglichen Arbeitslast eines SecOps-Teams in Anspruch.

Die Koordination wird zunehmend komplexer

Jede neue Technologie, die in der Umgebung eingesetzt wird, bringt neue Datenquellen und Arbeitsabläufe mit sich. Je stärker die Fragmentierung ist, desto mehr Aufwand ist erforderlich, um einen vollständigen Überblick über einen Vorfall zu behalten und schnelle Entscheidungen zu treffen.

Untersuchungen erfordern mehr Kapazitäten

Analysten müssen eine immer größere Menge an Aktivitäten durchforsten, nur um Prioritäten für die Reaktion festzulegen. Infolgedessen steigt der Zeitaufwand für die Informationsbeschaffung, was den Stress im Betriebsalltag erhöht.

Hier geht es nicht um die Genauigkeit der Erkennung. Es handelt sich um ein Kapazitätsproblem – genauer gesagt um die Fähigkeit, das steigende Volumen an Untersuchungen zu bewältigen, das die gegenwärtige Bedrohungs- und Infrastrukturlandschaft erfordert.

Skalierung ist keine reine Ressourcenfrage

Die Einbindung neuer Kunden, Nutzer oder Dienste bringt neue Arbeitsabläufe im Hinblick auf Monitoring, Bedrohungsanalyse und Reaktion mit sich. Für viele Unternehmen – und insbesondere für Managed Service Provider (MSP) – ist Wachstum nicht mehr nur eine geschäftliche Herausforderung. Es ist zu einem betrieblichen Problem geworden: Wie lassen sich mehr Umgebungen schützen, ohne dass das für deren Verwaltung erforderliche Team exponentiell anwächst?

Die operative Kapazität wird somit zu einer strategischen Ressource, die ebenso wichtig ist wie die Technologie selbst.

Umverteilung der Arbeitslast zur Skalierung des Betriebs

Ein Großteil der täglichen Arbeit konzentriert sich nach wie vor auf die Sammlung von Beweismaterial, die Korrelation von Ereignissen und die Kontextanreicherung im Rahmen von Ermittlungen. Dies sind zwar unverzichtbare Aufgaben, doch sie beanspruchen die Zeit, die Analysten benötigen, um komplexere Vorfälle zu bearbeiten.

Aus diesem Grund stellen Unternehmen zunehmend auf Modelle um, bei denen KI einen Teil der kontinuierlichen Ausführung von Routineaufgaben übernimmt. So können Analysten ihr Fachwissen auf die Beurteilung, Überwachung und Reaktion konzentrieren.

Genau hier beginnt sich die Rolle der KI zu wandeln. KI sollte nicht länger lediglich als Werkzeug zur Automatisierung von Aufgaben oder zur Steigerung der Produktivität betrachtet werden. Ihr wahrer Wert liegt darin, menschlichen Teams nachhaltige operative Kapazität bereitzustellen.

In diesem Modell übernimmt die KI einen Teil der laufenden operativen Last – wie beispielsweise die erste Triage, die Datenkorrelation, die Kontextanreicherung und eine Rund-um-die-Uhr-Überwachung.

Es geht nicht darum, Sicherheitsexperten zu ersetzen. Es geht darum, die Arbeitslast neu zu verteilen, sodass Menschen ihre Zeit der fachlichen Beurteilung widmen können, während Maschinen die Ausführung unterstützen.

Die nächste Generation der Security Operations

Bei den Cybersicherheitsplattformen der nächsten Generation wird es nicht mehr allein darauf ankommen, wer Bedrohungen am genauesten erkennt. Der Wettbewerb wird sich vielmehr auf die Fähigkeit konzentrieren, nachhaltige operative Kapazität sicherzustellen.

Sicherheitskonzepte entwickeln sich weiter – hin zu Modellen, in denen Ermittlungen ständig aktiv sind, die Datenkorrelation kontinuierlich erfolgt und Analysten operative Unterstützung in maschineller Geschwindigkeit erhalten.

KI ist nicht länger nur eine Zusatzfunktion, sondern etabliert sich als dauerhafte Verstärkung von SecOps-Teams. In den kommenden Jahren werden diejenigen Unternehmen die Nase vorn haben, die KI zu nutzen wissen, um eine effektive Reaktion aufrechtzuerhalten – auch ohne zusätzlichen Personalaufwand.  

Letztendlich liegt der Anspruch nicht mehr allein in der Entwicklung intelligenterer Tools. Vielmehr zählt es, Systeme zu schaffen, die in der Lage sind, gemeinsam mit menschlichen Teams operative Handlungssicherheit zu gewährleisten.

Wie genau sich der Mehrwert von KI im IT-Security-Alltag zeigt, verdeutlicht unter anderem der Fachartikel „Agentische KI als Kollegin, die niemals schläft“. Weitere Informationen zu Rai gibt es hier.