Ermittler arbeiten mit Datensilos, Täter agieren vernetzt Mit Graphen gegen Terroristen

Anbieter zum Thema

neo4j

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

Laut Verfassungsschutzbericht 2024 stieg die Zahl politisch motivierter Straftaten in Deutschland um rund 40 Prozent auf über 84.000 Fälle. Sicherheitsbehörden kämpfen dabei mit einer wachsenden Asymmetrie: Tätergruppen agieren hochgradig vernetzt, Ermittler hingegen arbeiten mit Datensilos. Native Graphtechnologie in Kombination mit Generativer KI (GraphRAG) ermöglicht neue Ansätze für die investigative Datenanalyse.

Im Kampf gegen Cyberkriminalität und terroristische Gruppen setzen Bundesbehörden verstärkt auf Technologien, die Zusammenhänge sichtbar machen können. Ein prägnantes Beispiel hierfür sind die Ermittlungen zum „Reichsbürger“-Komplott, bei denen spezialisierte Analysesoftware zum Einsatz kam. Die Razzia im Dezember 2022 war die größte in der Geschichte der Bundesrepublik: 3.000 Beamte waren im Einsatz, 25 Verdächtige wurden festgenommen und fast 100 Schusswaffen sowie über 25.000 Schuss Munition sichergestellt. Hinter dem Schlag gegen das Netzwerk der sogenannten „Reichsbürger“ stand modernste datentechnische Vorarbeit.

KRITIS-Dachgesetz

Gigantischer Stromausfall in Berlin sorgt für Angst um Infrastrukturen

Anforderungen an die moderne investigative Analytik

Bei der Terrorabwehr oder bei laufenden Cyberangriffen ist die Geschwindigkeit der Analyse („Time-to-Insight“) entscheidend. Lange Abfragezeiten stellen ein Sicherheitsrisiko dar. Daher müssen moderne Analyseplattformen große heterogene Datenmengen nahezu in Echtzeit verarbeiten können.

Denn die digitale Spurenauswertung und Cyber Threat Intelligence (CTI) konfrontieren Analysten mit vielen unterschiedlichen Datenformaten. Relevante Informationen stammen beispielsweise aus unstrukturierten PDF-Dokumenten interner Quellen, Feeds von Malware Information Sharing Platforms (MISP) oder Berichten externer Sicherheitsfirmen (beispielsweise CrowdStrike oder Mandiant) sowie aus Erkenntnissen aus dem Dark Web, Open Source Intelligence (OSINT), fragmentierten CSV-Dateien und jahrzehntealten internen Memos.

Um der Dynamik neuer Bedrohungslagen gerecht zu werden, ist zudem eine schemafreie Datenbankarchitektur erforderlich. Neue Bedrohungsindikatoren oder Datentypen müssen ohne Anpassung des grundlegenden Datenmodells integrierbar sein. Technisch wird dies häufig durch eine Docker-basierte Container-Architektur realisiert, die eine horizontale Skalierung ermöglicht. Ein Beispiel ist das automatisierte Hochfahren weiterer Instanzen bei Big-Data-Fällen mit massiven Datenmengen, ohne die Kernarchitektur zu verändern.

Spezifische europäische Anforderungen an den Datenschutz und die Datensouveränität (z. B. DSGVO, BDSG, EU-Geheimschutzrecht, VS-NfD-Vorgaben sowie nationale Regelungen zur Datenklassifizierung und -haltung) erfordern zudem flexible Betriebsmodelle. Für sensitive behördliche Operationen ist oft eine On-Premise-Installation oder der Betrieb in abgeschotteten Hochsicherheitsnetzen ohne Internetzugriff (Air-Gapped Deployment) notwendig. Eine strikte logische Trennung von Mandanten und Falldaten gewährleistet dabei die Sicherheit und Isolation der Informationen.

Angriffe, gesponsert von Iran und Russland

Die Lage im Cyberraum nach dem An­griff der USA und Israels auf den Iran

Grenzen relationaler Logik und Graph-Vorteil

Herkömmliche relationale Datenbanken (RDBMS) organisieren Daten in starren Tabellen. Um Zusammenhänge zwischen diesen isolierten Einträgen herzustellen, sind rechenintensive Join-Operationen notwendig. Bei linearen Fragestellungen ist dies unproblematisch. Doch kriminelle Netzwerke sind selten linear strukturiert. Sie gleichen vielmehr komplexen Geflechten mit Querverbindungen über viele Ebenen hinweg (etwa: Person A kennt Person B, die das Konto C nutzt, welches von IP-Adresse D angesteuert wurde). In SQL führen solche rekursiven Abfragen über mehrere Ebenen schnell zu erheblichen Performance-Einbußen und Latenzen, da die Datenbank riesige Index-Tabellen durchsuchen muss, um die Verbindungen zu rekonstruieren.

Graphdatenbanken und Knowledge Graphen lösen dieses Problem auf der Ebene der Architektur. Sie berechnen Beziehungen nicht erst zum Zeitpunkt der Abfrage, sondern speichern sie direkt als physische Verbindung. Daten werden als Knoten (Entitäten) und Kanten (Beziehungen) dargestellt, wobei jeder Knoten beliebig viele Eigenschaften (Properties) haben kann. Das entstehende Datennetzwerk spiegelt die reale Struktur vernetzter Sachverhalte. Das System navigiert unmittelbar entlang dieser gespeicherten Beziehungen von Knoten zu Knoten. Zeitraubende Suchvorgänge in separaten Indizes entfallen dadurch komplett.

Dies ermöglicht die Analyse hochgradig vernetzter Daten in Echtzeit, unabhängig von der Gesamtgröße des Datenbestandes. Für die Strukturaufklärung bedeutet dies, dass komplexe Muster, wie Geldwäsche-Ringe oder Terrorzellen, nicht nur schneller, sondern oft überhaupt erst sichtbar gemacht werden können.

So lassen sich Fragen entlang mehrstufiger Beziehungspfade beantworten: Welche Personen stehen über maximal drei Beziehungsebenen mit einer Zielperson in Verbindung? Welche dieser Personen nutzen gemeinsame Kommunikationsmittel oder Finanzkonten? Und welche bislang unauffälligen Personen oder Organisationen sind zudem indirekt mit einer bekannten IP-Adresse verbunden, die in mehreren extremistischen oder Advanced-Persistent-Threat (APT)-Kontexten auftaucht?

Masked Actors

Das sind die zehn gefährlichsten Cyberakteure 2025

Architekturwechsel – von unstrukturierten Daten zu vernetztem Wissen

Moderne investigative Analytics-Plattformen wie Data-Fusion-Software werden diesen Anforderungen mit einer neuen Architektur gerecht: einer mehrstufigen Pipeline, die Daten in handlungsrelevantes Wissen transformiert.

Im ersten Schritt, der Entitäten-Extraktion, identifizieren fortgeschrittene Sprachmodelle in den Datenströmen automatisch relevante Entitäten – etwa Bedrohungsakteure, Opfer, technische Werkzeuge oder TTPs (Tactics, Techniques, Procedures) – und erkennen deren Zusammenhänge. Im nächsten Schritt der Graph-Konstruktion wird jede dieser Entitäten mit ihren Beziehungen in einen dynamischen Knowledge Graph überführt.

Die dann folgende quellenübergreifende Korrelation nutzt das Property-Graph-Modell, um die Entitäten mit einer unbegrenzten Anzahl an Eigenschaften anzureichern. Dies ermöglicht es, Informationen aus unterschiedlichsten Quellen in einen Kontext zu setzen. Abschließend analysieren Abfragen in der Graph-Abfragesprache Cypher in Echtzeit Millionen von Verbindungen, die in herkömmlichen Systemen noch wochenlang verborgen bleiben würden. Damit schafft die Technologie die Grundlage für schnelle und präzise Entscheidungen.

Ein weiterer wichtiger Vorteil ist die Flexibilität des Systems: Neue Beziehungen und Eigenschaften können jederzeit hinzugefügt werden. Auch die Modellierung völlig neuer Bedrohungsmuster ist möglich, ohne Systemausfallzeiten oder Eingriffe in die Kernstruktur. Diese Schema-Flexibilität gewährleistet, dass sich die Ermittlungen mit neuen Erkenntnissen weiterentwickeln können.

Server-Infrastruktur in Deutschland beschlagnahmt

Cybercrime-Dienst „RedVDS“ abgeschaltet

Ausblick: Generative KI und Graph Retrieval Augmented Generation (GraphRAG)

Die Kombination von Graphtechnologie und Generativer KI liefert einen wichtigen Beitrag zur Weiterentwicklung der Ermittlungsarbeit. Wesentlich ist die Interaktion mit Daten in natürlicher Sprache. Analysten können so den Knowledge Graph auch ohne Kenntnisse von Abfragesprachen konsultieren. Komplexe Sachverhalte lassen sich über simple Eingaben wie „Zeige alle Verbindungen zwischen dieser IP-Adresse und bekannten APT-Gruppen“ explorieren.

Parallel dazu eröffnet die Integration der Vektorsuche neue Wege in der Erkennung von Mustern. Durch semantische Ähnlichkeitssuchen über riesige Dokumentenbestände hinweg können Analysten verborgene Zusammenhänge und verwandte Bedrohungen aufdecken, selbst wenn in den Quellen unterschiedliche Terminologien oder Schlüsselwörter verwendet werden.

Das größte Potenzial für effizientere Ermittlungsprozesse bietet der Ansatz der Graph Retrieval Augmented Generation (GraphRAG). Hierbei fungiert der Knowledge Graph als faktenbasierter Anker für große Sprachmodelle (LLMs). Während das LLM für die Formulierung und Zusammenfassung zuständig ist, liefert der Graph den verifizierten Kontext und die exakte Datenbasis. Dies minimiert das Risiko von KI-Halluzinationen. Mehr noch: Während RAG ohne Graph die Frage beantwortet, was geschieht, erklärt GraphRAG die Zusammenhänge und ermöglicht Vorhersagen. Ergänzt wird dies durch KI-gestützte Abfragevorschläge, die Ermittlern proaktiv relevante Pfade aufzeigen, ohne die menschliche Entscheidungshoheit zu ersetzen.

Die strategische Relevanz dieser technologischen Weichenstellung spiegelt sich auch in den massiven Investitionen der Industrie in die Forschung an der Schnittstelle von Graphen und Generativer KI. Dies stellt sicher, dass die Werkzeuge für die hochsensible investigative Analytik technologisch ausgereift bleiben und für die speziellen Sicherheitsanforderungen staatlicher Akteure kontinuierlich optimiert werden.

Update: Brandenburg setzt auf offenes Vergabeverfahren

Innenminister sieht Ausschluss von US-Software Palantir als nicht notwendig

Fazit

Die Kombination aus menschlicher Fachexpertise und nativer Graphtechnologie bietet Sicherheitsbehörden die notwendige Geschwindigkeit und Struktur, um komplexe Bedrohungslagen effizient zu analysieren. Das ist gerade in Fällen von so großer potenzieller Tragweite wie dem „Reichsbürger“-Komplott unerlässlich. Neben der Beschleunigung der Ermittlungen gewährleistet der Einsatz dieser Technologie zudem eine rigorose Dokumentation der Beweisketten. Dies schafft die für die Justiz erforderliche Transparenz und Rechtssicherheit, um Anklagen auf einer soliden, gerichtsfesten Basis aufzubauen.

Über die Autoren

Gregor Bierhals ist Go-to-Market Manager bei rola Security Solutions.
Thorsten Stockmann ist Sales Director Public Sector DACH bei Neo4j.

Security mit Open Source – Teil 1

Die besten OSINT-Tools

(ID:50806319)