gesponsertInsider Research im Gespräch Agentic Security Operations – mit Christoph Schuhwerk, CISO in Residence Zscaler

KI-Agenten sortieren im Security Operations Center (SOC) die Alarme vor, gleichen sie mit Mustern anderer Unternehmen ab und sperren auffällige Konten ohne Rückfrage. Christoph Schuhwerk, CISO in Residence bei Zscaler, erklärt im Podcast, welche Entscheidungen ein Agent heute treffen sollte und welche Freigaben beim SOC-Team bleiben.

Ein KI-Agent im SOC prüft eingehende Alarme und sammelt die Fakten zu einem Vorfall. Zscaler ThreatLabz zählt für die aktivsten Ransomware-Gruppen im vergangenen Jahr 896 Terabyte abgezogene Daten, 276 Prozent. Erpressungsangriffe kommen nach Angaben des CISO in Residence im Schnitt in weniger als einer Stunde zum Ziel.

Agenten prüfen Alarme mit Mustern anderer Kunden

Schuhwerk beschreibt im Gespräch ein SOC im Mittelstand mit drei bis fünf Mitarbeitern, die ihre Alarme aus dem Security Information and Event Management (SIEM) von Hand prüfen und sich auf die hoch eingestuften beschränken. Das Agentic SOC, das Zscaler am 09.09.2026 vorgestellt hat, übernimmt diese Vorprüfung. Die Agenten gleichen jeden Fall mit anonymisierten Mustern aus 750 Milliarden Zero-Trust-Transaktionen ab, die die Plattform nach Herstellerangaben täglich verarbeitet. Wiederkehrende Fälle hinterlegt das Team als feste Reaktion, zum Beispiel eine Sperre bestimmter IP-Adressen für 24 Stunden.

Kontosperren überlässt Schuhwerk schon heute der KI

Ein Köder ist ein vorgetäuschtes Active Directory oder eine vorgetäuschte Datenbank. Fragt ein Angreifer einen solchen Köder ab, darf der Agent das Konto sperren. Dasselbe gilt für Anmeldungen eines Nutzers binnen 10 Minuten aus Deutschland und China. Die Trennung einer Produktionsanlage vom Internet bleibt dagegen beim Menschen. Bei einem Produktionsunternehmen vergingen bis zu dieser Freigabe drei bis vier Stunden, da erst CISO und Vorstand erreichbar sein mussten. Den Grund für die Zurückhaltung sieht Schuhwerk in der Haftung des CISO.

Die Protokolle bleiben in der Region des Kunden

Die Plattform speichert nur Transaktionsprotokolle. Den Speicherort der Protokolle wählt jeder Kunde selbst, zum Beispiel Frankfurt. Für Behörden mit hohen Anforderungen an die Datenhoheit betreibt STACKIT, die Cloud von Schwarz Digits, die Zero Trust Exchange seit Juli 2026 in deutschen Rechenzentren.

Aufgenommen wurde die Folge am 09.10.2026, gut zwei Wochen vor der it-sa 2026 in Nürnberg. Zscaler stellt dort vom 27. bis 29.10.2026 in Halle 6 an Stand 6-422 aus. Fünf Punkte vertieft das Gespräch:

• Schatten-KI: ein privater Agent, der einen vollen Fitnesskurs über eine Schwachstelle der Buchungsseite bucht

• Over Provisioning: Agenten mit mehr Rechten als nötig

• Human on the Loop: der Mensch überwacht den Agenten und greift bei Bedarf ein

• Bounce Back: der vorab geplante Neuaufbau mit dem letzten intakten Datenbankstand

• Living off the Land: Angriffe ohne Schadsoftware, allein mit Funktionen des Betriebssystems

Für ein SOC ohne Agenten nennt Schuhwerk zwei Schritte. Zuerst sollten alle Datenquellen im SIEM ankommen, Lücken wie fehlende Schwachstellenscans schließt das Team vorher. Danach folgt der Überblick, welche vorhandenen Werkzeuge bereits Agenten mitbringen und ob Endpunktschutz, Identitätsverwaltung und Zero-Trust-Plattform ihre Meldungen austauschen. Für das SOC-Team vergleicht er die Lage mit der Radiologie, in der die KI mehr Bilder auswertet und die Ärzte dadurch mehr Erkrankungen finden.

Die Folge steht bei Captivate, Apple Podcasts, Spotify, TuneIn und Deezer bereit, das Video läuft im YouTube-Kanal von Insider Research. Abonnieren Sie die Reihe, dann erreicht Sie jede neue Ausgabe automatisch.

(ID:50993807)