KI im SOC braucht Governance und klare Verantwortlichkeiten Ohne Governance wird agentenbasierte KI im SOC zum Sicherheitsrisiko

Anbieter zum Thema

Palo Alto Networks (Germany) GmbH

Fsas Technologies GmbH

FTAPI Software GmbH

Alarme überrollen SOCs, KI‑Agenten sollen entlasten. Ohne Governance, klare Zuständigkeiten und Leitplanken geraten Projekte jedoch schnell zum Risiko. Wer Identitäten streng kontrolliert, Ziele messbar macht und Menschen bei irreversiblen Schritten entscheiden lässt, nutzt agentenbasierte KI sicher und wirksam.

Security Operations Center (SOC) stehen vor einem Dilemma, denn die Flut an Vorfällen ist kaum noch zu bewältigen. Künstliche Intelligenz (KI) soll hier Abhilfe schaffen. Doch drei von vier Projekten auf Basis von KI-Agenten entwickeln sich zum Sicherheitsrisiko. Das Problem liegt oft weniger in der Technologie, sondern in fehlender Governance. Gefragt sind klare Verantwortlichkeiten, messbare Ziele und von Anfang an mitgedachte Sicherheit.

Ist das klassische SOC am Ende?

Lang lebe das SOC!

Täglich erreichen unzählige Sicherheitsevents die Infrastruktur moderner Security Operations Center. Nur ungefähr die Hälfte der generierten Alarme lässt sich in den Unternehmen durch Analysten im Durchschnitt bearbeiten. Für die restlichen Meldungen fehlen die Kapazitäten. Viele setzen daher auf agentenbasierte KI, die durch intelligente Automatisierung für Entlastung sorgen soll. Doch die Realität sieht anders aus.

Nach über 3.000 Gesprächen mit europäischen Führungskräften zieht Palo Alto Networks ein ernüchterndes Fazit: Drei von vier laufenden KI-Projekten entwickeln sich zu Sicherheitsrisiken. Der Grund liegt nicht in technischen Schwächen, sondern in unzureichender Governance. Worauf müssen Unternehmen in Bezug auf agentenbasierter KI und Cybersicherheit achten?

Vom Antworten zum Handeln

Mit dem Einsatz von KI-Agenten ändert sich die Rolle der Technologie im SOC grundlegend. Denn sie liefert nicht nur Antworten, sondern führt selbstständig Aktionen aus. Dieser Wandel verlagert den Fokus der Kontrolle auf Identitäten, Berechtigungen und kontinuierliche Überwachung. Entscheidend für den Erfolg sind weniger technische Details als vielmehr klare Verantwortlichkeiten auf Führungsebene.

Im SOC übernimmt agentenbasierte KI wiederkehrende Aufgaben: Alarme werden kategorisiert, Kontextinformationen angereichert, erste Untersuchungsschritte eingeleitet. Täglich fallen Hunderte bis Tausende solcher Routineaufgaben an. Organisationen können sämtliche Alarme automatisiert vorverarbeiten. Das Ziel besteht in einer autonomen SOC-Plattform, die von menschlicher Expertise geleitet wird und fortlaufend dazulernt.

Mike Nichols und Jörg Hesske von Elastic im Gespräch

KI soll SIEM-Systeme ersetzen

Warum viele Projekte scheitern

In der Praxis sprechen die Zahlen eine klare Sprache. Eine MIT-Studie belegt etwa, dass 95 Prozent der generativen KI-Pilotprojekte keinen messbaren Geschäftswert liefern. Gartner geht davon aus, dass 40 Prozent der Projekte mit agentenbasierter KI bis Ende 2027 eingestellt werden. Das zentrale Problem liegt in unzureichendem Risikomanagement.

Die erste kritische Schwachstelle betrifft die Governance. Viele Initiativen werden als reine IT-Projekte verstanden, nicht als unternehmensweite Transformation mit Verantwortung auf Vorstandsebene. Sicherheitsteams, Risikomanagement und Fachabteilungen kommen zu spät ins Spiel. Die Folge sind isolierte Entscheidungen, unkontrollierte Implementierungen und unklare Zuständigkeiten.

Die zweite Schwachstelle ist der sogenannte Outcome Drift – die Abweichung vom ursprünglichen Ziel. Projekte beginnen mit einem Tool, nicht mit messbaren Geschäfts- und Sicherheitszielen. Teams experimentieren und legen den Zweck erst nachträglich fest. Budgets wachsen, Pilotprojekte wandern unbemerkt in den Produktivbetrieb, und niemand kann die vom Vorstand genehmigten Erfolgskriterien nachweisen. Die dritte Schwachstelle sind fehlende Leitplanken. KI-Agenten erhalten übermäßige Berechtigungen, Zugang zu sensiblen Daten und durchlaufen nur schwache Identitätsprüfungen. Kontrollen, die zu Beginn funktionieren, scheitern bei wachsender Komplexität.

Hype oder Realität?

KI im autonomen SOC

Kontext und Identität als Fundament

Wenn die technische Umsetzung scheitert, dann häufig an fragmentierten Architekturen. Liegen Sicherheitsdaten beispielsweise in verschiedenen Silos, entstehen blinde Flecken. Das ist ein Problem, denn moderne Cyberattacken verlaufen über mehrere Ebenen und berühren verschiedene Bereiche der IT-Infrastruktur. Solche Angriffsketten lassen sich nur erkennen, wenn alle relevanten Datenpunkte zusammengeführt werden. Plattformintegration bedeutet, Datensilos aufzubrechen und einen ganzheitlichen Kontext zu schaffen. Identität wird zur zentralen Kontrollinstanz.

An dieser Stelle unterscheidet sich aber Privileged Access Management (PAM) grundlegend vom klassischen Identity Access Management (IAM). PAM legt detailliert fest, welche Aktionen erlaubt sind. Für agentenbasierte KI heißt das: Agenten werden wie Identitäten behandelt und unterliegen denselben strengen Kontrollen wie menschliche Nutzer. Zero Trust in Kombination mit PAM stellt sicher, dass jede Identität ausschließlich die minimal notwendigen Berechtigungen erhält.

Die Pyramide der Verantwortung

Bei aller Automatisierung muss der Mensch an der Spitze der Entscheidungshierarchie stehen. KI ist kein Allheilmittel, sondern Werkzeug für repetitive Aufgaben. Ein KI-Agent könnte bei verdächtigem Verhalten einen Server automatisch in Quarantäne versetzen. Doch was, wenn dieser Server kritische Geschäftsprozesse steuert? Die finale Entscheidung bei irreversiblen Aktionen muss beim menschlichen Analysten liegen.

Moderne SOC-Plattformen setzen auf regelunabhängige Systeme. Starre Regelwerke können mit sich ändernden Angriffstaktiken nicht mithalten. Stattdessen nutzen fortschrittliche Systeme KI, um automatisch zu erkennen, welche Events zu einem Vorfall gehören. Sie generieren einen Smart Score in natürlicher Sprache, der erklärt, warum ein Verhalten als verdächtig eingestuft wird. Der Agent lernt kontinuierlich vom Analysten und übernimmt zunehmend Routineentscheidungen.

SOC-Analysten – die Lotsen im Cyber-Verkehr

Einsichten in ein Security Operations Center (SOC)

Boardroom-Blueprint für sichere Umsetzung

Erfolgreiche Implementierungen solcher Projekte beginnen mit solider Governance. Organisationen sollten einen sogenannten Agentic Governance Council einrichten – ein funktionsübergreifendes Gremium, das alle Aktivitäten überwacht. Diese Gruppe trifft sich monatlich, legt dem Vorstand quartalsweise Rechenschaft ab und verfügt über sämtliche Entscheidungsbefugnisse. Sofern vorhanden, sollte ein Chief AI Officer die Verantwortung für ein zentrales Register übernehmen, das alle Agenten samt ihren Datenquellen, Berechtigungen und Kontrollen erfasst. Zudem müssen Programme mit messbaren Geschäftszielen starten, nicht mit der Idee zur Technologie. Vom Vorstand genehmigte Zielsetzungen in Verbindung mit Risikoindikatoren und Sicherheitsbenchmarks verhindern Fehlinvestitionen.

Technische Leitplanken müssen vom ersten Tag an implementiert sein. Lässt sich eine Aktion keiner autorisierten Identität mit nachvollziehbarem Zweck zuordnen, wird sie nicht ausgeführt. Konkret heißt das: Least Privilege für alle Agenten, kurzlebige Zugangsdaten, Subagenten für risikoreiche Schritte und lückenlose Protokollierung jeder Entscheidung. Gerade bei irreversiblen Aktionen ist der Mensch als Kontrollinstanz unverzichtbar. Die Sicherheit muss von Anfang an mit eingeplant sein, also ein Secure-by-Design-Konzept.

Cyberabwehr rund um die Uhr

Fünf Fragen helfen IT-Leitern beim Wechsel ins Managed SOC

Führung entscheidet über Erfolg oder Scheitern

Der Erfolg von agentenbasierter KI hängt weniger von der Qualität des Codes ab als von klar definierten Verantwortlichkeiten auf Führungsebene. Die Technologie ist ausgereift, doch ohne Governance, klare Ziele und eingebaute Sicherheitsmechanismen wird Innovation zum Sicherheitsrisiko. Erfolgreiche Implementierungen zeichnen sich durch unternehmensweite Programme mit klaren Verantwortlichen und Aufsicht aus.

Governance sollte den gesamten Prozess begleiten – von der ersten Designentscheidung bis zur vierteljährlichen Vorstandsprüfung. Ziele und Leitplanken müssen von Beginn an definiert und integriert werden. Cybersicherheit darf kein nachträglicher Gedanke sein. Die Arbeit startet bereits bei den ersten Planungen und erstreckt sich von dort über die gesamte IT-Infrastruktur. Nur so lässt sich das transformative Potenzial agentenbasierter KI im SOC nutzen, ohne die Organisation vermeidbaren Gefahren auszusetzen.

Über den Autor: Thomas Maxeiner ist Director Technical Solutions Germany bei Palo Alto Networks.

(ID:50660785)