Künstliche Intelligenz kann große Mengen an Sicherheitsdaten schneller analysieren als jedes menschliche Team. Sie kann Muster erkennen, zusammengehörige Ereignisse gruppieren, technische Feststellungen zusammenfassen und Prioritäten empfehlen.
Dies macht KI im Bereich Cybersecurity besonders nützlich. Sicherheitsanalysten müssen häufig Tausende von Warnmeldungen, Schwachstellen, Benutzeraktivitäten und Systemänderungen auswerten.
Geschwindigkeit ist jedoch nicht mit Entscheidungsbefugnis gleichzusetzen.
Ein KI-System kann die Wahrscheinlichkeit einer Bedrohung einschätzen oder empfehlen, welche Schwachstelle zuerst behoben werden sollte. Es kann jedoch nicht automatisch die Verantwortung für die geschäftlichen Folgen dieser Entscheidung übernehmen. Möglicherweise erkennt es eine betriebliche Abhängigkeit, eine bevorstehende Kundenverpflichtung oder die tatsächlichen Auswirkungen einer Abschaltung eines Produktionssystems nicht.
Die entscheidende Frage lautet daher nicht, ob Menschen oder KI sämtliche Cybersecurity-Entscheidungen treffen sollten. Zielführender ist die Frage, welche Entscheidungen automatisiert werden können, welche durch KI unterstützt werden sollten und welche weiterhin vollständig unter menschlicher Kontrolle bleiben müssen.
Cybersecurity-Entscheidungen sind nicht alle gleich
Der Begriff „Cybersecurity-Entscheidung“ umfasst viele unterschiedliche Aktivitäten.
Einige Entscheidungen treten häufig auf, sind technischer Natur und basieren auf festgelegten Regeln. Andere sind mit Unsicherheit, betrieblichen Auswirkungen, vertraglichen Verpflichtungen oder finanziellen Konsequenzen verbunden.
Ein Unternehmen muss beispielsweise entscheiden, ob es:
- eine verdächtige E-Mail blockiert,
- eine Benutzersitzung deaktiviert,
- ein Endgerät isoliert,
- eine Schwachstelle priorisiert,
- ein Softwareupdate verschiebt,
- ein lieferantenbezogenes Risiko akzeptiert,
- einen Kunden über einen Sicherheitsvorfall informiert,
- einen Produktionsservice abschaltet,
- in eine neue Sicherheitsmaßnahme investiert,
- ein Risiko akzeptiert, das oberhalb des üblichen Toleranzniveaus liegt.
Es wäre nicht sinnvoll, all diese Entscheidungen auf dieselbe Weise zu behandeln.
Das Blockieren eines eindeutig schädlichen Anhangs ist nicht mit der Abschaltung einer Produktionslinie vergleichbar. Die Zuweisung einer technischen Priorität unterscheidet sich von der Akzeptanz einer möglichen Betriebsunterbrechung. KI kann in jeder dieser Situationen eine Rolle spielen. Ihre Entscheidungsbefugnis sollte sich jedoch nach den möglichen Auswirkungen richten.
Wo KI besonders leistungsfähig ist
KI ist besonders hilfreich, wenn eine Entscheidung mit der Analyse großer Datenmengen beginnt.
Ein Sicherheitsanalyst muss möglicherweise Warnmeldungen aus Endgeräten, Identitätssystemen, Cloud-Diensten, E-Mail-Systemen und Netzwerkkomponenten miteinander vergleichen. Relevante Zusammenhänge sind nur schwer zu erkennen, wenn jedes Tool seine Informationen separat darstellt.
KI kann dabei unterstützen:
- zusammengehörige Warnmeldungen zu gruppieren,
- wiederkehrende Muster zu identifizieren,
- technische Nachweise zusammenzufassen,
- Aktivitäten über mehrere Systeme hinweg zu korrelieren,
- ungewöhnliches Verhalten hervorzuheben,
- aktuelle Ereignisse mit früheren Sicherheitsvorfällen zu vergleichen,
- fehlende Informationen zu erkennen,
- eine erste Priorisierung vorzuschlagen,
- eine Fallzusammenfassung für einen Analysten vorzubereiten.
Dadurch reduziert sich der Zeitaufwand für wiederkehrende Analysen.
Das Ziel sollte jedoch nicht darin bestehen, den Analysten aus dem Prozess zu entfernen. Vielmehr sollte ihm eine bessere Ausgangslage für seine Bewertung bereitgestellt werden.
Anstatt Hunderte unzusammenhängender Datensätze manuell zu prüfen, kann sich der Analyst auf eine kleinere Anzahl strukturierter Fälle konzentrieren und seine Aufmerksamkeit auf diejenigen Nachweise richten, die eine professionelle Beurteilung erfordern.
Wo menschliches Urteilsvermögen weiterhin notwendig ist
Cybersecurity-Entscheidungen betreffen häufig Informationen, die dem KI-System nicht zur Verfügung stehen.
Ein Produktionsverantwortlicher weiß möglicherweise, dass ein bestimmtes System vor einer wichtigen Auslieferung nicht unterbrochen werden darf. Ein Rechtsberater kann beurteilen, ob ein Sicherheitsvorfall eine vertragliche Meldepflicht auslöst. Ein Geschäftsverantwortlicher weiß möglicherweise, dass eine als nicht kritisch eingestufte Anwendung aktuell ein wichtiges Kundenprojekt unterstützt.
Solche Informationen befinden sich nicht zwangsläufig in technischen Protokollen oder auf Sicherheitsplattformen.
Menschen sind außerdem dafür verantwortlich, unterschiedliche Interessen gegeneinander abzuwägen. Eine Schwachstelle kann schwerwiegend sein, während das vorgeschlagene Update ein noch größeres betriebliches Risiko verursachen könnte, wenn es nicht ausreichend getestet wurde. Ein Lieferant kann eine unzureichende Sicherheitsdokumentation vorweisen, aber gleichzeitig einen Service bereitstellen, der nicht kurzfristig ersetzt werden kann. Eine Sicherheitsmaßnahme kann das Cyberrisiko reduzieren, gleichzeitig aber in einem wichtigen Geschäftsprozess zu nicht akzeptablen Verzögerungen führen.
KI kann Nachweise und mögliche Handlungsoptionen darstellen. Sie kann jedoch nicht selbstständig entscheiden, welche geschäftlichen Konsequenzen ein Unternehmen akzeptieren sollte.
Der Unterschied zwischen Empfehlung und Verantwortung
Diese Unterscheidung ist von zentraler Bedeutung.
KI kann empfehlen, ein System zu isolieren. Ein menschlicher Entscheidungsträger bleibt jedoch für die Folgen verantwortlich, wenn durch die Isolation ein kritischer Service unterbrochen wird.
KI kann empfehlen, ein als gering eingestuftes Risiko zu akzeptieren. Ein benannter Risikoverantwortlicher muss entscheiden, ob dieses Risiko mit der Risikotoleranz und den Verpflichtungen des Unternehmens vereinbar ist.
KI kann eine Warnmeldung als Fehlalarm einstufen. Das Unternehmen muss dennoch festlegen, wer verantwortlich ist, wenn diese Einstufung falsch war.
Verantwortung kann nicht auf ein Modell übertragen werden.
Das Unternehmen, das ein KI-Modell einsetzt, bleibt dafür verantwortlich, das Modell auszuwählen, zu konfigurieren, seine Leistungsfähigkeit zu überwachen und festzulegen, wie seine Ergebnisse verwendet werden.
Deshalb sollte jeder wesentliche KI-gestützte Prozess folgende Punkte eindeutig definieren:
- wer für den Prozess verantwortlich ist,
- wer den Einsatz von KI genehmigt,
- wer die Empfehlungen prüft,
- welche Maßnahmen automatisch ausgeführt werden dürfen,
- welche Maßnahmen eine menschliche Genehmigung erfordern,
- wie mit Ausnahmen umgegangen wird,
- wie Entscheidungen dokumentiert werden,
- wie fehlerhafte Ergebnisse untersucht werden.
Ohne diese Regeln kann KI die Geschwindigkeit erhöhen und gleichzeitig die Verantwortlichkeiten unklarer machen.
Ein praktisches dreistufiges Entscheidungsmodell
Unternehmen können KI-gestützte Cybersecurity-Entscheidungen in drei Stufen unterteilen.
Stufe 1: Automatisierte operative Maßnahmen
Hierbei handelt es sich um Maßnahmen mit geringen Auswirkungen, die auf eindeutig definierten Bedingungen beruhen.
Beispiele hierfür sind:
- das Blockieren einer bekanntermaßen schädlichen Internetadresse,
- die Quarantäne eines Anhangs, der einer bestätigten Schadsoftware-Signatur entspricht,
- die Gruppierung identischer Warnmeldungen,
- die Ergänzung einer Warnmeldung um Asset- und Benutzerinformationen,
- die automatische Erstellung eines Tickets zu einer bestätigten Feststellung,
- die Anforderung einer zusätzlichen Authentifizierung, wenn vordefinierte Risikobedingungen erfüllt sind.
Auch solche Maßnahmen benötigen Kontrollen. Das Unternehmen sollte die Automatisierung testen, Fehlalarme überwachen und eine Möglichkeit bereitstellen, fehlerhafte Maßnahmen rückgängig zu machen.
Automatisierung darf nicht mit fehlender Überwachung gleichgesetzt werden.
Stufe 2: KI-Empfehlung mit menschlicher Genehmigung
Diese Stufe eignet sich für Entscheidungen, die zusätzlichen Kontext erfordern oder Auswirkungen auf den Geschäftsbetrieb haben können.
Beispiele hierfür sind:
- die Priorisierung von Schwachstellen,
- die Empfehlung zur Isolation eines Geräts,
- der Vorschlag zur Änderung einer Zugriffsberechtigung,
- die Einstufung des Schweregrads eines Sicherheitsvorfalls,
- die Empfehlung einer Behebungsfrist,
- die Auswahl eines Lieferanten für eine zusätzliche Sicherheitsbewertung,
- die Empfehlung zur Eskalation einer überfälligen Maßnahme.
KI kann die Nachweise vorbereiten und eine Handlungsoption empfehlen. Eine qualifizierte Person prüft die Empfehlung und genehmigt, ändert oder verwirft sie.
Die prüfende Person sollte nachvollziehen können, warum die Empfehlung abgegeben wurde. Eine Bewertung ohne verständliche Begründung reicht für eine wesentliche Entscheidung nicht aus.
Stufe 3: Menschlich kontrollierte Geschäfts- und Risikoentscheidungen
Einige Entscheidungen sollten weiterhin vollständig unter menschlicher Kontrolle bleiben.
Dazu gehören:
- die Akzeptanz eines wesentlichen Restrisikos,
- die Abschaltung kritischer Betriebsabläufe,
- die Benachrichtigung von Aufsichtsbehörden, Kunden oder Geschäftspartnern,
- die Genehmigung größerer Sicherheitsinvestitionen,
- die Zustimmung zu Ausnahmen von wichtigen Richtlinien,
- die Fortsetzung der Zusammenarbeit mit einem Hochrisikolieferanten,
- Entscheidungen über den Umgang mit rechtlichen oder vertraglichen Folgen.
KI kann diese Entscheidungen weiterhin unterstützen, indem sie Informationen strukturiert, Handlungsoptionen vergleicht und frühere Fälle darstellt. Die endgültige Entscheidung muss jedoch von einer dazu befugten Person getroffen werden.
Warum KI-Empfehlungen falsch sein können
Die Ergebnisse eines KI-Systems können überzeugend wirken, obwohl die zugrunde liegenden Informationen unzureichend sind.
Ein Modell kann unvollständige Asset-Daten erhalten. Ein System kann als nicht kritisch gekennzeichnet sein, obwohl sich seine geschäftliche Bedeutung inzwischen verändert hat. Die Angaben zum Systemverantwortlichen können veraltet sein. Eine Sicherheitsmaßnahme kann als aktiv dokumentiert sein, obwohl sie nicht mehr wirksam funktioniert.
In solchen Fällen kann die KI eine logisch wirkende Empfehlung auf Grundlage fehlerhafter Informationen erstellen.
Das Modell kann außerdem eine ungewöhnliche Situation übersehen, die mit bisherigen Fällen nur wenig gemeinsam hat. Cybersecurity-Vorfälle sind häufig durch unvollständige Nachweise, neue Angriffstechniken und gezielte Versuche zur Umgehung von Sicherheitsmaßnahmen gekennzeichnet.
Dies bedeutet nicht, dass KI für Cybersecurity ungeeignet ist. Es bedeutet, dass die Qualität ihrer Ergebnisse von der Qualität, Relevanz und Vollständigkeit der verfügbaren Informationen abhängt.
KI sollte deshalb eine strukturierte und disziplinierte Untersuchung unterstützen, anstatt sie zu ersetzen.
Auch menschliche Entscheidungen können fehlerhaft sein
Es wäre falsch, die Risiken von KI so zu diskutieren, als wären menschliche Entscheidungen grundsätzlich zuverlässig.
Menschen können Informationen übersehen, vertrauten Routinen folgen, Wahrscheinlichkeiten falsch einschätzen und notwendige Maßnahmen verzögern. Unter hohem Zeitdruck können Analysten Warnmeldungen vorschnell schließen. Führungskräfte können ein technisches Risiko unterschätzen, weil ein entsprechender Sicherheitsvorfall bisher noch nicht eingetreten ist. Teams können Aufgaben anhand der lautesten Forderung priorisieren, anstatt sich am tatsächlichen Geschäftsrisiko zu orientieren.
KI kann die Konsistenz verbessern, indem sie für zahlreiche Fälle dieselben Kriterien anwendet. Sie kann auf fehlende Prozessschritte hinweisen, ähnliche Ereignisse identifizieren und Entscheidungen hinterfragen, die von etablierten Mustern abweichen.
Das stärkste Modell ist weder menschliches Urteilsvermögen ohne technologische Unterstützung noch KI ohne menschliche Kontrolle. Es ist eine strukturierte Verbindung aus maschineller Geschwindigkeit und menschlicher Verantwortung.
Der Geschäftskontext bestimmt die Qualität der KI-Unterstützung
Ein KI-System kann keine sinnvollen Prioritäten empfehlen, wenn es ausschließlich technische Feststellungen erhält.
Für eine zuverlässige Unterstützung von Cybersecurity-Entscheidungen sollte es kontrollierten Zugriff auf relevante Informationen zu folgenden Bereichen erhalten:
- Kritikalität von Assets,
- Geschäftsprozesse,
- Informationsklassifizierung,
- Exposition von Systemen,
- Benutzer und privilegierte Berechtigungen,
- bekannte Schwachstellen,
- vorhandene Sicherheitsmaßnahmen,
- Lieferanten und externe Abhängigkeiten,
- frühere Sicherheitsvorfälle,
- Kriterien für die Risikoakzeptanz,
- Behebungsfristen,
- verantwortliche Personen.
Dies bedeutet nicht, dass sämtliche Unternehmensdaten in ein KI-Modell übertragen werden sollten. Der Zugriff muss begrenzt, gesteuert und für den vorgesehenen Verwendungszweck angemessen sein.
Entscheidend ist, dass technische Informationen mit einem geschäftlichen Kontext verbunden werden. Fehlt diese Verbindung, verarbeitet KI lediglich unvollständige technische Daten mit höherer Geschwindigkeit.
Nachvollziehbarkeit ist bei folgenreichen Entscheidungen besonders wichtig
Nicht jede automatisierte Maßnahme erfordert eine ausführliche Erklärung. Wenn ein System identische Warnmeldungen gruppiert, kann es ausreichend sein, die angewandte Regel und das Ergebnis zu dokumentieren.
Mit zunehmender Auswirkung einer Entscheidung wächst jedoch auch die Notwendigkeit einer verständlichen Begründung.
Wer über die Isolation eines Servers entscheidet, sollte wissen:
- welche Aktivität die Empfehlung ausgelöst hat,
- welche Datenquellen berücksichtigt wurden,
- wie zuverlässig diese Datenquellen sind,
- welcher Geschäftsservice betroffen sein könnte,
- welche alternativen Maßnahmen zur Verfügung stehen,
- welche Folgen es haben könnte, wenn keine Maßnahme ergriffen wird.
Die Erklärung muss nicht jede interne Berechnung des Modells offenlegen. Sie muss jedoch ausreichende Informationen enthalten, damit eine qualifizierte Person eine fundierte Entscheidung treffen kann.
KI darf nicht zu einem weiteren getrennten System werden
Es besteht die Gefahr, dass Unternehmen KI als zusätzliches, eigenständiges Tool einführen.
Wenn ein KI-Assistent keinen Zugriff auf zuverlässige Asset-Daten, aktuelle Verantwortlichkeiten, Risikokriterien oder den Status der bestehenden Sicherheitsmaßnahmen hat, kann er ansprechend formulierte Zusammenfassungen erstellen, ohne die Entscheidungsqualität tatsächlich zu verbessern.
Das Unternehmen könnte dann KI-generierte Empfehlungen manuell in Tickets und Tabellen übertragen. Dadurch entsteht ein zusätzlicher Arbeitsschritt in einem ohnehin bereits fragmentierten Prozess.
KI schafft mehr Mehrwert, wenn sie in einen klar definierten Arbeitsablauf eingebunden ist.
Eine Empfehlung sollte zu einem Verantwortlichen, einer Entscheidung, einer Maßnahme, einer Frist und einem Nachweis über die Umsetzung führen. Das Unternehmen sollte außerdem dokumentieren, ob die menschliche Prüfinstanz die Empfehlung angenommen oder verändert hat. Diese Informationen helfen bei der Bewertung, ob die KI-Unterstützung tatsächlich einen praktischen Nutzen bringt.
Wie sich der Nutzen von KI messen lässt
Der Erfolg von KI sollte nicht anhand der Anzahl erstellter Zusammenfassungen oder automatisierter Warnmeldungen gemessen werden.
Sinnvolle Kennzahlen können sein:
- Reduzierung der Zeit zur Überprüfung von Feststellungen,
- Verringerung doppelter Warnmeldungen,
- Verbesserung der Behebungszeiten,
- Anteil der von menschlichen Prüfern akzeptierten Empfehlungen,
- Anzahl geänderter oder abgelehnter Empfehlungen,
- Rate falsch-positiver und falsch-negativer Ergebnisse,
- Anzahl rückgängig gemachter automatisierter Maßnahmen,
- Reduzierung überfälliger Sicherheitsmaßnahmen,
- Konsistenz bei der Priorisierung,
- Rückmeldungen von Analysten und Risikoverantwortlichen.
Diese Kennzahlen sollten über einen längeren Zeitraum und getrennt nach unterschiedlichen Entscheidungstypen betrachtet werden.
Ein Modell, das E-Mails zuverlässig klassifiziert, eignet sich nicht automatisch für Entscheidungen über Lieferantenrisiken. Eine Empfehlung, die in einer klassischen Büroumgebung angemessen ist, kann für ein Produktionssystem ungeeignet sein.
Die Leistungsfähigkeit muss daher immer in Bezug auf den vorgesehenen Verwendungszweck bewertet werden.
Fragen vor dem Einsatz von KI in Entscheidungsprozessen
Bevor ein Unternehmen KI in einen Cybersecurity-Prozess integriert, sollte es einige praktische Fragen beantworten:
- Welche konkrete Entscheidung soll durch KI unterstützt werden?
- Welche Informationen wird das System verwenden?
- Sind diese Informationen vollständig und aktuell?
- Kann die Empfehlung für den Prüfer nachvollziehbar erklärt werden?
- Welche Folgen hätte eine fehlerhafte Empfehlung?
- Welche Maßnahmen dürfen automatisiert ausgeführt werden?
- Welche Maßnahmen erfordern eine Genehmigung?
- Wer bleibt für die Entscheidung verantwortlich?
- Wie werden Ausnahmen behandelt?
- Wie wird die Leistungsfähigkeit gemessen?
- Wie kann eine automatisierte Maßnahme rückgängig gemacht werden?
- Wie wird der Prozess fortgeführt, wenn der KI-Service nicht verfügbar ist?
Wenn diese Fragen nicht beantwortet werden können, ist der Prozess noch nicht für autonome Entscheidungen geeignet.
Die richtige Aufgabenverteilung
KI eignet sich besonders gut für das Suchen, Vergleichen, Gruppieren, Zusammenfassen und Erstellen von Empfehlungen. Menschen sind dafür verantwortlich, die Folgen zu interpretieren, unterschiedliche Interessen abzuwägen und Verantwortung für Entscheidungen zu übernehmen.
Diese Aufteilung ist nicht unveränderlich. Mit der Weiterentwicklung der Modelle und zunehmender Erfahrung der Unternehmen können weitere Maßnahmen mit geringen Auswirkungen automatisiert werden. Entscheidungen mit weitreichenden Folgen sollten jedoch weiterhin entsprechend ihrer möglichen geschäftlichen, rechtlichen und betrieblichen Auswirkungen gesteuert werden.
Das Ziel sollte nicht darin bestehen, menschliche Sicherheitsspezialisten zu ersetzen. Stattdessen sollte unnötige manuelle Arbeit reduziert werden, damit qualifizierte Fachkräfte auf Grundlage vollständigerer Informationen bessere Entscheidungen treffen können.
Ein praxistaugliches Modell ist eindeutig:
KI erkennt Muster und bereitet Empfehlungen vor. Menschen liefern den erforderlichen Kontext, genehmigen folgenreiche Maßnahmen und bleiben für die endgültige Entscheidung verantwortlich.
Dieser Ansatz ermöglicht es Unternehmen, von einer höheren Geschwindigkeit zu profitieren, ohne die Kontrolle aufzugeben. Gleichzeitig bleibt Cybersecurity mit der geschäftlichen Realität verbunden, in der Entscheidungen Mitarbeitende, Kunden, Betriebsabläufe, Verträge und Verantwortlichkeiten betreffen, die sich nicht auf eine technische Bewertung reduzieren lassen.
