KI in der Cyberverteidigung
Wie KI die Cyberabwehr über den gesamten Lebenszyklus von Cybervorfällen hinweg verändert
Die Cyberabwehr zielt darauf ab, Systeme, Netze und Daten vor Infiltration, Störung oder Zerstörung zu schützen. Die Lebenszyklus von Cybervorfällen bietet eine nützliche Methode zum Verständnis der Cyberverteidigung, die in vier Phasen unterteilt ist:
- Prävention: Verhinderung und Verringerung des Risikos von Zwischenfällen und Minimierung ihrer möglichen Auswirkungen.
- Bereitschaft: Entwicklung von Plänen, Instrumenten und Fähigkeiten zur Unterstützung einer wirksamen Reaktion.
- Antwort: den Vorfall einzudämmen und weitere Schäden zu verhindern.
- Erholung: schnelle Wiederherstellung des Betriebs und Rückkehr zu einem normalen oder höheren Sicherheitsniveau.
Künstliche Intelligenz (KI) hat in allen vier Phasen an Bedeutung gewonnen. Im Gegensatz zu herkömmlichen Werkzeugen, die sich nur einem Schritt zuordnen lassen, lassen sich viele KI-Funktionen über den gesamten Lebenszyklus hinweg einsetzen: Dieselbe Technik, die die Vorbereitung unterstützt, kann auch eine schnellere Reaktion ermöglichen oder die Wiederherstellung erleichtern. Diese Integration macht KI sowohl leistungsfähig als auch schwierig zu klassifizieren: Ihr Wert liegt nicht nur in der Verbesserung einzelner Aufgaben, sondern auch in der nahtloseren Verknüpfung der Phasen untereinander.
Prävention
Bereitschaft
Antwort
Erholung
Kartierung der Angriffsfläche
Code-Scannen
Zusammenfassung der Daten
Klassifizierung der Daten
Erkennung von Anomalien
Schreiben und Analyse
Synthetische Daten
Identitäts- und Zugangsmanagement
Identitäts- und Zugangsmanagement
Log-Analyse
Malware-Analyse
Ausbildung und Laboratorien
Ausbildung und Laboratorien
In den folgenden Abschnitten untersuchen wir konkrete KI-Anwendungen für die Cyberabwehr und zeigen, wie sie sich auf verschiedene Phasen des Lebenszyklus eines Vorfalls beziehen und in vielen Fällen sogar mehrere Phasen gleichzeitig abdecken.
Kartierung der Angriffsfläche
Bei der Kartierung der Angriffsoberfläche werden alle Anlagen, Einstiegspunkte und Schwachstellen identifiziert, die ein Angreifer bei einem Angriff ausnutzen könnte. Sie verschafft Verteidigern einen Überblick über ihre Gefährdung und hilft bei der Festlegung von Prioritäten für die zu sichernden Bereiche.
Wie KI die Kartierung von Angriffsflächen verändert:
Fall hervorgehoben: Einsatz von LLMs für die Entdeckung von Vermögenswerten in kritischen Infrastrukturen
Im Jahr 2025, Luigi Coppolino und andere veröffentlichte eine Studie, die zeigt, wie große Sprachmodelle (LLMs) die Entdeckung von Anlagen in kritischen Infrastrukturen verbessern können. Herkömmliche Tools wie Nmap oder industrielle Sicherheitsplattformen riskieren entweder die Unterbrechung sensibler Systeme durch aktive Scans oder versagen bei der Entdeckung versteckter Geräte, wenn sie sich nur auf die passive Überwachung verlassen.
Die Forscher schlugen einen LLM-basierten "Mixture of Experts"-Rahmen vor, der Daten aus passiver Verkehrsbeobachtung, sorgfältig begrenzten aktiven Sondierungen und physikalischen Signalen wie elektromagnetischen Emissionen kombiniert. Spezialisierte LLM-Agenten interpretieren dann diese Daten: einer konzentriert sich auf Industrieprotokolle, ein anderer auf Schwachstellen in IT/OT-Netzen und ein weiterer auf Systemarchitektur und Abhängigkeiten.
Das System kann auch auf externe Informationsquellen (wie MITRE ATT&CK oder CVE-Datenbanken) zurückgreifen, um Schwachstellen zu erkennen und Sicherheitsmaßnahmen zu empfehlen. Bei Tests in einem simulierten Industrienetzwerk wurden Anlagen wie speicherprogrammierbare Steuerungen, Roboterarme und Drucker erfolgreich klassifiziert, während unsichere Praktiken wie unverschlüsselter Modbus-Verkehr gemeldet wurden.
Mit einem solchen Ansatz wird die Erfassung von Angriffsflächen zu einem adaptiven und kontextabhängigen Prozess, der Transparenz in Echtzeit bietet und die Risiken herkömmlicher Scans reduziert. Indem die technischen Hürden für Verteidiger gesenkt werden, wird eine umfassendere Überwachung ermöglicht und die allgemeine Sicherheitslage kritischer Infrastrukturen gestärkt.
-
Auswirkungen von KI auf die Erkennung von Bedrohungen - "KI für die Verteidigung" (Donnie W. Wendt 2024)
Das Kapitel zeigt, wie KI die Erkennung und Sichtung von Bedrohungen vorangebracht hat, wobei Modelle des maschinellen Lernens große Mengen heterogener Daten verarbeiten, um potenzielle Angriffe zu identifizieren. Die Ergebnisse verdeutlichen, wie sich frühe Anwendungen in den 2000er- und 2010er-Jahren auf die Erkennung von Malware, Eindringlingen und Spam konzentrierten und die Stärke der KI bei der Analyse großer Datensätze und der Verbesserung bestehender Erkennungssysteme demonstrierten, während sie gleichzeitig die seit langem bestehenden Cybersicherheitsfunktionen schrittweise erweiterten. -
Bedrohungserkennung der nächsten Generation - "Revolutionierung der Cybersicherheit: Entfesselung der Macht von künstlicher Intelligenz und maschinellem Lernen" (Manoharan & Sarker 2022)
Das Papier zeigt, wie KI und maschinelles Lernen die Erkennung von Bedrohungen revolutionieren und Unternehmen in die Lage versetzen, Anomalien zu erkennen, Verhaltensmuster zu analysieren und potenzielle Angriffe vorherzusagen. Die Ergebnisse zeigen, wie Techniken wie NLP zur Extraktion von Bedrohungsdaten und Deep Learning zur Mustererkennung die Erkennung und Reaktion automatisieren können, während Fallstudien aus der Praxis ihre Wirksamkeit bestätigen.
Code-Scanning und Auswertung
Beim Code-Scanning wird der Quellcode überprüft, um Schwachstellen, unsichere Bibliotheken oder schlechte Sicherheitspraktiken zu erkennen, bevor sie ausgenutzt werden können.
Wie KI das Scannen und Bewerten von Codes verändert:
KI beschleunigt die Erkennung von Schwachstellen, indem sie unsichere Funktionen hervorhebt und riskante Codierungsmuster identifiziert, die aus früheren Angriffen gelernt wurden. Darüber hinaus bietet sie automatische Vorschläge zur Behebung von Schwachstellen, die Entwickler dabei unterstützen, sichereren Code zu schreiben und das Zeitfenster für Angreifer zu verkleinern.
Fall hervorgehoben: Einsatz von LLMs für Code-Scanning und sichere Entwicklung
Im Jahr 2025, Belozerow und andere untersuchten, wie große Sprachmodelle sichere Kodierungspraktiken unterstützen können. In der Studie wurde ChatGPT mit dem DevGPT-Datensatz verglichen, der echten Entwicklercode und bekannte, von statischen Scannern gemeldete Schwachstellen enthielt. Von 32 bestätigten Schwachstellen erkannte ChatGPT 18 korrekt und schlug sogar für 17 von ihnen Korrekturen vor.
Die Ergebnisse zeigen, wie KI den manuellen Aufwand bei der Codeüberprüfung verringern, bei der Sichtung riskanter Codierungsmuster helfen und automatische Vorschläge zur Behebung von Schwachstellen liefern kann. Dies hat das Potenzial, sichere Kodierungspraktiken zu skalieren und das Zeitfenster zu verkürzen, in dem Schwachstellen ausnutzbar bleiben.
Gleichzeitig wurden in der Studie auch wichtige Einschränkungen hervorgehoben: ChatGPT produzierte gelegentlich übermütige, aber falsche Ergebnisse, führte neue Fehler ein, wenn man versuchte, sie zu beheben, und war weniger zuverlässig als die statische Analyse oder die Überprüfung durch menschliche Experten. Eine wichtige Erkenntnis aus dieser Studie ist, dass KI ein leistungsfähiger Assistent bei der Code-Evaluierung sein kann, allerdings nur in Kombination mit herkömmlichen Tools und einer angemessenen Aufsicht.
-
Automatisierte Codeüberprüfung - "A Review of Applying AI for Cybersecurity: Chancen, Risiken und Abhilfestrategien" (Ndibe & Ufomba 2024)
Das Papier zeigt, wie KI und umfangreiche Sprachmodelle automatisierte Codeprüfungen und Schwachstellenbewertungen unterstützen können, so dass Unternehmen proaktiv Schwachstellen im Quellcode erkennen und die Reaktionszeiten verkürzen können. Die Ergebnisse zeigen auch Risiken auf, wie z. B. unsicheren, von KI generierten Code, und unterstreichen den Bedarf an menschlicher Aufsicht und Governance-Rahmenwerken. -
Interpretierbares Deep Learning für Schwachstellenerkennung - "Erkennung von Schwachstellen mit feinkörnigen Interpretationen" (Li et al. 2021)
In diesem Beitrag wird IVDetect vorgestellt, ein Deep-Learning-Modell, das Schwachstellen in Codes erkennt und die dafür verantwortlichen Anweisungen und Abhängigkeiten aufzeigt. IVDetect verbessert die Genauigkeit im Vergleich zu modernsten Tools und liefert feinkörnige Erklärungen. Die Ergebnisse zeigen erhebliche Verbesserungen bei der Erkennungsleistung und eine präzisere Identifizierung von anfälligem Code, was sowohl die automatisierte Analyse als auch die Abhilfemaßnahmen der Entwickler unterstützt. -
Erkennung von Sicherheitslücken in mehrsprachigem Code - "Erkennung von Code-Schwachstellen in verschiedenen Programmiersprachen mit KI-Modellen" (Humran & Sonmez 2025)
In diesem Beitrag werden transformatorbasierte Modelle, darunter CodeBERT und CodeLlama, zur Erkennung von Schwachstellen in mehreren Programmiersprachen untersucht. Durch Feinabstimmung an verschiedenen Datensätzen erfassen die Modelle sowohl Syntax als auch Semantik und erreichen eine Genauigkeit von bis zu 97%. In der Studie werden auch Ensemble-Methoden und erklärbare KI eingesetzt, um Fehlalarme zu reduzieren und das Vertrauen der Entwickler zu stärken. Sie zeigt, dass KI-Modelle herkömmliche statische Analysatoren in sprachübergreifenden Umgebungen übertreffen können, obwohl die Herausforderungen in Bezug auf Robustheit, Präzision und Einsatzbereitschaft bestehen bleiben.
Zusammenfassung der Daten
Die Datenzusammenfassung verdichtet große Mengen an technischen Daten (z. B. Protokolle, Berichte und Bedrohungsdaten) zu verständlichen Erkenntnissen.
Wie KI die Datenverdichtung verändert:
KI reduziert die kognitive Überlastung, indem sie rohe und unstrukturierte Informationen in verwertbare Informationen umwandelt. Sie kann wiederkehrende Muster oder Anomalien in fragmentierten Datensätzen erkennen. Sie kann auch Berichte in einfacher Sprache für Nichtfachleute erstellen. KI macht es daher einfacher, Informationen zu konsumieren, zu kommunizieren und darauf zu reagieren.
Fall hervorgehoben: KI für Log-Zusammenfassung und Situationsbewusstsein
Im Jahr 2024, Balasubramanian und andere hat CYGENT vorgestellt, einen auf GPT-3 basierenden Dialogagenten, der Systemprotokolle analysieren und zusammenfassen kann. Anstatt dass Analysten Tausende von Rohprotokolleinträgen durchforsten müssen, fasst CYGENT sie zu kurzen, für Menschen lesbaren Ausgaben zusammen, die wichtige Ereignisse und Anomalien hervorheben.
In Evaluierungen übertraf CYGENT andere große Sprachmodelle bei der Erstellung klarer und umsetzbarer Zusammenfassungen. Das System reduzierte die kognitive Überlastung, unterstützte das Situationsbewusstsein bei Live-Ereignissen und ermöglichte eine schnellere Entscheidungsfindung.
Dieser Fall zeigt, wie KI rohe, technische Daten in zugängliche Informationen umwandeln kann. Da die Protokolle leichter zu interpretieren sind, können sich die Verteidiger besser vorbereiten, schneller reagieren und sich nach Vorfällen mit einer besseren Dokumentation erholen.
-
KTI-Zusammenfassungsdatensätze - "CTISum: A New Benchmark Dataset for Cyber Threat Intelligence Summarisation" (Peng et al. 2024)
In diesem Beitrag wird CTISum vorgestellt, ein Datensatz für die Zusammenfassung von Berichten über Cyber-Bedrohungen (CTI), der die Zusammenfassung komplexer Geheimdienstberichte ermöglicht, um Verteidigern die Planung und die Erfassung der gewonnenen Erkenntnisse zu erleichtern. -
TTP-Extraktion - "TTPXHunter: Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports" (Rani et al. 2024)
In diesem Beitrag wird TTPXHunter vorgestellt, ein NLP-basiertes Tool, das Taktiken, Techniken und Prozeduren (TTPs) von Angreifern aus Bedrohungsberichten extrahiert, um ihren Modus Operandi zu verstehen und unstrukturierte Informationen in strukturierte, umsetzbare Zusammenfassungen zu verwandeln. -
NLP für die Ereignisanalyse - "Natürliche Sprachverarbeitung für die Analyse von Cybersecurity-Vorfällen" (Ogundairo & Broklyn, 2024)
Das Papier gibt einen Überblick über NLP-Anwendungen zur Analyse unstrukturierter Datenquellen mit NLP-Techniken (z. B. Entity Recognition, Sentiment Analysis, Summary, Chatbot-based Triage). Es wird festgestellt, dass NLP die Berichterstattung über Vorfälle und Zusammenfassungen von Bedrohungsdaten automatisieren, die Reaktionszeiten verkürzen und die Dokumentation nach einem Vorfall verbessern kann.
Klassifizierung der Daten
Bei der Datenklassifizierung werden die Informationen nach ihrer Sensibilität oder den Anforderungen an die Einhaltung von Vorschriften geordnet, um sicherzustellen, dass wichtige Daten angemessen geschützt werden.
Wie KI die Datenklassifizierung verändert:
KI nutzt die Verarbeitung natürlicher Sprache, um sensible Inhalte automatisch zu kennzeichnen und falsch klassifizierte oder ungeschützte Daten in großem Umfang zu erkennen.
Fall hervorgehoben: KI für die Klassifizierung sensibler Daten
Im Jahr 2024, De Renzis und andere untersucht, wie große Sprachmodelle zur Verbesserung der Klassifizierung sensibler Informationen eingesetzt werden können. Eine zentrale Herausforderung in diesem Bereich besteht darin, dass aufgrund von Datenschutzrisiken nicht immer echte persönliche Daten für das Training verwendet werden können. Die Autoren schlugen vor, synthetische Trainingsdaten zu erzeugen, die dennoch die Muster sensibler Kategorien wie Gesundheit, Politik oder Religion widerspiegeln.
Ihr Ansatz ermöglichte das Training präziser Klassifikatoren, ohne die tatsächlichen Nutzerdaten offenzulegen. Dies zeigt, wie KI Unternehmen dabei helfen kann, Vorschriften wie die DSGVO einzuhalten und gleichzeitig ihre Fähigkeit zur Erkennung und zum Schutz sensibler Daten zu verbessern. Dieser Fall veranschaulicht, wie KI sowohl die Prävention (durch die Verringerung der versehentlichen Offenlegung von Daten) als auch die Bereitschaft (durch die Unterstützung von Compliance-Rahmenwerken) stärkt. Gleichzeitig unterstreicht er die Bedeutung von Governance und Validierung, um sicherzustellen, dass synthetische Daten und daraus resultierende Modelle repräsentativ und zuverlässig bleiben.
-
Transformator-basierte Kennzeichnung von GDPR-Kategorien - "Automatische Erkennung sensibler Daten mit Hilfe von transformatorbasierten Klassifikatoren" (Petrolini et al. 2022)
In dieser Studie werden KI-Modelle zur automatischen Kennzeichnung sensibler Texte in großen Dokumentensammlungen eingesetzt, die Bereiche wie Politik, Gesundheit, Religion und Sexualität abdecken. Sie zeigt, dass Transformator-basierte Ansätze solche Daten zuverlässig klassifizieren können, um die Einhaltung der Datenschutzgrundverordnung (GDPR) zu unterstützen und eine groß angelegte und automatisierte Kennzeichnung für Compliance-gesteuerte Datenklassifizierung zu ermöglichen. -
Semantische Analyse zur automatischen Erkennung sensibler Daten - "Automatisierte Identifizierung sensibler Daten aus impliziten Nutzerangaben (S3)" (Yang & Liang 2018)
In diesem Beitrag wird S3 vorgestellt, ein System, das sensible Daten in mobilen Apps durch die Analyse der Semantik identifiziert, anstatt sich auf Schlüsselwörter zu verlassen. Durch das Erlernen der Datenschutzpräferenzen der Nutzer erreicht es eine höhere Genauigkeit als herkömmliche Tools und veranschaulicht, wie KI die Datenklassifizierung an reale Kontexte anpassen kann. Die Studie unterstreicht, dass die Sensibilität von Informationen sowohl vom Anwendungskontext als auch von den Nutzerpräferenzen abhängt und dass ein wirksamer Schutz im Cloud-Zeitalter voraussetzt, dass man in der Lage ist, solche Daten zu identifizieren.
Erkennung von Endpunkt- oder Netzwerkanomalien
Die Anomalieerkennung überwacht Endpunkte und Netzwerkverkehr auf ungewöhnliche Verhaltensweisen, die auf eine Gefährdung hinweisen könnten.
Wie KI die Erkennung von Endpunkt- und Netzwerkanomalien verändert:
KI lernt, wie normale Aktivitäten aussehen, und markiert Abweichungen, die auf bösartige Aktivitäten hindeuten könnten. Im Gegensatz zu signaturbasierten Systemen kann sie auch subtilere Eindringlinge erkennen, die sich einer herkömmlichen Erkennung entziehen. KI ermöglicht eine schnellere und effektivere Reaktion auf Vorfälle, indem sie Warnungen priorisiert und falsch-positive Meldungen reduziert.
Hervorgehobener Fall: Einsatz von KI zur Erkennung von Anomalien in kritischen Systemen
Im Jahr 2024, Nwoye und Nwagwughiagwu untersuchte, wie die KI-gestützte Anomalieerkennung die Cyberabwehr an Endpunkten und in Netzwerken verbessern könnte. Mithilfe von Modellen des maschinellen Lernens, die auf normalen Mustern des Systemverhaltens und des Netzwerkverkehrs trainiert wurden, konnten sie subtile Abweichungen erkennen, die herkömmliche, signaturbasierte Systeme übersehen würden, darunter beispielsweise frühe Anzeichen von Insider-Bedrohungen und Datenschutzverletzungen.
In der Studie werden Fallbeispiele aus kritischen Sektoren vorgestellt, die zeigen, dass die KI-gestützte Erkennung von Anomalien die Reaktionszeiten verkürzt und zur Aufrechterhaltung der Geschäftskontinuität beiträgt, indem verdächtige Aktivitäten erkannt werden, bevor sie ernsthafte Schäden verursachen. Die Autoren wiesen auch auf Herausforderungen hin, darunter falsch-positive Ergebnisse und die Notwendigkeit von Transparenz bei komplexen KI-Modellen. Dieser Fall zeigt, wie KI sowohl zur Vorsorge (durch die Erstellung von Basislinien für normale Aktivitäten) als auch zur Reaktion (durch die Erkennung und Priorisierung von Anomalien in Echtzeit) beiträgt.
-
GAN-basierte Erkennung von Anomalien - "TadGAN: Time Series Anomaly Detection Using Generative Adversarial Networks" (Geiger et al. 2020)
In diesem Beitrag wird TadGAN vorgestellt, ein unüberwachtes System, das zykluskonsistente GANs zur Erkennung von Anomalien in Zeitreihendaten einsetzt. Durch die Kombination von Rekonstruktionsfehlern mit kritischen Ausgaben erzeugt TadGAN zuverlässige Anomaliebewertungen und reduziert falsch-positive Ergebnisse. Bei Tests mit 11 Benchmark-Datensätzen aus verschiedenen Bereichen schnitt es durchweg besser ab als die modernsten Methoden. Die Studie zeigt, wie GANs die Erkennung von subtilen zeitlichen Anomalien in verschiedenen Systemen der realen Welt verbessern können. -
Maschinelles Lernen zur Erkennung von Anomalien in der Infrastruktur - "AI Defenders: Machine Learning Driven Anomaly Detection in Critical Infrastructures" (Nebebe et al. 2024)
In diesem Beitrag werden Modelle des maschinellen Lernens zur Erkennung von Anomalien in kritischen Infrastrukturen anhand von Zeitreihendaten aus einem Hydrauliksystem-Simulator verglichen. Es wird zwischen punktuellen Anomalien (einzelnen Ausreißern) und kontextbezogenen Anomalien (Abweichungen, die nur im Kontext erkennbar sind) unterschieden und es werden einfache interpretierbare Modelle (z. B. logistische Regression, Entscheidungsbäume) mit komplexeren Black-Box-Modellen über konsistente Datensätze hinweg verglichen. Ziel ist es, zu beurteilen, welche Methoden in realen industriellen Umgebungen am besten funktionieren. In dem Papier wird betont, dass komplexe Modelle zwar höhere Erkennungsraten liefern können, einfachere Methoden aber immer noch Vorteile in Bezug auf Interpretierbarkeit und Robustheit in sensiblen Infrastrukturbereichen bieten.
Allgemeine Schreib- und Datenerfassungs-/Analyseaufgaben
Defensiveinsätze beinhalten auch umfangreiche schriftliche Arbeiten, Recherchen und Datenanalysen, um Vorfälle zu dokumentieren, Entscheidungen zu treffen und Mitarbeiter zu schulen.
Wie KI allgemeine Schreib- und Datenerfassungs- oder Analyseaufgaben verändert:
KI kann Berichte, Richtlinien und Einsatzbesprechungen verfassen und so den Verwaltungsaufwand für Analysten verringern. Sie kann das Sammeln von Open-Source-Informationen für Übungen automatisieren, sodass sich Studenten und Fachleute auf übergeordnete Analysen und Strategien konzentrieren können, anstatt sich wiederholende Aufgaben zu erledigen.
Hervorgehobener Fall: Automatisierte Informationsbeschaffung und Berichterstattung
Im Jahr 2024, Gao und andere hat ThreatKG eingeführt, ein KI-gestütztes System, das automatisch Cyber-Bedrohungsdaten aus offenen Quellen sammelt, wichtige Elemente wie Akteure und Schwachstellen extrahiert und sie in einem strukturierten Wissensgraphen zusammenfasst. Anstatt dass Analysten lange, unstrukturierte Berichte manuell durchlesen, bietet das System einen konsolidierten und durchsuchbaren Überblick. Dies verringert den Verwaltungsaufwand bei Abwehrmaßnahmen, ermöglicht eine schnellere Erstellung von Einsatzbesprechungen und verbessert das Situationsbewusstsein bei aktiven Bedrohungen. Indem ThreatKG fragmentierte Informationen in zugängliche Erkenntnisse umwandelt, können die Mitarbeiter mehr Zeit für die Interpretation und Entscheidungsfindung aufwenden. Die Studie veranschaulicht, wie KI die alltägliche Verteidigungsarbeit umgestalten kann, indem sie das Sammeln von Informationen effizienter und umsetzbarer macht, während sie gleichzeitig die Notwendigkeit der Überwachung hervorhebt, um Genauigkeit und Relevanz sicherzustellen.
-
Governance, ethische, rechtliche und soziale Auswirkungen von KI in OSINT - "Open-Source-Intelligenz und KI: Eine systematische Überprüfung" (Ghioni et al. 2023)
Der Artikel untersucht 571 Studien über KI in OSINT, über den Einsatz von KI in der Open-Source-Intelligence (OSINT) und untersucht deren Governance, ethische, rechtliche und soziale Auswirkungen. Die Untersuchung kommt zu dem Ergebnis, dass KI die OSINT-Fähigkeiten durch maschinelles Lernen, Data Mining und visuelle Forensik erweitert hat, aber auch dringende Bedenken in Bezug auf Datenschutz, Verantwortlichkeit, Voreingenommenheit und Missbrauch aufgeworfen hat. Die Autoren weisen auf Lücken in der Regulierung, Aufsicht und Transparenz hin und fordern stärkere Rahmenbedingungen, um sicherzustellen, dass KI-gestützte OSINT nachrichtendienstliche Operationen unterstützen, ohne Rechte, Vertrauen oder demokratische Rechenschaftspflicht zu untergraben. -
Automatisierte Berichterstellung - "AGIR: Automatisierung der Berichterstattung über Cyber-Bedrohungen mit natürlicher Sprachgenerierung" (Perrina et al. 2023)
In diesem Beitrag wird AGIR vorgestellt, ein System zur Generierung natürlicher Sprache, das umfassende KTI-Berichte aus formalen Entitätsgraphen erstellt. AGIR reduziert die Zeit für das Verfassen von Berichten um mehr als 40%, während es gleichzeitig eine hohe Genauigkeit und Sprachgewandtheit beibehält. Es zeigt, wie KI die Erstellung von Berichten und Analyseaufgaben automatisieren kann, so dass sich Analysten auf übergeordnete Interpretationen und Strategien konzentrieren können.
Generierung synthetischer Daten
Bei der Erzeugung synthetischer Daten werden künstliche Datensätze für Schulungen, Tests oder Simulationen erstellt, ohne dass sensible Informationen aus der realen Welt preisgegeben werden.
Wie KI die Erzeugung synthetischer Daten verändert:
KI kann realistischen Netzwerkverkehr oder Malware-Samples für den Laborgebrauch erzeugen, Lücken füllen, wo reale Daten nicht verfügbar sind, und die Privatsphäre schützen und gleichzeitig Experimente ermöglichen. Dies hilft Pädagogen und Verteidigern, sich auf reale Vorfälle vorzubereiten, ohne die Offenlegung sensibler Daten zu riskieren.
Fall hervorgehoben: Einsatz von GANs zur Erzeugung sicherer und realistischer Trainingsdaten
Im Jahr 2022, Nukavarapu und andere hat MirageNet entwickelt, ein System, das generative adversarische Netzwerke (GANs) verwendet, um realistischen synthetischen Netzverkehr zu erzeugen. Das System kann Muster des DNS-Verkehrs und anderer Protokolle in einer Weise nachbilden, die realen Daten sehr ähnlich ist, ohne jedoch sensible Informationen aus aktiven Netzwerken preiszugeben.
Diese Innovation ist wichtig, weil Verteidiger und Ausbilder oft realistische Daten für Schulungen, Tests und Experimente benötigen, aber aus Datenschutz- oder Sicherheitsgründen nicht immer den operativen Datenverkehr nutzen können. MirageNet ermöglicht sichere Simulationen, die Analysten auf reale Angriffe vorbereiten und gleichzeitig Offenlegungsrisiken vermeiden. Der Einsatz von KI, und in diesem Fall von GANs, ermöglicht sicherere und skalierbare Experimente. Gleichzeitig muss sichergestellt werden, dass die synthetischen Daten die realen Betriebsbedingungen widerspiegeln, damit Training und Tests zuverlässig bleiben.
-
Deep Learning für die Modellierung von synthetischem Netzwerkverkehr - "STAN: Synthetische Netzwerkverkehrsgenerierung mit generativen neuronalen Modellen" (Xu et al. 2021)
Das Papier stellt STAN (Synthetic network Traffic generation with Autoregressive Neural models) vor, eine neuronale Architektur, die sowohl zeitliche als auch attributive Abhängigkeiten im Netzwerkverkehr modelliert, um realistische Datensätze zu erzeugen. Die Ergebnisse zeigen, dass Modelle zur Erkennung von Anomalien, die auf dem synthetischen Datenverkehr von STAN trainiert wurden, eine nahezu vergleichbare Genauigkeit erreichen wie Modelle, die auf realen Daten trainiert wurden, was zeigt, wie Deep Learning qualitativ hochwertige synthetische Datensätze für das Bereitschaftstraining und die Simulation unter Wahrung der Privatsphäre ermöglicht. -
Bewertung von Methoden zur Erzeugung von synthetischem Verkehr - "Synthetische Netzverkehrsdatengenerierung: Eine vergleichende Studie" (Ammara et al., 2025)
In der Studie werden zwölf Methoden zur Erzeugung synthetischen Verkehrs, darunter statistische, klassische und generative KI-Ansätze, anhand von Standarddatensätzen bewertet. Die Ergebnisse zeigen, dass GAN-basierte Modelle eine höhere Wiedergabetreue und Nützlichkeit bieten, während statistische Methoden die Klassenbalance beibehalten, aber strukturelle Komplexität vermissen lassen.
Identitäts- und Zugriffsmanagement (IAM)
Das Identitäts- und Zugriffsmanagement (IAM) stellt sicher, dass nur autorisierte Benutzer angemessenen Zugriff auf Systeme und Ressourcen haben.
Wie KI das Identitäts- und Zugangsmanagement verändert:
KI stärkt IAM, indem sie anomale Anmeldemuster erkennt, die auf einen Missbrauch von Anmeldeinformationen hindeuten, adaptive Authentifizierungsrichtlinien empfiehlt und Routineprüfungen automatisiert. Bei Zwischenfällen können kompromittierte Konten schnell erkannt und stärkere Kontrollen zur Eindämmung von Bedrohungen ausgelöst werden.
Hervorgehobener Fall: Aufdeckung eines ungewöhnlichen und unangemessenen Zugriffs
Im Jahr 2024, Verkaufen führte eine Proof-of-Concept-Studie zur Anwendung von KI auf IAM-Systeme durch. Durch die Integration eines Modells zur Erkennung von Anomalien in eine Live-IAM-Plattform war das System in der Lage, ungewöhnliches Anmeldeverhalten und unangemessene Zugriffsberechtigungen zu erkennen. Dieser Ansatz ermöglicht es Unternehmen, kompromittierte Konten oder Missbrauch durch Insider schneller zu erkennen und Authentifizierungsrichtlinien dynamisch anzupassen, wenn Risiken erkannt werden. Die Studie ergab eindeutige Effizienzgewinne, betonte aber auch, dass weiterhin menschliche Aufsicht erforderlich ist, um erkannte Anomalien zu interpretieren und unnötige Unterbrechungen zu vermeiden. KI ermöglicht daher eine Stärkung der alltäglichen Zugangskontrolle und kann IAM in eine adaptivere und proaktivere Verteidigungslinie verwandeln.
-
Prüfung kritischer Infrastrukturen - "KI-gestütztes IAM-Audit zur Erkennung von Anomalien in kritischen Infrastrukturen" (Rodriguez et al. 2025)
In diesem Beitrag wird ein KI-gestütztes IAM-Audit-Framework vorgeschlagen, das Feature-Engineering, unüberwachte Anomalieerkennung und überwachte Klassifizierung zur Analyse von IAM-Protokollen kombiniert. Auf einem synthetischen Datensatz, der kritischen Infrastrukturen nachempfunden wurde, erreichte das System eine Erkennungsrate von 92% mit einer Falsch-Positiv-Rate von unter 3%. Die Ergebnisse zeigen, wie KI die Prüfung von IAM-Protokollen verbessert und eine proaktive Erkennung von Insider-Bedrohungen und subtilen Zugriffsanomalien ermöglicht, die bei herkömmlichen Methoden oft übersehen werden.
Log-Analyse
Bei der Protokollanalyse werden System- und Sicherheitsprotokolle untersucht, um Vorfälle zu erkennen, zu untersuchen und zu verstehen.
Wie KI die Protokollanalyse verändert:
KI kann riesige Mengen von Protokollen in Echtzeit verarbeiten, ungewöhnliche Abfolgen von Ereignissen hervorheben und prägnante Zusammenfassungen erstellen. Dies verbessert die Erkennung und ermöglicht eine schnellere Schulung und Simulation von Vorfällen.
Hervorgehobener Fall: KI-Agenten für Log-Parsing und Erkennung von Bedrohungsmustern
Im Jahr 2025, Karaarslan und andere untersuchte, wie KI-Agenten die Analyse der von Cowrie-Honeypots erzeugten umfangreichen Protokolle unterstützen können. Honeypots imitieren absichtlich verwundbare Systeme, um Angreifer anzulocken, aber das Ergebnis ist eine überwältigende Menge an Rohdaten, die für menschliche Analysten schwer zu interpretieren ist.
Die Forscher zeigten, dass KI-Agenten diese Protokolle automatisch analysieren und zusammenfassen, wiederkehrende Angriffsmuster extrahieren und prägnante Berichte erstellen können. Diese Automatisierung verringert den manuellen Aufwand, verbessert das Situationsbewusstsein und ermöglicht es den Verteidigern, Trends zu erkennen und Sicherheitsmaßnahmen schneller anzupassen. Die Studie veranschaulicht, wie KI unüberschaubare Datensätze in verwertbare Informationen umwandeln kann, unterstreicht aber auch die Notwendigkeit, die Ergebnisse sorgfältig zu validieren, damit sich entwickelnde oder trügerische Angriffstaktiken nicht falsch verstanden werden.
-
Selbstüberwachte Protokollanalyse - "KI-gesteuerte Protokollanalyse mit Transformator-Konstrukten" (Pan 2023)
In dieser Studie wird untersucht, wie KI die Protokollanalyse zur Erkennung und Untersuchung von Vorfällen unterstützen kann. Unter Verwendung eines Transformer-Modells, das auf normalen Log-Einträgen trainiert wurde, wendet der Ansatz Log-Augmentation für selbstüberwachtes Feature-Learning an und stimmt das Modell dann mit Reinforcement Learning auf einen kleinen markierten Datensatz ab. Die Ergebnisse zeigen, dass diese Methode die Herausforderungen heterogener Protokollquellen und knapper gekennzeichneter Daten überwinden kann, was vielversprechend für den praktischen und realen Einsatz bei Cybersicherheitsoperationen ist. -
Auf tiefem Lernen basierende Protokollanalyse zur Erkennung von Eindringlingen - "Klassifizierung von Cyberattack-Ereignisprotokollen durch Deep Learning mit semantischer Merkmalsanalyse" (Alzu'bi et al. 2025)
Diese Studie schlägt ein auf Deep Learning basierendes Framework vor, das semantische Vektorisierung und BERT-Einbettungen zur Analyse von Ereignisprotokollen für die Erkennung von Eindringlingen verwendet. Durch die Kategorisierung von Protokollen nach Ereignis- und Angriffstypen mit erklärbarer KI verbessert der Ansatz die Erkennungsgenauigkeit und erreicht über 99% Recall und Precision und übertrifft bestehende Modelle.
Malware-Analyse
Bei der Malware-Analyse wird bösartige Software untersucht, um ihr Verhalten, ihren Ursprung und ihre potenziellen Auswirkungen zu verstehen.
Wie KI die Malware-Analyse verändert:
KI beschleunigt die Klassifizierung, indem sie Code-Ähnlichkeiten zwischen Malware-Familien identifiziert und Erklärungen zur Sandbox-Ausführung generiert. Sie hilft Analysten, die Funktionsweise von Malware schnell zu verstehen, was eine schnellere Reaktion und effektivere Abhilfemaßnahmen ermöglicht.
Fall hervorgehoben: KI-unterstützte Malware-Disassemblierung
Im Jahr 2025, Apvrille und Nakov hat R2AI, ein KI-Plugin für den Radare2-Disassembler, an aktuellen Linux- und IoT-Malware-Samples getestet. Das System integriert LLMs in den Reverse-Engineering-Prozess und hilft den Analysten, Funktionen zu dekompilieren, Variablen umzubenennen und verdächtige Verhaltensweisen zu erkennen. Ihre Studie zeigte, dass die KI-Unterstützung die Analysezeit von mehreren Tagen auf etwa die Hälfte verkürzen kann, wobei die Qualität gleich oder besser ist als bei einer rein menschlichen Analyse. Im Fall der Linux/Devura-Malware beispielsweise schloss die KI korrekt auf Argumentformate, die von menschlichen Analysten übersehen worden waren. Allerdings gab es auch hier Einschränkungen: Die Modelle produzierten gelegentlich Halluzinationen, Übertreibungen oder Auslassungen und erforderten eine ständige Validierung durch erfahrene Experten. Die Ergebnisse deuten darauf hin, dass die KI-gestützte Disassemblierung am effektivsten als Multiplikator wirkt, indem sie die Triage beschleunigt und Details schneller aufdeckt, während sie weiterhin auf die menschliche Aufsicht angewiesen ist, um Genauigkeit zu gewährleisten und Fehlinterpretationen zu vermeiden.
-
Semantische Segmentierung für die Klassifizierung - "Deep Learning mit semantischer Segmentierung für die Klassifizierung von Malware" (Chen et al. 2025)
Die Studie zeigt, dass die Anwendung von KI auf ausgewählte Teile von Malware-Dateien und nicht auf ganze Dateisequenzen die Leistung erheblich verbessern kann. Durch die Konzentration auf die Header-Daten von Portable Executable-Dateien erreichte ihr Modell eine Genauigkeit von 99,54% bei der Klassifizierung von Malware-Familien. Dies deutet darauf hin, dass eine schnellere und zuverlässigere Erkennung von Bedrohungen möglich ist, wenn man sich auf die informativsten Codeabschnitte konzentriert. -
Few-shot learning für neuartige Malware - "A few-shot malware classification approach for unknown family recognition using malware feature visualization" (Conti et al. 2022)
In der Studie wird vorgeschlagen, mit Hilfe von "few-shot learning" Malware-Familien mit nur einer Handvoll von Beispielen zu klassifizieren, so dass die Modelle nicht jedes Mal neu trainiert werden müssen, wenn neue Malware auftaucht. Durch die Visualisierung von Malware-Binärdateien als 3-Kanal-Bilder und das Testen von zwei Architekturen (CSNN und Shallow-FS) zeigt die Studie eine hohe Genauigkeit sowohl bei der Klassifizierung traditioneller als auch neuartiger Malware. Dies zeigt das Potenzial von "few-shot"-Ansätzen zur Verbesserung der Anpassungsfähigkeit und Geschwindigkeit bei der Erkennung neuer Bedrohungen.
Ausbildung und Laboratorien
Schulungen und Labore bieten kontrollierte Umgebungen für praktische Übungen und Simulationen zur Cybersicherheit.
Wie KI Ausbildung und Labore verändert:
KI kann dynamische, auf den Lernfortschritt zugeschnittene Laborszenarien erstellen, adaptive Herausforderungen mit unterschiedlichem Schwierigkeitsgrad schaffen und Feedback und Bewertung automatisieren. Dies unterstützt eine realistischere und skalierbare Ausbildung.
Fall hervorgehoben: KI-gestützte Cyber-Range für adaptives Training
Im Jahr 2025, Sisodiya und anderehat einen KI-gestützten Cyberbereich eingeführt, der die Realitätsnähe und Effektivität von Cybersecurity-Schulungen verbessern soll. Im Gegensatz zu herkömmlichen statischen Laboren nutzt die Plattform KI, um den Schwierigkeitsgrad der Szenarien an den Fortschritt der Lernenden anzupassen, realistische Angriffsereignisse einzubauen und automatisches Feedback zu geben.
Die Studie ergab, dass Studenten, die in dieser Umgebung trainiert wurden, eine höhere Erkennungsgenauigkeit und kürzere Entschärfungszeiten im Vergleich zu herkömmlichen Ansätzen erzielten. Für Pädagogen bietet das System die Möglichkeit, Übungen zu skalieren, Herausforderungen zu personalisieren und Lehren aus realen Vorfällen in die Simulationen einzubeziehen.
Technisch gesehen hat die Forschung auch gezeigt, dass hybride Architekturen, die die Skalierbarkeit der Cloud mit der Realitätstreue physischer Systeme kombinieren, realistischere und anpassungsfähigere Szenarien liefern. Die Ergebnisse zeigen, wie KI die Ausbildung von festen Übungen in dynamische Lernumgebungen verwandeln kann, die Studenten und Fachleute besser auf reale Cyberbedrohungen vorbereiten.
-
Schulungsmethoden für Cybersicherheit - "Eine systematische Überprüfung aktueller Schulungsmethoden für Cybersicherheit" (Prümmer et al. 2024)
Das Papier zeigt, dass eine breite Palette von Schulungsansätzen im Bereich der Cybersicherheit, einschließlich spielbasierter Methoden, das Verhalten der Endnutzer und die Sicherheitsergebnisse von Unternehmen verbessern. Die Ergebnisse unterstreichen die Wirksamkeit strukturierter Schulungsprogramme, zeigen aber auch Herausforderungen wie kleine Stichprobengrößen und nicht-experimentelle Designs auf. Dies unterstreicht den Wert der Integration von KI in Schulungen und Labore, um Interventionen zu skalieren, Inhalte zu personalisieren und adaptive Übungen zu entwickeln, die die Grenzen traditioneller Methoden überwinden.
Fragen zur Diskussion
- Welche Phase des Lebenszyklus von Cybervorfällen (Prävention, Vorbereitung, Reaktion, Wiederherstellung) wird sich in Zukunft am ehesten durch KI verändern, und in welcher Phase macht KI derzeit den größten Unterschied? Wo scheint KI am wenigsten effektiv zu sein?
- Verschiebt die KI das Machtgleichgewicht im Cyberspace zugunsten der Verteidiger, oder hilft sie vor allem den Angreifern, die Oberhand zu behalten?
- Werden Open Source und weithin verfügbare KI-Tools das Spielfeld für kleine Verteidiger ebnen, oder werden fortschrittliche proprietäre Systeme großen Organisationen weiterhin einen überwältigenden Vorteil verschaffen?
- Wie verändert die Fähigkeit der KI, Erkennung, Sichtung und Reaktion zu automatisieren, die Geschwindigkeit und Art der Verteidigungsoperationen? Könnten dadurch "traditionelle SOC-Modelle" obsolet werden?
- Könnten Verteidiger zu sehr von der KI abhängig werden, was zu blinden Flecken führt, wenn Modelle versagen, vergiftet werden oder durch gegnerische Eingaben getäuscht werden?
- Wer trägt die Verantwortung, wenn KI-Systeme kritische Bedrohungen übersehen oder fehlerhafte Empfehlungen abgeben: die Entwickler, die einführenden Organisationen oder die menschlichen Analysten, die sich auf sie verlassen?
- Wie sollten politische Entscheidungsträger den verantwortungsvollen Einsatz von KI im Verteidigungsbereich fördern, ohne Innovationen zu ersticken oder den Zugang für Ausbilder und kleinere Organisationen zu beschränken?
- Wenn sowohl Angreifer als auch Verteidiger KI einsetzen, wird sich der Cyberkonflikt dann zu einem Wettbewerb "autonome Verteidigung gegen autonome Offensive" entwickeln?
