Angriffe auf IT-Systeme sind heute nicht mehr das Werk von Einzelpersonen, die manuell Passwörter ausprobieren. Angreifer nutzen automatisierte Werkzeuge, verschleiern ihre Aktivitäten gezielt und bewegen sich oft wochenlang unentdeckt durch Netzwerke. Klassische regelbasierte Sicherheitssysteme stoßen dabei an Grenzen – zu langsam, zu unflexibel und zu abhängig von bekannten Mustern. Machine Learning verändert das.
Das Problem klassischer Angriffserkennung
Traditionelle SIEM-Systeme (Security Information and Event Management) arbeiten auf Basis von Regeln: Wenn ein Nutzer sich innerhalb von zehn Minuten dreimal falsch anmeldet, wird ein Alarm ausgelöst. Wenn eine bestimmte IP-Adresse in einer Blockliste steht, wird der Zugriff verweigert. Diese Logik ist nachvollziehbar – aber vorhersehbar.
Angreifer, die ihre Methoden kennen, umgehen solche Regeln mit vergleichsweise einfachen Mitteln: Sie testen Anmeldedaten in langsamen Intervallen, wechseln regelmäßig IP-Adressen oder kompromittieren legitime Nutzerkonten, mit denen sie sich regelkonform verhalten. Das Ergebnis: Die Angriffserkennung schlägt nicht an, weil keine der definierten Regeln verletzt wurde.
Das Tückische an modernen Angriffen ist nicht die Lautstärke, sondern die Stille. Angreifer, die bereits im Netzwerk sind, versuchen so unauffällig wie möglich zu agieren.
Was SIEM-Systeme heute leisten
Ein SIEM sammelt Logs und Ereignisdaten aus verschiedenen Quellen: Firewalls, Webserver, Authentifizierungsdienste, Endpunktsysteme, Cloud-APIs. Es zentralisiert diese Daten und ermöglicht es, Ereignisse zu korrelieren – also zu erkennen, ob mehrere kleine Signale zusammen ein größeres Problem anzeigen.
Moderne SIEM-Systeme kombinieren klassische Regellogik mit drei weiteren Ansätzen:
- Verhaltensanalyse (UEBA): User and Entity Behavior Analytics erstellt ein Profil normalen Verhaltens für jeden Nutzer und jede Ressource – und schlägt Alarm, wenn das Verhalten deutlich davon abweicht.
- Threat Intelligence: Integration externer Bedrohungsdaten – bekannte Angriffs-IPs, Malware-Signaturen, aktuelle Angriffskampagnen.
- KI-gestützte Anomalieerkennung: Statt fixer Regeln erlernen Modelle selbst, was „normal" ist – und was nicht.
Wie Machine Learning die Angriffserkennung verändert
Machine Learning bringt eine Eigenschaft mit, die regelbasierte Systeme grundsätzlich nicht haben: die Fähigkeit, unbekannte Muster zu erkennen. Ein ML-Modell muss nicht wissen, wie ein bestimmter Angriff aussieht – es erkennt, wenn sich etwas ungewöhnlich verhält.
Konkret bedeutet das für die Angriffserkennung:
- Anomalie im Nutzerverhalten: Ein Mitarbeiter, der sich normalerweise morgens aus Deutschland einloggt, meldet sich plötzlich nachts aus einer anderen Zeitzone an und greift auf ungewöhnliche Datenmengen zu. Das kann legitim sein – oder ein Anzeichen für einen Credential-Diebstahl.
- Lateral Movement erkennen: Wenn ein kompromittiertes Konto beginnt, sich schrittweise durch verschiedene interne Systeme zu bewegen, zeigt sich das als Abweichung vom normalen Zugriffsverhalten – auch wenn keine einzelne Aktion per se verdächtig ist.
- Exfiltrations-Signale: Ungewöhnlich große Datenmengen, die über ungewöhnliche Kanäle abfließen, können früh erkannt werden – lange bevor eine feste Regel anschlagen würde.
UEBA: Wenn KI Nutzerprofile analysiert
User and Entity Behavior Analytics ist einer der praktisch wirkungsvollsten Anwendungsfälle für KI im Security-Bereich. Das Prinzip: Jeder Nutzer hinterlässt ein Muster typischer Aktionen – zu welchen Zeiten er sich einloggt, welche Systeme er zugreift, wie viele Dateien er täglich öffnet. Aus diesen Mustern baut UEBA ein statistisches Modell des „normalen" Verhaltens.
Weicht ein Nutzer signifikant davon ab, erhöht sich sein Risikoscore. Das System löst keinen Alarm für jede Abweichung aus – sonst würde Alarmmüdigkeit entstehen. Stattdessen werden Abweichungen bewertet, priorisiert und erst ab einem definierten Schwellenwert eskaliert.
UEBA ist dabei besonders wertvoll für Insider-Threats: also Fälle, bei denen ein Angreifer bereits über legitime Zugangsdaten verfügt und daher aus Netzwerksicht keine Anomalie darstellt. Nur das Verhalten verrät, dass etwas nicht stimmt.
KI und die Grenzen der Angriffserkennung
KI-gestützte Systeme haben klare Stärken – aber auch Grenzen, die ehrlich benannt werden müssen:
- False Positives: ML-Modelle erzeugen Fehlalarme. Insbesondere in der Einlernphase, wenn das Modell noch kein stabiles Profil entwickelt hat, können legitime Aktionen als verdächtig eingestuft werden.
- Adversarial Evasion: Angreifer, die wissen, dass ein Verhaltenssystem im Einsatz ist, können ihre Aktivitäten so gestalten, dass sie einem normalen Profil ähneln – langsam, unauffällig, im erlaubten Rahmen.
- Datenqualität: Ein SIEM-System ist nur so gut wie die Logs, die es erhält. Fehlende Log-Quellen sind blinde Flecken.
Trotz dieser Einschränkungen gilt: KI verbessert die Erkennungsrate für eine breite Klasse von Angriffen signifikant – vor allem für solche, die kein bekanntes Muster haben.
Praktische Einführung: Was KI-gestützte Angriffserkennung heute voraussetzt
Wer KI-gestützte Angriffserkennung einführen möchte, steht oft vor einer Frage: Wo anfangen? Die Antwort liegt weniger bei der Technologieauswahl als bei der Datengrundlage. Kein ML-Modell kann sinnvolle Verhaltensprofile erstellen, wenn wesentliche Log-Quellen fehlen.
Vier Voraussetzungen haben sich in der Praxis als besonders wichtig erwiesen:
- Vollständige Log-Erfassung: Authentifizierungsevents, Netzwerkzugriffe, privilegierte Aktionen und Cloud-API-Calls müssen lückenlos ins SIEM fließen.
- Strukturierte Log-Formate: Maschinenlesbare Formate wie JSON ermöglichen effizientere Verarbeitung als frei formatierte Textlogs.
- Ausreichende Datenhistorie: ML-Modelle brauchen Trainingsdaten. Ohne mehrere Wochen oder Monate historischer Normalverhaltensdaten ist keine verlässliche Baseline möglich.
- Klare Eskalationswege: KI-Alarme, die im Nirgendwo landen, helfen nicht. Die Benachrichtigungsinfrastruktur muss stehen, bevor Anomalie-Alerts aktiviert werden.
Wer diese Grundlagen geschaffen hat, kann schrittweise mit KI-gestützter Anomalieerkennung beginnen – zunächst im Beobachtungsmodus ohne Alarme, um False-Positive-Raten zu verstehen und das Modell zu kalibrieren.
Integration in den IT-Betrieb
Für IT-Teams bedeutet KI-gestützte Angriffserkennung vor allem eines: weniger manuelle Arbeit bei der Triage. Statt Hunderte von Events manuell zu prüfen, erhalten Analysten priorisierte Meldungen mit Kontext – welche Systeme betroffen sind, welche Aktionen erfolgt sind, welche ähnlichen Muster in der Vergangenheit aufgetreten sind.
Wer Monitoring und Security zusammendenkt, verbindet Anomalie-Signale aus dem SIEM mit Uptime-Daten aus dem Infrastrukturmonitoring. Eine Häufung von Verbindungsfehlern in Verbindung mit ungewöhnlichem Auth-Traffic kann früh auf einen laufenden Angriff hinweisen – auch wenn keines der Signale allein ausreichen würde, um einen Alarm auszulösen.
Fazit
KI ist kein Allheilmittel gegen Cyberangriffe. Aber sie verändert die Spielregeln: Angriffsmuster, die bisher im Rauschen verschwanden, werden sichtbar. Verhaltensabweichungen, die keine Regeln triggern, werden erkannt. Und Security-Teams können ihre begrenzte Aufmerksamkeit dort einsetzen, wo sie wirklich gebraucht wird – bei echten Vorfällen, nicht bei False Positives.
Wer IT-Sicherheit ernstnimmt, wird in den nächsten Jahren nicht um KI-gestützte Anomalieerkennung herumkommen. Die Frage ist nicht mehr ob, sondern wie man sie sinnvoll in den bestehenden Stack integriert.
Quellen und weiterführende Informationen: MITRE ATT&CK Framework; ENISA Threat Landscape Report 2024; IBM Security, „Cost of a Data Breach Report 2024"; Gartner, „Market Guide for Security Information and Event Management", 2025.
