Wer schon einmal eine True-Crime-Doku gesehen hat, kennt den Mechanismus: Ein einzelnes Indiz reicht selten aus. Erst wenn Bewegungen, Zusammenhänge, Zeitpunkte und Motive zusammenlaufen, entsteht ein stimmiges Bild. Genau so funktioniert auch moderne Cybersicherheit – besonders dann, wenn KI zum Einsatz kommt. Denn auch bei KI entscheidet am Ende nicht das „intelligenteste Modell“, sondern die Qualität und Vollständigkeit der Daten, die es füttert.
In der Praxis kämpfen Security-Teams häufig nicht mit zu wenig Personal, sondern mit der Architektur: Daten werden vorab gefiltert, normalisiert oder auf einen Bruchteil reduziert. Dadurch gehen Kontext und Zusammenhänge verloren – und KI kann ihre Stärke, Muster zu verbinden, nur eingeschränkt ausspielen. Dieser Artikel erklärt, was „vollständige Daten“ in der KI-Sicherheit wirklich bedeutet, warum das so wichtig ist und wie Kontrolle über Daten und Ergebnisse dabei zusammenhängt.
Warum „Daten“ in der Security oft zu kurz greifen
Über viele Jahre bedeutete „Daten“ in der Sicherheit vor allem Logs und Events. Doch Logs sind häufig nur eine vereinfachte, verlustbehaftete Darstellung dessen, was in der Umgebung tatsächlich passiert. Sicherheitstools greifen dabei oft bereits vor: Sie kürzen, normalisieren oder selektieren Telemetrie, bevor sie im SIEM landet.
Das hat konkrete Folgen: Eine einzelne Prozess-Entstehung kann schon bei der Erfassung einen Teil ihres Kontextes verlieren – inklusive der zeitlichen Beziehungen zu Nachbarevents. Für eine rein regelbasierte Auswertung mag das manchmal genügen. Für KI, die Muster aus Ketten und Sequenzen ableitet, ist diese Lücke aber fatal.
KI-Sicherheit braucht Daten über Produktgrenzen hinweg
Mit dem Aufkommen moderner, KI-gestützter Angriffe steigen die Anforderungen. Angriffe werden nicht mehr nur in einem System sichtbar, sondern überspannen häufig mehrere Bereiche: Endpoint, Identität, Cloud, SaaS, Netzwerk und oft auch nicht-klassische Umgebungen wie OT oder IoT.
Damit KI nicht bei Fragmenten stehenbleibt, müssen Daten nicht nur „vorhanden“, sondern auch zusammenfügbar sein. Das heißt: Es braucht eine gemeinsame Sicht über Tools hinweg, sodass sich Ereignisse über ihre komplette Kette hinweg rekonstruieren lassen.
Ein Beispiel: Datenabfluss als mehrstufiger Ablauf
Stellen wir uns einen Benutzer vor, der intern eine Datei aus einem Dokumenten- oder Analyseprozess öffnet, sie herunterlädt, in einen persönlichen Cloud-Speicher hochlädt und anschließend extern versendet. Diese Handlungen verteilen sich typischerweise auf mehrere Systeme.
Ein klassisches SIEM sieht dann meist getrennte Hinweise: etwa eine Meldung beim Download in einem DLP-Kontext und eine weitere Auffälligkeit beim Upload in einer CASB-Ansicht. Ohne die vollständige Datenbasis bleibt unklar, welches Ziel der Nutzer verfolgte, wie sich das Verhalten in den Ablauf einordnet und welche Indizien aus früheren Mustern sprechen.
Erst wenn KI die Datei-Linie (Lineage), das Zeitraster und das Verhalten im Vergleich zur üblichen Aktivität berücksichtigen kann, ergibt sich ein Bild, das den Ablauf als zusammenhängende Angriffskette erkennbar macht. Vollständige Daten verwandeln damit „einzelne Alarme“ in „eine nachvollziehbare Sequenz“.
Aus Anomalien wird erst mit Kontext echte Erkennung
Ein weiterer Hebel in der KI-Sicherheit: Angreifer müssen zunehmend als „bereits im System“ betrachtet werden. Das verschiebt den Fokus weg von reinen Treffer-Listen hin zu subtilen Abweichungen vom Normalzustand.
Doch Abweichungen sind nicht immer eindeutig. Ein einzelnes Login in den frühen Morgenstunden kann harmlos sein. Erst mehrere Ereignisse über einen Zeitraum – kombiniert mit Gerätedaten, Zugriffsprofilen und weiteren Telemetriequellen – zeigen, ob es sich um eine legitime Ausnahme oder um die Nutzung kompromittierter Zugangsdaten handelt.
KI ist hier besonders nützlich, aber sie benötigt dafür ausreichend Datenvolumen und den richtigen Kontext. Vollständige Daten liefern diese Basis: Sie ermöglichen Korrelationen, die über einzelne Events hinausgehen, und sie reduzieren Mehrdeutigkeiten.
Was „vollständige Daten“ konkret umfasst
Damit KI-Sicherheitsanalysen nicht ins Leere laufen, sollte die Datenbasis mehr als nur Sicherheitslogs abdecken. Vollständige Daten beinhalten typischerweise mehrere Dimensionen:
- Sicherheits-Telemetrie und Rohkontext: Ereignisse in hoher Detailtiefe, ohne unnötige Vorfilterung.
- Infrastruktur- und Betriebsdaten: Informationen aus Netzwerk, OT-Sensorik und IoT-Geräten, außerdem Daten aus SaaS- und Cloud-Umgebungen.
- Identitätsinformationen: Zuordnung zu Menschen, Service-Accounts sowie technischen Identitäten wie API-Keys und Tokens.
- Endanwender- und Inhaltsdaten: Dateien, Dokumente und Inhalte, die durch Nutzer, Server und Anwendungen fließen.
- Eigene Unternehmensdaten („crown jewels“): besonders wertvolle Artefakte wie Business-Dokumente, Quellcode, geistiges Eigentum, Kundeninformationen oder Finanzmodelle.
Der Kern ist: KI braucht nicht nur „irgendwelche“ Daten, sondern Daten, die die Realität möglichst vollständig abbilden – mit Kontext und in einem Umfang, der Sequenzen und Absichten rekonstruierbar macht.
Warum „Crown Jewels“ oft fehlen – und warum das ein Fehler ist
Viele Organisationen schließen besonders sensible Daten bewusst aus Sicherheitsanalysen aus. Das geschieht häufig aus Datenschutz- und regulatorischen Gründen oder weil eine Veröffentlichung proprietärer Daten in einer Drittanbieter-Umgebung rechtlich und organisatorisch schwierig ist. Ergebnis: Genau die Informationen, die Angreifer zuerst anvisieren, werden für KI-Analysen unsichtbar.
Wenn KI keinen Zugriff auf relevante Quellcode-Repositories hat, kann sie etwa das Kopieren einer gesamten Codebasis vor der Abwanderung eines Entwicklers nicht zuverlässig erkennen. Wenn Finanzmodelle und projektbezogene Unterlagen nicht in die Analyse einfließen, bleibt unter Umständen auch ein Insider-Exfiltrationsversuch unentdeckt.
Das ist weniger eine Frage der Technologie als der Architektur: Security-Umgebungen lassen Inhalte häufig aus, weil die eingesetzte Systemlandschaft nicht das nötige Maß an Vertrauen und Kontrolle bietet. Aber damit sinkt die Chance, wirklich schädliche Prozesse frühzeitig zu erkennen – selbst wenn die Modelle im Hintergrund sehr leistungsfähig sind.
Vollständige Daten und Souveränität: zwei Seiten derselben Anforderung
Sobald KI-Analysen auf Quellcode, Finanzmodelle, Kundendaten, Sicherheits-Telemetrie, Netzwerkdaten sowie auf externe SaaS- und Cloud-Informationen zugreifen sollen, stellt sich sofort die nächste Frage: Wer kontrolliert, was mit diesen Daten passiert?
Vollständigkeit und Kontrolle hängen eng zusammen. Denn es geht nicht nur darum, dass KI „alles sehen kann“, sondern auch darum, wo die Daten verarbeitet werden, wem die Ergebnisse gehören und welche Modelle beziehungsweise Gewichte dabei verwendet werden. Zusätzlich spielt eine Rolle, welche Behörden Zugriff erzwingen können – je nach Rechtsraum und Betriebsmodell.
Darum werden in vielen Organisationen Datenschutz, Datenhoheit und Modell-Souveränität zu zentralen Kriterien. Wer KI in der Sicherheit wirksam einsetzen will, muss entscheiden können, unter welchen Bedingungen Daten verarbeitet werden und wie die Organisation die Kontrolle über Ein- und Ausgaben behält.
Der Ausblick: Entscheidend ist nicht nur das Modell
Die Diskussion um KI-Sicherheit dreht sich oft um „das bessere Modell“. Doch in der Praxis entscheidet vor allem, wer seiner KI die vollständigste Datenbasis geben kann: hochauflösend, mit tiefem operationalem Kontext und ohne die Kontrolle über Daten und Ergebnisse abzugeben.
Wenn einzelne Datenquellen fehlen oder vorab stark gekürzt werden, entstehen blinde Flecken. Jeder abgeschnittene Datensatz und jedes ausgeschlossene System kann dazu führen, dass Angriffsketten nicht rekonstruiert werden. Umgekehrt steigt die Qualität der Erkennung, sobald KI die Ereignisse in ihrer Gesamtheit versteht – inklusive Identität, Infrastruktur und relevanter Inhalte.
Damit wird KI-Sicherheit weniger ein reines Tool-Thema und mehr ein Architektur- und Betriebsansatz: Datenqualität, Datenabdeckung und Governance müssen gemeinsam gelöst werden.
Fazit
KI kann nur dann echte Fortschritte in der Sicherheitsanalyse liefern, wenn die Grundlage stimmt. Vollständige Daten sind der entscheidende Faktor, weil sie Kontext liefern, Sequenzen sichtbar machen und die Zuordnung von Ereignissen zu Identitäten und Absichten ermöglichen. Gleichzeitig muss die Organisation die Kontrolle über Datenverarbeitung und Ergebnisse behalten, damit Analyse nicht an rechtlichen oder betrieblichen Grenzen scheitert.
Wer also in KI-Sicherheit investiert, sollte nicht nur auf Modell-Performance schauen, sondern vor allem auf die Frage: Welche Daten bekommt die KI – und wie vollständig, detailliert und souverän sind sie?
Quelle: https://www.securityweek.com/the-future-of-ai-driven-security-depends-on-complete-data/
