Der KI-Fortschritt in der Security-Branche ist rasant. Viele Security-Leitende spüren den Erwartungsdruck, auf den Zug aufzuspringen – und gleichzeitig Ergebnisse zu liefern. Gleichzeitig melden sich immer mehr KI-Plattformen zu Wort, etwa solche wie Claude, Codex oder Cursor, die Sicherheitsaufgaben beschleunigen sollen.
Doch aus dem anfänglichen „Soll KI in den SOC?“ ist längst die praktischere Frage geworden: Wo genau bringt welcher KI-Typ den größten Mehrwert? Genau diese Einordnung ist der Schlüssel, um aus „AI-FOMO“ bessere Sicherheitsresultate zu machen.
Warum sich Security-Teams derzeit stark verändern
Angreifer nutzen KI bereits, um Phishing-Angriffe zu skalieren, Malware-Entwicklung zu beschleunigen und schneller zu agieren. Auf der Verteidigerseite entstehen parallele Entwicklungen: KI wird eingesetzt, um Alerts zu sichten, Ermittlungen zu unterstützen, Berichte zu erstellen und wiederkehrende Aufgaben zu automatisieren.
Die Chancen sind groß. Der Engpass liegt jedoch selten an „KI fehlt“. Häufig fehlt die klare Architektur, also die Frage, welcher KI-Ansatz in welcher Stufe des SOC wirklich sinnvoll ist.
Das SOC ist mehrschichtig: Tools, autonome Logik und KI-Plattformen
Um die Rolle von AI-Plattformen im SOC sauber zu verstehen, hilft ein Blick auf eine mehrschichtige Struktur.
Unten stehen die bestehenden Security-Werkzeuge, die fortlaufend Daten und Alerts erzeugen – zum Beispiel SIEM, EDR, Cloud- und Identitätskomponenten sowie E-Mail-Security. Diese Systeme bilden den Einstiegspunkt für die Auswertung.
In der Mitte verläuft eine autonome AI SOC-Schicht: Sie soll Alerts kontinuierlich untersuchen, Erkenntnisse über mehrere Quellen korrelieren, organisatorischen Kontext berücksichtigen und vor allem entscheiden, welche Fälle wirklich menschliche Aufmerksamkeit benötigen.
Oben sitzen AI-Plattformen wie Claude, Cursor oder Codex. Hier arbeiten Analysten, Detection Engineers und Incident Responder mit der KI: Sie unterstützen beim Schreiben von Regeln, beim Erstellen von Berichten, beim Threat-Hunting und beim Formulieren von Entscheidungen.
Wichtig ist: Diese Ebenen sind nicht austauschbar. Sie ergänzen sich.
Warum AI-Plattformen wie Claude nicht jede Alert „von selbst“ untersuchen sollten
AI-Plattformen sind sehr leistungsfähig – aber sie sind vor allem darauf ausgelegt, Menschen zu unterstützen. Typische Aufgaben sind erklärende Unterstützung, Zusammenfassungen und Entwurfshilfen. Ein Analyst kann beispielsweise eine verdächtige PowerShell-Aktivität erörtern lassen, eine Untersuchung verdichten oder eine Sigma-Regel formulieren und anpassen.
Das ist wertvoll. Problematisch wird es, wenn man versucht, eine KI-Plattform als dauerhaften Ermittler für tausende Alerts pro Tag zu verwenden. Denn diese Aufgabe erfordert Eigenschaften, die eher in ein autonomes System gehören: fortlaufende Laufzeit, Integration mit Security-Tools, Speicherung von organisatorischem Kontext und Untersuchungen ohne ständige menschliche Anfragen.
Als Bild: Eine KI-Plattform kann wie ein sehr guter Berater sein. Aber in einem Großbetrieb, der rund um die Uhr Anrufe verarbeitet, braucht es eine Lösung, die ohne jedes „Nachfragen“ zuverlässig durchläuft.
Das „Tokenomics“-Thema: Was bei hohem Alert-Volumen schnell teuer wird
Ein weiterer Grund liegt in den Kosten. Jede sinnvolle Untersuchung beginnt mit Kontext: Telemetriedaten vom Endpoint, Prozessbäume, Authentifizierungslogs, E-Mail-Historie, Threat-Intelligence, frühere Untersuchungsartefakte, bestehende Detection-Regeln und organisationsspezifisches Wissen.
Dieser Kontext verursacht Berechnungsaufwand – und damit Kosten. Für einzelne Fälle, bei denen ein Analyst nur wenige Incidents pro Tag mit KI-Unterstützung bearbeitet, ist das gut handhabbar.
Anders sieht es aus, wenn das SOC extrem viele Alerts erhält. Würde man für jede einzelne Alert eine neue Untersuchung mit einem Large Language Model anstoßen, steigt die Ausgabenlast mit dem Volumen. Viele Alerts würden dabei am Ende als unkritisch durchgehen – doch die Kosten laufen dennoch mit.
Hier kommt die autonome AI SOC-Schicht ins Spiel: Statt jede Alert als „neues Gespräch“ aufzubauen, nutzt sie deterministische Workflows, forensische Auswertung, organisatorische „Erinnerung“, zwischengespeicherten Kontext und KI-Rechtfertigungen nur dann, wenn sie wirklich Mehrwert bringt. So bleibt die Kostenrechnung planbarer, während die Untersuchung dennoch kontinuierlich bleibt.
MDR-Praxis: Warum externe Plattformen nicht immer alle Daten liefern
In vielen Organisationen betreibt nicht jedes Unternehmen sein SOC vollständig selbst. Häufig übernimmt ein MDR-Anbieter die Überwachung. In solchen Modellen besitzt der MDR typischerweise den Untersuchungspfad: Analysten, Case-Management, Historie der Ermittlungen und oft auch angereicherte Telemetrie.
Das bedeutet: Der Kunde bekommt häufig nur eskalierte Ereignisse und regelmäßige Reports, aber nicht jedes einzelne Beweisstück, das während der Untersuchung gesammelt wurde. Genau an dieser Stelle wird es schwierig, dass AI-Plattformen wie Claude unabhängig jede Alert untersuchen können – weil der notwendige Datenzugriff fehlt.
Selbst wenn ein Unternehmen eine KI-gestützte Ermittlungslogik aufbauen möchte, braucht es in der Regel Rohdaten, Telemetrie, Artefakte und historische Zusammenhänge, die sonst in der MDR-Plattform verbleiben.
Deshalb gewinnen autonome AI SOC-Architekturen an Bedeutung: Sie sitzen neben den Security-Tools des Kunden, untersuchen Alerts beim Eintreffen, behalten organisatorischen Kontext und stellen dieses Wissen sowohl Analysten als auch KI-Plattformen bereit. So entsteht ein sauberer Informationsfluss.
Warum „100% Alerts“ realistisch sein kann – ohne dass Analysten alles abarbeiten
Viele Security-Teams können nicht jede Alert vollständig untersuchen. Daher wird priorisiert – und zwar nach Schweregrad. Doch Schweregrad bedeutet nicht zwangsläufig Risiko. Eine Auswertung von mehr als 25 Millionen Security-Alerts aus dem Jahr 2025 ergab: Nahezu 1% der bestätigten Incidents stammten aus Low-Severity- oder Informations-Alerts.
Das ist die Kernbotschaft: Relevante Bedrohungen können überall in der Alert-Kette auftauchen.
Die Lösung ist nicht, dass Menschen mehr arbeiten müssen. Vielmehr braucht das SOC mehr Kapazität. Eine autonome AI SOC-Schicht kann alle Alerts untersuchen, während sie nur jene Fälle eskaliert, die wirklich menschliches Urteilsvermögen benötigen. Damit entsteht Fokus dort, wo er sicherheitspraktisch am meisten zählt.
Wo AI-Plattformen im SOC danach besonders stark werden
Wenn die autonome Schicht die Ermittlungsarbeit bereits strukturiert und abgeschlossen hat, wird die Rolle von AI-Plattformen deutlich einfacher und wirkungsvoller. Statt Zeit für das Zusammensuchen von Beweisen in verschiedenen Konsolen aufzuwenden, können Analysten die KI nutzen, um den nächsten Schritt schneller und besser zu gestalten.
Typische Einsatzfelder sind:
- Fragen zu abgeschlossenen Untersuchungen stellen und Antworten strukturiert erhalten
- Detection-Regeln entwerfen, verbessern und verfeinern
- Threat-Hunting unterstützen, auch bei neuen Mustern
- Untersuchungen für Stakeholder zusammenfassen
- Incident-Reports erstellen
- Neue Hypothesen explorieren
- Bei komplexen Fällen Entscheidungen vorbereiten und im letzten Schritt mit Menschen finalisieren
Kurz gesagt: Die autonome Schicht übernimmt das „Grind“ aus Triage und laufender Ermittlungsarbeit. Die AI-Plattform hilft Menschen dabei, aus den Ergebnissen kluge Entscheidungen und hochwertige Inhalte zu machen.
Das beste Ergebnis entsteht durch Zusammenspiel
Die wichtigste Erkenntnis ist nicht „Entweder autonomes AI SOC oder AI-Plattform“. Es geht um die Kombination. Eine Komponente untersucht kontinuierlich über das gesamte Umfeld. Die andere beschleunigt die Arbeit von Security-Profis und verbessert die Entscheidungsqualität.
So entsteht ein Betriebskonzept, in dem Maschinen wiederkehrende Ermittlungen effizient abarbeiten und Menschen sich auf Strategie, Beurteilung und kontinuierliche Verbesserung konzentrieren.
Wenn Sie also derzeit AI-FOMO spüren, ist die eigentliche Frage weniger „Welche Plattform gewinnt?“. Entscheidend ist: Welche Art von KI passt zu welcher Aufgabe – und wie stellen Sie sicher, dass die richtigen Daten rechtzeitig verfügbar sind.
Quelle: https://thehackernews.com/2026/08/fomo-in-soc-where-ai-platforms-like.html
