KI zwischen Cybercrime und Cyberdefense : Generative Modelle als Assistenzsysteme der Verteidigung

Von Frank Schwaak, Rubrik

Cyberangriffe werden zunehmend durch den Einsatz von generativer künstlicher Intelligenz (GenAI) professionalisiert. Angreifer nutzen Modelle wie WormGPT oder FraudGPT, um täuschend echte Phishing-Mails zu generieren, Malware-Varianten zu entwickeln oder Inhalte für Deepfake-basierte Kampagnen zu erzeugen. Gleichzeitig steigt die Frequenz erfolgreicher Ransomware-Angriff e rapide – Cybersecurity Ventures zufolge könnte die Zahl bis 2031 auf einen Vorfall alle zwei Sekunden ansteigen.

Darüber hinaus spitzt sich der Mangel an Fachpersonal in der IT-Sicherheit in Deutschland weiter zu. Laut Bitkom werden bis 2040 mehr als 660.000 IT-Stellen unbesetzt bleiben, sofern politische Gegenmaßnahmen nicht greifen. In diesem Spannungsfeld – zunehmende Bedrohung bei abnehmender personeller Abwehrfähigkeit – wird der Einsatz von künstlicher Intelligenz (KI) in der Defensive zu einer strategischen Notwendigkeit.

Schließlich verspricht KI erhebliche Effizienzgewinne, Einblicke und Skalierbarkeit, doch ihr Potenzial ist noch lange nicht ausgeschöpft. Die Überführung von KI-Pilotprojekten in die Produktion und Mehrwert in großem Umfang zu generieren, bleibt eine große Herausforderung für Unternehmen.

Doch wie werden KI-Systeme sinnvoll und verantwortungsvoll in Cybersecurity-Angebote integriert, um dieser sich entwickelnden Bedrohungslandschaft nicht nur zu begegnen, sondern sich proaktiv dagegen zu verteidigen?

Wo KI unterstützen kann – und wo nicht

Während klassische Machine-Learning-Verfahren bereits seit Jahren zur Anomalie-Erkennung im Einsatz sind, zielt der Einsatz generativer KI-Modelle darauf ab, die menschliche Entscheidungsfindung zu unterstützen. Dabei geht es nicht um die vollständige Automatisierung sicherheitsrelevanter Prozesse – vielmehr übernehmen KI-Systeme eine beratende Rolle, etwa bei der Analyse von Vorfällen, der Priorisierung von Maßnahmen oder der strukturierten Wiederherstellung betroffener Systeme.

In sicherheitskritischen Bereichen wie Recovery-Prozessen gilt: Fehlentscheidungen, etwa ausgelöst durch falsch-positive Erkennungen, können operative Systeme gefährden oder zu Datenverlust führen. Daher sehen viele Experten den Einsatz generativer KI in der Cyberabwehr vor allem als Assistenzsystem  – mit klaren Leitplanken und menschlicher Kontrolle.

Generative KI als interaktiver Sicherheitsassistent

Ein konkreter Anwendungsfall für GenAI ist die assistierte Reaktion auf Sicherheitsvorfälle mit KI-basierten Chat-Begleitern. Diese intelligenten Begleiter greifen in Echtzeit auf riesige Bestände an technischer Dokumentation, forensischen Daten und komplexen Systemabläufen zu. Dadurch können sie sofort kritische Fragen beantworten wie: „Wie erkenne ich den vollen Umfang dieses Ransomware-Angriffs?“, oder „Wo finde ich das letzte unversehrte Backup?“ – und leiten so Sicherheitsteams mit Präzision und Schnelligkeit an, wenn die Zeit drängt.

Dies erlaubt eine tiefere Untersuchung der Bedrohung, den Start von Aktionen wie die Suche nach verwandten Indikatoren oder betroffenen sensiblen Daten. Ruby bietet außerdem Empfehlungen für die Quarantäne und Wiederherstellung infizierter Daten sowie herunterladbare Berichte.

Sichere Datenbereitstellung für generative Modelle

Wenn Unternehmen versuchen, GenAI einzuführen, stehen sie vor mehreren Hürden, darunter die Modellgenauigkeit, die Leistung im großen Maßstab und das Kostenmanagement. Darüber hinaus sind Allzweck-LLMs oft langsam sowie kostspielig und Daten in KI-Projekten oft schlecht verwaltet. In Anbetracht dieser Herausforderungen berichtet Gartner, dass voraussichtlich mehr als die Hälfte der KI-Projekte nie in großem Maßstab umgesetzt werden.

Um dieses Dilemma zu lösen und die Einführung von KI zu beschleunigen, hat Rubrik kürzlich seine Absicht bekanntgegeben, Predibase zu übernehmen, eine Plattform für das Training, die Feinabstimmung und den Einsatz von KI-Modellen. Mit dieser Lösung können Kunden die Einführung von agentenbasierter KI beschleunigen und ihre Fähigkeit verbessern, GenAI rasch, kosteneffizient und sicher von der Pilotphase bis zur Produktion zu beschleunigen.

Unterschätzte Identitätsangriffe

Parallel zur Absicherung von Daten rückt der Schutz digitaler Identitäten zunehmend in den Fokus. Die Nutzer-Authentifizierung (Identity) ist ein zentraler Bestandteil der IT-Infrastruktur einer großen Mehrheit der Unternehmen  – und bleibt ein konstant attraktives Ziel für Angreifer. Angriffe auf Authentifizierungssysteme zählen laut der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) zu den häufigsten Einstiegsvektoren für erfolgreiche Cyberangriffe. Einmal kompromittiert, ermöglichen gestohlene Identitäten oft eine sich immer weiter ausdehnende Bewegung durch das Netzwerk, bis hin zum Zugriff auf kritische Systeme und Daten wie Anmeldeinformationen. Eine solche Störung kann sogar eine Wiederherstellung nach einem Cyberangriff verhindern.

Insbesondere nicht-menschliche Identitäten (Servicekonten, Zugriffstoken, Automatisierungsschnittstellen) stellen ein wachsendes Risiko dar, da sie oft unzureichend überwacht und schwer zu verwalten sind. Eine wirksame Verteidigung erfordert daher nicht nur Schutzmaßnahmen für Benutzerkonten, sondern ein umfassendes Risikomanagement für alle Arten von Identitäten. Zentrale Elemente dabei sind:

• Umfassende Risikoanalyse für menschliche und nicht-menschliche Identitäten mit einer einheitlichen Sicht auf alle Identitätsanbieter
• Transparenz über Rechteveränderungen und verdächtige Zugriffsmuster
• Automatisierte Wiederherstellung kompromittierter Identitätsinfrastrukturen (zum Beispiel Active Directory, Entra ID)
• Verknüpfung von Identitätsinformationen mit sensiblen Datenkontexten zur fundierten Bewertung von Bedrohungen

KI-gestützte Verteidigung mit menschlichem Entscheidungsrahmen

Der Einsatz generativer KI in der Cybersecurity bietet großes Potenzial – vorausgesetzt, er erfolgt geregelt, kontextbezogen und eingebettet in bestehende Sicherheitsprozesse. Generative Modelle können nicht entscheiden, ob ein Recovery-Prozess eingeleitet werden soll oder ob ein Datenabfluss gemeldet werden muss. Sie können aber unterstützen: bei der Informationsbeschaffung, Analyse, Priorisierung und strukturierten Aufbereitung komplexer Zusammenhänge.

Gerade in Zeiten knapper Ressourcen und wachsender Bedrohungslagen eröffnet diese Form der intelligenten Assistenz neue Handlungsspielräume – ohne dabei die Verantwortung zu verschieben.