Sicherheits-Skills statt Prompt Engineering im SOC

Die Bitkom-Studie „Wirtschaftsschutz 2026“ enthält einen Befund, der neben den Schadenssummen kaum Beachtung gefunden hat. Nur noch 67 Prozent der befragten Unternehmen konnten einen erfolgreichen Angriff mit Sicherheit feststellen, ein Jahr zuvor waren es 87 Prozent. Der Anteil derer, die einen Vorfall vermuten, ihn aber nicht belegen können, stieg im selben Zeitraum von 10 auf 29 Prozent. Das ist kein Erkennungsproblem im klassischen Sinn. Die Sensorik liefert weiterhin Daten, allein die Zuordnung gelingt nicht mehr. Wer nicht belegen kann, was im eigenen Netz geschehen ist, kann weder den Schaden sauber begrenzen noch seinen Meldepflichten nachkommen.

Dahinter steht eine Entwicklung, die sich über Jahre vollzogen hat. Die Zahl der verwalteten Systeme ist gewachsen, die der nicht verwalteten noch stärker. Produktionsanlagen, Gebäudetechnik, medizinische Geräte und Sensorik hängen am selben Netz wie Notebooks und Server, ohne dass sich ein Agent auf ihnen installieren ließe. Parallel dazu hat sich der Werkzeugkasten im Sicherheitsbetrieb vervielfacht. Die Meldungen der einzelnen Systeme laufen jedoch an keiner zentralen Stelle zusammen. Die knappe Ressource ist damit die Aufmerksamkeit der wenigen Menschen, die diese Meldungen sichten und in Beziehung setzen, und ihre Fähigkeit, in kurzer Zeit zu einem belastbaren Urteil zu kommen.

Der regulatorische Druck verschärft indes die Lage. Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ohne Übergangsfrist, und § 32 BSIG verlangt bei erheblichen Sicherheitsvorfällen eine erste Meldung binnen 24 Stunden. Diese Frist bemisst sich nicht daran, wie lange eine Analyse dauert. Ohne eine Einordnung innerhalb weniger Stunden bleibt nur die Wahl zwischen einer Meldung auf dünner Faktenlage und dem Reißen der Frist. Beides kann das BSI nach § 65 BSIG mit einem Bußgeld ahnden.

Wie schwer die neuen Pflichten in der Praxis wiegen, zeigt der Registrierungsstand. Das BSI musste säumigen Einrichtungen zuletzt eine Nachfrist einräumen, weil ein erheblicher Teil der rund 29.500 betroffenen Unternehmen den gesetzlichen Stichtag im März verstreichen ließ. Dabei ist die Registrierung die vergleichsweise einfache Pflicht, weil sie planbar ist und keinen Zeitdruck kennt. Für die Meldung im Ernstfall gilt beides nicht.

Warum die erste KI-Welle im SOC wenig verändert hat

Die Sicherheitsbranche hat auf dieses Problem mit KI geantwortet, meist in Gestalt eines Chatfensters neben der bestehenden Konsole. Wer die passende Frage präzise genug formulieren konnte, bekam eine brauchbare Antwort. Wer das nicht konnte, bekam lediglich eine plausibel klingende. Der Aufwand verlagerte sich damit, statt zu sinken, denn zur Beherrschung der Werkzeuge kam die Fähigkeit hinzu, ein Sprachmodell richtig zu befragen. Für ohnehin unterbesetzte Teams bedeutete das eine zusätzliche Qualifikation und einen weiteren Unsicherheitsfaktor.

Skills statt Prompts

Forescout VistaroAI™ setzt an einer anderen Stelle an. Die KI-Schicht ist fest in die Vistaro™-Plattform eingebettet und arbeitet über vorprogrammierte Sicherheits-Skills. Diese werten fortlaufend Asset-Intelligenz, Veränderungen der Angriffsfläche und den Zustand der Richtlinien aus, dazu Bedrohungskontext aus der hauseigenen Forschungseinheit Vedere Labs und aus weiteren externen Quellen, dann ordnen sie die anstehende Arbeit nach Rolle und Priorität. Welche Informationen dabei angezeigt werden, legt der Anwender über Parameter selbst fest. Ein Netzwerkbetreiber sieht so andere Vorschläge als ein SOC-Analyst, eine Compliance-Verantwortliche andere als ein Biomedizintechniker. Die Tagesübersicht „My Day“ führt die relevanten Punkte zusammen, noch bevor jemand ein Dashboard öffnet.

Im Betrieb sieht das etwa so aus: Ein nicht verwaltetes Gerät in der Fertigung nimmt Verbindungen auf, die in seinem bisherigen Verhaltensmuster nicht vorkommen. Statt eines Alarms mit Zeitstempel und IP-Adresse bekommt der Analyst den Kontext, in dem die Beobachtung steht. Er erfährt, um welches Gerät es sich handelt, welche Funktion es in der Anlage erfüllt, welche Schwachstellen dokumentiert sind, ob das Verhalten zu einer bekannten Angriffstechnik nach MITRE ATT&CK passt und welche Maßnahme es unterbindet, ohne die Anlage anzuhalten. Die Handlungsempfehlung wird samt Begründung von der Software geliefert. Entscheidung und Umsetzung bleiben beim Menschen.

Diese Trennung ist bewusst gesetzt. VistaroAI arbeitet als geschlossener Kreislauf innerhalb der Kundenumgebung und verarbeitet ausschließlich die Daten, die die Komponenten der Vistaro-Plattform selbst erhoben haben. Eigene Zugriffe auf Geräte oder Systeme im Netz gibt es nicht, selbsttätige Eingriffe ebenso wenig. Für Betreiber industrieller Anlagen ist dieser Punkt entscheidend, weil eine falsch gesetzte Isolierung dort teurer werden kann als der Vorfall selbst. Natural Language Search senkt zugleich die Einstiegshürde für weniger erfahrene Anwender, weil sich eine Bestandsfrage in natürlicher Sprache stellen lässt und keine Abfragesyntax mehr voraussetzt.

Damit schließt sich der Kreis zum Ausgangsbefund. Ein Team, das Beobachtungen aus IT, OT, IoT und IoMT in einem gemeinsamen Bestandsverzeichnis zusammenführt und Verhaltensmuster auf ein anerkanntes Rahmenwerk abbildet, kann nach einem Vorfall belegen, was im Detail geschehen ist. Genau daran scheitert derzeit fast jedes dritte Unternehmen. Die automatisch erzeugten Berichte für Analysten und für die Geschäftsleitung erfüllen damit einen handfesten Zweck, weil sich die 24-Stunden-Frist ohne vorbereitete Darstellung des Vorfalls kaum halten lässt.

Für uns ist die entscheidende Kennzahl die Zeit zwischen der ersten Auffälligkeit und dem Moment, in dem ein Verantwortlicher sagen kann, was passiert ist und welche nächsten Schritte sich daraus ableiten. Wie stark VistaroAI diese Spanne verkürzt, hängt davon ab, wie viel Bestand heute unsichtbar ist und wie viele Werkzeuge nebeneinander laufen. Deshalb zeigen wir das Produkt am liebsten an einem Szenario aus der eigenen Umgebung, mit den eigenen Geräteklassen und einem Vorfall, den das Team selbst erlebt hat. Eine Demo anhand eines solchen Szenarios lässt sich jederzeit vereinbaren.