LONDON / LONDON (IT BOLTWISE) – KI-Agenten sollen im Security Operations Center (SOC) vor allem beim Alert-Handling entlasten: Sie übernehmen Untersuchungen zu jeder Meldung, sobald sie eingeht. Die entscheidende Frage bleibt aber, ob das SOC die passenden Datenquellen, den Kontext und schriftliche Ermittlungsstandards bereitstellt. Ein Reifegrad-Check muss außerdem regeln, welche Aktionen ein Agent ausführen darf und wer Fehler korrigiert. Dabei liefert ein Survey von Prophet Security konkrete Prozentwerte zu Nutzung, Teststand und typischen Prozesslücken.
Security-Teams stehen bei Künstlicher Intelligenz (KI) in der Praxis inzwischen selten mehr vor der Frage, ob sie sie überhaupt einsetzen. Laut dem „State of AI in Security Operations 2026“-Survey von Prophet Security nutzen bereits 40% der Security-Teams täglich KI, weitere 56% testen sie gerade. Nur 4% haben demnach keine Pläne zur Adoption. Aus Sicht eines SOC ist damit die nächste Hürde klar: Nicht jedes KI-Tool verbessert automatisch die Ermittlungsqualität oder verkürzt die Bearbeitungszeit. Entscheidend ist, ob der Agent genau die Probleme adressieren kann, für die er gebaut wurde – und ob das SOC ihm die Daten, den Kontext und die Governance mitgibt, damit die Ergebnisse im eigenen Betrieb belastbar sind.
Die Studie rahmt „KI SOC Readiness“ deshalb zweigeteilt: Erstens, ob das SOC überhaupt die Arten von Problemen hat, die KI-Agenten im Alert-Handling typischerweise übernehmen. Zweitens, ob es die technischen und organisatorischen Voraussetzungen liefert, damit ein Agent echte Untersuchungen durchführen kann – also Datenzugriff, lesbarer Kontext, schriftliche Standards und Regeln zur Aufsicht. Interessant ist dabei die betonte Reihenfolge: Ein SOC muss nicht bereits ein ausgereiftes Maturity-Modell in allen Stufen erreicht haben, weil Agenten mit ihren ersten Einsätzen häufig genau unten ansetzen, dort wo Alerts ankommen. Die dadurch zurückgewonnenen Analystenstunden sollen dann in die „höheren“ Ebenen fließen, etwa Detection Engineering oder Proaktives Hunting.
Technisch nennt Prophet Security vier Reife-Bausteine, die ein Agent für eine vollständige Untersuchung benötigt: Zugang und Kontext, einen Investigation-Standard mit Baseline-Kennzahlen, Regeln, was der Agent tun darf, und einen Plan für die Zeit, die das Team durch den Wegfall manueller Schleifen zurückgewinnt. Inhaltlich wird das besonders greifbar, wenn Alerts über einen MDR oder MSSP „in einer gemeinsamen Queue“ verarbeitet werden: Escalations für echte Intrusionen können sich laut Survey-Logik um Stunden verzögern, weil der Provider zunächst andere Kunden-Abfragen durchpriorisiert. Hinzu kommt, dass ein eskalierter Alert oft mit verkürzten Zusammenfassungen zurückkommt – etwa mit Fragen wie „ist dieser Login erwartbar?“ oder „handelt es sich um einen Produktionsserver?“ – aber ohne ausreichendes Wissen über konkrete Nutzer, Assets und Geschäftsprozesse. Dadurch bleibt häufig das SOC-nahe Nacharbeiten: Sobald der Provider ohne Begründungsdetails oder ohne vollständige Evidenz schließt, müssen Teams die Abwägung entweder erneut nachvollziehen oder dem Ergebnis ohne auditierbare „Workings“ vertrauen.
Auch wenn interne Analysten die Queue bearbeiten, beschreibt die Quelle typische Engpässe: Bei sicherheitsrelevanten Ereignissen, die am selben Tag beantwortet werden müssen, führt das manuelle Suchen oft über mehrere Systeme hinweg – SIEM, EDR, Identity Provider, Cloud-Konsole bis hin zu E-Mail-Tools. Gleichzeitig werden Low- und Medium-Severity-Alerts eher warten gelassen oder im Bulk geschlossen. Genau diese Lücken, inklusive der späteren Eskalation von zunächst übersehenen Meldungen, gelten als Grund, warum Agenten bei jedem Alert starten können – rund um die Uhr, unabhängig von Uhrzeit oder auslösender Quelle. Im Survey wird zudem quantifiziert: 60% der Befragten gaben an, dass ein zuvor ignorierter oder verpasster Alert später zu einer ernsthaften Folge wie einem möglichen Data Breach oder zu Ausfallzeiten führte. Wenn Detektionen zu laut sind, werden sie außerdem eher abgeschaltet, statt getunt; dann „verschwindet“ die Technik, die sie beobachtete, bevor Hunting und Detection Engineering wieder Zeit dafür haben.
Der zweite Teil der Reifeprüfung fokussiert die Fähigkeit des Agenten, wirklich zu untersuchen. Ein Agent sieht nur, was er abfragen kann: Wenn er zwar EDR-Daten, aber keinen Zugriff auf den Identity Provider hat, kann er den Ablauf am Endpoint beschreiben, aber nicht zuverlässig zuordnen, welcher Account dahintersteht. Daraus leitet Prophet Security drei konkrete Anforderungen ab: erstens API-Zugriff auf die relevanten Quellen (SIEM, EDR, Identity Provider, Cloud-Plattformen, E-Mail sowie zentrale SaaS-Anwendungen), zweitens Kontextdaten, die kritische Assets, Rollen, VIP-Listen und bekannte „benigne“ Aktivitäten abbilden – etwa geplante Scans oder Admin-Skripte –, und drittens eine gesunde Daten-Pipeline, damit verzögerte oder stille Logs nicht den Eindruck einer vollständigen Evidenz erzeugen. Praktisch schlägt die Quelle einen schnellen Selbsttest vor: Nehmen Sie fünf aktuelle Vorfälle und listen Sie sämtliche Abfragen auf, die Senior-Analysten zur Schließung verwendet haben; alles, was der Agent daraus nicht ausführen kann, ist eine Lücke vor dem Pilot.
Damit ein Pilot zudem nicht zu einem „Black-Box“-Experiment wird, braucht das SOC schriftliche Standards und klare Aufsicht. In vielen Organisationen sei der Maßstab, was als „vollständige Untersuchung“ gilt, in der Praxis vor allem bei erfahrenen Analysten im Kopf. Prophet Security empfiehlt, diesen Standard für die häufigsten Alert-Typen festzuhalten: Welche Evidenz schließt einen Phishing-Fall ab? Wann erfordert ein „impossible travel“-Signal einen Rückruf beim Manager des Nutzers? Und wann gilt ein Alert als benign, weil die erforderlichen Prüfungen bereits aus Evidenzperspektive abgeschlossen sind. Zusätzlich sollten Teams die Detektionen dokumentieren, die aus Kapazitätsgründen deaktiviert wurden, damit der Agent beim Erweitern der Abdeckung nicht im Blindflug startet. Für die Erfolgsmessung sollen Kennzahlen wie Anteil untersuchter Alerts, „Mean Time to Investigate“, Zeit bis zum ersten Blick auf den Alert und die Häufigkeit, mit der geschlossene Alerts später wieder geöffnet werden, als Baseline dienen. Die Quelle nennt dafür als Referenzpunkt: Eine gründliche Untersuchung dauere im Schnitt 75 Minuten, während Alerts häufig knapp vor einer Stunde erst geöffnet würden. Zur Governance kommt schließlich das Aktionsmodell: Laut Survey verlangen 57% der Teams eine menschliche Review jedes KI-Entscheids, bevor ein Alert geschlossen wird; 44% lassen KI Empfehlungen aussprechen, die Menschen ausführen, 30% erlauben der KI eigenständige Low-Risk-Remediation, und niemand gibt vollständige, unbeaufsichtigte Autonomie. Ein bereitstellungsfähiges Setup definiert daher Default-Approvals (welche Aktionen stets human-genehmigt sind), beschreibt, wie und von wem sich Berechtigungen je Aktionskategorie ausweiten dürfen, legt fest, wohin Findings im Case- oder Ticketing-Tool fließen, und benennt eine verantwortliche Person, die Fehler korrigiert und die Lernsignale für die nächsten Iterationen in klare Leitplanken übersetzt.
Wenn diese Grundlagen noch nicht stehen, verschiebt Prophet Security den Fokus auf Konfiguration und Dokumentation. Dazu gehören API-Zugangsdaten, das Exportieren von Asset- und Nutzerkontext sowie das schriftliche Festhalten der Investigation-Standards. Ein pragmatischer Startpunkt wird von der Quelle ebenfalls genannt: Schließen Sie zuerst die Access-Gaps aus dem Fünf-Vorfall-Test, weil jede spätere Stufe davon abhängt, dass der Agent die nötigen Daten überhaupt „sieht“. Erst danach sollte der Pilot in parallelem Betrieb starten – mit Analysten, die Overrides als Trainings- und Kontextindikatoren nutzen. Wer statt Agenten aufzubauen erwägt, eigene interne KI-Werkzeuge zu bauen, sollte laut den Survey-Angaben besonders vorsichtig sein: 72% der KI-Nutzer hätten bereits interne Tools ausprobiert, aber 46% dieser Projekte seien abgebrochen, nie produktiv gegangen oder durch kommerzielle Lösungen ersetzt worden. Der Haken liegt selten im Prototyp allein, sondern in Integrationsarbeit, Wartung bei API-Änderungen, Rate-Limits, Modell-Deprecations im Rhythmus von etwa sechs bis neun Monaten sowie in Audit-Trails, die erklären, warum jeder Alert geschlossen wurde. Am Ende entscheidet damit nicht nur die Modellqualität, sondern das Zusammenspiel aus Datenzugriff, Ermittlungslogik und operativer Governance, mit dem ein Agent zum verlässlichen Teil des SOC wird.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "AI-Agenten im SOC: So prüfen Sie Reifegrad, Datenzugriff und Standards vor dem Rollout" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "AI-Agenten im SOC: So prüfen Sie Reifegrad, Datenzugriff und Standards vor dem Rollout" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »AI-Agenten im SOC: So prüfen Sie Reifegrad, Datenzugriff und Standards vor dem Rollout« bei Google Deutschland suchen, bei Bing oder Google News!