Instant Response
24/7 Sofortreaktion auf Cybersicherheitsvorfälle. Minimieren Sie Schäden durch unseren professionellen Instant Response…
AnsehenDefensive Services
KI-gestützte Bedrohungserkennung
Signaturen erkennen, was schon einmal jemand gesehen hat. Der Angreifer, der Ihnen wirklich gefährlich wird, bringt nichts mit, was auf einer Liste steht: Er meldet sich mit einem gültigen Passwort an und arbeitet danach mit Ihren eigenen Werkzeugen weiter.
01
Die Ausgangslage
Der gefährlichste Angreifer bringt keine Schadsoftware mit
Eine Signatur beschreibt eine Datei, die es schon gab. Gegen Massenware ist das wirksam und wird es bleiben — gegen jemanden, der sein Werkzeug für Ihr Haus anpasst, ist es wirkungslos. Und gegen jemanden, der überhaupt kein eigenes Werkzeug einsetzt, gibt es schlicht nichts zu signieren.
Für den zweiten Schritt nach dem Einbruch genügen die Bordmittel: PowerShell zum Ausführen, WMI zum Verteilen, RDP zum Weitergehen, ein Dienstkonto zum Bleiben. Living off the Land heißt dieses Vorgehen, und in MITRE ATT&CK trägt allein die Anmeldung mit erbeuteten Zugangsdaten unter Valid Accounts eine eigene Technik. Nichts davon ist Schadsoftware. Jedes einzelne dieser Werkzeuge wird in Ihrem Haus jeden Tag legitim benutzt — deshalb steht keines auf einer Sperrliste, und deshalb schlägt niemand Alarm.
Was bleibt, ist nicht das Werkzeug, sondern der Umgang damit. Ein Administrator, der nachts um drei ein Dienstkonto interaktiv anmeldet und anschließend das Rechnungsarchiv durchsucht, benutzt keine verdächtige Software. Er verhält sich nur nicht wie er selbst.
Der Ansatz
Erst der Normalzustand, dann die Abweichung
NeoI beginnt nicht mit einer Liste von Bedrohungen, sondern mit Ihrem Betrieb. Bevor irgendetwas als auffällig gilt, muss feststehen, was unauffällig ist — und das ist in jedem Haus etwas anderes.
Was als normal gilt, entscheidet Ihr Betrieb
In den ersten Wochen entsteht eine Basislinie je Konto, Gerät und Dienst: welche Anmeldungen üblich sind, zu welchen Zeiten, von wo, mit welchen Systemen ein Rechner spricht, wie viel Datenvolumen normal ist. In einer Kanzlei ist der Zugriff auf Akten am Sonntag ein Alltagsvorgang, in einer Fertigung wäre er es nicht. Eine mitgelieferte Regel kann diesen Unterschied nicht kennen.
Auffällig ist die Abweichung, nicht das Werkzeug
Gemeldet wird darum nicht „PowerShell wurde ausgeführt“, sondern der Bruch mit dem eigenen Muster: ein Dienstkonto, das erstmals interaktiv arbeitet. Eine Anmeldung außerhalb jeder bisherigen Zeit, gefolgt von Zugriffen auf Ablagen, die dieses Konto nie berührt hat. Ein Arbeitsplatzrechner, der zum ersten Mal seit Monaten mit einem Server im Rechenzentrum spricht — und dann mit vieren.
Korrelation über die Systemgrenzen hinweg
Die einzelnen Auffälligkeiten sind für sich genommen meist harmlos. Ihr Wert entsteht erst in der Verbindung: dieselbe Anmeldung, dasselbe Gerät, dasselbe Zeitfenster über Netzwerk, Endgerät und Cloud-Dienst hinweg. Was in getrennten Werkzeugen läuft — UEBA für das Verhalten der Konten, NDR für den Netzverkehr, EDR für die Endgeräte —, muss dafür in einem Vorgang zusammenkommen. Genau diese Verbindung herzustellen ist Arbeit, die kein Mensch in der nötigen Geschwindigkeit leistet, und der eigentliche Grund, warum hier ein Modell rechnet.
- 01
Verhaltensbasierte Basislinie je Konto, Gerät und Dienst statt starrer Schwellwerte
- 02
Korrelation über Netzwerk, Endgeräte und Cloud-Dienste hinweg zu einem einzigen Vorgang
- 03
Priorisierung nach Geschäftsrelevanz — der Domänencontroller wiegt schwerer als der Besprechungsraum-Rechner
- 04
Zuordnung jeder Meldung zu einer Technik in MITRE ATT&CK, damit die Bewertung nicht bei null beginnt
- 05
Lesbare Begründung je Meldung
welches Verhalten, gemessen an welcher Basislinie, seit wann
- 06
Rückkopplung — jeder bestätigte Fehlalarm schärft das Modell für Ihr Haus
Ein Alarm, den niemand liest, ist kein Schutz.
02
Der Maßstab
Weniger Meldungen, nicht mehr
Der häufigste und berechtigte Einwand gegen KI in der Sicherheit lautet, sie erzeuge zusätzliche Alarme. Wir messen uns am Gegenteil. Eine Meldung soll nur dann entstehen, wenn ein Mensch tatsächlich etwas zu entscheiden hat — alles andere ist Arbeit, die Sie bezahlen, ohne sicherer zu werden.
Praktisch heißt das: Zusammenhängende Ereignisse werden zu einem Vorfall zusammengefasst, statt einzeln aufzulaufen. Aus vierzig Einträgen über eine Nacht wird ein Vorgang mit einem Zeitstrahl. Sichtbar ist das Ergebnis in Strider, der Überwachungsschicht unserer Suite — mit der Kette, die zur Meldung geführt hat, nicht nur mit ihrem Ergebnis.
- 2–4 Wochen
- bis die Basislinie belastbar ist
- 1 Vorfall
- statt Dutzender Einzelmeldungen
- ATT&CK
- jede Meldung einer Technik zugeordnet
- nachvollziehbar
- lesbare Begründung statt Blackbox
03
Die Grenze
Der Mensch entscheidet
Die Bewertung eines Vorfalls und die Entscheidung über eine Gegenmaßnahme bleiben bei Analysten. Wir setzen ein Modell ein, um Rauschen zu entfernen — nicht, um Verantwortung zu verlagern. Wer diese Grenze verwischt, verkauft Bequemlichkeit als Sicherheit.
Wo eine automatische Erstreaktion vertretbar ist, etwa das Isolieren eines einzelnen Endgeräts um vier Uhr morgens, übernimmt Talion — nach vorher vereinbarten Regeln, in engen Grenzen und mit revisionssicherer Dokumentation jeder Aktion. Was ein Rechenzentrum stilllegen könnte, entscheidet grundsätzlich ein Mensch.
Ohne Protokolle gibt es nichts zu erkennen.
04
Die Einschätzung
Was die Erkennung nicht leistet
Sie beginnt nicht am ersten Tag. Bis die Basislinie belastbar ist, vergehen Wochen, und in dieser Zeit ist die Erkennung schwächer, nicht stärker als eine Signaturlösung. Wer eine sofortige Wirkung braucht, bekommt sie hier nicht.
Sie ersetzt außerdem keine Protokolle, die es nicht gibt. Ohne Anmeldeereignisse aus dem Verzeichnisdienst, ohne Prozessdaten von den Endgeräten, ohne Protokolle der Cloud-Anwendungen bleibt jedes Modell blind. Die erste Arbeit ist deshalb regelmäßig keine Erkennung, sondern das Schließen der Lücken in der Datenerhebung.
Und sie ersetzt die Grundlagen nicht. Fehlende Mehrfaktor-Anmeldung, ein flaches Netz ohne Segmentierung, nicht eingespielte Aktualisierungen — dagegen hilft keine Erkennung, sondern nur deren Behebung. Wenn wir das bei Ihnen sehen, sagen wir es, bevor über eine Engine gesprochen wird.
05
Zusammenspiel
Wo die Erkennung hingehört
Erkennung ist ein Baustein, kein Betrieb. Sie erzeugt Vorfälle, die jemand bewerten muss — rund um die Uhr, auch am Wochenende. Wer diese Auswertung nicht selbst leisten will oder kann, kombiniert sie mit SOC as a Service; wer ein eigenes Team hat und es entlasten möchte, mit SOC Co-Managed.
Wird aus einem Vorfall ein Ernstfall, greift Instant Response. Und wer den Reifegrad der Erkennung neben den übrigen Domänen sehen möchte, findet ihn in Sightadel wieder.
06
Zum Schluss
Fangen Sie mit dem an, was Sie schon protokollieren
In fast jedem Haus liegen die entscheidenden Daten längst vor — sie werden nur nirgends zusammengeführt. Der erste sinnvolle Schritt ist deshalb keine Beschaffung, sondern eine Bestandsaufnahme: Welche Ereignisse werden heute erhoben, wie lange werden sie aufbewahrt, und wer sieht sie?
Diese Aufnahme machen wir mit Ihnen im Vorgespräch. Sie kostet nichts und endet häufig mit einer kleineren Empfehlung als der, mit der Sie gerechnet haben.
FAQ
Häufige Fragen
Erzeugt KI nicht noch mehr Fehlalarme?
Sie kann das, und viele Produkte tun es. Der Unterschied liegt darin, woran man sich misst: Wir zählen nicht die gefundenen Auffälligkeiten, sondern die Meldungen, die tatsächlich eine Entscheidung erfordern. Zusammenhängende Ereignisse werden zu einem Vorfall gebündelt, und jeder bestätigte Fehlalarm fließt zurück in das Modell. In den ersten Wochen sind es mehr Meldungen, danach deutlich weniger.
Wie lange dauert es, bis die Erkennung greift?
Zwei bis vier Wochen, bis die Basislinie belastbar ist. Vorher gibt es Meldungen, aber die Einordnung ist schwach — was normal ist, steht schlicht noch nicht fest. Diese Zeit lässt sich nicht abkürzen, und wer sie Ihnen abkürzt, verkauft Ihnen mitgelieferte Regeln unter anderem Namen.
Ersetzt das unser SIEM?
Nein, in aller Regel setzt es darauf auf. Ein SIEM sammelt und bewahrt auf, die Erkennung bewertet. Wenn Sie bereits eines betreiben, nutzen wir dessen Daten weiter, statt eine zweite Sammelstelle aufzubauen. Wo kein SIEM vorhanden ist, klären wir zuerst, welche Ereignisse überhaupt erhoben werden.
Müssen unsere Daten dafür in eine Cloud?
Nicht zwingend. Wo Auflagen oder Ihre eigene Vorgabe es verlangen, bleibt die Auswertung im Haus. Das ist eine Frage der Auslegung, keine Eigenschaft des Verfahrens — wir klären sie vor der Beauftragung, nicht danach.
Können wir nachvollziehen, warum etwas gemeldet wurde?
Ja, und das ist Bedingung, keine Zusatzfunktion. Zu jeder Meldung gehört, welches Verhalten aufgefallen ist, gegen welche Basislinie es gemessen wurde und welche Einzelereignisse dazu geführt haben. Eine Meldung, die sich nicht begründen lässt, kann ein Analyst nicht bewerten — und ein Prüfer erst recht nicht.
Defensive Services
Weitere Leistungen in diesem Bereich
Quantenkryptographie (QaaS)
Harvest now, decrypt later trifft Daten von heute. Kryptographie-Inventar, Bewertung nach Lebensdauer, hybride Umstellu…
AnsehenFirewall & Intrusion Detection
Firewall, Segmentierung und Angriffserkennung als eine Architektur — geplant, umgesetzt, betrieben. Mit Valar auch als …
AnsehenKontakt
Reputation braucht Jahre. Zerstörung nur Sekunden.
Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.