KI-gestützte Verhaltensforensik

Wir können sagen, welchem bekannten Vorgehen das beobachtete Verhalten ähnelt. Das ist eine Einordnung, keine Zuschreibung. Für eine belastbare Aussage über die Urheberschaft reicht ein Verhaltensmuster nicht — es lässt sich nachahmen, und Ähnlichkeit ist kein Beweis. Wir schreiben in den Bericht, wie sicher eine Einordnung ist.

Nein. Eine dauerhafte Verhaltensüberwachung von Beschäftigten richten wir nicht ein. Der Innenblick greift anlassbezogen, in einem vorab vereinbarten Rahmen und in Abstimmung mit der Mitbestimmung. Wo dieser Rahmen fehlt, arbeiten wir nicht.

Genug, um Normalverhalten von Abweichung unterscheiden zu können — in der Regel mehrere Wochen an Anmelde-, Prozess- und Netzdaten. Für die Untersuchung eines konkreten Vorfalls genügen oft die Protokolle des Zeitraums selbst. Was fehlt, sagen wir zu Beginn, statt es später als Unschärfe zu vermerken.

Nein, es ergänzt sie. Die Verhaltensanalyse zeigt, worauf zu achten ist und was als Nächstes zu erwarten wäre. Den Nachweis, was tatsächlich geschehen ist, führen Malware-Analyse und Netzwerkforensik. Beides zusammen ergibt das Bild.

Sie werden zu konkreten Erkennungsregeln in Ihrer Überwachung — das ist der eigentliche Ertrag. Ein Bericht, der beschreibt, wie der Angreifer vorging, ohne dass sich daraus etwas an Ihrer Erkennung ändert, war die Arbeit nicht wert.