Warum moderne SOCs weder mit Signaturen noch mit KI allein auskommen

Signaturen erkennen Bekanntes, KI beschleunigt nur. Moderne Verteidigung verlangt nach Sichtbarkeit, Kontext und menschlichem Urteilsvermögen.

Viele Unternehmen setzen im Security Operations Center (SOC) weiterhin auf Signaturen (Viren, Malware) oder Listen (URLs, IP-Adressen) und hoffen, dass Künstliche Intelligenz den Rest erledigt. Doch in Zeiten hochdynamischer Angriffstechniken greifen signatur- und listenbasierte Verfahren zu kurz. Ein moderner Schutz verlangt den Wandel von statischen Indikatoren hin zu einer kontextuellen Verhaltensanalyse.

Jahrzehntelang bildeten signatur- und listenbasierte Erkennungsmechanismen das Rückgrat der IT-Sicherheit. Ob Antiviren- bzw. Malware-Signaturen, Sperrlisten für bösartige IP-Adressen oder URLs: Das Prinzip basierte stets darauf, bekannte Bedrohungen anhand eindeutiger Merkmale zu identifizieren. In einer sich dynamisch verändernden, von KI beschleunigten Bedrohungslandschaft taugen solche reaktiven Ansätze allenfalls noch als grober Vorfilter; als zentrale Verteidigung sind sie weitgehend wirkungslos.

Der Hauptgrund liegt in der Evolution der Angriffsmethoden. Moderne Malware agiert polymorph; Bedrohungsakteure generieren für jeden Zielhost individuelle Binärdateien, sodass statische Hash-Werte nutzlos werden. Zudem wandeln sich IP-Infrastrukturen rasant: Angreifer nutzen dynamische Cloud-Ressourcen, Botnetze oder gekapperte, grundsätzlich legitime IP-Bereiche, die auf keiner Blockliste auftauchen.

Noch gravierender ist das Phänomen der sogenannten „Living-off-the-Land“-Angriffe (LotL). Hierbei verzichten Cyberkriminelle weitgehend auf benutzerdefinierte Schadsoftware. Stattdessen missbrauchen sie systemeigene administrative Werkzeuge wie die Windows PowerShell, WMI oder reguläre Netzwerk-Scanner. Da diese Programme legal und signiert sind, schlägt kein signaturbasiertes IDS an.

Das Risiko dieser traditionellen Ansätze ist hoch: Sie erzeugen ein trügerisches Sicherheitsgefühl und hinterlassen massive blinde Flecken.

Das Missverständnis rund um das „AI SOC“

Vor diesem Hintergrund versprechen viele Softwarehersteller Rettung durch den Einsatz von Künstlicher Intelligenz. Das „AI-basierte SOC“ soll menschliche Analysten weitgehend ersetzen und Bedrohungen vollautomatisch erkennen – und stoppen. Ein hehres Ziel, aber unerreichbar, wenn das Fundament fehlt.

„’Wie viele Analysten braucht das SOC-Team noch angesichts des Einzugs von künstlicher Intelligenz?’ – Die Frage suggeriert die Antwort: Das AI-basierte SOC erfordert weniger Menschen. Leider sind die Unternehmen, die diese Frage stellen, meist genau diejenigen, die ihre Telemetrielücken, ihre ungesicherten Endgeräte oder ihre unzureichende MFA-Abdeckung noch nicht angegangen sind“, erklärt Cristina Anghel, Senior Security Analyst Team Lead bei Bitdefender.

Die Vorstellung, KI könne Lücken schließen, die in der Datenerfassung überhaupt nicht sichtbar sind, ist operational gefährlich. Ohne umfassende Telemetrie und geschäftlichen Kontext verarbeitet die KI lediglich unvollständige Daten schneller. Wo KI unbestreitbare Stärken ausspielt, ist die Bewältigung von Aufgaben mit geringer Unsicherheit und klar abgegrenzten Auswirkungen: Die Automatisierung von Datenanreicherung, die Korrelation von Alarmen aus Dutzenden Quellen sowie die Reduzierung von Fehlalarmen. „Ehrlich beschrieben, ist die Stärke von KI dies: Sie übernimmt die Aufgaben, bei denen die Antwort bereits bekannt ist“, fasst Anghel zusammen.

Ransomware-Angriffe frühzeitig stoppen!

Ein zentraler Denkfehler klassischer, rein statischer Erkennungsansätze zeigt sich bei Ransomware. Viele Organisationen konzentrieren sich nach wie vor darauf, die schädliche Binärdatei im Moment ihrer Ausführung zu blockieren. Zu diesem Zeitpunkt ist der Einbruch jedoch längst vollzogen und der Schaden kaum mehr abwendbar.

Informatiker von Lockheed-Martin beschrieben bereits 2011 das Intrusion-Kill-Chain-Framework für Computernetzwerke. Das militärisch geprägte Konzept der Kill Chain beschreibt die Struktur eines Angriffs. Die komplette Kette besteht aus mehreren Phasen und beginnt mit der Identifikation eines Ziels. Anschließend folgen die Angriffsvorbereitungen, der Angriff selbst und schließlich die Zerstörung des Ziels. Die Aufgabe der Verteidigung besteht darin, eine solche Kill Chain möglichst frühzeitig zu unterbrechen. Das Verständnis der einzelnen Phasen eines Cyberangriffs hilft dabei, selbst komplexe Szenarien wie Advanced Persistent Threats (APTs) oder polymorphe Angriffe zu erkennen und zu bekämpfen.

Lockheed Martin unterteilt die Cyber-Kill-Chain in sieben Stufen:

• Im Zuge der Erkundung (Reconnaissance-Ebene) wählt ein Angreifer das Ziel aus, erforscht es und versucht, Schwachstellen zu identifizieren.
• Bei der Bewaffnung (Weaponization) entwickelt der Eindringling Werkzeuge, die auf die zuvor identifizierten Schwachstellen zugeschnitten sind.
• Im Zuge der Auslieferung (Delivery) infiltriert der Angreifer sein Ziel mit der erstellten Waffe.
• Nach erfolgreicher Infiltration wird im Zuge der Exploitation die Waffe aktiviert.
• Ein erfolgreicher Auslöser initiiert die Installation eines Zugangspunkts, über den der Angreifer unerkannt ins Zielnetzwerk gelangt.
• Sobald der Angreifer in ein Netzwerk eingedrungen ist, kann er zusätzliche Maßnahmen für den dauerhaften Zugriff auf das Zielnetzwerk etablieren (Command and Control).
• Jetzt kann der Angreifer weitere Maßnahmen zur Zerstörung seines Opfers initiieren. (Actions on Objective).

Der Einsatz einer Verschlüsselungssoftware markiert in der Regel den Schlusspunkt einer Angriffskette. Wer jetzt erst mit der Verteidigung beginnt, riskiert den Totalschaden.

Wie eine frühzeitige verhaltensbasierte Erkennung in der Praxis funktioniert, illustriert ein konkreter Fall aus dem Bitdefender-SOC im Zuge eines Angriffs mit der Akira-Ransomware. Die Angreifer erlangten unberechtigten Zugang mithilfe kompromittierter Zugangsdaten. Anschließend nutzen sie einen Advanced IP Scanner aus einem ungewöhnlichen, temporären Benutzerverzeichnis und verschafften sich Remote-Zugriff auf sensible Systembereiche mithilfe von gespeicherten Anmeldedaten aus dem Arbeitsspeicher.

Ein reines Signatur- oder IP-Filter-Tool hätte den Angriff kaum erfasst, da sowohl der VPN-Zugang als auch der Advanced IP Scanner als legitime Werkzeuge gelten. Erfahrene SOC-Analysten erkannten jedoch das ungewöhnliche Zugriffsmuster. Durch die sofortige Isolation des Hosts und das Zurücksetzen privilegierter Konten wurde die Kette bereits in der Delivery-Phase unterbrochen. Die Ransomware gelangte nie zur Ausführung.

Signaturen sind Zeitmaschinen in die Vergangenheit

Ein weiteres fundamentales Problem klassischer Abwehr ist die Verzögerung zwischen der Veröffentlichung einer Sicherheitslücke (CVE) und dem Bereitstellen funktionsfähiger Erkennungssignaturen. In diesem Zeitfenster sind listenbasierte Systeme blind.

Ein Beispiel verdeutlicht diese Dynamik: Nach der Offenlegung zweier Sicherheitslücken für lokale SharePoint-Server im Juli 2025 registrierte das Bitdefender-Team verdächtige PowerShell-Aktivitäten, die versuchten, bösartigen Code in Webverzeichnisse einzuschleusen. Obwohl die Schwachstellen bekannt waren, existierten noch keine spezifischen Signaturen für die aktive Ausnutzung im Feld.

Die Erkennung gelang ausschließlich anhand verhaltensbasierter Indikatoren (Indicators of Attack, IoAs). Ein System, das auf abnormales Prozessverhalten reagiert (etwa eine PowerShell, die unüblich auf Webserver-Verzeichnisse zugreift), bleibt auch während solcher Zero-Day- oder Early-Exploitation-Phasen handlungsfähig.

Der moderne Verteidigungsansatz: Verhalten, Kontext und Mensch

Die Schwächen von Listen, IP-Sperren und rein dateibasierten Scannern verdeutlichen, wie ein moderner Cyber-Verteidigungsansatz strukturiert sein muss. Er basiert auf drei Säulen:

• Umfassende Telemetrie statt punktueller Scans: Eine lückenlose Abdeckung aller Endpunkte, Identitäten (MFA) und Netzwerkstrukturen ist die Voraussetzung. Nur was sichtbar ist, kann bewertet werden.
• Verhaltensanalyse statt statischer Indikatoren: Statt nur nach bekannten Mustern zu filtern, müssen Abwehrsysteme verhaltensbasierte Angriffsmuster bewerten.
• Menschlicher Kontext bei hoher Unsicherheit: Wenn legale Werkzeuge administrative Befehle ausführen, kann eine KI oft nicht entscheiden, ob es sich um eine Routinewartung oder um einen Angriff handelt. Hier entscheidet das Wissen des Analysten über die spezifische IT-Landschaft.

Eine tragfähige SOC-Architektur zieht eine klare Grenze: KI übernimmt die präzise schnelle Vorklassifizierung und Rauschunterdrückung. Die finale Bewertung komplexer Verhaltensweisen sowie die kritischen Entscheidungsprozesse verbleiben beim Experten.