Cyberangriffe entwickeln sich rasant weiter – mit wachsender Komplexität und Geschwindigkeit. Viele Angreifer setzen bereits auf künstliche Intelligenz, um Schwachstellen schneller zu finden, sich besser zu tarnen und automatisiert zuzuschlagen. Die Folge ist eine enorme Zahl an Warnmeldungen, Anomalien und verdächtigen Aktivitäten, die täglich in einem SOC auflaufen. Für einen internationalen Konzern haben wir als Projektleitung das Programm „SIEMNext“ verantwortet: die Ablösung des bestehenden SIEM auf Splunk-Basis durch Palo Alto Networks Cortex XSIAM – ein weltweiter Rollout über rund ein Jahr, konform zu ISO 27001 und PCI DSS. In diesem Beitrag zeigen wir, warum KI-gestützte Cyberabwehr heute keine Option mehr ist, sondern eine Pflicht.
Sicherheit entsteht, wo Mensch und Maschine zusammenarbeiten. | Bildquelle: von isma01 | Bild Nr.: 1709192337
Rund um die Uhr schrillen die Alarmglocken
Ein SOC ist das Nervenzentrum der Cyberabwehr eines Konzerns. Hier laufen die Protokolldaten aus tausenden Systemen zusammen, hier werden Auffälligkeiten bewertet, hier wird im Ernstfall reagiert. Das Problem: Nicht jedes Mal droht wirklich Gefahr – aber die echten Gefahren können sich im Grundrauschen aus Fehlalarmen und harmlosen Anomalien gut verstecken.
Die Zahlen aus dem Projekt machen die Dimension greifbar:
- Mehrere Zehntausend Alarme wurden im SOC innerhalb eines Jahres registriert.
- 0,5% „echte“ Vorfälle erforderten erhöhte Aufmerksamkeit – und wurden ohne Auswirkungen auf den operativen Betrieb abgewickelt.
- 15 Minuten vergingen im Durchschnitt von Alarm zu erster Reaktion.
Diese Werte sind nur mit Unterstützung durch maschinelles Lernen erreichbar. Ein Analystenteam, das jeden der Alarme manuell bewerten müsste, wäre dauerhaft überlastet – und würde die relevanten Fälle irgendwann übersehen.
Wenn Maschinen filtern, können Menschen entscheiden
Genau hier setzt „SIEMNext“ an. Mit Hilfe künstlicher Intelligenz lernen die Systeme, zwischen harmlosen Auffälligkeiten und echten Bedrohungen zu unterscheiden – in Echtzeit. Die KI übernimmt die erste Bewertung, filtert das Grundrauschen heraus und erkennt Muster, die menschlichen Analystinnen und Analysten sonst entgehen könnten. Vor allem aber gewinnt sie Zeit – im Ernstfall der entscheidende Faktor.
Früher konnte es Wochen dauern, einen Angreifer im Netz zu lokalisieren. KI-gestützt operieren Angreifer heute jedoch so schnell, dass sie innerhalb weniger Stunden am Ziel sein und ganze Unternehmen lahmlegen können. Wer sich nur auf klassische Regeln und manuelle Reaktionen verlässt, kommt zu spät. Mit kontinuierlich lernenden Algorithmen erkennt das SOC dagegen auch völlig neue Angriffsmuster, bevor sie Schaden anrichten – und zieht mit den Angreifern gleich.
Wichtig ist dabei die Haltung hinter dem Projekt: Künstliche Intelligenz ersetzt die Menschen im SOC nicht – sie verstärkt sie. Die Maschine filtert, priorisiert und schlägt vor; die Entscheidung über Eskalation, Eindämmung und Kommunikation bleibt bei erfahrenen Analystinnen und Analysten, die sich dank der Vorarbeit auf das Wesentliche konzentrieren können.
Unsere Rolle: Programm-Management zwischen Technik, Betrieb und Compliance
Als Projektleitung haben wir das Vorhaben über die gesamte Laufzeit gesteuert – von der Zielarchitektur über die Parallelphase beider Plattformen bis zur Übergabe in den Regelbetrieb. Ein SOC-Wechsel ist kein reines Technologieprojekt. Meldewege, Eskalationsstufen, Bereitschaften und die Schnittstellen zu Datenschutz und Mitbestimmung müssen mitgedacht werden; die weltweiten Standorte müssen eingebunden, nicht überfahren werden.
Weltweiter Rollout in Wellen
Der Rollout erfolgte in Wellen nach Regionen und Systemklassen. Jede Welle folgte demselben Muster: Anbindung der Datenquellen, Validierung der Datenqualität, Aktivierung der Erkennungslogik, Übergabe an den Betrieb. In der Parallelphase durfte kein Protokoll verloren gehen und keine Erkennungsregel ohne Äquivalent auf der neuen Plattform abgeschaltet werden. Ein Use-Case-Register, das jede Regel mit den zugehörigen Anforderungen verknüpft, machte diesen Übergang jederzeit nachvollziehbar.
ISO 27001 und PCI DSS als Leitplanken
Für den Konzern war entscheidend, dass die neue Plattform die laufende ISO-27001-Zertifizierung nicht gefährdet und die PCI-DSS-Konformität für die Zahlungsverkehrssysteme jederzeit gegeben bleibt. Wir haben die Auditoren frühzeitig eingebunden, Übergangsnachweise dokumentiert und die Anforderungen an Protokollierung, Aufbewahrung, Integritätsschutz und Zugriffskontrolle direkt in das Plattformdesign übernommen. Das Ergebnis: keine Abweichungen in den Überwachungsaudits während der gesamten Migration.
Sicherheit, die sich rechnet
Auch wirtschaftlich lohnt sich der Schritt. Die Überwachung einer wachsenden IT-Landschaft verursacht bei einem Konzern dieser Größe jährlich Kosten in siebenstelliger Höhe. Mit dem strategischen Wechsel der technologischen Grundlage verbessert sich nicht nur die Sicherheit – durch Konsolidierung, Automatisierung und ein transparenteres Lizenzmodell wird das SOC zugleich skalierbar, zukunftsfähig und kosteneffizient.
Mit „SIEMNext“ wird das SOC nicht mehr von Alarmen geflutet, sondern bleibt bei echten Bedrohungen handlungsfähig. Es gewinnt Zeit, wenn jede Sekunde zählt – bei kompromittierten Konten, gezielten Angriffen oder Ransomware. Und es schafft die Grundlage, Cybersicherheit auch in den kommenden Jahren zu beherrschen.
Was das für den Mittelstand bedeutet
Nicht jedes Unternehmen betreibt ein globales SOC. Die Erkenntnisse aus diesem Programm lassen sich jedoch auf jede Größenordnung übertragen:
- Erkennung muss zur Compliance passen – nicht umgekehrt. Wer Monitoring-Regeln an ISO 27001, NIS-2 oder PCI DSS ausrichtet, hat die Nachweise für das Audit als Nebenprodukt.
- Automatisierung entlastet nur bei sauberer Datenqualität. Ein KI-System, das mit lückenhaften Protokollen gefüttert wird, produziert lückenhafte Ergebnisse.
- Ein Plattformwechsel gelingt, wenn Technik, Prozesse und Menschen gleichzeitig mitgenommen werden. Das gilt für den Konzern wie für den Mittelständler, der von einem Managed SOC zum nächsten wechselt.
Genau dieses Vorgehen bringen wir in unsere ISMS- und Security-Projekte ein – im Großen wie im Kleinen. Sie möchten Ihr Sicherheitsmonitoring auf den Prüfstand stellen oder einen Plattformwechsel professionell begleiten lassen? Unsere Coaches von itsecuritycoach unterstützen Sie mit Erfahrung aus dem Konzernumfeld. Nehmen Sie Kontakt auf und vereinbaren Sie ein unverbindliches Beratungsgespräch.
Aus Vertraulichkeitsgründen nennen wir den Auftraggeber und die beteiligten Partner in diesem Beitrag nicht namentlich.
Quellen:
https://www.paloaltonetworks.com/cortex/cortex-xsiam
