Die Dual-KI-Architektur: Warum allgemeine Modelle Werkzeuge sind, aber SOC-Autonomie Infrastruktur ist

Die Geschwindigkeit der KI-Einführung in der Cybersicherheit hat eine erhebliche strategische Lücke zwischen denjenigen geschaffen, die KI als Chatbot betrachten, und denjenigen, die sie als Architektur verstehen. Zuvor bewerteten Sicherheitsverantwortliche Large Language Models (LLMs) basierend auf ihrer Fähigkeit, Fragen zu beantworten oder Skripte zu schreiben. Heute sieht die operative Realität so aus, dass Allzweck-KI-Plattformen wie Claude und Cursor klar von der spezialisierten Infrastruktur zu trennen sind, die für den Betrieb eines hochvolumigen Security Operations Center (SOC) erforderlich ist.

Sicherheitsteams stehen einer Bedrohungslage gegenüber, in der Angreifer KI nutzen, um die Aufklärungs- und Exploit-Phasen der Kill Chain zu automatisieren. Das traditionelle Bedrohungsmodell, das auf menschlicher Geschwindigkeit basiert, um Angriffe in Maschinengeschwindigkeit abzufangen, ist grundlegend gescheitert. Um dies zu adressieren, müssen Unternehmen über die einfache Integration von KI-Assistenten hinausgehen und eine abgestufte Intelligenzarchitektur etablieren, die hochvolumiges autonomes Triage von hochwertiger menschlicher Kognition trennt.

Die Trennung von Kognition und Volumen

Moderne Sicherheitsabläufe funktionieren über drei verschiedene Ebenen. Auf der Basisebene generieren bestehende Sicherheitstools wie EDR, SIEM und Cloud-Identity-Plattformen rohe Telemetriedaten und Warnmeldungen. Diese Ebene ist die primäre Datenquelle, verfügt jedoch nicht über die Argumentationsfähigkeit, um zwischen einem komplexen Angriff und einem falsch konfigurierten Administrationsskript zu unterscheiden.

In der Mitte befindet sich die autonome KI-SOC-Ebene. Dies ist keine Chatbot-Schnittstelle. Es ist ein System von Agenten, das kontinuierlich jede Warnmeldung untersucht, Beweise über unzusammenhängende Tools hinweg korreliert und den organisatorischen Kontext anwendet, um das Risiko zu bestimmen. Diese Ebene reduziert das Rauschen, indem sie harmlose Warnmeldungen ohne menschliches Eingreifen löst.

An der Spitze steht die kognitive Ebene, auf der Plattformen wie Claude, Codex und Cursor operieren. Dies ist der interaktive Raum, in dem erfahrene Analysten und Incident Responder mit Grenzmodellen zusammenarbeiten, um spezialisierte Probleme zu lösen. Die Nutzung dieser Modelle auf der obersten Ebene ist effektiv, da sie für logisches Denken konzipiert sind und nicht für die repetitive Aufnahme von Tausenden von Telemetrieströmen. Jede Ebene hat eine spezifische Aufgabe, und die Verwechslung der kognitiven Ebene mit der autonomen Ebene führt zu operativer Ineffizienz.

Die Tokenomics der Sicherheitsargumentation

Architektur ist oft ein Nebenprodukt der Ökonomie. Jede Interaktion mit einem Large Language Model verursacht Kosten, die typischerweise in Token gemessen werden. Eine einzelne Sicherheitsuntersuchung ist kein einfacher Text-Prompt. Sie erfordert die Aufnahme von Endpunkt-Telemetrie, Prozessbäumen, Authentifizierungsprotokollen und Threat-Intelligence-Feeds. Dieser Kontext kann pro Vorfall schnell Tausende von Token verbrauchen.

Früher gingen Unternehmen davon aus, dass eine einzige KI-Lizenz jeden Untersuchungsbedarf lösen könnte. Heute zeigt die Mathematik, dass die Verwendung eines Allzweck-LLMs zur Untersuchung jeder informativen Warnmeldung finanziell unmöglich ist. Wenn ein SOC 5.000 Warnmeldungen pro Tag erhält und jede einzelne für eine vollständige forensische Analyse an ein Grenzmodell sendet, werden die jährlichen API-Kosten das Budget der gesamten Sicherheitsabteilung übersteigen.

Autonome KI-SOC-Plattformen lösen dies durch die Verwendung von zwischengespeichertem Kontext und selektiver Argumentation. Sie behandeln nicht jede Warnmeldung als neues Gespräch mit einem teuren Modell. Stattdessen nutzen sie deterministische Workflows für die routinemäßige Datenerfassung und ziehen LLMs nur dann hinzu, wenn eine spezifische Argumentationsaufgabe erforderlich ist. Dieser architektonische Ansatz ermöglicht es, 100 % der Warnmeldungen zu untersuchen und gleichzeitig die Kosten vorhersehbar zu halten. Claude zur Untersuchung jedes harmlosen Protokolls zu verwenden, ist wie der Einsatz eines chirurgischen Lasers zum Roden eines Waldes; das Werkzeug ist präzise, aber die Anwendung ist eine architektonische Fehlplanung.

Data Gravity und der MDR-Reibungspunkt

Viele Unternehmen verlassen sich auf Managed Detection and Response (MDR)-Anbieter, um ihre Sicherheitsüberwachung zu verwalten. Dies schafft eine Asymmetrie beim Datenzugriff. Der MDR-Anbieter besitzt in der Regel den Untersuchungsworkflow und die angereicherte Telemetrie. Der Kunde sieht nur den finalen eskalierten Vorfall, was die Effektivität interner KI-Plattformen einschränkt.

Wenn ein Analyst versucht, Claude zur Untersuchung einer Warnmeldung zu verwenden, fehlen ihm oft die Rohdaten, die benötigt werden, um dem Modell ausreichend Kontext zu geben. Das LLM kann nicht über Daten urteilen, die es nicht sehen kann. Aus diesem Grund wird eine lokale autonome KI-SOC-Ebene zu einer kritischen Komponente des Unternehmens-Stacks. Sie sitzt neben den Sicherheitstools, erfasst den Untersuchungsverlauf und baut eine lokale Wissensbasis auf.

Diese Architektur ermöglicht es der Organisation, institutionelles Wissen zu behalten, anstatt es in einem Drittanbieter-MDR-Portal zu belassen. Sie stellt sicher, dass, wenn ein erfahrener Analyst ein Tool wie Claude einsetzt, die erforderlichen Beweise bereits strukturiert und bereit für die Analyse sind. Die autonome Ebene fungiert als Brücke zwischen rohen, verstreuten Protokollen und hochgradiger kognitiver Arbeit.

Das verborgene Risiko informativer Warnmeldungen

Die meisten SOCs ignorieren Warnmeldungen mit niedriger Priorität, weil ihnen die menschliche Kapazität fehlt, sie zu überprüfen. Diese Priorisierung ist in einem menschenzentrierten Modell eine Notwendigkeit, aber sie ist auch eine systemische Schwachstelle. Eine Analyse von 25 Millionen Warnmeldungen im Jahr 2025 ergab, dass etwa 1 % der bestätigten Sicherheitsvorfälle als Warnmeldungen mit niedriger Priorität oder informative Protokolle begannen.

Angreifer nutzen oft unauffällige Techniken zur lateralen Bewegung, die keine hochpriorisierten Alarme auslösen. Eine einzelne fehlgeschlagene Anmeldung oder ein verdächtiger, aber nicht bösartiger PowerShell-Befehl wird leicht übersehen. Ein autonomes KI-SOC ändert die Rechnung, indem es die Kapazität bietet, alles zu untersuchen. Da die Maschine nicht ermüdet und die Kosten pro Untersuchung durch eine spezialisierte Architektur minimiert werden, bestimmt der „Schweregrad“ einer Warnmeldung nicht mehr, ob sie Aufmerksamkeit erhält. Jede Warnmeldung wird untersucht, und nur die echten Bedrohungen erreichen die menschliche kognitive Ebene.

Wo Grenzmodelle den höchsten ROI liefern

Wenn die autonome Ebene die repetitive Triage übernimmt, werden KI-Plattformen wie Claude deutlich leistungsfähiger. Analysten nutzen sie nicht mehr für die grundlegende Datenerfassung. Stattdessen konzentrieren sie sich auf hochwirksame strategische Arbeit.

Zur Verdeutlichung: Die kognitive Ebene wird am besten eingesetzt für:

• Entwicklung und Testen neuer Erkennungslogiken basierend auf aufkommenden Bedrohungsinformationen.
• Durchführung tiefgehender forensischer Analysen bei komplexen, mehrstufigen Vorfällen.
• Zusammenfassung technischer Untersuchungen für die Geschäftsführung und Aufsichtsbehörden.
• Suche nach Bedrohungen (Threat Hunting) durch Erstellung komplexer Abfragen über mehrere Data Lakes hinweg.
• Übersetzung veralteter Erkennungsregeln in moderne Abfragesprachen wie Sigma oder KQL.

In diesem Modell arbeiten Mensch und LLM gemeinsam an Problemen, die Nuancen und Urteilsvermögen erfordern. Das autonome System stellt sicher, dass ihre Zeit niemals mit den 99 % der Warnmeldungen verschwendet wird, die harmlos sind.

Aktionsplan: Aufbau einer abgestuften KI-Architektur

Um von der „KI-FOMO“ zu einer resilienten Verteidigung zu gelangen, sollten CISOs dieser 6-12-monatigen Roadmap zur Umstrukturierung ihrer Sicherheitsabläufe folgen.

1. Audit der Telemetrie-Pipeline (Monat 1-2): Kartieren Sie alle Datenquellen und identifizieren Sie, wo Telemetrie gespeichert wird. Stellen Sie fest, ob Ihr MDR-Anbieter Echtzeit-API-Zugriff auf Rohprotokolle und Untersuchungsartefakte ermöglicht.
2. Abstufung der KI-Ausgaben (Monat 3-4): Trennen Sie das Budget für kognitive Werkzeuge (Claude, Cursor) vom Budget für autonome Infrastruktur. Versuchen Sie nicht, ein Werkzeug für beide Aufgaben zu erzwingen.
3. Implementierung einer autonomen Triage-Ebene (Monat 5-8): Führen Sie ein System ein, das den forensischen Erfassungsprozess automatisieren kann. Konzentrieren Sie sich zuerst auf die Reduzierung der Triage-Zeit für Warnmeldungen mit niedriger Priorität, um das Konzept zu beweisen.
4. Kodifizierung des organisatorischen Kontexts (Monat 9-10): Erstellen Sie ein Repository mit interner Dokumentation, Netzwerkkarten und Richtliniendateien, die das autonome System nutzen kann, um zwischen autorisierten Administratoraktivitäten und Angreiferverhalten zu unterscheiden.
5. Verfeinerung des Analysten-Workflows (Monat 11-12): Verlagern Sie Tier-1- und Tier-2-Analysten in Richtung Detection Engineering und Threat Hunting. Nutzen Sie kognitive KI-Plattformen, um diesen Übergang durch die Automatisierung der Erstellung neuer Regeln und Berichte zu unterstützen.

Das Ziel dieser Architektur ist es nicht, den Menschen aus dem SOC zu eliminieren. Es geht darum sicherzustellen, dass eine Kompromittierung nicht zur Katastrophe wird, weil ein Mensch zu beschäftigt damit war, Rauschen zu sortieren, um das Signal zu sehen. Das Überleben in der aktuellen Bedrohungslage hängt von Architektur und Geschwindigkeit ab, nicht nur von besseren Werkzeugen.

Quellen:

• CISA (Cybersecurity and Infrastructure Security Agency) - Guidelines on AI Security and Triage.
• NIST (National Institute of Standards and Technology) - AI Risk Management Framework 1.0.
• Anthropic - Claude Enterprise and API Documentation.
• Interne Analyse von Telemetrietrends und Tokenomics in Sicherheitsabläufen von Unternehmen (2025-2026).

Haftungsausschluss: Dieser Artikel dient nur zu Informations- und Bildungszwecken und ersetzt kein professionelles Cybersicherheits-Audit oder einen Incident-Response-Service.