Auf den Punkt: KI beschleunigt Erkennung und Priorisierung in SIEM, MDR und EDR messbar, ersetzt aber keine saubere Architektur, klare Prozesse und funktionierende Governance.
KI ist in der Cybersicherheit längst Alltagswerkzeug, kein Zukunftsversprechen mehr – doch der eigentliche Engpass liegt selten in fehlender KI, sondern in Architektur, Prozessen und Governance. Ein Praxisbeitrag von ComputerWeekly ordnet ein, wo KI-gestützte Erkennung tatsächlich Mehrwert schafft und wo Unternehmen an strukturellen Problemen scheitern.
Security-Teams nutzen KI-Bausteine seit Jahren produktiv – in der Anomalieerkennung von Nutzer- und Netzwerkverhalten, in verhaltensbasierten Endpoint-Lösungen sowie in der E-Mail-Security. Neu ist vor allem die gestiegene Sichtbarkeit großer Sprachmodelle, die Dokumentation, Scripting und Integrationsaufgaben erleichtern. Besonders wirksam ist KI dort, wo sie Muster lernt und Abweichungen vom Normalzustand erkennt: User- und Entity-Behavior-Analytics (UEBA) in SIEM- und MDR-Umgebungen decken Unregelmäßigkeiten im Log- und Netzwerkverkehr auf, die signaturbasierte Ansätze übersehen würden – etwa eine ungewöhnliche Admin-Anmeldung in Kombination mit neu angelegten Konten. Im EDR-Bereich (Endpoint Detection and Response) hat sich verhaltensbasierte Erkennung etabliert, und in der E-Mail-Security liefern sich generative und detektierende KI-Systeme ein direktes Wettrüsten: überzeugendere Phishing-Mails auf der einen, feinere sprach- und kontextsensitive Erkennungsmodelle auf der anderen Seite.
Für IT- und Security-Verantwortliche ergibt sich daraus ein praktisches Problem: Die KI-Ökosysteme der Hersteller sind weitgehend abgekapselt und wenig interoperabel – Fortinet harmoniert mit Fortinet, Palo Alto mit Palo Alto. Eine End-to-End-Korrelation über Toolgrenzen hinweg erfordert Integration in ein Security Operations Center (SOC), saubere Datenmodelle und SOAR-Playbooks (Security Orchestration, Automation and Response). Diese Integrationsarbeit lässt sich weder vollständig automatisieren noch ist sie am Markt standardisiert. SOAR-Tools sollen die Schnittstellen verschiedener Informationsquellen bedienen und Analysten einen ganzheitlichen Blick verschaffen – bleiben aber auf saubere Vorarbeit angewiesen.
Bei der Frage Best-of-Breed versus Plattform gibt es keine pauschale Antwort. Viele Unternehmen erwägen eine Konsolidierung auf wenige Hersteller, um Komplexität, Vertrags- und Datenschutzaufwand zu senken. Best-of-Breed bleibt dennoch relevant, weil kaum ein Anbieter in jeder Disziplin führend ist. Wer auf eine Plattform setzt, gewinnt engere Integration, riskiert aber fachliche Kompromisse und Lock-in-Effekte; wer Best-of-Breed wählt, behält Spitzenlösungen, trägt aber die volle Integrationslast von APIs über Datenpipelines bis zu SOAR-Playbooks.
Kosten werden dabei häufig unterschätzt: Cloud-SIEMs wirken attraktiv, können aber durch Log-Aufbewahrung, Ingest-Gebühren für importierte Datenmengen und Datenexporte teuer werden. Dedizierte UEBA-/Anomalie-Engines oder hybride Systeme können die Total Cost of Ownership (TCO) und Compliance-Anforderungen je nach Datenfluss, Retention-Zeiten und regulatorischen Pflichten besser ausbalancieren. Unabhängig vom gewählten Ansatz gilt: Erwartungen realistisch managen, Wechselkosten einplanen und Sichtbarkeitslücken außerhalb des jeweiligen Ökosystems aktiv identifizieren – KI macht Auffälligkeiten sichtbar, kuriert aber keine schlecht segmentierten Netze, unvollständig eingeführte Sicherheitslösungen oder unklare Kronjuwelen im Unternehmen.
Quelle: www.computerweekly.com · Erschienen 8. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.