Auf den Punkt: KI senkt die Kosten der Schwachstellensuche für Angreifer, während Angreifer zunehmend gezielt Sicherheitswerkzeuge wie EDR ausschalten statt sie nur zu umgehen – Verteidiger müssen deshalb auf redundante, nicht endpoint-abhängige Erkennungsebenen und die Kontrolle transienter Assets wie Dienstleister-Laptops setzen.
KI senkt die Kosten für Schwachstellensuche und beschleunigt Angriffe, während Patchzyklen und Wartungsfenster unverändert bleiben. Immer häufiger zielen Angreifer nicht darauf, unentdeckt zu bleiben, sondern die Sicherheitswerkzeuge selbst auszuschalten.
Cyberabwehr basierte lange auf der Annahme, dass Angreifer versuchen, Sicherheitswerkzeuge zu umgehen, während Verteidiger versuchen, sie möglichst früh zu erkennen. Diese Arbeitsteilung verschiebt sich. Professionelle Angreifer nehmen zunehmend gezielt die Systeme ins Visier, von denen sie entdeckt werden könnten. Verwundbare signierte Treiber und legitime Fernwartungswerkzeuge sind mittlerweile fester Bestandteil moderner Angriffsketten geworden, um Defense Evasion zu betreiben. Marc Elias vom Symantec Threat Hunter Team führt dies auch auf den Erfolg verhaltensbasierter Erkennung zurück: Angreifer hätten es weitgehend aufgegeben, ihre Ransomware unerkennbar zu machen, und versuchten stattdessen, Sicherheitsmechanismen direkt auszuschalten.
Für Unternehmen bedeutet das: Es reicht nicht mehr zu wissen, wie gut ein EDR-System einen Angriff erkennt. Relevant ist auch, was passiert, wenn dieses System deaktiviert wird. Je stärker Detection und Response auf wenige Plattformen konzentriert werden, desto attraktiver werden diese selbst als Angriffsziel. OT-Umgebungen zeigen das Problem in verschärfter Form: Auf Steuerungen läuft üblicherweise kein konventionelles EDR, sodass Engineering Workstations, HMI-Server und Jump Hosts oft die einzigen Systeme mit Endpoint Detection sind. Fällt dort der Agent aus, wird Netzwerktransparenz – ergänzt um Prozessdaten, Historian-Aufzeichnungen, Steuerungsdiagnosen und Fernzugriffsprotokolle – zur unabhängigen Beobachtungsebene, da ein Netzwerksensor sich nicht wie ein Endpoint-Agent per signiertem Treiber entfernen lässt.
Gleichzeitig verschärft KI die Geschwindigkeitsschere zwischen Angriff und Verteidigung. Ta-Lun Yen von TXOne Networks demonstrierte einen LLM-gestützten Workflow zur Schwachstellensuche in Firmware-Binärdateien ohne Debug-Informationen: Das Modell hilft, begrenzte Reverse-Engineering-Kapazität gezielt auf vielversprechende Codebereiche zu lenken. KI macht Vulnerability Research damit nicht trivial, setzt aber die knappste Ressource – Expertenzeit – effizienter ein. Auf Verteidigerseite bleiben Wartungsfenster dagegen knapp, Update-Pfade werden von Herstellern vorgegeben, und Änderungen müssen vor dem Rollout getestet werden. In OT-Umgebungen können Patchzyklen Monate oder Jahre dauern, weshalb reines „schneller patchen“ zu kurz greift. Segmentierung, kontrollierte Übergänge, Zugriffsbeschränkungen und Netzwerküberwachung gewinnen entsprechend an Gewicht.
Der Angriffsweg muss dabei nicht über das Internet führen. USB-Sticks, Wartungslaptops externer Dienstleister und Firmware-Dateien sind legitime Übergänge in segmentierte Umgebungen und gerade deshalb ein Risiko. Benny Czarny, CEO von OPSWAT, bringt es auf den Punkt: Angreifer müssten nicht aus der Ferne ins Netzwerk eindringen, sondern lediglich eine Datei, ein Gerät, einen Dienstleister oder einen Schritt in der Wartungs- und Lieferkette kompromittieren. Im ICS/OT Cybersecurity Budget Report 2025 nannten 27,3 Prozent der Befragten, die einen initialen Angriffsvektor bestimmen konnten, transiente Cyber-Assets wie Dienstleister-Laptops als Einfallstor; weitere 15,2 Prozent nannten kompromittierte Wechselmedien. Für CISOs ergibt sich daraus ein konkretes Governance-Thema: die Kontrolle, wer solche transienten Assets ans Netzwerk anschließen darf und unter welchen Bedingungen.
Quelle: www.it-daily.net · Erschienen 20. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.