Vier Parts methodischer Skepsis, einer konstruktiver. Hier ist meine Position. Kein institutionelles CICS-Statement. Kein abgestimmter Beratungs-Output. Eng begrenzt formuliert, mit klaren Vorbedingungen, und mit zwei unbequemen Fragen, die in den meisten Pitch-Meetings unausgesprochen bleiben. Wer mit den Schlussfolgerungen nicht einverstanden ist, höre ich gerne zu. Mit Daten, nicht mit Vendor-Folien.
TL;DR: KI im SOC darf Enrichment, Klassifizierung in vordefinierten Themen, Triage entlang etablierter Playbooks, Detection-Regel-Refinement. Sie darf keine One-Way-Actions, kein Playbook-Authoring, keine open-ended Klassifikation. Vorbedingung ist ein funktionaler SOC. KI über eine dysfunktionale Security-Organisation legt nur Dysfunktion frei, schneller. Und wer Tier-1 durch KI ersetzt, verliert die Senior-Pipeline der mittleren Zukunft.
Was KI im SOC tatsächlich darf, und was nicht
Es gibt vier Aufgaben-Klassen, in denen ich KI in Produktion sinnvoll finde.
Enrichment, also IOCs gegen Threat-Intel-Quellen anreichern, Hashes gegen VirusTotal, MalwareBazaar oder Hybrid-Analysis korrelieren, Domain-Pivots über bekannte Infrastruktur ziehen. Routine-Datenflüsse, in denen die Aufgabe definiert und das Output-Format starr ist.
Klassifizierung in vordefinierten Themen: Phishing-Mails in bestehende Kategorien einordnen, Alerts gegen ein bereits etabliertes Risiko-Schema mappen. Nicht offene Klassifikation. Die KI kategorisiert auf einer Liste, die ein Mensch geschrieben hat.
Triage entlang festgelegter Playbooks. Die KI führt das Playbook aus, sie schreibt es nicht. Sie folgt definierten Eskalations-Pfaden, sie erfindet keine. Wenn das Playbook sagt „bei Indikator X eskaliere zu Tier-2", macht die KI das. Und nur das.
Refinement von Detection-Regel-Skeletten ist die vierte Aufgaben-Klasse, in der ich KI freigebe. Der Engineer schreibt das Gerüst einer YARA-, Sigma-, KQL- oder Snort-Regel. Die KI verfeinert auf konkreten Hint, also Strings erweitern, Format anpassen, Erst-Draft-Korrelationen vorschlagen. Forschung, Kontext und Präzision bleiben beim Menschen.
Was KI im SOC nicht ohne Mensch im Loop tun darf, in meiner Position klar abgegrenzt.
One-Way-Actions sind tabu für autonome KI. Account-Suspension, Endpoint-Isolation, Containment, Quarantäne, EDR-Push. Jede destruktive Aktion bleibt menschlich gegated. Microsofts Phishing-Triage-Agent macht das richtig: er klassifiziert, eskaliert, reichert an, aber jede Containment-Aktion erwartet menschliche Bestätigung.
Beim Playbook-Authoring gilt das Gleiche. Wer das Playbook schreibt, definiert die Detection-Logik. Senior-Disziplin. KI darf darin Microtasks beschleunigen, also Recherche zu Threat-Aktor-TTPs zusammenfassen, ähnliche Playbooks aus dem öffentlichen Korpus referenzieren. Aber das Playbook selbst kommt vom Menschen.
Open-ended Klassifikation halte ich für nicht arbeitsfähig. Eine KI auf „irgendetwas Anomales finden" loszulassen, kostet Compute und produziert Alarm-Rauschen. Hypothese, Kategorien-Liste und Erfolgs-Definition kommen vom Menschen.
Investigations ohne Hypothese sind Mensch-Arbeit. KI kann darin definierte Subtasks beschleunigen, aber das Hunting-Design selbst kommt aus dem Kopf eines Senior-Analysten, der das Threat-Model-Mapping macht.
Kurz: KI führt aus, sie definiert nicht. Sie reichert an, sie eskaliert nicht autonom. Sie klassifiziert in Kategorien, die da sind, sie erfindet sie nicht. Diese Trennung ist für mich nicht akademisch. Sie ist die Differenz zwischen einem KI-Investment, das produktiv arbeitet, und einem, das die nächste Audit-Frage produziert.
Die Vorbedingung: ein funktionaler SOC
KI ist ein Multiplikator. Multiplikatoren multiplizieren das, was schon da ist. Wer KI über eine dysfunktionale Security-Organisation legt (fehlende Playbooks, Detection-Coverage gleich Null, Asset-Inventar als historisches Dokument vom letzten Audit, keine etablierte IR-Kette), bekommt am Ende keine funktionale Organisation mit KI-Verstärkung. Er bekommt eine dysfunktionale Organisation, die schneller das Falsche tut.
Nicht der Pitch, den Sales-Folien machen. Sales-Folien versprechen, dass KI strukturelle Probleme abkürzt. Ich sehe das immer wieder nicht funktionieren. Detection-Engineering-Fundamente, Hunt-Baselines, dokumentierte Playbooks, gepflegtes Asset-Inventar. Diese Voraussetzungen lassen sich nicht durch KI ersetzen. Sie lassen sich durch KI beschleunigen, wenn sie bereits da sind. Wenn sie fehlen, beschleunigt KI eine Lücke, nicht eine Lösung.
Die unbequeme Frage: brauchst du dann überhaupt KI?
Hier wird’s unbequem, und ehrlich. Wenn dein SOC funktional ist, also Playbooks etabliert, Detection-Coverage dokumentiert, Senior-Pipeline gefüllt, was bringt dir KI dann eigentlich?
Meine ehrliche Antwort: ein Productivity-Plus in eng definierten Aufgaben, in der Grössenordnung der 22 Prozent aus Teil 1. Real. Nicht nichts. Auch nicht „Transformation".
Wer KI als Transformations-Pfad verkauft, verkauft zwei verschiedene Dinge zusammen. Die echte, messbare Produktivitätswirkung und einen Versprechens-Aufschlag, der nicht durch Daten gedeckt ist. In funktionalen SOCs ist KI eine inkrementelle Optimierung. Eine schnellere Triage hier, eine bessere Enrichment-Pipeline da. Wenn das Investment-Volumen entsprechend kalibriert ist, lohnt sich das. Wenn es als „die nächste Generation des SOC" verkauft wird, verfehlt es seine eigene Zahl.
Die Frage, die ich für jeden CISO als die richtige halte, ist nicht: Wie viel kann KI? Sondern: Welches konkrete, messbare Problem in meinem SOC würde KI lösen, das ich nicht auch mit besserer Detection-Engineering-Hygiene lösen könnte? Wenn die Antwort „nichts wirklich" ist, dann ist das Investment in Detection-Engineering-Hygiene besser angelegt als das gleiche Geld in KI-Augmentation.
Die Career-Pipeline-Frage
Die Branche braucht Junior-Analysten, die zu Seniors werden. Diese Pipeline hat eine bestimmte Struktur. Tier-1, Tier-2, Senior-Detection-Engineer oder Hunt-Lead oder Threat-Intel-Lead. Auf diesem Pfad werden Skills aufgebaut, die nicht in einem Drei-Tage-Workshop zu lernen sind. Mustererkennung in Logs, Hypothesen-Bildung im Hunt, Kontext-Aufbau über Mandanten-Geschichten. Das kommt aus Jahren operativer Arbeit. Nicht aus einer Curriculum-Folie.
Was an diesem Pfad nicht passt: Senior-Analysten zu KI-Output-Reviewern zu degradieren. „Die KI macht die Detection, der Senior reviewt" ist eine Position, die sich auf einer Hierarchie-Folie sauber präsentiert. Und die in der Praxis die Karriere-Entwicklung kollabiert. KI-Output-Validation ist ein Microtask, kein Beruf. Wer Seniors auf diese Rolle festlegt, verliert sie an die Konkurrenz, die ihnen echte Detection-Engineering-Aufgaben gibt. Und das wäre der bessere Fall. Der schlechtere ist, dass die Seniors bleiben und die Engagement-Quote ins Negative kippt.
Was zudem nicht passt: den Tier-1-Pfad durch KI ersetzen wollen. Wenn Tier-1-Analysten nicht mehr eingestellt werden, weil „die KI das macht", kommen keine Tier-2-Analysten nach. Drei bis fünf Jahre später ist die Senior-Schicht ohne Nachwuchs, und die Detection-Coverage zerfällt strukturell. Nicht weil KI versagt hat, sondern weil das Personalmodell zerbrochen ist. Klarna-Reversal in Customer-Service ist Cross-Industry. In einem SOC läuft das gleiche Pattern, nur mit Detection-Coverage statt Customer-Satisfaction als Verlust-Metrik. Und in Customer-Service kostet die Korrektur Geld; in einem SOC kostet sie Breach-Folgen.
Das ist mein wichtigster Punkt in der ganzen Reihe. Wer ihn nicht ernst nimmt, kann sich die anderen vier Teile sparen.
Wofür ich stehe, und wogegen
Ich vertrete in Engagements konsequent drei Punkte. KI als Refinement- und Beschleunigungs-Schicht für eng definierte Aufgaben (Enrichment, Klassifizierung in vordefinierten Themen, Playbook-Ausführung, Detection-Regel-Refinement), mit Human-in-the-Loop-Gate für jede destruktive Aktion und Output-Validation als Pflicht-Layer. Detection-Engineering-Fundamente vor jedem KI-Investment, also Sigma-Coverage, Hunt-Baselines, Asset-Inventar, dokumentierte Playbooks; wenn diese Vorbedingungen nicht stehen, ist das Investment in deren Aufbau besser angelegt als das gleiche Geld in KI-Tooling. Und die Junior-Pipeline aktiv halten, weil Tier-1-Hiring die Voraussetzung dafür ist, dass es in fünf Jahren noch Senior-Detection-Engineers gibt.
Wogegen ich konsequent argumentiere: Headcount-Reduktion auf KI-Versprechen (Klarna 2024 zu 2025 ist die Cross-Industry-Lehre, IBMs CEO-Survey-25-Prozent-ROI-Quote der makro-ökonomische Anker), Mesh-Agent-Architekturen ohne Replikation der Hersteller-Behauptungen (ich kenne keinen Peer-Review-Beleg, der die Architektur als sicher tragfähig dokumentiert, und die Adversarial-Risiken zwischen Agenten sind nicht systematisch gelöst — wenn jemand einen Beleg hat, schicke ihn mir), und KI als Lückenfüller für strukturelle Schwächen der Organisation. Multiplikatoren multiplizieren. Eine Lücke, die mit KI multipliziert wird, bleibt eine Lücke. Nur schneller produziert.
Schluss
Ich bin nicht anti-KI. Ich bin gegen KI als Substitut für funktionale Organisation, gegen KI als Argument für Headcount-Reduktion, und gegen KI als Karriere-Endpunkt für Senior-Analysten. Der Unterschied entscheidet, ob ein Defensiv-Team in fünf Jahren noch funktional ist. Und ob ein KI-Investment heute sich morgen rechnet.
Hier schliesst die Reihe. Vorerst. Wer mit mir darüber reden will, ohne Sales-Funnel und ohne Marketing-Folie, weiss, wo er mich findet.
Teil 5 von 5 dieser Reihe zu KI im defensiven Cyber, Augmentation, nicht Ablösung:
- Teil 1, Was die Daten tragen
- Teil 2, Wo Augmentation aufhört
- Teil 3, Was es für SOC-Teams heisst
- Teil 4, KI gegen KI
- Teil 5, Was wie doch gehen könnte (aktuell)