KI-SIEM: Wie KI die Erkennung von Bedrohungen und den Sicherheitsbetrieb verändert

Sicherheitsteams stehen seit jeher vor einem Informationsproblem. Die Daten, die zur Erkennung von Bedrohungen benötigt werden, sind zwar irgendwo in der Umgebung vorhanden, doch die Datenmenge ist überwältigend, die Quellen sind fragmentiert und das Tempo übersteigt das, was menschliche Analysten realistisch gesehen manuell verarbeiten können. Herkömmliche SIEM-Lösungen haben einen Teil dieses Problems gelöst, indem sie Protokolldaten zentralisierten und Korrelationsregeln anwendeten, um verdächtige Aktivitäten zu identifizieren. Korrelationsregeln sind jedoch statisch, während sich die Bedrohungen, die sie erkennen sollen, ständig weiterentwickeln.

AI-SIEM ist die Antwort auf diese Lücke. Durch die direkte Einbindung von künstlicher Intelligenz und maschinellem Lernen in den Erkennungs- und Untersuchungsworkflow geht modernes SIEM über den bloßen Abgleich von Ereignissen mit vordefinierten Mustern hinaus. Es lernt, wie ein normaler Zustand aussieht, identifiziert Abweichungen, die Regeln niemals erkennen würden, und ergreift zunehmend eigenständig Maßnahmen: Es priorisiert Warnmeldungen, deckt die Vorfälle mit dem höchsten Risiko auf und schränkt in manchen Fällen Bedrohungen bereits ein, bevor ein Analyst die Warnmeldung überhaupt geprüft hat.

Laut dem IBM-Bericht „Cost of a Data Breach“ sparen Unternehmen, die Sicherheits-KI und Automatisierung in großem Umfang einsetzen, im Durchschnitt 1,76 Millionen US-Dollar im Vergleich zu denen, die darauf verzichten. Das ist kein theoretischer Effizienzgewinn. Es handelt sich um einen messbaren Unterschied bei den Kosten von Datenschutzverletzungen, der durch schnellere Erkennung und Reaktion erzielt wird. Kaseya SIEM basiert auf diesem Prinzip und bietet KI-gestützte Untersuchungen, automatisierte Reaktionen sowie eine Agentenebene, die es Ihnen ermöglicht, Sicherheitsmaßnahmen über eine einfache, dialogorientierte KI-Oberfläche anzuwenden.

Was ist AI SIEM?

AI-SIEM bezeichnet ein System zum Management von Sicherheitsinformationen und -ereignissen, das künstliche Intelligenz und maschinelles Lernen nutzt, um die Erkennung von Bedrohungen zu verbessern, die Arbeitsbelastung der Analysten zu verringern und die Reaktionszeit zu verkürzen. Während herkömmliche SIEM-Systeme Ereignisse anhand statischer Regeln korrelieren, lernt AI-SIEM im Laufe der Zeit aus den Daten, erkennt Muster, für deren Erkennung keine Regeln definiert wurden, und wendet diese Erkenntnisse kontinuierlich auf die gesamte Menge der Ereignisse an, die in der Umgebung generiert werden.

Der Begriff „KI“ in „AI SIEM“ umfasst eine Reihe spezifischer Techniken: Modelle des maschinellen Lernens, die Verhaltens-Baselines festlegen und Anomalien kennzeichnen; natürliche Sprachverarbeitung, die es Analysten ermöglicht, Sicherheitsdaten in einfacher Sprache abzufragen; generative KI, die Vorfälle zusammenfasst und Abhilfemaßnahmen empfiehlt; sowie in zunehmendem Maße agentische KI, die nicht nur Warnmeldungen ausgibt, sondern auch eigenständig Maßnahmen ergreift.

AI-SIEM ist keine von SIEM getrennte Produktkategorie. Es handelt sich vielmehr um den aktuellen Stand der SIEM-Entwicklung. Die Unterscheidung zwischen „SIEM“ und „AI-SIEM“ ist größtenteils generationsbedingt: Auf der einen Seite stehen ältere SIEM-Implementierungen, die sich nach wie vor hauptsächlich auf statische Korrelationsregeln stützen, auf der anderen Seite moderne SIEM-Implementierungen, bei denen KI-gestützte Erkennung und Untersuchung fest in den Kern ihrer Funktionsweise integriert sind.

Wenn Sie sich noch nicht mit SIEM auskennen, lesen Sie zunächst unseren Leitfaden„Was ist SIEM?“, um sich mit den Grundlagen vertraut zu machen, bevor Sie sich mit der KI-Ebene befassen.

Warum herkömmliche SIEM-Lösungen KI benötigten

Herkömmliche SIEM-Systeme wurden für eine andere Umgebung entwickelt. Als sie Mitte der 2000er Jahre erstmals entwickelt wurden, befand sich die IT-Infrastruktur größtenteils vor Ort, die Datenmengen waren überschaubar und die Angreifer agierten so langsam, dass menschliche Analysten, die anhand von Korrelationsregeln arbeiteten, noch mithalten konnten.

Keine dieser Bedingungen trifft heute mehr zu. Moderne Umgebungen generieren gleichzeitig Protokolldaten aus Cloud-Plattformen, SaaS-Anwendungen, Endgeräten, Identitätsanbietern und Netzwerkgeräten. Das Ereignisvolumen ist so stark angestiegen, dass große Unternehmen mittlerweile täglich über 10 Terabyte an Protokolldaten erfassen – ein Volumen, das die manuelle Überprüfung der Ergebnisse von Korrelationsregeln unpraktikabel macht. Gleichzeitig sind Angreifer schneller geworden. Die durchschnittliche Zeit vom ersten Einbruch bis zur lateralen Bewegung beträgt laut dem „2026 Global Threat Report“ von CrowdStrike mittlerweile 29 Minuten, was bedeutet, dass eine regelbasierte Erkennung, die erst Stunden nach dem auslösenden Ereignis anspringt, oft zu spät kommt.

Die konkreten Einschränkungen, die den Einsatz von KI in SIEM-Systemen vorangetrieben haben, sind allgemein bekannt. Statische Regeln müssen von Menschen gepflegt werden, um auf dem neuesten Stand zu bleiben, und Regeln, die gegen die Angriffstechniken des letzten Jahres gewirkt haben, erkennen die Varianten dieses Jahres nicht. Regelbasierte Systeme erzeugen hohe Fehlalarmraten, wenn Umgebungen wachsen und normale Aktivitäten vielfältiger werden. Und Korrelationsregeln können per Definition nur das erkennen, worauf sie programmiert wurden. Das bedeutet, dass neuartige Angriffsmuster – die bei einer ausgereiften Sicherheitsstrategie am ehesten Erfolg haben – unentdeckt bleiben, bis jemand eine Regel dafür schreibt.

KI geht auf jede dieser Einschränkungen auf unterschiedliche Weise ein. Modelle des maschinellen Lernens lernen aus den Daten selbst, was als normal gilt, und nicht anhand von Regeln, die ein Mensch festlegen musste. Verhaltensanalysen erkennen Abweichungen von dieser erlernten Basislinie, was bedeutet, dass neue Angriffsmuster bereits verdächtig erscheinen, noch bevor dafür Regeln festgelegt wurden. Und die KI-gesteuerte Priorisierung reduziert die Anzahl der Warnmeldungen, indem Vorfälle nach ihrem Risiko bewertet und eingestuft werden, sodass sich die Analysten auf die Bedrohungen konzentrieren können, die tatsächlich von Bedeutung sind.

Kernfunktionen der KI in modernen SIEM-Systemen

AI SIEM umfasst mehrere unterschiedliche Funktionen, die gemeinsam die Art und Weise verändern, wie die Erkennung und Bekämpfung von Bedrohungen in der Praxis abläuft.

Verhaltensanalyse und UEBA

Die Analyse des Benutzer- und Entitätsverhaltens (User and Entity Behavior Analytics, UEBA) ist die grundlegende KI-Fähigkeit in modernen SIEM-Systemen. Anstatt nach bestimmten, als bösartig bekannten Mustern zu suchen, erstellt UEBA für jeden Benutzer, jedes Gerät und jede Anwendung in der Umgebung eine Basislinie des normalen Verhaltens und kennzeichnet anschließend Abweichungen von dieser Basislinie. Genau das macht UEBA so effektiv gegen Insider-Bedrohungen, kompromittierte Anmeldedaten und laterale Bewegungen, da diese Angriffe legitime Zugriffe nutzen und keine signatur- oder regelbasierte Erkennung auslösen würden. Ein Benutzer, der plötzlich auf Systeme außerhalb seines normalen Zugriffsbereichs zugreift, zu ungewöhnlichen Zeiten große Datenmengen kopiert oder sich innerhalb einer Stunde von zwei verschiedenen Standorten aus authentifiziert, weist im Vergleich zu seiner eigenen Verhaltensbasislinie ein anomales Verhalten auf – unabhängig davon, ob eine bestimmte Regel diese Verhaltensweisen abdeckt.

KI-gestützte Priorisierung von Bedrohungen

Alarmmüdigkeit ist eine der beständigsten operativen Herausforderungen im Sicherheitsbereich. AI-SIEM begegnet diesem Problem nicht durch eine Reduzierung der Anzahl der erfassten Ereignisse, sondern durch die Bewertung und Einstufung von Warnmeldungen auf der Grundlage des Risikokontexts, der Belege und der Wahrscheinlichkeit einer tatsächlichen Bedrohung. Anstelle einer einfachen, nach Zeitstempel sortierten Warteschlange von Warnmeldungen erhalten Analysten eine priorisierte Ansicht, in der die Vorfälle mit dem höchsten Risiko und den besten Belegen an erster Stelle erscheinen. Dies verändert die Art und Weise, wie SOC-Teams ihre Aufmerksamkeit verteilen. In schlanken Teams ohne dedizierte Tier-1-Analysten macht dies oft den Unterschied zwischen einer sinnvollen Sicherheitsabdeckung und einer Alarmflut aus.

Untersuchung natürlicher Sprache

Generative KI hat ein neues Interaktionsmodell für Sicherheitsuntersuchungen eingeführt. Analysten können Sicherheitsdaten in einfacher Sprache abfragen, anstatt komplexe Suchsyntaxen oder benutzerdefinierte Abfragen zu verwenden. „Zeige mir alle Authentifizierungsereignisse für diesen Benutzer in den letzten 48 Stunden“ oder „Was ist zu dem Zeitpunkt dieser Warnmeldung noch auf diesem Endpunkt passiert?“ – solche Abfragen liefern innerhalb von Sekunden Ergebnisse, ohne dass der Analyst das zugrunde liegende Datenschema kennen oder die Abfrage manuell schreiben muss. Dies reduziert den Zeitaufwand für die technischen Aspekte der Untersuchung und ermöglicht es den Analysten, sich auf die Sicherheitsbeurteilung zu konzentrieren, die tatsächlich menschliches Fachwissen erfordert.

Automatisierte Korrelation und Rekonstruktion von Vorfällen

AI SIEM kann verwandte Ereignisse aus verschiedenen Quellen automatisch zu einheitlichen Vorfallberichten verknüpfen und so den zeitlichen Ablauf eines Angriffs vom ersten Zugriff über die laterale Bewegung bis hin zum Datenzugriff rekonstruieren, ohne dass ein Analyst das Gesamtbild manuell zusammenstellen muss. Was ein erfahrener Analyst sonst möglicherweise 30 Minuten lang aus den Dashboards verschiedener Tools zusammensetzen müsste, wird als vorgefertigte Zeitleiste bereitgestellt, was eine schnellere Reaktion und eine einheitlichere Untersuchungsqualität im gesamten Team ermöglicht.

Automatisierte Reaktion auf Bedrohungen

Die schnellsten KI-gestützten SIEM-Systeme erkennen Bedrohungen nicht nur, sondern reagieren auch darauf. Automatisierte Reaktionsregeln können innerhalb von Sekunden nach Bestätigung einer Bedrohung – noch bevor ein Mensch den Alarm überprüft hat – Eindämmungsmaßnahmen auslösen, darunter die Isolierung eines Geräts, die Sperrung eines Kontos, die Kennzeichnung einer ablaufenden Sitzung oder die Aufhebung des Cloud-Zugangs. Bei schnell ablaufenden Angriffen wie Ransomware entscheidet dieser Geschwindigkeitsunterschied darüber, ob ein Vorfall auf einen Endpunkt beschränkt bleibt oder sich in der gesamten Umgebung ausbreitet.

Wie AI-SIEM den Sicherheitsbetrieb verbessert

Die betrieblichen Auswirkungen von AI-SIEM zeigen sich in vier messbaren Aspekten, über die Sicherheitsteams und MSPs nach der Einführung durchweg berichten.

Die Erkennungsgeschwindigkeit verbessert sich, da KI-gestützte Verhaltensanalysen und automatisierte Korrelationen kontinuierlich auf alle eingelesenen Daten angewendet werden – nicht nur auf die Teilmenge, für die Korrelationsregeln definiert wurden. Bedrohungen, die zuvor tagelang oder wochenlang unentdeckt geblieben wären, werden nun innerhalb von Stunden oder Minuten aufgedeckt, da die von ihnen ausgehende Anomalie für ein Verhaltensmodell erkennbar ist, selbst wenn dafür keine spezifische Regel existiert.

Die Effizienz der Untersuchungen verbessert sich, da die Analysten den Kontext nicht mehr für jede einzelne Warnmeldung manuell zusammenstellen müssen. Vorkorrelierte Vorfallansichten, KI-generierte Zusammenfassungen und Abfragen in natürlicher Sprache verkürzen die Zeit vom Eintreffen einer Warnmeldung bis zum Verständnis des Vorfalls, sodass die Analysten mit derselben Personalstärke mehr Vorfälle bearbeiten und ihr Urteilsvermögen auf mehr Bedrohungen anwenden können.

Die Anzahl der Fehlalarme sinkt, da durch KI-gestützte Priorisierung und Überprüfung sichergestellt wird, dass Warnmeldungen anhand mehrerer Datenpunkte validiert werden, bevor sie angezeigt werden. Eine Warnmeldung, die früher bereits bei Überschreitung eines einzigen Schwellenwerts ausgelöst worden wäre, erfordert nun bestätigende Belege, bevor sie eskaliert wird. Dadurch wird das Rauschen reduziert, ohne dass die aussagekräftige Abdeckung beeinträchtigt wird.

Die Analystenkapazität lässt sich effektiver skalieren. Bei herkömmlichen SIEM-Betrieben stellt die Analystenkapazität den Engpass dar. Mehr Bedrohungen erfordern mehr Analysten. KI-gestütztes SIEM verändert dieses Verhältnis, indem es die routinemäßigen Aufgaben mit hohem Arbeitsaufkommen – darunter Triage, Korrelation und erste Untersuchungen – durch Automatisierung übernimmt und so die Aufmerksamkeit der Mitarbeiter für Entscheidungen freihält, die eine kontextbezogene Beurteilung erfordern. Für Teams, die keine weiteren Analysten einstellen können, ist dies der einzige realistische Weg zu einer nachhaltigen Verbesserung der Abdeckung.

KI-basiertes SIEM und das agentenbasierte SOC

Die aktuelle Entwicklung im Bereich AI-SIEM geht über die unterstützende KI hinaus, bei der Tools Informationen für Menschen aufbereiten, damit diese darauf reagieren können, hin zur agentenbasierten KI, bei der Systeme Sicherheitsziele eigenständig verfolgen.

Unter „Agentic AI“ im Sicherheitsbetrieb versteht man ein KI-System, das nicht nur eine verdächtige Anmeldung meldet, sondern diese auch untersucht, mit verwandten Ereignissen in Zusammenhang bringt, feststellt, ob es sich um eine echte Bedrohung handelt, Eindämmungsmaßnahmen ergreift, ein Ticket mit dem bereits zusammengestellten vollständigen Kontext eröffnet und den Analysten benachrichtigt – und das alles, ohne bei jedem Schritt auf menschliche Eingaben warten zu müssen. Der Mensch bleibt weiterhin in den Entscheidungsprozess eingebunden, wenn es um Eskalationsentscheidungen und komplexe Ermessensentscheidungen geht, doch die KI übernimmt die strukturierten, regelbasierten Aufgaben, die derzeit den größten Teil der Arbeitszeit der Analysten in Anspruch nehmen.

Dieser Wandel ist vor allem für jene Organisationen von Bedeutung, die ihn am dringendsten benötigen: schlanke IT-Teams und MSPs, die mehrere Umgebungen verwalten, ohne über dediziertes Personal für den Sicherheitsbetrieb zu verfügen. Bei diesen Teams erfordert eine KI, die einen menschlichen Analysten unterstützt, nach wie vor die Anwesenheit dieses menschlichen Analysten. Eine agentenbasierte KI, die routinemäßige Bedrohungsarten autonom einstufen, untersuchen und darauf reagieren kann, benötigt dies nicht. Sie verändert den Personalbedarf für eine sinnvolle Sicherheitsbetriebsfähigkeit und macht Erkennung und Reaktion auf Unternehmensniveau auch für Organisationen zugänglich, die sich dies sonst nicht leisten könnten.

Worauf Sie bei einem KI-gestützten SIEM achten sollten

Nicht alle Behauptungen zu KI-gestützten SIEM-Lösungen sind gleichwertig. Anbieter bezeichnen ihre Produkte als „KI-gestützt“ – wobei die Bandbreite von einer einfachen Engine zur Regelvorschläge bis hin zur vollständig autonomen Ausführung reicht. Ein paar Fragen helfen dabei, den Marketing-Hype zu durchschauen:

Auf welchen Daten basiert das Training der KI?
KI-Modelle sind nur so gut wie die ihnen zugrunde liegenden Daten. Ein Modell, das auf umfangreichen, realen Sicherheitstelemetriedaten aus vielfältigen Umgebungen trainiert wurde, liefert genauere Verhaltensreferenzwerte und weniger Fehlalarme als ein Modell, das auf einem begrenzten Datensatz trainiert wurde. Fragen Sie die Anbieter konkret, auf welchen Trainingsdaten ihre Modelle basieren und wie häufig die Modelle aktualisiert werden.

Was macht die KI eigentlich?
Führt die KI Erkennung, Untersuchung oder Reaktion durch, oder fasst sie lediglich die Ergebnisse der regelbasierten Erkennung zusammen? Es besteht ein wesentlicher Unterschied zwischen einem SIEM, bei dem eine GenAI-Chatbot-Ebene auf herkömmlichen Korrelationsregeln aufsetzt, und einem, bei dem die KI in die Erkennungslogik selbst eingebettet ist.

Wie wird die menschliche Kontrolle gewährleistet?
Agentische KI, die eigenständig handelt, benötigt konfigurierbare Schwellenwerte, um festzulegen, wann eine Überprüfung durch den Menschen erforderlich ist. Machen Sie sich ein Bild davon, welche Aktionen die KI eigenständig ausführt, welche Maßnahmen die Genehmigung eines Analysten erfordern und wie diese Schwellenwerte an Ihre Umgebung angepasst werden können.

Verringert dies die Alarmmüdigkeit oder fügt es lediglich eine weitere Benutzeroberfläche hinzu?
Eine KI, die mehr Alarme, mehr Dashboards oder mehr KI-generierte Zusammenfassungen erzeugt, ohne die kognitive Gesamtbelastung der Analysten zu verringern, löst das Problem nicht wirklich. Achten Sie auf messbare Verbesserungen bei den Falsch-Positiv-Raten und der durchschnittlichen Zeit bis zur Behebung.

Kaseya SIEM und Kaseya Intelligence

KI in SIEM-Systemen ist nur so aussagekräftig wie die Daten, auf denen sie basiert, und die Maßnahmen, die sie ergreifen kann. Ein Erkennungsmodell, das auf einem begrenzten Ausschnitt der Telemetriedaten trainiert wurde, liefert ungenaue Referenzwerte. Eine KI-basierte Untersuchungsschicht, die auf ihre Ergebnisse nicht reagieren kann, entlastet die Analysten nicht. Sie fügt lediglich einen zusätzlichen Schritt hinzu.

Kaseya SIEM basiert auf Kaseya Intelligence, der auf der Connect 2026 vorgestellten agentenbasierten Ausführungsschicht, die auf mehr als drei Exabyte aggregierter IT- und Sicherheitsdaten von über 17 Millionen verwalteten Endpunkten aufbaut. Dieser Datensatz ist der Grund für die Genauigkeit der Erkennungsmodelle: Verhaltensbaselines, die aus realen Aktivitäten in MSP- und IT-Team-Umgebungen erstellt wurden, und nicht aus synthetischen Trainingsdaten.

In der Praxis kommen die KI-Funktionen in Kaseya SIEM auf drei Ebenen zum Einsatz:

• Mithilfe der Abfrage in natürlicher Sprache können Analysten Sicherheitsdaten abfragen, kompromittierte Ressourcen aufspüren und Anomalien identifizieren, ohne manuelle Abfragen schreiben zu müssen oder das zugrunde liegende Datenschema zu kennen.
• Die KI-gestützte Korrelation verknüpft automatisch miteinander in Zusammenhang stehende Ereignisse aus Endpunkt-, Cloud-, Netzwerk-, Identitäts- und E-Mail-Quellen zu einheitlichen Vorfallübersichten, sodass Analysten eine vollständig zusammengestellte Zeitleiste erhalten und nicht nur eine Liste von Rohmeldungen.
• Ein KI-gestütztes SOC kannbei Sicherheitsbedrohungen mit hoher Zuverlässigkeit autonom und blitzschnell Maßnahmen ergreifen und gleichzeitig wichtige Informationen an menschliche Analysten weiterleiten, damit diese bei Bedarf eingehendere Untersuchungen durchführen können.

Das rund um die Uhr im Einsatz befindliche SOC-Team, das die Kaseya-SIEM-Implementierungen überwacht, arbeitet mit dieser KI-Ebene zusammen, anstatt durch sie ersetzt zu werden. Die Automatisierung übernimmt das Volumen. Die Analysten kümmern sich um die Ermessensentscheidungen, Eskalationen und die Grenzfälle, die menschliches Fachwissen erfordern. Für MSPs und schlanke IT-Teams, die eine Abdeckung des Sicherheitsbetriebs benötigen, aber nicht über die personellen Ressourcen verfügen, um ein eigenes SOC intern zu betreiben, macht diese Kombination eine Erkennung und Reaktion auf Unternehmensniveau betrieblich realistisch.