Das Priorisierungsparadoxon
Jeden Morgen sieht die Ansicht in einem Sicherheits-Dashboard weitgehend gleich aus. Sie besteht aus einem Block mit rotem Text, der auf Hunderte gefundene Schwachstellen, unzählige IAM-Anomalien sowie auf Terraform-Abweichungen hinweist und einen nicht enden wollenden Strom von Warnmeldungen aus Scannern, Protokollen und Pipelines enthält.
Die meisten dieser Signale sind relevant. Einige davon sogar sehr. Und einige wenige sind so dringlich, dass die technische Leitung schon vor zehn Minuten davon hätte erfahren müssen.
Genau darin besteht die Lücke: Uns fehlt es heute nicht mehr an Transparenz, wir haben Schwierigkeiten bei der Priorisierung.
Wir verfügen über zu viele Daten und haben zu wenig Zeit, um sie in Entscheidungen zu konvertieren. Momentan liegt die Antwort auf die Frage „Wie steht es heute um unsere Sicherheitslage?“ in 15 verschiedenen Quellen verborgen – von Trivy-Scans und Okta-Protokollen bis hin zu CloudTrail-Zugriffsmustern und Compliance-Checklisten.
Dadurch hat die Führungsebene keine Klarheit und die Entwicklungsteams gehen in nicht priorisierten Aufgaben unter. SREs wie wir verbringen zu viel Zeit damit, Daten zusammenzufassen, anstatt tatsächlich Lösungen zu entwickeln.
Anlässlich eines kürzlich durchgeführten internen Hackathons haben wir versucht, dies in den Griff zu bekommen. Wir stellten uns die einfache Frage: Kann KI all diese Einzeldaten absorbieren und in eine kurze, prägnante Textbotschaft umwandeln?
Das Konzept: eine tägliche Sicherheitsübersicht
Wir hatten nicht vor, ein weiteres Dashboard zu entwickeln. Das brauchte wirklich keiner.
Unser Ziel war es, eine Textbotschaft auf einer DIN A4-Seite zu generieren, die sich eine Führungskraft auf dem Weg in die Besprechung schnell noch durchlesen kann, die aber dennoch dem Entwicklungsteam alle Nachweise, Signale und die Zuständigkeit liefert, die es benötigt, um die Probleme zu beheben.
Wir entwickelten einen Prototyp, der unsere bestehenden Sicherheitssignale, eine ressourcenschonende, logikbasierte Bewertungsebene und einen KI-basierten Summarizer (unter Verwendung von RAG) kombinierte, um daraus eine tägliche Sicherheitsübersicht zu erstellen.
So sieht die Ausgabe für eine Führungskraft im Einzelnen aus:
Tägliche Sicherheitsübersicht vom 7. November 2025 – Gesamtstatus: Moderat (⬆ Tendenz steigend)
Top 3-Aktionen
1. Widerruf des öffentlichen Zugriffs auf S3-Bucket customer-export-backup. Es liegen Hinweise auf externe GET-Anfragen von unbekannten IP-Adressen vor. (Vertrauen: Hoch)
2. Patchen von auth-api zur Behebung von CVE-2024-XXXX. Öffentliches Proof of Concept verfügbar. (Vertrauen: Hoch)
3. Untersuchung von zwei ungewöhnlichen Anmeldungen an der Admin-Konsole. Aktivität von einem neuen geografischen Standort/Gerät erkannt. (Vertrauen: Mittel)
Kontext und Beschreibung: „Die meisten Ergebnisse für heute sind Routine, doch zwei Punkte erhöhen das Gesamtrisiko: ein öffentlicher S3-Bucket, der sensible Exporte enthält, und eine kritische OpenSSL-Schwachstelle, für die aktive Exploit-Versuche gemeldet wurden. In Kombination mit ungewöhnlichen IAM-Admin-Aktivitäten empfehlen wir, diese innerhalb der nächsten 48 Stunden zu beheben.“
Schlichte Architektur
Um dies zu erreichen, haben wir eine vierstufige Pipeline entwickelt, die von den Rohdaten bis zur fertig aufbereiteten Textbotschaft führt. Dabei haben wir darauf geachtet, das Ganze nicht zu stark zu technisieren.
Schritt 1: Aufnahme und Normalisierung: Wir aggregieren die Ausgaben all unserer Scanner und Protokolle (Trivy, Tenable, CloudTrail usw.) und konvertieren sie in ein einziges, normalisiertes JSON-Schema. Dadurch ist gewährleistet, dass eine Schwachstelle in einem Container und eine Abweichung in Terraform dieselbe Sprache sprechen.
Schritt 2: Priorisierung und Bewertung (ohne KI): Wir haben bewusst darauf verzichtet, für die Bewertungsebene „Black-Box“-Machine Learning einzusetzen. Stattdessen verwendeten wir eine praktische, logikbasierte Bewertung (0–100), die auf Risikofaktoren basiert.
- Öffentlicher Bucket und Kennzeichnung als personenbezogene Daten? Hohes Risiko.
- CVSS 9.0 und System mit Internetanbindung? Kritisch.
- Abweichung bei einem kritischen Terraform-Modul? Priorisieren.
Diese Filterung stellt sicher, dass sich die KI nur auf die wirklich wichtigen Elemente konzentriert.
Schritt 3: Kontextabruf (RAG-Ebene): Für die wichtigsten Elemente mit hohem Risiko rufen wir den Kontext über eine Vektorsuche ab. Wir führen eine Abfrage in unserer Vektordatenbank durch, um ähnliche Vorfälle in der Vergangenheit, relevante Runbooks, PR-Diffs und Metadaten der Asset-Verantwortlichen zu ermitteln. Dies liefert dem System den benötigten „Speicher“, um zu verstehen, ob eine Anomalie tatsächlich neu ist oder ob es sich um einen wiederkehrenden Fehlalarm handelt.
Schritt 4: KI-Zusammenfassung mit Schutzmaßnahmen: Zum Schluss speisen wir die wichtigsten Elemente und ihren abgerufenen Kontext in ein LLM ein. Um Halluzinationen zu vermeiden, verwenden wir strenge Prompts und weisen das Modell beispielsweise wie folgt an: „Fasse die unten angegebenen Nachweise in 3–4 klaren Sätzen für eine Führungskraft zusammen. Erfinde keine Fakten. Verwende ausschließlich die bereitgestellten Nachweise.“
Worin KI richtig gut ist
Während dieses Experiments haben wir etwas Überraschendes festgestellt: KI ist nicht unbedingt gut darin, Probleme zu finden. Das können unsere Scanner besser.
KI ist allerdings richtig gut darin, Kontext komprimieren.
Die Magie findet nicht bei der Erkennung statt, sondern bei der Zusammenfassung und Darstellung. KI hilft bei der Beantwortung folgender Fragen:
- Was hat sich kürzlich geändert?
- Welche 3 Dinge sind heute wichtig?
- Wer sollte Maßnahmen ergreifen?
Dies ist der Teil, mit dem Menschen Stunden vergeuden, während KI ihn vorbildlich bewältigt.
Lektionen aus dem Experiment
1. 70 % der Ergebnisse sind Datenrauschen
Durch Erzwingen eines strikten Priorisierungsmodells haben wir gelernt, dass die überwiegende Mehrheit der täglichen Feststellungen im Moment keine Rolle spielt. Sie sind nicht unbedingt irrelevant, aber werden heute zumindest nicht behandelt. KI hilft dabei, diejenigen Änderungen zu identifizieren, die sofortige Aufmerksamkeit erfordern.
2. Führungskräfte lesen lieber Text als Kennzahlen
Kennzahlen werden nicht automatisch richtig interpretiert. Führungskräfte bevorzugen eine erklärende Textdarstellung (z. B. „Das ist wichtig, weil ...“ oder „Dies wirkt sich auf Kundenunternehmen aus, ...“) anstelle einer Grafik, die „500 schwerwiegende Sicherheitslücken“ zeigt. Das Textformat ist für Sicherheitsverantwortliche, SREs und die Führungsebene gleichermaßen verständlich und bringt sie sofort zusammen.
3. Entwicklungsteams brauchen den „Anhang“
Während Führungskräfte die Zusammenfassung erhalten, generiert das System auch einen ausführlichen Anhang für das Entwicklungsteam, der nicht aufbereitete Scan-Ergebnisse, CloudTrail-Protokolle, Abweichungen und verlinkte Runbooks enthält. Das Entwicklungsteam stellte fest, dass die KI sie nicht ersetzt, sondern automatisch die Nachweispakete und Abweichungen bereitstellt und somit lediglich lästige Routinearbeit erledigt.
Urteilsvermögen
Dieses System ersetzt nicht das menschliche Urteilsvermögen. KI kann keine Geschäftsrisiken beurteilen, Notfall-Patches genehmigen oder organisatorische Feinheiten verstehen. Sie fungiert als eine Art Junior-Analyst, der einen ersten Entwurf verfasst und die verschiedenen Probleme an die zuständigen Personen weiterleitet.
Durch den Einsatz von praktischer KI, abgesichert durch starke Leitplanken, ist es uns gelungen, unübersichtliche Betriebsdaten in ein System zu übersetzen, mit dem wir jede Woche viele Stunden an manuellem Aufwand einsparen.
Fazit
Moderne Sicherheit ist keine Frage der Transparenz, sondern eine Frage der Priorisierung. Wir brauchen nicht mehr Dashboards, sondern mehr Klarheit. Indem wir eine KI-gestützte Pipeline zum Einspeisen von Signalen und Generieren einer Textausgabe aufbauen, können wir das Datenrauschen erheblich reduzieren und uns stattdessen auf Maßnahmen konzentrieren.
