Security Monitoring: wie KI die moderne Angriffserkennung verändert

In Kürze: Security Monitoring hilft Unternehmen, Cyberangriffe früh zu erkennen, bevor einzelne Auffälligkeiten zu einem größeren Vorfall werden. Entscheidend ist, Signale aus Netzwerk, Endpoints, Identitäten und Cloud im Zusammenhang auszuwerten. KI kann diese Angriffserkennung beschleunigen, ersetzt aber weder vollständige Telemetrie noch klare Detection- und Incident-Response-Prozesse.

Ein erfolgreicher Cyberangriff muss nicht damit beginnen, dass Systeme ausfallen oder plötzlich eine Lösegeldforderung auf dem Bildschirm erscheint. Im besten Fall für Angreifer:innen passiert zunächst genau das Gegenteil: gar nichts.

Ein Benutzerkonto meldet sich an, auf einem Server wird PowerShell ausgeführt oder ein Client kommuniziert mit einer externen IP-Adresse. Alles Vorgänge, die in Unternehmensnetzwerken jeden Tag vorkommen.

Die entscheidende Frage ist deshalb: Woran erkennen Sie, dass hinter normalen Aktivitäten plötzlich ein Angriff steckt?

Wenn Ihr Netzwerk angegriffen wird – wie merken Sie es?

Hier setzt Security Monitoring an. Unternehmen müssen nicht nur möglichst viele Angriffe verhindern, sie müssen auch erkennen können, wenn jemand eine Schutzmaßnahme bereits überwunden hat. Und das möglichst früh.

Das wird gerade noch wichtiger, denn mit leistungsfähigen KI-Systemen wie Claude Mythos zeigt sich, wie stark sich auch Cybersecurity verändert. KI kann Schwachstellen finden, Code analysieren und einzelne Schritte einer Cyberoperation automatisieren. Gleichzeitig kann dieselbe Technologie Security-Teams dabei helfen, Auffälligkeiten schneller aus Millionen von Events herauszufiltern.

Die Frage „Wie merken wir, dass wir angegriffen werden?“ bekommt dadurch eine neue Dringlichkeit.

Warum ein Cyberangriff anfangs oft unauffällig bleibt

Nehmen wir ein einfaches Beispiel: Ein:e Mitarbeiter:in arbeitet normalerweise in Stuttgart. Eines Morgens meldet sich sein oder ihr Account von einem bisher unbekannten Gerät an. Das allein muss noch nichts bedeuten. Vielleicht ist er oder sie unterwegs.

20 Minuten später greift derselbe Account erstmals auf einen internen Server zu. Kurz darauf folgen Verbindungen zu mehreren weiteren Systemen. Auf einem Client wird PowerShell gestartet. Später steigt der ausgehende Datenverkehr ungewöhnlich stark an.

Jetzt sieht die Situation anders aus.

Nicht ein einzelner Logeintrag verrät den Angriff. Die Kombination der Ereignisse macht ihn interessant.

Das ist eine der größten Herausforderungen moderner Angriffserkennung. In großen IT-Umgebungen entstehen jeden Tag Millionen legitimer Aktivitäten und Angreifer:innen versuchen, sich möglichst unauffällig darunterzumischen.

Dass das durchaus funktioniert, zeigen aktuelle Zahlen von Mandiant. Im M-Trends Report 2026 lag die weltweite mediane Dwell Time bei 14 Tagen. Das bedeutet: Zwischen der ersten Kompromittierung und ihrer Entdeckung lagen bei der Hälfte der untersuchten Fälle bis zu zwei Wochen oder länger. 2025 waren es noch elf Tage. Gleichzeitig entdeckten Unternehmen inzwischen 52 Prozent der untersuchten Vorfälle selbst – gegenüber 43 Prozent im Vorjahr.

Das ist einerseits ein Fortschritt, andererseits sind 14 Tage eine lange Zeit, wenn sich jemand bereits im Netzwerk befindet.

Angriffserkennung: Was verrät einen Angriff überhaupt?

Eine universelle Warnmeldung gibt es nicht. Trotzdem hinterlassen Angriffe Spuren.

Auffällig können zum Beispiel Logins von unbekannten Geräten, ungewöhnliche Authentifizierungsversuche, neue administrative Berechtigungen oder Zugriffe auf Systeme sein, die ein:e Benutzer:in normalerweise nie benötigt.

Im Netzwerk wiederum können plötzlich interne Scans auftauchen. Ein Rechner kontaktiert innerhalb kurzer Zeit zahlreiche Hosts oder Ports, DNS-Anfragen verändern sich oder Daten werden zu ungewöhnlichen Zeiten oder in ungewöhnlich großen Mengen übertragen.

Auf dem Endpoint sieht man vielleicht, dass PowerShell, Skripte oder administrative Tools gestartet werden, obwohl dies für den betreffenden Arbeitsplatz untypisch ist.

Das Problem: Fast alles davon kann auch eine legitime Erklärung haben.

Deshalb ist gute Incident Detection keine Suche nach einem einzelnen „bösen Event“. Sie ist die Fähigkeit, Verhalten über mehrere Systeme hinweg einzuordnen.

Für Netzwerkadministratorinnen und -administratoren ist genau dieses Verständnis wichtig. In unserem Workshop: Netzwerksicherheit geht es deshalb nicht nur um Firewalls, sondern unter anderem um Netzwerk-, Host- und Port-Scans, Intrusion Detection, Snort, False Positives und typische Angriffstechniken. Der praktische Nutzen liegt darin, Angriffsspuren nicht nur als Alarmmeldung eines Tools zu sehen, sondern technisch zu verstehen, was dahinter passiert.

Security Monitoring statt Firewall-Denken: warum moderne Angriffserkennung mehr braucht

Firewalls bleiben unverzichtbar, aber die klassische Vorstellung „außen ist gefährlich, innen ist sicher“ funktioniert in modernen IT-Umgebungen nur noch eingeschränkt. Mehr zu den Grenzen klassischer Perimetersicherheit lesen Sie in unserem Beitrag „Die Firewall-Illusion: Warum Perimetersicherheit allein nicht mehr reicht“

IT

Die Firewall-Illusion: Warum Perimetersicherheit allein nicht mehr reicht

Unternehmen arbeiten mit Cloud-Diensten, SaaS-Anwendungen, mobilen Geräten, Homeoffice-Arbeitsplätzen und externen Partnerinnen und Partnern. Gleichzeitig gehören gestohlene Zugangsdaten und Software-Schwachstellen zu den wichtigsten Einstiegspunkten.

Der Verizon Data Breach Investigations Report 2026 zeigt hier eine bemerkenswerte Entwicklung: Die Ausnutzung von Software-Schwachstellen war mit 31 Prozent erstmals der häufigste Einstiegspunkt bei den untersuchten Breaches und lag damit vor gestohlenen Zugangsdaten. Verizon verweist gleichzeitig darauf, dass KI die Geschwindigkeit solcher Angriffe weiter erhöhen kann.

Für die Angriffserkennung bedeutet das: Unternehmen brauchen mehrere Blickwinkel gleichzeitig.

Ein IDS oder IPS beobachtet den Netzwerkverkehr. Endpoint-Security zeigt, was auf Clients und Servern passiert. Identity-Systeme liefern Informationen über Anmeldungen und Berechtigungen. Cloud-Plattformen erzeugen eigene Security-Logs.

Erst wenn diese Informationen zusammengeführt werden, entsteht ein vollständigeres Bild.

Warum ein SIEM nicht nur „mehr Logs“ bedeutet

Viele Unternehmen sammeln bereits enorme Mengen an Logdaten. Das ist allerdings noch kein Security Monitoring, dennein Ordner mit Millionen Events schützt niemanden.

Der Mehrwert eines SIEM (Security Information and Event Management) liegt darin, relevante Ereignisse aus unterschiedlichen Quellen miteinander zu verbinden.

Stellen Sie sich wieder den kompromittierten Account vor:

• Das Identity-System sieht die ungewöhnliche Anmeldung.
• Der Endpoint erkennt den Start eines verdächtigen Prozesses.
• Die Firewall sieht eine neue externe Verbindung.
• Der Server protokolliert ungewöhnliche Zugriffe.

Einzeln betrachtet entstehen daraus möglicherweise vier Warnmeldungen in vier verschiedenen Systemen. In einem SIEM hingegen können sie zu einem gemeinsamen Incident werden.

Genau deshalb sind Plattformen wie Microsoft Sentinel im Security Operations Center wichtig. Wer sich praktisch mit Datenquellen, Erkennungsregeln und Automatisierung auseinandersetzen möchte, findet diese Themen beispielsweise im Training Konfigurieren von SIEM-Sicherheitsvorgängen mit Microsoft Sentinel (SC-5001).

Noch wichtiger als das konkrete Produkt ist allerdings das Prinzip dahinter: Security-Daten müssen zusammengebracht werden.

Wie KI Security Monitoring und Incident Detection verändert

Bis hierhin ist eigentlich nichts neu. Unternehmen sammeln Logs, definieren Regeln und suchen nach Auffälligkeiten. Das Problem ist die Menge.
Ein Security-Team kann nicht jeden Login, jede DNS-Abfrage und jede Netzwerkverbindung einzeln prüfen. Genau hier wird KI interessant.

Sie kann beispielsweise lernen, welches Verhalten für eine Benutzerin oder einen Benutzer, einen Server oder ein Gerät normalerweise üblich ist. Weicht die Aktivität deutlich davon ab, steigt die Priorität.

Statt also nur zu fragen: „Hat sich jemand erfolgreich angemeldet?“ kann ein System stärker berücksichtigen: „Hat sich dieser Benutzerin oder dieser Benutzer normalerweise um diese Zeit von diesem Gerät aus angemeldet und danach auf diese Systeme zugegriffen?“

Der Unterschied wirkt klein, ist aber entscheidend. KI kann Security-Analystinnen und -Analysten zudem helfen, Alerts zusammenzufassen, Incidents zu priorisieren oder große Mengen an Telemetrie schneller zu untersuchen.

Bei Microsoft Defender XDR gehört der Einsatz von KI und Automatisierung inzwischen beispielsweise ausdrücklich zu den Funktionen für Threat Detection und Incident Response. Im Training Schützen Sie sich mit Microsoft Defender XDR vor Cyberbedrohungen (SC-5004) wird genau dieses Zusammenspiel aus Erkennung, Analyse und automatisierter Reaktion behandelt.

KI ersetzt dabei aber kein funktionierendes Monitoring. Wenn Sie einen Server nicht protokollieren, kann auch eine KI dessen Logs nicht analysieren. Wenn ein Cloud-Service nicht angebunden ist, entsteht ein blinder Fleck. Und wenn niemand festgelegt hat, wann ein Alert wirklich kritisch ist, produziert eine leistungsfähige Plattform am Ende möglicherweise nur noch mehr Warnmeldungen.

Claude Mythos zeigt, wie schnell sich die andere Seite entwickelt

Warum sollte man sich gerade jetzt intensiver mit Angriffserkennung beschäftigen?

Ein interessantes Beispiel kommt von Anthropic. Im April 2026 stellte das Unternehmen zunächst Claude Mythos Preview vor. In internen Security-Tests zeigte das Modell Fähigkeiten, die noch vor kurzer Zeit deutlich mehr menschliche Unterstützung benötigt hätten.

Anthropic berichtet unter anderem von einer 17 Jahre alten Schwachstelle im NFS-Server von FreeBSD. Mythos Preview fand die Schwachstelle nach dem initialen Auftrag selbstständig und entwickelte einen funktionierenden Exploit. Das Modell zeigte außerdem Fähigkeiten beim Finden von Schwachstellen in Betriebssystemen, Browsern und anderen großen Softwareprojekten.

Im Juni folgte Claude Mythos. Anthropic beschreibt Mythos als Weiterentwicklung von Mythos Preview und stellt das Modell aufgrund seiner Cybersecurity-Fähigkeiten derzeit nur ausgewählten Partnerinnen und Partnern mit entsprechendem Zugang zur Verfügung.

Besonders interessant ist dabei nicht die Frage, ob eine KI „hacken kann“, sondern vielmehr, wie viel schneller bestimmte Arbeitsschritte werden können.

Im Rahmen von Project Glasswing nutzten Anthropic und rund 50 Partner Mythos Preview, um kritische Software nach Schwachstellen zu durchsuchen. Bereits wenige Wochen nach Projektstart berichtete Anthropic von mehr als 10.000 gefundenen Schwachstellen mit hoher oder kritischer Einstufung. Der Engpass verschob sich damit: Nicht mehr das Finden der Schwachstellen war das Hauptproblem, sondern ihre menschliche Prüfung, Meldung und Behebung.

Für Verteidiger:innen ist das zunächst eine gute Nachricht. Dieselben Fähigkeiten können genutzt werden, um Software schneller sicherer zu machen.

Aber natürlich stellt sich sofort die andere Frage: Was passiert, wenn Angreifer:innen ähnliche Möglichkeiten einsetzen?

KI-Einsatz bei Cyberangriffen auf Unternehmen: Was heute bereits Realität ist

Dafür muss man nicht spekulieren.

Anthropic berichtete bereits im November 2025 über eine Cyber-Spionagekampagne, bei der eine mutmaßlich staatlich unterstützte chinesische Gruppe Claude Code für Angriffe einsetzte.

Nach Angaben von Anthropic versuchte das System, rund 30 Organisationen zu infiltrieren. Betroffen waren unter anderem Technologieunternehmen, Finanzinstitute, Chemieunternehmen und Behörden. Bei einer kleinen Zahl der Ziele war die Kampagne erfolgreich.

Bemerkenswert war vor allem der Automatisierungsgrad. Laut Anthropic erledigte die KI etwa 80 bis 90 Prozent der Aktivitäten innerhalb der Kampagne, während Menschen nur an einigen entscheidenden Punkten eingriffen. Claude Code wurde beispielsweise für Reconnaissance, die Untersuchung von Schwachstellen und weitere Schritte innerhalb der Operation eingesetzt.

Natürlich stammt diese Einschätzung vom Anbieter selbst und sollte entsprechend eingeordnet werden. Trotzdem zeigt der dokumentierte Vorfall eine Entwicklung, mit der Security-Teams rechnen müssen: Ein:e Angreifer:in muss künftig nicht mehr jeden technischen Schritt selbst durchführen.

Und damit wird Zeit zu einem noch wichtigeren Faktor.

Cyberangriff im Unternehmen: Würden Sie diese Angriffsspuren erkennen?

Nehmen wir ein Unternehmen mit 700 Mitarbeitenden, Microsoft 365, Azure, mehreren lokalen Servern und einigen SaaS-Anwendungen.

Ein Benutzerkonto wird kompromittiert.

• 08:37 Uhr: Der Account meldet sich erfolgreich an. Kein Passwortfehler, kein offensichtlicher Alarm.
• 08:49 Uhr: Der/Die Benutzer:in greift auf einen Server zu, den er/sie in den vergangenen sechs Monaten nie verwendet hat.
• 09:02 Uhr: Auf einem Client wird ein administratives Skript gestartet.
• 09:09 Uhr: Innerhalb weniger Minuten werden zahlreiche interne Systeme angesprochen.
• 09:18 Uhr: Eine Verbindung zu einer bisher unbekannten externen Infrastruktur entsteht.
• 09:31 Uhr: Das ausgehende Datenvolumen steigt deutlich an.

Was davon ist der Cyberangriff?

Eigentlich nichts davon – zumindest nicht für sich allein. Die Stärke einer guten Detection-Architektur liegt darin, diese Ereignisse zusammenzuführen. Das Identity-System liefert den Login, die Endpoint-Telemetrie zeigt den Prozess, das Netzwerk-Monitoring erkennt die internen Verbindungen unddas SIEM stellt fest, dass mehrere Alerts dieselbe Identität und denselben Rechner betreffen. Vielleicht erkennt eine verhaltensbasierte Analyse zusätzlich, dass diese Aktivitäten für diesen Account extrem ungewöhnlich sind.

Jetzt erhält ein:e Security Analyst:in nicht sechs voneinander unabhängige Hinweise, sondern einen Incident, der eine Untersuchung verdient. Genau darum geht es bei guter Incident Detection.

Was Unternehmen konkret prüfen sollten

Es ist verlockend, bei diesem Thema zuerst über neue Tools oder KI-Produkte zu sprechen. Sinnvoller ist es, mit einigen einfachen Fragen zu beginnen:

Sehen wir, was in unseren wichtigsten Systemen passiert?

Sind Identity, Endpoint, Netzwerk, Cloud und kritische Anwendungen ausreichend protokolliert?

Können wir die Daten miteinander verbinden?

Ein ungewöhnlicher Login und eine ungewöhnliche Netzwerkverbindung sind deutlich wertvoller, wenn sichtbar ist, dass sie zur selben Benutzerin oder zum selben Benutzer gehören.

Wissen wir, was normales Verhalten ist?

Wer Anomalien erkennen will, benötigt eine Vorstellung davon, welche Aktivitäten in der eigenen Umgebung üblich sind.

Sind unsere Alerts tatsächlich hilfreich?

Ein SOC mit 5.000 Warnmeldungen pro Tag ist nicht automatisch besser als eines mit 500. Wenn relevante Events unter False Positives verschwinden, sinkt die tatsächliche Erkennungsfähigkeit.

Und was passiert nach der Erkennung?

Wer darf eine Benutzerin oder einen Benutzer sperren? Wann wird ein Endpoint isoliert? Wer untersucht weitere betroffene Systeme? Wann wird das Management einbezogen?

Detection ohne Incident Response löst nur die Hälfte des Problems.

Für Security-Fachkräfte, deren Schwerpunkt genau auf der Untersuchung solcher Ereignisse liegt, passt beispielsweise Microsoft Security Operations Analyst (SC-200). Dort stehen Security Operations, Threat Hunting, Microsoft Sentinel und die Analyse und Reaktion auf Incidents im Mittelpunkt. Für Verantwortliche, die das Thema stärker aus Sicht der gesamten Security-Architektur betrachten, geht Microsoft Cybersecurity Architect (SC-100) einen Schritt darüber hinaus und verbindet unter anderem Zero Trust, SIEM, Incident Management, Identity und Security Operations.

Drei Dinge bleiben trotz KI unverändert

Bei aller Dynamik rund um Claude Mythos, autonome Agenten und KI-gestützte Cyberangriffe sollte man eines nicht vergessen: Die Grundlagen verschwinden nicht.

1. Sie brauchen Sichtbarkeit. Was Sie nicht überwachen, können Sie nicht erkennen.
2. Sie brauchen Kontext. Ein einzelner Logeintrag sagt selten genug aus.
3. Sie brauchen Menschen, die verstehen, was sie sehen. KI kann Events sortieren, Zusammenhänge vorschlagen und Analysen beschleunigen. Ob ein ungewöhnliches Verhalten tatsächlich ein Angriff ist und welche Reaktion angemessen ist, bleibt eine Security-Aufgabe.

Gerade deshalb verändert KI die Rolle von Security-Teams eher, als dass sie sie ersetzt. Es sollte weniger Zeit darauf verwendet werden.  tausende Events manuell durchzugehen. Dann kann mehr Zeit kann in Threat Hunting, Detection Engineering, die Analyse komplexer Incidents und die Verbesserung der eigenen Sicherheitsarchitektur fließen.

Fazit: Wie schnell würden Sie einen Angriff bemerken?

Cyberangriffe werden nicht gefährlich, weil ein neues KI-Modell existiert. Gefährlich wird es, wenn Angreifer:innen schneller handeln als Unternehmen erkennen und reagieren können.

Aktuelle Entwicklungen rund um Claude Mythos zeigen, wie stark KI technische Security-Aufgaben beschleunigen kann. Gleichzeitig zeigen Mandiant und Verizon, dass bekannte Schwachstellen, gestohlene Identitäten und verspätete Erkennung weiterhin ganz reale Probleme sind.

Für Unternehmen bedeutet das: Security Monitoring muss Netzwerk, Endpoint, Identity und Cloud zusammendenken. IDS/IPS, SIEM und XDR liefern die technischen Bausteine und KI kann helfen, darin schneller die relevanten Signale zu finden.

Am Ende bleibt aber eine sehr einfache Frage: Wenn heute jemand in Ihrem Netzwerk aktiv wäre – wie lange würde es dauern, bis Ihr Team es bemerkt?

Wer diese Frage nicht sicher beantworten kann, sollte genau dort mit der Verbesserung seiner Security-Prozesse und dem Aufbau des notwendigen Know-hows beginnen.

Security Monitoring mit passender Schulung stärken

Wir beraten Sie, welche Schulung zu Security Monitoring, SIEM, XDR oder Incident Detection am besten zu den Anforderungen Ihres Teams passt.

Jetzt Beratung anfragen

FAQ: Häufig gestellte Fragen zur Angriffserkennung im Netzwerk

War dieser Artikel hilfreich für Sie?

Geschrieben von

Sadek Murad

Sadek Murad entwickelt als Produktmanager für die Themenbereiche Cloud, Cybersecurity und SAP zukunftsorientierte und praxisnahe Lernformate für Unternehmen. Seine Kernkompetenz liegt dabei vor allem im Bereich der Cloud Architekturen und der Automatisierung. Durch seine Erfahrung im IT-Consulting und Weiterbildungen in AWS, Azure, Docker sowie Kubernetes kennt er die aktuellen Herausforderungen der IT-Landschaft. Sein Anspruch: Organisationen technologisch zukunftssicher aufstellen und nachhaltige Kompetenzen mit echtem Mehrwert vermitteln.