KI-SOC-Agenten vs. SOAR: Was hat sich tatsächlich geändert?

KI-SOC-Agenten vs. SOAR: Was hat sich tatsächlich geändert?

Zwei Behauptungen haben das Marketing im Bereich Security Operations (SecOps) in den letzten zwei Jahren dominiert und widersprechen sich. 

• Erstens: SOAR ist Geschichte und wird durch KI-gestützte SOC-Agenten ersetzt. 
• Die zweite Möglichkeit: KI-SOC-Agenten sind im Grunde nur SOAR mit einem nachträglich hinzugefügten Sprachmodell. 

Beide Ansätze sind falsch, und genau in der Lücke zwischen ihnen wird ein Großteil des Evaluierungsbudgets schlecht ausgegeben. 

Gartners Hype Cycle 2024 stufte SOAR als “vor Erreichen des Plateaus veraltet” ein, was die erste Behauptung untermauerte. Doch die Marktstruktur einer Kategorie und ihre Kundenbedürfnisse sind unterschiedliche Dinge, und nur eines von beiden ist verschwunden. Der Rest dieses Blogbeitrags erläutert die Faktenlage und beschreibt, was SOAR bewirkt hat, welche Akteure sich verändert haben, was nicht und auf welche zweischichtige Architektur sich Produktionsimplementierungen zunehmend konzentrieren.

Was der Markt hinsichtlich des Rückgangs von SOAR richtig vorhergesagt hat 

SOAR leistete in einer Sache Außergewöhnliches: Es kodierte bekannte Abläufe in ausführbare Workflows. Notieren Sie, wie Ihr Team mit einer gemeldeten Phishing-E-Mail umgeht (Analyse, Entschlüsselung von Anhängen, Überprüfung der URL, Suche nach weiteren Empfängern, Quarantäne, Benachrichtigung), und SOAR führte diesen Ablauf identisch, in Maschinengeschwindigkeit, zehntausend Mal am Tag und mit einem Protokoll jedes einzelnen Schrittes aus.

Seine Vorzüge waren Determinismus, Wiederholbarkeit und Nachvollziehbarkeit. Dieselbe Eingabe führte zum selben Ablauf. Man konnte einem Prüfer genau zeigen, was ablief und warum.

Die Kehrseite der Medaille waren die Grenzen. Playbooks deckten nur Situationen ab, die ihre Autoren vorhergesehen hatten. Ihre Erstellung und Pflege erforderten einen erheblichen Entwicklungsaufwand und einen strukturierten Datenfluss, den die meisten Teams unterschätzten. Gartners Kritik konzentrierte sich auf diesen Wartungsaufwand sowie auf die Marktkonsolidierung und die damit verbundenen Kosten. Zudem konnte ein Playbook keine Entscheidungen treffen. Bei Unklarheiten verzweigte es sich nur anhand zuvor definierter Bedingungen. 

Das führte zu einer Arbeitsverteilung, die jedem bekannt sein dürfte, der schon einmal an einer SOC-Tool-Überprüfung teilgenommen hat. Die Teams automatisierten den gut verstandenen, wiederholbaren Teil ihres Alarmaufkommens und ertranken in dem restlichen, mehrdeutigen Alarmaufkommen – jenen Alarmen, die eine eingehende Prüfung, Analyse und Entscheidung durch einen Analysten erforderten. Playbooks bewältigten das große Volumen. Die Ermittlungsarbeit blieb jedoch menschlich.

Welche Agenten Genau genommen geändert 

KI-gestützte SOC-Agenten gehen die verbleibenden Warnmeldungen mit einem grundlegend anderen Ansatz als SOAR an – nicht nur mit inkrementellen Änderungen. Ein Agent folgt keinem vordefinierten Pfad, sondern entwickelt seinen eigenen. Er liest die Warnmeldung, entscheidet, welche Beweise sie bestätigen oder widerlegen, fragt Systeme nach diesen Beweisen ab, passt seine Vorgehensweise anhand der eingehenden Ergebnisse an und fällt ein Urteil mit schriftlicher Begründung. 

Playbooks legen das Vorgehen fest. Agenten treffen eine ungefähre Einschätzung.

Das ist eine echte Fähigkeitserweiterung, keine bloße Umbenennung. Deterministische Automatisierung konnte neuartige, mehrdeutige Warnmeldungen bisher nicht strukturell untersuchen. Das ist nun teilweise möglich. Die Annahme, man könne mit SOAR und einem LLM auskommen, hält einer Überprüfung im praktischen Einsatz nicht stand.

Welche Agenten haben sich nicht geändert?

Urteilsvermögen gehört zum Beruf. Agenten arbeiten mit Wahrscheinlichkeiten. Führt man dieselbe Untersuchung zweimal durch, ergeben sich unterschiedliche Wege und mitunter auch unterschiedliche Schlussfolgerungen. Sie können sich durchaus irren.

Eine LLM-Schleife ist auch das falsche Werkzeug für bereits deterministische Prozesse. Kein Sicherheitsverantwortlicher möchte ein Modell, das eine Eindämmungssequenz, einen Beweissicherungsschritt oder eine Benachrichtigungskette an die Aufsichtsbehörde improvisiert. Diese Prozesse müssen jedes Mal exakt und nachweisbar ausgeführt werden.

Deshalb scheitert die Erzählung vom Ersatz. Deterministische Ausführung, durchgesetzte Prozesse, Integrationsstrukturen und Audits sind weiterhin notwendig. Sie sind sogar noch notwendiger geworden, da nun ein probabilistisches System integriert ist und genau diese Eigenschaften benötigt.

Wo SOAR- und KI-SOC-Implementierungen konvergieren 

In der Produktion werden die beiden Fähigkeiten zu Schichten zusammengefügt.

• Schicht 1, Agentenlogik: Triage, Untersuchung, Urteil, Empfehlung. Die ambivalente Zwischenwelt.
• Schicht 2, deterministische Ausführung: Welche Aktionen auf welcher Autonomiestufe zulässig sind, was einer menschlichen Genehmigung bedarf, wie die Eindämmung abläuft, was protokolliert wird und was geschieht, wenn das Vertrauen des Agenten sinkt. Die Evaluierungsleitlinien von Gartner für 2026 weisen in dieselbe Richtung und fordern verbindliche Schutzmechanismen für Aktionen mit hoher Auswirkung sowie eine Eskalation als Standard bei Unklarheiten.

Man könnte es Agenten innerhalb von Leitplanken nennen. Die Logikschicht arbeitet probabilistisch. Die Berechtigungs- und Ausführungsschicht hingegen nicht. Teams, die Agenten ohne diese zweite Schicht einsetzen, vertrauen auf die Selbstbeschränkung eines Modells, und eine Eingabeaufforderung ist keine Kontrollmaßnahme. Teams, die weiterhin auf reines SOAR setzen, bezahlen Analysten für erste Beurteilungen, die Maschinen mittlerweile übernehmen können.

Was bedeutet das für die Bewertung der SOC-Automatisierung? 

Die Frage nach der Architektur eines KI-basierten SoC spaltet sich in vier Kauffragen auf, und diese trennen den Markt schneller als jede Merkmalsmatrix:

1. Lässt sich das Urteil eines Agenten auf die von ihm geprüften Beweismittel zurückführen und diese Nachvollziehbarkeit für einen Prüfer reproduzieren?
2. Wo werden die Berechtigungen für Aktionen festgelegt: in der Eingabeaufforderung oder in einer durchgesetzten Richtlinienebene außerhalb des Modells?
3. Was passiert bei geringem Vertrauen, und wer legt diesen Schwellenwert fest?
4. War die deterministische Ausführungsschicht des Anbieters vor der KI vorhanden oder wurde sie nachträglich als Wrapper hinzugefügt?

Diese letzte Frage wird von Käufern oft übersehen. Anbieter, die Orchestrierung als veraltete Technologie betrachten, liefern letztendlich nur unkontrollierbare Agenten. Anbieter, die Agenten als Zusatzfunktion anbieten, liefern lediglich eine Zusammenfassungsfunktion. Wir bei Swimlane haben daher kontinuierlich in die Ausführungsschicht investiert, anstatt sie zu ersetzen, da wir wissen, dass steuerbare Autonomie beides erfordert und die deterministische Komponente deutlich schwieriger nachzurüsten ist.

Fazit: Was geschah mit dem SOAR-Markt? 

Der Markt für eigenständige SOAR-Systeme verschwand, wie von Gartner beschrieben, und wurde in umfassendere Plattformen integriert. Die Disziplin selbst blieb jedoch bestehen. Orchestrierung, deterministische Ausführung und Auditierung bildeten die Grundlage, die die Autonomie von Agenten steuerbar macht.

Geändert hat sich die Arbeitsteilung. Maschinen treffen die erste Beurteilung, und Menschen steuern die Maschinen. Die dafür zuständige Infrastruktur wird selten in der Demo gezeigt und entscheidet darüber, ob irgendetwas davon die Prüfung durch Ihren Auditor übersteht.