Ein Leitfaden für SOC-Leiter zur SANS-KI-Umfrage 2026

Warum ist KI nach wie vor schwer zu vertrauen, zu messen und zu steuern? Ein Leitfaden für SOC-Leiter zur SANS-KI-Umfrage 2026.

Ich hatte kürzlich die Gelegenheit, an einer Podiumsdiskussion teilzunehmen und einige der Ergebnisse zu erläutern. diesjährige SANS-KI-Umfrage, Insbesondere im Hinblick auf das Security Operations Center (SOC). Es ist die Frage, die alle Anwesenden immer wieder beschäftigt: Warum ist KI nach wie vor schwer zu vertrauen, zu messen und zu steuern? Ich möchte Ihnen die verschiedenen Wege aufzeigen, wie wir diesem Vertrauensaspekt näherkommen und wie Ihr SOC genau der Ort ist, an dem diese Lücken zuerst geschlossen werden.

Holen Sie sich den SANS AI-Bericht.

Das SOC ist nach wie vor das Lebenselixier.

Die Sicherheitslage entwickelt sich derzeit in viele Richtungen. Identitätsmanagement, Schwachstellenmanagement, Patching, KI-Governance und Compliance – CISOs haben alle Hände voll zu tun! Doch im Kern bleibt das SOC die zentrale Säule. Jedes Protokoll, jede erste Warnung, ob intern oder über einen MSSP bearbeitet, wird weiterhin von demselben Team verarbeitet. Daher betrachte ich die Entwicklung der KI-Einführung zunächst aus dieser Perspektive.

Die Kluft zwischen Adoption und Reife

Eines der deutlichsten Muster in der SANS AI 2026-Umfrage ist der Rückgang zwischen den Stellen, an denen Organisationen berichten Adoption KI und wo sie nach eigenen Angaben hinkommen ausgereifte Produktion Die Nutzung ähnelt einer Kürzung gemäß 50%. Und ich glaube, ich weiß warum. Zu viele Unternehmen setzen KI zuerst ein und fragen dann den Anbieter oder das interne Team: “Okay, und was ist jetzt unser Anwendungsfall?” Das ist der falsche Ansatz. Wir sollten mit dem angestrebten Ergebnis beginnen und uns dann überlegen, wie KI uns dabei hilft, dorthin zu gelangen – nicht KI einführen, weil der Vorstand es so angeordnet hat, und den Anwendungsfall erst im Nachhinein entwickeln.

Bereiche, in denen KI meiner Meinung nach schnell und unkompliziert eingesetzt werden kann, sind die Protokollanalyse, die Erklärung von Bedrohungen und die Berichtserstellung. Die Zusammenfassung von Daten ist eine Stärke der KI: Sie kann verschiedene Datenpunkte so zusammenführen, dass ein Mensch schnell darauf reagieren kann und dabei die Struktur des Ergebnisses mitbestimmen kann. Das sind die naheliegenden Anwendungsfälle. Die größere Herausforderung liegt in allem, was darüber hinausgeht.

Deterministisch vs. nicht-deterministisch: Wo die eigentliche Arbeit stattfindet

Viele der Bedenken, die ich gegenüber KI im SOC höre, lassen sich auf ein Erwartungsproblem zurückführen. Man erwartet von der KI absolute Perfektion, bevor man ihr vertraut, und ignoriert dabei geflissentlich, dass auch unsere eigenen Analysten nicht deterministisch vorgehen. Gibt man fünf Analysten dasselbe Ticket, erhält man möglicherweise fünf verschiedene Herangehensweisen, die alle von ihrer jeweiligen Erfahrung und Expertise geprägt sind. Wie ich es in der Podiumsdiskussion formulierte:

“Wir alle haben unsere eigene Version eines gegrillten Käsesandwiches, die wir gerne essen. Verschiedene Käsesorten, verschiedene Röstmethoden, alles Mögliche. Wir sind eben auch nicht deterministisch.”

Die Bedrohungsanalyse ist ein gutes Beispiel dafür. Jeder Analyst interpretiert einen VirusTotal-Score anders: Ist 2 von 72 ein Warnsignal oder irrelevant? Was ist mit 57 von 72? Verschiedene Analysten gelangen zu unterschiedlichen Einschätzungen, und diese sind mit dem Schichtende nicht mehr gültig. KI kann hier jedoch einheitliche Leitlinien für die Priorisierung festlegen und dem ermittelnden Mitarbeiter vordefinierte Gewichtungen und Anforderungen an die Hand geben. Sie ist zwar nicht vollständig deterministisch, kommt der Konsistenz aber deutlich näher, und diese Konsistenz ist es, die den Weg zu einer automatisierten Reaktion ebnet.

Wo Automatisierung tatsächlich Vertrauen verdient

Wenn man “automatisierte Reaktion” hört, denkt man meist zuerst: “Ich will nicht, dass die KI das Konto meines CEOs schließt oder die Sitzungen eines VIP-Kunden zurücksetzt.” Und dieser Instinkt ist berechtigt; hier sollte Automatisierung nicht ansetzen. Erfolgreich sind Teams meiner Erfahrung nach bei Fehlalarmen, bei unbedeutenden Meldungen und bei Warnmeldungen, die eindeutig auf Fehleinstellungen oder Fehlkonfigurationen beruhen. Wenn die KI mit hoher Wahrscheinlichkeit bestätigen kann, dass etwas harmlos ist, sollte sie es schließen und den Analysten fernhalten. So können sich Analysten auf die wirklich wichtigen Untersuchungen konzentrieren: den erfolgreichen Phishing-Klick, die ersten Anzeichen von Ransomware, anstatt sich durch irrelevante Meldungen zu wühlen. Das ist das optimale Zusammenspiel: nicht-deterministische Beurteilung gepaart mit deterministischen Schutzmechanismen – jedes System erfüllt seine Stärken.

Vertrauen erfordert Kontext, nicht nur Geschwindigkeit.

Ich habe schon unzählige Male erlebt, wie Anbieter KI einsetzen und zwei Minuten später behaupten, sie würde Probleme lösen. Ich schätze die Schnelligkeit, aber Schnelligkeit ist nicht gleich Vertrauen. Vertrauen entsteht durch Kontext. Ein KI-Modell, das Formulierungen in Geschenkkarten als Phishing-Indikator kennzeichnet, mag für ein Pharmaunternehmen genau richtig sein, für einen großen Einzelhändler, für den Geschenkkarten zum Tagesgeschäft gehören, aber völlig ungeeignet. Ohne Ihre Wissensdatenbank, Ihre Betriebshandbücher und Ihre Eskalationskriterien, die in die Entscheidungsfindung der KI einfließen, werden Sie Fehlalarme und Fehlalarme erhalten, die das Vertrauen schnell untergraben.

Das ist genau die schrittweise Herangehensweise, die ich befürworte. KI muss ihre Arbeitsweise transparent machen, jeden Schritt nachvollziehbar gestalten und dem menschlichen Prüfer genau sagen, was zu überprüfen ist, anstatt ihn alles von Grund auf neu prüfen zu lassen. 

Die SANS-Daten bestätigen dies: 631 von 30 Befragten berichten von erheblichen Defiziten in der Fähigkeit von KI, Bedrohungen zu erkennen oder darauf zu reagieren. Das bedeutet, dass nur 371 von 30 angeben, KI tatsächlich zu vertrauen. Diese Diskrepanz korreliert eng mit der nach wie vor geringen Nutzung automatisierter Maßnahmen: In der Umfrage von 2026 liegt die Nutzung automatisierter Reaktion auf Sicherheitsvorfälle bei 391 von 30. Praktiker zeigen uns genau, wo sie bisher Vertrauen gesetzt haben – und das ist nicht sehr weit. Die Faktoren, die dieses Vertrauen schaffen, sind dieselben, die die Überprüfung und Steuerung des Tools ermöglichen, da es verifizierbar ist.

Wohin uns das führt

Die SANS-KI-Studie 2026 bestätigt, was viele von uns bereits aus Erfahrung wussten: Die Einführung schreitet schneller voran als die Reife, Vertrauen bleibt der Engpass, und Governance wird zwar häufiger als wichtig erkannt, aber nicht formalisiert. Das heißt nicht, dass KI nicht funktioniert. Es bedeutet vielmehr, dass das Security Operations Center (SOC) weiterhin der Testbereich ist, in dem deterministische Automatisierung und nicht-deterministische KI lernen müssen, Hand in Hand zu arbeiten, wobei Kontext und Erklärbarkeit maßgeblich zum Vertrauensaufbau beitragen.

Dieser Blogbeitrag war lediglich meine Interpretation des Berichts zu SOC und KI. Wenn Sie die vollständigen Daten hinter diesen Trends erfahren möchten, empfehle ich Ihnen, den Bericht selbst durchzulesen.

Laden Sie den SANS-KI-Umfragebericht 2026 herunter.