KI-Anomalieerkennung in der Cybersecurity

Wie Anomalieerkennung funktioniert

Grundlage ist eine Verhaltensbasislinie (Baseline). Das System beobachtet über einen Lernzeitraum, wann sich Benutzer typischerweise anmelden, welche Server miteinander kommunizieren, welche Datenmengen ein Dienst üblicherweise überträgt oder welche Prozesse auf einem Client laufen. Anschließend bewertet es neue Ereignisse danach, wie stark sie von diesem Muster abweichen.

Typische Verfahren sind:

• Statistische Modelle: Abweichungen von Mittelwerten und saisonalen Mustern, z. B. ungewöhnlich viele fehlgeschlagene Anmeldungen am Wochenende.
• Unüberwachtes Lernen: Verfahren wie Clustering, Isolation Forest oder Autoencoder erkennen Datenpunkte, die zu keiner bekannten Gruppe passen.
• Peer-Group-Analyse: Ein Konto wird mit vergleichbaren Konten verglichen, etwa ein Buchhaltungsmitarbeiter, der plötzlich auf Entwicklungsserver zugreift.
• Sequenzanalyse: Erkennung ungewöhnlicher Abfolgen, z. B. Anmeldung, Rechteausweitung und Massenzugriff auf Dateifreigaben innerhalb weniger Minuten.

Eingesetzt wird das in User and Entity Behavior Analytics (UEBA), in Network Detection and Response (NDR), in EDR/XDR-Lösungen und in modernen SIEM-Plattformen.

Typische Anwendungsfälle

• Kontoübernahmen erkennen: Anmeldung aus ungewohntem Land, unmögliche Reisezeiten, neue Geräte, ungewöhnliche Postfachregeln in Microsoft 365.
• Seitliche Bewegung (Lateral Movement) im Netz: ein Client, der plötzlich viele andere Systeme per SMB oder RDP anspricht.
• Datenabfluss: untypische Upload-Volumina zu Cloud-Speichern oder DNS-Tunneling.
• Frühe Ransomware-Indikatoren: massenhaftes Umbenennen oder Verschlüsseln von Dateien.
• Missbrauch von KI-Diensten: auffällige Token- und Kostenspitzen bei KI-APIs oder ungewöhnliche Abfragemuster, die auf Modellextraktion oder gestohlene API-Schlüssel hindeuten.

Grenzen und Risiken

Anomalieerkennung ist kein Selbstläufer. Nicht jede Anomalie ist ein Angriff, und nicht jeder Angriff ist eine Anomalie:

• Fehlalarme: Jahresabschluss, Homeoffice-Wellen oder neue Software erzeugen legitime Abweichungen. Ohne Feinjustierung ermüdet das Team (Alert Fatigue).
• Konzeptdrift: Normales Verhalten ändert sich laufend. Modelle müssen nachtrainiert und ihre Qualität überwacht werden.
• Vergiftete Baseline: Ist ein Angreifer bereits während der Lernphase aktiv, gilt sein Verhalten als normal. Auch ein langsames, schrittweises Vorgehen kann unter der Erkennungsschwelle bleiben.
• Nachvollziehbarkeit: Ein Risikowert ohne Begründung hilft Analysten wenig. Achten Sie darauf, dass das Werkzeug erklärt, welche Merkmale einen Alarm ausgelöst haben.
• Datenschutz: Verhaltensanalyse von Beschäftigten verarbeitet personenbezogene Daten. Zweckbindung, Datenminimierung, Speicherfristen und in der Regel eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sind zu beachten; in Unternehmen mit Betriebsrat besteht bei technischen Überwachungseinrichtungen regelmäßig ein Mitbestimmungsrecht.

Einführung in der Praxis

1. Datenquellen festlegen: Identitäten (Entra ID, Active Directory), Endpunkte, Firewall bzw. Proxy, Cloud- und KI-Dienste. Qualität und Vollständigkeit der Logs gehen vor Menge.
2. Anwendungsfälle priorisieren: mit wenigen, klar beschriebenen Szenarien starten, etwa Kontoübernahme und Datenabfluss.
3. Lernphase begleiten: Baseline bewusst aufbauen, bekannte Sonderfälle dokumentieren und ausnehmen.
4. Mit Regeln kombinieren: Anomalieerkennung ergänzt signatur- und regelbasierte Erkennung, sie ersetzt sie nicht.
5. Reaktion definieren: Für jeden Alarmtyp festlegen, wer prüft und welche Maßnahmen folgen – idealerweise rund um die Uhr, etwa über ein Managed SOC.
6. Wirksamkeit messen: Anteil bestätigter Alarme, Zeit bis zur Erkennung und Ergebnisse regelmäßiger Angriffssimulationen auswerten.

Für NIS2-pflichtige Einrichtungen unterstützt eine funktionierende Angriffserkennung zudem die Einhaltung der kurzen Meldefristen, denn gemeldet werden kann nur, was erkannt wurde.

Fazit

KI-gestützte Anomalieerkennung hilft, unbekannte Angriffe und missbrauchte Konten früher zu entdecken, wenn Datenbasis, Feinjustierung und Reaktionsprozess stimmen. SecTepe betreibt Anomalieerkennung als Teil seines Managed SOC und unterstützt bei der Auswahl passender Datenquellen.

Häufige Fragen

Wie lange dauert die Lernphase?

Das hängt vom Produkt und von der Umgebung ab. Üblich sind einige Wochen, damit wiederkehrende Muster wie Monatsabschlüsse erfasst werden. Danach lernt das Modell kontinuierlich weiter.

Kann Anomalieerkennung auch KI-Systeme selbst überwachen?

Ja. Auffällige Nutzungsmuster bei KI-Anwendungen, etwa plötzliche Kostenspitzen oder massenhaft ähnliche Anfragen, lassen sich mit denselben Methoden erkennen, sofern die Nutzung protokolliert wird.