Wie SLED mit agentenbasierter KI das Rennen um die Cybersicherheit gewinnt

SLED-Organisationen wurden nie als einheitliche Einheiten aufgebaut. Behörden, Abteilungen und Hochschulen beschaffen ihre Tools unabhängig voneinander – oft über Jahrzehnte hinweg, wobei jedes Team jeweils ein konkretes Problem isoliert löst. Das Ergebnis ist eine komplexe Sicherheitslandschaft mit zahlreichen Plattformen, Legacy-Systemen und unterschiedlichen Technologiereifegraden. Dadurch sind die Interoperabilität über den gesamten Technologie-Stack hinweg und die Zusammenarbeit zwischen den Teams eingeschränkt. Diese Fragmentierung war früher vor allem ein Hindernis, ist inzwischen aber zu einem strukturellen Risiko geworden.

Jede Woche verlieren 66 % der SOCs einen ganzen Tag damit, Daten über voneinander getrennte Tools hinweg manuell zu aggregieren.⁴ Wenn sich Angreifer in weniger als 30 Minuten lateral bewegen können,² sind Stunden, die mit dem Abgleich von Konsolen verbracht werden, Stunden der Gefährdung. Ein einzelnes Ereignis erzählt nur selten die ganze Geschichte. Angreifer führen häufig viele kleine Aktionen aus, die für sich genommen harmlos wirken, aber verdächtig werden, wenn man sie miteinander in Verbindung bringt.

Ein agentisches SOC setzt KI-Agenten ein, um mehrstufige Sicherheitsaufgaben zu übernehmen: Sie korrelieren Warnmeldungen, sammeln Kontextinformationen, untersuchen Entitäten und bereiten Maßnahmenpläne vor. Im Gegensatz zur herkömmlichen Automatisierung, die nach einem festen Regelwerk arbeitet, können Agenten veränderte Informationen einordnen und ihre Vorgehensweise im Verlauf einer Untersuchung anpassen.

Diese Autonomie bedeutet nicht, dass Analysten aus dem Prozess ausgeschlossen werden. Ein agentisches SOC stellt sicher, dass die Kontrolle über Entscheidungen mit weitreichenden Konsequenzen beim Menschen bleibt, während es den manuellen Aufwand für diese Entscheidungen reduziert. Das ist für jede Organisation entscheidend, die gegenüber einem Hochschulrat, einem Stadtrat oder einem parlamentarischen Ausschuss rechenschaftspflichtig ist. Die Einführung geht bereits über erste Experimente hinaus. Im Jahr 2026 gaben acht Bundesstaaten an, agentische KI-Tools produktiv einzusetzen.⁵

Das agentische SOC von Elastic basiert auf einem Modell, bei dem der Mensch die Führung behält. Agenten korrelieren Warnmeldungen, untersuchen Entitäten und bereiten Maßnahmenpläne vor – über den gesamten Verlauf einer Bedrohung hinweg. Bevor ein Agent eine Aktion ausführt, einen Host isoliert oder ein Konto deaktiviert, legt er den Maßnahmenplan vor und wartet auf die Freigabe durch einen Analysten. Jede Entscheidung wird dokumentiert, sodass nachvollziehbar bleibt, wie der Agent zu seiner Einschätzung gelangt ist. Statt den Arbeitstag mit einer Flut unbearbeiteter Warnmeldungen zu beginnen, prüfen Analysten eine fokussierte Liste bereits untersuchter und mit Kontext angereicherter Bedrohungen. So kann ein kleines Team die Kapazitäten eines deutlich größeren Teams bereitstellen.

Sicherheitsverantwortliche auf Bundesstaaten- und Kommunalebene lösen unterschiedliche Varianten desselben Problems. Ein CIO oder CISO auf Bundesstaatenebene konzentriert sich möglicherweise auf eine landesweite Cyberabwehr, geteilte Services und die Absicherung von Dutzenden Behörden. Kommunalverwaltungen verlassen sich häufig auf kleine IT-Teams, die mehrere Rollen gleichzeitig übernehmen und unter ständigem Druck stehen, essenzielle Services aufrechtzuerhalten.

Die Bereitschaftslücke zwischen diesen Umgebungen bleibt erheblich. In der Befragung von CISOs auf Ebene der Bundesstaaten war keiner sehr zuversichtlich hinsichtlich der Cybersicherheitspraktiken von Kommunalverwaltungen, und 43 % waren nicht sehr zuversichtlich. Obwohl 88 % der CISOs auf Ebene der Bundesstaaten ein unternehmensweites SOC beaufsichtigen, sind nur 12 % an einem regionalen SOC beteiligt, das Cybersicherheitsressourcen behörden- und organisationsübergreifend bündelt.³

Agentische KI kann diese fehlenden Ressourcen nicht ersetzen, aber sie kann dazu beitragen, die bereits vorhandene Kapazität und Expertise zu erweitern, indem sie Korrelation, Triage, Untersuchung und Reaktion beschleunigt.

Das Employment Development Department des US-Bundesstaates Kalifornien verwaltet mehr als 850 Milliarden Datensätze auf fast 3.000 Servern und mit einem 60-köpfigen Sicherheitsteam. Mit Elastic Attack Discovery konnte die Behörde die durchschnittliche Reaktionszeit auf Sicherheitsvorfälle um 99 % reduzieren. Die ganze Story lesen →

Das Department of Homeland Security von Arizona repräsentiert das andere Ende des Spektrums: ein schlankes Team, das täglich 12 Terabyte an Logs verwaltet und vordefinierte Warnmeldungen nutzt, um ohne zusätzliches Personal von reaktiv zu proaktiv überzugehen. Vollständige Story lesen →

Ob es nun 60 Analysten sind oder drei: Das grundlegende Problem ist dasselbe. Die KI hat die Analysten in keinem der beiden Teams ersetzt. Sie hat ihnen Zeit zurückgegeben, indem sie wiederkehrende Aufgaben automatisiert, Kontext bereitstellt und Untersuchungen beschleunigt.

Die Vrije Universiteit Brussel betreibt ihren gesamten Sicherheitsbetrieb mit nur drei Engineers, die 64 Milliarden Ereignisse auf mehr als 300 Endpunkten überwachen. Dabei identifiziert das Team einen nicht autorisierten DHCP-Server, der das Netzwerk stört, innerhalb von Minuten statt Tagen. „Elastic ermöglicht es einem sehr kleinen Team, das Sicherheitsmonitoring im Maßstab einer Universität zu betreiben“, sagt Xavier Tomaszynski, Network Security ICT Consultant. Vollständige Story lesen →

The Texas A&M University System bewegt sich in einer völlig anderen Größenordnung und umfasst 11 Universitäten, 8 Behörden und mehr als 153.000 Studierende. Selbst in diesem Umfang können Untersuchungen von Bedrohungen, die früher Monate dauerten, jetzt in nur zwei Stunden durchgeführt werden. Vollständige Story lesen →

Immer mehr Einrichtungen binden auch Studierende im Rahmen akademischer Programme in den Sicherheitsbetrieb ein. Bisher waren jedoch meist monatelange Erfahrung und Schulungen erforderlich, um Studierende zu effektiven SOC-Mitarbeitern zu machen. Agentische KI verändert das grundlegend. Indem sie Fälle liefert, bei denen Kontext, Analyse und Priorisierung bereits vorliegen, können sich neue Analysten auf die Prüfung, Entscheidungsfindung, das Lernen und die Reaktion konzentrieren, anstatt ihre Zeit damit zu verbringen, die einzelnen Puzzleteile mühsam zusammenzusetzen.

In Behörden und Bildungseinrichtungen ist der intelligenteste Ansatz für KI-Cybersicherheit derselbe: Fügen Sie Kontext hinzu, indem Sie Sicherheitsdaten verknüpfen, ohne sie von den Personen wegzubewegen, denen sie gehören, und lassen Sie dann KI auf dieser Grundlage den manuellen Aufwand reduzieren.

Die Data-Mesh-Architektur von Elastic ermöglicht einen ganzheitlichen Überblick über Cloud-, Hybrid- und On-Premises-Umgebungen, ohne sensible Daten zentralisieren zu müssen. Für Behörden, die an Vorgaben zur Datenresidenz gebunden sind oder in stark eingeschränkten Umgebungen arbeiten, ist das eine Grundvoraussetzung und kein technisches Detail.

Transparenz ist entscheidend, wenn Behörden Sicherheitsentscheidungen an KI-Agenten delegieren. Eine gemeinsame Leitlinie der Five-Eyes-Allianz, der die USA, das Vereinigte Königreich, Kanada, Australien und Neuseeland angehören, betont die Notwendigkeit operativer Transparenz. Menschen müssen verstehen, was Agenten tun, warum sie es tun und welche Absicht hinter jeder Aktion steht.⁷ Dieser Maßstab gilt für einen Stadtrat oder Hochschulrat ebenso wie für eine staatliche Behörde auf nationaler Ebene. Transparenz und Rechenschaftspflicht sind die Grundlage dafür, Vertrauen in ein agentisches KI-Modell aufzubauen.

Ebenso wichtig sind offene Standards und interoperable Architekturen, die eine Abhängigkeit von einzelnen Anbietern verhindern und Flexibilität in komplexen Umgebungen ermöglichen. Elastic basiert auf Open Source und offenen Standards, bietet dadurch Interoperabilität und lässt sich in bestehende Tools integrieren, anstatt von Organisationen zu verlangen, bereits getätigte Investitionen vollständig zu ersetzen.

Eine staatliche Behörde mit 60 Mitarbeitenden, ein schlank aufgestelltes Sicherheitsteam eines Bundesstaates, ein universitäres SOC mit drei Personen und ein Hochschulverbund aus 11 Universitäten arbeiten in völlig unterschiedlichen Größenordnungen – doch alle trafen dieselbe Entscheidung: Sie betrachten die Datengrundlage als Lösung und nicht als weiteres Einzeltool, das auf einen bereits fragmentierten Stack aufgesetzt wird. Das Zeitfenster von 29 Minuten bis zur Ausbreitung im Netzwerk wird nicht länger. Die Organisationen, die innerhalb von Minuten reagieren, sind diejenigen, die zuerst das Datenproblem gelöst haben.

Im Leitfaden zur Cybersicherheit für den öffentlichen Sektor erfahren Sie, wie Sie eine stärkere Datengrundlage für KI-gestützte Sicherheit aufbauen.