KI in der Cybersecurity: SOC-Automatisierung und NIS-2

KI in der Cybersecurity heißt für Unternehmen zweierlei: Sie beschleunigt die Arbeit im Security Operations Center, und sie schafft mit jeder neuen KI-Anwendung eine zusätzliche Angriffsfläche. Beides zusammen entscheidet, ob eine Sicherheitsorganisation 2026 schneller wird oder nur lauter.

Die Ausgangslage in Deutschland ist eindeutig. Der Bitkom-Wirtschaftsschutzbericht 2025 (1.002 befragte Unternehmen, vorgestellt am 18. September 2025) beziffert den Gesamtschaden durch Diebstahl, Spionage und Sabotage auf rund 289,2 Mrd. Euro, ein Plus von 8 % gegenüber dem Vorjahr. Rund 70 % davon, etwa 202 Mrd. Euro, gehen auf digitale Angriffe zurück; 87 % der Unternehmen waren betroffen. Der BSI-Lagebericht 2025 zählt im Berichtszeitraum 119 neue Schwachstellen pro Tag, rund 24 % mehr als im Vorjahr.

Dieser Leitfaden ordnet Zahlen, Pflichten, Anbieterlandschaft und Umsetzung: Was KI im Sicherheitsbetrieb wirklich leistet, wo KI selbst zum Ziel wird, was NIS-2 und KI-Verordnung gemeinsam verlangen, wie souverän ein Aufbau sein muss und wie ein 90-Tage-Start aussieht. Stand: September 2026.

Weil drei Entwicklungen zeitgleich wirken und sich gegenseitig verstärken.

Der Schaden steigt schneller als die Verteidigung. Von 205,9 Mrd. Euro im Jahr 2023 über 266,6 Mrd. Euro 2024 auf 289,2 Mrd. Euro 2025 hat sich die jährliche Schadenssumme laut Bitkom in zwei Jahren um mehr als 40 % erhöht. Angriffe sind längst kein reines IT-Thema mehr, sondern Teil der geopolitischen Lage.

Die Angriffsfläche wächst durch KI selbst. Der BSI-Lagebericht benennt manipulierte Eingaben in Sprachmodelle ausdrücklich als neuen Angriffsvektor mit wachsender Bedeutung. Jede neu ausgerollte KI-Anwendung ist ein zusätzliches Ziel. Laut IBM nutzten Angreifer in 16 % der untersuchten Vorfälle selbst KI-Werkzeuge, meist für Phishing oder für gefälschte Identitäten.

Die Pflichten sind da. Das deutsche NIS2-Umsetzungsgesetz ist am 5. Dezember 2025 verkündet worden und gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Es erfasst rund 29.500 Einrichtungen in 18 Sektoren, verpflichtet die Geschäftsleitung persönlich zu Billigung und Überwachung der Sicherheitsmaßnahmen und schreibt dreistufige Meldungen vor. Wer hier auf später plant, hat das Risiko bereits im Haus.

Ein Security Operations Center, kurz SOC, ist die Einheit, die Sicherheitsmeldungen sammelt, bewertet und darauf reagiert. „KI im SOC" ist dabei kein einzelnes Produkt, sondern ein Stufenmodell. Wer die Stufen nicht trennt, kauft entweder zu viel Autonomie oder zahlt Lizenzgebühr für einen Chat.

• Stufe 1, Assistenz. Analystinnen und Analysten fragen in Klartext, das System fasst zusammen, erklärt und erzeugt Abfragen. Reife hoch, produktiv nutzbar. Es genügen Protokollierung der Anfragen und menschliche Kontrolle.
• Stufe 2, Automatisierung. Feste Abläufe führen definierte Reaktionen aus, etwa Isolierung eines Geräts oder Anreicherung eines Vorfalls mit Kontext. KI priorisiert Meldungen und gruppiert Vorfälle. Seit Jahren etabliert; nötig ist eine saubere Änderungskontrolle der Abläufe.
• Stufe 3, agentisch. Spezialisierte Agenten planen, entscheiden und handeln entlang eigener Ziele. Diese Stufe ist jung; sie verlangt Leitplanken, ein Entscheidungsprotokoll und einen Notausschalter, bevor der erste Agent produktiv geht.

Die belegte Wirkung liegt heute auf den Stufen 1 und 2. Die IBM-Zahlen von 1,9 Mio. US-Dollar Ersparnis und 80 Tagen kürzerem Verlauf beziehen sich genau auf diesen Reifegrad: klassische Automatisierung, angereichert um KI für Analyse und Bewertung. Für den Mittelstand heißt das: Stufe 1 und 2 sind Pflicht, Stufe 3 ist Strategie und braucht eigene Regeln.

Sobald sie produktiv läuft. Laut IBM-Bericht 2025 (600 Organisationen weltweit, Erhebungszeitraum März 2024 bis Februar 2025) hatten 13 % der Organisationen einen Vorfall mit KI-Modellen oder KI-Anwendungen; 97 % davon hatten keine Zugriffskontrollen für KI eingerichtet. 60 % dieser Vorfälle führten zu kompromittierten Daten, 31 % zu Betriebsunterbrechungen.

Vier Angriffswege sind dabei kennzeichnend für KI-Systeme:

• Kompromittierte Lieferkette. Manipulierte Anwendungen, Schnittstellen, Erweiterungen oder Modellquellen. Der häufigste Einstieg.
• Manipulierte Eingaben. Anweisungen, die in Dokumenten, E-Mails oder Webseiten versteckt sind und das Modell übernehmen. Vertiefend im Leitfaden zu Prompt Injection und LLM-Sicherheit.
• Vergiftete Daten. Manipulation von Trainings- oder Nachschlagedaten, etwa in einer Wissensbasis, aus der das Modell zitiert.
• Umgehung und Rückschluss. Angreifer umgehen Leitplanken mit gezielten Eingaben oder versuchen, Trainingsdaten aus Antworten zu rekonstruieren.

Dazu kommt der unsichtbare Teil: Schatten-KI. Wo Beschäftigte private Konten für Kundenkommunikation nutzen oder vertrauliche Unterlagen in nicht freigegebene Werkzeuge laden, steigen die Kosten eines Vorfalls laut IBM im Schnitt um 670.000 US-Dollar. Den Weg aus dieser Lage beschreibt der Leitfaden zu Schatten-KI im Unternehmen.

Der wichtigste Hebel ist keine neue Software, sondern die Erkenntnis, dass sich die Pflichten überschneiden. Beide verlangen belastbares Risikomanagement, dokumentierte technische und organisatorische Maßnahmen, Meldeprozesse und klare Rollen.

NIS-2 in Deutschland, umgesetzt im BSI-Gesetz, gilt seit dem 6. Dezember 2025 ohne Übergangsfrist. Kern sind die Verantwortung der Geschäftsleitung für Billigung und Überwachung der Maßnahmen, die Registrierung beim BSI, dreistufige Meldungen nach 24 Stunden, 72 Stunden und einem Monat sowie ein Katalog von Mindestmaßnahmen: Risikomanagement, Vorfallbehandlung, Betriebskontinuität, Sicherheit der Lieferkette, Kryptografie, Zugriffsmanagement, Mehrfaktor-Authentifizierung und Schulung. Der Bußgeldrahmen ist zweistufig: bis 7 Mio. Euro oder 1,4 % des Jahresumsatzes für wichtige, bis 10 Mio. Euro oder 2 % für besonders wichtige Einrichtungen. Die Registrierungsfrist ist abgelaufen; wer sie versäumt hat, sollte sie umgehend nachholen, denn schon der Verstoß gegen die Registrierungspflicht ist bußgeldbewehrt.

Die KI-Verordnung greift gestaffelt. Für den Sicherheitsbetrieb relevant sind die Transparenzpflichten nach Artikel 50, anwendbar seit dem 2. August 2026, die Pflicht zur Förderung der KI-Kompetenz nach Artikel 4 und, für Hochrisiko-Anwendungen nach Anhang III, die Anforderungen an Protokollierung sowie an Genauigkeit, Robustheit und Cybersicherheit ab dem 2. Dezember 2027.

Für Banken und Finanzdienstleister kommt die europäische Verordnung zur digitalen operationalen Resilienz hinzu, anwendbar seit dem 17. Januar 2025. Auch sie verlangt Meldewege, Lieferantenkontrolle und Nachweise, die sich mit den oben genannten Kontrollen zusammenlegen lassen. Diese Übersicht ersetzt keine Rechtsberatung.

Der Markt hat sich sortiert. Fünf Lager konkurrieren um dieselben Budgets, und keines deckt alles ab. Wer sich für eine Plattform entscheidet, entscheidet sich mittelfristig für ein Ökosystem.

Zwei Marktbewegungen gehören in jede Bewertung. Microsoft hat Security Copilot am 18. November 2025 in die Microsoft-365-Pakete E5 und E7 aufgenommen, mit 400 Rechen-Einheiten je 1.000 Lizenzen und Monat und einer Obergrenze von 10.000 Einheiten je Mandant (Microsoft Learn). Enthalten heißt dabei nicht produktiv nutzbar: Governance, Datenschutz und Einführung bleiben Aufgabe des Unternehmens. Und die QRadar-Produkte von IBM sind nach dem Verkauf der Assets an Palo Alto Networks mit Auslaufterminen versehen; Bestandskunden migrieren schrittweise.

In der Praxis haben sich drei stabile Kombinationen herausgebildet: das Microsoft-Haus, wenn E5 ohnehin lizenziert ist und die Datengrenze in Europa genügt; Bestes aus mehreren Welten bei heterogener Landschaft mit hohen Anforderungen an Erkennungsinhalte; und der europäisch-souveräne Aufbau mit offenen Werkzeugen auf Infrastruktur in Europa, der Engineering-Kapazität voraussetzt. Wie sich die Modellseite dieses dritten Wegs betreiben lässt, beschreibt der Leitfaden zu Open-Source-LLM im Selbstbetrieb.

Die Souveränitätsfrage wird häufig zu grob geführt. „US-Cloud gleich Problem" ist genauso falsch wie „EU-Server gleich sicher". Vier Ebenen lohnt es zu trennen:

• Ebene 1, das Modell. Wo läuft die Berechnung? Die großen Anbieter bieten europäische Regionen an. Wer offene Modelle in einer europäischen Cloud oder im eigenen Rechenzentrum betreibt, geht einen Schritt weiter.
• Ebene 2, alles um das Modell herum. Anfrage, Suchergebnis, Antwort, Protokoll. Diese Datenströme entstehen in der Anwendung, nicht im Modell. Hier entstehen die meisten realen Risiken: Eine Anwendung außerhalb der EU ist trotz europäischem Modell nicht souverän.
• Ebene 3, Menschen und Organisation. Wer hat Zugriff zu Supportzwecken, unter welchem Vertrag, mit welcher Protokollierung? Für viele Familienunternehmen ist das die eigentliche Frage.
• Ebene 4, Wahlfreiheit beim Modell. Souverän ist ein Aufbau erst, wenn der Wechsel möglich bleibt, ohne alles neu zu bauen. Das ist der Kern einer Multi-Modell-Strategie.

Mit denselben Mitteln wie jede andere handelnde Identität im Netz, nur früher. Gartner erwartete bereits im August 2025, dass bis Ende 2026 rund 40 % der Unternehmensanwendungen aufgabenspezifische Agenten enthalten; 2025 waren es weniger als 5 %. Für Sicherheitsteams ist das kein Produktmerkmal, sondern eine Frist. Sechs Punkte gehören in die Aufsicht:

• Bestandsverzeichnis. Jeder Agent wird als identifizierbarer Akteur geführt, mit verantwortlicher Person, Zweck, erlaubten Aktionen, Datenzugriff und Rückfallverhalten. Ohne Verzeichnis keine Kontrolle.
• Eigene Identitäten. Agenten arbeiten nicht mit den Zugangsdaten ihrer Erstellerinnen, sondern mit eigenen, eng geschnittenen Identitäten.
• Leitplanken auf Handlungsebene. Was ein Agent darf, steht nicht in seiner Anweisung, sondern in durchgesetzten Regeln zur Laufzeit.
• Protokolle. Jede Entscheidung, jede Anweisung, jeder Werkzeugaufruf wird aufgezeichnet. Wer das mit einer Strategie für Beobachtbarkeit und Qualitätsmessung verbindet, spart die Nachrüstung später.
• Notausschalter und Eskalationsplan. Ein Agent muss binnen Minuten abschaltbar sein, idealerweise einzeln, je Nutzergruppe und je Datenraum.
• Aufsicht durch Software. Gartner erwartet, dass sogenannte Guardian Agents, also Agenten zur Überwachung anderer Agenten, bis 2030 einen relevanten Marktanteil erreichen (Prognose vom Juni 2025). Für den Mittelstand ist das heute kein Standard, gehört aber auf die Planung.

In Unternehmen mit Betriebsrat in aller Regel ja. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht ein Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt die objektive Eignung zur Überwachung; eine Überwachungsabsicht ist nicht erforderlich.

Sicherheitsprotokolle enthalten regelmäßig personenbeziehbare Daten wie Kennungen, Anmeldezeiten oder Adressen, und eine KI-gestützte Auswertung verändert die Auswertungslogik. Praktisch bewährt hat sich, den Betriebsrat parallel zur Datenschutz-Folgenabschätzung einzubinden und Zweckbindung, Auswertungstiefe und Aufbewahrung schriftlich festzuhalten. Welche Auswertungen überhaupt möglich sind und wer sie sehen darf, hängt von der Konfiguration der eingesetzten Systeme ab und gehört deshalb in dieselbe Vereinbarung. Mehr dazu im Leitfaden zu Betriebsrat und KI-Mitbestimmung. Dieser Abschnitt ersetzt keine Rechtsberatung.

Plotdesk ist kein SIEM, kein XDR und kein Sicherheitsassistent. Die Plattform setzt eine Ebene daneben an, dort, wo Schatten-KI entsteht: Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand und bringt die tägliche KI-Nutzung in einen kontrollierten Rahmen.

• Ein Zugang statt vieler Konten. Statt privater Konten und verstreuter Abonnements arbeitet die Belegschaft in einer dedizierten Instanz in der EU oder im eigenen Tenant, etwa in Azure, mit DSGVO-konformem Auftragsverarbeitungsvertrag.
• Modellfreiheit mit Kontrolle. Mehr als 100 Modellvarianten aus zehn Provider-Typen stehen zur Verfügung und lassen sich je Team steuern, von den großen Anbietern bis zu offenen Modellen in europäischer Inferenz.
• Governance im Standard. SSO, Rollen und mehr als 40 Berechtigungen, verschlüsselte Zugangsdaten, Audit-Logs sowie Nutzungs- und Kostenanalysen je Bereich. Welche Auswertungen wer sieht, regeln Rollen und Rechte; das gehört in die Abstimmung mit dem Betriebsrat.
• Anbindung an den Betrieb. Über den App-Katalog und Plotdesk Connect lassen sich Ticketsysteme, Fileserver, ERP und ältere Datenbanken erreichbar machen, ohne Daten unkontrolliert zu kopieren.

Das ersetzt keine Sicherheitsplattform. Es sorgt dafür, dass Ihr Sicherheitsteam sich mit echten Vorfällen befasst statt mit unkontrollierter KI-Nutzung im eigenen Haus. Der Weg dorthin führt über vier Schritte: KI-Potenzialanalyse, Proof of Value, produktive Lösung, systematischer Ausbau.

Drei Aussagen bleiben. Erstens: Die Wirkung ist belegt. Umfassender KI- und Automatisierungseinsatz spart im Schnitt 1,9 Mio. US-Dollar je Vorfall und 80 Tage Verlauf. Wer nicht dabei ist, finanziert den Vorsprung der anderen mit der eigenen Rechnung.

Zweitens: KI ist Verteidiger und Angriffsfläche zugleich. 13 % der Organisationen mit einem KI-Vorfall, 97 % davon ohne Zugriffskontrollen, dazu 670.000 US-Dollar Zusatzkosten durch Schatten-KI. Wer die Absicherung der eigenen KI nicht mitplant, baut einen unsichtbaren Kostenblock auf.

Drittens: NIS-2 und KI-Verordnung sind ein Programm, nicht zwei. Ein Managementsystem, ein Zugriffskonzept, ein Meldeweg, ein Schulungsplan. Integriert gebaut spart das Doppelarbeit und ergibt ein reiferes Gesamtbild.

Der erste Schritt ist unspektakulär: Betroffenheit nach NIS-2 prüfen, das Verzeichnis der tatsächlich genutzten KI-Werkzeuge erstellen und Ausgangswerte messen, bevor Wirkung behauptet wird.