Auf dem Weg zum autonomen SOC

connect professional: Sie haben einen Ansatz entwickelt, bei dem KI-Agenten zunächst innerhalb des Arctic-Wolf-SOC trainiert und validiert werden. Warum ist dieser Zwischenschritt notwendig, und wie unterscheidet sich Ihr Vorgehen von dem anderer Anbieter?

Schneider: KI-Modelle direkt beim Kunden zu trainieren, ist aus unserer Sicht der falsche Weg, da es die Verantwortung für Training, Tuning und Risiko auf den Endkunden verlagert.

Unser Ansatz ist ein anderer: Wir trainieren die unseren „Expertenschwarm“ zuerst in unserer eigenen operativen Umgebung auf Basis unserer Daten und Expertise. So können sie Tausende reale Situationen durchlaufen, ohne Risiko für Partner und Kunden. Das schafft Qualität, Konsistenz und Sicherheit. Erst wenn ein Agent unsere internen Anforderungen erfüllt, setzen wir ihn in Kundenumgebungen ein.

connect professional: Sie sprechen von einem „Expertenschwarm“, also spezialisierten KI-Modulen, die gemeinsam Aufgaben im SOC übernehmen. Wie funktioniert dieses Konzept, und welche Security-Aufgaben lassen sich bereits heute damit automatisieren?

Schneider: Statt einer einzigen, monolithischen KI setzen wir auf eine Vielzahl spezialisierter KI-Agenten – ähnlich wie mehrere Expertinnen und Experten, die ein SOC-Team bilden. Jeder Agent bedient eine genau definierte Aufgabe. Das kann sein: Log-Analyse, Alarmtriage, Kontextanreicherung, Threat Hunting, Reaction-Empfehlungen oder Posture-Optimierung.

Die derart spezialisierten Agenten arbeiten orchestriert zusammen, tauschen Ergebnisse aus und sind adaptiv. Dadurch können sie bereits heute große Teile der Triage, Voranalyse und Priorisierung übernehmen – Tätigkeiten, die traditionell sehr zeitintensiv sind.

connect professional: Der Fachkräftemangel im Cybersecurity-Bereich ist extrem. Welche Lücken kann KI Ihrer Meinung nach realistisch schließen — und wo bleiben menschliche Analystinnen und Analysten zwingend notwendig?

Schneider: KI kann repetitive, datenintensive oder zeitkritische Aufgaben übernehmen, und Sicherheitsteams spürbar entlasten. Das heißt aber nicht, dass die menschlichen Sicherheitsexpertinnen und -experten obsolet werden. Ganz im Gegenteil! Dadurch, dass ihnen Kollege Bot zeitintensive Aufgaben abnimmt, haben sie mehr Kapazitäten für strategische Entscheidungen, Interpretation komplexer Unternehmenskontexte und für Überlegungen zum Umgang mit neuen Angriffen, die Kreativität und Vorstellungskraft erfordern. Statt sie zu ersetzen, erweitert KI die Fähigkeiten eines Teams.

connect professional: Im Markt sehen wir derzeit starke Konsolidierungstendenzen — von der Modernisierung der SIEMs bis hin zur Integration von XDR, MDR und Automatisierung. Wie ordnet sich Ihre KI-Strategie in diese Marktbewegungen ein?

Schneider: Der Markt verlagert sich in Richtung integrierter Plattformen. SIEM, XDR, MDR, Automatisierung – alles wächst zusammen. Doch die Frage ist nicht mehr, welche Tools man kombiniert, sondern welche Ergebnisse man liefert.

Unsere KI-Strategie folgt genau diesem Prinzip: Wir ersetzen Tool-Komplexität durch ein Ergebnisversprechen. Kunden wollen umfassenden Schutz – keine Insellösungen. KI-gestützte Security Operations werden ein weiterer Katalysator dieser Marktbereinigung sein.

So haben wir Anfang 2025 die Übernahme von Cylance abgeschlossen und umfangreiche Endpoint Security in unser Portfolio integriert, wodurch wir unseren Kunden eine noch umfassendere Cyberabwehr ermöglichen. Und unsere Security Journey unter unserem Motto „End Cyber Risk“ ist noch lange nicht abgeschlossen.

connect professional: Unternehmen unterscheiden sich stark in ihrer Risikotoleranz. Wie flexibel ist Ihr Modell, wenn es darum geht, menschliche Eingriffe zu behalten oder schrittweise mehr Autonomie an KI-Agenten zu übergeben?

Schneider: Flexibilität und Schnelligkeit sind in der Cybersicherheit essenziell. Und beides ermöglicht der Einsatz von KI. Zwar wirken intelligente Technologien derzeit schon, als könnten sie komplett autonom agieren. Jedoch ist dies (noch) nicht der Fall. Und egal, welches Autonomielevel besteht: KI kann nicht ohne menschliche Kontrolle wirken.

Die finale Entscheidung über Strategie und Handlungen obliegt weiterhin dem Menschen. KI-Technologie wird genutzt zur Automatisierung und umfangreichen Analysen, sie kann die Vorarbeit leisten für die Entscheidungsfindung leisten und unterstützend zur Seite stehen. Ein vollkommen autonomes SOC ist aber noch lange nicht in Sicht.

connect professional: Cyberangriffe werden durch KI selbst schneller, ausgefeilter und skalierbarer. Wo sehen Sie die größten Vorteile eines KI-gestützten, teilweise oder vollständig autonomen SOCs, um mit dieser Entwicklung Schritt zu halten?

Schneider: Geschwindigkeit ist der entscheidende Faktor. KI kann in Sekunden durchführen, wofür Menschen Minuten oder Stunden benötigen. Zusätzlich bringt sie Skalierbarkeit. So kann ein KI-gestütztes SOC Millionen Ereignisse gleichzeitig analysieren – und das ohne Qualitätsverlust. Das ermöglicht es Sicherheitsteams, Risiken schneller aufzuspüren und Entscheidungen datenbasierten zu treffen. Zudem entstehen hierdurch weniger Fehlalarme und die Verteidigungsfähigkeit wird insgesamt optimiert.

connect professional: Wenn wir fünf Jahre vorausblicken: Glauben Sie, dass autonome Security Operations ein Standard werden? Und welche Rolle spielen Anbieter wie Arctic Wolf in diesem Wandel?

Schneider: Security Operations verändern sich stark und innovative Technologien spielen hierbei eine große Rolle. Aber auch die Bedrohungslage, die steigende Komplexität der IT-Landschaft sowie der Fachkräftemangel sind Faktoren der aktuellen Entwicklung.

KI wird viele Abläufe automatisieren und Security-Teams deutlich effizienter machen. Unsere Aufgabe ist es, diesen Wandel sicher und verantwortungsvoll zu gestalten und Unternehmen auf dem Weg zu unterstützen. Ein vollständig autonomes SOC bleibt dennoch eine langfristige Vision. KI wird ein immer stärkerer Partner werden, aber nicht von heute auf morgen den gesamten Prozess übernehmen.