GenAI für Cybersecurity - Praxis-Kurs für Profis

Der Kurstrailer: Marco fasst in unter einer Minute zusammen, worum es geht – hunderte Alerts, endlose Logs, Reports ohne Ende und die Frage, wie du das alles schaffen sollst. Die Antwort: Du musst es nicht mehr allein schaffen. Log-Analysen in Sekunden, Incident-Reports auf Knopfdruck, funktionierende Detection Rules, dazu jede Menge Lektionen und über 50 Prompts zum sofortigen Einsatz.

Bevor du irgendein Tool anfasst, klärst du hier die wichtigste Frage: Wo bringt generative KI im Security-Alltag echten Nutzen – und wo ist sie schlicht das falsche Werkzeug? Marco stellt Log-Interpretation, Zusammenfassungen, Doku und Script-Generierung den harten Grenzen gegenüber: echte Detection im SIEM, automatische Incident-Entscheidungen ohne Mensch, Zugriff auf interne Systeme. Am Windows-Event 4625 siehst du live, wie aus mehreren Minuten Google-Klickerei ein paar Sekunden werden.

Hier geht es um die Frage, die Security-Profis zuerst stellen sollten: Wo landen meine Daten eigentlich? Du bekommst den Vergleich von ChatGPT, Claude, Gemini, lokalen Modellen über Ollama und den Enterprise-Varianten – jeweils mit Blick auf Training, Speicherdauer und Compliance. Marco klickt sich Schritt für Schritt durch die ChatGPT-Datenkontrolle und zeigt dir, wo du das Training mit deinen Inhalten abschaltest.

80 % der Ergebnisqualität hängen am Prompt und nicht am Modell – und genau das führt dir diese Lektion schmerzhaft ehrlich vor. Du startest mit dem klassischen Anfänger-Prompt „Hilf mir bei einem Security-Problem“ und siehst, warum die KI daraufhin nur zurückfragt. Danach baust du ihn mit vier Bausteinen – Rolle, Kontext, Aufgabe, Format – zu einer präzisen Anweisung um, die wirklich verwertbare Antworten liefert.

Tausende Events pro Tag, und du sollst den einen Brute-Force-Versuch finden – manuell ein aussichtsloses Unterfangen. Marco geht die Event-IDs durch, die du im Schlaf kennen solltest (4624, 4625, 4688, 4720 und Co.), filtert auf fehlgeschlagene Logins und exportiert sie als CSV oder per PowerShell. Anschließend übergibt er die Daten an ChatGPT und bekommt in Sekunden die Analyse, für die du sonst Stunden brauchst.

Event Logs zeigen dir, was auf dem Endpunkt passiert – Firewall- und Proxy-Logs zeigen dir, mit wem er redet. Du lernst die gängigen Formate kennen (Squid, Blue Coat, Palo Alto) und verstehst, woran man C2-Beaconing erkennt: regelmäßige Intervalle mit Jitter, immer dasselbe Ziel, ähnliche Datenmengen, gern nachts und am Wochenende. Danach lässt du ChatGPT genau dieses Muster in echten Proxy-Logs aufspüren.

300 Alerts am Morgen, 500 bis zum Mittag, und die Hälfte ist Rauschen – nur welche Hälfte? Diese Lektion baut dir ChatGPT zum Triage-Assistenten um, inklusive fertigem Template mit Rolle, Umgebung, Arbeitszeiten und kritischen Assets. Mit echten Alert-Formaten aus Splunk, Microsoft Sentinel und Elastic bekommst du True/False Positive, Priorität P1 bis P4 und eine nachvollziehbare Begründung.

Nach dem Incident kommt der Teil, den alle gern überspringen: dokumentieren und teilen. Du gehst die IOC-Kategorien durch – Netzwerk, Host, Verhalten – und lernst, welche Artefakte wirklich Angriffscharakter haben und welche nur Rauschen sind. An anonymisierten Logfiles eines echten Phishing-Falls extrahierst du mit ChatGPT die IOCs und mappst sie auf MITRE ATT&CK, damit dein Report weltweit verstanden wird.

Dienstagmorgen, 9:47 Uhr: Das SIEM explodiert, die Helpdesk-Hotline klingelt, auf dem Fileserver liegt eine Ransom Note. Genau in diesem Moment passieren die meisten Fehler, und genau hier setzt die Lektion an – ChatGPT nicht als Ersatz für dein Wissen, sondern als Second Brain, das die Fragen stellt, die du im Stress vergisst. Du simulierst den kompletten Ablauf von den ersten Alerts bis zu den Containment-Entscheidungen.

Playbooks hat fast jedes Team – meistens veraltet und irgendwo im SharePoint verstaubt. Du bekommst zuerst die Struktur, die ein brauchbares Playbook braucht: Metadaten, Trigger und Scope, Triage, Containment, Eradication, Recovery, Post-Incident und Referenzen. Danach lässt du ChatGPT das Gerüst füllen und passt es in rund 30 Minuten an deine konkrete Umgebung an.

Der Incident ist vorbei, alle atmen durch – und dann kommt der Teil, den niemand mag. Nach 48 Stunden Dauerbetrieb sind deine Notizen chaotisch, Timestamps fehlen, und trotzdem wollen Versicherung, Compliance und Legal einen sauberen Report. Hier machst du aus genau diesem Notizchaos mit ChatGPT eine strukturierte Timeline und einen fertigen Incident-Report – in Minuten statt in Stunden.

Die Malware ist identifiziert, aber wer steckt dahinter, wie arbeiten die – und was kommt als Nächstes? Du lernst die wichtigsten OSINT-Quellen kennen, von Mandiant-, CrowdStrike- und Microsoft-Reports über CISA und BSI bis zu MITRE ATT&CK Groups, Malpedia und Ransom-Wiki. Anschließend aggregierst du das Material mit ChatGPT zu einem Threat-Intelligence-Report und weißt danach, wo du deine Detections gezielt verstärkst.

„Ist das kritisch? Müssen wir heute Nacht patchen?“ – die Frage vom CISO, die du mit einem CVSS-Score allein nicht beantworten kannst. Du arbeitest die Kernfragen durch: Was ist die Schwachstelle, wie schlimm ist sie wirklich (CVSS, EPSS, Temporal), gibt es Exploits in Exploit-DB, GitHub oder Metasploit, und ist das System bei euch überhaupt erreichbar? Mit ChatGPT kommst du in Minuten zu einer datenbasierten Patch-Entscheidung statt zu Bauchgefühl.

Früher hieß Scripting: Stack Overflow durchwühlen, Snippets zusammenkopieren, stundenlang debuggen. Heute liefert ChatGPT den ersten Entwurf in Sekunden – nur ist KI-Code eben nicht automatisch sicher oder korrekt. Du bekommst ein Prompt-Template mit Zweck, Input, Output, Umgebung, Fehlerbehandlung und Sicherheitsvorgaben und baust damit drei Skripte für Threat Hunting, Hardening-Check und Incident Response.

Du hast Threat Intelligence, IOCs und TTPs – aber merkst du überhaupt, wenn der Angriff läuft? Diese Lektion dreht sich um Sigma als plattformunabhängige Regelsprache: einmal schreiben, dann nach Splunk, Sentinel, Elastic, QRadar oder CrowdStrike konvertieren. Am realen Szenario LSASS Credential Dumping generierst, testest und optimierst du deine Rule mit ChatGPT.

Im Logfile stehen Benutzernamen, Mail-Adressen, interne Servernamen, manchmal Passwörter im Klartext – und genau das willst du gerade an einen externen Dienst schicken. Diese Lektion zieht die Grenze und zeigt dir pro Anbieter und Plan, wer mit deinen Daten trainiert und wie lange gespeichert wird. Dazu bekommst du konkrete Regeln, Anonymisierungstechniken und die sichere Alternative über lokale Modelle.

Unbequeme Wahrheit: Angreifer nutzen dieselben Tools wie du, nur ohne Nutzungsbedingungen und ohne ethische Bremse. Du siehst, wie KI Phishing auf ein neues Niveau hebt – Schluss mit Rechtschreibfehlern und „Dear Customer“ – und wie Malware-Entwicklung, Deepfakes und Voice-Cloning beschleunigt werden. Ziel ist nicht Panik, sondern Vorbereitung: Nur wer die Offensive versteht, verteidigt effektiv.

Stell dir vor, ChatGPT ordnet eine IP-Adresse selbstbewusst der Lazarus Group zu, das Management ist alarmiert, externe Forensiker sind gerufen – und dann war alles frei erfunden. Genau das ist eine Halluzination, und sie kommt ohne jede Warnung daher. Du lernst, warum LLMs als Textvorhersage-Maschinen so etwas produzieren und wie du IOCs, CVE-Details und Threat-Actor-Zuordnungen systematisch gegenprüfst, bevor du handelst.

Zum Abschluss geht es um das, was gern untergeht: Verantwortung. Vier Säulen leiten dich durch den Alltag – Transparenz, Verantwortlichkeit, Sorgfaltspflicht und Verhältnismäßigkeit – ergänzt um klare Fälle, in denen du KI bewusst nicht einsetzt, etwa bei rechtlichen Fragen oder Personalentscheidungen. Der Merksatz der Lektion: Fehler der KI sind deine Fehler, wenn du sie nicht prüfst.

„Ich habe ChatGPT, ich brauche nichts anderes“ – dieser Satz kostet dich täglich Zeit. Jedes Modell hat eigene Stärken und Schwächen: ChatGPT schwächelt bei Echtzeit-Recherche, Gemini bei sehr langen Dokumenten, Claude ist stark im Text, aber nicht für Office-Prozesse gemacht, und genau dort glänzt Copilot. Diese Lektion zeigt dir, warum eine Multi-Modell-Strategie kein Luxus ist und wie du mehrere LLMs sinnvoll kombinierst.

Der Allrounder im Detail: ChatGPT als Assistent, der Texte schreibt, Ideen liefert, Konzepte baut und Code produziert. Marco geht auf die Stärken der aktuellen Version ein – deutlich bessere Kontextverarbeitung, sehr natürlicher Schreibstil, enormes Basiswissen – und führt dich durch Oberfläche und Hauptfunktionen. Danach weißt du, wofür du ChatGPT im Security-Alltag ansetzt und wo ein anderes Modell die bessere Wahl ist.

200 Seiten Dokument, und du brauchst in Sekunden eine präzise Zusammenfassung – das ist Claudes Heimspiel. Das Modell von Anthropic ist auf lange Kontexte ausgelegt, weit über 100.000 Token, und fällt durch deutlich weniger Halluzinationen auf. Für lange Logs, umfangreiche Reports und Dokumentationen ist das genau die Kombination, die du brauchst.

Mails schreiben, Präsentationen bauen, Excel-Tabellen zusammenschrauben – und es dauert ewig. Copilot sitzt direkt in Word, Excel, PowerPoint, Outlook und Teams und nimmt dir genau diese Fleißarbeit ab, inklusive Meeting-Protokollen, aus denen du direkt Zusammenfassungen ziehst. Wichtig zu wissen: Das Ganze hängt an Microsoft 365, die Standalone-Office-Pakete bleiben außen vor.

Zwanzig Websites durchklicken für eine einzige klare Antwort – das muss nicht sein. Perplexity ist eine KI-Suchmaschine, die dir die Antwort liefert und die Quelle gleich mitliefert, was gerade bei CVE-Recherche und harten Fakten Gold wert ist. Du siehst die kostenlose Variante, ihre Grenzen und wofür sich der Umstieg lohnt.

Grok ist die KI von Elon Musks xAI und steckt direkt in X, dem früheren Twitter. Der Vorteil liegt im Echtzeit-Zugriff auf Posts, News und Trends – praktisch, wenn eine neue Bedrohung gerade erst die Runde macht und noch in keinem Report steht. Marco führt dich über die xAI-Seite durch die Oberfläche und zeigt, wo Grok im Alltag wirklich Sinn ergibt.

Ein Login, viele Modelle: Poe von Quora bündelt ChatGPT, Claude, Gemini und weitere in einer einzigen Oberfläche. Das spart dir das Jonglieren mit zig Accounts und macht den direkten Vergleich einfach – ideal, wenn du herausfinden willst, welches Modell deine Aufgabe am besten löst. Dazu bekommst du den Überblick über das Punktesystem und die Preismodelle vom kostenlosen Plan bis zum großen Abo.

KI-Modelle wie GPT-Varianten oder Llama direkt auf dem eigenen Rechner, ohne Abo und ohne Cloud – dafür gibt es LM Studio. Die Desktop-App für Windows, Mac und Linux lädt lokale Sprachmodelle herunter und macht sie mit wenigen Klicks nutzbar. Für alle, die sensible Daten analysieren müssen, ist das die saubere Lösung: Was auf deinem Rechner bleibt, landet auch nicht in fremden Trainingsdaten.

Wenn du volle Kontrolle willst, lässt du das Modell einfach bei dir laufen. Ollama ist Open Source, kostenlos und läuft auf Mac, Windows und Linux – mit Modellen wie Llama, Mistral oder Phi direkt auf deinem Rechner, ohne Internet und ohne Abo. Für vertrauliche Analysen heißt das: keine Daten verlassen deinen PC, keine Trainingsdaten-Diskussion, keine versteckten Kosten.

Nach all den Tools kommt die Frage, die im Alltag wirklich zählt: Welches Modell nehme ich jetzt für diese Aufgabe? Du bekommst eine Einsteigerregel, die schon rund 90 % abdeckt – ChatGPT für Texte, Claude für lange Inhalte, Gemini für Recherche, Copilot für Büroaufgaben, Perplexity für Fakten mit Quelle. Darauf folgt die Profi-Regel für alle, die regelmäßig produzieren oder automatisieren.

Die meisten öffnen ChatGPT, tippen einen Prompt und hoffen – dabei liegt der eigentliche Sprung woanders. Du setzt die Modelle wie ein Team ein: eines recherchiert, eines schreibt, eines prüft, eines automatisiert. Konkret baust du einen Vier-Modelle-Workflow aus Perplexity, Claude, ChatGPT und Gemini, mit dem du als Einzelperson arbeitest wie eine ganze Redaktion.

Die Abschlusslektion des Moduls dreht den Spieß um: Du brauchst kein einzelnes Modell, du brauchst ein System. Dein Setup wird in drei Ebenen aufgebaut, damit jedes Modell genau das übernimmt, wofür es gemacht ist – statt zufällig irgendwo etwas hineinzutippen. Heraus kommt ein persönlicher KI-Werkzeugkasten, mit dem du jeden Tag schneller und strukturierter arbeitest.