Generative KI wird im Security-Umfeld gerade heftig diskutiert. Die einen erwarten, dass sie ganze SOC-Teams ersetzt, die anderen halten sie für Spielerei. Beide liegen falsch. Entscheidend ist, wo du sie einsetzt und wo nicht. Genau das klärt dieses Tutorial, bevor du ein einziges Tool installierst.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Du lernst, welche Aufgaben im Security-Alltag von KI profitieren, wo harte Grenzen gelten und warum sich der Nutzen am Beispiel eines Windows-Events mit der ID 4625 sofort zeigt. Ein Event, das viele Analysten zum ersten Mal sehen und dann minutenlang recherchieren müssen.
Wichtigste Erkenntnisse
Generative KI ergänzt deine Werkzeuge, sie ersetzt sie nicht. Ihr größter Mehrwert liegt in der Kontextualisierung und Geschwindigkeit bei Log-Interpretation, Zusammenfassungen und Dokumentation. Für echte Detection im SIEM, automatisierte Incident-Entscheidungen ohne Mensch und Zugriffe auf interne Systeme ist sie aktuell das falsche Werkzeug. Du behältst immer die Kontrolle: Die KI liefert Vorschläge, du verifizierst, entscheidest und handelst.
Schritt-für-Schritt-Anleitung
Schritt 1: Einsatzbereiche und harte Grenzen unterscheiden
Bevor du mit KI arbeitest, solltest du für dich klar festlegen, wofür sie taugt. Auf der einen Seite stehen Aufgaben, bei denen sie heute schon echten Unterschied macht: die Interpretation von Logs, das Zusammenfassen langer Berichte, das Erstellen von Dokumentation, das Generieren von Skripten und die promptbasierte Recherche. Auf der anderen Seite stehen die Grenzen. Echte Detection gehört in dein SIEM, mit seinen Regeln, seiner Korrelation und seiner Nachvollziehbarkeit. Automatische Incident-Entscheidungen ohne menschliche Kontrolle lehnt der Dozent klar ab. Ebenso der direkte Zugriff der KI auf deine internen Systeme, den Modelle wie ChatGPT derzeit nicht ohne Weiteres bieten.
Halte dir diese Trennung im Alltag vor Augen. Wenn eine Aufgabe in die rechte Spalte fällt, ist KI nicht die Lösung.
Schritt 2: Den Sweet Spot verstehen
Zwischen den beiden Extremen liegt der Bereich, in dem KI am meisten bringt: als zweites Gehirn, das du schnell befragen kannst, das aber immer unter deiner Kontrolle arbeitet. Du gibst ihr einen Ausschnitt aus einem Log oder eine Frage, sie liefert dir eine Einordnung, und du entscheidest, ob du dieser Einordnung folgst. Diese Rollenverteilung ist der Kern des gesamten Ansatzes und begleitet dich durch alle folgenden Schritte.
Schritt 3: Das Ausgangsszenario – Event 4625 manuell recherchieren
Stell dir vor, du bist neu im SOC und siehst zum ersten Mal die Event-ID 4625. Dieses Windows-Event beschreibt einen fehlgeschlagenen Anmeldeversuch. Was machst du normalerweise? Du öffnest Google, suchst nach der Event-ID und klickst dich durch Ergebnisse. Du liest Dokumentationen auf Microsoft Learn, Blogartikel und Foren, scrollst, vergleichst und setzt dir die Bedeutung selbst zusammen. Realistisch brauchst du dafür zwei bis drei Minuten, und selbst dann ist nicht sicher, dass du die richtige Information findest.
Diese Zeit ist im Ernstfall teuer. Genau an dieser Stelle setzt der Vergleich mit der KI an.
Schritt 4: Die ChatGPT-Oberfläche kennenlernen
Bevor du die KI befragst, solltest du dich mit der Oberfläche vertraut machen. Nach dem Login mit E-Mail-Adresse und Passwort findest du links eine Seitenleiste mit deinen bisherigen Chatverläufen. Dort kannst du auch einen neuen Chat starten oder gezielt suchen. Im Hauptfenster gibst du unten deinen Prompt ein. Ein eigener ChatGPT-Kurs ist das hier nicht, aber du solltest dich wenigstens zurechtfinden, damit der Einstieg ohne Hürden gelingt.
Schritt 5: Einen aussagekräftigen Prompt formulieren
Der Unterschied zwischen einer brauchbaren und einer dürftigen Antwort liegt oft im Prompt. Im Beispiel beschreibst du deine Rolle als Security-Analyst und den Sachverhalt präzise: ein Windows-Event 4625 mit Logon Type 10 von einer externen IP-Adresse, das sich innerhalb von fünf Minuten für verschiedene User wiederholt. Anschließend stellst du die konkrete Frage, was das bedeutet und welche Schritte für die Triage sinnvoll sind.
Je mehr Kontext du lieferst, desto zielgerichteter fällt die Antwort aus. Achte darauf, dass du keine sensiblen Echtdaten wie Benutzernamen oder interne IP-Adressen ungeprüft in ein externes Tool kopierst. Anonymisiere sie vorher.
Schritt 6: Die Antwort kritisch bewerten
Innerhalb weniger Sekunden erhältst du eine Erklärung von Event 4625, die Einordnung von Logon Type 10 als Remote-Desktop-Anmeldung sowie eine Einschätzung des Musters. Das Muster deutet auf einen Brute-Force-Angriff hin. Die KI nennt außerdem konkrete nächste Schritte für deine Triage.
Hier beginnt aber deine eigentliche Arbeit. Prüfe jede Aussage gegen deine Quellen: Stimmt die Einordnung von Logon Type 10? Passen die Schritte zu deiner Umgebung? Eine plausibel klingende Antwort ist noch keine verifizierte Information. Die Verantwortung für die Bewertung bleibt bei dir.
Schritt 7: Den Vergleich zwischen Google und KI ziehen
Mit der Google-Suche bekommst du Rohinformationen. Du musst sie selbst interpretieren, kombinieren und priorisieren. Die KI liefert dir dagegen eine Synthese, die deinen Kontext berücksichtigt: SOC-Analyst, wiederholte Anmeldungen, externe IP. Das spart nicht nur Zeit, sondern reduziert auch die kognitive Belastung in einer stressigen Situation, in der du unter Druck schnell entscheiden musst.
Dieser Vergleich zeigt dir den Kernvorteil der KI: nicht mehr Information, sondern passendere Information zur richtigen Zeit.
Schritt 8: Die drei Kernprinzipien in den Alltag übertragen
Aus dem Beispiel lassen sich drei Prinzipien ableiten, die du dir einprägen solltest. Erstens ersetzt generative KI deine Tools nicht. Dein SIEM bleibt dein SIEM, aber bei der Kontextualisierung hilft die KI inzwischen enorm. Zweitens liegt der Mehrwert in Geschwindigkeit und Kontextualisierung. Du bekommst Informationen, die auf deine konkrete Frage zugeschnitten sind. Drittens bleibst du in der Kontrolle. Die KI schlägt vor, du verifizierst, du entscheidest und du handelst am Ende selbst.
Wenn du diese drei Punkte beachtest, nutzt du KI produktiv, ohne dich von ihr abhängig zu machen.
Zusammenfassung – GenAI in der Cybersecurity: Wo KI wirklich hilft
Generative KI ist im Security-Alltag ein wertvoller Helfer für Log-Interpretation, Zusammenfassungen, Dokumentation, Skriptgenerierung und Recherche. Ihre Stärke liegt darin, aus Rohinformationen schnell einen kontextbezogenen Überblick zu machen. Gleichzeitig hat sie klare Grenzen: Echte Detection gehört ins SIEM, Incident-Entscheidungen brauchen menschliche Kontrolle und Zugriffe auf interne Systeme sind mit Standard-Tools derzeit nicht vorgesehen. Am Beispiel des Windows-Events 4625 wird deutlich, wie aus mehreren Minuten Recherche wenige Sekunden werden, solange du die Ergebnisse prüfst und die Verantwortung behältst.
FAQ
Kann generative KI mein SIEM ersetzen?Nein. KI ergänzt das SIEM um Kontextualisierung und Interpretation, übernimmt aber keine echte Detection. Regeln, Korrelation und Nachvollziehbarkeit bleiben Aufgabe deines SIEM.
Darf ich Logdaten mit echten Benutzernamen und IP-Adressen in ChatGPT einfügen?Nicht ungeprüft. Anonymisiere sensible Daten vorher, bevor du sie in ein externes Tool kopierst, und halte dich an die Richtlinien deines Unternehmens.
Warum sollte ich die Antworten der KI trotzdem überprüfen?KI-Antworten klingen oft plausibel, können aber fehlerhaft oder unvollständig sein. Verifiziere Aussagen immer gegen verlässliche Quellen wie Microsoft Learn und deine eigene Umgebung.
Was bedeutet Windows-Event 4625?Event-ID 4625 beschreibt einen fehlgeschlagenen Anmeldeversuch. In Kombination mit Merkmalen wie Logon Type 10 und wiederholten Versuchen von externen IP-Adressen kann es auf einen Angriff hindeuten.
Warum ist die Formulierung des Prompts so wichtig?Je präziser du deine Rolle, den Sachverhalt und deine Frage beschreibst, desto zielgerichteter fällt die Antwort aus.
