Erkennen, was jemand beschrieben hat
Regeln schlagen nur bei dem an, was vorher jemand als verdächtig festgelegt hat. Alles andere bleibt unsichtbar.
KI für IT-Sicherheit und Betrieb
KI-Anomalieerkennung: Auffälligkeiten finden, die niemand vorher beschreiben konnte
Wenn Angreifer KI einsetzen, liegt es nahe, auch zur Verteidigung auf KI zu setzen. Wir entwickeln Anomalieerkennung, die in Log-Daten und Transaktionen ungewöhnliche Muster findet – und dabei hilft zu unterscheiden, ob ein Angriff vorliegt oder schlicht ein Systemfehler.
- Erkennt Muster ohne vorheriges Antrainieren
- Läuft oft auf Standard-Hardware
- Praxisbeispiel aus dem Bankensektor
Log Anomaly DetectionLive Log-AnalyseLive
Warum gerade jetzt?
Aktuell wird verstärkt darüber berichtet, dass KI auch eingesetzt werden kann, um die Sicherheit von IT-Systemen zu kompromittieren – etwa um Schwachstellen schneller zu finden oder Angriffe zu automatisieren. Klassische Schutzmechanismen arbeiten oft mit festen Regeln und bekannten Mustern. Gegen neue, bisher unbekannte Vorgehensweisen helfen sie nur begrenzt.
Schutz vor dem, was man schon kennt
Bekannte Angriffsmuster werden zuverlässig erkannt. Neue oder leicht abgewandelte Varianten können durchrutschen.
Abweichungen vom Normalen
Die KI lernt, wie sich Ihre Systeme im Alltag verhalten, und meldet Abweichungen – auch solche, die nie jemand vorher beschrieben hat.
Angriff oder Systemfehler?
Nicht jede Auffälligkeit ist ein Angriff. Viele Fehlermeldungen haben ganz gewöhnliche Ursachen – ein volles Laufwerk, ein fehlerhaftes Update, eine überlastete Datenbank. Die KI erkennt beides und hilft, es auseinanderzuhalten: anhand der Muster, in denen die Ereignisse auftreten.
Hinweise auf Kompromittierung
Ungewöhnliche Anmeldungen, Zugriffe zu untypischen Zeiten, neue Verbindungen nach außen oder plötzlich geänderte Berechtigungen.
Hinweise auf Systemfehler
Fehlermeldungen, die sich häufen, Dienste, die langsamer antworten, oder Prozesse, die immer wieder neu starten.
Der Normalbetrieb als Maßstab
Erst wer weiß, wie sich Ihre Systeme im Alltag verhalten, erkennt, was wirklich ungewöhnlich ist.
Wie KI Muster erkennt, ohne dass man sie ihr beibringt
Der Kern ist unüberwachtes Lernen (engl. unsupervised learning): Die KI braucht keine Beispiele für Angriffe oder Fehler, die ein Mensch vorher zusammengestellt und beschriftet hat. Sie lernt die Muster selbst aus den Daten.
- 1 · Sammeln
Daten zusammenführen
Logs, Ereignisse, Transaktionen
Log-Daten von Servern, Anwendungen und Netzwerk – oder Geschäftsvorfälle wie Transaktionen – werden laufend erfasst.
- 2 · Lernen
Normalzustand erkennen
ohne beschriftete Beispiele
Die KI lernt selbstständig, welche Muster im Alltag typisch sind: wer wann worauf zugreift, wie oft welche Meldungen auftreten.
- 3 · Bewerten
Abweichungen messen
Anomalie-Wert
Jedes neue Ereignis erhält einen Wert, wie ungewöhnlich es ist. Erst ab einer festgelegten Schwelle wird es auffällig.
- 4 · Melden
Einordnen und handeln
der Mensch entscheidet
Auffälligkeiten gehen mit Kontext an Ihre Fachleute. Ihre Rückmeldungen helfen, das Modell weiter zu verbessern.
Welches Verfahren? Das zeigt der Versuch
Für die Anomalieerkennung gibt es viele Verfahren – von klassischen Methoden des maschinellen Lernens bis zu neuronalen Netzen. Welches konkrete Verfahren am besten passt, hängt immer vom Anwendungsfall ab und muss oft schlicht ausprobiert werden.
VerfahrenGrundidee, einfach erklärt
- Isolation ForestTeilt die Daten immer wieder zufällig auf. Fälle, die sich besonders schnell vom Rest abtrennen lassen, sind ungewöhnlich.
- HDBSCANFasst ähnliche Fälle zu Gruppen zusammen. Was zu keiner Gruppe passt, fällt als Ausreißer auf.
- Variational AutoencoderEin neuronales Netz lernt, typische Fälle nachzubilden. Was es nur schlecht nachbilden kann, ist ungewöhnlich.
Diese Verfahren haben wir zum Beispiel im Praxisbeispiel unten eingesetzt.
Weiteres Beispiel: Betrugsfallerkennung bei Kontoeröffnungen
Dasselbe Prinzip funktioniert weit über die IT hinaus – etwa bei Geschäftsvorfällen im Bankwesen.
AnomalieerkennungBankensektor
Auffälligkeiten bei Neukontoanlagen erkennen
Für einen Kunden aus dem genossenschaftlichen Bankensektor (auf Wunsch des Kunden anonym)
- Ausgangslage
- Bei der Eröffnung neuer Konten müssen auffällige Fälle erkannt werden, die eine manuelle Betrugsprüfung nach sich ziehen. Die allermeisten Kontoeröffnungen sind unauffällig – die wenigen verdächtigen gilt es zuverlässig herauszufiltern.
- Lösung
- Wir haben den Kunden dabei unterstützt, bei Neukontoanlagen Anomalien automatisch zu erkennen. Dafür haben wir klassische Verfahren wie Isolation Forest und HDBSCAN ebenso eingesetzt wie Verfahren auf Basis neuronaler Netze, etwa Variational Autoencoder, um zu prüfen, ob eine Anomalie vorliegt.
- Ergebnis
- Auffällige Neukontoanlagen werden erkannt und können gezielt der manuellen Betrugsprüfung zugeführt werden.
Keine teure Infrastruktur nötig
Die gute Nachricht: Solche Verfahren benötigen keine aufwendige Infrastruktur. Ein GPU-Cluster oder Ähnliches ist in der Regel nicht nötig – häufig reicht Standard-Hardware.
Standard-Hardware
Die Modelle laufen oft auf gewöhnlichen Servern, wie sie in vielen Unternehmen ohnehin vorhanden sind.
Schnellere Entwicklung
Ohne Spezialhardware lassen sich Verfahren rasch ausprobieren, vergleichen und anpassen.
Datensicherheit
Sensible Log- und Kundendaten bleiben vollständig in Ihrem Haus.
So gehen wir vor
Schritt 1: Erstgespräch
Kostenlos und unverbindlich: Welche Systeme oder Vorgänge sollen überwacht werden?
Schritt 2: Datensichtung
Wir sichten Log-Daten, Ereignisse oder Transaktionen und klären, was „normal“ ist.
Schritt 3: Verfahren ausprobieren
Wir testen und vergleichen mehrere Verfahren an Ihren Daten.
Schritt 4: Pilotbetrieb
Wir bewerten die Meldungen gemeinsam mit Ihren Fachleuten und justieren die Schwellen.
Schritt 5: Einführung & Schulung
Betrieb auf Ihrer Hardware – lokal, in der Cloud oder hybrid – und Befähigung Ihres Teams.
Was Sie davon haben
Unbekanntes entdecken
Auffälligkeiten, für die es noch keine Regel gibt.
Besser einordnen
Hinweise, ob ein Angriff oder ein Systemfehler dahintersteckt.
Weniger Prüfaufwand
Nur auffällige Fälle landen bei Ihren Fachleuten.
Daten bleiben im Haus
Betrieb auf Ihrer eigenen Standard-Hardware.
Häufige Fragen zu KI-Anomalieerkennung
Was ist Anomalieerkennung?
Anomalieerkennung bedeutet, in großen Datenmengen Ereignisse zu finden, die vom üblichen Verhalten abweichen. Eine KI lernt dazu den Normalzustand – etwa wie sich IT-Systeme im Alltag verhalten – und meldet, was nicht ins Bild passt.
Muss man der KI vorher beibringen, wie ein Angriff aussieht?
Nein. Beim unüberwachten Lernen erkennt die KI Muster selbstständig, ohne dass sie vorher vom Menschen explizit antrainiert werden. Dadurch kann sie auch Auffälligkeiten finden, die bisher niemand kannte.
Kann die KI zwischen Angriff und Systemfehler unterscheiden?
Sie hilft dabei. Angriffe und Systemfehler hinterlassen in den Daten oft unterschiedliche Muster – etwa ungewöhnliche Zugriffe einerseits, sich häufende Fehlermeldungen andererseits. Die abschließende Bewertung treffen Ihre Fachleute.
Ersetzt Anomalieerkennung Firewall und Virenschutz?
Nein. Anomalieerkennung ergänzt bestehende Schutzmaßnahmen. Sie setzt dort an, wo feste Regeln und bekannte Muster an ihre Grenzen stoßen.
Welches Verfahren wird eingesetzt?
Das hängt vom Anwendungsfall ab und muss oft ausprobiert werden. In Frage kommen klassische Verfahren wie Isolation Forest oder HDBSCAN ebenso wie neuronale Netze, etwa Variational Autoencoder.
Braucht man dafür teure Hardware wie GPU-Cluster?
In der Regel nicht. Häufig reicht Standard-Hardware aus. Das beschleunigt die Entwicklung erheblich, und die Daten können vollständig im eigenen Haus bleiben.