KI führt Großteil der Sicherheitsuntersuchungen im agentenbasierten Security-Operations-Center durch

KI verändert die Arbeit in Security-Operations-Centern (SOC) grundlegend: Mehr als 60 Prozent aller Sicherheitsuntersuchungen werden laut „Arctic Wolf Agentic Security Operations Report 2026″ inzwischen vollständig von KI-Agenten durchgeführt und abgeschlossen. Eine enorme Unterstützung für Sicherheitsteams und ein deutlicher Vorteil für die Cybersicherheit von Unternehmen.

Diese Erkenntnisse basieren auf Sicherheitsdaten des Aurora-Agentic-SOC von Arctic Wolf, einem Anbieter KI-gestützter Cybersicherheitslösungen. Sie zeigen, welche Aufgaben KI-Agenten bereits eigenständig übernehmen können und an welchen Stellen weiterhin menschliche Entscheidungen erforderlich sind. Denn trotz zunehmender Automatisierung benötigen rund 40 Prozent aller Sicherheitsuntersuchungen nach wie vor menschliche Expertise. Entscheidend ist daher nicht allein, wie viele Aufgaben KI autonom erledigt, sondern auch, ob sie zuverlässig erkennt, wann ihre Fähigkeiten an Grenzen stoßen.

Angreifer- und Verteidigerseite werden schneller 

„Cyberangriffe in der Nacht, an Wochenenden oder Feiertagen stellen Sicherheitsteams seit Langem vor besondere Herausforderungen“, so Dr. Sebastian Schmerl, Vice President Security Services EMEA bei Arctic Wolf. „Außerhalb der regulären Arbeitszeiten sind häufig weniger Mitarbeitende verfügbar. Diesen Umstand nutzen Angreifer gezielt aus, um möglichst lange unentdeckt zu bleiben. Doch mit dem zunehmenden Einsatz von KI verändert sich die Dynamik auf beiden Seiten. Auch Cyberkriminelle nutzen KI, um ihre Angriffe zu beschleunigen und zu automatisieren. Es entsteht ein regelrechter Wettlauf zwischen Angreifern und Verteidigern, bei dem traditionelle Sicherheitsprozesse zunehmend an ihre Grenzen stoßen. Unternehmen, die ausschließlich auf ein herkömmliches SOC setzen oder über keine kontinuierliche Sicherheitsüberwachung verfügen, riskieren, nicht mehr schnell genug reagieren zu können. KI-gestützte Security-Operations hingegen untersuchen Sicherheitsereignisse unabhängig von Uhrzeit und Personalverfügbarkeit kontinuierlich und reagieren bei entsprechenden Voraussetzungen unmittelbar.“

Außerhalb der regulären Geschäftszeiten können verdächtige Aktivitäten zwar leichter auffallen, da weniger reguläre Nutzer- und Systemaktivitäten stattfinden. Voraussetzung dafür ist jedoch, dass Sicherheitsereignisse rund um die Uhr überwacht und bewertet werden. Eine kontinuierliche Sicherheitsüberwachung bleibt deshalb unverzichtbar – gerade angesichts der zunehmenden Geschwindigkeit KI-gestützter Angriffe.

KI übernimmt bereits eine Vielzahl der Untersuchungen

Wie weit die Automatisierung fortgeschritten ist, verdeutlicht die Entwicklung seit der Einführung des Aurora-Agentic-SOC im August 2025. Im ersten vollständigen Betriebsmonat bearbeiteten menschliche Analysten noch rund 81 Prozent der Sicherheitsuntersuchungen ohne Unterstützung durch KI. Ein Jahr später ist dieser Anteil auf zwei Prozent gesunken. Gleichzeitig hat sich der Anteil vollständig durch KI-Agenten abgeschlossener Untersuchungen mehr als verdreifacht und liegt inzwischen bei über 60 Prozent.

Auch die Zusammenarbeit zwischen Mensch und Maschine hat deutlich an Fahrt aufgenommen. Während zu Beginn weniger als ein Prozent der Untersuchungen gemeinsam bearbeitet wurde, sind es heute 38 Prozent. KI-Agenten übernehmen dabei die vorbereitende Analyse, sammeln Belege, verknüpfen unterschiedliche Sicherheitssignale und erarbeiten mögliche Erklärungen. Menschliche Analysten überprüfen anschließend die Ergebnisse, bewerten die Auswirkungen und entscheiden über die erforderlichen Maßnahmen.

„Die entscheidende Frage ist heute nicht mehr, ob KI Aufgaben im Security-Operations-Center eigenständig übernehmen kann“, erläutert Dr. Schmerl. „Die Zahlen zeigen, dass sie dazu bereits in erheblichem Umfang in der Lage ist. Maßgeblich ist vielmehr, unter welchen Voraussetzungen sie autonom handeln darf und wann menschliche Expertise erforderlich wird. Gerade bei neuartigen Angriffen, widersprüchlichen Hinweisen oder sicherheitskritischen Entscheidungen darf Geschwindigkeit nicht zulasten der Verlässlichkeit gehen. Ein leistungsfähiges Agentic SOC muss deshalb nicht nur wissen, wann es handeln kann, sondern auch, wann es eine Entscheidung an einen Menschen übergeben muss.“

Geschwindigkeit macht den Unterschied

Die zunehmende Automatisierung wirkt sich auch auf die Geschwindigkeit aus. Die durchschnittliche Zeitspanne zwischen einem sicherheitsrelevanten Ereignis und der Erstellung eines konkreten, bearbeitbaren Sicherheitstickets ist um 36 Prozent gesunken. Besonders deutlich fallen die Verbesserungen bei komplexeren Untersuchungen aus. Einzelne Arbeitsabläufe erreichen inzwischen eine bis zu 15-mal schnellere Bearbeitung als im traditionellen Modell.

Weniger Sicherheitswarnungen trotz steigender Untersuchungszahlen

Neben der Verteilung der Aufgaben zwischen Mensch und KI zeigt der Report auch Veränderungen bei der Verarbeitung großer Sicherheitsdatenmengen. Obwohl das monatliche Untersuchungsvolumen nach Einführung des Agentic-SOC um 21 Prozent gestiegen ist, sank die Zahl der Sicherheitswarnungen im selben Zeitraum um rund 19 Prozent. Der Anteil der Untersuchungen, aus denen eine Sicherheitswarnung hervorging, sank dadurch von 40 auf 27 Prozent. Die relative Häufigkeit von Tickets mit hoher oder kritischer Dringlichkeit blieb hingegen weitgehend stabil. Damit deutet die Entwicklung darauf hin, dass vor allem unnötige Warnungen reduziert werden.

Mehr Zeit für die Aufgaben, die menschliche Expertise erfordern

Die Entlastung der Analysten lässt sich auch anhand der eingesparten manuellen Prüfungen nachvollziehen. Zwischen Januar und August 2026 entfielen durch Automatisierung, einschließlich agentenbasierter Arbeitsabläufe, rund 1,3 Millionen manuelle Überprüfungen. Das entspricht einem Anstieg um 51 Prozent gegenüber dem Vorjahreszeitraum. Für Sicherheitsteams verändert sich dadurch der Schwerpunkt ihrer Arbeit. Statt einen großen Teil ihrer Zeit mit der Sichtung und Einordnung wiederkehrender Warnungen zu verbringen, können sie sich stärker auf komplexe Bedrohungen, die gezielte Suche nach bislang unentdeckten Angriffen und die präventive Verbesserung der Sicherheitslage konzentrieren.

Die wichtigsten Ergebnisse im Überblick:

• KI-Agenten schließen mehr als 60 Prozent der Sicherheitsuntersuchungen eigenständig ab. Innerhalb eines Jahres hat sich der Anteil vollständig autonom abgeschlossener Untersuchungen mehr als verdreifacht.
• Der Anteil rein menschlicher Untersuchungen ist um rund 98 Prozent zurückgegangen. Während Analysten zu Beginn noch rund 81 Prozent der Fälle ohne KI-Unterstützung bearbeiteten, liegt dieser Anteil inzwischen bei lediglich 2 Prozent.
• Menschliche Expertise bleibt bei rund 40 Prozent der Untersuchungen erforderlich. In 38 Prozent der Fälle arbeiten KI-Agenten und Analysten zusammen. Weitere zwei Prozent werden ausschließlich von Menschen bearbeitet, insbesondere bei neuartigen oder besonders komplexen Bedrohungen.
• Der Anteil der Sicherheitswarnungen außerhalb der Geschäftszeiten sinkt. Weltweit gehen 44 Prozent der Warnungen außerhalb der regulären Arbeitszeiten ein, sieben Prozentpunkte weniger als im Vorjahr. In der EMEA-Region liegt dieser Anteil bei 38 Prozent.
• KI beschleunigt die Sicherheitsuntersuchungen. Die durchschnittliche Zeit zwischen einem sicherheitsrelevanten Ereignis und der Erstellung eines bearbeitbaren Sicherheitstickets ist um 36 Prozent gesunken.
• Weniger Warnungen trotz mehr Untersuchungen. Während das monatliche Untersuchungsvolumen um 21 Prozent gestiegen ist, ging die Zahl der Sicherheitswarnungen um rund 19 Prozent zurück.

Ein leistungsfähiges Agentic-SOC braucht mehr als KI-Agenten

Die Ergebnisse des Reports zeigen, dass sich ein leistungsfähiges Agentic SOC nicht allein durch den Einsatz einzelner KI-Modelle oder -Agenten aufbauen lässt. Voraussetzung sind umfangreiche Trainingsdaten, eine sorgfältige Entwicklung und Abstimmung der Modelle, Prompts und Agenten sowie deren kontinuierliche Optimierung und Kalibrierung. Hinzu kommen eine permanente Qualitätskontrolle und die laufende Anpassung an neue Bedrohungen und Angriffsmethoden.

„Einige KI-Agenten miteinander zu verbinden, reicht nicht aus, um ein zuverlässiges Agentic-SOC zu betreiben“, betont Dr. Schmerl. „Entscheidend ist, dass die Systeme auf einer fundierten Datenbasis aufbauen, kontinuierlich überprüft und an neue Bedrohungen angepasst werden. Nur so lässt sich die Bearbeitung von Sicherheitsuntersuchungen in großem Umfang automatisieren, ohne die Qualität der Ergebnisse oder die Kontrolle über kritische Entscheidungen zu verlieren. Denn das Ziel darf nicht maximale Automatisierung sein, sondern muss auf eine Cyberabwehr hinauslaufen, die mit der Geschwindigkeit moderner Angriffe Schritt halten kann.“

Methodik des Agentic-Security-Operations-Report 2026 

Der Arctic-Wolf-Agentic-Security-Operations-Report 2026 basiert überwiegend auf Betriebs- und Sicherheitsdaten des Aurora-Agentic-SOC. Die zugrunde liegenden Daten stammen aus dem Kundenstamm von Arctic Wolf mit mehr als 11.000 Organisationen in über 100 Ländern. Die Aurora-Superintelligence-Platform verarbeitet wöchentlich mehr als zehn Billionen Telemetrie-Ereignisse. Für den Report wurden Metadaten aus diesem Datenstrom ausgewertet. Der Untersuchungszeitraum umfasst Vergleiche von der Einführung des Aurora-Agentic-SOC im August 2025 bis September 2026. Ergänzend flossen anonymisierte Ergebnisse von Sicherheitsuntersuchungen bei Kunden, Leistungskennzahlen agentenbasierter Sicherheitsprozesse sowie Bewertungen von Sicherheitsanalysten zur Wirksamkeit des Aurora-Agentic-SOC ein. Der Report bezieht für die Einordnung außerdem weitere Veröffentlichungen von Arctic Wolf und externe Quellen ein.

Info: Der vollständige Agentic-Security-Operations-Report 2026 zum Herunterladen:  https://arcticwolf.com/resource/aw/2026-agentic-security-operations-report

#ArcticWolf