In dem Science-Fiction-Film „ : Minority Report“ warten Polizeibeamte nicht darauf, dass Verbrechen begangen werden. Sie nehmen Verdächtige fest, gestützt auf Zukunftsvisionen, die von „Precogs“ erzeugt werden, die in Nährstofftanks schweben. Das System ist schnell, effizient und zutiefst beunruhigend. Es gewährleistet Sicherheit, indem es eingreift, bevor Schaden entsteht. Dies wirft zudem eine naheliegende Frage auf: Was geschieht, wenn die Vorhersage falsch ist?
Zwei Jahrzehnte später setzen sich führende Experten im Bereich Cybersicherheit mit einem ähnlichen Konzept auseinander. Was wäre, wenn digitale Angriffe gestoppt werden könnten, noch bevor sie überhaupt beginnen? Was wäre, wenn Software – und nicht Analysten – die schwachen Anzeichen eines drohenden Sicherheitsverstoßes erkennen und diesen automatisch unterbinden könnte?
Gartner ist der Ansicht, dass diese Zukunft näher ist, als viele glauben. Das Unternehmen prognostiziert, dass präventive Cybersicherheitslösungen bis zum Jahr 2030 50 % der IT-Sicherheitsausgaben ausmachen werden – ein Anstieg gegenüber weniger als 5 % im Jahr 2024 –, und damit eigenständige Erkennungs- und Reaktionslösungen als bevorzugten Ansatz zur Abwehr von Cyberbedrohungen ablösen werden.
Die große Frage ist, ob sich die Cybersicherheit tatsächlich auf eine eigene Version von „Precrime“ zubewegt oder ob „präventiv“ lediglich eine neue Bezeichnung für Instrumente ist, die es bereits seit Jahren gibt.
Was mit „präventiv“ gemeint ist
Gartner definiert präventive Cybersicherheit als einen Wandel weg vom Abwarten auf Angriffe hin zu deren aktiver Vorwegnahme und Abwehr. In seinem Bericht „ Oktober 2025 “ ($), „Emerging Tech Impact Radar: Preemptive Cybersecurity“ argumentierte das Unternehmen, dass Unternehmen „ihre Sicherheitsabläufe zu einem proaktiven, dynamischen Verteidigungssystem weiterentwickeln müssen, das Angriffe aktiv antizipiert und verhindert“.
Dieses System würde auf künstlicher Intelligenz und maschinellem Lernen basieren, um das Netzwerkverhalten zu analysieren, Angriffspfade zu simulieren und vorherzusagen, wo Angreifer wahrscheinlich zuschlagen werden. Anstatt erst nach Eintritt eines Schadens auf Warnmeldungen zu reagieren, würden die Abwehrmaßnahmen bereits früher eingreifen, indem sie den Zugriff blockieren, Systeme neu konfigurieren oder Angreifer in die Irre führen, bevor diese Fuß fassen können.
In der Praxis bedeute dies, die Erkennung „nach links zu verlagern“, erklärte Wendy Nather, Senior Research Initiatives Director bei 1Password, und bezog sich dabei darauf, verdächtige Aktivitäten bereits in einer früheren Phase des Angriffszyklus zu erkennen, noch bevor tatsächlicher Schaden entsteht.
„Prävention und Aufdeckung gab es bei uns schon immer“, sagte Nather. „Wenn man etwas nicht verhindern kann, muss man es aufdecken. Das ist eine Binsenweisheit. „Im Grunde geht es hier darum, die Erkennung nach vorne zu verlagern.“
Der Unterschied liegt – zumindest theoretisch – in der Automatisierung. Anstatt dass menschliche Analysten Warnmeldungen prüfen und völlig eigenständig über das weitere Vorgehen entscheiden, würden KI-gesteuerte Systeme zunehmend selbst Entscheidungen treffen, wobei der Umfang der menschlichen Aufsicht variieren würde.
Die Technologie hinter der Vision
Damit präventive Sicherheit mehr als nur ein Schlagwort bleibt, müssen Unternehmen laut Gartner eine neue Kombination aus prädiktiven, adaptiven und täuschenden Technologien einsetzen, die miteinander verzahnt sind.
Die Grundlage bilden Plattformen für prädiktive Bedrohungsanalysen, die historische Daten und Echtzeitdaten analysieren, um wahrscheinliche Angriffe vorherzusagen. Automatisierte Tools zur Bewertung von Sicherheitskontrollen prüfen kontinuierlich, ob Sicherheitskonfigurationen ordnungsgemäß funktionieren, und decken Schwachstellen auf, bevor Angreifer diese ausnutzen können.
[Lesen Sie auch: Was ist Sicherheitsautomatisierung? Vorteile, Bedeutung und Merkmale]
Plattformen für präventives Risikomanagement konzentrieren sich darauf, die Angriffsfläche einer Organisation zu erfassen und diejenigen Schwachstellen zu priorisieren, die am ehesten ins Visier genommen werden. Fortschrittliche Cyber-Täuschungsinstrumente setzen Köder und Honeypots ein, um Angreifer in die Irre zu führen und zu vereiteln und gleichzeitig deren Taktiken aufzudecken.
Viele dieser Systeme basieren auf Heuristiken, also vereinfachten, musterbasierten Regeln, die aus früheren Verhaltensweisen abgeleitet wurden und der Software dabei helfen, zu entscheiden, was als „normal“ gilt und wann Aktivitäten davon abweichen.
Mit Blick auf die Zukunft hat Gartner auf Technologien wie die autonome adversarische Emulation, die „Moving-Target“-Verteidigung und „Cybersecurity-Precrime-Plattformen“ hingewiesen, die darauf abzielen, das Verhalten von Angreifern zu simulieren, zukünftige Bedrohungen zu modellieren und Abwehrmaßnahmen kontinuierlich zu testen.
Gemeinsam sind diese Systeme darauf ausgelegt, die Sicherheit von einem reaktiven Ansatz hin zu einem sich ständig anpassenden Ansatz zu verlagern, bei dem Netzwerke sich selbst überwachen, ihre eigenen Schwachstellen testen und ihre Abwehrmaßnahmen nahezu in Echtzeit anpassen.
Warum Unternehmen dies wünschen
Präventive Cybersicherheit ist attraktiv. Datenschutzverletzungen sind kostspielig, führen zu Betriebsstörungen und sind zunehmend unvermeidbar. Ransomware hat Krankenhäuser lahmgelegt. Angriffe auf die Lieferkette haben in zahlreichen Branchen für Unruhe gesorgt. Künstliche Intelligenz hat die Eintrittsbarrieren für Angreifer gesenkt.
Könnten Abwehrmaßnahmen früher greifen, könnten Unternehmen die Verweildauer verkürzen, Sicherheitsverletzungen vereiteln, den Schaden begrenzen und viele der Folgekosten der Vorfallbewältigung vermeiden. Präventive Systeme könnten Sicherheitsteams zudem dabei helfen, ihre Arbeit zu priorisieren und sich auf Risiken zu konzentrieren, die statistisch gesehen mit größerer Wahrscheinlichkeit von Bedeutung sind.
Für CISOs, die dem Vorstand Bericht erstatten, versprachen Vorhersagemodelle noch etwas anderes: Zahlen. Könnten Systeme die Wahrscheinlichkeit bestimmter Bedrohungen abschätzen, könnten Führungskräfte Sicherheitsinvestitionen in finanzieller Hinsicht begründen und Kontrollmaßnahmen an eine messbare Risikominderung knüpfen.
Theoretisch führt dies dazu, dass die Cybersicherheit strategischer und weniger reaktiv wird.
Die Sichtweise des Skeptikers
Nicht alle Fachleute sind davon überzeugt.
Jim Routh, Chief Trust Officer bei Saviynt und ehemaliger CISO, stellt die Frage, ob „präventive Cybersicherheit“ einen wesentlichen Bruch mit bisherigen Ansätzen darstellt. „Der Begriff ‚präventiv‘ gefällt mir nicht“, gibt er zu.
Routh ist der Ansicht, dass vieles, was Anbieter als präventive Sicherheit bezeichnen, bereits seit Langem etablierten Automatisierungs- und Analysetechniken ähnelt. Er weist darauf hin, dass maschinelles Lernen bereits seit Jahren für die Risikobewertung und die Erkennung von Anomalien eingesetzt wird und dass neuere Modelle die grundlegenden Einschränkungen nicht beseitigen.
„„Der Begriff ‚präventiv‘ ist mir unangenehm.“Jim Routh, Chief Trust Officer bei Saviynt und ehemaliger CISO
Auch Nather äußerte ähnliche Bedenken. Sie erinnerte sich an einen Vorfall, bei dem ein Regierungsnetzwerk offenbar mit Servern in Rumänien kommunizierte, was Verdacht weckte. Nach einer Überprüfung stellte sich heraus, dass es sich bei dem Datenverkehr um legitime Updates eines zugelassenen Anbieters handelte.
„Das ist genau die Art von Problem, die durch die Automatisierung noch nicht vollständig gelöst wurde“, sagte sie.
Geschäftsbeziehungen, betriebliche Besonderheiten und vorübergehende Ausnahmen würden in den Daten selten vollständig erfasst, stellte sie fest. Infolgedessen erwiesen sich Frühwarnungen häufig als Fehlalarme.
Aus diesem Grund zögerten viele Organisationen jahrelang, vollautomatische Antworten einzuführen. Selbst wenn Unternehmen automatisierte Feeds mit Indikatoren für Sicherheitsverletzungen erhielten, so Nather, bestanden sie oft auf einer manuellen Überprüfung, bevor sie Maßnahmen ergriffen. Aus diesem Grund ist der Ansatz „Human-in-the-Loop“ nach wie vor beliebt und – zumindest vorerst – von entscheidender Bedeutung.
Das Problem der falsch-positiven Ergebnisse
Falsch-positive Ergebnisse sind nicht nur lästig. In einem präventiven System können sie schädlich sein.
Sollte ein KI-Agent harmloses Verhalten fälschlicherweise als böswillig interpretieren und daraufhin automatisch reagieren, könnte dies zur Abschaltung kritischer Systeme, zur Sperrung legitimer Nutzer oder zur Störung des Betriebs führen. Die Kosten, die durch Fehler entstehen, können mit zunehmender Automatisierung proportional steigen.
„Deshalb müssen wir, bevor wir zu stark auf Automatisierung setzen und zu weit nach links gehen, wirklich darüber nachdenken, wie wir dies überprüfen wollen“, sagte Nather. „Sie müssen sich sicherer sein als bisher.“
„Deshalb müssen wir, bevor wir zu stark automatisieren und zu weit nach links rücken, wirklich darüber nachdenken, wie wir dies validieren werden.“Wendy Nather, Leiterin für Forschungsinitiativen bei 1Password
Solche Zusicherungen erfordern nicht nur menschliche Kontrolle, sondern auch zusätzliche Funktionen wie Echtzeit-Bedrohungsinformationen und ein kontinuierliches Risikomanagement, das durch autonome IT ermöglicht wird, um Signale präzise vom Rauschen zu unterscheiden. Die Mitglieder des Sicherheitsteams, die dies überwachen, benötigen zudem Echtzeitinformationen über alle ihre Endgeräte, um mit Sicherheit feststellen zu können, ob eine plötzliche Veränderung eine Abweichung von tatsächlicher und schwerwiegender Tragweite darstellt.
In einem Bericht mit dem Titel „ “ () für das Institute for Critical Infrastructure Technology (ICIT) argumentierte Routh, dass eine frühzeitige Automatisierung am besten funktioniert, wenn sie auf deterministischen Modellen basiert, die bei Abweichungen von klaren Mustern ausgelöst werden. Komplexere Umgebungen, so schrieb er, erfordern möglicherweise, dass generative KI mehrere Variablen abwägt, jedoch nur unter sorgfältiger Aufsicht. Er warnte, dass die Zulassung probabilistischer Systeme zur Steuerung von Abwehrmaßnahmen mit erheblichen Auswirkungen ohne fundierte Validierung das operative Risiko eher erhöhe, anstatt es zu verringern.
Routh wies zudem auf die Wahrscheinlichkeit als praktisches Hindernis hin. Selbst wenn ein Modell die Wahrscheinlichkeit eines Angriffs auf 70 Prozent schätzen würde, könnten Führungskräfte diese Zahl dennoch anzweifeln, insbesondere wenn die Maßnahmen zur Risikominderung kostspielig wären.
„Sie werden fragen: ‚Wie sind Sie darauf gekommen?‘“ sagte er. „Und sie werden nichts unternehmen wollen, solange sie nicht ziemlich sicher sind, dass sie es brauchen werden.“
Erste Schritte
Wenn Sie an einem präventiven Ansatz interessiert sind, sollten laut den Experten die Grundlagen stets an erster Stelle stehen.
„Sie sollten lieber auf Ihre Hygiene achten“, sagte Nather. „Erstellen Sie eine aussagekräftige Bestandsaufnahme Ihrer Bestände. „In der Lage sein, Änderungen daran zu kontrollieren.“
Ohne ein präzises Asset-Management, Konfigurationsmanagement und eine umfassende Transparenz standen den prädiktiven Systemen nur wenige verlässliche Daten zur Verfügung.
Von dort aus könnten Unternehmen damit beginnen, schrittweise Automatisierung einzuführen. Dazu könnten eine kontinuierliche Kontrollbewertung, Plattformen zum Expositionsmanagement sowie begrenzte Formen automatisierter Reaktionen gehören, wie beispielsweise die Isolierung verdächtiger Endpunkte oder die Sperrung risikobehafteter Zugangsdaten.
Routh nannte die Verwaltung privilegierter Zugriffsrechte als einen Bereich, in dem dieser Ansatz bereits zum Einsatz kommt. In seinem ICIT-Bericht beschrieb er Systeme, die das Verhalten privilegierter Benutzer in Echtzeit überwachen, es mit festgelegten Referenzwerten vergleichen und den Zugriff automatisch entziehen, wenn die Verhaltensmuster stark davon abweichen. Sicherheitsteams würden erst im Nachhinein benachrichtigt, schrieb er; so könne die Automatisierung potenzielle Bedrohungen eindämmen, bevor sie sich ausbreiten.
Zahlreiche Organisationen experimentieren zudem mit „Human-in-the-Loop“-Modellen, bei denen KI-Systeme Maßnahmen vorschlagen, diese jedoch vor der Ausführung von einem Analysten genehmigt werden müssen.
Routh beschrieb Automatisierung als Mittel, um Talente zu fördern, anstatt sie zu ersetzen. In der Studie, die er gemeinsam mit dem Scientia-Institut durchführte, stellte er fest, dass die Automatisierung dazu beitrug, dass Nachwuchsanalysten bessere Leistungen erbrachten, jedoch den Bedarf an erfahrenem Urteilsvermögen nicht beseitigte.
„Es gibt immer eine Menge Detektivarbeit, die nicht präventiv geleistet werden kann“, sagte er.
Strukturelle Herausforderungen
Selbst bei soliden Grundlagen stößt die präventive Sicherheit auf strukturelle Hindernisse.
Die Datenqualität ist nach wie vor uneinheitlich. Viele Unternehmen arbeiten mit fragmentierten Systemen und Cloud-Umgebungen, was die Transparenz einschränkt. KI-Modelle, die auf unvollständigen oder verzerrten Daten trainiert wurden, weisen diese Mängel ebenfalls auf.
[Lesen Sie auch: Was ist agentische KI? Was Sie über diese neue Art von KI wissen sollten]
Die Integration stellt eine weitere Hürde dar. Präventive Ansätze funktionieren am besten, wenn die einzelnen Instrumente Daten austauschen und ihre Maßnahmen aufeinander abstimmen. In der Praxis sind Sicherheitsstacks nach wie vor voneinander isoliert und weisen nur eine begrenzte Interoperabilität auf.
Zudem gibt es eine kulturelle Barriere. Der Übergang von menschengeführten Ermittlungen zu maschinengesteuerten Maßnahmen erfordert Vertrauen. Dieses Vertrauen baut sich nur langsam auf, insbesondere nach viel beachteten Fehlschlägen der KI.
Angreifer untersuchen weiterhin die Verteidigungssysteme und loten deren Grenzen aus. Da sich Vorhersageinstrumente zunehmend verbreiten, probieren Angreifer neue Techniken aus, um der Erkennung zu entgehen, Modelle zu manipulieren und Schwachstellen auszunutzen. Dieser fortwährende Kreislauf setzt Unternehmen unter ständigen Druck, Systeme neu zu konfigurieren, Kontrollmechanismen zu verfeinern und Annahmen zu aktualisieren.
Eine Zukunft, die sich noch in der Entwicklung befindet
Die Vision von Gartner ist ehrgeizig. Es stellt sich Sicherheitssysteme vor, die sich eher wie Immunsysteme verhalten: Sie erkennen Bedrohungen, passen sich kontinuierlich an und neutralisieren Risiken eigenständig.
„“ Ich sehe ein digitales Immunsystem für Unternehmen...KI ist Teil des Wandels.”Jim Routh, Chief Trust Officer bei Saviynt und ehemaliger CISO
Routh hat in seiner Arbeit am ICIT ein ähnliches Konzept beschrieben, das er als „digitales Immunsystem“ bezeichnet. In diesem Modell überwachen KI-gesteuerte Systeme kontinuierlich Abweichungen von den Mustern und lösen innerhalb von Millisekunden automatisierte Reaktionen aus, wobei nur bei Bedarf eine Eskalation an menschliche Mitarbeiter erfolgt. Das Ziel, so schrieb er, bestehe darin, mit der Geschwindigkeit moderner Angriffe Schritt zu halten, ohne dass jede Abwehrmaßnahme von Analysten eingeleitet werden müsse.
„Ich stelle mir ein digitales Immunsystem für das Unternehmen vor“, sagte Routh. „KI ist Teil des Wandels.“
Der Unterschied liegt in den Erwartungen. Gartner bezeichnete präventive Sicherheit als eine kurzfristige Veränderung. Die Praktiker beschrieben dies als einen schrittweisen Wandel, der durch die organisatorischen Gegebenheiten eingeschränkt sei.
Vorerst werden die meisten Unternehmen wahrscheinlich einen Mittelweg einschlagen und mit Instrumenten wie Cyber-Täuschung experimentieren. Sie können prädiktive Analysen, Expositionsmanagement und Automatisierung einsetzen, um die Reaktionszeiten zu verbessern und Störsignale zu reduzieren. Der Mensch wird weiterhin maßgeblich an der Interpretation von Signalen und dem Risikomanagement beteiligt sein.
Eine echte Vorhersage im Stil von „Precrime“ ist nach wie vor nicht realisierbar.
Was könnte man dadurch gewinnen?
Sollte sich die präventive Sicherheit tatsächlich durchsetzen, könnten die Vorteile erheblich sein. Unternehmen könnten ihre Angriffsflächen verringern, bevor diese ausgenutzt werden. Sie könnten Ransomware-Ausbrüche eindämmen, die laterale Bewegung einschränken und verhindern, dass aus kleinen Vorfällen Krisen werden. Sicherheitsteams könnten weniger Zeit mit der Bekämpfung akuter Probleme verbringen und stattdessen mehr Zeit darauf verwenden, die Widerstandsfähigkeit zu verbessern.
Dies könnte zudem die Art und Weise verändern, wie Unternehmen über Risiken denken, und den Fokus der Diskussionen von der Nachbetrachtung auf die Prävention verlagern.
Diese Zukunft hängt jedoch von einer sorgfältigen Umsetzung, realistischen Erwartungen und nachhaltigen Investitionen in die Grundlagen ab.
Wie Nather anmerkte: „Bevor Sie die Maßstäbe für die Maßnahmen, die Sie ergreifen möchten, verschieben, sollten Sie sich besser vergewissern, dass Sie diese auch wirklich umsetzen wollen.“
Das „Precrime“-System aus dem Film „ “ („Minority Report“) brach schließlich unter der Last seiner eigenen Fehler zusammen. Die Version für die Cybersicherheit befindet sich noch in der Entwicklung. Ob sich daraus ein zuverlässiges Frühwarnnetzwerk entwickelt oder nur eine weitere Vision, bei der zu viel versprochen wurde, hängt weniger von den Algorithmen selbst ab als vielmehr davon, wie umsichtig Organisationen diese einsetzen.
Vorerst bleiben die Precogs Menschen.
