KI-gestützter Schutz vor Identitätsbedrohungen

Die meisten Threat-Intelligence-Plattformen nutzen KI, um Forenbeiträge, Dark-Web-Kommunikation und indexierte Daten zu Sicherheitsverletzungen zusammenzufassen – und wandeln so große Mengen an Textmaterial in übersichtliche Zusammenfassungen um. Diese Funktion verkürzt zwar die Lesezeit, ändert jedoch nichts am Inhalt der zugrunde liegenden Daten oder an den damit möglichen Analysen. SpyCloud AI Insights unterscheidet sich in zweierlei Hinsicht. Erstens unterscheidet sich die Datenbasis: AI Insights basiert auf Hunderten von Milliarden wiedererlangter Identitätsartefakte – Anmeldedaten im Klartext, Protokolle von Infostealer-Malware, Sitzungs-Cookies, Ergebnisse von Phishing-Kits und personenbezogene Daten (PII) –, die direkt aus kriminellen Infrastrukturen stammen und nicht aus öffentlichen Forenbeiträgen oder indizierten Datenlecks extrahiert wurden. Wettbewerber, die die Unterhaltungen in kriminellen Foren überwachen, sehen, was Kriminelle über gestohlene Daten sagen. SpyCloud gewinnt die gestohlenen Daten selbst zurück. Zweitens unterscheidet sich das Analysemodell: AI Insights integriert Ermittlungsmethoden, die von SpyClouds eigenen Ermittlern im Bereich Cyberkriminalität über mehr als ein Jahrzehnt hinweg entwickelt wurden, und wendet diese auf Mustererkennung und Identitätskorrelation in einem Umfang an, den kein Team aus menschlichen Analysten erreichen könnte. Das Ergebnis sind fertige Erkenntnisse mit Zuordnungssignalen, Risikoindikatoren und rückverfolgbaren Quellartefakten – und nicht etwa eine Zusammenfassung dessen, was andere über eine Bedrohung geschrieben haben.

Die Ermittlungsmethoden, die erforderlich sind, um von einem einzelnen Datenpunkt – einer E-Mail-Adresse, einem Benutzernamen, einer IP-Adresse – zu einem vollständigen Profil eines Angreifers oder einer umfassenden Bestandsaufnahme der nach einer Infektion bestehenden Risiken zu gelangen, erforderten in der Vergangenheit erfahrene Analysten. Tier-1-SOC-Analysten und unerfahrene Ermittler verfügen nicht über das institutionelle Wissen, um zu wissen, welche Abzweigungen durchgeführt werden müssen, welche Datenartefakte aussagekräftig sind und wie fragmentierte Datensätze zu einem zusammenhängenden Gesamtbild zusammengefügt werden können. AI Insights automatisiert die Korrelations- und Syntheseschritte, die dieses Fachwissen erfordern. Wenn ein Analyst einen Suchbegriff eingibt, wendet AI Insights die IDLink-Korrelation an, um verbundene Identitätsdaten aufzudecken, führt Musterabgleiche im von SpyCloud zurückgewonnenen Datensatz durch, um verdächtige Beziehungen und Zuordnungssignale zu identifizieren, und generiert anschließend fertige Erkenntnisse – eine strukturierte, mit Anmerkungen versehene Zusammenfassung mit nachvollziehbaren Quellenbelegen –, die ein Tier-1-Analyst lesen, überprüfen und umsetzen kann, ohne die gesamte dahinterstehende Analysemethodik verstehen zu müssen. Ein Kunde berichtete von einer Steigerung der Analystenproduktivität um 400 % nach der Einführung von SpyCloud Investigations mit AI Insights. Ein SOC-Manager einer globalen Fluggesellschaft berichtete, dass sich der Arbeitsaufwand im SOC von zwei Stunden auf wenige Minuten reduziert habe. Die Funktion ermöglicht nicht nur eine schnellere Analyse – sie bedeutet auch, dass Unternehmen mit dem vorhandenen Analystenpersonal tiefgreifendere Untersuchungen durchführen können, anstatt erfahrene CTI-Mitarbeiter einstellen zu müssen.

Tools zur Erkennung von Verhaltensmustern – SIEM, EDR, UEBA – identifizieren anomale Aktivitäten innerhalb der Umgebung eines Unternehmens, nachdem Authentifizierungsvorgänge, Dateizugriffe oder Netzwerkverbindungen stattgefunden haben. Sie arbeiten mit Signalen, die durch die Handlungen der Angreifer nach deren Eindringen in das System erzeugt werden. SpyCloud AI Insights arbeitet hingegen mit Signalen, die bereits vor dem Handeln der Angreifer entstehen: den gestohlenen Identitätsdaten, die auf kriminellen Märkten im Umlauf sind und einen zukünftigen Zugriff anzeigen, nicht aber aktuelles anomales Verhalten. Ein Mitarbeiter, dessen Anmeldedaten von Infostealer-Malware gestohlen wurden, erzeugt kein Verhaltenssignal, bis der Angreifer diese Anmeldedaten testet. Ein Opfer eines AitM-Phishing-Angriffs, dessen Sitzungs-Cookies abgefangen wurden, zeigt beim Identitätsanbieter keine Anomalie, bis der Angreifer das Cookie wiederverwendet. Ein Angreifer, der ein Malware-Protokoll mit Fingerabdrücken von Mitarbeitergeräten erworben hat, hat noch keinen einzigen Alarm im Systemstapel des Unternehmens ausgelöst. AI Insights deckt diese Sicherheitslücken vor dem Angriff auf, indem es zurückgewonnene kriminelle Daten mit der Identitätsfläche einer Organisation korreliert – und so Hinweise auf zukünftige Angriffe in aktuellen Aktivitäten auf kriminellen Märkten findet. Das Ergebnis ist ein Erkennungssignal, das eintrifft, bevor Verhaltensanomalien möglich sind. Dies gibt Sicherheitsteams die Möglichkeit, zu handeln, bevor der Zugriff ausgenutzt wird, anstatt erst nach Eintritt des Schadens.

SpyCloud AI Insights ist so konzipiert, dass es vollständig nachvollziehbar und evidenzbasiert ist. Jede von ihm generierte Erkenntnis lässt sich auf bestimmte Quellartefakte zurückführen – tatsächlich wiedergewonnene Datensätze aus dem Darknet-Datensatz von SpyCloud –, sodass Analysten die zugrunde liegenden Belege unabhängig überprüfen können, anstatt die Modellausgabe ungeprüft zu akzeptieren. Zu den Risikoindikatoren gehören Informationen darüber, warum die Gefährdung von Bedeutung ist, was der Quelldatensatz enthält und wie die KI zu ihrer Schlussfolgerung gelangt ist. Dieses Design spiegelt die bewusste Entscheidung wider, das Urteilsvermögen der Analysten zu ergänzen, anstatt es zu ersetzen. In Sicherheitskontexten, in denen ein „False Positive“ ein Incident-Response-Team auf die falsche Fährte führt oder ein „False Negative“ eine aktive Bedrohung übersieht, ist Nachvollziehbarkeit operativ entscheidend und keine reine Compliance-Funktion. Die in AI Insights eingebetteten Fachmodelle kodieren dieselben Überprüfungsschritte, die ein erfahrener menschlicher Analyst anwenden würde – das Abgleichen mehrerer Datenpunkte, die Bewertung der Zuverlässigkeit der Quellen sowie die unterschiedliche Kennzeichnung von Schlussfolgerungen mit geringer Konfidenz im Vergleich zu solchen mit hoher Konfidenz. Die Analysten behalten durchgehend die Entscheidungshoheit; AI Insights liefert die strukturierte Analyse, die diese Entscheidung angemessen einordnet.

Nein. SpyCloud verwendet keine Kundendaten zum Trainieren seiner KI-Modelle. AI Insights arbeitet ausschließlich mit den von SpyCloud extern erfassten Daten zu Identitätsrisiken – Datendiebstahlberichte, Protokolle von Infostealer-Malware, Phishing-Erfassungen und Daten aus dem kriminellen Untergrund, die über mehr als ein Jahrzehnt gesammelt wurden – sowie mit Ermittlungsmethoden, die von SpyClouds eigenen Analysten kodiert wurden. Kundendaten, die über die APIs oder die Konsole von SpyCloud übermittelt werden – E-Mail-Adressen von Mitarbeitern, Domain-Beobachtungslisten, Abfragekriterien –, werden ausschließlich dazu verwendet, einen Abgleich mit dem von SpyCloud erfassten Datensatz durchzuführen und relevante Ergebnisse zu liefern. Sie fließen nicht in die Trainingspipelines der Modelle ein. Die Plattform von SpyCloud wurde nach den Prinzipien von „Privacy by Design“ entwickelt und entspricht der DSGVO, dem CCPA sowie anderen geltenden Datenschutzbestimmungen. Diese Unterscheidung ist für Sicherheitskunden von Bedeutung, die abwägen, ob der Einsatz eines KI-gestützten Tools ein sekundäres Risiko mit sich bringt, dass ihre sensiblen Identitätsdaten in Trainingsdatensätze aufgenommen werden, die von anderen Kunden abgefragt oder durch Modell-Inferenz-Angriffe offengelegt werden könnten. Bei SpyCloud besteht dieses Risiko nicht.

„Research Agent“ ist der agentenbasierte Ermittlungs-Workflow von SpyCloud, der im Rahmen der Pro-Lizenzen für Cybercrime Investigations verfügbar ist. Er ist ein direkter Ausdruck der SpyCloud-KI, die speziell auf die Planung und Durchführung von Ermittlungen zugeschnitten ist. Geben Sie eine Frage, eine Hypothese, den Namen einer Person oder eine Reihe unterschiedlicher Daten ein, und der Agent plant die Ermittlung so, wie es ein erfahrener Analyst tun würde: Er leitet Schlussfolgerungen zum Ziel ab, entscheidet, welche Suchanfragen es wert sind, ausgeführt zu werden, ordnet die Arbeitsschritte in eine Reihenfolge und liefert fertige Erkenntnisse, die auf dem von SpyCloud neu erfassten Korpus aus kriminellen Quellen basieren. Jede Erkenntnis verweist auf den zugrunde liegenden Datensatz und ist vollständig nachvollziehbar. Research Agent löst bei jeder Interaktion automatisch die ganzheitliche Identitätskorrelation von IDLink aus und arbeitet mit AI Insights zusammen, sodass Analysten vom ersten Indikator bis zur fertigen Erkenntnis voranschreiten können, ohne das Tool wechseln oder von vorne beginnen zu müssen.

„AI Insights“ und „Research Agent“ sind eigenständige Funktionen, die im Rahmen von Cybercrime-Ermittlungen zusammenwirken. „AI Insights“ erkennt Verhaltensmuster, deckt Zuordnungssignale auf und erstellt fertige, für Führungskräfte aufbereitete Informationsberichte, wobei die Ermittlungsmethoden von SpyCloud automatisch auf die erfassten Daten angewendet werden. „Research Agent“ ist ein agentenbasierter Ermittlungs-Workflow: Er akzeptiert Eingaben in natürlicher Sprache, plant die Ermittlungen, ordnet die einzelnen Schritte in eine Abfolge und liefert Ergebnisse mit den jeweiligen Belegen. AI Insights wertet die Ergebnisse der Untersuchung auf. Research Agent entscheidet, wie die Untersuchung abläuft. Zusammen decken sie den gesamten Arbeitsablauf ab – vom ersten Indikator bis hin zu fertigen, weitergebbaren Erkenntnissen.