IT-Sicherheits-Verantwortliche in Unternehmen legen die Abwehrmaßnahmen gegen Cyberattacken in Playbooks fest. Sie dienen als Anleitung, was bei einer Cyberattacke zu tun ist, etwa wenn sich in der E-Mail ein Trojaner verbirgt, ein Notebook mit Schadsoftware infiziert ist oder die Website attackiert wird.
Bislang setzen die Unternehmen auf jeweils eigene Sicherheitskonzepte und erstellen ihre Playbooks individuell. Ein Austausch sicherheitsrelevanter Informationen zwischen Unternehmen findet daher kaum statt. Das ist vor allem dann ein Problem, wenn Geschäftspartner regelmäßig Daten austauschen, wie das etwa bei Industriebetrieben und ihren Zulieferern der Fall ist.
Ein Forschenden-Team vom Fraunhofer-Institut für Angewandte Informationstechnik FIT hat sich deshalb im Projekt CyberGuard zum Ziel gesetzt, ein einheitliches Rahmenwerk für die Abwehr von Attacken aufzubauen. Herzstück des Projekts sind standardisierte Playbooks mit maschinenlesbaren Prozessbeschreibungen. In puncto Standards setzen die Forschenden auf das Open-Source-Format CACAO (collaborative automated course of action operations) der Organisation for the Advancement of Structured Information Standards (OASIS).
Die im CACAO-Standard erstellten Dokumente sind untereinander kompatibel und daher problemlos zwischen Unternehmen oder Organisationen teilbar. »Auch kleine Unternehmen oder Start-ups, die sich keine große IT-Security-Abteilung leisten können, erhalten so Playbooks für den Ernstfall und können sich schützen«, ergänzt Mehdi Akbari Gurabi, Experte für Datenschutz und Datensouveränität am Fraunhofer FIT.
Großes Sprachmodell generiert Playbooks
Im ersten Schritt werden die vorhandenen, manuell erstellten Playbooks, die oft als Text oder Tabelle vorliegen, in maschinenlesbare Dokumente umgewandelt. Dafür verwenden die Fraunhofer-Forschenden die Fähigkeiten KI-basierter großer Sprachmodelle oder Large Language Models (LLMs). Das LLM analysiert die von Mitarbeitenden in natürlicher Sprache verfassten Texte und wandelt sie in das maschinenlesbare CACAO-Format um.
Die fertigen Playbooks und das darin enthaltene wertvolle Security-Know-how können bei Bedarf an Kunden oder Geschäftspartner weitergegeben werden, etwa über geschützte vertrauenswürdige Plattformen. Interne Daten bleiben dabei außen vor. »Für die Weitergabe werden die maschinenlesbaren Schritt-für-Schritt-Anleitungen so abstrakt formuliert, dass Betriebsinterna darin nicht auftauchen, auch keine Datei- oder Laufwerksnamen«, sagt Akbari Gurabi.
Cyberattacken entwickeln sich laufend weiter und werden immer raffinierter. Deshalb wollen die Fraunhofer-Forschenden um Akbari Gurabi die KI zukünftig auch zum Weiterlernen animieren. Taucht beispielsweise eine neue Variante einer Attacke auf, dann aktualisiert und optimiert die KI das jeweilige Playbook auf Basis des vorhandenen Know-hows. Der virtuelle Security-Experte bleibt dabei nicht unbeaufsichtigt. Fraunhofer-Forscher Akbari Gurabi erklärt: »In der IT-Sicherheit sind Fehler nicht erlaubt. Deshalb sieht CyberGuard vor, dass die IT-Verantwortlichen prüfen, ob die KI bei der Erstellung der maschinenlesbaren Dokumente sinnvoll vorgegangen ist.«
Automatisierte Prozesse
Die Security-Expertinnen und -Experten des Fraunhofer FIT arbeiten auch daran, die in den Playbooks definierten Schritte zu automatisieren. Das IT-System könnte dann beispielsweise sofort Maßnahmen einleiten, wenn das Intrusion Detection System einen Angriff meldet. Das entlastet die IT-Verantwortlichen und beschleunigt die Reaktionen auf Attacken.
Die CyberGuard-Architektur und die darauf aufbauenden weiteren Forschungsvorhaben versprechen für Unternehmen und Organisationen eine ganze Reihe von Vorteilen: Gemeinsam gepflegte Playbooks erlauben die bestmögliche Reaktion auf Angriffe von Cyberkriminellen und Hackern. Automatisierte Workflows beschleunigen die Reaktionen und entlasten die Sicherheitsexperten. Der Geschäftsbetrieb wird so besser vor Unterbrechungen geschützt. Zuletzt erhalten auch kleine Unternehmen und Start-ups Zugriff auf hochqualifizierte, professionelle Sicherheitslösungen.
Derzeit befindet sich CyberGuard noch in der Pilotphase. Einen Demonstrator zeigt das Fraunhofer FIT auf der Hannover Messe 2025 (31. März bis 4. April 2025) auf dem Gemeinschaftsstand (Halle 2, Stand B24). Die KI- und Sicherheitsexpertinnen- und -experten stehen dort für Fragen zur Verfügung.
Fraunhofer-Gesellschaft
