SOC-Umfrage zu KI: Einstieg für Analysten wird schwerer

Mitarbeiter in der Security-Operations-Abteilung sagen, dass KI ihre Arbeit zufriedenstellender gemacht hat. Viele von ihnen rechnen aber damit, dass der erste Schritt in den Beruf schwerer zu schaffen sein wird. Das geht aus einer neuen Umfrage von Swimlane hervor.

Das Unternehmen hat 500 Beschäftigte in Security Operations Centers (SOCs) befragt, also in den Teams, die die Systeme eines Unternehmens überwachen und auf Sicherheitswarnungen reagieren. Alle Befragten arbeiten in Organisationen, die bereits KI einsetzen.

Fast neun von zehn gaben an, dass KI ihre Arbeit zufriedenstellender gemacht hat. Etwa ein Viertel sagte, dass sie ihre Fähigkeit gebremst hat, Sicherheitskompetenzen aufzubauen. Diese Analysten waren genauso zufrieden wie die übrigen: 91 % berichteten von höherer Zufriedenheit, verglichen mit 92 % bei denen, die sagten, KI habe ihnen beim Lernen geholfen.

Die Routinearbeit war zugleich die Ausbildung

Junior-Analysten im SOC haben traditionell durch Wiederholung gelernt. Sie arbeiten sich immer wieder durch dieselben Phishing-Köder, verfolgen bekannte Malware-Muster und schreiben am Ende jeder Schicht ähnliche Fallnotizen. Mit der Zeit entsteht so ein Gespür dafür, wie normale Aktivität aussieht, und genau daran erkennen sie, wenn etwas nicht stimmt.

KI-Werkzeuge übernehmen inzwischen einen Großteil dieser Routinearbeit, und die Analysten begrüßen die Veränderung. Zufriedenheitswerte allein zeigen allerdings nicht, ob sich jemand zu einem erfahrenen Ermittler entwickelt oder einfach eine geringere Arbeitslast genießt, während die für eine Beförderung nötigen Fähigkeiten stagnieren. Der Bericht rät SOC-Managern, Kompetenzen getrennt zu messen, denn Nachwuchskräfte haben am meisten zu verlieren, wenn das niemand tut.

Kaum jemand erwartet, dass der Karriereweg gleich bleibt

Nur 1 % der Befragten glaubt, dass der Karriereweg für Analysten unverändert bleibt. Bei einer Stichprobe von 500 ist das eine Handvoll Leute.

Am häufigsten wird erwartet, dass neue Rollen rund um die Überwachung, Prüfung und Koordination von KI-Systemen entstehen. Fast die Hälfte rechnet damit, dass Einstiegsstellen schwerer zu bekommen sein werden, entweder weil Arbeitgeber mehr Wissen und Erfahrung verlangen oder weil es weniger Gelegenheiten geben wird, diese Erfahrung zu sammeln. Nur ein kleiner Teil erwartet, dass klassische Rollen einfach schrumpfen.

Zusammengenommen deuten die Antworten auf eine Zwickmühle hin. Die Fallarbeit, die KI übernimmt, ist genau die Arbeit, mit der Neulinge früher die Grundlagen gelernt haben. Wenn die Einstellungsanforderungen steigen, während diese Praxis wegfällt, muss jemand die Ausbildung gezielt aufbauen.

KI-Ergebnisse prüfen gehört jetzt zum Alltag

Analysten sagen, dass ein wachsender Teil ihres Arbeitstages darauf entfällt, zu prüfen, was die KI geliefert hat, und sie fühlen sich in dieser Rolle sicher. Mehr als neun von zehn gaben an, eine falsche oder unvollständige Empfehlung erkennen zu können.

Am häufigsten sagten die Befragten, dass sie sich auf ihr eigenes Urteil verlassen, wenn die vorliegenden Belege der Antwort der KI widersprechen oder wenn das Befolgen einer Empfehlung den Geschäftsbetrieb oder kritische Systeme stören könnte. Nur wenige gaben an, der KI zu folgen, solange sie nicht offensichtlich falschliegt.

Ihre größte Sorge beim Ausbau des KI-Einsatzes ist, dass Analysten sich zu stark auf deren Empfehlungen verlassen. Sie rangiert knapp vor der Preisgabe sensibler Daten. Ein Analyst, der die Begründung der KI nur selten prüfen muss, bekommt weniger Übung darin, zu bemerken, wann sie falschliegt.

Führungskräfte sehen die Einführung weiter fortgeschritten

Führungskräfte und Praktiker beantworteten dieselben Fragen unterschiedlich, wobei die Führungskräfte durchweg positiver urteilten. Drei Viertel der Führungskräfte beschrieben KI als umfassend in mehreren Sicherheitsbereichen eingesetzt, bei den Praktikern war es etwa die Hälfte. Führungskräfte berichteten zudem von mehr Umgestaltung der Rollen, mehr Kapazität und mehr Zufriedenheit.

Die beiden Gruppen stammten aus unterschiedlichen Organisationen, die Lücke beweist also nicht, dass Manager ihre eigenen Teams falsch einschätzen. Sie zeigt aber, dass diejenigen, die üblicherweise die Investitionsprioritäten festlegen, einen Wandel beschreiben, der weiter fortgeschritten ist als der, von dem die Praktiker berichten.

Auch die Unternehmensgröße spielte eine Rolle. Befragte in Firmen mit 10.000 oder mehr Beschäftigten berichteten nur halb so häufig wie die in mittelgroßen Firmen von einem deutlichen Anstieg der Zufriedenheit.

Formale Rollenänderungen gehen mit zufriedeneren Analysten einher

Etwa vier von zehn Befragten gaben an, dass ihre Organisation die Analystenrollen formal neu geschrieben und auf höherwertige Arbeit ausgerichtet hat. Ein ähnlich großer Anteil sagte, dass sich ihre Aufgaben ohne jede formale Änderung verschoben haben.

Unter denen mit formaler Neugestaltung sagten 71 %, dass KI ihre Zufriedenheit deutlich gesteigert hat. Ohne eine solche Neugestaltung sank der Wert auf 29 %. Die Umfrage kann nicht belegen, dass die Neugestaltung den Unterschied verursacht hat, und Organisationen, die sich die Zeit nehmen, Stellenbeschreibungen neu zu verfassen, unterscheiden sich möglicherweise auch in anderer Hinsicht.

Eine schriftlich festgehaltene Neugestaltung legt fest, was Analysten jetzt tun, wie sie bewertet werden und wie sie aufsteigen. Sie gibt Managern außerdem einen klaren Ansatzpunkt, um zu verfolgen, ob Mitarbeiter etwas lernen, unabhängig davon, ob sie zufrieden sind. Der Wert von 91 % unter den Analysten, die sich ausgebremst fühlen, zeigt, warum diese zweite Messung wichtig ist.

Das große Ganze

Die Ergebnisse legen nahe, dass das Nachwuchsproblem im SOC schwerer zu erkennen sein könnte, nicht leichter. Hohe Zufriedenheitswerte können eine Kompetenzlücke verdecken, die erst Jahre später zutage tritt, wenn Organisationen nach erfahrenen Ermittlern suchen und weniger Leute finden, die die Grundlagen von Hand gelernt haben.

Das ist wichtig, weil die Angreiferseite nicht langsamer wird. Jüngste Berichte zeigten, dass sich die Zahl gemeldeter Schwachstellen verdoppelt, weil KI die Ausnutzung beschleunigt, und sogar einen autonomen KI-Agenten, der bei DIVD eingedrungen ist. Verteidiger, die die Schlussfolgerungen einer KI hinterfragen können, werden wohl eher mehr gebraucht als weniger. Auch anderswo rückt das Wohlbefinden der Beschäftigten in den Blick, etwa mit der Anordnung an das US Cyber Command, sich um die psychische Gesundheit seiner Operatoren zu kümmern. Diese Umfrage zeigt jedoch, dass Wohlbefinden und Kompetenzentwicklung getrennt voneinander erfasst werden müssen.

Es lohnt sich zu beobachten, ob Arbeitgeber beginnen, strukturierte Ausbildungswege für KI-gestützte SOCs aufzubauen, und ob sich die Lücke zwischen der Darstellung der Einführung durch Führungskräfte und Praktiker zu schließen beginnt.