Anomalieerkennung, KI-Agenten, Fernwartung Wo KI im Produktionsnetz heute wirklich hilft

Machine-Learning-Systeme erkennen Abweichungen im Produktionsnetz und brauchen dafür sechs bis zwölf Monate Lernzeit. KI-Agenten werten Meldungen aus und schlagen Maßnahmen vor. Der Beitrag zeigt, welche Werkzeuge schon möglich sind, wo die Ausführung an einer Freigabe hängt und welche Rechtetrennung Fremdsysteme schützt.

Markus Seme führt als CEO den OT-Sicherheitsspezialisten BrightFlare in Graz und war vorher Teil der Geschäftsführung von BearingPoint Austria. In Österreich zählt er zu den gefragtesten Sicherheitsexperten und tritt regelmäßig in den großen Nachrichtensendungen des Landes auf. Sein Team prüft Produktionsnetze und betreibt dort KI-gestützte Sicherheitsplattformen. Seine Sicht auf den tatsächlichen Stand fällt nüchterner aus als die Ankündigungen der Hersteller.

Bildergalerie

Hinter dem KI-Etikett arbeitet Machine Learning

Generative Modelle und selbstständig handelnde Agenten sieht Seme in Produktionsumgebungen bis heute nicht. Die Verfahren, die dort unter dem Namen „KI“ laufen, gehören zum maschinellen Lernen. Ein solches System hört den Verkehr der Industrieprotokolle mit, zum Beispiel Modbus TCP oder S7comm, baut daraus ein Modell des Normalzustands und meldet jede Verbindung, die nicht dazu passt. Ein typischer Fund ist eine Steuerung, die plötzlich ein Ziel anspricht, das sie sonst nie kontaktiert. „Bei den Anwendungen schreibt jeder KI drauf, drinnen steckt herkömmliches Machine Learning“, sagt Seme.

Der Unterschied zeigt sich im Betrieb. Ein generatives Modell formuliert Empfehlungen und ruft Werkzeuge auf, ein Anomaliemodell liefert nur eine Wahrscheinlichkeitsaussage über ein Datenpaket.

Sechs bis zwölf Monate bis zur Aussagekraft

Ein Anomaliemodell taugt nur so viel wie sein Bild vom Normalbetrieb. Rein rechnerisch reichen dem Algorithmus einige Tage, die Anlage gibt dieses Tempo aber nicht her, denn ein Werk fährt Vorgänge, die monatelang pausieren und erst im Wartungsfenster oder zu einem saisonalen Termin auftreten. Fehlen diese Vorgänge im Trainingsmaterial, meldet das System sie später als Angriff. In einem laufenden Projekt stehen derzeit zum Beispiel über vierzig Industriefräsmaschinen mit eingebetteten Steuerungen und nahezu jedem gängigen Industrieprotokoll, deren Normalverhalten das Modell einzeln lernen muss. „Sechs bis zwölf Monate sind durchaus realistisch“, sagt Seme.

Dauerhaft im Betrieb läuft die Anomalieerkennung deshalb selten. Häufiger stellt BrightFlare die Sensoren für einige Wochen ins Netz und macht damit eine Bestandsaufnahme, sichtbar werden dabei die vorhandenen Geräte und die Verbindungen nach draußen, von denen der Betreiber nichts weiß. Ausgewertet wird vor Ort, denn der Mitschnitt eines mittelgroßen Werks ist zu groß für eine tägliche Übertragung in eine Herstellercloud.

Kein System greift im Werk selbst ein

Siemens hat im Mai 2025 KI-Agenten für die Industrieautomatisierung bekanntgegeben, die ganze Abläufe ohne menschlichen Eingriff ausführen sollen. In den Werken, die BrightFlare betreut, laufen davon bislang nur die Analysefunktionen. „Alle sagen wahrheitsgemäß, dass da keine ausführenden Aktionen getätigt werden. Es sind Analysetätigkeiten und Empfehlungen, die rauskommen“, sagt Seme.

Der Grund ist betrieblich, denn ein falsch abgeschaltetes Segment stoppt eine Fertigungslinie und richtet mehr Schaden an als ein übersehener Alarm. Die Agenten von Check Point arbeiten im Vergleich in vier Stufen, sie beobachten, ordnen ein, entscheiden und handeln. Menschen legen Richtlinien und Zielzustand fest, ohne Rückfrage handelt ein Agent nach Herstellerangabe erst dann, wenn Sekunden zählen, so beim Verteilen neuer Angriffsmuster über ThreatCloud AI. Thomas Boele, Global Director Solutions Engineering für AI Security bei Check Point, leitet aus einer IBM-Folie von 1979 die Regel ab, dass am Ende ein Mensch entscheidet. Das gilt auch heute noch.

KI verkürzt die Zeit bis zum Angriff

Auf der Gegenseite arbeiten Modelle längst ausführend und erzeugen aus einer veröffentlichten Schwachstellenmeldung binnen Minuten funktionsfähigen Angriffscode. Zwischen der Meldung eines CVE und den ersten Scans aus dem Internet vergehen nach Messungen von Unit 42 rund 15 Minuten. Bis zur ersten Ausnutzung vergehen nach Semes Beobachtung rund 48 Stunden, und dieser Abstand schrumpft weiter. Das schnellste Viertel der Vorfälle erreichte 2025 nach 72 Minuten den Datenabfluss, 2024 waren es 285 Minuten.

Ein halbjährliches Wartungsfenster reicht dagegen nicht, in Anlagen mit Windows NT, Windows XP oder OS/2 scheidet Patchen ohnehin aus. Der CVSS-Score hilft bei der Reihenfolge wenig, er bewertet eine Schwachstelle allgemein und kennt die Umgebung des Betreibers nicht, dieselbe Lücke ist in einem Werk erreichbar und im nächsten durch eine vorgelagerte Firewall blockiert. Daniel Dreier, AVP Exposure Management bei Check Point, hält den Score allein deshalb für ungeeignet.

Hier setzt Check Point ein Agentensystem ein, das für jede gefundene Lücke selbst einen Angriffsversuch zusammenbaut und im Kundennetz prüft, ob er durchkommt, nach Herstellerangabe mit rund 5.500 Testszenarien. BrightFlare nutzt die Plattform als Check Point Infinity Threat Exposure Management für die Priorisierung, danach folgt virtuelles Patchen auf Firewall-Ebene vor dem Netzsegment.

KI entlastet den Sicherheitsbetrieb

Im Sicherheitsbetrieb sind Agenten weiter als in der Produktion. Seme sieht sie vor allem in Security Operations Centern, wo sie die erste und zweite Analyseebene übernehmen, also Meldungen sichten, anreichern und einen Vorschlag vorbereiten. Österreichische SOC-Anbieter, mit denen BrightFlare arbeitet, erkennen einen Einbruch im Schnitt in unter 15 Minuten.

BrightFlare betreibt sechs bis sieben eigene KI-Agenten, jeweils an einen Teams-Kanal für ein Themengebiet gebunden. Zeit spart vor allem der virtuelle CISO für kleinere Unternehmen. Sicherheitsverantwortliche verbringen nach Semes Erfahrung etwa ein Viertel ihrer Arbeitszeit mit Lieferantenfragebögen, Zertifizierungsnachweisen und Richtlinientexten, die ein Agent aus vorhandenen Dokumenten beantwortet.

Für den offensiven Teil der Penetrationstests setzt BrightFlare bewusst keine Modelle ein, denn Kundendaten dürfen nicht in ein fremdes Modell fließen, lokal betreibbare Modelle sind dafür noch zu schwach bzw. benötigen sie Infrastruktur, die lokal schwer zu betreiben ist.

Lesende und schreibende Zugriffe trennen

Ein Agent wird gefährlich, sobald er Werkzeuge mit Schreibrechten aufrufen darf. „Ein Rechercheagent muss Daten lesen und suchen können. Der braucht deswegen keine schreibfähigen Tools“, sagt Seme. Die Trennung liegt in den Toolberechtigungen, ein lesender Agent bekommt schreibende Werkzeuge gar nicht erst angeboten.

Beim Andocken fremder Systeme steht das Model Context Protocol (MCP) im Vordergrund, nahezu alle Sicherheitshersteller bieten es an. Seme nennt MCP aus Sicherheitssicht „das absolute Horrorszenario“, denn über eine solche Schnittstelle erreicht ein Modell fremde Systeme mit den Rechten des angemeldeten Dienstes. Bei kritischen Zielsystemen baut BrightFlare deshalb eine eigene Vermittlungsschicht im Code ein, an die der Agent seine Parameter übergibt und die nur Werte innerhalb eines festgelegten Bereichs an die API weiterreicht.

Der Vorfall bei Hugging Face zeigt die Folgen fehlender Grenzen. Zwischen dem 9. und dem 13. Juli 2026 führte ein autonom handelndes Agentensystem rund 17.600 rekonstruierte Aktionen ohne menschliche Steuerung gegen die Plattform aus. Ein interner Vermittlungsdienst arbeitete mit einem einzigen Zugangskonto, das Administratorrechte auf mehreren Clustern besaß, und der Agent hielt damit binnen einer Sekunde zwei Kubernetes-Cluster in der Hand.

Gegen Prompt Injection, also gegen Anweisungen, die ein Angreifer in Ticketinhalte oder Dokumente einschleust, prüft BrightFlare die gesamte Kette aus Auftrag, Modellantwort, gewähltem Werkzeug und Rückgabe. Ein vorgeschalteter Prüfdienst stoppt den Vorgang, sobald ein aufgerufenes Werkzeug nicht zum erkannten Ziel des Prompts passt. Check Point führt die im September 2025 zugekaufte Lakera-Technik als AI Red Teaming und AI Agent Security. MCP-Server prüft BrightFlare auch zur Laufzeit, da sich die hinterlegten Werkzeugdefinitionen nach der ersten Freigabe ändern lassen.

Protokolle machen Agentenaktionen prüfbar

Betreiber kritischer Infrastruktur brauchen einen Nachweis über jede Aktion eines Agenten. Fünf Angaben gehören nach Semes Empfehlung in dieses Protokoll:

• Initialer Prompt: der Auftrag im Wortlaut, mit dem die Kette startet

• Toolaufrufe: jedes angeforderte und jedes ausgeführte Werkzeug samt Rückgabewert

• Benutzerkontext: das Konto des ausführenden Agenten

• Aufrufender Agent: die Kennung des Agenten, der einen weiteren Agenten beauftragt

• Konfiguration und Version: der Stand des Agenten und die Softwareversion seiner Ablaufumgebung

Der letzte Punkt wiegt schwerer, als er aussieht, denn Agentensysteme ändern sich derzeit im Wochentakt. Ende Juli 2026 erschienen bei einem der Systeme, mit denen BrightFlare arbeitet, drei neue Versionen innerhalb von zwei Tagen. Das Team spielte die neuen Werkzeuge ein, gleichzeitig wechselte die Ablaufumgebung ihre Version, und dieselbe Anweisung führte danach zu anderen Ergebnissen. Nachstellen lässt sich ein Vorfall nur, wenn im Protokoll der Softwarestand zum Zeitpunkt der Aktion steht. Und dazu gehört auch entsprechendes Fachwissen in OT und KI.

Fazit

Die Erkennung in Produktionsnetzen läuft heute über maschinelles Lernen, die Ausführung bleibt (noch) an eine Freigabe durch Menschen gebunden. Für die Anbindung von Agenten an Fremdsysteme gilt bei BrightFlare eine feste Reihenfolge, erst die Rechtetrennung zwischen lesenden und schreibenden Werkzeugen, dann die Vermittlungsschicht vor der API, dann die Protokollierung. Auf der Feldebene kommt ein Werk bei einer Segmentierung nach IEC 62443 schnell auf hunderte Einzelsegmente, die ein Anomaliemodell alle einzeln kennenlernen muss.

(ID:50943658)