Kommentar von Florian Richter, Lenovo Hybrider KI-Ansatz in der Endpunktsicherheit: Lokal und Cloud im Zusammenspiel

Endpunkte umfassen heute weit mehr als klassische PCs: mobile Geräte, IoT- und Edge-Systeme, Server und Cloud-Workloads erweitern die Angriffsfläche erheblich. Gleichzeitig entwickeln sich Bedrohungen zunehmend dynamisch, polymorph und teils dateilos. Klassische Antivirus-Ansätze stoßen hier strukturell an Grenzen. Dennoch setzen laut einer IDC-Studie von 2025 zum Beispiel im Finanzsektor noch 81 Prozent der Unternehmen primär auf reine Signaturmodelle.

Vor diesem Hintergrund hat sich Künstliche Intelligenz (KI) zu einem zentralen Bestandteil moderner Endpunktsicherheit entwickelt. Kaum eine Sicherheitsarchitektur kommt heute ohne Machine-Learning-Modelle, neuronale Netze oder verhaltensbasierte Analytik aus.

Doch in der Debatte dominiert häufig die Frage, ob KI eingesetzt wird – weniger die Frage, wo sie verankert ist. Es stellt sich hier beispielsweise die Frage, ob cloudbasierte Analysen ausreichen oder die Intelligenz direkt im Gerät sitzen muss. Eine rein zentrale Sicherheitslogik schafft Abhängigkeiten von Konnektivität und Latenz. Einer ausschließlich lokalen KI hingegen fehlt der globale Kontext für kontinuierliches Lernen.

AI Act macht Cybersicherheit zur Compliance-Pflicht

AI Act bringt neue Cyber­sicher­heits­pflich­ten für KI-Systeme

Die Wirksamkeit von KI entscheidet sich daher nicht an der Existenz eines Algorithmus, sondern an seiner architektonischen Einbettung. Erst die bewusste Aufgabenteilung zwischen On-device- und Cloud-KI bestimmt, ob Geschwindigkeit, Resilienz und Lernfähigkeit im Gleichgewicht sind oder ob strukturelle Blindspots entstehen.

On-device-KI: Schutz direkt am Endpunkt

Moderne Cyberangriffe sind schnell, automatisiert und oft schwer greifbar. Viele Angriffe verzichten inzwischen auf eigene Schadprogramme auf der Festplatte, manipulieren stattdessen legitime Prozesse oder operieren ausschließlich im Arbeitsspeicher. In solchen Szenarien reicht es nicht aus, erst Telemetriedaten an eine zentrale Plattform zu senden und dort auszuwerten. Jede zusätzliche Übertragung erzeugt Latenz – und damit ein Zeitfenster, in dem sich ein Angriff bereits ausbreiten kann. On-device-KI setzt deshalb direkt am Endpunkt an: Analyse und Entscheidung erfolgen dort, wo der Code ausgeführt wird.

Ein erster Baustein sind statische Machine-Learning-Modelle, die Dateien prüfen, bevor sie gestartet werden. Anders als klassische Antivirus-Systeme, die bekannte Signaturen vergleichen, analysieren diese Modelle strukturelle Merkmale, Code-Muster oder ungewöhnliche Eigenschaften einer Datei. Dadurch lassen sich auch neue, bislang unbekannte Varianten erkennen.

Entscheidend wird lokale KI jedoch bei der Laufzeitanalyse. Sie erkennt, wenn ein Prozess unerwartet auf sensible Speicherbereiche zugreift, versucht andere Programme zu manipulieren oder typische Muster einer Code-Injection erzeugt. Gerade bei dateilosen Angriffen ist dieses Verhalten oft der einzige Hinweis auf eine Kompromittierung. Die Erkennung basiert somit nicht auf bekannten Mustern, sondern auf Abweichungen vom normalen Systemverhalten. 77 Prozent bevorzugen verhaltensbasierte Modelle, die Prozesse in Echtzeit beobachten.

On-device-KI sorgt für Resilienz

Ein weiterer Faktor ist die Resilienz. Eine rein cloudbasierte Sicherheitsarchitektur ist auf stabile Konnektivität angewiesen. In Umgebungen mit eingeschränkter oder unterbrochener Verbindung – etwa in isolierten Netzen oder bei Netzwerkstörungen – kann sonst ein Schutzdefizit entstehen. On-device-KI stellt sicher, dass Detektion und Reaktion auch ohne permanente Cloud-Anbindung möglich bleiben. Blockieren, isolieren oder beenden von Prozessen kann lokal erfolgen.

Schließlich spielt auch der Datenschutz eine Rolle. Wenn die Analyse direkt am Gerät stattfindet, müssen weniger Rohdaten zentral übertragen und gespeichert werden. Das reduziert potenzielle Expositionsrisiken und unterstützt regulatorische Anforderungen.

Autonome KI-Agenten handeln schneller als Security-Teams reagieren

Schatten-KI und Maschinenidentitäten überfordern Unternehmen

On-device-KI erfüllt damit drei zentrale Funktionen: Sie ermöglicht schnelle Reaktionen, erhöht die Ausfallsicherheit und begrenzt die Datenabhängigkeit von zentralen Systemen. Ihr Blick bleibt jedoch naturgemäß lokal. Ein einzelnes Endgerät erkennt nur das, was in seiner eigenen Umgebung geschieht. Angriffsmuster, die andernorts bereits identifiziert wurden, bleiben ohne übergreifende Korrelation unsichtbar.

Damit stößt rein lokale Intelligenz an eine strukturelle Grenze: Sie kann effektiv reagieren, aber nur begrenzt lernen. Ohne kontinuierliche Modellpflege und Abgleich mit einer breiteren Datenbasis fehlt der globale Bedrohungskontext. Genau hier setzt die Cloud-Ebene an.

Cloud-KI: Kontext, Skalierung und kontinuierliches Lernen

In der Cloud werden große Mengen an Telemetriedaten aus unterschiedlichen Quellen zusammengeführt – von Endpunkten, Netzwerken, Identitätssystemen oder Cloud-Workloads. Diese Datenbasis ermöglicht es, Muster zu erkennen, die auf einem einzelnen Gerät nicht sichtbar wären. Voraussetzung dafür ist kontinuierliches Training auf einer breiten Datenbasis.

Während On-device-KI vor allem für die Inferenz zuständig ist – also für die unmittelbare Entscheidung „bösartig oder nicht“ –, liegt das Training komplexer Modelle typischerweise in der Cloud. Dort stehen Rechenleistung und Datenvolumen zur Verfügung, um neuronale Netze weiterzuentwickeln, Schwellenwerte anzupassen und neue Angriffstechniken in die Modelle zu integrieren.

Hinzu kommt die flächendeckende Bedrohungskorrelation. Wird ein neuartiger Angriff in einer Umgebung identifiziert, kann dieses Wissen zentral verarbeitet und anschließend an alle angebundenen Endpunkte verteilt werden. Dadurch entsteht ein Lerneffekt über die gesamte Geräteflotte hinweg. Isolierte Einzelgeräte würden diesen Effekt nicht erzielen.

Auch die Skalierbarkeit spricht für die Cloud-Ebene. Rechenintensive Analysen oder komplexe Korrelationen lassen sich zentral effizienter durchführen, ohne die Performance der Endgeräte zu beeinträchtigen. Gerade in heterogenen Umgebungen mit unterschiedlichen Gerätetypen und Betriebssystemen sorgt die zentrale Ebene für ein konsistentes Sicherheitsniveau.

Cloud-KI liefert damit den globalen Blick auf die Bedrohungslage, stellt kontinuierliche Modellverbesserung sicher und ermöglicht eine skalierbare Auswertung großer Datenmengen. Ohne sie würde lokale Intelligenz langfristig an Aktualität verlieren.

Zwei Ebenen, ein Sicherheitsmodell

Wirksame Endpunktsicherheit entsteht erst durch eine klare Aufgabenteilung: Lokale KI übernimmt die unmittelbare Inferenz – also Erkennung und Reaktion in Echtzeit, Schutz auch bei unterbrochener Verbindung und datensensible Analyse direkt am Gerät. Die Cloud hingegen stellt das kontinuierliche Training, die globale Korrelation von Telemetriedaten und die Anpassung der Modelle sicher.

Entscheidend ist dabei die Synchronisation beider Ebenen. Lokale Erkenntnisse fließen in zentrale Trainingsprozesse ein, aktualisierte Modelle werden regelmäßig an die Endpunkte verteilt. So entsteht ein Kreislauf aus Erkennen, Lernen und Anpassen. Dieses Zusammenspiel folgt keinem Entweder-oder-, sondern einem hybriden Architekturprinzip: Intelligenz ist dort verankert, wo sie funktional am wirksamsten ist.

„Policy as Code“

Kyndryl codiert Regeln für autonome KI-Agenten

Für Security-Teams hat eine solche hybride Verteilung direkte operative Auswirkungen. Automatisierte Maßnahmen wie das Blockieren bösartiger Prozesse oder die Isolation kompromittierter Endpunkte können lokal erfolgen, während zentrale Systeme die Gesamtlage bewerten und priorisieren. KI-gestützte Zusammenfassungen reduzieren die Alert-Fatigue, vereinfachte Abfragen unterstützen auch weniger erfahrene Analysten. Produktivität entsteht damit nicht durch KI allein, sondern durch ihre abgestimmte Verteilung innerhalb der Sicherheitsarchitektur.

Die entscheidende Frage lautet daher nicht, ob KI eingesetzt wird – sondern wie lokale und zentrale Intelligenz orchestriert sind. Erst ein bewusst hybrides Modell schafft Geschwindigkeit, Lernfähigkeit und Resilienz zugleich.

(ID:50773288)