Ausgangslage

Der Kunde, ein etablierter Finanzdienstleister mit 350 Mitarbeitern im Raum Zürich, stand vor einer akuten Herausforderung. Die bestehenden Sicherheitsprozesse reagierten auf kritische Vorfälle im Durchschnitt erst nach 45 Minuten. Diese Zeitfenster waren für die regulatorische Berichterstattung in der Schweiz zu lang und erhöhten das finanzielle Risiko erheblich. Das interne IT-Team war überlastet und konnte nicht rund um die Uhr manuelle Analysen durchführen.

Die Hauptprobleme waren:

  • Hohe manuelle Last: 70 % der Alarme erforderten manuelle Prüfung durch Senior-Sysadmins.
  • Fehlende Automatisierung: Keine direkte Schnittstelle zwischen SIEM und Ticketing-System.
  • Regulatorischer Druck: NIS2 und FINMA-Vorgaben verlangten nachweisbare, schnelle Reaktionszeiten.

Umsetzung

Innerhalb von 8 Wochen implementierten wir eine integrierte Security-Operations-Center (SOC) Lösung. Der Fokus lag auf der Reduktion der Reaktionszeit durch KI-gestützte Priorisierung und Automatisierung.

Schritt 1: Infrastruktur-Integration (Woche 1-2) Wir verknüpften das bestehende SIEM mit unserem Managed Security Service. Alle Log-Daten aus Netzwerk, Servern und Microsoft 365 flossen in eine zentrale Analyse-Plattform.

Schritt 2: KI-gestützte Triage (Woche 3-4) Ein KI-Modell wurde trainiert, um Alarme basierend auf historischen Daten zu priorisieren. Kritische Vorfälle wie Datenexfiltration oder Ransomware-Indikatoren wurden automatisch als ‘P1’ eingestuft.

Schritt 3: Automatisierte Playbooks (Woche 5-6) Für definierte Szenarien, wie das Blockieren kompromittierter IPs oder das Zurücksetzen von Passwörtern, wurden automatisierte Playbooks erstellt. Diese liefen ohne menschliches Eingreifen ab.

Schritt 4: Monitoring und Reporting (Woche 7-8) Wir richteten Dashboards ein, die die Reaktionszeit in Echtzeit anzeigen. Ein automatischer Report wurde an die Compliance-Abteilung gesendet, um die Einhaltung der internen SLAs zu dokumentieren.

Ergebnis

Die Implementierung führte zu einer drastischen Verbesserung der Sicherheitslage. Die Reaktionszeit auf kritische Vorfälle sank signifikant, was die Compliance-Position des Kunden stärkte.

Harte KPIs nach 3 Monaten Betrieb:

  • MTTA (Mean Time to Acknowledge): Von 45 auf 12 Minuten gesenkt.
  • Automatisierungsgrad: 65 % der P1-Vorfälle wurden ohne menschliche Intervention behoben.
  • Fehlalarm-Reduktion: Durch KI-Filter um 40 % weniger falsche Alarme im Ticket-System.

Qualitative Vorteile:

  • Das IT-Team konnte sich auf strategische Aufgaben konzentrieren.
  • Die FINMA-Audits verliefen reibungslos dank lückenloser, automatischer Protokollierung.
  • Die Kosten für externe Incident-Response-Dienste wurden um 30 % reduziert.

Learnings

Dieses Projekt zeigt, dass manuelle Prozesse in der IT-Sicherheit im Finanzsektor nicht mehr skalierbar sind. Automatisierung ist kein optionales Add-on, sondern eine Notwendigkeit.

Wichtigste Erkenntnisse:

  • KI braucht saubere Daten: Die Qualität der Priorisierung hing direkt von der Vollständigkeit der Log-Struktur ab.
  • Change Management ist entscheidend: Das IT-Team musste anfangs Vertrauen in die KI-Algorithmen gewinnen. Regelmäßige Reviews der automatisierten Entscheidungen bauten dieses Vertrauen auf.
  • Schweizer Sonderfall: Die strengen Datenschutzvorschriften erforderten, dass alle Daten in Rechenzentren innerhalb der Schweiz oder der EU verbleiben. Unsere lokale Infrastruktur in Zürich garantierte diese Compliance.

Ergebnisse

  • < 15 Min – Neue MTTA für kritische Vorfälle
  • 65 % – Vorfälle ohne menschliche Intervention behoben
  • -40 % – Reduktion von Fehlalarmen

Passend dazu