Agents auf die eigene Seite ziehen.

Bevor ein fremder Agent eine Lücke nutzt

Die Idee ist einfach: Ein eigener Agent soll auf eine neue Schwachstelle aufmerksam machen, bevor sie im Unternehmen Schaden anrichtet. Dafür muss er wissen, welche Systeme zum Unternehmen gehören, welche Software dort eingesetzt wird und welche Informationen einen Verdacht tatsächlich stützen. Eine ansprechend animierte Oberfläche allein reicht dafür nicht.

Unser Ansatz verbindet ein gepflegtes Systeminventar, öffentliche Sicherheitsinformationen und begrenzte technische Prüfungen. Das Ergebnis soll eine bearbeitbare Meldung sein: Welches System ist betroffen? Was ist belegt? Wer übernimmt? Was muss als Nächstes passieren? Die kontinuierliche Überwachung und die Behebung sind getrennte, aufeinander abgestimmte Leistungen.

Was die Agenten beobachten sollen

Öffentliche Informationen lassen sich laufend auswerten. Aktive Prüfungen richten sich ausschließlich auf beauftragte Ziele und freigegebene Prüfarten. Damit wird aus dem Durchforsten des Internets ein auf Ihr Unternehmen bezogener Informationsdienst.

• Eigene Angriffsfläche: vereinbarte Domains, IP-Adressen, Dienste und Softwarebestände. Neue Funde werden zunächst als Kandidaten erfasst. Ein unbekannter Host wird dadurch nicht automatisch für aktive Prüfungen freigegeben.
• Neue Sicherheitsmeldungen: Herstellerhinweise und veröffentlichte Schwachstellen, abgeglichen mit bestätigten Softwareversionen oder einem bereitgestellten Softwareinventar.
• Exposition und Konfiguration: vereinbarte Prüfungen zu öffentlich erreichbaren Diensten, Zertifikaten und auffälligen Änderungen. Tiefe, Häufigkeit und zulässige Anfragen gehören zum Prüfprofil.
• Behebung: Zuständigkeit und Frist nachhalten. Nach einer Änderung erneut prüfen, ob der ursprüngliche Befund noch besteht. Ein versendeter Alarm schließt den Fall nicht ab.

Ein Dashboard, in dem Agentenarbeit sichtbar wird

Die Dashboard-Demo zeigt Agenten als verbundene Knoten. Ein Klick öffnet Auftrag, Zustand, Eingaben und Ergebnis. Der Ablauf reicht vom Inventar über die Prüfung und Priorisierung bis zur Alarmierung und Nachprüfung. Sie können den simulierten Ablauf starten, pausieren, Befunde filtern und einen lokalen Bericht exportieren.

Für den späteren Betrieb sind zusätzlich letzte erfolgreiche Prüfung, Datenalter, Abdeckung, wartende Aufträge und Fehlerzustände vorgesehen. Ein System ohne aktuelle Messung muss als unbekannt erscheinen. Auch die Sicherheit eines Befunds und seine mögliche Auswirkung werden getrennt dargestellt.

Die Demo ist eine Eigenentwicklung mit erfundenen Systemen und simulierten Ereignissen. Sie führt keine Sicherheitsprüfungen aus und verschickt keine Warnungen. Eine produktive Kundenüberwachung ist damit noch nicht nachgewiesen.

Von einer Meldung zu einer belastbaren Priorität

Eine bekannte Produktbezeichnung oder ein Versionsbanner allein bestätigt noch keine ausnutzbare Schwachstelle. Ein Befund muss zwischen Verdacht, bestätigter Betroffenheit und offener Prüfung unterscheiden. Quellen und Zeitpunkte bleiben am Fall erhalten. Fehlende Daten werden sichtbar gemacht.

Für die Einordnung sind Herstellerinformationen, die National Vulnerability Database, der CISA-Katalog bereits ausgenutzter Schwachstellen und FIRST EPSS vorgesehen. EPSS beschreibt die Wahrscheinlichkeit beobachteter Ausnutzung in den nächsten 30 Tagen. Die geschäftliche Auswirkung und Ihre konkrete Betroffenheit müssen zusätzlich bewertet werden.

1. 1Zuordnen: Passt die Meldung zu einem freigegebenen System und einer belegten Softwareversion?
2. 2Verifizieren: Welche Evidenz ist vorhanden, was bleibt offen und welche zulässige Prüfung hilft weiter?
3. 3Priorisieren: Erreichbarkeit, beobachtete Ausnutzung, Geschäftsauswirkung und vorhandene Gegenmaßnahmen berücksichtigen.
4. 4Alarmieren: Verantwortliche Person, verständlicher Befund, Belege und Handlungsvorschlag. Zustellung und Quittierung getrennt nachhalten.

Hetzner-Betrieb und kontrollierte Modellnutzung

Die geplante Plattform trennt Dashboard und API, Zeitplanung, Prüfworker sowie Datenhaltung. Im Pilot ist eine kleine selbst gehostete Modellinferenz auf einer Hetzner-VM vorgesehen. Welche Modellgröße bei vertretbarer Antwortzeit funktioniert, wird gemessen. Eine spätere größere Inferenzinstanz wäre ein gesonderter Infrastrukturbaustein.

Das Modell unterstützt beim Lesen, Zuordnen und Erklären. Ein separater Dienst begrenzt Ziele, Werkzeuge, Laufzeiten und Anfragezahlen. Das Modell darf seinen Prüfbereich nicht selbst erweitern. Diese Begrenzung folgt dem Prinzip minimaler Werkzeugrechte, das auch OWASP für agentische Systeme empfiehlt.

Für Kundendaten werden Speicherorte, Zugriffe, Aufbewahrung und Unterauftragnehmer vorab dokumentiert. Wenn personenbezogene Daten im Auftrag verarbeitet werden, gehört ein passender Auftragsverarbeitungsvertrag dazu. Grundlage sind unter anderem Art. 28 und 32 DSGVO.

Mit einem begrenzten Pilot starten

Nach dem Erstgespräch nennen wir einen Festpreis je Etappe. Produktive Alarmierung, automatische Änderungen und weitere Prüfarten werden erst nach Erprobung und Vereinbarung aktiviert. Der konkrete Leistungsumfang steht vor Beginn fest.

1. 1Auftrag und Inventar: berechtigte Ansprechpartner, Systeme, erlaubte Prüfungen, Ausschlüsse und Alarmempfänger festhalten.
2. 2Messbarer Pilot: Datenquellen anbinden, Befunde nachvollziehen und den Alarmweg erproben. Fehlalarme, übersehene Testfälle, Abdeckung und Bearbeitungsaufwand messen.
3. 3Betrieb festlegen: Aus den Messwerten entstehen Prüfintervalle, Leistungsumfang und laufende Konditionen. Automatisierte Überwachung rund um die Uhr und menschliche Erreichbarkeit werden gesondert beschrieben.
4. 4Beheben und nachprüfen: Freigegebene Korrekturen über Ihre IT oder als vereinbarte Zusatzleistung. Für Websysteme kann unsere Website-Pflege anschließen.