Das grundlegende Angriffsmuster habe sich kaum verändert, schreibt Gorenflo. Neu seien jedoch Tempo und Ausführungsqualität. Angreifer nutzten KI, um ihre Operationen zu skalieren: Sie automatisieren das Testen von Zugangsdaten über größere Zielmengen, schreiben eigene Werkzeuge schneller und formulieren Phishing-Mails, die sich deutlich schwerer von echter Kommunikation unterscheiden lassen.

Diese Beschleunigung erhöht den Druck auf ohnehin überlastete Verteidiger. Vorfälle entfalten sich schneller, greifen weiter um sich und betreffen mehr Teile der Umgebung — von Identitätssystemen über Cloud-Infrastruktur bis zu Endgeräten. Incident-Response-Teams, die für ein langsameres Tempo ausgelegt sind, stellen fest, dass ihre bestehenden Abläufe nicht mehr Schritt halten.

An dieser Stelle, argumentiert Gorenflo, zähle die Denkweise bei der Reaktion auf Vorfälle ebenso viel wie die eingesetzte Technik. Im Kurs SEC504 lehrt er den sogenannten Dynamic Approach to Incident Response (DAIR), ein Modell, das Vorfälle jeder Größe wirksamer bewältigen soll als der klassische lineare Ansatz.

Das klassische Modell behandelt den Prozess als feste Abfolge: vorbereiten, identifizieren, eindämmen, beseitigen, wiederherstellen, nachbesprechen. Das Problem liege nicht in der Theorie, sondern darin, dass reale Vorfälle nicht geradlinig verlaufen. Während der Eindämmung tauchen neue Daten auf, die den vermuteten Umfang verändern; bei der Beseitigung gesammelte Beweise offenbaren bislang unbekannte Angreifertaktiken. Der Umfang wachse fast immer, statt zu schrumpfen.

DAIR trägt dem Rechnung. Nach Erkennung und Verifizierung eines Vorfalls treten Teams in eine Schleife aus Eingrenzung, Eindämmung, Beseitigung und Wiederherstellung ein, die sich mit jeder neuen Erkenntnis wiederholt. Gorenflo nennt ein Beispiel: Eine Kompromittierung über Zugangsdaten betrifft zunächst scheinbar nur eine einzelne Arbeitsstation. Bei der Eindämmung enthüllt eine forensische Analyse einen Persistenzmechanismus in der Registry — und schickt das Team zurück zur Eingrenzung, nun mit Suche nach demselben Indikator im gesamten Unternehmen. Eine dabei entdeckte bestätigte Angreifer-IP-Adresse stößt einen weiteren Durchlauf von Eindämmung und Beseitigung an. Jeder Zyklus liefert bessere Erkenntnisse für die nächste Runde.

Die Reaktion läuft so lange in Zyklen, bis Team und Entscheidungsträger den Vorfall als vollständig bearbeitet einstufen. Genau das unterscheide DAIR vom klassischen Modell: Es behandelt den ungeordneten, iterativen Charakter realer Untersuchungen als Merkmal des Verfahrens, nicht als Abweichung davon.

Wenn mehrere Teams an einem Vorfall zusammenkommen — SOC-Analysten, Cloud-Ingenieure, IR-Leiter und Systemadministratoren —, sei Abstimmung schwierig. Als wichtigsten Faktor wirksamer Incident Response nennt Gorenflo die Kommunikation: Sie entscheide, ob Eingrenzungsdaten die richtigen Leute erreichen, ob Eindämmungsmaßnahmen koordiniert statt widersprüchlich erfolgen und ob Entscheidungsträger verlässliche Informationen erhalten. Daneben seien regelmäßiges Üben und die fachlichen Fähigkeiten des Teams entscheidend — gerade weil es geschulte Praktiker brauche, um KI-gestützte Abwehrwerkzeuge gezielt einzusetzen.

Gut gerüstet seien jene Organisationen, die vor dem Vorfall in ihre Leute investiert und sie an denselben Werkzeugen und Techniken trainiert hätten, die bei echten Kompromittierungen zum Einsatz kommen. Gorenflo kündigt an, SEC504 in diesem Monat bei der SANS Chicago 2026 zu unterrichten.