Schweregrade bleiben nützlich, weil Sicherheitsteams eine einheitliche Grundlage brauchen, um die mögliche Auswirkung einer Schwachstelle einzuschätzen und Behebungen zu priorisieren. Analysieren lassen sie sich heute aber nicht mehr im luftleeren Raum. Angreifer suchen nach Gelegenheiten, Zugang zu erlangen, Rechte auszuweiten, sich seitwärts zu bewegen, Kontrollen zu umgehen und etwas Wertvolles zu erreichen. Dieses Können war früher geübten Bedrohungsakteuren vorbehalten — der Einsatz von KI senkt die Wissensschwelle für Angreifer.
Den fehlenden Kontext liefert die Validierung von Angriffspfaden. Statt nur zu fragen, ob eine Schwachstelle existiert, prüft autonomes Pentesting, ob sie erreichbar und ausnutzbar ist, ob sie sich mit anderen Schwächen verketten lässt und ob sie zu einem relevanten Ziel führt.
Klassische Penetrationstests beziehen ihren Wert aus menschlicher Expertise: Erfahrene Tester durchdenken komplexe Szenarien, verketten Schwachstellen, prüfen Geschäftslogik und beurteilen, ob aus einer theoretischen Schwäche eine echte Kompromittierung wird. Diese Kompetenz bleibt wertvoll. Was sich ändert, ist das Tempo der Umgebung: Cloud-Infrastruktur wird geändert, Anwendungen werden ausgerollt, Identitäten angelegt und entfernt, Konfigurationen driften, neue Assets tauchen auf, Sicherheitskontrollen ändern sich. Ein Bericht kann zum Zeitpunkt der Prüfung korrekt gewesen sein — die beschriebene Umgebung existiert Wochen oder Monate später womöglich nicht mehr.
Die Antwort darauf sind nicht mehr jährliche Tests, sondern ein Testmodell, das mit der Veränderung Schritt hält. Kontinuierliche Angriffsflächen-Verwaltung, kontinuierliche Schwachstellensuche, kontinuierliche Kontrollvalidierung und kontinuierliches Expositionsmanagement zielen alle auf dieselbe Erkenntnis: Teams müssen in Echtzeit wissen, was in ihren Umgebungen zutrifft. Das Problem war stets die Ausführung — es gibt praktische Grenzen, wie viele Anwendungen, Netzsegmente, Identitäten, Angriffspfade und Kontrollen ein menschliches Team laufend prüfen kann.
Automatisierung und Autonomie sind dabei nicht dasselbe. Automatisiertes Schwachstellen-Scanning identifiziert bekannte Schwächen, gleicht sie gegen Datenbanken und Signaturen ab und schafft Sichtbarkeit über Veränderungen. Eine Schwachstelle zu finden ist aber etwas anderes, als zu beweisen, dass ein Angreifer sie nutzen kann. Eine autonome Pentest-Plattform führt Aufklärung durch, entscheidet, was als Nächstes zu testen ist, verkettet Einzelschwächen, prüft Authentifizierungs- und Autorisierungslogik, versucht die Ausnutzung, bewegt sich durch die Umgebung und verfolgt ein Angriffsziel. Scanning benennt Möglichkeiten, autonomes Pentesting erzeugt Belege.
Der eigentliche Fortschritt liegt laut BreachLock nicht darin, dass KI einzelne Pentest-Aufgaben automatisiert — das ist seit Längerem der Fall. Entscheidend sei, dass autonome Systeme mehrstufige Angriffsszenarien in einer Tiefe durchdenken können, die historisch erfahrenen menschlichen Testern vorbehalten war: Geschäftslogik prüfen, Schwachstellen verketten und bewerten, was nach dem Erstzugriff geschieht.
BreachLocks Plattform Breach360 wurde nach eigenen Angaben auf Basis von Erkenntnissen aus mehr als 40.000 realen Penetrationstest-Einsätzen trainiert, um die Tiefe erfahrener Offensivexperten mit der für kontinuierliches Testen nötigen Skalierbarkeit zu verbinden. Statt einer wachsenden Liste theoretischer Schwachstellen soll sie belegen, welche Expositionen tatsächlich ausnutzbar sind und wie sie entlang eines Angriffspfads zusammenhängen.
Autonome Ausführung und autonome Verantwortung sind allerdings zweierlei: Technik kann Angriffspfade entdecken, Exploits validieren, Belege erzeugen und Tests in einem Umfang wiederholen, den kein menschliches Team erreicht. Was die Belege für das Geschäft bedeuten, bestimmen weiterhin menschliche Fachleute. Ziel ist nicht, den Menschen aus dem Sicherheitstest zu entfernen, sondern seine Expertise nicht länger für Arbeit einzusetzen, die Maschinen inzwischen fortlaufend erledigen können.