Die zentrale These ist provokativ: Trainieren wir KI-Systeme zur Erkennung von Schadensfolgen oder von Angreifer-Absichten? Nishawn Smagh, Director of Intelligence bei GreyNoise, beantwortet diese Frage mit Daten, die eine bislang unterschätzte Schwachstelle in der modernen Cyberabwehr aufdecken.
Herkömmliche Detection-Modelle verlassen sich auf gelabelte Breach-Logs, Malware-Samples, Threat Feeds und Post-Incident-Analysen. Diese Quellen bieten validierte Informationen, ermöglichen zuverlässige Klassifikation – aber sie haben einen kritischen Nachteil: Sie dokumentieren nur, was bereits passiert ist. Ein Angreifer, der zum ersten Mal auf einer neue IP-Adresse agiert, bleibt unsichtbar.
Die Zahlen sind alarmierend. Nach GreyNoise’s 2026 State of the Edge Report stammten 52 Prozent des RCE-Exploitations-Datenverkehrs von IP-Adressen, die nie zuvor in Common-Threat-Feeds aufgetaucht waren. Bei Authentication-Bypass-Versuchen waren es 38 Prozent. Das Muster ist eindeutig: Je schwerwiegender die Aktivität, desto wahrscheinlicher stammt sie von neuer Infrastruktur. Angreifer haben die Schwachstellen von Reputation-Systemen erkannt und setzen gezielt auf ephemere Cloud-Instanzen, VPS-Umgebungen und Residential-Proxies.
Noch besorgniserregender ist ein zweites Phänomen: GreyNoise identifizierte zwischen September 2024 und Januar 2026 insgesamt 216 statistisch signifikante Anomalie-Spitzen bei Edge-Systemen wie VPNs, Routern, Firewalls und Internet-facing Management-Tools. Die zeitliche Korrelation mit CVE-Offenlegungen ist durchschlagend – 50 Prozent dieser Spitzen wurden innerhalb von drei Wochen durch neue Sicherheitslücken erklärt, 80 Prozent innerhalb von sechs Wochen.
Dies deutet auf ein zeitliches Fenster hin, in dem Angreifer-Intent messbar wird, bevor offizielle Vulnerability-Disclosures erfolgen. Die meisten Spike-Aktivitäten zielten auf bereits bekannte Schwachstellen ab – Angreifer inventarisieren exponierte Systeme und testen Exploit-Pfade, bevor sie koordinierte Kampagnen starten.
Besonders kritisch ist die Situation bei Edge-Systemen: Sie sind zunehmend strategische Zugriffspunkte für Angreifer. Das zeigen auch Erkenntnisse aus dem CrowdStrike 2026 Global Threat Report, wonach Nation-State- und Ransomware-Operatoren gezielt Netzwerk-Perimeter-Geräte als Entry-Points wählen. China-gebundene Akteure bevorzugen Edge-Exploitation, weil es sofortigen Zugriff mit eingeschränkter Defender-Sichtbarkeit bietet.
Hier entsteht eine strategische Asymmetrie: Angreifer nutzen die Edge, weil dort die Visibility gering ist. Defender trainieren KI-Modelle aber anhand von Artefakten, die nur nach erfolgreichem Edge-Zugang sichtbar werden. Sie übersehen die Reconnaissance-Signale, Infrastructure-Rotation und Authentication-Probing-Muster, die Angreifer-Koordination vor einer Kompromittierung anzeigen.
Die Lösung liegt in einer Ausweitung der Training-Datensätze. Modelle sollten nicht nur post-Compromise-Artefakte berücksichtigen, sondern auch Internet-scale-Telemetrie über First-Seen-IP-Timing, Anomalie-Spitzen und Infrastructure-Churn-Raten. Unternehmen, die diese timing gap schließen, wechseln von reaktiven zu präventiven Erkennungsmechanismen – und gewinnen damit einen Wettbewerbsvorteil gegen zunehmend sophistizierte Gegner.