KI-Branche

KI hat das SOC-Burnout gelöst. Sagt die Chefetage, nicht die Schicht.

RRogue AI·2026-08-26·8 Min. Lesezeit

Analystin im Nachtdienst prüft eine Wand maschinell erzeugter Urteile, eines davon zur menschlichen Entscheidung markiert

Beide Umfragen haben recht, und genau das ist das Unangenehme daran. Fragt man die Führungsebene, ob KI dem Security Operations Center geholfen hat, sagen 90 Prozent, die Arbeitslast sei gesunken, und 85 Prozent, Stress und Burnout hätten abgenommen. Fragt man im selben Jahr die Schicht, bleiben 28 Prozent der Alerts unbearbeitet, 60 Prozent der Teams haben erlebt, wie aus einem ignorierten Alert ein echter Vorfall wurde, und jede Analystin trägt 8,6 Stunden pro Woche, in denen sie prüft, was die Maschine produziert hat. Niemand lügt. Die Arbeit ist nicht weniger geworden. Sie hat ihre Form verändert, und nur eine der beiden Gruppen steht dort, wo die neue Form gelandet ist.

Die Zahlen stammen aus zwei unabhängigen Umfragen aus 2026, die sich nie widersprechen, weil sie nie dasselbe messen. Torq hat gemeinsam mit Sapio Research über 450 CISOs und SOC-Verantwortliche in vier Ländern befragt und im März 2026 veröffentlicht. Prophet Security hat über ViB 250 Führungskräfte und Praktiker befragt und am 3. August 2026 veröffentlicht. Nebeneinandergelegt ist das Muster keine Meinungsverschiedenheit, sondern eine Übergabe: Die Führung verfolgt die Kennzahlen, die KI tatsächlich verbessert hat, und die Analysten leben in dem Rest, den diese Kennzahlen nie erfasst haben. Diese Lücke ist inzwischen das Teuerste im SOC, denn Personal- und Budgetentscheidungen für das nächste Jahr fallen auf Basis der Hälfte des Bildes, die gelöst aussieht.

Die eine Zahl, bei der sich beide Seiten einig sind, ist null

In der Umfrage von Prophet Security gewährt kein einziger Teilnehmer der KI vollständige unbeaufsichtigte Autonomie. Kein einziger. 44 Prozent lassen die KI empfehlen und einen Menschen ausführen, 30 Prozent lassen nur risikoarme Aktionen automatisch laufen. Das ist die ehrlichste Zahl der gesamten Debatte, und sie klärt, was KI im SOC 2026 wirklich ist: Jede Installation im Feld ist eine beaufsichtigte Installation, und Aufsicht ist Arbeit.

Dagegen steht der Torq-Befund, dass sich 72 Prozent der Führungskräfte mit vollständig autonomer KI bei mittlerer Kritikalität und darunter wohlfühlen. Wohlfühlen in der Umfrage, null in der Produktion. Der Abstand zwischen dem, was Führungskräfte erlauben würden, und dem, was ihre eigenen Organisationen tatsächlich zulassen, ist der eigentliche Hinweis. Es ist dieselbe Kollision wie in KI-Agenten mit echtem Geld: Jede vorgeschlagene Kontrolle für ein autonomes System läuft auf einen Menschen in der Schleife hinaus, also genau auf das, was Autonomie eigentlich abschaffen sollte. Ein SOC, das bei jeder folgenreichen Entscheidung einen Menschen behält, hat die Entscheidung nicht automatisiert. Es hat den Papierkram drumherum automatisiert und die Entscheidung behalten.

Die Aufsichtsschicht, die auf keinem Organigramm steht

Torq hat gemessen, dass Analysten im Schnitt 8,6 Stunden pro Woche damit verbringen, KI-Ausgaben zu überprüfen. Das ist mehr als ein voller Arbeitstag, jede Woche, für eine Tätigkeit ohne Bezeichnung, ohne Stelle im Plan und ohne Kennzahl auf irgendeinem Dashboard. Sie kam still mit den Werkzeugen ins Haus. Dieselbe Umfrage zeigt, dass ein durchschnittliches SOC inzwischen sieben KI-gestützte Werkzeuge betreibt, 80 Prozent davon als fragmentierte Einzellösungen statt als eine Plattform. Dieser Arbeitstag verteilt sich also auf sieben Ausgabeformate mit sieben unterschiedlichen Fehlerbildern.

Man sollte sich klarmachen, was aus der Aufgabe geworden ist. Früher hieß sie: Alert lesen, Urteil bilden. Heute heißt sie: Alert lesen, das bereits gefällte Urteil der Maschine lesen, dann beurteilen, ob die Maschine richtig lag. Das ist keine geringere kognitive Last, sondern eine andere und vermutlich schwerere, denn fremde Schlussfolgerungen zu bewerten ist anspruchsvoller als eigene zu bilden, wenn der Denkweg selbst unsichtbar bleibt. Ein Satz aus Torqs eigener Befragung bringt das Problem auf den Punkt: „Ich würde die KI mehr machen lassen, wenn ich sehen könnte, warum sie tut, was sie tut.“ 92 Prozent nannten mindestens eine Vertrauensbarriere, und in den Prophet-Daten nennen 41 Prozent ausdrücklich fehlende Nachvollziehbarkeit als Blocker. Die Branche hat einen Kollegen gebaut, dessen Arbeit man prüfen muss und dessen Denken man nicht lesen kann.

Der Rest ist nicht verschwunden

Prophet Security hat beziffert, was nach dem Einsatz der Werkzeuge übrig bleibt. Im Schnitt bleiben 28 Prozent der Alerts unbearbeitet, bei 39 Prozent der Organisationen sind es sogar mehr als 30 Prozent. 60 Prozent haben erlebt, dass ein ignorierter Alert zu einem echten Vorfall wurde, bei 34 Prozent passierte das dreimal oder häufiger im Jahr. Zwischen Auslösen und Aufgreifen durch einen Analysten liegen im Schnitt 55 Minuten. Die mittlere Organisation verarbeitet rund 100 Alerts pro Tag, 27 Prozent verarbeiten mehr als 500.

Eine Zahl sollte jede Diskussion darüber beenden, ob das Arbeitslastproblem gelöst ist: 40 Prozent der Teams haben Erkennungsregeln abgeschaltet, weil die Kapazität fehlte, das Ergebnis dieser Regeln zu untersuchen. Das ist kein Tuning. Das ist stille Risikoakzeptanz, vollzogen auf Konfigurationsebene von Menschen, die gar nicht befugt sind, Risiken zu akzeptieren, und sie taucht auf keiner Folie auf, die sinkendes Burnout meldet. Ein SOC, das die eigenen Augen abschaltet, damit die Warteschlange erträglich bleibt, hat ein Kapazitätsproblem, das keine Produktivitätsprozentzahl beschreiben kann.

Warum die Führungsebene nicht falsch liegt

KI hat echte Dinge repariert. Erstanreicherung, die vierzigste identische Phishing-Triage des Tages, das Kopieren zwischen Konsole und Ticket: Diese Arbeit war ehrlich elend, und sie ist heute ehrlich leichter. Führungs-Dashboards messen genau diese Dinge, weil Zeit bis zur Triage, Alert-Durchsatz und Abschlussquote seit jeher die Zahlen sind, die ein SOC nach oben meldet. Diese Zahlen haben sich verbessert, und die Verbesserung ist echt.

Was Analysten erleben, ist die Zusammensetzung dessen, was übrig bleibt. Nimmt man die Routine aus einer Tätigkeit heraus, wird sie nicht leichter, sondern dichter. Jede verbleibende Stunde ist jetzt Ermessensentscheidung, Eskalation oder Aufsichtsaufgabe, ohne die anspruchslosen Aufgaben dazwischen, an denen sich ein Kopf früher erholen konnte. Die Dichte ist gestiegen, die Stundenzahl geblieben, und Dichte ist das, woran sich Burnout tatsächlich bemisst. Es ist dasselbe Messversagen, das warum KI-Projekte in der Produktion scheitern auseinandernimmt: Pilotkennzahl und Produktionserfahrung driften auseinander, und nur die Pilotkennzahl erreicht je den Vorstand.

Der Glaube eilt dem Einsatz weit voraus

Der deutlichste Beleg dafür, dass hier ein Erwartungs- und kein Fähigkeitsproblem vorliegt, steckt in den Torq-Daten. 97 Prozent der Führungskräfte sind überzeugt, dass KI die Triage übernehmen kann. Nur 35 Prozent lassen sie das tatsächlich tun. 62 Prozentpunkte zwischen Überzeugung und Praxis sind ein Glaube, der seiner eigenen Faktenlage davongelaufen ist.

Prophet fand dasselbe Muster bei Eigenbau gegen Zukauf: 72 Prozent der KI-Nutzer haben versucht, eigene SOC-Werkzeuge zu bauen, und 46 Prozent dieser Eigenbauten wurden eingestellt, ersetzt oder nie ausgerollt. Fast die Hälfte der internen Versuche hat den Kontakt mit der Produktion nicht überlebt. Die Skepsis der Praktiker gegenüber dieser Produktkategorie ist Mustererkennung. Ein Analyst formulierte es diesen Monat in einem r/cybersecurity-Thread so: Je mehr er in der Praxis mit diesen Werkzeugen zu tun habe, desto stärker fühle es sich an, als leiste solide Sicherheitshygiene weiterhin 95 Prozent der eigentlichen Arbeit. Das ist eine Stimme und keine Bewegung, aber sie deckt sich exakt mit der Datenlage. Wer hier etwas einführt, sollte vorher LLM-Evaluierung in der Praxis lesen, bevor er einem Anbieter-Benchmark glaubt, denn die Übereinstimmungsrate zwischen Maschinenurteil und Analystenurteil ist die einzige Zahl, auf die es ankommt, und fast niemand erhebt sie.

Der Mechanismus, in einem Satz

Hier ist die Mechanik hinter dem Paradox. KI hat die Erkennung beschleunigt. Die Reaktion endet weiterhin bei einem Menschen, weil niemand Autonomie gewährt. Die Branche hat also die Hälfte der Kette beschleunigt, die Arbeit erzeugt, und die Hälfte, die Arbeit abbaut, unverändert gelassen. Schnellere Erkennung vor einem unveränderten menschlichen Tor räumt keine Warteschlange ab, sie verlängert die Schlange vor dem Tor.

Ein Praktiker auf r/AskNetsec hat die betriebliche Fassung davon beschrieben, ohne sie zu benennen: Alles, was sie ausprobiert hätten, erkenne schnell, aber der Reaktionsschritt sei weiterhin manuelle Prüfung oder ein Playbook, sodass die tatsächliche Blockade weit hinter der Erkennung zurückbleibe, und genau in der Lücke zwischen „wir haben etwas Böses gesehen“ und „wir haben es gestoppt“ entstehe der Schaden. Das ist die richtige Diagnose. Und es ist der Grund, warum der Rat aus wann Sie keinen KI-Agenten einsetzen sollten im Security-Betrieb besonders schwer wiegt: Wenn die Entscheidung am Ende des Ablaufs menschlich bleiben muss, verschiebt die Automatisierung alles davor den Engpass, statt ihn aufzulösen.

Was die Wahrnehmungslücke wirklich kostet

Glaubt die Führung, das Burnout-Thema sei erledigt, stirbt die Personalbegründung leise. Gleichzeitig berichten 63 Prozent der Security-Praktiker von Burnout, 81 Prozent von höherer Arbeitslast als im Vorjahr, und die Hälfte sagt, das eigene Team sei unterbesetzt. Der State-of-the-Cybersecurity-Workforce-Bericht 2026 beziffert den Überhang auf 10,8 zusätzliche Stunden pro Woche, faktisch einen sechsten Arbeitstag. Nichts davon ist auf einem Dashboard sichtbar, das eine verbesserte mittlere Triagezeit meldet.

Das Fehlerbild ist nicht, dass KI gescheitert wäre. Es ist, dass KI auf der gemessenen Achse erfolgreich war, während die ungemessene Achse schlechter wurde, und nur eine der beiden hat einen Budgetverantwortlichen. Fluktuation, die 28 Prozent Rest und 40 Prozent der Teams, die still Erkennungen abschalten, sind reale Kosten auf einer Seite, die niemand liest. Nebenbei: Ein KI-System, das in Ihrem SOC agiert, ist selbst ein Konto mit dauerhaftem Zugriff auf Ihre sensibelste Telemetrie. Das ist eine Governance-Frage, die jeder KI-Agent ist eine Non-Human Identity behandelt und die die meisten SOC-Einführungen ebenfalls nicht beantwortet haben.

Messen Sie das, was diesen Fall aufgedeckt hätte

Die beiden Umfragen kamen auseinander, weil sie unterschiedliche Räume befragt haben. Jede Organisation kann diese Lücke in einem Quartal schließen, indem sie fünf Dinge erhebt, die sie heute mit hoher Wahrscheinlichkeit nicht erhebt.

Aufsichtsstunden als Kapazitätsposten.Wenn Analysten einen Tag pro Woche mit dem Prüfen von Maschinenausgaben verbringen, gehört dieser Tag mit Namen in die Kapazitätsplanung und nicht als Rundungsfehler unter „sonstige Aufgaben“.
Den Anteil unbearbeiteter Alerts, monatlich veröffentlicht. Nicht die mittlere Bearbeitungszeit. Der Anteil, den niemand angesehen hat, ist die eine Zahl, die beschreibt, ob Ihre Kapazität zu Ihrer Erkennungsfläche passt.
Abgeschaltete Erkennungsregeln ins Risikoregister. Jede aus Kapazitätsgründen deaktivierte Regel bekommt einen Verantwortlichen, ein Datum und eine Wiedervorlage, denn das ist ein akzeptiertes Risiko, ganz gleich wie das Change-Ticket es genannt hat.
Übereinstimmungsrate Maschine zu Analyst, je Erkennungstyp. 22 Prozent der Organisationen liegen bei 50 bis 69 Prozent Übereinstimmung, also nah genug am Münzwurf, dass Sie doppelt zahlen: einmal für das Werkzeug, einmal für den Menschen, der es prüft.
Befragen Sie Analysten getrennt von ihren Vorgesetzten. Das gesamte Paradox dieses Artikels existiert, weil zwei Umfragen zwei verschiedene Gruppen befragt haben. Ihre interne Umfrage hat denselben Fehler, solange Sie ihn nicht bewusst herauskonstruieren.

Nichts davon spricht dafür, KI aus dem SOC zu entfernen. Der Fall Triage und Anreicherung ist wirklich gut, genau wie die Dokumenten- und Servicedesk-Automatisierung in KI-Automatisierung im IT-Servicedesk wirklich gut ist. Es spricht dafür, ehrlich zu beschreiben, was Sie gekauft haben: ein System, das eine Kategorie Arbeit entfernt und eine kleinere Kategorie schwererer Arbeit erzeugt, mit einem Saldo, der vermutlich positiv ist und mit Sicherheit nicht dem entspricht, was auf der Anbieterfolie stand.

Der schnelle Test, bevor Sie den Personalplan fürs nächste Jahr unterschreiben: Fragen Sie Ihre SOC-Leitung, was KI verändert hat, fragen Sie dann eine Analystin im Dienst dasselbe, und vergleichen Sie die beiden Antworten. Wenn sie nicht zusammenpassen, haben Sie kein KI-Problem. Sie haben ein Messproblem, und es wird ungefähr eine Kündigung später zu einem Personalproblem.

Weiterführende Lektüre

Kurzreferenz

Gleiches Jahr, gleiche Räume, zwei verschiedene Antworten zu KI im SOC

Die Frage	Was die Führung meldet	Was die Schicht meldet
Hat KI die Arbeitslast gesenkt?	90% melden geringere Last	81% melden mehr Last als im Vorjahr
Ist das Burnout zurückgegangen?	85% melden weniger Stress und Burnout	63% der Praktiker berichten von Burnout
Übernimmt KI die Triage?	97% halten sie dafür für geeignet	35% setzen sie dort tatsächlich ein
Handelt die KI eigenständig?	72% wären mit Autonomie einverstanden	0% gewähren unbeaufsichtigte Autonomie
Was passiert mit dem Rest?	Wird nicht gemessen	28% der Alerts bleiben unbearbeitet
Der versteckte Posten	Auf keinem Dashboard	8,6 Stunden pro Woche KI-Aufsicht

Häufig gestellte Fragen

Hat KI das Burnout im SOC 2026 tatsächlich gesenkt?

Das hängt vollständig davon ab, wen man fragt, und beide Antworten sind durch Daten gedeckt. Die Torq-Umfrage vom März 2026 unter mehr als 450 CISOs und SOC-Verantwortlichen ergab, dass 90 Prozent eine verbesserte Arbeitslast und 85 Prozent weniger Stress und Burnout melden. Daten von der Praktikerebene aus demselben Jahr zeigen, dass 63 Prozent der Security-Praktiker Burnout erleben, 81 Prozent eine höhere Arbeitslast als im Vorjahr berichten und die Hälfte das eigene Team für unterbesetzt hält. Die wahrscheinlichste Erklärung ist nicht, dass eine Gruppe irrt, sondern dass KI die Routinearbeit entfernt und den Rest verdichtet hat: Die Stundenzahl blieb gleich, die kognitive Dichte stieg.

Wie viele Organisationen lassen KI im SOC autonom handeln?

Keine, laut der Prophet-Security-Umfrage vom August 2026 unter 250 Führungskräften und Praktikern. Kein einziger Teilnehmer gewährt KI vollständige unbeaufsichtigte Autonomie. 44 Prozent lassen die KI Empfehlungen aussprechen, die ein Mensch anschließend ausführt, 30 Prozent lassen ausschließlich risikoarme Aktionen automatisch laufen. Dem steht der Torq-Befund gegenüber, dass sich 72 Prozent der Führungskräfte mit vollständig autonomer KI bei mittlerer Kritikalität und darunter wohlfühlen. Der Abstand zwischen erklärter Bereitschaft und tatsächlicher Praxis ist damit eines der deutlichsten Signale im gesamten Datensatz.

Was kostet die KI-Aufsicht in einem Security Operations Center?

Torq hat im Schnitt 8,6 Stunden pro Analyst und Woche für die Überprüfung von KI-Ausgaben gemessen, also mehr als einen vollen Arbeitstag. Ein durchschnittliches SOC betreibt in derselben Umfrage sieben KI-gestützte Werkzeuge, davon 80 Prozent als fragmentierte Einzellösungen statt als eine Plattform, sodass sich die Aufsichtslast über sieben Ausgabeformate verteilt. Diese Arbeit hat in der Regel keine Bezeichnung, keine Stelle im Personalplan und keine Kennzahl auf einem Dashboard, weshalb sie in Bewertungen, ob KI die Arbeitslast des Teams gesenkt hat, praktisch nie auftaucht.

Warum widersprechen sich Führungs- und Analystenumfragen zu KI im SOC?

Weil sie Unterschiedliches messen. Führungs-Dashboards verfolgen mittlere Triagezeit, Alert-Durchsatz und Abschlussquote, und all das hat sich real verbessert, als KI Erstanreicherung und repetitive Triage übernommen hat. Analysten erleben die Zusammensetzung dessen, was nach dem Wegfall dieser Arbeit übrig bleibt: Ermessensentscheidungen, Eskalationen und Aufsichtsaufgaben, ohne die anspruchslosen Aufgaben, die früher zwischen den schweren lagen. Die Messlücke ist deshalb gefährlich, weil Personal- und Budgetentscheidungen aus der Führungsperspektive getroffen werden, während sich das Fluktuationsrisiko in genau der Perspektive aufbaut, die niemand erhebt.

Was sollte ein SOC messen, um das wahre Bild zu sehen?

Fünf Dinge, die die meisten Teams heute nicht erheben. Aufsichtsstunden als ausdrücklichen Kapazitätsposten statt als absorbierten Overhead. Den Anteil der Alerts, die niemand untersucht hat, monatlich veröffentlicht, anstelle der mittleren Bearbeitungszeit. Aus Kapazitätsgründen abgeschaltete Erkennungsregeln, eingetragen ins Risikoregister mit Verantwortlichem und Wiedervorlage, denn 40 Prozent der Teams haben Regeln aus genau diesem Grund deaktiviert. Die Übereinstimmungsrate zwischen Maschinenurteil und Analystenurteil, erhoben je Erkennungstyp. Und eine Analystenbefragung, die getrennt von der Managementbefragung läuft, denn einen Raum zu fragen und auf den anderen zu verallgemeinern ist genau der Fehler, der dieses Paradox erzeugt hat.