Bereitstellung aktueller und älterer Eigentumsinformationen zu Domains/IPs. Identifizieren Sie alle Verbindungen zwischen Domains, Registranten, Registrierstellen und DNS-Servern.
Künstliche Intelligenz steht seit Jahren im Mittelpunkt der Diskussionen auf der RSA-Konferenz. Wenn Sie auf die RSAC 2024 und 2025 zurückblicken, erkennen Sie ein Muster. Auf der RSAC 2026, die vom 23. bis 26. März in San Francisco stattfand, hat diese Debatte nicht an Intensität verloren. Vielmehr wurde sie noch konkreter.
In diesem Jahr verlagerte sich der Schwerpunkt von der allgemeinen Einführung künstlicher Intelligenz hin zu operativen Risiken, agentengesteuerten Arbeitsabläufen und der Frage, wie Sicherheitsverantwortliche zunehmend autonome Systeme schützen können.
Unser Expertenteam war vor Ort, nahm an Veranstaltungen teil, hielt Informationsveranstaltungen ab und führte Gespräche mit den Fachleuten, die die Systeme entwickeln und sichern, auf denen moderne Unternehmen basieren.
In diesem Beitrag stellen wir Ihnen die wichtigsten Themen und Trends vor, die wir während der Vorträge und Keynotes beobachtet haben.
Bedeutende Trends auf der RSAC 2026
Mit mehr als 660 Vorträgen und fast 44.000 Teilnehmern war die RSAC 2026 ein voller Erfolg. Dennoch fielen einige wiederkehrende Trends in vielen Vorträgen besonders auf, von denen wir Ihnen im Folgenden einige vorstellen möchten.
Sicherung der agentenbasierten Belegschaft
Auf der RSAC diskutierten Vertreter globaler Marktführer das Konzept der „Agentic Workforce“, über das wir bereits in der Vergangenheit berichtet haben, insbesondere im Hinblick auf den Einsatz von KI-Agenten in der Cybersicherheit.
Jeetu Patel von Cisco hielt eine Keynote mit dem Titel „Reimagining Security for the Agentic Workforce“, in der er den Begriff „Agenten“ definierte und sie als Personen beschrieb, die zwar zeitweise autonom handeln, vor allem aber Zugang zu den von uns genutzten Tools und Systemen haben.
Wir sollten diese Agenten also nicht als Werkzeuge betrachten. Wir sollten sie vielmehr als digitale Mitarbeiter sehen, die unsere Teams verstärken werden – und zwar in einer Zahl von Tausenden innerhalb eines Unternehmens.
– Jeetu Patel, Executive Vice President und Chief Product Officer bei Cisco
Er zog eine klare Grenze zwischen dem, was KI früher war, und dem, was sie heute ist. Bei Chatbots ist der schlimmste Fall eine falsche Antwort. Bei Agenten ist der schlimmste Fall eine falsche, irreversible Handlung. Er erläuterte die auf drei Säulen basierende Sicherheitsstrategie von Cisco:
- Schutz der Mitarbeiter vor äußeren Einflüssen
- Die Welt vor Agenten schützen
- Reaktion auf Bedrohungen in maschineller Geschwindigkeit und Größenordnung
Die Präsentation von Uber veranschaulichte die Sicherheitsherausforderung anhand der betrieblichen Realität. „Prompt Injection“, eine der am häufigsten diskutierten Bedrohungen auf Agentenebene, wirkt auf der Ausführungsebene. Ein Angreifer bettet Anweisungen in ein Dokument, eine E-Mail oder eine API-Antwort ein. Der Agent liest den Inhalt, interpretiert die eingebettete Anweisung als legitime Aufgabe und führt sie unter Verwendung echter Anmeldedaten über einen echten Zugriffspfad aus.
Es sind weder Malware noch Exploit-Code erforderlich, sondern lediglich Text, der ein Tool auslöst, für dessen Nutzung der Agent bereits die Berechtigung besitzt. Aus diesem Grund hat Uber seinen Ansatz vorgestellt, der sich auf die Verhaltensüberwachung in Echtzeit konzentriert und nicht allein auf Schutzmechanismen auf Modellebene setzt.
Auch Microsoft schaltete sich in die Debatte ein und wies darauf hin, dass herkömmliche Red-Teaming-Maßnahmen nicht ausreichen, wenn die Angriffsfläche KI-Systeme umfasst, bei deren Entwicklung die Sicherheit nicht an erster Stelle stand. Das Unternehmen brachte „Agent 365“ auf den Markt, eine Steuerungsebene, die IT- und Sicherheitsteams Einblick in die tatsächlichen Aktivitäten der Agenten in der gesamten Umgebung verschaffen soll.
Aus Sicht der Bedrohungsanalyse läuft die Absicherung von KI-Agenten auf ein bekanntes Problem hinaus: Man muss genau wissen, mit wem und womit diese Agenten kommunizieren. Genau hier erweist sich der Einsatz von KI als Bestandteil der frühzeitigen Bedrohungserkennung als nützlich. Wenn Sie bösartige Infrastruktur identifizieren und blockieren können, bevor ein Agent Kontakt zu ihr aufnimmt, können Sie die Angriffskette möglicherweise frühzeitig unterbrechen.
Identität als neuer Schutzperimeter
Ein weiterer Konsens in San Francisco war, dass die traditionellen Netzwerkgrenzen an Bedeutung verlieren und die Identitätsprüfung zunehmend als primäre Steuerungsebene fungiert. In mehreren Vorträgen ging es darum, dass Angreifer sich mittlerweile eher einloggen , anstatt sich gewaltsam Zugang zu verschaffen.
In dem Vortrag „Chasing Ghosts: Aufdeckung von Token-Missbrauch in der Microsoft-Cloud“ erläuterte Maxim Deweerdt, leitender Dozent bei SANS, den Teilnehmern, wie Angreifer Sitzungstoken stehlen, um die Multi-Faktor-Authentifizierung zu umgehen.
Die Sitzung, die es in die Top-10-Liste der RSAC schaffte, behandelte die gesamte Angriffskette – von Phishing über die Kontoübernahme bis hin zur Persistenz – sowie Erkennungsstrategien und praktische Anleitungen, wie man über die übliche Sicherheitsbewertung hinausgeht, um Microsoft-Cloud-Umgebungen wirklich abzusichern. Die Kernaussage lautete, dass MFA allein nicht mehr ausreicht, wenn Angreifer das nach der Authentifizierung generierte Sitzungstoken stehlen können.
Angesichts dieser Bedrohung kommt der kontinuierlichen Validierung laut Vorträgen wie „Beyond Zero Trust: Continuous Validation for Modern Enterprise Security“ besondere Bedeutung zu. In diesem Vortrag wurde die Annahme in Frage gestellt, dass die Identitätsprüfung ein einmaliger Vorgang sei. Das Argument lautet, dass die Überprüfung der Identität eines Benutzers bei der Anmeldung und die anschließende Gewährung eines sitzungsweiten Zugriffs ein Zeitfenster schaffen, das Angreifer ausnutzen können, sobald die anfängliche Überprüfung erfolgreich abgeschlossen ist.
Sicherheitssysteme müssen kontinuierlich überprüfen, ob Verhalten, Standort und Gerät während der gesamten Sitzung konsistent bleiben, und zwar nicht nur bei der ersten Anmeldung.
Selbst Plattformen mit einer nachweislich hohen Sicherheitsbilanz sind gefährdet, wenn das Identitätsmanagement und die Zugriffskontrollen nicht sorgfältig konfiguriert und überwacht werden. Diesem Thema widmeten sich die Varonis-Forscher Tamir Yehuda und Daniel Reyhanian in einem Vortrag, in dem sie konkrete Angriffstechniken gegen Salesforce-Umgebungen vorstellten.
Die Zukunft könnte zudem weitere Bedrohungen mit sich bringen, wie in einer Fachsitzung von IBM Security erörtert wurde. Dort wiesen die Referenten darauf hin, dass sich der Identitäts- und Datenschutz bereits jetzt weiterentwickeln müsse, um den Bedrohungen durch Quantencomputer einen Schritt voraus zu sein, die die weit verbreitete Public-Key-Kryptografie im Laufe der Zeit untergraben könnten.
Intelligenz nicht-menschlicher Wesen
Wenn wir über Identität sprechen, meinen wir damit in der Regel Menschen. Doch die RSAC 2026 stellte diese Annahme in Frage und hob die rasante Zunahme nicht-menschlicher Entitäten hervor.
In vielen Vorträgen wurde ein Punkt hervorgehoben, der oft übersehen wird: Dienstkonten, Bots und API-Schlüssel machen mittlerweile einen großen Teil der Entitäten aus, die in modernen Systemen agieren. Diese nicht-menschlichen Identitäten verfügen oft über mehr Berechtigungen als die Menschen, die dieselben Plattformen nutzen, werden jedoch weitaus weniger kontrolliert. Viele werden schnell eingerichtet, selten überprüft und nie wieder deaktiviert.
Das Entwicklerteam von LinkedIn erklärte, dass Zero Trust zwar ein guter Anfang sei, für nicht-menschliche Konten, die mit hoher Geschwindigkeit in verteilten Systemen agieren, jedoch zu statisch sei. Ein Dienstkonto kann pro Minute Tausende von API-Aufrufen über Dutzende integrierter Plattformen hinweg ausführen.
Statische Zugriffskontrollen, die lediglich einmalig bei der Bereitstellung überprüft werden, können mit diesem Aktivitätsaufkommen nicht Schritt halten. Die Referenten schlugen eine kontinuierliche und verhaltensorientierte Validierung vor, die Anomalien im Verhalten nicht-menschlicher Konten auf dieselbe Weise erkennen kann, wie moderne Tools ungewöhnliche Anmeldemuster von Menschen erkennen.
Aktive Verteidigung und kooperative Störung
Das letzte wichtige Thema auf unserer Liste war ein Umdenken: der Übergang von passiver Verteidigung zu aktiver Störung. Diese Idee basiert auf einer Erkenntnis, die Sicherheitsteams schon seit einiger Zeit haben. Jedes Mal, wenn Sie einen Angriff abwehren, zwingen Sie den Angreifer dazu, etwas zu ändern. Manche Änderungen kommen ihn teurer zu stehen als andere.
Die „Pyramid of Pain“ ist hier ein nützliches Modell. Sie stuft Indikatoren für eine Kompromittierung danach ein, wie viel Aufwand ein Angreifer aufwenden muss, um sie zu ersetzen, sobald man sie blockiert hat. Ganz unten stehen Dinge wie IP-Adressen und Datei-Hashes. An der Spitze der Pyramide stehen die Taktiken, Techniken und Verfahren, die die Vorgehensweise eines Angreifers bestimmen. Werden diese Indikatoren unterbunden, sind Angreifer gezwungen, ihre Werkzeuge zu wechseln, und genau hier können Verteidiger den Angreifern den größten Schaden zufügen.
Sandra Joyce, Vizepräsidentin von Google Threat Intelligence, hielt eine eindrucksvolle Keynote mit dem Titel „Activate Industry!: Moving Beyond Defense to Disruption and Active Defense“ und forderte die Cybersicherheits-Community nachdrücklich dazu auf, über die bloße Verteidigung der eigenen Netzwerke und den Austausch von Informationen hinauszugehen. Das Ziel besteht nun darin, das Geschäft der Cyberkriminalität selbst zu stören.
Nur durch diese Partnerschaften zwischen Strafverfolgungsbehörden, Technologieanbietern jeder Größe und den Akteuren an vorderster Front lässt sich eine echte globale Widerstandsfähigkeit aufbauen. Gemeinsam können wir diesen „Whack-a-Mole“-Zyklus endlich durchbrechen.
– Sandra Joyce, Vizepräsidentin von Google Threat Intelligence.
In ihrer Keynote plädierte sie für eine aktive Störung in der Praxis und zeigte auf, wie Google daran arbeitet, den Operationen von Angreifern messbare Kosten aufzuerlegen, anstatt Angriffe lediglich abzuwehren.
Die Veranstaltung „Disrupting Cybercrime Networks, Successfully, Continuously, and at Scale“, die von führenden Vertretern des Weltwirtschaftsforums, der Microsoft Digital Crimes Unit, von Fortinet, INTERPOL und Cybercrime Atlas ausgerichtet wurde, lieferte einen praktischen Leitfaden dafür, wie eine solche Zerschlagung in der Praxis aussieht.
Die Referenten erörterten, wie Strafverfolgungsbehörden und die Privatwirtschaft zusammenarbeiten können, um Botnetze und sogenannte „Bulletproof“-Hosting-Anbieter zu zerschlagen – jene Infrastruktur, die Cyberkriminalität in großem Stil erst ermöglicht. Das Schlüsselwort im Titel der Sitzung lautet „kontinuierlich“. Die einmalige Zerschlagung eines Botnetzes führt nur zu einer vorübergehenden Störung. Der Aufbau der rechtlichen, technischen und organisatorischen Infrastruktur, um dies wiederholt durchführen zu können, ist es, was kriminelle Aktivitäten tatsächlich einschränkt. Dies steht in engem Zusammenhang mit dem Modell hinter WhoisXML APIInternet Abuse Signal Collective (IASC)WhoisXML API, einer Initiative zum Datenaustausch, die Organisationen zusammenbringt, um Daten zu Internet- und Bedrohungsinformationen auszutauschen und eine gemeinsame Transparenz zu fördern.
Sehen Sie nach, wohin unser Team als Nächstes reist, und besuchen Sie uns bei diesen bevorstehenden Veranstaltungen!
Über die WhoisXML API
WhoisXML API ein erfahrener OEM-Datenanbieter, der sich auf die Bereitstellung gut aufbereiteter, normalisierter und umfassender WHOIS-, IP- und DNS-Daten spezialisiert hat. Mit mehr als 15 Jahren Branchenerfahrung haben wir ein umfangreiches Datenrepository aufgebaut, das mehr als 23,8 Milliarden historische WHOIS-Einträge, über 50 Milliarden Hostnamen, mehr als 116 Milliarden DNS-Einträge, über 10,5 Millionen IP-Netzblöcke sowie eine Abdeckung von 99,5 % der aktiven IPv4- und IPv6-Adressen umfasst.
Wir bieten eine breite Palette an Lösungen für Domains, DNS und andere Bereiche der Internet-Intelligence, die über umfassende Datenbanken, sichere APIs und intuitive Web-Benutzeroberflächen bereitgestellt werden. Unabhängig vom Nutzungsmodell bilden unsere Intelligence-Lösungen eine solide Grundlage für führende Cybersicherheitsprodukte und -dienstleistungen. Dabei nutzen wir die Fähigkeiten der KI-basierten prädiktiven Analyse sowie Domain-Telemetrie, um Unternehmen die frühzeitige Erkennung potenziell bösartiger Web-Inhalte zu ermöglichen.
WhoisXML API genießt das Vertrauen von mehr als 52.000 zufriedenen Kunden aus den Bereichen Cybersicherheit, Marketing, Strafverfolgung, E-Commerce und Finanzdienstleistungen. WhoisXML API seit jeher für sein rasantes Wachstum und seine Innovationskraft gewürdigt und wurde mehrfach ausgezeichnet, unter anderem als Inc. 5000-Preisträger und als eines der am schnellsten wachsenden Unternehmen der Financial Times.