Ich bin das SOC. Ein-Mann-Show, aber das ist ein anderes Thema. Die EDR eines namhaften Firewall-Herstellers spült mir pro Tag fünf bis zehn Events auf den Tisch. Jedes einzelne muss bewertet werden: Observables checken, Kontext holen, plausibilisieren, entscheiden. Der größte Zeitfresser war nie die Bewertung selbst. Es war das Zusammentragen der Informationen.
Ein Event kommt rein, ich sehe IPs, Hashes, URLs, Prozessketten. Dann fängt die Arbeit an: IP bei AbuseIPDB prüfen, Hash bei VirusTotal, URL bei URLScan.io, Vergleich mit dem helpdesk-Ticket-System, schauen ob es da Korrelationen gibt, und dann noch überlegen, ob andere Firmen gerade ähnliche Meldungen haben – false positives wegen eines Windows-Updates zum Beispiel, das plötzlich ein bekanntes Tool als verdächtig einstuft. Das sind schnell 25 Minuten pro Fall. Multipliziert mit fünf bis zehn Events pro Tag und es frisst den halben Arbeitstag.
Die Lösung war nicht, dass ich programmieren gelernt habe. Sondern dass n8n einen MCP-Server bietet.
Ich bin kein Entwickler. Ich weiß aber genau, welche Informationen ich für eine zuverlässige Analyse brauche. Der Workflow läuft jetzt so: n8n erhält das rohe Event, extrahiert die Observables, reichert sie an – je nach Typ über AbuseIPDB, VirusTotal, URLScan.io. Parallel schaut er, ob es aktuelle Trends im Netz gibt, die das Event erklären könnten. Ein Hersteller-Update, eine bekannte Fehlkonfiguration, eine Welle von false positives bei anderen Unternehmen.
Alles das fließt zusammen und wird einem LLM übergeben, das eine Bewertung schreibt. Besonders gut funktioniert das bei der Prüfung von Prozessketten: Ein Prozess startet einen zweiten, der greift auf eine DLL zu, und am Ende interagiert das Ganze mit einem Cloud-Dienst. Ist das plausibel oder nicht? Die KI erkennt Muster und Unstimmigkeiten in diesen Ketten oft auf den ersten Blick – was mir früher minutenlanges Nachverfolgen von Eltern- und Kindprozessen erspart hat. Und weil n8n als Orchestrator agiert, bin ich beim Modell nicht festgelegt. Ich kann ein günstiges Online-Modell nehmen, wenn's schnell gehen muss, oder ein lokales, selbst gehostetes, wenn sensible Daten im Spiel sind. Die Flexibilität zahlt sich direkt aus.
Die KI entscheidet nicht. Sie empfiehlt. Ich lese die Zusammenfassung, prüfe die Logik, stimme zu oder korrigiere. Fälle, die nicht plausibel sind, werden automatisch markiert, damit ich genauer hinschaue. Und die Dokumentation, die früher aufwändig selbst geschrieben werden musste, liegt jetzt fertig auf dem Tisch.
Gebaut habe ich den Workflow, indem ich Claude Code über den MCP-Server einfach beschrieben habe, was ich mir vorstelle. Das Tool hat den n8n-Flow umgesetzt. Kein Python, kein JSON von Hand schreiben, keine tiefe API-Dokumentation wälzen. Nur: „Hol mir die Observables aus dem Event, frag die APIs ab, gib das Ganze dem LLM mit der Bitte um eine Bewertung." Der Flow stand in Minuten, nicht Tagen.
Der zeitliche Vorteil im SOC-Prozess ist enorm. Warum das wichtig ist: Im Zweifel entscheiden Minuten darüber, ob ein Angriff abgefangen wird oder durchrutscht. Dass ich dafür kein Entwickler sein muss, macht den Unterschied. Das demokratisiert die Automatisierung – und genau darum geht's.