KI-Agenten automatisieren jetzt die Firewall-Pflege

Firewall-Regelwerke wachsen jahrelang mit, bis niemand mehr genau weiß, wofür die Hälfte der Einträge eigentlich noch gebraucht wird. Genau in dieses Chaos schicken Sicherheitsanbieter jetzt KI-Agenten – nicht als Spielerei, sondern weil die Zeit zwischen einer bekannt gewordenen Lücke und ihrer aktiven Ausnutzung inzwischen von Jahren auf Stunden geschrumpft ist. Check Point, Palo Alto Networks, Cisco und Fortinet bauen deshalb parallel an Systemen, die Firewall-Regeln nicht mehr manuell pflegen lassen, sondern aus einer in natürlicher Sprache formulierten Absicht ableiten. Der Mensch sagt, was er will – die Firewall-Regeln erledigt der Agent.

Klingt nach einem netten Feature. Ist aber, ehrlich gesagt, eine Notwendigkeit. Wer schon einmal versucht hat, ein gewachsenes Regelwerk mit mehreren tausend Einträgen händisch zu bereinigen, weiß: Das ist keine Fleißaufgabe, das ist ein Himmelfahrtskommando. Ein einzelnes falsch gesetztes Zeichen in einer Zugriffsregel reicht, und statt eines Ports steht plötzlich der gesamte Verkehr offen.

Warum gewachsene Firewall-Regeln zum Sicherheitsrisiko werden

In dynamischen Rechenzentren ändert sich die Netzstruktur permanent. Auto-Scaling in der Cloud, containerisierte Workloads unter Kubernetes und verteilte Standorte verschieben die Topologie schneller, als ein Team von Hand nachziehen kann. Über Jahre gewachsene Regelsätze enthalten laut einer aktuellen Analyse auf Security-Insider zahllose veraltete Einträge, die schlicht niemand mehr bereinigt. In großen Umgebungen kollidieren Regeln miteinander, es entstehen Race Conditions und Deadlocks, und widersprüchliche Einträge öffnen Zugänge, die eigentlich niemand beabsichtigt hat.

Fehlkonfiguration zählt seit Jahren zu den häufigsten Ursachen erfolgreicher Firewall-Angriffe – und die Ursache liegt fast immer in der Pflege der Regeln, nicht in der Technik selbst. Microsegmentierung und workload-nahe Richtlinien begrenzen den Schaden im Einzelfall, erhöhen aber gleichzeitig die Zahl der zu verwaltenden Regeln. Ein Teufelskreis, den reine Manpower nicht mehr durchbricht. Wie hoch der finanzielle Schaden ausfallen kann, wenn genau solche Lücken ausgenutzt werden, zeigt der aktuelle IBM-Report zu den Rekordkosten von Datenlecks mit KI-Beteiligung deutlich.

Absicht statt Einzelregel: Wie die KI-Agenten arbeiten

Die agentische Orchestrierung dreht das bisherige Prinzip der Regelverwaltung um. Statt einzelne Einträge zu pflegen, formulieren Administratorinnen und Administratoren eine Absicht in natürlicher Sprache – etwa die Sperre einer Anwendung für einen bestimmten Nutzer –, und das System leitet daraus die passenden Regeln ab und verteilt sie automatisch über die Infrastruktur. Check Point ordnet diesen Ansatz in eine Strategie aus mehreren Säulen ein, zu denen Hybrid Mesh Network Security, Workspace Security und Exposure Management zählen, mit Threat Intelligence als gemeinsamer Grundlage.

Thomas Boele, Global Director Solutions Engineering für AI Security bei Check Point, bringt den Nutzen so auf den Punkt: „Die Komplexität nimmt zu, aber mit natürlicher Sprache lege ich das gewünschte Ergebnis fest und ziehe eine zusätzliche Abstraktionsschicht ein. Statt eine Schutzregel über alle Standorte manuell auszurollen, genügt die Vorgabe, dass ein bestimmter Nutzer eine Anwendung nicht verwenden darf, den Rest leitet das System selbst ab.“ Nach Angaben des Herstellers löst diese Abstraktionsschicht den Rollout über mehrere Hundert Standorte von der fehleranfälligen Handarbeit.

Damit die Agenten überhaupt verlässlich handeln können, brauchen sie ein aktuelles Modell des Netzes. Check Point setzt dafür einen sogenannten Network Knowledge Graph ein, der die Topologie dynamisch abbildet und sich aus Flow-Daten, Telemetrie von Zehntausenden Feldsystemen und über 2.000 Schnittstellen fremder Hersteller speist. Verändert sich die Umgebung durch Auto-Scaling oder das Starten und Stoppen von Containern, aktualisiert sich das Modell entsprechend – die Agenten setzen also nicht auf einer veralteten Sicht auf.

Auch Wettbewerber setzen auf KI-Agenten in der Netzwerksicherheit

Check Point steht mit diesem Ansatz nicht allein. Palo Alto Networks hat mit Cortex AgentiX eine eigene Plattform für autonome Sicherheitsagenten vorgestellt, in der ein Network Security Agent Bedrohungsreaktion, Richtliniensteuerung und Netzwerkverwaltung über eigene und fremde Firewalls hinweg orchestriert. Folgenreiche Aktionen bindet Palo Alto dabei an eine ausdrückliche menschliche Freigabe und an rollenbasierte Zugriffskontrollen.

Cisco bringt intent-basierte Richtliniendurchsetzung in seine Mesh-Firewall-Familie und deckt damit den kompletten Lebenszyklus einer Zugriffsregel ab, von der Bereitstellung bis zur Außerbetriebnahme. Fortinet erweiterte FortiOS im März 2026 mit Version 8.0 um KI-Governance-Funktionen für agentische Abläufe, inklusive Sichtbarkeit für Model Context Protocol und Agent-zu-Agent-Kommunikation. Klassische Policy-Orchestrierung über mehrere Hersteller decken zusätzlich Spezialisten wie AlgoSec und Tufin ab. Der Markt bewegt sich also mit vergleichbaren Ansätzen in dieselbe Richtung – die Unterschiede liegen vor allem in der Datengrundlage und der Tiefe der Multi-Vendor-Integration.

Für Unternehmen in Deutschland ist das mehr als eine technische Randnotiz. Die meisten Konzerne betreiben selten nur die IT eines einzigen Herstellers, und genau dort wird der Multi-Vendor-Bezug praktisch relevant: Check Point verfolgt mit einem offenen Integrationsmodell den Anspruch, Schwachstellen auch in Fremdsystemen zu korrigieren und Daten aus verbreiteten Schwachstellenscannern einzubeziehen. Die 2025 übernommene Plattform Veriti steuert dabei die automatisierte Behebung über mehrere Hersteller hinweg, ohne den laufenden Betrieb zu unterbrechen. Welche Rechte, Log-Pflichten und Not-Aus-Mechanismen ein Unternehmen solchen Agenten überhaupt zugestehen sollte, haben wir bereits in unseren sieben Grundregeln für KI-Agenten im Unternehmen zusammengefasst.

Wie viel Autonomie darf ein KI-Agent im Netzwerk haben?

Wer bei „autonomer Agent mit Schreibrechten auf das Firewall-Regelwerk“ nervös wird, liegt damit nicht falsch. Die Autonomie der Agenten ist deshalb bei allen Anbietern abgestuft. Boele beschreibt für Check Point ein Modell aus vier Modi, die von der Beobachtung über die Orientierung und die Entscheidung bis zur eigentlichen Handlung reichen: „Der Mensch legt die Richtlinien, die Umgebung und das gewünschte Ergebnis fest, an dieser Stelle bleibt die Kontrolle bei den Menschen. Geht es um Sekunden, muss das System automatisch handeln.“ Fred Streefland, CISO EMEA bei Check Point, fasst das Prinzip pointiert zusammen: „Die Agenten erledigen die Arbeit, die Aufsicht bleibt beim Menschen.“

Ohne Freigabe handeln die Agenten nur in wirklich zeitkritischen Lagen – etwa wenn eine global verteilte Bedrohungsbeobachtung an teilnehmende Systeme ausgerollt wird und eine Rückfrage die Reaktion messbar verzögern würde. Trennt ein Team Netzsegmente vollständig, erfolgt der Eingriff dagegen weiterhin manuell, die Aufsicht verbleibt beim Security Operations Center und dem Management. Diese Trennung zwischen menschlicher Absicht und maschineller Ausführung findet sich auch bei den Wettbewerbern: Palo Alto bindet Aktionen mit großer Tragweite ausdrücklich an rollenbasierte Zugriffskontrollen und eine explizite Bestätigung.

Für Sicherheitsverantwortliche zählt am Ende vor allem eines: Nachvollziehbarkeit. Jede automatisch durchgesetzte Regel muss sich im Nachgang einer konkreten Person und einer konkreten Absicht zuordnen lassen. Ohne durchgängige Protokollierung verschiebt eine autonome Durchsetzung das Risiko nämlich nur von der klassischen Fehlkonfiguration zur unkontrollierten Automatisierung – und das wäre kein Fortschritt, sondern ein Rückschritt mit besserer Marketing-Story.

Die Agenten selbst werden zum neuen Schutzobjekt

Mit der Autonomie wächst zwangsläufig eine neue Angriffsfläche, und die liegt diesmal nicht im Netzwerk, sondern im Agenten selbst. Ein Sprachmodell liefert auf dieselbe Anfrage unter Umständen unterschiedliche Antworten, und diese Unvorhersehbarkeit verträgt sich schlecht mit der verbindlichen Durchsetzung von Sicherheitsregeln. Boele bringt das Problem so auf den Punkt: „Wenn ich zehnmal dieselbe Frage stelle, bekomme ich womöglich zehn verschiedene Antworten. Ich brauche also eine gewisse Vorhersehbarkeit, und dafür braucht es eine Schicht, die in die Modelle hineinschaut und sicherstellt, dass sie sich an die Regeln halten.“

Check Point hat die eigene Orchestrierung deshalb um eine zusätzliche Prüfschicht ergänzt. Der über die Übernahme von Deepchecks eingebrachte Evaluierungs-Layer kontrolliert das genutzte Foundation Model auf versteckte Verzerrungen und prüft, ob sich die Modelle tatsächlich an die gesetzten Regeln halten. Runtime-Schutz aus der Übernahme von Lakera und die Governance autonomer Agenten aus der Cyata-Akquisition sollen die Agenten zusätzlich gegen Manipulation und gegen die Ausführung schädlicher Anweisungen absichern – ein Thema, das seit dem autonomen Ausbruch eines böswilligen KI-Agenten aus einer Hugging-Face-Testumgebung auch außerhalb von Fachkreisen ernster genommen wird.

Prompt-Injection, manipulierte Trainingsdaten und unkontrollierte Agent-zu-Agent-Kommunikation gehören zu den Risiken, die ein Betrieb vor der Übergabe von Durchsetzungsrechten an autonome Komponenten bewerten muss. Ein kompromittierter oder fehlgeleiteter Agent mit Schreibrechten auf das Firewall-Regelwerk richtet größeren Schaden an als eine einzelne menschliche Fehlkonfiguration, denn er wirkt potenziell über viele Systeme gleichzeitig. Die Branche reagiert mit eigenen Kontrollmechanismen: Fortinet stellt mit FortiOS 8.0 beispielsweise Sichtbarkeit für Agent-Kommunikation und Modellzugriffe bereit, um genau solche Ketten früh zu erkennen.

Was das für deutsche IT-Teams praktisch bedeutet

Marktforscher Gartner geht davon aus, dass Organisationen mit starkem Fokus auf abteilungsübergreifende Sicherheitsmaßnahmen bis 2028 mindestens 50 Prozent weniger erfolgreiche Cyberangriffe verzeichnen könnten. Das ist eine Prognose, keine Garantie – und sie hängt nach Einschätzung der Analysten weniger an der einzelnen Lösung als an der konsequenten Umsetzung über Teams und Abteilungsgrenzen hinweg. Wer also glaubt, mit der Installation eines einzelnen KI-Agenten sei das Thema Firewall-Hygiene erledigt, irrt sich gewaltig.

Für deutsche IT-Abteilungen heißt das konkret: Bevor überhaupt ein Agent Schreibrechte auf ein Regelwerk bekommt, braucht es eine klare Antwort auf drei Fragen. Wer trägt die Verantwortung, wenn eine automatisch abgeleitete Regel den falschen Datenverkehr freigibt? Welche Aktionen dürfen ohne Freigabe laufen, und welche zwingend nicht? Und wie wird jede einzelne Aktion so protokolliert, dass sie sich später einer Person und einer Absicht zuordnen lässt? Ohne diese drei Antworten bleibt jede Investition in agentische Firewall-Steuerung ein Blindflug mit sehr teurem Autopiloten.

Die gute Nachricht dabei: Anders als bei vielen anderen KI-Agenten-Trends handelt es sich hier nicht um ein reines Zukunftsversprechen. Mit Check Point, Palo Alto Networks, Cisco, Fortinet und den auf klassische Policy-Orchestrierung spezialisierten Anbietern AlgoSec und Tufin existieren bereits mehrere produktionsreife Ansätze parallel im Markt. Wer als IT-Verantwortlicher jetzt evaluiert, muss sich also nicht auf einen einzelnen Anbieter verlassen – aber genau deshalb lohnt sich ein nüchterner Blick auf Protokollierung, Freigabeprozesse und die tatsächliche Tiefe der Multi-Vendor-Integration, bevor die erste Regel automatisch ausgerollt wird.

Was am Ende zählt, ist nicht die Geschwindigkeit der Automatisierung allein, sondern ob sie nachvollziehbar bleibt. Ein Agent, der in Sekunden reagiert, aber niemand mehr erklären kann, warum – das ist keine Modernisierung der IT-Sicherheit, sondern nur eine neue Form von Unübersichtlichkeit. Die Unternehmen, die diesen Unterschied jetzt verstehen und Protokollierung, Rollen und Freigabeprozesse von Anfang an mitdenken, werden 2028 nicht zufällig zu Gartners besseren 50 Prozent gehören – alle anderen verwalten dann vermutlich immer noch dieselben veralteten Regelwerke, nur eben ein Stück schneller kaputt.