SOC-Rollen 2026: Mensch & Agentic AI im Teamwork

Für wen ist dieser Beitrag gedacht?

Dieser Beitrag richtet sich an Security-Verantwortliche, die SOC-Organisationen planen, modernisieren oder mit MDR-/XDR-Services verzahnen. Er ist bewusst auf Profi-Niveau geschrieben: Es geht nicht um KI-Hype, sondern um konkrete Rollen, Verantwortlichkeiten, Übergaben, Risiken und nächste Schritte im Security Operations Center.

• CISOs und Security Manager, die Investitionsentscheidungen für SOC, MDR, XDR, SIEM oder SOAR vorbereiten.
• SOC-Leads, die Tier-1-, Tier-2-, Threat-Hunting- und Engineering-Rollen neu schneiden müssen.
• Detection Engineers, Threat Hunter und Analyst:innen, die wissen wollen, welche Skills künftig wichtiger werden.
• Compliance- und Governance-Verantwortliche, die Human-in-the-loop, Audit-Trails und Eskalationsregeln belastbar gestalten müssen.

Das Wichtigste im Überblick

• Agentic AI verschiebt Routineaufgaben aus Tier 1 und Tier 2, kritische Entscheidungen bleiben beim jedoch Menschen.
• Der wichtigste neue Erfolgsfaktor ist nicht das Modell, sondern ein belastbares Operating Model mit klaren Übergaben, Guardrails und KPIs.
• Tier-1 wird stärker zum Quality Owner, Tier-2 zum Hypothesen- und Entscheidungsarchitekten, Threat Hunting wird strategischer.
• Neue Rollen wie AI-Ops-Engineer, Detection-Engineer, Data-Engineer und Governance-Lead verbinden Technik, Betrieb und Verantwortung.

Warum verändern sich SOC-Rollen durch Agentic AI?

SOC-Rollen verändern sich, weil Agentic AI wiederkehrende Arbeitsschritte über Datenquellen, Tools und Playbooks hinweg ausführen kann. Dadurch verschiebt sich menschliche Arbeit von Sortieren, Kopieren und Nachrecherchieren hin zu Qualitätskontrolle, Hypothesenprüfung, Risikoabwägung und Verantwortung für Entscheidungen.

Der Engpass in vielen Security Operations Centern ist nicht nur die Zahl der Alerts, sondern die fehlende Zeit, diese Alerts mit Kontext zu bewerten. Agentic AI kann Cases vorbereiten: Events clustern, Telemetrie anreichern, erste Hypothesen bilden, MITRE-ATT&CK-Techniken zuordnen, Owner ermitteln und Handlungsvorschläge dokumentieren. Der Mensch entscheidet dann, ob die Beweislage belastbar ist und welche Maßnahme im Geschäftskontext sinnvoll ist.

Der Artikel Agentic AI im SOC: Architektur, Reifegrade & Roadmap ordnet ein, warum Reifegrad, Datenbasis und Operating Model vor der Tool-Auswahl geklärt werden sollten.

Wenn Sie sich mehr zu einer SOC-Modernisierung informieren möchten, finden Sie wichtige Aspekte in unserer Artikel-Serie SOC Transformation: bessere Ergebnisse im SOC.

Welche Aufgaben übernimmt Agentic AI und welche bleiben beim Menschen?

Agentic AI übernimmt vor allem strukturierbare, wiederholbare und dokumentierbare Arbeitsschritte. Menschen bleiben dort unverzichtbar, wo Business-Kontext, Ausnahmeentscheidungen, forensische Bewertung, Eskalation oder Compliance-Verantwortung nötig sind.

Der Artikel Agentic AI operationalisieren: schneller erkennen & reagieren zeigt, wie Detection, Investigation und Response in produktive Workflows übersetzt werden.

Wie verändert sich die Rolle von Tier-1-Analyst:innen?

Tier 1 wird vom Alarm-Sortierer zum Quality Owner. Statt jeden Low-Level-Alert manuell zu triagieren, prüft Tier 1 die Qualität der KI-Vorarbeit, bewertet Stichproben, korrigiert Fehlannahmen und verbessert Regeln, Prompts und Playbooks.

Damit steigt die Rolle fachlich auf: Tier-1-Analyst:innen brauchen mehr Verständnis für Datenqualität, Detection-Logik und Eskalationskriterien. Das Ziel ist nicht, Menschen aus Tier 1 herauszunehmen, sondern Tier 1 von repetitiver Sortierarbeit zu entlasten und in einen lernenden Qualitätskreislauf einzubinden.

• Neue Kernaufgabe: False Positives und False Negatives systematisch analysieren.
• Neuer KPI-Fokus: Triage-Qualität, Re-Routing-Quote, Eskalationsgenauigkeit, Audit-Vollständigkeit.
• Neue Skill-Basis: SIEM/XDR-Grundlagen, Prompt-/Policy-Verständnis, saubere Case-Dokumentation.

Sie möchten Ihr Wissen zum Skill-Aufbau und der Analyst:innen-Qualifizierung vertiefen? Erfahren Sie mehr dazu unter Fast Track SOC Analyst Training.

Was macht Tier 2 im Agentic-AI-SOC anders?

Tier 2 wird vom manuellen Investigator zum Hypothesen-Architekten. Agentic AI liefert vorbereitete Cases mit Timeline, Evidenz, MITRE-ATT&CK-Bezug, Asset-Kontext und Handlungsvorschlägen. Tier 2 prüft, ob die Hypothese stimmt, welche Evidenz fehlt und ob eine Response-Maßnahme vertretbar ist.

Das verändert die Arbeitsqualität: Analyst:innen müssen weniger Zeit in Datensammlung investieren und mehr Zeit in kritisches Denken, Sonderfallanalyse und Entscheidungsvorbereitung. Besonders wichtig wird die Fähigkeit, Agenten-Ergebnisse nicht einfach zu übernehmen, sondern begründet zu challengen.

Der Artikel Autonomes Incident-Management: Tier-2 & Echtzeit-Containment liefert konkrete Beispiele für Account Takeover, Endpoint-Compromise und Lateral Movement in MDR-/XDR-Umgebungen.

Wie verändert Agentic AI Threat Hunting?

Threat Hunting wird strategischer. Agentic AI kann Datenvorbereitung, Hypothesenvarianten, Query-Vorschläge und Reporting beschleunigen. Threat Hunter gewinnen dadurch Zeit für das, was Routine nicht leisten kann: adversary thinking, kreative Hypothesen, Custom Detections und die Übersetzung neuer Erkenntnisse in Detection Engineering.

• Weniger Aufwand für Datenbeschaffung und Normalisierung.
• Mehr Zeit für Hypothesen entlang konkreter Threat Actor TTPs.
• Schnellere Rückführung von Hunting-Ergebnissen in Use Cases, Regeln und Playbooks.
• Bessere Zusammenarbeit zwischen Threat Intelligence, Detection Engineering und Incident Response.

Lesen Sie mehr zur Hunting-Methodik und Beispielabläufen unter CyberSOC Insights: Threat Hunting in der Praxis.

Welche neuen Engineering- und Governance-Rollen entstehen?

Im Agentic-AI-SOC entstehen Rollen, die Security Operations, Datenqualität, Automatisierung und Verantwortung enger verbinden. Der Fokus liegt darauf, Agenten nicht nur technisch bereitzustellen, sondern sie messbar, sicher und auditierbar im Betrieb zu halten.

• Weniger Aufwand für Datenbeschaffung und Normalisierung.
• Mehr Zeit für Hypothesen entlang konkreter Threat Actor TTPs.
• Schnellere Rückführung von Hunting-Ergebnissen in Use Cases, Regeln und Playbooks.
• Bessere Zusammenarbeit zwischen Threat Intelligence, Detection Engineering und Incident Response.

Welche Skills brauchen SOC-Teams künftig?

SOC-Teams brauchen künftig eine Kombination aus klassischer Cybersecurity-Expertise, Daten- und Automatisierungsverständnis sowie Governance-Kompetenz. Die wichtigste Veränderung: Analyst:innen müssen nicht selbst Data Scientists werden, aber sie müssen KI-Ergebnisse bewerten, korrigieren und in Security-Entscheidungen übersetzen können.

• Modellverständnis: Grenzen, Fehlertypen, Confidence-Scores und Evaluationslogik verstehen.
• Prompt- und Policy-Design: Agenten so steuern, dass sie nachvollziehbar und sicher arbeiten.
• Detection Engineering: Use Cases, Telemetrie, Korrelationen und MITRE-ATT&CK-Bezüge sauber abbilden.
• Threat Intelligence: Branchen-, Akteurs- und TTP-Kontext in Priorisierung und Hunting einbringen.
• Governance: Human-in-the-loop, EU AI Act, DSGVO, NIS2/DORA und Audit-Trails operationalisieren.
• Kommunikation: Ergebnisse für IT, Management, Legal und Fachbereiche verständlich priorisieren.

Sie möchten sich mehr zu Human-in-the-loop, Datenresidenz und Auditierbarkeit informieren? Dann finden Sie weitere Informationen in dem Artikel EU-AI-Act & DSGVO im SOC: Pflichten für Agentic AI.

Konkrete Prüffragen für Anbieter, Modelle und Rollback-Mechanismen finden Sie im Beitrag Agentic AI bewerten: Fragenkatalog für Vendor-Due-Diligence.

Welche Risiken entstehen im Mensch-Maschine-Teamwork?

Die größten Risiken entstehen nicht durch Agentic AI allein, sondern durch unklare Verantwortung. Wenn Datenbasis, Guardrails, Eskalationspfade oder Modell-Governance fehlen, kann Automatisierung falsche Entscheidungen schneller skalieren. Deshalb braucht jedes Agentic-AI-SOC klare Grenzen: Was darf der Agent eigenständig tun, was darf er nur vorbereiten und wann muss der Mensch entscheiden?

• Blindes Vertrauen in KI-Ausgaben: Gegenmaßnahme sind Stichproben, Review-Pflichten und Qualitätsmetriken.
• Unklare Freigaben: Kritische Assets, produktive OT-Systeme und forensisch sensible Maßnahmen brauchen menschliche Entscheidung.
• Schwache Datenbasis: Fehlende Identity-, Endpoint- oder Cloud-Signale führen zu falschen Hypothesen.
• Vendor-Lock-in und Intransparenz: Reasoning-Logs, Modell-Updates, Rollback und Datenverwendung müssen vertraglich geklärt sein.
• Compliance-Lücken: DSGVO, EU AI Act, NIS2/DORA und interne Kontrollsysteme müssen im Operating Model berücksichtigt werden.

Fazit: Teams, die KI klug nutzen, gewinnen

Die zentrale Frage lautet nicht „Mensch oder Maschine?“, sondern: Welche Aufgabenteilung passt zu Risiko, Reifegrad und Operating Model? Agentic AI verschiebt SOC-Arbeit in Richtung höherwertiger Analyse, Governance und Qualitätssteuerung. Wer Rollen, Übergaben und Skills früh modernisiert, baut ein SOC-Team, das schneller reagiert, bessere Entscheidungen trifft und Analyst:innen attraktivere Entwicklungspfade bietet.

Orange Cyberdefense bringt diese Erfahrung aus globalen CyberSOCs, MDR-/XDR-Operations, Threat Intelligence und Incident Response ein und unterstützt Unternehmen bei Zielbild, Rollenmodell, Use-Case-Definition, Pilotierung und kontinuierlicher Optimierung.

DerMDR Buyer’s Guide unterstützt Sie bei der Entscheidung, ob ein interner SOC-Ausbau, MDR oder ein hybrides Modell besser zu Ihren Anforderungen passt.

Sie wünschen sich Support? Orange Cyberdefense wurde als Strong Performer in der Forrester Wave™ für MDR Services in Europe, Q3 2025 bewertet.