Drei vLLM-Engines in der Arena: KI-SPEZIAL SecOps, SIEM LLAMA, MiniMax. Alle on-prem in Deutschland. Honey-Canary-Frühwarnung. DEFCON-Automatik. Gerichtsfeste PDF-Meldungen mit SHA-512-Signatur. Ein SIEM, das sich selbst erklärt – und keinerlei Kundendaten an OpenAI, Anthropic oder DeepSeek verliert.
Nicht OpenAI. Nicht Anthropic. Nicht DeepSeek. Sondern drei spezialisierte vLLM-Engines in unserer eigenen GPU-Cloud in Deutschland: KI-SPEZIAL SecOps, SIEM LLAMA und MiniMax – die sich gegenseitig prüfen und widersprechen dürfen. Der Analyst sieht jede Stimme, jeden Score, jede Quelle.
Jeder Alert wird parallel durch alle vier Engines geschickt. Stimmen sie überein, greift die Automatik. Widersprechen sie sich, wird der Analyst eingeschaltet – mit allen Scores, Begründungen und Quellenzitaten aus Ihren Playbooks.
Acht Funktions-Bereiche, 14 Screenshots aus dem produktiven Betrieb. Alle Screenshots mit einem Klick in voller Auflösung.
Alle Mandanten, DEFCON-Level, offene Alerts, Meldepflicht-Timer, Suspicion-Scores und Top-Actors – auf einer Ansicht. Analysten behalten ohne Kontextwechsel die Kontrolle.
Timeline, IoCs, betroffene Assets, Containment-Schritte, forensische Artefakte, Kommunikation – lückenlos dokumentiert. Direkt als SHA-512-signiertes PDF exportierbar.
Jeder Alert durchläuft alle vier Engines parallel. Bei Konsens ist die Automatik schnell. Bei Dissens holt die Plattform den Analysten ins Boot – mit allen Scores, Begründungen und ATT&CK-Klassifikationen.
Jede KI-Empfehlung zitiert Quellen aus Ihren SOC-Playbooks, Runbooks und Security-Policies. Analyst sieht: welche Passage hat welchen Vorschlag ausgelöst. Kein Halluzinieren.
Netzwerk-Isolation, Account-Disable, Session-Kill, VM-Snapshot – alles über dokumentierte Playbooks ausführbar. Kein Tool-Jonglieren, kein Skript-Chaos.
Meldepflichtige Alerts werden automatisch markiert. Entwurf wird vorausgefüllt, vom Analysten bestätigt, als SHA-512 + HMAC signiertes PDF gespeichert. Mit Verify-URL für spätere Nachprüfbarkeit.
Jedes überwachte System mit Schutzbedarf, Risiko-Score, Patch-Stand – und die Rule-Quality-Matrix zeigt, welche Engine welche ATT&CK-Technik wie zuverlässig erkennt.
Sauberes Tenant-Modell, Background-Queue für schwere Jobs (Embeddings, Enrichment, Rendering). Vom MSP mit 20 Kunden bis zum Konzern – ohne Re-Platforming.
Aus Suspicion-Score, Engine-Arena-Konsens und Actor-Profil berechnet die Plattform automatisch das aktuelle DEFCON-Level je Mandant. Jedes Level hat ein definiertes Playbook – vom Normalbetrieb bis zum Tenant-weiten Containment.
Jeder Event durchläuft die gleiche transparente Pipeline. Keine versteckten Blackboxes. Jede Stage ist horizontal skalierbar, je Mandant isoliert, vollständig auditierbar.
syslog, JSON, Windows Event, Cloud-APIs, EDR-Telemetrie
ingest.normalize()
GeoIP, Threat-Intel, Asset-Kontext, User-Behavior
enrich.actor()
Sigma-Regeln, Anomalie-Detection, Honey-Canary-Trigger
detect.sigma()
Vier vLLM-Engines, Konsens-Vote, RAG-Begründung
arena.evaluate()
DEFCON-Shift, Playbook-Ausführung, signierte Meldung
respond.playbook()
Die Plattform spricht die Sprache Ihrer Bestandssysteme. SIEM, EDR, Cloud, Netzwerk, E-Mail, Identity – über 60 native Connectors, plus beliebige Syslog/JSON-Quellen.
Banken, Versicherungen, Stadtwerke, Energieversorger – jede Branche hat eigene Bedrohungslage und eigenes Regulierungsgeflecht. Die Plattform ist für KRITIS, NIS2, DORA, BAIT/VAIT und den IT-Sicherheitskatalog der BNetzA ausgelegt.
Ab dem 17. Januar 2025 ist DORA (Digital Operational Resilience Act) verbindlich. Meldepflichten für schwerwiegende IKT-Vorfälle binnen 4 Stunden, penible Dokumentation jeder SOC-Entscheidung, IT-Drittparteirisiken. Unsere Plattform liefert diese Nachweise ab Tag 1 – signiert, mandantenfähig, auditierbar.
Die Engine-Arena erkennt eine MT103-Nachricht mit ungewöhnlichem Korrespondenzbank-Pfad. KI-SPEZIAL SecOps: 96, SIEM LLAMA: 94, MiniMax: 91 – Konsens 93,7 %. Die Plattform kickt automatisch das Playbook contain_swift_fraud: MT-Gateway pausiert, Treasury-CISO wird geweckt, DORA-Entwurf an BaFin vorausgefüllt, SHA-512-PDF nach 4h erstellt. Dauer bis zur Meldung: 2h 12m.
Lebensversicherer und Krankenversicherer verarbeiten besonders schützenswerte Daten nach Art. 9 DSGVO. Die BaFin-VAIT fordert dokumentierte Überwachungs- und Reaktionsprozesse. Ab 2025 kommt DORA dazu. Die Plattform deckt DSGVO-Meldepflicht (72h), VAIT-Monitoring und DORA-Meldekette in einem Workflow ab.
Ein Makler-Account löst plötzlich Full-Table-Scans auf der Krankenakten-DB aus. Der Honey-Canary-Record vip_patient_archive wird gelesen – automatisch DEFCON 2. Die Plattform isoliert den Account, fordert 4-Augen-Freigabe für weitere Schritte, startet den DSGVO-72h-Entwurf. Tenant der Krankenversicherung ist containt, andere Sparten (Life, Sach) bleiben unberührt – kein Übergreifen des Incidents auf den Konzern.
Strom, Wasser, Gas, Fernwärme – Stadtwerke sind KRITIS-Betreiber mit besonderen Pflichten aus EnWG §11 Abs. 1a und dem IT-Sicherheitskatalog der BNetzA. Die Plattform korreliert IT- und OT-Telemetrie, ohne in die Leittechnik einzugreifen. Read-only, segmentiert, NIS2-ready.
Ein Engineering-Laptop öffnet plötzlich eine Session zur HMI im Umspannwerk außerhalb der Wartungsfenster. Die Arena erkennt das abweichende DNP3-Muster. Containment läuft ausschließlich IT-seitig: Engineering-Netz-Segment wird isoliert, der HMI-Zugriff wird über die Firewall blockiert. Das Umspannwerk bleibt voll betriebsfähig, keine Netz-Versorgung unterbrochen. Gleichzeitig startet der BNetzA-Meldeprozess unverzüglich plus 24h-Folgebericht.
Übertragungsnetzbetreiber, Verteilnetzbetreiber und große Kraftwerksbetreiber sind Ziel von Sandworm, BlackEnergy und APT-Gruppen. Der IT-Sicherheitskatalog der BNetzA und der branchenspezifische Sicherheitsstandard B3S Strom fordern ein dediziertes SIEM mit 24/7-Auswertung. Wir liefern es – on-prem, deutsch, auditierbar.
Ein bekannter Volt-Typhoon-C2-Host wird von einem Jumphost der Leittechnik kontaktiert. Engine-Arena-Konsens: 98 % – DEFCON 1. Containment läuft IT-seitig: Jumphost isoliert, alle Fernwartungs-Sessions terminiert. Die Leittechnik bleibt über redundante Pfade erreichbar, die Netzstabilität ist ungefährdet. BSI-KRITIS-Meldung binnen 47 Minuten, BNetzA-Folgebericht nach 18h – alle Artefakte SHA-512-signiert im Audit-Archiv.
Null Telemetrie nach Hause, Null Cloud-KI, Null Tracker. Signierte Builds, Hardening nach CIS Benchmark, Zero-Trust-Architektur intern. Auditierbar bis auf die Bit-Ebene.
Alle Logs, Embeddings, KI-Inferenz und Reports bleiben auf HostSpezial-Infrastruktur in Deutschland. Keine Third-Party-Tracker, keine Cloud-KI.
DSGVOKRITISmTLS zwischen allen Services, Workload-Identity, kurzlebige Tokens. Kein Service vertraut einem anderen blind – auch intern nicht.
mTLSSPIFFEContainer-Images signiert mit cosign, Supply-Chain über SBOM nachvollziehbar. Reproduzierbare Builds, keine Runtime-Überraschungen.
SBOMcosignJedes PDF mit SHA-512-Hash, HMAC-Signatur, Zeitstempel und öffentlich prüfbarer Verify-URL. Rechtssicher für Versicherung und Behörden.
SHA-512HMACDatenbank-, Netzwerk- und KI-Inferenz je Mandant isoliert. Analyst eines Tenants sieht niemals Daten eines anderen – auch nicht versehentlich.
RBACMulti-TenantAlle Container gehärtet nach CIS Docker Benchmark, Hosts nach CIS Linux. Regelmäßige Pentests, öffentliches Security-Policy, Bug-Bounty.
CISPentestKein Sales-Pitch, kein PowerPoint. Unsere Analysten zeigen die Plattform live — Engine-Arena, DEFCON-Automatik, Honey-Canary, signierter NIS2-PDF-Export. Danach unverbindliches Angebot basierend auf Ihrem Schutzbedarf.
Wir melden uns innerhalb von 24 Stunden (Mo–Fr) mit Terminvorschlägen für die Live-Demo.
Technisch tief, rechtlich sauber. Weitere Fragen? Sprechen Sie direkt mit unseren Analysten.
Drei spezialisierte vLLM-Engines bewerten parallel jeden Alert: KI-SPEZIAL SecOps als Security-Spezialmodell, SIEM LLAMA für Kontext- und Log-Analyse, MiniMax als unabhängige Audit-Engine. Einigen sie sich > 85 %, greift Automatik. Bei Dissens eskaliert die Plattform an den Analysten. Jede Entscheidung wird mit allen Engine-Votes geloggt.
Ja. Alle drei Engines (KI-SPEZIAL SecOps, SIEM LLAMA, MiniMax) laufen auf HostSpezial-GPU-Hardware in deutschen Rechenzentren. Keine Daten gehen an OpenAI, Anthropic, DeepSeek, Google oder andere externe Cloud-Anbieter. Die Inferenz findet im Kunden-Tenant statt. Grundvoraussetzung für KRITIS und NIS2.
Fünf Eskalations-Stufen, aus Suspicion-Score, Engine-Arena-Votes und Actor-Profil berechnet. Jede Stufe löst definierte Playbooks aus – von erhöhter Log-Retention über Teil-Containment bis Tenant-weitem Lockdown.
Honey-Canaries sind scheinbar reguläre, aber ungenutzte Ressourcen: Konten, Shares, API-Endpoints, DB-Rows. Jeder Zugriff ist per Definition verdächtig – Insider oder laterale Bewegung. Die Plattform deployt sie automatisch, korreliert Zugriffe mit Suspicion-Score und erkennt Angreifer, bevor klassische SIEMs loggen.
Jeder Export wird SHA-512-gehasht, HMAC-signiert und mit sichtbarer Audit-Seite sowie Verify-URL versehen. Dritte (Versicherung, Gericht, BSI) können die Integrität öffentlich prüfen. Damit beweiswertig, nicht nur dokumentarisch.
Ab Tag eins. Tenant-Isolation auf DB-, Netzwerk- und Inferenz-Ebene. RBAC mit Mandanten-Grenzen. Background-Queue trennt schwere Jobs sauber. MSPs skalieren von 20 Kunden bis zum Konzern ohne Re-Platforming.
Nativ: Wazuh, Elastic, Splunk, QRadar, Graylog, CrowdStrike, SentinelOne, Defender, Sophos, Fortinet, Palo Alto, Cisco, OPNsense, Microsoft 365, Azure, AWS, GCP, AD/Entra, Okta, Proxmox, K8s, ESXi. Plus generisch: Syslog, JSON, Webhook. Keine Lock-ins.
Primär als Managed Service – inkl. 24/7-Analysten. On-Premises-Deployment für Konzerne und Forschung möglich, inkl. Schulung, Playbook-Transfer und Updates. Sprechen Sie uns an.
Ja. Die 4-Stunden-Meldepflicht nach DORA ist als automatisierter Workflow hinterlegt: Alert erkannt, Schwere eingeschätzt, BaFin-Entwurf vorausgefüllt, SHA-512-PDF signiert und innerhalb der Frist eingereicht. Darüber hinaus sind BAIT-, MaRisk-AT-7.2- und SWIFT-CSP-Anforderungen abgebildet – inklusive 10-Jahre-Retention revisionssicher.
Ja. Die Plattform erfüllt §8a BSIG, den IT-Sicherheitskatalog der BNetzA, ISO 27019 und den B3S Strom. OT-Telemetrie wird read-only über passive Taps angebunden – die Leittechnik selbst bleibt unberührt. Containment-Playbooks priorisieren Versorgungssicherheit vor IT-Containment. Die zweistufige BSI-Meldekette (unverzüglich plus 24h-Folgebericht) ist automatisiert.
Die Mandantenfähigkeit ab Tag 1 trennt Tochtergesellschaften sauber – Life, Kranken, Sach sowie ausländische Töchter laufen isoliert nebeneinander. Jeder Tenant hat eigene Regeln, Playbooks und DEFCON-Level. DSGVO-Meldungen (72h) werden pro Tenant erstellt. Analysten sehen nie Daten aus einem anderen Tenant – auch nicht versehentlich.
30-minütige Live-Demo mit echten Daten – Engine-Arena, DEFCON-Automatik, gerichtsfester PDF-Export. Anschließend unverbindliches Angebot.