Sicherheit, die nicht auf Montag wartet.

Alle zehn Minuten fragt Sentinel jeden Server, welche Sicherheitsupdates offen sind. Auch die, die apt zurückhält, meist ein neuer Kernel.

Für das Lagebild holt Sentinel drei Kataloge ganz herein: die aktiv ausgenutzten Lücken der US-Behörde CISA, die Ubuntu-Sicherheitshinweise und die Ausnutzungswahrscheinlichkeit EPSS von FIRST. Abgeglichen wird in der Steuerzentrale, stündlich, gegen das, was auf jedem Server wirklich installiert ist und wirklich lauscht. Über Ihre Server geht dabei keine Angabe nach draußen.

Heraus kommt keine Liste mit 400 CVE-Kennungen, sondern eine Zahl je Lücke, die vier Fragen beantwortet: Trifft sie uns? Wird sie ausgenutzt? Ist der Dienst von außen erreichbar? Gibt es den Fix? Dazu die Frist der US-Behörde, die Ransomware-Markierung und ein Satz, was zuerst zu tun ist. Was Sie trifft und ausgenutzt wird, steht als Befund mit Knopf auf der Sicherheitsseite und kommt als Meldung.

„Keine Treffer“ und „nicht betroffen“ sind zwei verschiedene Aussagen. Sentinel hält sie auseinander und sagt bei jeder Prüfung, was es nicht prüfen konnte.

Sicherheitsupdates spielt Sentinel ein, sobald Ubuntu oder Debian sie liefert. In der Regel binnen einer Stunde, auch nachts, am Wochenende und in Sperrzeiten.

Jeder Lauf hat denselben Rahmen. Erst prüft Sentinel den Server, und steht dabei etwas auf Rot, greift es nicht ein. Dann hält es den Paketstand fest, bei größeren Eingriffen samt Sicherung der Konfiguration. Nach dem Update kommt dieselbe Prüfung noch einmal.

Hakt etwas, startet Sentinel stehende Dienste neu. Reicht das nicht, gehen Pakete und Konfiguration auf den alten Stand. Gelingt auch das nicht, stoppt Sentinel die Automatik dieses Servers, bis Sie sie wieder freigeben, und alarmiert Sie, auch nachts. Passiert das binnen 24 Stunden an einem zweiten Server, steht die Automatik überall.

Alles Größere läuft nur im Wartungsfenster: weitere Updates, neue Kernel, Neustarts. Ab Werk ist das 3 bis 5 Uhr, nicht am Wochenende und nicht an Feiertagen in NRW.

Um drei Uhr nachts entsteht eine ernste Akte: ein neues Konto, ein fremder Schlüssel, ein Zeitplan, der ein Skript aus dem Netz nachlädt. Sentinel sichert die Beweise. Dann liest eine KI den gefilterten Auszug und schreibt binnen einer Minute auf, was passiert ist, welche Spuren das belegen, was wahrscheinlich mit betroffen ist, was noch fehlt und welche Handgriffe aus dem Katalog sie als Nächstes empfiehlt. Mit einer Sicherheit, die sie begründet.

Die Beweise gehen als Daten, nie als Anweisung. Schadsoftware, die der analysierenden KI Sätze zuflüstert, kann die Einschätzung verfälschen, aber nie eine Sperre setzen, eine Datei löschen oder einen Befehl auslösen: Der Ermittler hat keine Werkzeuge, antwortet nur in einem festen Schema und darf lesend nachfordern, aus drei Prüfungen, höchstens dreimal. Jede Empfehlung braucht Ihre Freigabe.

Das ist die Täuschungsprobe von der KI-Seite, jetzt mit Beweis im Produkt. Ohne KI-Schlüssel bleibt alles wie bisher: feste Einschätzung der Regel, Mensch entscheidet.

Wie die KI arbeitet und was sie nie tut →

Die Angreifer haben ihre Agenten schon. Also prüft Sentinel bei jedem Bestand, welche KI auf Ihren Servern läuft: KI-Dienste und Proxys, installierte Agenten-Werkzeuge, Konfigurations- und Umgebungsdateien mit Modellschlüsseln, Container, Zeitpläne. Unter welchem Konto, auf welchem Port, erreichbar aus dem Netz oder nicht.

Daraus werden Befunde mit Dringlichkeit: ein KI-Proxy auf allen Adressen ist hoch, ein Agent als root ist hoch, ein Schlüssel in einer Klartextdatei ist mittel. Gemeldet wird nur der Pfad und die Art des Schlüssels, nie sein Wert. Je Server stellen Sie die Regel ein: erlaubt, nur beobachten, nur ohne root, verboten. Verstöße werden eine Akte mit Vorschlag. Sentinel beendet und entfernt nichts.

Angreifer-KI sucht Schlüssel. Wir legen ihr welche hin. Auf Wunsch legt Sentinel je Server eine Köder-Datei mit erfundenen, eindeutig erkennbaren Schlüsseln aus. Wer sie liest, sucht Schlüssel: Akte, Beweise, Ermittler. Sicherungsprogramme stehen auf einer Ausnahmeliste. Die Steuerzentrale prüft sich dabei selbst mit, sie ist schließlich auch ein KI-Dienst.