Anwendungsfälle

Zwölf Szenarien. Eine Appliance.

Jeder Anwendungsfall ordnet ein konkretes Problem eines Käufers einem Zero-Hunt-Workflow zu. Drei pro Säule: Szenario, Problem, Lösung, Ergebnis, Time-to-Value. Jeder hat einen eigenen Anker — verlinken Sie Kollegen direkt auf den Fall, der zu ihrem Gespräch passt.

Säule 1 — Generativer Pentest

Kontinuierliche offensive Validierung. KI-generierter Exploit-Code für jedes Ziel.

Den jährlichen Pentest durch kontinuierliche Validierung ersetzen

⌛ ROI in 30 Tagen gegenüber jährlichen Dienstleisterkosten

Szenario: Sie zahlen einem Pentest-Dienstleister 50.000–150.000 € pro Jahr, und der Bericht ist wenige Wochen nach Übergabe veraltet.
Problem: Ein manueller Pentest ist eine Momentaufnahme. Wenn das PDF eintrifft, hat sich die Angriffsfläche bereits verändert: neue IPs am Perimeter, neue Dienste, neue Zugangsdaten. Der nächste Termin mit der Aufsicht liegt sechs bis zwölf Monate entfernt, und Ihre Nachweise sind schon jetzt veraltet.
Wie Zero Hunt es löst: Planen Sie kontinuierliche Kampagnen auf der Appliance — täglich, wöchentlich oder durch Änderungen ausgelöst (neue IP, neuer Dienst, neue Zugangsdaten). Der Schwarm aus 10 Agenten arbeitet autonom; jedes Finding wird signiert und mit Zeitstempel versehen. Erfahrene Pentester steuern über den Interactive Red Team Chat weiterhin threat-led Kampagnen für die Ermessensentscheidungen, die Menschen besser treffen.
Ergebnis: Ersetzt pro Monat Dienstleisterstunden im Umfang von 1-2 FTE. Die Nachweise sind bei jedem Termin mit der Aufsicht aktuell, nicht nur zur Auditzeit. Die Zeit bis zur Validierung eines neuen Assets sinkt von „beim nächsten Auftrag“ auf „innerhalb einer Stunde“.

Weiterführend:Finanzwesen · DORA Art. 25 →Versorger · NIS2 →NIS2/DORA und das Ende des jährlichen Pentests →

Die Exposition gegenüber einer schwerwiegenden CVE innerhalb von Stunden nach Veröffentlichung validieren

⌛ Stunden statt Quartale pro kritischer CVE

Szenario: Um 22:00 Uhr erscheint eine kritische CVE (Aufnahme in CISA KEV, Hersteller-Advisory, Bericht über Massenausnutzung). Ihr Stack läuft auf der betroffenen Version. Was nun?
Problem: Die übliche Antwort lautet „auf den nächsten geplanten Pentest warten“ — und der kann Quartale entfernt sein. Ein Patch allein zeigt nur, dass sich die Version geändert hat, nicht aber, ob der Angriffspfad in Ihrer Umgebung tatsächlich ausnutzbar war. Ohne Nachweis hat die Frage des Vorstands „Sind wir verwundbar?“ keine belastbare Antwort.
Wie Zero Hunt es löst: Die Appliance verarbeitet kontinuierlich CISA KEV, NVD und Hersteller-Advisories (21 Intelligence-Quellen). Sobald eine relevante CVE erscheint, generiert der Schwarm aus 10 Agenten einen auf Ihre Umgebung zugeschnittenen Exploit, führt ihn in einer Sandbox gegen Ihr Inventar aus und erzeugt ein signiertes Artefakt als Exploit-Nachweis (oder Nachweis der Nicht-Ausnutzbarkeit). Oft noch vor dem Morgen-Standup.
Ergebnis: Die Zeit von der CVE-Veröffentlichung bis zu einem belastbaren Urteil über die Exposition sinkt von Quartalen auf Stunden. Die Frage des Vorstands erhält ein Ja oder Nein mit beigefügten Nachweisen, keine Wahrscheinlichkeit.

Weiterführend:Versorger · NIS2 →Gesundheitswesen →Fall CVE-2026-20182 + 31431 →

Threat-led TLPT-Kampagnen nach TIBER-EU für DORA Art. 26 durchführen

⌛ TLPT-Zyklus im selben Quartal statt mindestens alle 3 Jahre

Szenario: Sie sind ein bedeutendes DORA-Unternehmen (Bank, Versicherer, Zahlungsinstitut) und müssen threat-led Pentests mit dokumentierter Methodik durchführen — mit signierten Nachweisen vom Threat-Intelligence-Input bis zum Abschluss.
Problem: Externe TLPT-Aufträge kosten jeweils 150.000–400.000 €, der Scope wird zum Zeitpunkt der Beschaffung festgeschrieben, und der methodische Audit-Trail wird von Hand zusammengestellt. Ein zweiter Auftrag im selben Jahr ist selten, selbst wenn sich die Bedrohungslage wesentlich ändert.
Wie Zero Hunt es löst: Die Appliance führt TIBER-EU-kompatible TLPT-Kampagnen durch, gestützt auf 21 Live-Threat-Intelligence-Feeds. Die Phasen der Methodik (Bereitstellung der Threat Intelligence → Red-Team-Test → Purple Team → Abschluss) werden nativ nachverfolgt; jedes Artefakt wird signiert und der Reihe nach per Hash verkettet, sodass eine überprüfbare Kette bis zum Threat-Intelligence-Input entsteht. Die Nachweisanforderung der RTS 2025 wird zu einer Abfrage statt zu einem Projekt.
Ergebnis: Nachweise auf TLPT-Niveau auf Abruf, nicht einmal alle 3 Jahre. Die Kosten pro Kampagne schrumpfen auf Rechenzeit. Das Audit-Gespräch mit EBA/Banca d'Italia wandelt sich von „Wo ist die Dokumentation?“ zu „Welcher Zeitraum?“.

Weiterführend:Finanzwesen · DORA Art. 26 →vs Pentera (TLPT) →DORA + NIS2 im Detail →

Säule 2 — AI Traffic Analysis

Erkennung in Leitungsgeschwindigkeit für Aktivitäten, die Endpoint-Lösungen übersehen.

Ransomware während der Verschlüsselung erkennen, nicht danach

⌛ Erkennung in Sekunden statt in Stunden bis Tagen

Szenario: Sie betreiben ein Krankenhaus, einen Fertigungsbetrieb oder eine andere 24/7-Umgebung, in der die mediane Time-to-Impact im Q1 2026 unter 48 Stunden liegt und die Verschlüsselungsphase, einmal gestartet, in 90 Minuten abgeschlossen ist.
Problem: Endpoint-Signale schlagen während der Verschlüsselungsphase an, doch dann ist es zu spät: Dateien sind gesperrt, Backups liefern sich ein Rennen mit der Lösegeldforderung, und die nächsten 6 Stunden bestehen aus Krisenkommunikation. Der Batch-Rhythmus des SIEM (15-Minuten-Fenster bei 24-Stunden-Abfragen) verpasst den Ausbruch vollständig.
Wie Zero Hunt es löst: Säule 2 ist ein Deep-Learning-Modell mit 4 Inferenz-Heads, das auf der GPU der Appliance mit einer Basisleistung von 2,7+ Gbit/s läuft. Es erkennt die Verhaltenssignatur einer laufenden Verschlüsselung — schnelles Auffächern von SMB/NFS-Schreibzugriffen, vorhersehbare laterale Muster, den vorausgehenden Traffic zur Rechteausweitung — während die Aktivität stattfindet. Die Ausgabe erreicht Ihr SOAR innerhalb von Sekunden; die Verbindung zur Dateifreigabe kann getrennt werden, bevor die Verschlüsselung abgeschlossen ist.
Ergebnis: Die mittlere Erkennungslatenz speziell für die Verschlüsselungsphase sinkt von Stunden bis Tagen auf Sekunden bis Minuten. Das Fenster für die Wiederherstellbarkeit öffnet sich, bevor die Verschlüsselung abgeschlossen ist.

Weiterführend:Gesundheitswesen · Ransomware-Ziel Nr. 1 →vs Cymulate (Simulation vs. Erkennung) →Ransomware ohne Verschlüsselung 2026 →

Massenhafte Datenexfiltration erkennen, während sie läuft

⌛ Erkennung während des Bursts, nicht am nächsten Morgen

Szenario: Sie sehen sich dem Trend 2026 gegenüber: Ransomware-Affiliates verzichten ganz auf Verschlüsselung, gehen direkt zur stillen Massenexfiltration über und erpressen dann mit der Drohung der Veröffentlichung. Der Endpoint sieht legitime Lesezugriffe. Das SOC sieht nichts.
Problem: Volumenbasiertes DLP übersieht gestaffelte Exfiltration (der Angreifer sammelt die Daten innerhalb des Perimeters und schleust sie dann, über Stunden verteilt, über legitime CDN-Bereiche hinaus). Die TLS-Inspektion ist unter HSTS-Preload + ESNI + QUIC auf dem Rückzug. Ihr einziges dauerhaftes Signal ist der ausgehende Netzwerkverkehr — und genau dort sind die meisten Verteidiger am schwächsten.
Wie Zero Hunt es löst: Das Deep-Packet-ML-Modell klassifiziert Flow-Metadaten (Timing, Fan-in/out, Byte-Verteilung, Ziel-ASN, JA3/JA4-Hashes), während die Pakete durchlaufen. Ein Host, der vom Netto-Empfänger zum Netto-Sender wird, ein anhaltender ausgehender Burst zu einer nie zuvor gesehenen ASN, ein SD-WAN-Tunnel mit dem 10-Fachen seines üblichen Volumens — all das schlägt während des Bursts an, rechtzeitig, um die Verbindung zu trennen.
Ergebnis: Die Entdeckung erfolgt während des Exfiltrationsfensters, nicht am nächsten Morgen, wenn die Daten weg sind. Die Fristen der Aufsicht (DSGVO Art. 33, NIS2 Artikel 23) laufen ab Kenntnisnahme — und eine Kenntnisnahme während der Exfiltration statt danach ist ein Datum, das Sie verteidigen können.

Weiterführend:Gesundheitswesen · DSGVO Art. 33 →Finanzwesen · DORA Art. 17-22 →Ransomware mit reiner Exfiltration im Detail →

Verdeckte C2-Kanäle über TLS, DNS-Tunneling und Domain Fronting aufdecken

⌛ Erkennung in Minuten bei neuartigen C2-Protokollen

Szenario: Ihr EDR ist signaturbasiert. Ihr NDR ist regelbasiert. Beide übersehen Command-and-Control-Traffic, der legitimes Verhalten nachahmt — HTTPS-Beacons, DNS-over-HTTPS-Tunnel, Traffic, der über Ihren eigenen CDN-Anbieter gefrontet wird.
Problem: KI-gestützte Affiliates schreiben C2-Protokolle für jede Kampagne neu. Statische Signaturen verfallen beim ersten Kontakt. Regelbasierte Erkennung setzt ein bekanntes Muster voraus. Das eigentliche Signal — Beacon-Periodizität, Jitter, Fan-out, Anomalien bei Zertifikats-Fingerprints — wird von keiner der beiden Schichten erkannt.
Wie Zero Hunt es löst: Einer der 4 Inferenz-Köpfe ist auf die Identifizierung des Angriffstyps spezialisiert und wurde mit Milliarden gelabelter PCAP-Sequenzen trainiert, darunter Muster verdeckter C2-Kommunikation. Das Modell klassifiziert allein anhand von Flow-Metadaten — funktioniert problemlos bei verschlüsselten Payloads, ohne TLS-Inspektion. Das Scoring von JA3/JA4-Fingerprints erfasst die Fälle, die „legitim aussehen, es aber nicht sind“.
Ergebnis: C2-Kanäle werden innerhalb von Minuten nach ihrer Aktivierung sichtbar, unabhängig von Protokollfamilie oder Fronting-Strategie. Das Threat-Hunting-Team erhält eine Shortlist mit hoher Konfidenz statt einer Million Alerts.

Weiterführend:Lieferkette der Verteidigung →vs Cymulate →

Säule 3 — Automatische Compliance

Kontinuierliche, signierte, prüfungsfertige Nachweise — by Design.

Nachweise für NIS2-Artikel-23-Vorfälle als Nebenprodukt des Betriebs erzeugen

⌛ Von mehreren Tagen pro Vorfall zu einer einzigen Abfrage

Szenario: Sie sind eine wesentliche oder wichtige Einrichtung im Sinne von NIS2 (in Italien decreto legislativo 138/2024). Jeder erhebliche Vorfall löst eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats aus, jeweils ab Kenntnisnahme.
Problem: Die manuelle Zusammenstellung der Nachweise nach Artikel 23 ist pro Vorfall eine mehrtägige Übung: Rekonstruktion der Zeitleiste, Control-Mapping, signierter Export, Umwandlung in das Format der Aufsicht. Die zuständige Behörde — in Italien die ACN — erwartet kontinuierliche Nachweise wirksamer Maßnahmen, keine jährlichen Momentaufnahmen.
Wie Zero Hunt es löst: Jede Aktion — Scan, Finding, Traffic-Ereignis, Behebung — wird beim Schreiben signiert und automatisch den Controls aus NIS2 Artikel 21 und 23 zugeordnet. Das Trust Center exportiert mit einem Klick ein prüfungsfertiges Paket für die Aufsicht. Die Zeitleiste 24 h / 72 h / 1 Monat wird zu einer Abfrage über signierte Datensätze statt zu einer Feuerwehrübung.
Ergebnis: Die Einhaltung der Meldefristen wird zu einem abfragbaren Workflow. Das Gespräch mit dem Auditor wandelt sich von „Zeigen Sie mir die Dokumentation“ zu „Wählen Sie einen Zeitraum“. Die Leitungsorgane, die nach NIS2 Artikel 20 persönlich haften, erhalten einen signierten Nachweis darüber, was bekannt war, was getan wurde und wann.

Weiterführend:Versorger · NIS2 wesentliche Einrichtungen →Italienische Verwaltung · decreto 138 →NIS2 + DORA im Detail →

Findings in einem Durchgang 34 Frameworks zuordnen

⌛ ~70 % weniger doppelte Arbeit über Frameworks hinweg

Szenario: Sie unterliegen parallelen Prüfregimen — NIS2 + DORA + DSGVO + ISO 27001 + PCI-DSS + SOC 2 —, die zugrunde liegende Controls teilen, aber jeweils eigene Nachweisformate verlangen.
Problem: GRC-Teams pflegen parallele Nachweisketten, eine pro Framework. Dasselbe Finding wird 3-6 Mal manuell neu zugeordnet. Framework-übergreifende Deduplizierung ist Theorie; in der Praxis vervielfacht sich die Arbeit mit der Zahl der Regime im Scope.
Wie Zero Hunt es löst: Die Compliance-Engine ordnet jedes Finding automatisch 34 Frameworks zu, mit integrierter framework-übergreifender Deduplizierung der Controls. Ein nach Schweregrad gewichtetes Scoring pro Framework spiegelt das Wesentlichkeitsmodell der jeweiligen Aufsicht wider. Berichte werden pro Framework aus dem gemeinsamen Speicher signierter Datensätze erzeugt.
Ergebnis: Redundante Audit-Arbeit sinkt um bis zu 70 %. Ein Finding erfüllt mehrere Frameworks ohne manuelles Neuzuordnen. Unternehmen mit mehreren Regimen wechseln von „Nachweise für jedes Audit aufbauen“ zu „pro Audit einen Ausschnitt des Datenspeichers veröffentlichen“.

Weiterführend:Finanzwesen · mehrere Regime →Italienische Verwaltung · NIS2 + AgID →

Export von Auditor-Paketen — signiert, überprüfbar, wiederholbar

⌛ Export mit einem Klick statt tagelanger Zusammenstellung

Szenario: Der Auditzyklus beginnt. Der Auditor verlangt „alle Nachweise zu Control X.Y.Z für den Zeitraum Q1“. Sie haben 5 Tage, um sie aus Logs von SIEM, SOAR, EDR, GRC und Ticketing zusammenzustellen.
Problem: Die manuelle Zusammenstellung von Nachweisen ist der größte Zeitfresser im GRC. Die Authentizität wird angezweifelt (wurde der Screenshot manipuliert?). Die Chain of Custody ist eine Erzählung, kein Beweis. Der Abgleich zwischen Tools erzeugt Fehler, denen Auditoren dann nachgehen.
Wie Zero Hunt es löst: Das Trust Center exportiert ein in sich geschlossenes, ECDSA-signiertes Paket, zugeschnitten auf Controls + Zeitraum + Framework. Das Paket enthält Findings, Nachweisdateien, Traffic-Ereignisse und Remediation-Logs — jedes Artefakt trägt seine ursprüngliche, beim Schreiben erzeugte Signatur. Der Auditor kann kryptografisch prüfen, ohne unserer Infrastruktur vertrauen zu müssen.
Ergebnis: Die Auditvorbereitung schrumpft von Tagen auf eine einzige Exportaktion. Fragen des Auditors zu Authentizität und Chain of Custody werden durch kryptografische Verifikation statt durch Erzählung beantwortet.

Weiterführend:Verteidigung · CMMC/TRANSEC →Italienische Verwaltung · AgID/ACN →

Säule 4 — AI Remediation Advisor

Vom nachgewiesenen Finding zur verifizierten Behebung, priorisiert nach realem Risiko.

Beheben, was nachweislich ausnutzbar ist — in der Reihenfolge, die zählt

⌛ Ein priorisierter Behebungsplan, sobald die Kampagne endet

Szenario: Ihr letztes Assessment hat Hunderte von Findings ergeben, und Ihr Team kann diesen Monat ein paar Dutzend schließen.
Problem: Eine nach CVSS sortierte Liste stellt theoretisch kritische Findings über die Schwachstelle, die ein Angreifer tatsächlich genutzt hat, und mögliche False Positives kosten genauso viele Stunden wie echte. Drei Hosts mit derselben veralteten Bibliothek erscheinen als drei Tickets, und niemand kann sagen, welche Behebungen das meiste Risiko abbauen.
Wie Zero Hunt es löst: Der AI Remediation Advisor arbeitet nur mit Findings, die die Kampagne nachgewiesen hat: verifiziert oder ausgenutzt. Er priorisiert sie nach realer Ausnutzbarkeit — zuerst CISA KEV, dann das in dieser Kampagne Ausgenutzte, dann CVSS, EPSS und Schweregrad —, fasst sie pro CVE zu Remediation-Maßnahmen zusammen und gruppiert diese in Wellen P1–P4, die schnellsten Behebungen mit hoher Wirkung zuerst.
Ergebnis: Die erste Welle schließt die Pfade, die ein Angreifer heute nutzen könnte, nicht die, die nur hoch bewertet sind. Kein Aufwand fließt in unbestätigte Findings, und jede Maßnahme deckt alle betroffenen Hosts ab.

Weiterführend:Playbook: KEV-Notfall-Patchfenster →Unternehmen · schlanke Security-Teams →

Jede Behebung mit demselben Nachweis verifizieren, der die Schwachstelle gefunden hat

⌛ Behebung am Tag des Rollouts verifiziert

Szenario: Ein kritisches Finding wurde gepatcht, und der Auditor — oder Ihr Vorstand — fragt, woher Sie wissen, dass die Lücke geschlossen ist.
Problem: Generische Advisories sagen „aktualisieren“, aber nicht, welchen Endpoint, welchen Parameter oder welche Payload die Behebung stoppen muss. Der Retest wartet auf den nächsten Auftrag, sodass „behoben“ ein Ticketstatus ist und keine nachgewiesene Tatsache.
Wie Zero Hunt es löst: Wenn die Exploit Forge einen Proof of Concept für den Host erstellt hat, liest der Advisor ihn, bevor er die Behebung vorschlägt — so zielt die Behebung auf den realen Pfad: den Endpoint, den Parameter, die Payload und, wenn die Agenten Zugriff auf den Quellcode hatten (Gray-Box), die Datei und die Zeile. Jede Behebung endet mit einem Verifizierungsschritt; das erneute Ausführen desselben Nachweises oder der Kampagne gegen diesen Host zeigt, ob der Exploit noch funktioniert.
Ergebnis: Der Abschluss wird am Tag des Rollouts der Behebung nachgewiesen statt beim nächsten jährlichen Test, und die erneut ausgeführte Kampagne hinterlässt dafür einen signierten Nachweis für die Auditakte.

Weiterführend:Black-Box vs. Gray-Box →Finanzwesen · DORA-Nachweise zur Behebung →

Einem kleinen Team den Behebungsplan eines Senior Engineers geben

⌛ Vom Finding zum prüfbaren Behebungsskript in einem Gespräch

Szenario: Sie verantworten die Sicherheit mit zwei oder drei Personen über Linux, Windows, Container und eine Web-Schicht hinweg, mit Change-Fenstern, die Sie nicht kontrollieren.
Problem: „Auf Version X aktualisieren“ sagt nicht, wie man das sicher ausrollt, was bis zum Wartungsfenster zu tun ist oder wie man zurückrollt, wenn der Dienst ausfällt. Diesen Plan für jedes Finding zu schreiben, ist Senior-Arbeit, für die das Team keine Zeit hat.
Wie Zero Hunt es löst: Für jeden Punkt liefert der Advisor die Grundursache, die exakte Behebung, Befehle zum Kopieren für Ihre Plattform, einen Hinweis zum sicheren Rollout mit dem Rollback-Schritt und eine kompensierende Maßnahme, die sofort greift, falls die eigentliche Behebung warten muss. Auf Wunsch schreibt er ein idempotentes Behebungsskript — bash, PowerShell, Ansible, Dockerfile oder Webserver-Konfiguration —, das jede geänderte Datei sichert und mit einer PASS/FAIL-Prüfung endet. Ihre Engineers prüfen und führen es aus: Der Advisor verfügt nur über lesende Tools und führt niemals etwas aus.
Ergebnis: Jede Änderung wird mit einem Rollback-Pfad ausgeliefert, und jede Behebung ist für die Auditakte dem Control zugeordnet, das sie erfüllt — ISO 27001 Annex A, NIS2, DORA, DSGVO Art. 32, PCI DSS, CIS.

Weiterführend:Unternehmen · Security-Teams mit 1-2 FTE →Versorger · Change-Fenster →

Sehen Sie es in Ihrer Umgebung

Wählen Sie den Anwendungsfall, der Ihrem aktuellen Problem am nächsten kommt, und wir planen eine 30-minütige technische Demo auf einem aufgezeichneten Ausschnitt Ihres Stacks.

Demo anfordern Branchen ansehen

Noch nicht bereit für eine Demo?