Best Practices für die Erstellung von Prompts in SecureVisio

Was ist ein Prompt und warum ist sein Format entscheidend?

Ein Prompt (eine Anweisung) ist ein Text, eine Frage oder eine Instruktion, die in ein Modell der künstlichen Intelligenz eingegeben wird und dessen Arbeitsweise lenkt sowie das erwartete Ergebnis festlegt. Er fungiert als kommunikative „Brücke“ zwischen Mensch und Algorithmus und präzisiert Thema, Format, Stil und Kontext der Antwort.

Im Hintergrund „versteht“ das KI-Modell den Prompt nicht wie ein Mensch, sondern wandelt ihn in eine Folge mathematischer Repräsentationen (Tokens) um und nutzt sie als Ausgangspunkt, um die wahrscheinlichsten und logisch passenden Folgewörter vorherzusagen. Jede Formulierung in der Anweisung wirkt dabei wie ein digitaler Filter: Sie verengt den Wahrscheinlichkeitsraum im neuronalen Netz und erleichtert es diesem, konkrete Informationen aus der riesigen Datenbasis abzurufen, mit der es trainiert wurde.

Von der Treffsicherheit und Präzision, mit der wir einen Prompt konstruieren, hängt daher die Qualität und der Nutzen der erzeugten Antwort ab – und die Fähigkeit, gute Prompts zu schreiben, ist zu einer der zentralen digitalen Kompetenzen geworden.

Die Präzision, die Ihr SOC braucht: Neue KI-Möglichkeiten in SecureVisio 6.0

SecureVisio 6.0 eröffnet neue Möglichkeiten, künstliche Intelligenz in Sicherheitssystemen einzusetzen. KI ist nicht länger nur ein Add-on, sondern wird zur zentralen Säule der Prozessunterstützung. Durch die Personalisierung von Prompts und Profilen gewinnen Organisationen die Unabhängigkeit, ihre Werkzeuge an die eigenen, spezifischen Verfahren anzupassen.

Neben Prompts zur Ausführung von Tätigkeiten im System erlaubt die Lösung auch, den Gesprächskontext zu definieren. Das Modell passt die Sprache seiner Antwort dadurch an das Profil des Anwenders an: von technisch versierten SOC-Operatoren bis hin zu Business-Anwendern, die den Status der Organisation überwachen – jede Konfiguration ist möglich. Damit löst das System das Problem des fehlenden Kontexts. Version 6.0 bietet den am besten auf die Arbeitsweise des Anwenders zugeschnittenen Ansatz: Sicherheitsteams erhalten Werkzeuge, um das Verhalten der KI in jedem kritischen Prozess präzise zu steuern – von der Incident-Analyse bis zum Schwachstellenmanagement.

Für maximale Präzision lassen sich Prompts in acht spezialisierten Kontexten definieren, die den zentralen Funktionsbereichen des Systems entsprechen:

• Chat (allgemein) – freie Interaktion ohne Bezug zu einem konkreten Objekt.
• Skript-Aktion – fortgeschrittene Unterstützung bei der Erstellung und Optimierung von Systemaktionen des Typs Skript.
• Incident – tiefgehende Analyse, Klassifizierung und Beschreibung von Sicherheitsereignissen.
• Log – präzise Interpretation von Datensätzen aus den Datenquellen.
• Parser – dedizierte Unterstützung beim Aufbau und bei der Prüfung von Parsern.
• Schwachstelle – umfassende Analyse und Zusammenfassung erkannter Schwachstellen.
• Sicherheitsregeln – Unterstützung bei der Erstellung und Überprüfung der Detektionslogik.
• Event – fokussierte Analyse einzelner Systemereignisse.

Die Trennung der Kontexte beendet die Ära universeller, wenig brauchbarer Antworten. Das System liefert dadurch unmittelbar verwertbare Erkenntnisse, die exakt auf die gerade ausgeführte Tätigkeit zugeschnitten sind – von der Incident-Analyse über die Konfiguration von Parsern bis hin zum Schwachstellenmanagement. Damit dies auch bei wachsender Skalierung effizient bleibt, wird diese Funktionalität durch Profile ergänzt. Sie bilden eine organisatorische Ebene und ermöglichen die logische Gruppierung von Prompts. Statt eine einzige, unübersichtliche Liste zu durchsuchen, gewinnen Sie so eine einfachere Suche, eine konsistente Verwaltung und die volle Kontrolle über das Wachstum Ihres Prompt-Bestands im Zeitverlauf. Nutzen lässt sich dies beispielsweise für die Verwaltung von Sicherheitsregeln – mit getrennten Profilen für deren Erstellung, Verbesserung und die Erläuterung ihrer Funktionsweise.

Die Stärke der KI – zugeschnitten auf Ihren Bedarf

In SecureVisio haben Sie völlige Freiheit darin, wie Sie Ihre Abfragen aufbauen. Sie können klassisch vorgehen und einen einzigen, umfassenden Prompt vorbereiten, der alles Nötige enthält. Ist die Aufgabe komplexer, können Sie das modulare System nutzen: die Aufgabe in kleinere, präzise Prompts zerlegen und diese innerhalb einer Nachricht dynamisch miteinander kombinieren. Sie entscheiden, ob Sie mit einer großen Anweisung arbeiten oder präzise Kombinationen aus fertigen Bausteinen zusammenstellen, passend zu Ihrem aktuellen Bedarf.

Auch über die „Engine“ selbst haben Sie die volle Kontrolle – SecureVisio bietet Flexibilität bei der Wahl des KI-Modells. Sie können leistungsstarke Cloud-Lösungen über eine API-Integration nutzen oder auf maximale Sicherheit und Vertraulichkeit setzen, indem Sie das System mit einem eigenen, lokalen KI-Modell (on-premise) verbinden.

Sicherheit der an externe Modelle gesendeten Informationen? SecureVisio übernimmt die Anonymisierung!

SecureVisio implementiert einen mehrstufigen Prozess der intelligenten Anonymisierung, der als Schutzbarriere gegen die Übertragung sensibler Daten (etwa Benutzerkennungen, IP-Adressen, Kontaktdaten oder Domains) an externe KI-Modelle wirkt. Dank eines Mechanismus zur automatischen De-Anonymisierung stellt das System die ursprünglichen Werte in der erzeugten Antwort präzise wieder her und garantiert damit volle kontextuelle Konsistenz bei Einhaltung höchster Sicherheitsstandards.

Die Lösung ist vollständig konfigurierbar – die Anonymisierungsparameter lassen sich auf spezifische Prozessanforderungen hin optimieren. Darüber hinaus bietet das System unbegrenzte Flexibilität durch ein Modul zum Hinzufügen eigener Felder, die anonymisiert werden sollen: Über eine intuitive Oberfläche (Symbol „+“) kann der Anwender eigene Schutzregeln für beliebige, nicht standardmäßige Datenbestände definieren.

Automatisierung und effizientere Bearbeitung durch KI-Integration

Nachdem die Bedenken hinsichtlich der Sicherheit beim Einsatz künstlicher Intelligenz ausgeräumt sind, lohnt sich der Blick auf die realen Möglichkeiten, die diese Technologie den Teams für die Bearbeitung von Incident-Events eröffnet. Einer der zentralen Bereiche, in denen KI messbaren Nutzen bringen kann, ist die Automatisierung der Bearbeitungsprozesse.

Das Modell lässt sich direkt in den Bearbeitungsprozess integrieren – beispielsweise, indem es im Szenario selbst platziert und mit der Klassifizierung eingehender Incident-Events betraut wird. In diesem Ansatz erfordert ein Incident-Event keine vorgelagerte Bewertung durch einen Operator, sondern kann automatisch bearbeitet werden, ohne manuellen Eingriff in der frühesten Phase.

Ein wesentlicher Wert dieser Lösung liegt darin, die Operatoren von der zeitintensiven Triage-Phase zu entlasten. Bisher wurde in dieser Phase jedes Event einzeln analysiert, seine Berechtigung bewertet und über das weitere Vorgehen entschieden. Durch die Automatisierung entfällt diese Pflicht für den Operator in weiten Teilen.

Auf Basis der gesammelten Informationen und des Kontexts kann das Modell ein Event bereits in der Anfangsphase eigenständig klassifizieren – als False Positive oder als tatsächliches Sicherheitsereignis, also als Incident, der eine Reaktion erfordert. Operatoren können sich dadurch auf jene Events konzentrieren, die eine vertiefte Analyse verlangen, und müssen weniger Zeit in die routinemäßige Erstbewertung einzelner Fälle investieren.

Wie Sie das volle Potenzial eines LLM ausschöpfen: Anatomie eines guten Prompts

Das Gespräch mit einer künstlichen Intelligenz erfordert Präzision – je klarer Sie Ihre Erwartungen formulieren, desto treffender fällt die Antwort auf Anhieb aus, ohne spätere Nachbesserungen.

Ein guter Prompt wirkt wie eine gute Arbeitsanweisung: Er benennt das Ziel, liefert den nötigen Kontext und beschreibt das erwartete Ergebnis. Nicht jede Anweisung muss alle nachfolgend beschriebenen Elemente enthalten, doch das Verständnis ihrer Rolle ermöglicht wirksamere Abfragen und schöpft die Möglichkeiten von KI-Modellen voll aus.

Die Grundelemente eines gut konstruierten Prompts sind:

1. Rolle – legen Sie fest, in welcher Rolle das Modell auftreten soll. In der Cybersicherheit kann es die Rolle eines SOC-Analysten, eines Spezialisten für Incident Response, eines Sicherheitsauditors, eines Beraters oder eines Experten für Risikomanagement übernehmen. Die Zuweisung einer passenden Rolle sorgt für eine Antwort, die auf die Art des analysierten Problems zugeschnitten ist.
2. Ziel und Aufgabe – bestimmen Sie klar, was das Modell tun soll. Das kann die Analyse von Logs sein, die Interpretation von Sicherheitsalerts, die Erarbeitung von Empfehlungen für Schutzmaßnahmen, eine Risikobewertung, die Erläuterung einer Schwachstelle oder die Ausarbeitung eines Verfahrens zur Incident Response. Je präziser Sie das erwartete Ergebnis beschreiben, desto größer ist die Chance auf eine brauchbare Antwort.
3. Kontext – liefern Sie Informationen, die dem Modell helfen, die Situation richtig einzuordnen. Das können Angaben zur IT-Umgebung, zur Art der Organisation, zu den eingesetzten Technologien, zu geltenden Regularien, zur Zielgruppe oder zu den Umständen des Incidents sein. Ein passender Kontext führt zu treffenderen und praxisnäheren Empfehlungen.
4. Antwortformat – legen Sie fest, in welcher Form das Ergebnis dargestellt werden soll. In der Cybersicherheit kann eine Antwort die Form eines Berichts, einer Tabelle, einer Checkliste, eines Maßnahmenplans, einer Risikoanalyse, eines Verfahrens oder einer Zusammenfassung für die Geschäftsleitung annehmen. Eine klare Formatvorgabe erleichtert die spätere Verwendung der erhaltenen Informationen.
5. Stil und Tonalität – geben Sie an, in welcher Sprache die Antwort verfasst sein soll. Sie können bestimmen, ob sie technisch, expertenorientiert, formal, erklärend oder geschäftlich ausfallen soll. Ein auf die Zielgruppe abgestimmter Stil erhöht die Lesbarkeit und den Nutzen der erzeugten Inhalte.
6. Einschränkungen und Anforderungen – definieren Sie die Bedingungen, die die Antwort erfüllen soll. Diese können den Detailgrad, die Textlänge, die Berücksichtigung bestimmter Sicherheitsstandards, die Darstellung von Prioritäten oder die Beschränkung auf rein defensive Lösungen betreffen. Klare Anforderungen führen zu einer besseren Passung mit dem tatsächlichen Bedarf.
7. Qualitätskriterien – benennen Sie, welche Eigenschaften die Antwort aufweisen soll. Sie können festlegen, dass sie praxistauglich sein soll, auf bewährten Praktiken der Cybersicherheit beruht, geltenden Standards entspricht, eine Begründung der Empfehlungen enthält und eine Risikobewertung berücksichtigt. So richtet das Modell die Bearbeitung der Aufgabe besser am erwarteten Qualitätsniveau aus.

Möchten wir beispielsweise einen Prompt erstellen, der von vornherein festlegt, welche Operatoren und Funktionen beim Aufbau von Abfragen verwendet werden dürfen, könnte er genau so aussehen.

# OPERATORS   ## Logical operators Allowed: `AND`, `OR`, `NOT`, `IN` Use parentheses when combining `AND` and `OR` in the same expression.   ## Comparison operators Allowed: `=`, `>=`, `<>`, `LIKE`, `regexp` Do not use any comparison operators outside this list.   ## Functions   **Null / empty checks** – `isNullOrEmpty(text_field)` — for text fields – `isNull(integer_field)` — for integer fields   **Boolean checks** – `isTrue(isTraffic)` – `isTrue(IsSrcUser)` – `isTrue(IsDstUser)` – `isTrue(isSrcPrivIP)` — true when `SrcIP` falls within a private address pool range – `isTrue(isDstPrivIP)` — true when `DstIP` falls within a private address pool range   **IP conversion** – `ToText(ip_field)` — use only when applying `LIKE` or `regexp` to IP fields (`SrcIP`, `DstIP`)   **Single-pattern matching** – `Contains(field_name, pattern)` – `StartsWith(field_name, pattern)` – `EndsWith(field_name, pattern)`

Ein solcher Prompt wirkt wie eine Whitelist: Statt eine konkrete Aufgabe zu beschreiben, steckt er den zulässigen Rahmen ab – welche logischen Operatoren und Vergleichsoperatoren erlaubt sind und welche fertigen Funktionen zur Verfügung stehen (Prüfung leerer Felder, boolescher Werte, der Zugehörigkeit einer IP zu einem privaten Adresspool, der Umwandlung einer IP in Text oder des Abgleichs von Textmustern). Alles, was nicht auf der Liste steht, ist untersagt.

Dadurch lässt er sich als Baustein einer umfassenderen Systemanweisung einsetzen. Dieser Ansatz stellt sicher, dass die entstehenden Ausdrücke stets mit der Engine innerhalb von SecureVisio kompatibel sind.

Hervorzuheben ist, dass Prompts nicht auf vordefinierten, statischen Text beschränkt sind – sie können sich auch dynamisch auf den Kontext beziehen, in dem sie aufgerufen wurden. In diesem konkreten Fall beziehen sie sich auf den Frame selbst sowie auf dessen geparstes Feld Query und holen sich die benötigten Daten von dort zum Zeitpunkt der Ausführung. Der Inhalt des Prompts ist dadurch weder starr noch fest codiert – er passt sich automatisch an die aktuelle Situation an.

Folglich müssen wir den Inhalt des Prompts nicht bei jeder weiteren Abfrage manuell ändern oder austauschen. Das System holt die aktuellen Werte selbst aus dem Kontext und setzt sie an den richtigen Stellen ein. Das vereinfacht die Arbeit erheblich, senkt das Fehlerrisiko und macht die gesamte Lösung flexibler und wartungsfreundlicher.

SecureVisio 6.0 – wenn das System für Sie und mit Ihnen arbeitet

Version 6.0 markiert einen Wendepunkt in der Entwicklung des Systems und setzt einen neuen Standard im Bereich der Prozessautomatisierung. Mit ihrer Einführung sind die Automatisierungsmöglichkeiten deutlich gewachsen und ebnen den Weg zu einem eigenständigeren und intelligenteren Systemverhalten. Eine Schlüsselrolle spielt dabei der Einsatz von KI-Modellen, die es erlauben, das Human-in-the-Loop-Modell erheblich zu reduzieren. Prozesse, die bislang ständige Aufsicht und manuelle Eingriffe des Operators erforderten, laufen heute weitgehend autonom ab – das System trifft eigenständig Entscheidungen, analysiert Daten und führt Aufgaben aus und bindet den Menschen nur dort ein, wo seine Beteiligung tatsächlich erforderlich ist.

Die geringere Rolle des Menschen in der Entscheidungsschleife übersetzt sich unmittelbar in messbare Vorteile: schnellere Prozessdurchläufe, weniger Fehler aus Routinetätigkeiten und freigesetzte personelle Ressourcen, die für höherwertige Aufgaben eingesetzt werden können. Automatisierung ist damit nicht länger bloß ein Werkzeug zur Entlastung des Operators, sondern wird zu einem integralen Bestandteil der Systemarchitektur, der eigenständig auf veränderte Bedingungen reagieren kann.

Version 6.0 steht jedoch nicht allein für den Ausbau der Automatisierung. Eine ebenso wichtige Säule der neuen Systemgeneration ist die Einführung eines privaten Assistenten, der den Operator in seiner täglichen Arbeit spürbar unterstützt. Der Assistent begleitet den Anwender in jeder Phase – von einfachsten Aufgaben wie dem schnellen Beschaffen von Informationen oder der Ausführung wiederkehrender Tätigkeiten bis hin zu komplexen und anspruchsvollen Aufgaben, die bislang eine Herausforderung darstellten und viel Zeit beanspruchten. Der Operator gewinnt damit einen Partner, der nicht nur Anweisungen ausführt, sondern sich aktiv an der Problemlösung beteiligt.

Zusammenfassend vereint Version 6.0 zwei einander ergänzende Entwicklungsrichtungen: eine tiefgreifende, auf KI-Modellen basierende Prozessautomatisierung und eine intelligente, kontextbezogene Unterstützung in Form eines privaten Assistenten. Gemeinsam ergeben sie ein System, das nicht nur effizienter und eigenständiger arbeitet, sondern auch zu einem echten Partner des Operators in seiner täglichen Arbeit wird.