Wir orchestrieren die besten Hacker – Mensch und Maschine

Ursprünglich gestartet, um Bug-Bounty-Programme in der Schweiz zu etablieren, hat sich SignalFisher zu einem Technologieunternehmen entwickelt, das menschliche und maschinelle Hacker mithilfe von KI orchestriert. CEO Sandro Nafzger erklärt, wie diese Symbiose funktioniert und warum der Mensch dennoch unersetzlich bleibt.

‍

SignalFisher startete 2020 mit dem Ziel, Bug-Bounty-Programme in der Schweiz zu etablieren. Wie nah sind Sie diesem Ziel gekommen?

‍

Sandro Nafzger: Wir haben dieses Ziel weitgehend erreicht. Seit April 2023 ist die Zusammenarbeit mit ethischen Hackern durch Bug-Bounty-Programme offiziell in der Nationalen Cyber-Strategie (NCS) verankert. Zudem haben wir unseren Plan umgesetzt, diese Art von Sicherheitstests für alle Schweizer Unternehmen zugänglich zu machen. Im November 2024 haben wir unser Angebot vollständig in ein einfaches Plug-and-Play-Produkt transformiert – nutzbar ohne Vorkenntnisse, ohne interne Sicherheitsressourcen und zu einer klar kalkulierbaren Flatrate.

‍

Was sind Ihre Erkenntnisse aus den vergangenen fünf Jahren? Was funktioniert gut – und was nicht?

‍

Die letzten Jahre haben gezeigt, wie wirkungsvoll die Bug-Bounty-Methode ist. Grundsätzlich lässt sich alles testen, was mit dem Internet verbunden ist – von multinationalen Konzernen und staatlichen Systemen bis hin zu einzelnen Produkten, Subsystemen oder Code. Ich kenne keine andere Methode, mit der man die besten Experten weltweit auf Knopfdruck aktivieren kann – und das hochgradig skalierbar. Es ist ein Modell, das für alle Beteiligten einen großen Mehrwert schafft und Spaß macht. Die zentrale Frage ist daher nicht, ob Bug Bounty, sondern wie man diese Methode am effektivsten einsetzt – und genau da liegen die größten Herausforderungen.

‍

Welche Herausforderungen sind das konkret?

Sich einfach eine Bug-Bounty-Plattform anzuschaffen, reicht nicht aus. Sie ist letztlich nur ein Werkzeug – und Werkzeuge nützen wenig ohne das richtige Know-how, Personal, Zeit/Lernkurve und Budget. Den meisten Organisationen fehlen schlicht die notwendigen Ressourcen und Fähigkeiten, um nachhaltig davon zu profitieren. Zudem können Unternehmen meist nur ihre eigenen Daten betrachten – benötigt wird jedoch ein umfassendes Lagebild, um Zusammenhänge zu erkennen und die richtigen Entscheidungen zu treffen. Alles manuell zu steuern, ist zudem viel zu langsam. Ein weiteres Problem: Viele Unternehmen wissen gar nicht genau, was, wo und wie sie testen sollten. Fast jedes grosse Unternehmen führt Sicherheitstests durch, meist jedoch auf Basis einer internen, unvollständigen Sichtweise und Einschätzung. Was zählt, ist jedoch der Blick von außen – von echten Hackern, die verstehen, was heute passiert und was morgen wichtig sein wird. Dieses Umfeld verändert sich rasant. Dabei sollten Sicherheitstest-Strategien heute auf solchen Echtzeit-Informationen basieren – kontinuierlich adaptiv und idealerweise autonom ausgeführt.

‍

Welche Rolle spielt KI dabei?

‍

Eine zentrale. Künstliche Intelligenz bringt enorme Geschwindigkeit, Kontextverständnis und Automatisierung – und ermöglicht so intelligente, datengestützte Entscheidungen in Echtzeit. Für Bug-Bounty-Programme bedeutet das, dass sie nun komplett datengetrieben, hocheffizient und nachhaltig wirkungsvoll betrieben werden können. Große, komplexe Angriffsflächen lassen sich kontinuierlich überwachen, während sehr spezifische Fragestellungen sofort adressiert werden, sobald sie relevant werden. So können beispielsweise das Scoping und die Planung eines Tests automatisch generiert und kontinuierlich optimiert werden – basierend auf einem semantischen Verständnis der Organisation und ihres gesamten Kontextes. Dafür schaffen wir einen „Semantic Living Digital Twin“ – das digitale Gehirn einer Organisation, das mit jeder Testiteration lernt und besser wird. Auch die intelligente Orchestrierung der Hacker ist KI-gesteuert: Unser KI-Matchmaking stellt sicher, dass die richtigen Experten zur richtigen Zeit am richtigen Ort mit der richtigen Aufgabe aktiviert werden. Komplexe technische Befunde werden so aufbereitet, dass alle Ebenen – vom Entwickler bis zum Vorstand – ein kontextgerechtes Lagebild erhalten. Statt hunderter technischer Berichte entstehen klare, priorisierte Handlungsempfehlungen – in natürlicher Sprache und mit geschäftlichem Bezug. Mit Agentic AI können wir nun vieles von dem automatisieren, was wir in den letzten fünf Jahren manuell perfektioniert haben. Das Stichwort lautet: Service-as-Software.

‍

Das klingt fast so, als wären Sie heute ein Technologieunternehmen.

‍

Absolut. Wir verstehen uns schon lange als Technologieunternehmen. 2021 haben wir die erste Schweizer Bug-Bounty-Plattform gestartet, und 2023 begannen wir mit der Integration von KI. Dank unserer Teilnahme am Microsoft for Startups-Programm erhielten wir gezielte Unterstützung und privilegierten Zugang zu Azure OpenAI – was uns enorme technologische Möglichkeiten eröffnete. Seitdem konzentrieren wir uns darauf, unsere Technologie und unsere einzigartige Datenbasis kontinuierlich weiterzuentwickeln – sie zu sammeln, zu labeln und zu strukturieren, um ihr volles Potenzial mit KI auszuschöpfen. Vor fünf Jahren war unser Ziel, Bug-Bounty-Programme in die Schweiz zu bringen. In den nächsten fünf Jahren ist unsere Mission, die Zusammenarbeit mit ethischen Hackern im Zeitalter der KI neu zu definieren – und Sicherheitstests weltweit neu zu denken und umzusetzen.

‍

Das klingt ambitioniert. Wohin geht die Reise?

‍

Ja, unsere Ambitionen sind gewachsen – ebenso wie die technologischen Möglichkeiten, unser Marktverständnis und die Rolle, die wir einnehmen können. Der globale Markt für Sicherheitstests wächst rasant – mit einer durchschnittlichen jährlichen Wachstumsrate von rund 25 Prozent und einem erwarteten Marktvolumen von 50 Milliarden US-Dollar bis 2030. Zu den Treibern gehören explodierende Angriffsflächen, die vollständige Umstellung auf Cloud- und SaaS-Modelle sowie der zunehmende regulatorische Druck. Gleichzeitig ist der Markt stark fragmentiert, komplex und viel zu langsam – insbesondere bei der Planung und Auswertung von Tests, wo noch vieles manuell erfolgt. Die Geschwindigkeitslücke zwischen Angreifern und Verteidigern wird immer größer. Zudem laufen Tests oft sehr statisch ab – genau so, wie sie ursprünglich geplant wurden. Dabei ist es entscheidend, jede neue Erkenntnis kontinuierlich einfließen zu lassen, damit der laufende Test jeden Tag präziser wird. Wir haben dieses Problem gelöst: Unsere Plattform integriert den gesamten Sicherheitstestprozess durchgängig, lernt kontinuierlich dazu und wird immer effizienter. So ist ein intelligentes Schwungrad entstanden, das die folgenden Schritte fortlaufend durchläuft: Scope → Match → Execute → Validate → Learn.

‍

Werden wir in Zukunft überhaupt noch menschliche Hacker brauchen?

‍

Ja, mehr denn je. Je technologischer und intelligenter alles wird, desto wichtiger bleiben Menschen – mit Intuition, Herz, Kreativität und kritischem Denken. Maschinen können das nicht ersetzen. Unsere Hacker entwickeln ständig neue Angriffstechniken und -muster – diese hochwertigen, von Menschen generierten Daten sind das Fundament für starke KI-Systeme. Und genau auf diese perfekte Symbiose aus kollektiver menschlicher Intelligenz und modernster künstlicher Intelligenz arbeiten wir jeden Tag hin. Was uns einzigartig macht, ist unsere kontextbasierte Matchmaking- und Orchestrierungsfähigkeit. Dadurch können wir ethische Hacker präziser und effektiver einsetzen als jeder andere Anbieter. Gerade jetzt, wo offensive KI-Agenten überall auftauchen und die Kapazitäten zur Testdurchführung immer zugänglicher und automatisierter werden, ist eine intelligente Orchestrierung unerlässlich. Hier wird der größte Bedarf entstehen – und hier liefern wir den größten Mehrwert: Wir orchestrieren die besten Hacker – Mensch und Maschine.

‍

Externe Links

Quelle