ONEKEY: KI alleine genügt nicht für Firmwaresicherheit

‍Die Sicherheit der Software in Geräten, Maschinen und Anlagen lässt sich am besten durch die Kombination aus deterministischer Analyse, Künstlicher Intelligenz und Automatisierung gewährleisten.

Düsseldorf, 17. September 2026 – Künstliche Intelligenz ist in der Cybersicherheit Fluch und Segen zugleich. Einerseits können Angreifer damit schneller als jemals zuvor Schwachstellen aufdecken, andererseits lässt sich KI auch hervorragend einsetzen, um verborgene Sicherheitslücken aufzuspüren und zu beheben. Bei Firmware, also der Steuerungssoftware für Geräte, Maschinen und Anlagen, ist die Situation besonders kritisch, meint der Düsseldorfer Cybersicherheitsspezialist ONEKEY.

Die Experten nennen dafür vor allem zwei Gründe. Erstens greifen bei Steuerungsprogrammen häufig Hunderte oder gar Tausende von Softwarekomponenten ineinander; die genaue Herkunft und der Sicherheitsstand sind häufig nicht in vollem Umfang bekannt. Zweitens können die Auswirkungen einer Cyberattacke besonders heftig sein, weil die Geräte, Maschinen und Anlagen in der physischen und nicht nur in der digitalen Welt operieren.

„Large Language Models wie etwa Mythos haben deutlich gemacht, wie schnell und umfassend KI Schwachstellen finden und ausnutzen kann“, sagt ONEKEY-CEO Jan Wendenburg. Er gibt ein Beispiel: „Eine einzige Sicherheitslücke in einer häufig genutzten Bibliothek kann zahlreiche Produkte betreffen, die bereits seit Jahren im Einsatz sind. Daher ist es für die Hersteller von essenzieller Bedeutung, verlässlich zu wissen, welche Komponenten in welchen Produkten stecken und wo ein Sicherheitsupdate erforderlich ist.“

KI hat noch Entwicklungspotenzial beim Aufdecken von Sicherheitslücken

„KI alleine macht Firmware allerdings noch nicht per se sicher“, betont Jan Wendenburg. Daher verbindet ONEKEY die deterministische Firmwareanalyse mit gezielter KI-Unterstützung. Die Plattform von ONEKEY listet Softwarekomponenten in Form von SBOMs (Software Bills of Materials) auf, gleicht sie mit bekannten Schwachstellen (Common Vulnerabilities and Exposures, CVEs) ab und verfolgt neue CVE-Meldungen. Sprachmodelle kommen fallweise zum Einsatz, wenn es um die nähere Untersuchung und die Einordnung eines Fundes oder einer unbekannten Schwachstelle geht.

ONEKEY weist darauf hin, dass Large Language Models (LLM) nicht zwangsläufig jede Schwachstelle beim ersten Durchlauf finden; ein und dasselbe Sprachmodell kann in mehreren Durchläufen immer neue Lücken entdecken. Mythos-Entwickler Anthropic hatte selbst dokumentiert, wie ihre KI in iterativen Schleifen rund 1.000 unabhängige Analysedurchläufe durchführen musste, um schrittweise mehrere Dutzend Schwachstellen in einer Zielkomponente zu identifizieren. „Der Einsatz großer Sprachmodelle zur Schwachstellensuche ist aktuell kein Prozess mit reproduzierbaren Ergebnissen“, zeigt ONEKEY-Chef Jan Wendenburg die Grenzen der KI bei Firmwaresicherheit auf. Vor der Freigabe einer neuen Firmwareversion müssen die Entwickler unterscheiden können, ob der Code unsicher ist oder ob nur die Antwort des Modells schwankt.

Deterministische Grundlage vor dem KI-Einsatz

ONEKEY setzt deshalb auf eine deterministische Überprüfung, bevor KI zum Einsatz kommt. Die Plattform zerlegt die Firmware, erstellt eine Software-Stückliste und gleicht sie mit bekannten Lücken ab. Zusätzlich sucht eine statische Binäranalyse im Code nach Schwachstellen. Der Vorteil gegenüber KI: Läuft dieselbe Firmware mit derselben Analysebasis noch einmal durch, kommt derselbe Befund.

Zudem analysiert die deterministische Prüfung die Firmware systematisch und umfassend und verschafft Security-Teams Transparenz darüber, was sich tatsächlich im Gerät befindet. Mit dieser Transparenz ausgestattet, identifiziert die Plattform bekannte Schwachstellen, die die enthaltenen Komponenten betreffen und liefert diese Informationen im richtigen Kontext.

Tatsächlich wurde ONEKEY speziell dafür entwickelt, das sogenannte Rauschen zu reduzieren, das klassische Sicherheits-Scans häufig erzeugen. Embedded-Entwickler werden oft mit langen Listen von CVEs aus generischen Scannern konfrontiert, von denen sich viele später als irrelevant oder bereits behoben herausstellen. Daher setzt ONEKEY auf versionsbewusste und binärspezifische Analysen. Diese zeigen, welche Schwachstellen für die jeweilige Firmware relevant sind, und helfen dabei, False Positives gezielt herauszufiltern. Die KI kommt ergänzend dazu in kniffligen Fällen zum Einsatz, etwa bei unbekannten oder verschleierten Komponenten. Das Schwachstellenmanagement führt ein lückenloses Inventar über die Softwarebestände in allen Geräten, Maschinen und Anlagen.

Die Vorteile von KI und deterministischer Analyse kombinieren

Damit adressiert ONEKEY einen weiteren wichtigen Aspekt der KI-gestützten Sicherheitsüberprüfung von Firmware: den effizienten Einsatz von Zeit und Budget. Da Sprachmodelle ihr Potenzial insbesondere durch zahlreiche Analyse-Durchläufe entfalten, bietet sich der Einsatz von KI-Agenten an, die parallel unterschiedliche Segmente des Programmcodes untersuchen und ihre Ergebnisse austauschen. Die praktische Umsetzung solcher Multi-Agenten-Systeme ist allerdings komplex. Sie erfordert individuelle Skripte, simulierte Laufzeitumgebungen sowie aufwendiges Prompt-Engineering und Expertenwissen. Für die meisten Unternehmen ist dieser Aufwand nicht für jede neue Firmware-Version realisierbar, zumal dadurch viel Zeit verloren geht und sehr hohe Kosten entstehen.

Jan Wendenburg ordnet ein: „LLM-basierte Codeanalyse und deterministische Analyse ergänzen sich. KI ermöglicht eine kreative, kontextbezogene Schwachstellenerkennung, während deterministische Analyseverfahren für Reproduzierbarkeit, Konsistenz und Skalierbarkeit sorgen.“

Automatisierung und Integration in die Entwicklung

Neben der qualifizierten Fehlererkennung kommen, angesichts der auch durch KI zunehmenden Flut an aufgedeckten Schwachstellen, der Automatisierung und der Integration in die Softwareentwicklung Schlüsselrollen zu. So lässt sich die ONEKEY-Plattform in die bestehenden Entwicklungs- und Freigabeprozesse einbinden, sodass jede neue Firmware-Version automatisch analysiert wird und bekannte Schwachstellen bereits vor einem Release erkannt werden können.

Darüber hinaus überwacht ONEKEY die Sicherheit der Firmware kontinuierlich über den gesamten Lebenszyklus hinweg. Sobald eine Firmware-Version einmal analysiert wurde, wird automatisch informiert, wenn künftig neue Schwachstellen bekannt werden, die diese Firmware betreffen. Durch ein indexiertes Inventar aller Komponenten über sämtliche Produkte hinweg werden alle Geräte, Maschinen und Anlagen fortlaufend in die regelmäßige Sicherheitsüberprüfung einbezogen.

„Da im KI-Zeitalter Sicherheits-Updates immer schneller entwickelt und installiert werden müssen, ist eine zentrale automatisierte Überwachung für Firmware-Schwachstellen im Grunde unverzichtbar“, sagt Jan Wendenburg. Die ONEKEY-Plattform führt bei jeder neuen Schwachstellenmeldung im Hintergrund alle notwendigen Analysen und Bewertungen in Bezug auf die Firmware über die gesamte Produktpalette hinweg durch. Statt sich mit dieser aufwändigen Vorarbeit aufzuhalten, können sich Security-Teams auf die Behebung der von der Plattform eindeutig identifizierten Probleme konzentrieren.