Intrusion Detection für KI-Workflows im Mittelstand

Sie betreiben Make, n8n oder Zapier für Ihre CRM-Automatisierung, Lead-Scoring oder Belegerfassung. Die Workflows laufen stabil, die Firewall-Regeln stehen. Doch eine Frage bleibt: Wüssten Sie, wenn jemand unbemerkt Zugriff erlangt, API-Schlüssel abgreift oder Produktionsdaten exfiltriert? Firewall-Logs zeigen nur, welcher Verkehr passieren darf. Ob dieser Verkehr legitim ist oder ein Angriff, erkennen Sie erst mit einer zweiten Schicht: Intrusion Detection.

Intrusion Detection Systeme (IDS) überwachen Netzwerk- und Anwendungsverkehr auf Anomalien und bekannte Angriffsmuster. Sie ergänzen die Firewall und schlagen Alarm, bevor ein Angreifer Daten abzieht oder Workflows manipuliert. Für den Mittelstand bedeutet das: keine 24/7-Security-Teams, sondern automatisierte Überwachung mit klaren Schwellwerten und Benachrichtigungen, die Sie selbst oder Ihr IT-Dienstleister bearbeiten.

Warum Firewall-Regeln allein nicht reichen

Eine Firewall entscheidet anhand von IP, Port und Protokoll, ob ein Paket durchkommt. Sie prüft nicht, ob die übertragenen Daten eine SQL-Injection enthalten, ob ein Login-Versuch nach Brute-Force riecht oder ob ein Workflow plötzlich hundertfach mehr API-Calls absetzt als üblich. Genau diese Verhaltensanomalien erkennt ein IDS.

Typische Angriffsvektoren auf Workflow-Plattformen:

• Credential Stuffing: automatisierte Login-Versuche mit geleakten Passwort-Listen
• API-Key-Theft: Abgriff von Secrets aus unverschlüsselten Umgebungsvariablen
• Data Exfiltration: ein kompromittierter Workflow lädt schrittweise Kundendaten auf externe Server
• Command Injection: Schadcode in Eingabefeldern, die von n8n-Nodes ohne Validierung verarbeitet werden

Die Firewall lässt HTTPS-Traffic auf Port 443 durch, weil er regelkonform ist. Das IDS sieht, dass innerhalb dieser verschlüsselten Verbindung 500 Login-Versuche pro Minute stattfinden, und blockiert die Quell-IP oder benachrichtigt Sie.

Welche IDS-Varianten für den Mittelstand passen

Sie haben zwei grundsätzliche Ansätze: netzwerkbasierte Systeme (NIDS) und hostbasierte Systeme (HIDS).

NIDS analysiert den gesamten Netzwerk-Traffic an einem zentralen Punkt, etwa vor dem Server, auf dem n8n läuft. Typische Open-Source-Lösungen sind Suricata und Snort. Beide arbeiten mit Regelsets (Signaturen), die bekannte Exploits erkennen, und können zusätzlich Anomalien im Verkehrsvolumen melden.

HIDS läuft direkt auf dem Server und überwacht Systemaufrufe, Datei-Integrität und Log-Dateien. OSSEC und Wazuh sind verbreitet. Sie erkennen, wenn ein Angreifer nach erfolgreicher Kompromittierung Dateien verändert, Cronjobs anlegt oder privilegierte Befehle ausführt.

Für Workflow-Plattformen empfiehlt sich eine Kombination: NIDS am Gateway, um Angriffe auf Netzwerkebene zu blocken, plus HIDS auf dem Server, um lokale Eskalationen zu sehen. Beide Systeme senden Alarme an ein zentrales Log-Management oder direkt per E-Mail und Webhook an Ihren IT-Dienstleister.

Schritte zur Einrichtung eines IDS im Mittelstand

1. Traffic-Baseline erfassen: Bevor Sie Schwellwerte definieren, lassen Sie das IDS eine Woche im passiven Modus laufen. So lernen Sie, wie viele API-Calls normal sind, welche IP-Bereiche Ihre Mitarbeitenden nutzen und zu welchen Tageszeiten welche Workflows aktiv sind.

2. Regelsets aktivieren: Suricata und Snort liefern Emerging Threats und ET Open Rulesets, die täglich aktualisiert werden. Aktivieren Sie zunächst die Kategorien web-application, exploit-kit und trojan. Für n8n und Make sind besonders die Regeln zu HTTP-Headern, JSON-Payloads und Cookie-Manipulation relevant.

3. Anomalie-Schwellwerte setzen: Definieren Sie, ab wie vielen gescheiterten Logins pro Minute eine IP blockiert wird, ab welcher Anzahl paralleler Verbindungen ein Alarm ausgelöst wird und welche Dateiänderungen im Workflow-Verzeichnis sofort gemeldet werden. Beginnen Sie konservativ, um False Positives gering zu halten, und passen Sie die Werte wöchentlich an.

4. HIDS-Modul für Dateiintegrität: Wazuh kann per File Integrity Monitoring (FIM) überwachen, ob jemand Workflow-Definitionen, Secrets oder Umgebungsvariablen-Dateien verändert. Richten Sie FIM für /var/lib/n8n, /opt/make oder vergleichbare Pfade ein.

5. Alarme automatisieren: Senden Sie IDS-Alerts per Webhook an einen n8n-Workflow, der die Meldung klassifiziert, bei kritischen Events die Quell-IP in die Firewall einträgt und Sie per E-Mail benachrichtigt. So schließt sich der Regelkreis: Erkennung, automatische Abwehr, menschliche Prüfung.

6. Logs zentral sammeln: Führen Sie Firewall-Logs, IDS-Alerts und Anwendungslogs in einem System zusammen, etwa Graylog oder Loki. So sehen Sie zeitliche Korrelationen: Eine gescheiterte SSH-Verbindung, gefolgt von ungewöhnlich vielen HTTPS-Requests auf die n8n-API, gefolgt von einer Dateiänderung deutet auf eine Angriffsfolge hin.

Rechenbeispiel: Kosten und Aufwand

Angenommen, Sie betreiben n8n auf einem dedizierten Server mit 8 vCPUs und 16 GB RAM in einem deutschen Rechenzentrum. Der Server kostet rund 60 Euro pro Monat. Sie entscheiden sich für Suricata als NIDS und Wazuh als HIDS, beide Open Source.

Einmalige Einrichtung: Ein externer IT-Dienstleister benötigt geschätzt acht Stunden, um Suricata zu installieren, Regelsets zu aktivieren, eine Traffic-Baseline zu erfassen und die ersten Schwellwerte zu setzen. Bei einem Stundensatz von 120 Euro entstünden 960 Euro. Weitere vier Stunden für Wazuh und FIM ergäben 480 Euro. Summe Einrichtung: 1.440 Euro.

Laufende Kosten: Suricata und Wazuh erzeugen zusätzliche CPU- und RAM-Last. Angenommen, Sie benötigen dafür 2 vCPUs und 4 GB RAM mehr, was den Server auf 10 vCPUs und 20 GB bringt. Der Aufpreis läge bei etwa 20 Euro pro Monat. Regelsets werden automatisch aktualisiert. Wartung und Tuning der Schwellwerte schlagen mit geschätzt zwei Stunden pro Quartal zu Buche, also acht Stunden im Jahr oder 960 Euro.

Jährliche Gesamtkosten nach Einrichtung: 20 Euro mal 12 Monate plus 960 Euro Wartung ergäben 1.200 Euro. Amortisation nach einem erkannten und abgewehrten Angriff, der sonst zu Datenverlust, DSGVO-Meldepflicht nach Art. 33 DSGVO und Reputationsschaden geführt hätte.

Bitte beachten Sie, dass alle Zahlen in diesem Rechenbeispiel angenommene Richtwerte sind und je nach Dienstleister, Serverauslastung und Komplexität der Workflows abweichen können.

Was nicht funktioniert

IDS ohne regelmäßige Regel-Updates: Täglich werden neue Exploits bekannt. Wenn Sie die Regelsets nicht automatisch aktualisieren, erkennt das System nur alte Angriffe.

Alerts ignorieren: Ein IDS ohne klare Eskalationslogik erzeugt Noise. Definieren Sie, welche Alerts sofort blockieren, welche an den Dienstleister gehen und welche nur geloggt werden. Sonst ertrinken Sie in False Positives.

IDS statt Firewall: Intrusion Detection ersetzt keine Firewall. Die Firewall reduziert die Angriffsfläche, das IDS überwacht, was durchkommt. Beides gehört zusammen.

Keine Verschlüsselung: Ein NIDS kann verschlüsselten HTTPS-Verkehr nur begrenzt inspizieren. Setzen Sie daher zusätzlich ein HIDS auf dem Server ein, das Anwendungslogs und Dateiänderungen sieht, und verwenden Sie TLS-Terminierung am Gateway, um Deep Packet Inspection zu ermöglichen.

Fehlende Dokumentation: Halten Sie fest, welche Schwellwerte Sie gesetzt haben und warum, welche IPs auf Whitelists stehen und wer im Alarmfall zuständig ist. Ohne Dokumentation verlieren Sie nach einem Personalwechsel den Überblick.

Fazit und nächste Schritte

Intrusion Detection erweitert Ihre Firewall um die Fähigkeit, verdächtiges Verhalten zu erkennen, bevor Schaden entsteht. Für den Mittelstand bedeutet das keine Security-Operations-Center, sondern klar definierte Regeln, automatisierte Alerts und einen Partner, der im Ernstfall reagiert.

Wenn Sie Ihre Workflow-Plattformen absichern möchten, starten Sie mit einer Baseline-Erfassung und einem passiven NIDS. Kontaktieren Sie uns für eine Bestandsaufnahme Ihrer Infrastruktur und ein Angebot zur IDS-Einrichtung.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.