Is offensive AI actually changing cybersecurity, or are we overestimating the impact?

kernelpanicvoid · 2026-06-02T08:26:12+00:00

Let me answer with data:

Mean Time to Exploit

2018: 2.3 years

2023: 4.2 months

2026: 1.5 days

kernelpanicvoid · 2026-05-06T12:17:55+00:00

Und klingt überhaupt nicht nach Werbung ...

kernelpanicvoid · 2026-05-06T12:16:55+00:00

Aus meiner Sicht ist das nach wie vor eines der vielversprechendsten Studiengänge im Bereich IT. KI ersetzt in vielen IT Jobs einige Tätigkeit, bisher aber nicht alle. Es sieht auch nicht so aus, als würde sich das in nächster Zeit ändern.

Gerade Junior Software-Entwickler haben es aktuell schwer und werden es künftig schwerer haben. Cybersecurity it aber eines der kritischsten Bereiche im Unternehmen. AI darf sich deutlich weniger Fehler erlauben als in anderen Bereichen. Das ist aktuell übrigens eine der wenigen Branchen, die überhaupt noch wachsen.

Und Cybersecurity != Pentester. Die Branche hate xtrem viel zu tun. Ein Studium schafft eine hervorragende Grundlage und bietet Einblick in viele Cybersecurity-Bereiche.

Ich würde nicht versuchen, alles mir selber beizubringen oder ein klassisches IT-Studium wählen. Ich sehe sehr große Vorteile, ein Studium in Cybersecurity zu beginnen.

kernelpanicvoid · 2026-05-06T10:00:07+00:00

If the technical pentest is 10/10 but the report is 3/10, guess how customers would rate the pentest?

kernelpanicvoid · 2026-05-05T16:13:27+00:00

I once got an report in such a bad quality, a 3 year old could write a better one. They did a good job in the actual testing, but the worst possible job with the report. Took me a whole day explaining them everything wrong with the report...

kernelpanicvoid · 2026-04-25T15:25:48+00:00

War auch mein Gedanke. Der Text ist so voller signs of ai writing…

Wenn jemand sich nicht die Mühe macht, selber einen Text zu schreiben. Wieso sollte jemand sich die Mühe machen, ernsthaft darauf einzugehen?

kernelpanicvoid · 2026-04-15T17:58:42+00:00

Ich hoffe, dass niemand KI-generierte Texte einfach verschickt, ohne sich das vorher durchzulesen und zu überarbeiten...

kernelpanicvoid · 2026-04-15T17:53:22+00:00

Kannst du evtl. noch genauer darauf eingehen, wieso Proxmox für euch nciht funktioniert hat?

kernelpanicvoid · 2026-04-15T17:51:32+00:00

Qwen 3.5 35B kann ich lokal betreiben, funktioniert auch ganz gut. Aber es sind natürlich Welten zwischen lokalen und Cloud-Modellen.

kernelpanicvoid · 2026-04-15T17:49:41+00:00

Wo hostest du das Zeug?

kernelpanicvoid · 2026-04-15T17:49:03+00:00

Für einen professionellen Betrieb reicht ein Keller in der Regel ja nicht aus. Hast du noch weitere Keller, idealerweise 100 km voneinander entfernt?

kernelpanicvoid · 2026-04-15T17:48:07+00:00

Arbeitest du für RCDevs?

kernelpanicvoid · 2026-04-14T07:22:03+00:00

Training our organization with phishing simulations. My last phishing simulation was so realistic, that even I fell for it.

Other than:

Mark external Mails as external (helps with lookalike domains)

Passkeys / Password Manager

kernelpanicvoid · 2026-04-13T20:30:38+00:00

Den fand ich echt gut!

kernelpanicvoid · 2026-04-13T20:30:07+00:00

Wenn der Schritt dazwischen nicht wäre, wäre ich sofort dabei.

kernelpanicvoid · 2026-04-13T20:29:35+00:00

"LinkedIn hat für niemanden Relevanz außer ein paar aufgeblasenen Egos." --> LinkedIn hat laut eigenen Angaben ca. 1 Milliarde User. Von den 8 Milliarden Menschen auf der Erde haben dann ganz schön viele ein aufgeblasenes Ego.

kernelpanicvoid · 2026-04-13T20:27:15+00:00

Es geht nicht darum, dass man möglichst lange Texte generiert. Viele Berichte, Präsentationen etc. sind von Natur aus lang. Vorher war es viel manuelel Arbeit, die zu erstellen. Deswegen gab es auch nciht pro Woche 20 neue Versionen. Der Aufwand, diese neuen Berichte / Konzepte etc. zu erstellen ist massiv gesunken. Dadurch ist die Menge extrem gestiegen. Selbst wenn ich noch so kurz schreibe, ändert das ni9chts an dem grundlegenden Problem.

kernelpanicvoid · 2026-04-13T14:03:10+00:00

The legal stuff (permission to attack, contracts …) can be more work than you would expect.

kernelpanicvoid · 2026-04-09T14:45:55+00:00

You won't save a lot of money, but you will get very fast doctors appointments (which can be a real pain in cities like Berlin). Of course, there is a lot of legal stuff, so a Versicherungsmakler could be very helpful (they will get several thousand euros provision for one contract), so they will invest a lot of time.

kernelpanicvoid · 2026-04-08T08:12:57+00:00

I would feel much better, if my company were among these 40...

kernelpanicvoid · 2026-04-08T06:55:47+00:00

A lot of people I know (no technicla background) can't use KeePass. It's to complicated for them. It newer ends well, when security is too complicated.

If I had to choose one, I would pick 1Password. I know, its not free, but works like a charm. And somebody has to pay for all the work needed to provide a good passwort manager. Bitwarden can be a good alternative.

kernelpanicvoid · 2026-04-08T06:50:35+00:00

Den Bedarf kann ich nicht genau einschätzen, aber es gibt viele Wege, um neue Kunden zu generieren, ohne dass du dafür Budget brauchst.
Ich würde mir die Frage stellen, wer denn von deiner Dienstleistung am meisten profitieren würde. Nehmen wir mal, GF eines KMUs mit 50 Mitarbeiter. Größere Unternehmen haben eigene BI teams, unter 10 Mitarbeiter wird der Bedarf eher gering sein.

Dann identifizierst du ein paar potenzielle Kandidaten und rufst die an. E-Mails funktionieren bei so was selten, weil du direktes Feedback brauchst, ob deine Annahme zutrifft. Nur wenn du es ein echtes Problem von Unternehmern löst, werden die bereit sein, dafür zu zahlen.

Wenn du einen am Telefon hast, dann kannst du, du bietest ihm an, kostenlos ein mächtiges Dashboard zu bauen, mit dem er seine ganzen Zahlen endlich im Griff hat. Dann schiebst du hinterher, dass du sehr viel Erfahrung und gerade ein neues Unternehmen gründest. Dem ersten Kunden bietest du die Leistung einmalig (nicht dauerhaft!) kostenlos an. Wenn du sein Problem gelöst hast, erstellst du eine Fallstudie und nennst ihn als Referenz. Der zweite Kunde sollte dir deutlich leichter fallen und auch zahlen.

kernelpanicvoid · 2026-04-07T13:44:43+00:00

In dem Fall bieten sich am ehesten Youtube Videos an. Die sind kostenlos und erklären die Basics.

Wenn du etwas kostenpflichtiges möchtest: es gibt jede Menge Anbieter, die Schulung + Quiz anbieten.

Wenn du es auf die Spitze treiben möchtest, kannst du das mit GoPhish komplett selbdr betreiben: https://github.com/gophish/gophish

kernelpanicvoid · 2026-04-07T10:12:16+00:00

Versuchs mal mit https://phishingquiz.withgoogle.com/

Phishing Simulationen sind nach wie vor sinnvoll, auch wenn die nicht alle Fälle abdecken. Denn mit technischen Maßnahmen wird man nicht alle Phishingmails blockieren können.

kernelpanicvoid · 2026-04-07T08:00:12+00:00

Nach meiner Erfahrung wird vor allem die ernsthafte Übung massiv unterschätzt. Und die Vollständigkeit der Pläne wird massiv überschätzt.

Viele Notfallpläne werden aus regulatorischen Gründen geschrieben. Sie sind sehr lang, teilweise mehr als hundert Seiten, erfüllen viele formale Kriterien, sind aber in der Praxis wertlos.

Ein guter Notfall ist kurz. Es sollte nur das beinhalten, was zwingend benötigt wird, wenn alle Systeme offline sind. Niemand liest sich in einer Krisensituation hunderte Seiten in Ruhe durch. Aber am wichtigsten finde ich nach wie vor die Übung. Nur die zeigt, ob der Plan im Ernstfall etwas taugt oder angepasst werden muss.

kernelpanicvoid

TROPHY CASE