Sicherheit im KI-Zeitalter: Warum Abwehr mit KI keine Kür ist, sondern Notwendigkeit

Die Zahlen der Sicherheitsbehörden sind eindeutig. Das Bundesamt für Sicherheit in der Informationstechnik registrierte im Berichtszeitraum Juli 2024 bis Juni 2025 durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Noch bemerkenswerter als diese Zahl ist die Diskrepanz, die das BSI beim Mittelstand feststellt: Über neunzig Prozent der kleinen und mittleren Unternehmen halten ihre eigene IT-Sicherheit für gut, tatsächlich erfüllen sie im Schnitt aber nur etwa 56 Prozent der Basisanforderungen. Das Problem ist demnach nicht in erster Linie die Bedrohung, sondern die Fehleinschätzung der eigenen Lage.

Das Bundeskriminalamt beschreibt in seinem Bundeslagebild Cybercrime 2025, wie KI diese Entwicklung befeuert. Für 2025 registrierte das BKA 333.922 Fälle von Cybercrime im engeren Sinne in Deutschland, darunter 1.041 angezeigte Ransomware-Angriffe, zehn Prozent mehr als im Vorjahr. Der Behörde zufolge wirkt KI dabei auf drei Wegen: Sie senkt die technischen Einstiegshürden, sie lässt Phishing-Nachrichten authentischer und damit gefährlicher wirken, und sie macht es leichter, Schwachstellen aufzuspüren und auszunutzen. Der entscheidende Punkt ist die Skalierung. KI muss die bekannten Vorgehensweisen gar nicht neu erfinden, um gefährlicher zu werden. Sie erhöht die Skalierbarkeit bestehender Angriffsmuster und zugleich deren Qualität. Den wirtschaftlichen Schaden für Deutschland beziffert das BKA auf Basis der Bitkom-Zahlen auf rund 202 Milliarden Euro im Jahr, das entspricht etwa 4,5 Prozent des Bruttoinlandsprodukts.

Zwei Fälle machen greifbar, was das bedeutet.

Im Januar 2024 überwies ein Finanzmitarbeiter des Ingenieurbüros Arup in Hongkong umgerechnet rund 25,6 Millionen US-Dollar in fünfzehn Einzeltransaktionen. Er hatte an einer Videokonferenz teilgenommen, in der er seinen Finanzvorstand und mehrere Kollegen zu sehen und zu hören glaubte. Keiner der Teilnehmer war echt. Alle waren in Echtzeit erzeugte Deepfakes. Anfängliche Zweifel des Mitarbeiters wurden gerade durch die scheinbar persönliche Videokonferenz zerstreut. Es ist bis heute der größte dokumentierte Einzelfall dieser Art, und er zeigt eine unbequeme Wahrheit: Ein Video-Call ist kein Identitätsnachweis mehr.

Im September 2025 stieß das KI-Unternehmen Anthropic auf eine Angriffskampagne, bei der eine mutmaßlich staatlich unterstützte Gruppe das KI-Werkzeug des Herstellers zweckentfremdete, um etwa dreißig Organisationen weltweit anzugreifen, darunter Technologiekonzerne, Finanzinstitute und Behörden. Nach Darstellung des Unternehmens liefen 80 bis 90 Prozent der Operation weitgehend automatisiert ab, menschliche Eingriffe waren nur an wenigen kritischen Entscheidungspunkten nötig. Mehrere unabhängige Sicherheitsforscher bezweifeln allerdings, dass der Grad an Autonomie tatsächlich so hoch war, und verweisen darauf, dass im Kern bekannte Werkzeuge orchestriert wurden. Doch selbst wer diese Einordnung vorsichtig liest, kommt an der strategischen Botschaft nicht vorbei. Die Richtung stimmt, und sie zeigt, wohin die Reise geht.

Genau an dieser Stelle beobachten wir bei vielen Unternehmen eine Blockade. Sie scheuen den Einsatz von KI in den eigenen Systemen, oft gerade in der Tiefe, weil sie fürchten, die KI könne Fehler machen oder Daten preisgeben. Genährt wird diese Sorge durch die Berichterstattung, die vor allem das aufgreift, womit sich Aufmerksamkeit erzeugen lässt: den spektakulären Fehlschlag, den Moment, in dem etwas völlig aus dem Ruder läuft.

Das jüngste und prominenteste Beispiel ist nur wenige Tage alt. OpenAI räumte in einem Blogbeitrag ein, dass zwei seiner Modelle bei einem internen Test über die Stränge geschlagen hatten. Geprüft werden sollte mit dem Branchentest ExploitGym die Fähigkeit, Sicherheitslücken für Angriffe auszunutzen. Die Modelle gingen weiter als vorgesehen. Sie brachen aus der abgeschotteten Testumgebung aus, verschafften sich Zugang zum offenen Internet und führten eigenständig einen Angriff auf die KI-Plattform Hugging Face aus. OpenAI übernahm die Verantwortung, sprach von einem beispiellosen Cybervorfall und entschuldigte sich. Die Schlagzeilen lauteten prompt: Haben wir die Kontrolle über die KI verloren?

Diesen Vorfall kleinzureden wäre falsch. Die Absicherung hat nicht gehalten, und getroffen wurde ein reales fremdes Unternehmen, kein Testziel. Wer daraus jedoch ableitet, KI sei im eigenen Haus grundsätzlich unbeherrschbar, verwechselt zwei sehr verschiedene Risiken. Gescheitert ist in diesem Fall das Einhegen eines Spitzenmodells, das gezielt darauf angesetzt worden war, Sicherheitslücken aufzuspüren und auszunutzen, und das dabei seine Fähigkeiten maximal ausschöpfen sollte. Das ist eine Herausforderung für die Hersteller solcher Modelle und für die Sicherheitsforschung. Es ist nicht die Situation eines Unternehmens, das ein Modell über eine Schnittstelle Konfigurationen prüfen oder Protokolldateien auswerten lässt. Dort liegen die Risiken anders und banaler: eine falsche Auskunft, ein unbedachter Datenabfluss. Wer beide Ebenen vermischt, zieht aus einem Befund über hochspezialisierte Modelle im Grenztest den falschen Schluss für den eigenen Serverraum.

Der Cybersicherheitsforscher Thorsten Holz vom Max-Planck-Institut für Sicherheit und Privatsphäre, der am ExploitGym-Projekt beteiligt ist, ordnet das nüchtern ein: Technisch stelle selbst ein Angriff, den eine KI vollständig allein steuert, die bestehenden Sicherheitssysteme vor keine grundsätzlich neue Herausforderung. Was sich ändere, sei die Effizienz. Die Maschine ist als Angreifer deutlich effizienter als der Mensch. Und genau deshalb, so Holz, müssen auch die Verteidiger auf die Maschine setzen, um möglichst alle Schwachstellen in den eigenen Systemen zu schließen.

Die Lehre aus dem Vorfall lautet damit nicht Verzicht, sondern das Gegenteil. Der Ausbruch hat bewiesen, dass ein KI-System einen Angriff eigenständig zu Ende führen kann. Wenn die Maschine auf der Angreiferseite effizienter arbeitet als jeder Mensch, hält auf der Verteidigerseite nur die Maschine mit.

Der Denkfehler liegt schon in der Ausgangsfrage. „Wo gehe ich mit KI ein Risiko ein?“ führt fast zwangsläufig zur Antwort „lieber gar nicht“, weil ein risikofreier Zustand nicht existiert. Er existiert auch ohne KI nicht. Menschen machen Fehler, Menschen leaken Daten, Menschen fallen auf Deepfakes herein, wie der Fall Arup zeigt. Die entscheidende Frage lautet deshalb nicht, wo man kein Risiko hat, sondern wie man sich die Kompetenz aneignet, ein Risiko zu beherrschen, und wo das Risiko am Ende größer ist, mit oder ohne KI. Dieses Verhältnis verschiebt sich, und es verschiebt sich zugunsten des Einsatzes.

Gerade die Sorge vor dem Datenabfluss zeigt, dass Risiko nicht Schicksal ist, sondern gestaltbar. Ob und wohin Daten abfließen, entscheidet sich über die Rahmenbedingungen: über eine saubere Auftragsverarbeitung, über Vereinbarungen, dass Eingaben nicht zum Training verwendet werden, über durchdachte Zugriffskonzepte und, wo nötig, über lokal betriebene Modelle. Das ist kein technisches Detail am Rande, sondern der eigentliche Hebel. Wer diese Gestaltungsmöglichkeiten kennt und nutzt, verwandelt eine diffuse Angst in ein kontrolliertes Risiko.

In der physischen Welt versteht das jeder sofort. Ein Haus wird nicht durch eine einzelne Maßnahme sicher, sondern durch gestaffelte Hürden, die aufeinander aufbauen: den Zaun, die Videoüberwachung, den Hund, den Sicherheitsdienst. Das eine Haus hat die höhere Mauer und die besseren Fenster, das Nachbarhaus nicht. Ein Einbrecher, der kein bestimmtes Ziel verfolgt, sucht sich das Haus, bei dem der Aufwand kleiner und das Risiko geringer ist. Auch der Angriff folgt einer Kosten-Nutzen-Abwägung.

Für den Massen- und Gelegenheitsangriff, der den Mittelstand am häufigsten trifft, gilt diese Logik unmittelbar. Wer die Schwelle erhöht, wird schlicht seltener zum Ziel. Beim gezielten Angriff verhält es sich anders. Der staatlich unterstützte Akteur sucht sich nicht das leichtere Haus, er will genau dieses eine. Hier hilft die höhere Mauer allein nicht mehr, hier zählt, wie schnell man merkt, dass doch jemand eingestiegen ist, und wie schnell man reagiert.

Der Punkt ist: KI hilft bei beidem. Sie baut die Mauer schneller und günstiger höher, und sie erkennt schneller, wenn die Mauer überwunden wurde. Genau das ist der Vorteil derer, die KI in der Abwehr einsetzen. Sie stellen in deutlich kürzerer Zeit deutlich mehr Sicherheit her.

Ein Beispiel aus der Praxis macht das anschaulicher als jede Aufzählung. Wer glaubt, ein IT-Dienstleister prüfe alle drei Wochen jede einzelne Firewall-Regel von Hand, sitzt einer Illusion auf. Das passiert nicht, und zwar nicht aus Nachlässigkeit, sondern weil es an Zeit und Wirtschaftlichkeit scheitert. Mit KI lässt sich genau diese Prüfung bei entsprechender Disziplin und Planung zur festen Pflicht machen. In kürzerer Zeit werden mehr Prüfungen durchgeführt, wiederkehrend statt sporadisch. Dasselbe gilt für das Prüfen von Bestandssystemen auf bekannte Schwachstellen, für das Härten von Konfigurationen, für das Einrichten und Kontrollieren von VPN-Verbindungen.

Ein Restrisiko bleibt dabei immer. Die relevante Frage ist aber, ob dieses Restrisiko bei richtiger Vorgehensweise größer oder kleiner ist als der Status quo. Eine unregelmäßige Stichprobe von Hand mit hohem Restrisiko gegen eine disziplinierte, häufige Prüfung mit kleinerem Restrisiko. So gestellt, beantwortet sich die Frage von selbst.

Der Gewinn hängt allerdings an dem Halbsatz „bei entsprechender Disziplin und Planung“. Die KI macht das Prüfen schnell und günstig, aber jemand muss den Prüfrhythmus festlegen, die Ergebnisse bewerten und die Konsequenz ziehen. Sonst entstehen am Ende nur mehr Berichte, die niemand liest. Das Werkzeug verschiebt das Risiko nur dann zum Besseren, wenn Kompetenz und Prozess dahinterstehen.

Daraus folgt eine strategische Empfehlung für die kommenden Jahre. Unternehmen sollten bei Investitionen in Hardware und Software zunehmend auf Lösungen setzen, die KI tief und nativ mitdenken. Es gibt erhebliche Unterschiede darin, wie gut sich ein System von einer KI überhaupt bedienen und überwachen lässt, und diese Unterschiede hängen davon ab, wie das System gebaut ist. Ein System mit einer sauberen, für Automatisierung ausgelegten Schnittstelle lässt sich einbinden, ein reines Klick-Interface aus der Legacy-Welt eben nicht. Wer heute investiert, sollte diese Fähigkeit als Kriterium behandeln.

Wichtig ist dabei das richtige Verständnis von Autonomie. Es geht nicht um Systeme, die sich selbst überlassen bleiben, sondern um teilautonomen Betrieb, bei dem der Mensch an den kritischen Entscheidungspunkten die Kontrolle behält. Der OpenAI-Vorfall zeigt, was passiert, wenn diese Haltepunkte fehlen: Ein System, das seine Aufgabe ohne Rückkopplung an den Menschen konsequent zu Ende verfolgte, überschritt dabei Grenzen, die niemand überschreiten wollte. Die defensive Konsequenz daraus ist nicht der Verzicht auf Automatisierung, sondern Automatisierung mit definierten Haltepunkten. Die Technik übernimmt die Masse an Routine, Bewertung und Entscheidung bleiben beim Menschen. Aus unserer Arbeit ist uns dieser Grundsatz vertraut. Das Urteil bleibt die entscheidende Instanz, die Technik ist ein nachgelagertes Hilfsmittel, nicht ihr Ersatz.

Zunächst die unbequeme Zahl. Nach den Feststellungen des BSI treffen rund 80 Prozent der dokumentierten Ransomware-Angriffe kleine und mittlere Unternehmen. Der Mittelstand ist heute nicht Randziel, sondern Hauptziel. Wer aus der eigenen Größe ableitet, für Angreifer uninteressant zu sein, irrt sich, und dieser Irrtum ist Teil der oben beschriebenen Fehleinschätzung der eigenen Lage.

Genau deshalb aber ist die gute Nachricht wichtig, die in kaum einem Beitrag steht. Kleine und mittelständische Unternehmen ohne eigenen Konzernschutz und ohne eigene Sicherheitsabteilung sind heute in der Lage, ein Abwehrniveau aufzubauen, das an das großer Anbieter heranreicht. Dafür gibt es zwei Gründe.

Der erste ist die kleinere Angriffsfläche. Wer weniger Systeme verwaltet, hat einen überschaubareren Bereich zu schützen, und der Rückstand ist deshalb keine Frage des Umfangs, sondern der Bearbeitung. Der Mittelstand ist nicht verwundbar, weil er klein ist, sondern weil er den Hebel bislang nicht zieht. Die kleinere Fläche ist ein struktureller Vorteil, der ungenutzt bleibt, weil die Kompetenz fehlte, ihn zu heben. Genau die wird jetzt zugänglich.

Der zweite Grund ist eben diese Zugänglichkeit von Fachwissen. Was früher teuer im Haus vorgehalten werden musste, lässt sich heute abrufen. Das heißt nicht, dass KI den Fachmann ersetzt. Sie senkt die Schwelle radikal, aber jemand muss die richtigen Fragen stellen, die Antworten einordnen und die Umsetzung verantworten. Fachwissen wird abrufbar, wenn man die Kompetenz aufbaut, es abzurufen und zu bewerten. Das ist kein Widerspruch zur eigenen Verantwortung, sondern ihre moderne Form.

Und dieser Kompetenzaufbau ist längst nicht mehr nur betriebswirtschaftlich klug. Artikel 4 der europäischen KI-Verordnung verpflichtet seit dem 2. Februar 2025 nicht nur Anbieter, sondern ausdrücklich auch Betreiber von KI-Systemen dazu, für ein ausreichendes Maß an KI-Kompetenz bei den Personen zu sorgen, die diese Systeme in ihrem Auftrag einsetzen. Wer KI im Unternehmen nutzt, muss verstehen, was er nutzt. Damit ist aus der Empfehlung, sich mit der Materie auseinanderzusetzen, eine Rechtspflicht geworden. Parallel dazu erweitert die Umsetzung der NIS2-Richtlinie den Kreis der Unternehmen mit verbindlichen Anforderungen an Risikomanagement und Meldewege erheblich, und sie erfasst dabei viele mittelständische Betriebe, die bislang außerhalb jeder Regulierung standen.

KI ist, zumindest zum heutigen Zeitpunkt und richtig eingesetzt, zunächst ein extrem mächtiges Werkzeug. Man kann damit Fehler machen, man geht neue Risiken ein. Aber diese Risiken sind kontrollierbar, und kontrollierbar werden sie nur, wenn man sich mit der Materie auseinandersetzt, Kompetenz aufbaut und ein Gefühl dafür entwickelt, wie viel zum jetzigen Zeitpunkt bereits möglich ist.

Wer aus Angst darauf verzichtet, zahlt doppelt. Er verschenkt den Produktivitätsgewinn, und er kann sich gegen eine neue Generation von Angriffen nicht mehr auf Augenhöhe wehren. Die Verweigerung ist damit selbst der strukturelle Nachteil. Es ging in der Cybersicherheit nie um absolute Sicherheit, es ging immer darum, im Wettrüsten nicht zurückzufallen. Wer KI-gestützte Angriffe mit den Mitteln von gestern abwehren will, hat dieses Rennen bereits verloren. Deshalb ist der Einsatz von KI in der eigenen Sicherheit keine Kür. Er ist eine Notwendigkeit.

1. Bundesamt für Sicherheit in der Informationstechnik (BSI): Die Lage der IT-Sicherheit in Deutschland 2025 (Berichtszeitraum Juli 2024 bis Juni 2025). https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf?__blob=publicationFile&v=7 (Gesamtausgabe unter https://medien.bsi.bund.de/lagebericht/de/)
2. Bundeskriminalamt (BKA): Bundeslagebild Cybercrime 2025 (veröffentlicht 12. Mai 2026). Download: https://www.bka.de/SharedDocs/Downloads/DE/Publikationen/JahresberichteUndLagebilder/Cybercrime/cybercrimeBundeslagebild2025.html?nn=28110 — Pressemitteilung mit Kernzahlen: https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2026/Presse2026/260512_PM_BLB_Cybercrime.html
3. Deepfake-Betrug beim Ingenieurbüro Arup (Hongkong, Januar 2024), t3n. https://t3n.de/news/unternehmen-25-millionen-dollar-deepfake-videokonferenz-1605894/
4. Von Anthropic dokumentierte, weitgehend KI-gesteuerte Spionagekampagne (September 2025), The Decoder. https://the-decoder.de/anthropic-deckt-erste-weitgehend-ki-gesteuerte-spionagekampagne-auf/
5. Kritische Einordnung zum Autonomiegrad dieser Kampagne, Telepolis. https://www.telepolis.de/article/Anthropic-gegen-China-KI-Firma-stoppt-staatlich-gefoerderte-Hacker-Kampagne-11080444.html
6. KI-Modelle von OpenAI brechen bei einem ExploitGym-Test aus und greifen Hugging Face an (Juli 2026), Tagesspiegel. https://www.tagesspiegel.de/wirtschaft/cyber-zwischenfall-ki-von-openai-spielt-eigenstandig-computer-hacker-15864179.html
7. Einordnung des Vorfalls durch Prof. Thorsten Holz (MPI für Sicherheit und Privatsphäre), Deutschlandfunk. https://www.deutschlandfunk.de/ist-ki-zu-kontrollieren-int-thorsten-holz-mpi-sicherheit-und-privatsphaere-100.html
8. Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4 — KI-Kompetenz, anwendbar seit 2. Februar 2025.