Künstliche Intelligenz (KI) verändert die Arbeitsweise vieler Unternehmen. Laut einer Studie geben rund 97 % der Führungskräfte an, im vergangenen Jahr KI-gestützte Systeme eingesetzt zu haben, und über die Hälfte (57 %) ihrer Mitarbeiter nutzen diese bereits. Gleichzeitig beflügelt KI jedoch die Cyberkriminalität. CrowdStrike berichtet von einem Anstieg KI-gestützter Angriffe um 89 % im letzten Jahr.

In vielen dieser Fälle entstehen dadurch keine völlig neuen Risikokategorien. Vielmehr bietet KI Bedrohungsgruppen leistungsstarke Möglichkeiten, ihre Angriffe auszuweiten und zu beschleunigen. Netzwerkverteidiger sind zunehmend überfordert. Und da immer mehr Angreifer auf KI-gestützte Tools setzen, könnte sich dieses Ungleichgewicht noch verschärfen.

Vor diesem Hintergrund kommt den Teams für Compliance, Risikomanagement und Sicherheitsoperationen (SecOps) eine wichtige Rolle zu.

Das Fenster einstürzen

Der kürzlich veröffentlichte Threat Hunting Report 2026 von CrowdStrike ist aufschlussreich. Er erläutert, wie fortschrittliche KI dazu beiträgt, das Zeitfenster zwischen der Entdeckung von Sicherheitslücken und deren Ausnutzung deutlich zu verkürzen. Dabei geht es nicht primär um das Auffinden neuer Schwachstellen, obwohl KI auch dazu in der Lage ist. Vielmehr geht es darum, Hacker in die Lage zu versetzen, die neuesten Entdeckungen sofort zu nutzen und schnell und in großem Umfang Proof-of-Concept-Exploits (PoCs) und Angriffspfade zu entwickeln.

„Durch die Verknüpfung von Aktivitäten über Identitäts-, Cloud-, SaaS-, Endpunkt- und Perimeterinfrastruktur hinweg können Angreifer Fuß fassen, Berechtigungen eskalieren, Daten exfiltrieren oder störende Angriffe starten, bevor die Verteidiger die Signale verbinden und reagieren können“, heißt es in dem Bericht.

Die Ergebnisse sind alarmierend. Zwischen Januar und Juni wurden 88 % der von CrowdStrike beobachteten Ausnutzungen von Sicherheitslücken, die auf einem öffentlich zugänglichen Proof of Concept (PoC) basierten, innerhalb von 48 Stunden nach dessen Veröffentlichung durchgeführt. In einigen Fällen, wie beispielsweise bei den chinesischen Gruppen Vault Panda und Genesis Panda, erfolgten die Angriffe sogar innerhalb von 24 Stunden nach der öffentlichen Bekanntgabe.

Eine relativ kleine, aber wachsende Anzahl neuer Schwachstellen befindet sich in KI-Servern und zugehöriger Software: Diese helfen Angreifern mitunter beim Schürfen von Kryptowährung und beim Abgreifen sensibler Konfigurationsdateien.
Informationen oder sogar Zugriff auf KI-Modelle selbst.

CrowdStrike stellt außerdem fest, dass Techniken für den Zugriff auf KI-Modelle (zu denen auch die Ausnutzung von Sicherheitslücken zählt) 16 % aller in den letzten zwölf Monaten von MITRE ATLAS beobachteten Techniken ausmachten. Dies verdeutlicht die Realität der heutigen Bedrohungslandschaft. KI ist sowohl eine leistungsstarke Technologie für Angriffe als auch ein eigenständiges Ziel. CrowdStrike formuliert es so: „KI ist heute Werkzeug, Ziel und Verstärker für Angreifer.“

Ertrinken in CVEs

Die Frage ist, ob KI auch für Netzwerkverteidiger ein entscheidender Vorteil sein kann, denn die Entwicklung steht erst am Anfang. Berichten zufolge werden bis 2025 über 48,000 CVEs veröffentlicht, ein jährlicher Anstieg von 20 %. Im Juni lag die Zahl bei rund 7400 – fast doppelt so hoch wie im Juni 2025. Die Änderungsrate wird sich weiter beschleunigen.

Einerseits ist das eine gute Nachricht für Netzwerkverteidiger, denn je mehr Sicherheitsupdates verfügbar sind, desto mehr Möglichkeiten gibt es, die Widerstandsfähigkeit von IT-Systemen zu verbessern. Patches sind jedoch nutzlos, wenn es so viele gibt, dass Netzwerkverteidiger sie nicht sinnvoll priorisieren, testen und einsetzen können. Das könnte ihre Arbeit zumindest kurzfristig erschweren.

Eine Antwort planen

Für Erich Kron, CISO-Berater bei KnowBe4, sollte die korrekte Umsetzung der Grundlagen für Sicherheitsteams oberste Priorität haben.

„Unternehmen sollten sicherstellen, dass sie über einen effizienten Prozess verfügen, um Patches oder Schutzmaßnahmen schnell zu testen und diese zügig anzuwenden“, erklärt er gegenüber IO (ehemals ISMS.online). „Sie sollten außerdem ein genaues Inventar aller Geräte im Netzwerk führen, einschließlich der installierten Software und ihrer Versionen, um potenzielle Schwachstellen schnell nach Schweregrad priorisieren zu können und deren Relevanz für das jeweilige Unternehmen zu berücksichtigen.“

Christopher Jess, leitender F&E-Manager bei Black Duck, stimmt zu, dass die Bestandsaufnahme unerlässlich ist, insbesondere in einer Open-Source-Welt, und dass das Risikomanagement kontinuierlich erfolgen muss, wobei die Teams klare Risikoschwellenwerte festlegen, um sofort Gegenmaßnahmen auszulösen.

„Unternehmen müssen den manuellen Aufwand bei der Erkennung, Priorisierung und Behebung von Schwachstellen so weit wie möglich reduzieren“, erklärt er gegenüber IO. „Das bedeutet, Assets und Abhängigkeiten kontinuierlich zu ermitteln, Code und Open Source während des gesamten Softwareentwicklungszyklus (SDLC) zu scannen, neue Informationen zu Schwachstellen automatisch mit den tatsächlich bereitgestellten Komponenten abzugleichen und Probleme nach Ausnutzbarkeit und geschäftlichen Auswirkungen zu priorisieren, anstatt einfach nur immer längere CVEs-Listen zu erstellen.“

Angesichts der wachsenden Kluft in Geschwindigkeit und Fähigkeiten zwischen Angreifern und Verteidigern wird die kontinuierliche Überwachung unerlässlich, ergänzt Deborah Galea, Cybersicherheitsexpertin bei Filigran.

„Periodische, reaktive Risikoanalysen reichen nicht mehr aus. Unternehmen benötigen eine kontinuierliche, proaktive Bedrohungsüberwachung in Echtzeit, die Schwachstellen aufdeckt, bevor diese ausgenutzt werden können. Der Fokus sollte auf realen, nicht auf theoretischen Risiken liegen: auf Schwachstellen, die tatsächlich in der Praxis ausgenutzt werden, und auf Bedrohungen, die gegen Unternehmen ähnlicher Größe, Branche und geografischer Lage beobachtet werden“, erklärt sie gegenüber IO.

„Der Austausch von Echtzeit-Bedrohungsinformationen wird ebenfalls immer wichtiger, da er die Lücke zwischen dem ersten Auftreten eines Angriffs und der Reaktion der Abwehrkräfte verringert und es Unternehmen ermöglicht, auf Risiken zu reagieren, die bei ihren Lieferanten, Mitbewerbern oder in der Branche entstehen, bevor diese Risiken sie selbst erreichen.“

Die Einhaltung der Vorschriften spielt eine Rolle

Oliver Simonnet, leitender Cybersicherheitsforscher bei CultureAI, argumentiert, dass Compliance- und Sicherheitsoperationsteams dabei eine wichtige Rolle spielen.

„Die Compliance- und Governance-Funktionen sollten der Überprüfung, ob die Richtlinien und Verfahren tatsächlich eingehalten werden, Priorität einräumen, um die Auswirkungen des internen KI-Einsatzes und die externe Gefährdung zu verringern“, erklärt er gegenüber IO.

„Das Risikomanagement muss seine Fähigkeit zur Bewertung, Erkennung und Behebung von Sicherheitsproblemen – ob KI-bezogen oder traditionell – verbessern, um die technische Widerstandsfähigkeit des Unternehmens zu maximieren. Die Verfahren zur Lieferantenüberwachung sollten zudem regelmäßig Lieferantenvereinbarungen, -praktiken und -bedingungen überprüfen, um sicherzustellen, dass deren Daten- und allgemeines Risiko bekannt und verstanden bleibt.“

Compliance kann laut Simonnet auch durch klare Verantwortlichkeiten, die Aufsicht durch Dritte sowie messbare Implementierungs- und Testpläne hilfreich sein. „Wenn Organisationen intern Tools mit integrierten KI-Technologien entwickeln und testen, sollten diese als privilegierte, risikoreiche Infrastruktur mit umfassender Transparenz, Protokollierung, Patching, Zugriffskontrollen und Eindämmungsmechanismen behandelt werden“, so Simonnet.

Vor allem dürfen CISOs dieses Thema nicht vernachlässigen. Künstliche Intelligenz ist gekommen, um zu bleiben, und ihr Einfluss auf die Schwachstellenforschung und -ausnutzung ist unbestritten. Die Anzahl der CVEs explodiert. Open-Source-Modelle werden mit jeder neuen Version leistungsfähiger. Wie Simonnet argumentiert: „Unternehmen sollten jetzt versuchen, die Nase vorn zu haben, anstatt das Risiko von KI als etwas zu betrachten, das man später lösen muss.“

Erweitern Sie Ihr Wissen

Blog: Der NVD-Rückzug sollte einen resilienten Ansatz im Schwachstellenmanagement anstoßen.

Blog: Vom Motto „Haltet sie draußen“ zum Motto „Haltet den Geschäftsbetrieb aufrecht“

Podcast: Phishing für Ärger S2 E5: Sie sind konform. Sind Sie widerstandsfähig?