KI beschleunigt alles. Auch Cyberrisiken

Cybersecurity gehört an den Anfang

KI als Innovationsprojekt, Cybersecurity als technische Disziplin: Diese Trennung funktioniert immer weniger. Denn KI beeinflusst längst weit mehr als die IT. Kundenergebnisse, Geschäftsprozesse, Produktivität, Finanzberichterstattung, Lieferketten und strategische Entscheidungen können betroffen sein.

Deshalb sollten Sicherheit, Datenschutz, Resilienz, Governance und Vertrauen von Beginn an Teil jeder relevanten KI-Initiative sein. Fünf Fragen schaffen Orientierung:

• Auf welche Daten kann die KI zugreifen?
• Welche Entscheidungen kann sie beeinflussen?
• Wer trägt die Verantwortung?
• Wie wird sie überwacht?
• Was geschieht, wenn sie versagt?

Wer darauf keine klaren Antworten hat, riskiert, dass die technologische Entwicklung der eigenen Steuerungsfähigkeit davonläuft.

 

Identität wird zum Sicherheitsfaktor

Die Angriffsfläche verändert sich. Neben Mitarbeitenden greifen heute Dienstkonten, Maschinenidentitäten, APIs, Automatisierungsplattformen, KI-Assistenten, autonome Agenten und Anwendungen von Drittanbietern auf Systeme und Daten zu.

Entsprechend wichtig wird die Kontrolle von Identitäten und Berechtigungen. Unternehmen sollten jederzeit beantworten können: Wer oder was hat worauf Zugriff und weshalb? Ebenso wichtig: Wird dieser Zugriff weiterhin benötigt?

Kurz gesagt: Was Sie nicht identifizieren können, können Sie nicht schützen.

 

Risiken kontinuierlich steuern statt periodisch prüfen

Jährliche Risikobeurteilungen, vierteljährliche Reviews und punktuelle Tests passen schlecht zu Bedrohungen, die sich laufend verändern. Der Fokus verschiebt sich deshalb vom Management einzelner Sicherheitsvorfälle zum kontinuierlichen Management der Risikoexposition.

Das verändert auch die Fragen und Prioritäten von Unternehmen:

• Nicht nur «Erfüllen wir die relevanten Anforderungen?», sondern «Wo können wir heute angegriffen werden?»
• Nicht nur Aktivitäten messen, sondern auch Ergebnisse und tatsächliche Risiken beurteilen.
• Kritische Unternehmenswerte, sensible Daten, Identitäten, Schwachstellen, Drittanbieter und KI-Systeme laufend überprüfen.

Perfekte Sicherheit ist dabei nicht das Ziel. Entscheidend ist, Unsicherheit zu reduzieren und Risiken frühzeitig zu erkennen, bevor sie zu einer Betriebsunterbrechung führen.

 

KI nutzen, ohne die Kontrolle abzugeben

Auf KI zu verzichten, ist ebenso wenig eine nachhaltige Antwort wie eine unkontrollierte Beschleunigung. Unternehmen können KI gezielt einsetzen, um Sicherheitsprozesse zu verbessern, Untersuchungen zu automatisieren, Warnmeldungen anzureichern und Bedrohungen früher zu erkennen. Gleichzeitig braucht dieser Einsatz klare Leitplanken.

Dazu gehören menschliche Verantwortlichkeit bei weitreichenden Entscheidungen, definierte Schwellenwerte für autonome Aktionen sowie die laufende Überwachung, Prüfung und Validierung KI-generierter Ergebnisse.

Der entscheidende Punkt: Vertrauen braucht Nachweise.

 

Resilienz muss schneller werden

Auch klassische Resilienzkonzepte geraten unter Druck. Ein kompromittiertes KI-Modell, manipulierte Daten oder ein ausser Kontrolle geratener autonomer Prozess können Auswirkungen mit hoher Geschwindigkeit entfalten.

Deshalb gehören KI-Szenarien in die Krisenvorsorge:

• Ausfälle von KI-Systemen testen
• KI in Krisenübungen integrieren
• Wiederherstellungsverfahren validieren
• auf kompromittierte Modelle und korrumpierte Daten vorbereitet sein
• Eskalationswege und Verantwortlichkeiten klar festlegen

Resilienz bedeutet dabei nicht nur, Systeme wiederherzustellen. Unternehmen müssen auch dann handlungsfähig und vertrauenswürdig bleiben, wenn automatisierte Entscheidungen oder digitale Ökosysteme versagen.

 

Cybersecurity wird zur Führungsaufgabe

Technologie und Kontrollen bleiben wichtig. Doch entscheidend wird, wie Unternehmen Geschwindigkeit, Verantwortung und Vertrauen steuern. Verwaltungsräte und Geschäftsleitungen müssen verstehen, wo KI Mehrwert schafft, welche Risiken entstehen, wer dafür verantwortlich ist und ob die vorgesehenen Kontrollen tatsächlich wirken.

Cybersecurity und KI-Governance gehören deshalb in die strategische Entscheidungsfindung. Denn KI verändert den Auftrag nicht. Sie verändert das Tempo.

 

Sieben Schritte, die jetzt Orientierung schaffen

Entscheidend ist, aus diesen Grundsätzen einen verlässlichen operativen Rhythmus zu machen. Sieben konkrete Schritte helfen dabei.

1. Transparenz über den KI-Einsatz schaffen
Erfassen Sie KI-Anwendungsfälle, Modelle, Agenten, Datenquellen, Integrationen, Anbieter und Maschinenidentitäten. Ordnen Sie diese nach geschäftlicher Bedeutung und Risikoexposition. So entsteht eine gemeinsame Sicht darauf, wo KI eingesetzt wird und worauf sie zugreifen kann.

2. Verantwortung eindeutig zuweisen
Definieren Sie für wesentliche KI-Anwendungen die geschäftliche, technische, datenbezogene und risikobezogene Verantwortung. Klären Sie ausserdem, wer den Einsatz genehmigt, Risiken akzeptiert und eine Anwendung stoppen darf.

3. Governance nach Risiko ausrichten
Anwendungen mit geringem Risiko können beschleunigte Prozesse durchlaufen. Anwendungen mit Auswirkungen auf Kundinnen und Kunden, Mitarbeitende, sensible Daten oder kritische Betriebsabläufe brauchen strengere Freigaben. So unterstützt Governance sichere Innovation, statt sie pauschal zu bremsen.

4. Identitäten, Daten und Agenten schützen
Wenden Sie geringe Berechtigungen, starke Authentifizierung, Geheimnisverwaltung, Zugriffskontrollen, Protokollierung und Lebenszyklusmanagement auf menschliche wie nichtmenschliche Identitäten an.

5. KI auch für die Abwehr einsetzen
Nutzen Sie KI, um Warnmeldungen anzureichern, Zusammenhänge zu erkennen, Untersuchungen zu beschleunigen und Risiken zu priorisieren. Bei Aktionen mit erheblichen geschäftlichen Auswirkungen bleibt die menschliche Beurteilung zentral.

6. Kontrollen kontinuierlich testen
Prüfen Sie Angriffspfade, Modellverhalten, Wiederherstellung und Abhängigkeiten von Drittanbietern laufend. Auch die Kompromittierung von KI, Data Poisoning (auf Deutsch: Datenvergiftung), Agentenmissbrauch und fehlerhafte automatisierte Entscheidungen gehören in realistische Planspiele.

7. Messen, was für die Führung relevant ist
Konzentrieren Sie die Berichterstattung auf wesentliche Risiken, Erkennungs- und Eindämmungszeiten, privilegierte Zugriffe, Kontrollwirksamkeit, Resilienz, Ausnahmen beim KI-Einsatz und akzeptierte Risiken. Das schafft eine bessere Grundlage für Führungsentscheidungen.

 

Nicht alles gleichzeitig. Aber jetzt beginnen.

Keiner dieser sieben Schritte muss von Anfang an perfekt sein. Beginnen Sie dort, wo die Auswirkungen am grössten sind: bei wesentlichen KI-Anwendungen, kritischen Geschäftsservices, sensiblen Daten, privilegierten Identitäten und plausiblen Angriffspfaden.

Ein 90-Tage-Aktionsplan schafft Struktur: Verantwortliche benennen, benötigte Nachweise und Berichte definieren und Fortschritte in einem festen Rhythmus überprüfen.

KI verändert die Cybersicherheit grundlegend. Sie erhöht nicht nur die Risiken, sondern schafft auch neue Möglichkeiten für die Abwehr. Entscheidend ist deshalb nicht, KI möglichst früh einzusetzen. Entscheidend ist, sie sicher und wirksam zu steuern.