Warum Unternehmen bei KI vorsichtig bleiben — Und wie man sie sicher einsetzt

KI hat die Welt im Sturm erobert. Während einige Organisationen frühzeitig adoptierten, haben viele Unternehmen einen vorsichtigeren Ansatz gewählt — besorgt mit Datenschutz, Compliance und operativen Problemen, die bis heute anhalten.

Ich habe an hunderten von Deployments mit KI-gestützten Sicherheits-Tools gearbeitet und ein bekanntes Muster beobachtet. Champions bringen frühes Enthusiasmus. Pilotprojekte zeigen vielversprechende Ergebnisse. Dann kommen interne Debatten, juristische Überprüfungen und schließlich eine Pause, wenn Organisationen in eine Analyse-Paralyse verfallen. Trotz des enormen Potenzials von KI, um Sicherheitsoperationen zu transformieren, sind viele Unternehmen immer noch zögerlich, sie vollständig zu akzeptieren.

In der Cybersicherheit ist Vorsicht oft der richtige Instinkt. Aber das Verzögern von KI-Implementierungen wird die KI-gestützten Bedrohungen nicht stoppen, die jetzt in Umfang und Häufigkeit wachsen. Die wahre Herausforderung ist, wie man KI sicher, bewusst und ohne Kompromisse bei Vertrauen adoptiert.

Hier ist, was ich aus der Frontlinie gelernt habe — und was ich Sicherheitsleitern empfehle, die bereit sind, mit Vertrauen voranzuschreiten.

1. Das Daten-Vertrauensproblem

Das erste und größte Hindernis ist das Datenmanagement. Viele Unternehmen sind entsetzt über die Vorstellung, dass sensible Daten lecken, missbraucht oder — schlimmer noch — verwendet werden könnten, um ein Modell zu trainieren, das einem Wettbewerber zugutekommt. Hochkarätige Datenlecks und vage Zusicherungen von Anbietern verstärken diese Ängste.

Es ist nicht Paranoia. Wenn man mit Kunden-PII, geistigem Eigentum oder regulierten Daten zu tun hat, kann es sich anfühlen, als ob man die Kontrolle verliert, wenn man diese an einen Dritten weitergibt. Und bis Anbieter ihre Richtlinien zu Daten-Trennung, -Aufbewahrung, -Beteiligung von Dritten und Modell-Training besser klären, wird die Akzeptanz vorsichtig bleiben.

Hier wird Governance entscheidend. CISOs sollten Anbieter mit Hilfe von Frameworks wie dem NIST AI Risk Management Framework oder ISO/IEC 42001 bewerten, die praktische Richtlinien für Vertrauen, Transparenz und Rechenschaftspflicht in KI-Systemen bieten.

2. Man kann nicht verbessern, was man nicht misst

Ein weiteres häufiges Hindernis ist der Mangel an Basis-Metriken. Viele Unternehmen können ihre aktuelle Leistung nicht quantifizieren, was es fast unmöglich macht, den ROI von KI-Tools zu beweisen. Wie kann man von einer 40-prozentigen Effizienzsteigerung sprechen, wenn niemand verfolgt hat, wie lange die Aufgabe vor der Automatisierung gedauert hat?

Ob es sich um Mean Time to detect (MTTD), Falsch-Positiv-Raten oder SOC-Analysten-Stunden handelt, die gespart werden, müssen Organisationen damit beginnen, ihre aktuellen Workflows zu messen. Ohne diese Daten bleibt der Fall für KI anekdotisch — und Sponsor-Exekutiven werden keine großen Initiativen ohne reale, verteidigbare Zahlen genehmigen.

Beginnen Sie damit, wichtige KPIs zu verfolgen, einschließlich:

• Mittelzeit zur Erkennung/Antwort (MTTD/MTTR)
• Reduzierung von Falsch-Positiven, Falsch-Negativen und Ticket-Volumen
• Analysten-Zeit, die pro Vorfall gespart wird
• Verbesserungen der Abdeckung (z. B. Schwachstellen, die gescannt und behoben werden)
• Vorfälle, die ohne Eskalation gelöst werden

Diese Basiswerte werden zum Rückgrat Ihrer KI-Rechtfertigungsstrategie.

3. Wenn die Tools zu gut funktionieren

Ironischerweise ist einer der Gründe, warum die KI-Adoption ins Stocken gerät, dass einige Tools zu gut funktionieren — und mehr Risiken aufdecken, als die Organisation zu handhaben bereit ist.

Erweiterte Bedrohungs-Intelligence-Plattformen, Dark-Web-Überwachungstools und LLM-gestützte Sichtbarkeitslösungen decken oft gestohlene Anmeldeinformationen, ähnliche Domains oder zuvor unentdeckte Schwachstellen auf. Anstatt Klarheit zu schaffen, kann diese überwältigende Sichtbarkeit ein neues Problem erzeugen: Wo fängt man überhaupt an?

Ich habe Teams gesehen, die erweiterte Scans deaktivieren, weil das Volumen der Ergebnisse politisches oder budgetäres Unbehagen erzeugt. Bessere Sichtbarkeit erfordert bessere Priorisierung — und die Bereitschaft, Probleme direkt anzugehen.

4. In Legacy-Verträgen eingeschlossen

Sogar wenn bessere Tools verfügbar sind, sind viele Unternehmen in mehrjährige Vereinbarungen mit Legacy-Anbietern eingeschlossen. Einige dieser Verträge haben finanzielle Strafen, die so hoch sind, dass ein Wechsel während der Laufzeit kein Starter ist.

E-Mail-Sicherheit ist ein klassisches Beispiel. Moderne Lösungen bieten jetzt KI-gestützte Bedrohungserkennung, Verhaltensmodellierung und eingebaute Widerstandsfähigkeit für hybride Umgebungen. Aber wenn Ihr aktueller Anbieter nicht Schritt gehalten hat und Sie in einem Fünf-Jahres-Deal feststecken, sind Sie effektiv bis zum Vertragsende festgelegt.

5. Der Aufstieg von Shadow AI

Die KI-Adoption findet nicht nur von oben nach unten statt — sie findet überall statt, oft ohne das Wissen der Sicherheit. Unsere Forschung zeigt, dass über 85 % der Mitarbeiter bereits KI-Tools wie ChatGPT, Copilot und Bard verwenden. (um nicht zu erwähnen DeepSeek und TikTok!)

Ohne ordnungsgemäße Überwachung können Mitarbeiter sensible Daten in öffentliche Tools eingeben, sich auf halluzinierte Ausgaben verlassen oder unbeabsichtigt Unternehmensrichtlinien verletzen. Es ist ein Compliance- und Datenschutz-Albtraum, und so zu tun, als ob es nicht passiert, löst das Problem nicht.

Sicherheitsleiter müssen proaktiv vorgehen, indem sie:

• Akzeptable Nutzungsrichtlinien festlegen
• Un genehmigte KI-Apps blockieren, wo nötig, und diese Benutzer zu autorisierten Tools umleiten
• Sichere, genehmigte KI-Plattformen für interne Nutzung bereitstellen
• Mitarbeiter über verantwortungsvolle KI-Nutzung schulen

Feldnotiz: KI-Nutzungsrichtlinien werden die Nutzung nicht ändern. Man kann nicht durchsetzen, was man nicht weiß, also ist der erste Schritt, die Nutzung zu quantifizieren, und dann den Schalter auf Durchsetzung umzulegen.

6. Outsourcing bringt eigene Risiken mit sich

Wenige Unternehmen haben die Infrastruktur, um große Modelle intern zu bauen und zu hosten. Das bedeutet, dass Outsourcing oft der einzige gangbare Weg ist — aber es bringt Drittanbieter- und Lieferkettenrisiken mit sich, die CISOs nur allzu gut kennen.

Vorfälle wie SolarWinds, Kaseya und der jüngste Snowflake-Datenskandal unterstreichen, wie das Vertrauen in externe Partner ohne Sichtbarkeit zu großen Expositionen führen kann. Wenn Sie KI-Infrastruktur auslagern, erben Sie die Sicherheitslage des Anbieters — gut oder schlecht.

Es reicht nicht aus, einer Marke zu vertrauen. Fordern Sie Klarheit über:

• Modell-Lebenszyklus und Update-Häufigkeit
• Reaktionsprotokolle für Vorfälle
• Anbieter-Sicherheitskontrollen und Compliance-Historie
• Daten-Isolation und Mandantenkontrollen

7. Die KI-Angriffsfläche erweitert sich

Wenn Organisationen KI akzeptieren, müssen sie sich auch auf KI-spezifische Bedrohungsvektoren vorbereiten. Angreifer experimentieren bereits mit:

• Modell-Vergiftung (subtile Veränderung der Trainingsdaten)
• Prompt-Injektion (Manipulation des LLM-Verhaltens)
• Adversarial-Eingaben (Umgehung der Erkennung)
• Halluzinations-Ausbeutung (Täuschen von Benutzern, um falsche Ausgaben zu vertrauen)

Diese sind nicht theoretisch. Sie sind real und wachsen. Wenn Verteidiger KI adoptieren, müssen sie auch ihre Red-Teaming-, Überwachungs- und Reaktionsstrategien anpassen, um diese neue und einzigartige Angriffsfläche zu berücksichtigen.

8. Menschen und Prozesse können die wahre Flaschenhals sein

Eine der übersehenen Herausforderungen ist die organisatorische Bereitschaft. KI-Tools erfordern oft Änderungen an Workflows, Fähigkeiten und Mindsets.

Analysten müssen verstehen, wann sie KI vertrauen, wann sie sie in Frage stellen und wie sie effektiv eskalieren. Leiter müssen KI in Entscheidungsprozesse integrieren, ohne Risiken blind zu automatisieren.

Schulungen, Playbooks und Change-Management müssen sich zusammen mit der Technologie entwickeln. KI-Adoption ist nicht nur eine Tech-Initiative. Es ist eine menschliche Transformationsinitiative.

Was können wir also tun?

Trotz der Herausforderungen glaube ich fest, dass die Vorteile von KI in der Sicherheit die Risiken überwiegen — wenn man es richtig macht. Hier ist, wie ich Organisationen rate, voranzuschreiten:

• Klein anfangen und rigoros testen
• Wählen Sie einen abgegrenzten Anwendungsfall mit messbarem Impact. Führen Sie kontrollierte Pilotprojekte durch. Validieren Sie die Leistung. Bauen Sie Vertrauen mit Daten, nicht mit Hype auf.
• Recht, Risiko und Sicherheit frühzeitig einbeziehen
• Warten Sie nicht, bis die Vertragsphase erreicht ist. Ziehen Sie Recht und Compliance ein, um die Datenbehandlungsbedingungen, regulatorische Risiken und Lieferketten-Auswirkungen im Voraus zu prüfen.

Messen Sie alles

Verfolgen Sie KPIs vor und nach der Implementierung. Erstellen Sie Dashboards, die sowohl in Sicherheits- als auch in Geschäftsbegriffen sprechen. Metriken machen oder brechen die KI-Finanzierung.

Wählen Sie Partner mit realen Beweisen für erfolgreiche Projekte

Schauen Sie über Demos hinaus. Fordern Sie Referenzen. Fragen Sie nach Post-Verkaufs-Support, Deployments-Komplexität und Ergebnissen in Umgebungen wie Ihrer.

Was kommt als Nächstes? Anwendungsfälle, die es wert sind, beobachtet zu werden

Wir sind noch früh in der KI-in-Sicherheit-Reise. Vorausschauende CISOs erkunden bereits:

• KI-Copiloten für Firewall-Management, GRC und Compliance-Automatisierung
• Nutzen von KI-verbesserten Bedrohungs-Feeds, die die Reaktion auf Zero-Day-Bedrohungen und -Genauigkeit beschleunigen
• Generative Red-Teaming und Angriffssimulation
• Selbstheilende Multi-Anbieter-Infrastruktur
• Risikobasierte Identitätskontrollen, die durch Verhaltens-KI angetrieben werden

Diese Anwendungsfälle bewegen sich von Innovationslabors in die Produktion. Die Organisationen, die jetzt Muskeln aufbauen, werden viel besser vorbereitet sein, um zu kapitalisieren.

Letzter Gedanke: Verzögern ist keine Verteidigung

KI ist da, und auch KI-gestützte Angreifer. Je länger Sie warten, desto mehr Boden verlieren Sie. Aber das bedeutet nicht, dass Sie blindlings vorpreschen sollten.

Mit sorgfältiger Planung, transparenter Governance und den richtigen Partnern kann Ihr Unternehmen KI sicher adoptieren — ohne Kontrolle zu opfern, während es die Fähigkeiten steigert.

Die Zukunft der Sicherheit ist erweitert. Die einzige Frage ist, ob Sie führen oder hinterherhinken werden.