Ein Beitrag von unserem Gastautor Yannick Haeck, Chief Product Officer bei Poka

[datensicherheit.de, 27.07.2026] Mit rund 6.150 Unternehmen und einem Jahresumsatz von über 186 Milliarden Euro ist die deutsche Lebensmittel- und Getränkeindustrie die größte in Europa. Doch trotz vorsichtiger und teilweise restriktiver Personalplanung finden die Hersteller immer noch nicht genügend Fachkräfte. Besonders angespannt ist die Situation laut den jüngsten Zahlen des ifo-Instituts in der Lebensmittelindustrie (27 %).

Generation Z gewinnen, Kompetenzen stärken, Sicherheit neu denken

Es ist eine ständige Herausforderung, die Generation Z für die Produktion zu gewinnen, die traditionell als langweilig, schmutzig oder gefährlich gilt. Die Schulung und Umschulung von Fabrikarbeitern mit unterschiedlichem Wissensstand, verschiedenen Kompetenzen und Sprachproblemen ist dafür von entscheidender Bedeutung. Gleichzeitig müssen die Gesundheits- und Sicherheitsverfahren an das neue technologiegestützte Zeitalter angepasst werden.

Hier kommen GenAI und eine neue Generation von Plattformen für vernetzte Mitarbeiter ins Spiel. Bei diesen Systemen ist die Erstellung und Bereitstellung von Inhalten Teil ihrer DNA. So verwandeln sie die traditionelle Fabrikhalle in einen produktiveren, coolen Arbeitsplatz.

GenAI treibt Produktivität und Innovation in der Industrie voran

GenAI ist nicht nur für die Arbeiter in der Lebensmittel- und Getränkeindustrie von Vorteil, sondern auch für die weltweite Konsumgüterindustrie, in der Deutschland eine führende Rolle spielt. GenAI-Anwendungsfälle könnten die globalen wirtschaftlichen Auswirkungen der KI um 15 bis 40 Prozent steigern. Laut McKinsey wären dadurch zusätzliche Gewinne in Höhe von 160 bis 270 Milliarden US-Dollar jährlich zu erzielen – ein Teil davon durch optimierte Arbeitsabläufe mit zunehmend vernetzten Arbeitern.

Lebensmittel- und Getränkehersteller sind mit Schulungsinhalten schnell überfordert

Lebensmittel- und Getränkehersteller, die über wenig KI-Erfahrung verfügen, können mit einem einfachen Test zur Erkennung von Anomalien einer Produktlinie anfangen. Sie können sogar Programme unterstützen, die über solche Anlagentests hinausgehen und bis zur Schulung und Personalentwicklung reichen.

Von Checklisten und Skill-Übersichten bis hin zu Verfahrensanleitungen und Wissenstransfer: Die Erstellung von Inhalten ist stets mit Aufwand verbunden. Angesichts steigender Kosten, Inflation und geopolitischer Ungewissheit ist es für das Management meistens keine Option, Mitarbeiter von ihren Aufgaben in der Produktion abzuziehen, damit sie Inhalte erstellen.

Dabei ist die Erstellung von Inhalten nicht die einzige Hürde. Noch schwieriger ist es, den Abruf von Inhalten in der Fabrikhalle zu erleichtern.

Vom Endgerät zur Produktionshalle – der Beitrag der KI zur Bindung einer engagierten Belegschaft

Die Einführung neuer Technologien, zum Beispiel von vernetzten Mitarbeiterplattformen und GenAI, verwandelt die dunklen, schmutzigen Werkshallen in einen ansprechenden Arbeitsplatz – und revolutioniert damit die Branche. Lebensmittel- und Getränkehersteller bemühen sich, jüngere Arbeitskräfte zu gewinnen, und bei dieser Personalbeschaffung kann sich GenAI als ausgesprochen nützlich erweisen. Um erfolgreich Mitarbeiter der GenZ anzuwerben, ist es von entscheidender Bedeutung, alle Arbeitsanweisungen auf digitalen Plattformen bereitzustellen.

Arbeitskräfte der Generation Z sind mit dem Einsatz von KI vertraut, beispielsweise durch Tools, die sie im Rahmen ihrer Ausbildung genutzt haben. Das macht sie empfänglicher für die Arbeit mit KI-Unterstützungssystemen. Generell sind es jüngere Menschen gewohnt, digital nach Antworten und Anweisungen zu suchen. Die digitale Bereitstellung von Inhalten ist also entscheidend, um sie in der Lebensmittel- und Getränkeindustrie zu halten und sie dazu zu befähigen, eigenverantwortlich zu handeln.

KI ermöglicht es Arbeitern, intelligenter statt härter zu arbeiten – entscheidend ist die Akzeptanz

Für die Lebensmittel- und Getränkeindustrie ist es eine der größten Heraus­forderungen, qualifizierte Mitarbeiter nicht nur zu rekrutieren, sondern sie auch zu halten. Technologie hilft ihnen dabei.

Gerade in Zeiten des Fachkräftemangels ist es für Hersteller wichtig, ihren Mitarbeitern den Wert von KI-Tools zu vermitteln und deren Nutzung zu erklären.

Die folgenden Beispiele zeigen, wie KI-Tools die Belegschaft unterstützen und motivieren können.

1. KI unterstützt Arbeitsabläufe durch intelligente Content-Umwandlung
   Fabrikarbeiter benötigen leicht verständliche und schnell zu erfassende Inhalte. Diese müssen in verschiedenen Formaten vorliegen, beispielsweise als textbasierte Anleitungen. Doch die Erstellung all dieser Inhalte ist zeit- und kapitalintensiv. Und es geht auch nicht nur um neue Inhalte. Fabriken der Konsumgüterindustrie verfügen bereits über Tausende von Dateien, zum Beispiel zu Standardverfahren und Arbeitsanleitungen. Deren Konvertierung in ein digitales Format ist ebenfalls kostspielig und zeitaufwendig.
   In einer weltweiten Lenovo-Umfrage äußerten 79 % der 600 befragten IT-Führungskräfte die Meinung, dass KI den Mitarbeitern die Möglichkeit gibt, sich auf sinnvollere Aufgaben zu konzentrieren. Das ist besonders in der Lebensmittel- und Getränkeindustrie wichtig, in der die Fristen eng und die Produkte nur begrenzt haltbar sind. Allerdings dauert es in der Regel eine gewisse Zeit, bis der volle Mehrwert von Lösungen für vernetzte Mitarbeiter zum Tragen kommt. Denn es ist sehr zeit- und arbeitsintensiv, die erforderlichen digitalen Arbeitsanweisungen zu erstellen und sie in die Plattform zu importieren. Hier kommt die KI ins Spiel!
2. Bereitstellung multimedialer Arbeitsanweisungen
   Die Rationalisierung der Erstellung oder Konvertierung von Inhalten aller Art mithilfe KI-gestützter Content-Transformation reduziert den Zeitaufwand für die Bereitstellung digitaler oder schriftlicher Anweisungen an einem sicheren Ort ganz erheblich. Die Fähigkeit, umfangreiche schriftliche Standardanweisungen innerhalb weniger Minuten in leicht verständliche digitale Arbeitsanweisungen umzuwandeln, verkürzt die Bereitstellungszeiten und sorgt so für eine schnellere Wertschöpfung.Videos entwickeln sich schnell zu einer der meistkonsumierten Content-Formen – insbesondere für die GenZ. Tatsächlich bekunden 65 % der 16- bis 34-jährigen Mediennutzer Interesse an interaktiven Medieninhalten. Unternehmen sollten deshalb das Potenzial von Videos zur Verbesserung der Nutzerbindung nicht außer Acht lassen. Die Erstellung videobasierter Anleitungen für Fabrikarbeiter ist jedoch eine Herausforderung – insbesondere für Betriebe, die nicht über ausreichende finanzielle und personelle Ressourcen verfügen.Mit der KI-gestützten Erstellung von Videoanleitungen ändert sich das jedoch. Die KI kann relevante Informationen extrahieren und sie in eine strukturierte Abfolge schriftlicher Schritte ordnen. Bilder können dabei helfen, bei jedem Schritt einen visuellen Kontext mitzuliefern. Insgesamt bereichert die KI digitale Arbeitsanweisungen um verschiedene benutzerfreundliche Elemente.

   So können Fabrikarbeiter auf eine visuelle Schritt-für-Schritt-Anleitung zugreifen, die ihnen genau zeigt, wie eine Aufgabe auszuführen ist. Die KI trägt auch zur Verbesserung der Fehlerbehebung bei, da die Bediener auf eine umfangreiche Bibliothek von Inhalten zugreifen können. Jüngere Mitarbeiter profitieren von den Kenntnissen erfahrener Kollegen – auf eine Art und Weise, die ihren Erwartungen an den Arbeitsplatz entspricht.

3. Sprachbarrieren überwinden – mit mehrsprachiger Transkription
   54 % der Arbeiter in der deutschen Lebensmittelherstellung haben einen Migrationshintergrund. Viele von ihnen sprechen Deutsch nicht als Muttersprache. Deshalb haben die meisten Lebensmittel- und Getränkeunternehmen Schwierigkeiten, wichtige betriebliche Inhalte in allen Sprachen ihrer vielsprachigen Belegschaft zur Verfügung zu stellen. Doch damit ist jetzt Schluss! Die KI-gestützte Transkription kann Sprachbarrieren abbauen und die Integration der Mitarbeiter fördern, indem sie alle Arten von Inhalten in die gewünschte Sprache übersetzt.Was die KI-gesteuerte Transkription gegenüber menschlichen Übersetzern so nützlich macht, ist ihre Geschwindigkeit. GenAI-Tools brauchen für die Übersetzung von Videoaufnahmen nur wenige Minuten, keine Stunden. Die KI übersetzt den Ton automatisch in Untertitel in der Zielsprache. Das reduziert nicht nur den Aufwand für die Erstellung und Pflege von Inhalten. Es verbessert auch das Verständnis und das Behalten von Informationen und führt so zu mehr Sicherheit, Qualität und Produktivität in den Betrieben.
4. Absichtsgesteuerte Suche zur Erfüllung der Benutzeranforderungen
   Präzise Kommunikation und Verständlichkeit sind der Schlüssel, um die Produktivität von Mitarbeitern und Teams zu verbessern. In einer schnelllebigen und lauten Produktionsumgebung sind Fehler unvermeidbar. Da wäre es sehr hilfreich, ein Tool zu haben, das die Eingaben des Benutzers intelligent interpretiert und durch automatische Verbesserung von Grammatik, Wortschatz und Zeichensetzung für optimale Lesbarkeit sorgt.KI kann es den Mitarbeitern ermöglichen, intelligenter statt härter zu arbeiten. Sie stellt ihnen intelligente Suchfunktionen zur Verfügung, die nicht nur die Absicht ihrer Anfrage erfassen, sondern sich auch an Tippfehler oder vage Begriffe anpassen. So erhalten die Nutzer schnelle und präzise Antworten auf ihre Anfragen, beispielsweise zu der Frage, wie der blockierte Mechanismus einer Mischmaschine zu beheben ist. KI stellt sicher, dass Mitarbeiter die richtigen Informationen zur richtigen Zeit erhalten.Als eine der ersten Maßnahmen in diesem Jahr hat Poka semantische KI-Funktionen hinzugefügt, um die interne Suchmaschine der Poka-App zu verbessern. Dadurch wird es den Nutzern erleichtert, die benötigten Inhalte zu finden, ohne dass sie durch eine ganze Inhaltsbibliothek scrollen müssen, wodurch wertvolle Arbeitszeit vergeudet würde.

Die neue Funktion „Eine Frage stellen“, die auf GenAI basiert, geht noch einen Schritt weiter, um die Mitarbeiter in der Werkshalle zu unterstützen. Sie können sich das zeitraubende Durchsuchen seitenlanger Informationen sparen und stattdessen Poka verwenden, um spezifische Antworten schneller und intuitiver zu finden. Diese Informationen befinden sich Wissensartikeln, die vom Kunden erstellt wurden. Bei der Suche nach Antworten wird auf diese Artikel zugegriffen, um Fehlinterpretationen durch die KI zu vermeiden.

Die transformative Kraft der Unternehmen

Die Zukunft der deutschen Lebensmittel- und Getränkeindustrie ist eng mit der langfristigen Integration von KI verknüpft – und GenAI spielt dabei eine wichtige Rolle. Während die Technologien sich weiterentwickeln, steigt die Zahl der Produktions­unternehmen, die KI bereits in ihre Prozesse einbinden oder diesen Schritt planen.

Der vernetzte Arbeiter ist der Beweis dafür, dass GenAI in der Lage ist, berufliche Skills zu erweitern sowie Schulungen und Personalentwicklungen in der Lebensmittel- und Getränkeindustrie zu unterstützen.

Weitere Informationen zum Thema:

datensicherheit.de, 25.06.2025
Einführung von GenAI: Mangelnde Abstimmung im C-Level als Erfolgshemmnis

datensicherheit.de, 23.05.2025
Sicherer GenAI-Einsatz: Delinea gibt Unternehmen 3 zentrale Tipps / Mittels GenAI erhalten Unternehmen immense Möglichkeit – doch neben Effizienzgewinnen birgt deren kontinuierliche und rasante Weiterentwicklung auch Sicherheitsrisiken

datensicherheit.de, 29.01.2025
GenAI und Menschlicher Faktor wichtigste Datenschutzaspekte / Ein Prozent der Benutzer für 88 Prozent der Datenverlustwarnungen verantwortlich

datensicherheit.de, 13.06.2025
Generative KI boomt – zunehmende Sicherheitsrisiken als Kehrseite der Medaille / Zwar ermöglicht Generative KI beispiellose Produktivitätssteigerungen, gleichzeitig führt sie jedoch auch zu neuen, komplexen Risiken

Von Statement unserem Gastautor Steven Elsham, Chief Executive Officer bei Ultimo

[datensicherheit.de, 27.07.2026] Der Rolle des CEO im Unternehmen steht eine elementare Revolution bevor. Die hängt zwar mit KI zusammen, es geht allerdings nicht darum, dass Künstliche Intelligenz die Arbeitsweise von Führungskräften verändert. Vielmehr wird sich das Spektrum ihrer Verantwortlichkeit verändern. Ein CEO der Zukunft wird nicht länger ausschließlich Menschen führen, sondern die Verantwortung für eine hybride Belegschaft tragen, in der menschliche Mitarbeiter und autonome KI-Agenten Seite an Seite mit klar definierten Rollen, eigenen Verantwortlichkeiten und Leistungszielen arbeiten. CEOs avancieren also zum „Head of Hybrid Workforce“.

Die wichtigste CEO-Kompetenz der Zukunft

Für manche mag das wie absolute Zukunftsmusik klingen. Tatsache ist, dass diese Entwicklung in vielen Unternehmen bereits heute mehr und mehr zur Realität wird. Die entscheidende Kompetenz eines CEOs wird deshalb künftig nicht mehr sein, technisches Detailwissen über Künstliche Intelligenz zu besitzen, sondern die Fähigkeit zur Orchestrierung: zu verstehen, welche Aufgaben digitale Mitarbeiter schneller, präziser und skalierbarer erledigen und in welchen Bereichen menschliches Urteilsvermögen, Erfahrung und Empathie unersetzlich bleiben. Führung bedeutet dann nicht mehr, jede Entscheidung selbst zu treffen, sondern für die KI den richtigen Rahmen zu schaffen, innerhalb dessen sie Entscheidungen vorbereitet und Optionen sichtbar macht – und vielleicht auch autonom agieren darf.

KI beschleunigt – der CEO entscheidet

Das verändert auch die Dynamik im Top-Management. Entscheidungen, für die heute zahlreiche Meetings und Abstimmungsschleifen notwendig sind, werden künftig in Echtzeit durch spezialisierte KI-Agenten vorbereitet. Die Aufgabe von CEOs verschiebt sich, sodass sie sich von Informationssammlern zu Urteilsgebern entwickeln. Höchste Geschwindigkeit ist in diesem Szenario der Standard, während Urteilskraft zum entscheidenden Wettbewerbsvorteil wird. Doch nur weil etwas schnell ist, bedeutet es nicht, dass es auch gut ist. Davor sollten Unternehmen sich in Acht nehmen, denn nicht jede Entscheidung sollte beschleunigt werden. Das Alleinstellungsmerkmal guter CEOs wird zukünftig darin bestehen, zu erkennen, wann Tempo von Vorteil ist und wann bewusstes Innehalten die bessere Führungsstrategie ist.

Führung muss sich neu definieren

Natürlich könnte man nun fragen, ob KI auch langfristig CEOs ersetzen wird. Das ist ebenso unwahrscheinlich, wie die Idee, dass die Technologie Mitarbeiter komplett ersetzt. Aber das immer größere operative Gewicht von Künstlicher Intelligenz entlarvt jedoch CEOs, die ihre Führungsrolle nicht neu definieren. Und das wird möglicherweise für den einen oder anderen Wechsel an der Unternehmensspitze sorgen.

Weitere Informationen zum Thema:

datensicherheit.de, 28.01.2026
KI-Agenten und IT-Sicherheit: Zwei Seiten einer Medaille

Von unserem Gastautor Dr. Carsten Stöcker, Geschäftsführer von Spherity GmbH

[datensicherheit.de, 23.07.2026] Sicherheit von Anfang an, das gilt ab Ende 2027 für alle vernetzten Hard- und Softwareprodukte. Diese Anforderung folgt aus dem Cyber Resilience Act (CRA), der das Sicherheitsniveau von Produkten und die Verlässlichkeit im Betrieb regelt. Seine Kernaussage: Produkte müssen so entwickelt werden, dass sie ein Mindestmaß an Cybersicherheit erfüllen. Das betrifft zum Beispiel sichere Voreinstellungen und verkleinerte Angriffsflächen. Für Nutzer ist somit weniger eigene Absicherung nötig.

Anforderungen durch den Cyber Resilience Act

Die EU-Verordnung reguliert in erster Linie Produkte mit digitalen Elementen. Das sind beispielsweise IoT-Geräte wie Industriesteuerungen, vernetzte Maschinen, Sensoren oder Komponenten aus der Industrieautomation. Auch klassische IT-Lösungen wie Betriebssysteme oder Business-Software fallen darunter. Stark betroffen ist der Bereich Consumer Electronics, etwa Smart-TVs oder vernetzte Haushaltsgeräte. Weitere vom CRA abgedeckte Marktsegmente sind Medizintechnik, Automotive oder Energieversorgung.

Zunächst gilt es zu klären, was der Cyber Resilience Act von Herstellern erwartet. Im Kern fordert er „Security by Design” und „Security by Default”: Produkte müssen so entwickelt werden, dass sie ein angemessenes Niveau an Cybersicherheit erreichen. Dazu gehört, Risiken frühzeitig zu bewerten und Schwachstellen während des Supportzeitraums rasch zu beheben. Hinzu kommen eine korrekte technische Dokumentation sowie Nutzerinformationen und ein Meldeprozess für Vorfälle.

Der digitale Produktpass als Grundlage

Für Unternehmen ist das keine klassische Compliance-Aufgabe, shttps://www.ipk.fraunhofer.de/de/kompetenzen-und-loesungen/industrietrends/kreislaufwirtschaft/digitaler-produktpass-dpp.htmlondern setzt eine Anpassung der operativen Steuerung voraus. Sie müssen wissen, welche Softwarekomponenten es im Produkt gibt, welche Zulieferer beteiligt sind, wie lange es Sicherheitsupdates gibt, wie genau die Vernetzung funktioniert, welche Protokolle eingesetzt werden und vieles mehr. Die Anforderungen sind hoch, der gesamte Produktlebenszyklus muss auf Cybersecurity ausgerichtet werden. Das betrifft die Fertigung ebenso wie das weitere Produktleben. Hier schließt sich eine zweite Frage an: Wie lassen sich diese Daten sammeln und für den gesamten Lebenszyklus leicht verfügbar speichern?

Das beste Werkzeug für diesen Zweck ist ebenfalls ein Element der EU-Regulierung: der digitale Produktpass (DPP), der ab 2027 laut Ökodesign-Verordnung ESPR (Ecodesign for Sustainable Products Regulation) Pflicht für alle Elektronikprodukte ist. Die EU-Verordnung sieht vor, dass jeder Akteur innerhalb einer Wertschöpfungskette seine eigenen Produktdaten bereitstellt. Deshalb müssen alle elektronischen Geräte einen Produktpass besitzen, auch Komponenten oder Baugruppen wie Netzteile oder Steuerungssysteme.

Nachhaltigkeit und Cybersecurity verknüpfen

Ein Produktpass ist ein maschinenlesbarer Datensatz, der mit Software gespeichert und ausgelesen wird. Jedes einzelne Produkt erhält eine eindeutige Kennzeichnung, die gut sichtbar und leicht erkennbar am Gehäuse oder dem Produkt selbst angebracht werden muss. Die einfachste Möglichkeit ist ein Aufkleber mit einem QR-Code. Er führt nach dem Scannen auf eine Cloud-Anwendung wie die von Spherity, die alle gewünschten Daten anzeigt. Auf diese Weise begleitet der Produktpass jedes Gerät über seinen gesamten Lebensweg und liefert Reparaturbetrieben, Verwertern und Weiterverarbeitern sämtliche notwendigen Informationen.

Der Nachhaltigkeitsaspekt steht in der öffentlichen Diskussion meist im Vordergrund. Doch für vernetzte Elektronikprodukte lässt er sich direkt mit Cybersecurity-Anforderungen verknüpfen. Der Pass ist dann ein Datenspeicher für alle Informationen rund um Sicherheit. Die CRA-Verordnung verlangt nämlich eine belastbare technische Dokumentation. Dazu gehört eine lange Liste an unterschiedlichen Informationen: Risikobewertungen, Architekturinformationen, Nachweise zu umgesetzten Schutzmaßnahmen, Testverfahren, Supportprozesse und Unterlagen für die Konformitätsbewertung wie beispielsweise Angaben zu den Security-Maßnahmen oder Update-Historien.

Ein ähnlicher Trend zeigt sich in der Energiewirtschaft: Auch dort werden für immer mehr Netzkomponenten und Assets digitale Zwillinge und DPP-artige Datenmodelle aufgebaut, damit transparent wird, was im Stromnetz verbaut ist, woher kritische Komponenten stammen und wie sich Abhängigkeiten sowie Cyberrisiken besser bewerten lassen. Das ist besonders bei Komponenten aus Drittstaaten relevant. Für industrielle Großbatterien ist ein digitaler Batteriepass ab dem 18. Februar 2027 ohnehin verbindlich, für immer mehr Netzkomponenten und Assets wird der DPP schrittweise folgen.

Datenbasis für Audits und Betriebssicherheit

Solche für die Produktsicherheit notwendigen Informationen sind in vielen Unternehmen auf unterschiedliche IT-Systeme verteilt. Der Produktpass bündelt diese Daten und macht sie dauerhaft verfügbar. Das hilft bei Audits durch Behörden und schafft eine hohe Lieferkettentransparenz. Denn sobald Drittsoftware oder externe Dienste Teil eines Produkts sind, müssen deren Risiken in die Gesamtbewertung einfließen. Ein Produktpass kann diese Zusammenhänge sichtbar machen.

Auch in der Betriebsphase bietet der Produktpass klare Vorteile, denn der Cyber Resilience Act endet nicht mit dem Verkauf. Hersteller müssen Schwachstellen über den gesamten Supportzeitraum behandeln und bei Sicherheitsvorfällen schnell reagieren. Am Ende des Produktlebens rücken dann Recycling-Aspekte in den Fokus. Das betrifft die Hersteller, aber auch den Handel. Er ist verpflichtet, nicht mehr benutzte oder reparierbare Geräte zurückzunehmen. Hier steigt die Effizienz, wenn alle Informationen an einem zentralen Ort gespeichert sind.

Steuerungsinstrument für CRA-Compliance

So zeigt sich, dass es sich beim CRA nicht um ein isoliertes Regulierungsthema handelt. Die Verordnung greift tief in Produktstrategie, Entwicklungsprozesse, Einkauf und After-Sales-Strukturen ein. Mit dem digitalen Produktpass können Unternehmen diese Transformation steuern und beschleunigen. Er macht Sicherheitsprozesse sichtbar und für Behörden überprüfbar. Unternehmen können damit eine frühzeitige CRA-Compliance schaffen und vereinfachen den Marktzugang. Der digitale Produktpass wird damit zu einem operativen Steuerungswerkzeug für sichere und marktfähige digitale Produkte.

Weitere Informationen zum Thema:

datensicherheit.de, 12.07.2026
Cyber Resilience Act (CRA): Bringschuld der Unternehmen per September 2026

datensicherheit.de, 30.04.2026
FTAPI gibt CRA-Tipps für KMU: Cyber Resilience Act oft ein Buch mit 7 Siegeln

datensicherheit.de, 18.10.2024
Cyber Resilience Act der EU (CRA): Verabschiedung und Konsequenzen für Unternehmen

Von unserem Gastautor Dr. Horst-Florian Jaeck, Partner und Managing Director bei valantic

[datensicherheit.de, 22.07.2026] Sicherheit oder unternehmerische Freiheit – Regulierungen sind in der Regel ein zweischneidiges Schwert: Den Befürwortern geben sie die dringend benötigte (Planungs-)Sicherheit, den Gegnern engen sie die Innovationskraft von Unternehmen zu sehr ein, indem neue Technologien wie Künstliche Intelligenz mit zeit- und kostenintensiven Auflagen belegt werden. In diesem Spannungsfeld stellt such die Frage, wie man die richtige Balance findet.

Den EU AI Act sehen die 1000 von valantic und dem Handelsblatt Research Institute (HRI) in einer aktuellen Studie befragten Business-Entscheider mit einem lachenden und einem weinenden Auge. Ein Studienteilnehmer äußerte, dass eine gut ausgestaltete Regulierung als Katalysator für Innovation und deren Verbreitung wirken könne. Zudem führte er aus, Regulierung schaffe Vertrauen und trage dazu bei, Innovationen breiter zu etablieren. Gleichzeitig wies er darauf hin, dass der AI Act der EU trotz seiner positiven Zielsetzung mit einem erheblichen bürokratischen Aufwand verbunden sei, was sich nachteilig auf die Wettbewerbsfähigkeit auswirken könne.

Der EU AI Act klassifiziert KI-Anwendungen nach ihrem Risikopotenzial

Der EU AI Act teilt AI-Applikationen in verschiedene Risikoklassen. Für Modelle mit hohem systemischem Risiko gelten zusätzliche Prüf- und Überwachungsanforderungen im engen Austausch mit der EU. Es ist vorgesehen, dass 2026 der Großteil der Anforderungen gelten, 2027 dann der Rest.

Unternehmen stehen also definitiv unter Handlungsdruck, wenngleich sich das Regelwerk noch in Bewegung befindet: Im Rahmen der EU-Vereinfachungsagenda haben sich Rat und EU-Parlament Anfang Mai vorläufig auf das sogenannte Omnibus VII-Gesetzgebungspaket geeinigt – ein erstes Änderungspaket, das u. a. eine Fristverlängerung beinhaltet. Die formelle Verabschiedung steht hierfür noch aus, aber die politische Richtung gilt als gesetzt.

Pro und Contra EU AI Act

So bewerten die Teilnehmer der Studie von valantic und HRI die Regulatorik im Detail: 70 Prozent der Befragten (vgl. Studie AI at scale) sehen die Vorgaben eher als Hemmschuh und kritisieren, dass die aktuelle Ausgestaltung des EU AI Act die Wettbewerbssituation europäischer Unternehmen deutlich verschlechtern wird. Denn die obligatorischen Vorgaben ziehen hohe Zeit- und Kostenaufwände nach sich, wodurch europäische Unternehmen gegenüber der internationalen Konkurrenz aus den USA und aus China ins Hintertreffen geraten. Der für die vorgeschriebene Maßnahmen zu betreibende Aufwand sei einfach zu hoch.

Viele Umfrageteilnehmer sehen es zugleich aber auch differenzierter und glauben, dass Unternehmen mit ethischer, transparenter und gut gesteuerter KI bis 2030 erfolgreicher sein werden als Unternehmen, die nur auf Tempo, Automatisierung, Zeit- und Kostengewinne setzen. Für 82 Prozent zählt die Einrichtung von Governance-Strukturen für KI und Daten zu den Top-Erfolgsfaktoren beim Einsatz von KI. Genau diese Unternehmen werden mittel- bis langfristig erfolgreicher sein und mit KI höhere Mehrwerte produzieren als jene, die nur auf Geschwindigkeit und Automatisierung setzen.

Obligatorische Trainings und Wissensaufbau werden befürwortet

Ein anderer Studienteilnehmer erklärte, dass er den EU AI Act aus der Perspektive eines Unternehmens, das KI-Anwendungen einsetzt, grundsätzlich positiv bewerte. Die Regulierung sensibilisiere für potenzielle Risiken und trage dazu bei, dass nicht beliebige Tools ohne Weiteres eingesetzt würden. Darüberhinaus hob er die verpflichtenden Schulungen und den damit verbundene Wissensaufbau als positive Aspekte hervor.

Die Entscheidung für oder gegen eine Regulierung der KI spielt sich derweil nicht nur in Brüssel ab, sondern hat ganz praktische Auswirkungen. Ein konkretes Beispiel: Der US-Anbieter Anthropic hielt Mitte April sein neues KI-Modell Claude Mythos wegen Sicherheitsbedenken zurück und verzichtete auf eine sonst übliche Markteinführung mit lautem Trara. Konkret geht es um die Sorge, dass Hacker Claude Mythos nutzen könnten, um ohne großen Aufwand unzählige bisher unbekannte Sicherheitslücken in IT-Systemen aufzuspüren und dann für ihre Zwecke auszunutzen.

Sicherheitsexperten sprechen von sogenannten „Zero Day“-Schwachstellen. Diese Leaks sind dem Anbieter der entsprechenden Softwarelösung unbekannt, weshalb er seine Nutzer nicht vor ihnen schützen kann. Unter anderem, so Anthropic, habe Mythos eine 27 Jahre alte Schwachstelle im Betriebssystem OpenBSD gefunden. Mehrere Jahrzehnte haben weder IT-Sicherheitsfachleute noch Hacker besagte Lücke aufgespürt, bevor Claude Mythos dann erfolgreich war.

EU AI Act – kurzfristig ein Nachteil, aber langfristig ein Vorteil

Zwar sieht der Großteil der Befragten die aktuelle Ausgestaltung der Regulierung kritisch für die Wettbewerbssituation von europäischen Unternehmen, die KI nutzen. Beispielsweise weisen einige der Umfrage-Teilnehmenden in den Interviews darauf hin, dass der EU AI Act definitiv mit großen bürokratischen Anforderungen und damit einem großen Aufwand einhergeht.

Allerdings lehnen die von valantic und dem HRI befragten Unternehmensentscheider eine Regulierung im KI-Bereich nicht grundsätzlich ab. Ist sie passend aufgesetzt, verbessert sie unter Umständen sogar die Wettbewerbsfähigkeit europäischer Unternehmen. Sie kann Vertrauen schaffen. Partner und Kunden, die mit derartig regulierten Unternehmen im Bereich KI zusammenarbeiten, können etwaige Risiken besser einschätzen. Hinzu kommt ein oft übersehener interner Effekt: Für Unternehmen, in denen interne Kritiker oder Zögerer KI-Initiativen bislang gebremst haben, liefert der EU AI Act ein verbindliches Rahmenwerk und damit die nötige Handlungssicherheit, um in die Umsetzung zu starten.

Die Frage nach einer Regulierung der KI lässt sich demnach nicht mit einem kategorischen Ja oder einem kategorischen Nein beantworten. Der EU AI Act ist beides zugleich – potenzieller Wettbewerbsvorteil und -nachteil. Wie er wirkt, hängt stark von Branche, Unternehmensgröße und Geschäftsmodell ab. Die Devise sollte deshalb vielmehr lauten: Ja, regulieren und Missbrauch verhindern, aber bitte mit Augenmaß und so, dass der bürokratische Aufwand für die betroffenen Unternehmen in engen vertretbaren Grenzen bleibt.

Das bedeutet der EU AI Act konkret für europäische und deutsche Unternehmen: Der EU AI Act ist kurzfristig wegen zusätzlicher Kosten und Komplexität ein Wettbewerbsnachteil, kann aber mittelfristig zum klaren Wettbewerbsvorteil werden – vor allem für europäische Unternehmen, die „Trustworthy AI“ und AI Governance professionell aufsetzen und als Qualitätsmerkmal vermarkten. Um KI-Governance effektiv in Organisationen zu integrieren, ist ein strukturierter Ansatz unerlässlich.

Weitere Informationen zum Thema:

datensicherheit.de, 12.06.2026
AI Act der EU: Deutsche Umsetzung soll Unternehmen nun Rechtssicherheit bieten

Von unserem Gastautor Fatih Cam, Managing Director Atos Germany

[datensicherheit.de, 20.07.2026] Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz (BFSG). Mehr als ein Jahr ist seitdem vergangen. Wer heute durch die Unternehmenslandschaft schaut, sieht viele Organisationen, die ihren Compliance-Haken gesetzt haben. 13.902 deutsche Unternehmens-Websites wurden geprüft, Erklärungen zur Barrierefreiheit veröffentlicht, externe Dienstleister beauftragt. Das ist gut, aber noch nicht gut genug.

Formale Konformität reicht nicht – digitale Angebote müssen nutzbar sein

Die eigentliche Frage lautet nicht, ob Organisationen formal compliant sind. Die Frage lautet, ob digitale Produkte und Dienstleistungen für Menschen mit Behinderung tatsächlich nutzbar sind. Und da klafft eine Lücke, die sich mit einem Audit-Bericht allein nicht schließen lässt.

Barrierefreiheitsstärkungsgesetz: Was das Gesetz verlangt und was es nicht regelt

Das BFSG setzt die europäische Richtlinie über die Barrierefreiheitsanforderungen für Produkte und Dienstleistungen (European Accessibility Act, EAA) in deutsches Recht um. Es richtet sich an Unternehmen, die Produkte oder Dienstleistungen in der EU anbieten, also von E-Commerce-Plattformen über Banking-Apps bis hin zu Ticketsystemen im öffentlichen Nahverkehr. Die technische Grundlage bilden die WCAG-Richtlinien (Web Content Accessibility Guidelines), derzeit in Version 2.1.

Was das Gesetz verlangt, ist klar definiert: Wahrnehmbarkeit, Bedienbarkeit, Verständlichkeit, Robustheit. Was es nicht regelt, ist der Weg dorthin. Und eben dieser Weg ist das Problem.

Viele Unternehmen haben im Vorfeld des Stichtags reagiert, aber eben nur reaktiv. Sie haben bestehende Systeme geprüft, offensichtliche Mängel behoben und Erklärungen veröffentlicht. Was dabei häufig fehlt, ist ein strukturierter Prozess, der Barrierefreiheit von Anfang an in die Entwicklung digitaler Produkte integriert. Accessibility by Design statt by Retrofit.

Die blinden Flecken: Wo Unternehmen ein Jahr später noch nachbessern müssen

Es lassen sich vor allem fünf wiederkehrende Schwachstellen benennen.

1. Interne Systeme und Arbeitsumgebungen:
   Das BFSG fokussiert sich auf externe Produkte und Dienstleistungen. Was dabei aus dem Blick gerät, ist die interne digitale Arbeitsumgebung. Mitarbeiterinnen und Mitarbeiter mit Behinderung sind täglich auf barrierefreie Tools, Dokumentenformate und Workflows angewiesen. Dazu gehören Intranet-Portale, HR-Systeme, Kollaborationsplattformen und interne Schulungsangebote. Viele dieser Umgebungen wurden nie auf Barrierefreiheit geprüft. Sie fallen nicht unter das BFSG, aber sie entscheiden darüber, ob inklusive Teilhabe am Arbeitsleben real ist oder nur auf dem Papier steht.
2. Dokumente und Content:
   PDFs, Word-Dokumente und PowerPoint-Präsentationen sind das Rückgrat der Unternehmenskommunikation. Und sie sind in der Mehrzahl der Fälle nicht barrierefrei. Fehlende Alternativtexte für Bilder, unstrukturierte Tabellen, mangelnde Lesereihenfolge, fehlende Dokumentensprache. Das sind keine Randprobleme. Sie betreffen jeden, der auf Screenreader oder andere assistive Technologien angewiesen ist. Barrierefreie Dokumente zu erstellen ist kein technisches Hexenwerk, aber es erfordert Wissen, Prozesse und Werkzeuge, die in den meisten Unternehmen noch nicht etabliert sind.
3. Drittanbieter und Lieferketten:
   Viele digitale Produkte bestehen zu großen Teilen aus Komponenten, die von Drittanbietern stammen, wie Plugins, Widgets, eingebettete Dienste, externe Buchungssysteme. Die Verantwortung für die Barrierefreiheit des Gesamtprodukts liegt beim Anbieter, unabhängig davon, wer welche Komponente entwickelt hat. In der Praxis bedeutet das, dass Unternehmen ihre Lieferketten auf Barrierefreiheit prüfen und vertragliche Anforderungen durchsetzen müssen. Das ist aufwändig und wird von vielen noch nicht konsequent gemacht.
4. Nutzertests mit betroffenen Menschen:
   Technische Konformität und tatsächliche Nutzbarkeit sind zwei verschiedene Dinge. Ein System kann alle WCAG-Kriterien erfüllen und trotzdem für Menschen mit bestimmten Behinderungen schwer nutzbar sein. Der einzige verlässliche Weg, das herauszufinden, sind Tests mit Nutzerinnen und Nutzern, die auf assistive Technologien angewiesen sind. Solche Tests sind in der Praxis noch die Ausnahme. Automatisierte Prüfwerkzeuge sind hilfreich, aber sie erkennen nur einen Teil der Barrieren.
5. Schulung und Bewusstsein
   Barrierefreiheit ist kein einmaliges Projekt. Sie muss in die Köpfe der Menschen, die digitale Produkte entwickeln, gestalten und pflegen. Entwicklerinnen und Entwickler, UX-Designer, Content-Verantwortliche, Einkäufer: Sie alle treffen täglich Entscheidungen, die Barrierefreiheit beeinflussen. Ohne Schulungen und klare Verantwortlichkeiten bleibt Barrierefreiheit ein Thema für Spezialisten, statt ein Qualitätsmerkmal, das selbstverständlich mitgedacht wird.

Was als nächstes kommt: Standards, Druck und KI

Die regulatorische Entwicklung ist nicht abgeschlossen. Der European Accessibility Act wird in den kommenden Jahren weiterentwickelt, Durchsetzungsmechanismen werden schärfer. In Deutschland liegt die Marktüberwachung bei den zuständigen Behörden der Länder. Wie konsequent diese ihre Aufgabe wahrnehmen werden, bleibt abzuwarten.

Klar ist: Der politische Wille, Barrierefreiheit durchzusetzen, ist vorhanden. Und Verbraucherorganisationen sowie Behindertenverbände werden zunehmend aktiv. Auf der technischen Seite entwickeln sich die Standards weiter. WCAG 2.2 ist seit Oktober 2023 verabschiedet, WCAG 3.0 befindet sich in der Entwicklung. Unternehmen, die heute auf WCAG 2.1 ausgerichtet sind, sollten die Weiterentwicklung im Blick behalten und ihre Systeme entsprechend anpassen.

Die Rolle von KI

Künstliche Intelligenz verändert die Debatte um Barrierefreiheit auf zwei Ebenen.

• Auf der einen Seite bietet KI neue Möglichkeiten, wie automatische Bildbeschreibungen, Echtzeit-Untertitel, intelligente Sprachsteuerung und adaptive Benutzeroberflächen. Werkzeuge, die früher aufwändig manuell erstellt werden mussten, lassen sich heute mit KI-Unterstützung effizienter produzieren. Das ist eine echte Chance, besonders für die Aufbereitung großer Dokumentenbestände oder die barrierefreie Gestaltung dynamischer Inhalte.
• Auf der anderen Seite bringt KI auch neue Risiken. Wenn KI-Systeme selbst nicht barrierefrei gestaltet sind, wenn also Chatbots keine Screenreader-kompatiblen Ausgaben liefern, wenn KI-generierte Inhalte keine Alternativtexte haben oder wenn Sprachmodelle Nutzereingaben nicht robust verarbeiten, dann reproduziert KI bestehende Barrieren oder schafft neue.

Die Frage, ob KI-Systeme barrierefrei sind, wird in den kommenden Jahren an Bedeutung gewinnen. Der EU AI Act und die damit verbundenen Anforderungen an Transparenz und Nicht-Diskriminierung werden hier zusätzlichen Druck erzeugen.

Für Unternehmen bedeutet das: KI-Projekte müssen Barrierefreiheit von Anfang an mitdenken. Das ist keine optionale Ergänzung, sondern eine Anforderung, die sich aus dem regulatorischen Rahmen ergibt und aus dem Anspruch, Technologie für alle Menschen nutzbar zu machen.

Fazit: Der Haken allein reicht nicht

Ein Jahr nach Inkrafttreten des BFSG ist die Bilanz gemischt. Viele Unternehmen haben den ersten Schritt gemacht. Aber formale Compliance ist nicht das Ziel, sie ist der Ausgangspunkt.

Echte Barrierefreiheit entsteht nicht durch einmalige Prüfungen und Erklärungen. Sie entsteht durch Prozesse, Verantwortlichkeiten und eine Unternehmenskultur, die Inklusion als Qualitätsmerkmal begreift. Der Compliance-Haken ist gesetzt. Jetzt geht es darum, was dahinter steht.

Weitere Informationen zum Thema:

datensicherheit.de, 29.01.2026
Barrierefreie KI: Zehn praxisnahe Schritte für inklusive Innovation am Arbeitsplatz

[datensicherheit.de, 14.07.2026] Künstliche Intelligenz verändert die Arbeitswelt in rasantem Tempo. Unternehmen setzen KI-gestützte Anwendungen zunehmend ein, um Prozesse zu beschleunigen, Entscheidungen zu unterstützen und ihre Produktivität zu steigern. Aber – je schneller sich KI in den Arbeitsalltag integriert, desto größer wird die Herausforderung, den Überblick über ihren Einsatz und die damit verbundenen Risiken zu behalten.

KI zwischen Innovation und Sicherheit

Deshalb lohnt es sich nicht nur ein Blick auf die Chancen der Technologie, sondern auch auf die Beantwortung der Frage, wie Unternehmen Innovation und Sicherheit in Einklang bringen können, im Fokus zu behalten. Denn ohne Transparenz darüber, wo KI genutzt wird und welche neuen Angriffsflächen dadurch entstehen, können aus vermeintlich kleinen Sicherheitslücken schnell erhebliche Geschäftsrisiken werden.

Aus Anlass des AI Appreciation Days am 16. Juli gibt Bernard Montel, EMEA Field CTO bei Tenable eine kurze Einschätzung, warum Unternehmen den sicheren KI-Einsatz von Beginn an mitdenken sollten:

„Der AI Appreciation Day sollte nicht nur Anlass sein, die Produktivitätsgewinne durch KI zu würdigen. Er sollte Unternehmen auch dazu anregen, kritisch zu hinterfragen, wie sie die damit verbundenen Risiken steuern.

Das prägende Merkmal der aktuellen KI-Entwicklung ist ihre enorme Geschwindigkeit. Prozesse, die früher Tage in Anspruch nahmen, lassen sich heute innerhalb weniger Sekunden erledigen. Das schafft enormes Innovationspotenzial. Gleichzeitig entsteht jedoch eine Kultur, in der Geschwindigkeit häufig Vorrang vor Kontrolle hat.

Alles, was den KI-Einsatz verlangsamt – sei es Governance, Compliance oder notwendige Sicherheitsprüfungen –, wird schnell als Hindernis wahrgenommen, anstatt als Voraussetzung für einen sicheren und verantwortungsvollen Einsatz. Viele Mitarbeitende integrieren KI-Anwendungen bereits selbstverständlich in ihre täglichen Arbeitsabläufe. Dabei werden Unternehmensdaten nicht selten in KI-Diensten verarbeitet, die weder freigegeben noch in bestehende Governance- und Sicherheitsprozesse eingebunden sind. Dadurch nimmt der Einsatz von Schatten-KI in vielen Unternehmen zu, ohne dass ein ausreichender Überblick über ihren tatsächlichen Umfang und die damit verbundenen Risiken besteht.

Diese Entwicklung erinnert an die Einführung von Cloud-Technologien – allerdings mit einem entscheidenden Unterschied: KI verbreitet sich deutlich schneller und in wesentlich größerem Maßstab. Die Vorteile von KI sind unbestritten. Gleichzeitig wächst mit jeder neuen KI-Anwendung auch die Komplexität der digitalen Angriffsfläche – häufig schneller, als Unternehmen die Auswirkungen überblicken können.

Wenn Sicherheitsteams ihrdatensicherheit.dee wachsenden KI-Angriffsflächen nicht aktiv sichtbar machen, können aus kleinen Transparenzlücken schnell erhebliche Geschäftsrisiken entstehen. Wer das Potenzial von KI langfristig sicher nutzen möchte, muss deshalb heute die Voraussetzungen für Transparenz, Governance und kontinuierliche Sichtbarkeit schaffen.“

Weitere Informationen zum Thema:

datensicherheit.de, 09.07.2026
ESET-Warnung: Schadhafte AI Skills bieten KI-Agenten neue Angriffsflächen

datensicherheit.de, 01.07.2026
Wenn KI theoretische Risiken in reale Angriffe verwandelt

Von unserem Gastautor Rolf Steinbrück, CISSP Senior Solutions Engineer bei Yubico

[datensicherheit.de, 14.07.2026] Mitte Juni hat das FBI im Rahmen der Operation Ghost Hook gemeinsam mit Google und Black Lotus Labs die Plattform Outsider vom Netz genommen, einer der größten bislang bekannten Phishing-as-a-Service-Anbieter. Seit 2023 lieferte der Dienst Cyberkriminellen Phishing-Infrastruktur mit über 290 fertigen Vorlagen, die Banken, Behörden, Telekommunikationsanbieter und Einzelhändler imitierten. Die Ermittler nehmen an, dass seit der Entstehung der Plattform mehr als 8.000 personalisierte Phishing-Domains aufgesetzt wurden und ein damit verbundener Schaden von ca. 1,9 Milliarden US-Dollar in 55 Ländern entstand.

Phishing: Eine der größten Cyberbedrohungen

Dass Phishing eine enorme Bedrohung darstellt, ist nicht neu. Neu ist, in welchem Umfang und mit welcher Perfektion es mittlerweile durchgeführt wird, zusätzlich beschleunigt durch KI. Die Causa „Outsider“ ist daher leider kein Einzelfall, sondern symptomatisch, denn Cyberkriminalität industrialisiert sich zusehends. Was früher technisches Know-how erforderte, ist heute schlüsselfertig im Abo buchbar.

So benötigen Angreifer weder Programmierkenntnisse noch eigene Infrastruktur. KI-Tools senken die Einstiegshürde weiter und sorgen dafür, dass täuschend echte Login-Seiten und Nachrichten schnell und in nahezu jeder Sprache erstellt werden können. Vor dem Einfluss von KI auf die Cybersecurity warnte erst zuletzt das BSI. Für Unternehmen bedeutet das, dass die Zahl, Qualität und Geschwindigkeit der Angriffe stetig steigt.

Und so ist Phishing das primäre Einfallstor in Firmennetzwerke und der erste Schritt zu einem erfolgreichen Cyberangriff. Die aktuellen Entwicklungen deuten darauf hin, dass dies auch in nächster Zeit so bleiben wird. Der Global Cybersecurity Outlook 2026 des WEF zeigt einen Anstieg von KI-gestütztem Betrug und Phishing von 77 Prozent. Denn leider sind die Erfolge wie mit der Plattform Outsider eher die Ausnahme als die Regel. Wenn Unternehmen und Nutzer nicht reagieren oder Vorsorge leisten, werden übernommene Mitarbeiterkonten und darauf aufbauend die ganze Bandbreite an Cyberkriminalität weiterhin zu unserem Alltag gehören. Der finanzielle Schaden durch Ransomware, Datenleaks und Fraud ist dabei oft nur die sichtbare Spitze des Eisbergs. Betriebsunterbrechungen, Reputationsverluste und Haftungsfragen unter NIS2, DORA und DSGVO wiegen oft mindestens genauso schwer.

Es ist an der Zeit, den Umgang mit modernen Cyberbedrohungen neu zu gestalten

Die Zeiten sind vorbei, in denen man sich auf herkömmliche Zwei-Faktor-Authentifizierung verlassen konnte. Sie ist längst nicht mehr ausreichend und der aktuellen Risikolage nicht mehr angepasst. Solange Anmeldungen auf etwas beruhen, das der Nutzer sehen, ein- oder weitergeben muss, wie beispielsweise Passwörter, Codes oder selbst die Bestätigung in einer App, bleibt der Login phishbar.

Wirklich Phishing-resistente Authentifizierung kann es daher nur mit Hardware-Unterstützung in Form eines physischen Sicherheitsschlüssels geben. Diese Form der Multi-Faktor-Authentifizierung (MFA) nach aktuellen FIDO2 / WebAuth-Standards setzt die Authentifizierung des Nutzers am Gerät voraus, wodurch eine eindeutige Identitätsfeststellung gewährleistet werden kann. Die Anmeldedaten sind dabei kryptografisch an die echte Domain gebunden und verlassen den Hardware-Sicherheitsschlüssel nie. So entsteht eine nicht phishbare Komponente im Login-Prozess. Selbst wenn ein Mitarbeiter auf eine perfekte Fälschung hereinfallen würde, scheitert der Angriff an der Überbrückung des Sicherheitsschlüssels. So läuft der Angriff ins Leere.

Phishing-as-a-Service-Plattformen, die Cyberkriminalität zu einem skalierbaren Geschäftsmodell machen, verdeutlichen, wie unerlässlich Phishing-resistente MFA in einer erfolgreichen Sicherheitsstrategie heute sind. Unternehmen, die jetzt auf hardwarebasierte Authentifizierung umstellen, entziehen diesem Geschäftsmodell die Grundlage. Unabhängig davon, wie perfekt die nächste Phishing-Kampagne aus dem Baukasten sein wird.

Weitere Informationen zum Thema:

datensicherheit.de, 05.03.2026
Kratos: Neues Phishing-as-a-Service-Kit ermöglicht selbst Anfängern Ausführung hochkomplexer Angriffe

Von unserem Gastautor Dr. Sebastian Schmerl, Vice President Security Services EMEA bei Arctic Wolf

[datensicherheit.de, 10.07.2026] Informationen zählen heute zu den sensibelsten und zugleich kritischsten Unternehmenswerten. Kundendaten, Vertragsunterlagen, Finanzinformationen, interne Kommunikation oder Daten aus ERP- und CRM-Systemen bilden die Grundlage zahlreicher Geschäftsprozesse. Umso gravierender sind die Folgen, wenn Daten manipuliert, verschlüsselt, unkontrolliert weitergegeben oder dauerhaft gelöscht werden.

Fakt ist: Risiken entstehen längst nicht mehr nur durch gezielte externe Angriffe. Fehlende Zugriffskontrollen, unzureichend getestete Backups, veraltete Systeme oder unnötig weitreichende Berechtigungen schaffen oft bereits intern eine erhebliche Angriffsfläche. Besonders kritisch ist es, wenn Unternehmen zwar einzelne Sicherheitsmaßnahmen implementiert haben, aber kein strukturiertes Verständnis darüber besteht, welche Informationen tatsächlich entscheidend sind und wie diese dediziert geschützt werden können.

Informationssicherheitsmanagementsysteme (ISMS)

Genau hier setzt ein Information Security Management System (ISMS) an. Es hilft Unternehmen dabei, sensible Informationen, kritische Systeme und relevante Risiken systematisch zu erfassen, Verantwortlichkeiten festzulegen und geeignete Schutzmaßnahmen umzusetzen. Dabei muss ein ISMS keineswegs ausufernd oder hochbürokratisch sein. Gerade kleinere und mittelständische Unternehmen (KMU) profitieren häufig von einem pragmatischen Ansatz, der Informationssicherheit nachvollziehbar strukturiert.

Dazu braucht es zunächst nur sieben Basismaßnahmen:

1. Scope und Kritische Assets identifizieren
   Der erste Schritt eines ISMS ist gleichzeitig einer der wichtigsten: Unternehmen müssen verstehen, welche Systeme und Daten für den eigenen Betrieb tatsächlich geschäftsentscheidend sind. Diese sollten den Scope des ISMS bilden. Das klingt selbstverständlich, ist in der Praxis jedoch häufig nicht der Fall. Denn oft existiert zwar ein technisches Grundverständnis über die eigene Infrastruktur, aber keine priorisierte Übersicht darüber, welche Assets im Ernstfall wirklich geschäftskritisch wären.

   Dabei geht es nicht nur um Hardware oder Endgeräte. Essenzielle Assets sind häufig Identitäts- und Verzeichnisdienste, Microsoft-365-Umgebungen, ERP-Systeme, zentrale Fileshares, Backup-Systeme oder branchenspezifische Anwendungen. Auch sensible Kundendaten, Vertragsunterlagen oder Finanzinformationen gehören dazu.

   Es gilt: Nicht jedes einzelne System muss sofort vollständig erfasst werden. Sinnvoller ist es, zunächst die fünf bis zehn wichtigsten Systeme und Datenbestände zu identifizieren. Die zentrale Frage lautet: Welche Daten oder Systeme würden den Betrieb massiv beeinträchtigen, wenn sie ausfallen, manipuliert oder verschlüsselt würden? Bereits diese Priorisierung schafft Transparenz und verhindert, dass Sicherheitsmaßnahmen nach Bauchgefühl statt nach tatsächlicher Kritikalität umgesetzt werden.

2. Risiken bewerten
   Sind die wichtigsten Assets identifiziert, folgt die Risikobetrachtung. Auch hier heißt das Motto: Einfachheit schlägt Perfektion. Komplexe Risikomatrizen mit Dutzenden Bewertungsstufen erzeugen oft mehr Verwaltungsaufwand als Sicherheitsgewinn. Für viele (vor allem mittelständische) Unternehmen reicht zunächst eine einfache Einteilung in „niedrig“, „mittel“ und „hoch“. Entscheidend ist nicht mathematische Präzision, sondern die realistische Einschätzung: Wie wahrscheinlich ist ein Vorfall? Und welche Auswirkungen hätte er?

   Besonders relevant sind dabei Risiken rund um Datenverlust, Ransomware, fehlende Zugriffskontrollen oder unzureichende Backups. Denn gerade Backup-Systeme werden in KMU häufig unterschätzt. Ein vorhandenes Backup bedeutet noch lange nicht, dass sich Daten im Ernstfall tatsächlich wiederherstellen lassen. Restore-Tests gehören deshalb zwingend zur Sicherheitsstrategie.

   Ebenso entscheidend sind unnötige Berechtigungen. In vielen Unternehmen haben Mitarbeitende über Jahre hinweg Zugriff auf Systeme und Daten erhalten, die längst nicht mehr für ihre Aufgaben notwendig sind. Solche überprivilegierten Konten vergrößern die Angriffsfläche erheblich. Ein ISMS hilft dabei, genau diese Risiken sichtbar zu machen – und zwar nicht erst, wenn es zu spät ist.

3. Verantwortlichkeiten festlegen
   Informationssicherheit scheitert selten ausschließlich an Technik. Häufig fehlt schlicht Klarheit darüber, wer zuständig ist. Genau deshalb gehört die Definition von Rollen und Verantwortlichkeiten zu den zentralen Bestandteilen eines ISMS.

   Vor allem in kleineren Unternehmen verteilen sich Sicherheitsaufgaben oft informell: Der Administrator kümmert sich um Backups, ein externer Dienstleister betreut die Firewall und die Geschäftsführung geht davon aus, dass „die IT das schon macht“. Im Ernstfall führt das schnell zu Unsicherheiten.

   Ein funktionierendes ISMS definiert deshalb klar, wer Risiken bewertet, wer Maßnahmen umsetzt und wer Entscheidungen trifft. Typischerweise liegt die operative Verantwortung bei der IT-Leitung oder Administratoren, während die Geschäftsführung Risiken akzeptieren oder Investitionen freigeben muss.

   Das klingt zunächst formal, hat aber praktische Auswirkungen. Wenn beispielsweise bekannt ist, dass kein ausreichender Endpoint-Schutz vorhanden ist oder Backup-Konzepte Lücken aufweisen, dann sollte dokumentiert werden, wie mit diesem Risiko umgegangen wird. Genau darum geht es im Kern eines ISMS: Risiken sichtbar machen, bewerten und Entscheidungen nachvollziehbar dokumentieren.

4. Maßnahmen priorisieren
   Einer der größten Fehler in Sicherheitsprojekten besteht darin, alles gleichzeitig lösen zu wollen, jedoch ist auch hier Priorisierung entscheidend. Ein pragmatisches ISMS konzentriert sich zuerst auf Basis-Sicherheitsmaßnahmen. Dazu zählen insbesondere funktionierende Backup- und Restore-Prozesse, Zugriffskontrollen, Patch-Management sowie Schutzmaßnahmen gegen Phishing und Social Engineering.

   Untersuchungen belegen: Phishing und BEC (Business E-Mail Compromise) waren, sind und bleiben ein massives Risiko für Unternehmen. Gefälschte Rechnungen, manipulierte Zahlungsaufforderungen oder präparierte Anhänge gehören längst zum Alltag. Deshalb ist Security Awareness weiterhin relevant – auch wenn technische Schutzmaßnahmen vorhanden sind.

   Gleichzeitig sollten Unternehmen vermeiden, sich bei der Ausarbeitung eines ISMS zu früh in hochkomplexen Spezialthemen zu verlieren. Ein sauber umgesetztes Basisniveau bringt meist deutlich mehr Cyberhygiene als umfangreiche Dokumentation ohne operative Umsetzung. Oder anders formuliert: Lieber 80 Prozent sinnvoll umgesetzt, als 100 Prozent theoretisch beschrieben.

5. Dokumentation aufsetzen
   Dennoch gehört auch Dokumentation zu jedem ISMS, allerdings nicht in Form unlesbarer Handbücher. Schon wenige Dokumente reichen aus, um Struktur zu schaffen. Dazu gehören typischerweise eine Übersicht über den Geltungsbereich des ISMS, eine Asset-Liste, ein Risikoregister sowie eine priorisierte Maßnahmenliste. Ergänzend sinnvoll sind einige Kernrichtlinien, etwa zu Zugriffskontrolle, Backup, Patch-Management oder Incident Response.

   Auch ein Incident-Log sollte vorhanden sein. Sicherheitsvorfälle – selbst kleinere Malware-Funde oder Phishing-Versuche – lassen sich dort dokumentieren und später auswerten. Wiederkehrende Vorfälle liefern oft wertvolle Hinweise auf strukturelle Schwachstellen. Wichtig ist dabei vor allem die Praxistauglichkeit. Eine Passwort-Richtlinie muss kein zehnseitiges Dokument sein. Wenn klar definiert ist, welche Anforderungen gelten, warum MFA (Multi-Faktor Authentifizierung) verpflichtend ist und wie Administrator-Konten gehandhabt werden, reicht häufig bereits eine halbe Seite, die im Ernstfall auch auffindbar sein muss. Die beste Dokumentation hilft schließlich wenig, wenn sie niemand liest oder im Ernstfall niemand weiß, wo sie liegt.

6. Prozesse definieren
   Neben Dokumentation braucht ein ISMS funktionierende Prozesse. Dabei müssen diese keineswegs hochkomplex sein. Klar verständliche Abläufe sind meist deutlich wirksamer. Das beginnt beim Access Management: Wer erhält Zugriff auf welche Systeme? Wer genehmigt Berechtigungen? Wie oft werden bestehende Rechte überprüft? Über Jahre gewachsene Berechtigungsstrukturen zählen zu den häufigsten Sicherheitsproblemen – vor allem in KMU. Ebenso wichtig sind definierte Backup-Prozesse. Unternehmen sollten festlegen, welche Daten gesichert, wie lange sie aufbewahrt und wie Wiederherstellungen getestet werden. Viele Unternehmen verlassen sich auf Backups, ohne jemals überprüft zu haben, ob diese tatsächlich funktionieren.

   Hinzu kommt ein einfacher Incident-Response-Prozess. Wie werden Sicherheitsvorfälle erkannt? Wer wird informiert? Welche Systeme können isoliert werden? Welche externen Dienstleister müssen eingebunden sein? Auch hier gilt: Im Ernstfall helfen keine komplizierten Prozessdiagramme, sondern klare Zuständigkeiten und erreichbare Ansprechpartner.

   Nicht zuletzt gehört Patch-Management zu den Pflichtaufgaben eines ISMS. Systeme sollten möglichst automatisiert aktualisiert werden. Gerade angesichts immer kürzerer Zeitfenster zwischen Schwachstellenveröffentlichung und aktiver Ausnutzung wird schnelles Patchen zunehmend entscheidend
   .

7. Regelbetrieb etablieren
   Zu guter Letzt muss bedacht werden: Ein ISMS ist kein Projekt mit Enddatum. Genau das wird in vielen Unternehmen unterschätzt. Informationssicherheit funktioniert nur dann nachhaltig, wenn sie Teil des Regelbetriebs wird. Dies bedeutet nicht zwangsläufig hohe Zusatzaufwände. Bereits kurze monatliche Reviews der wichtigsten Risiken können ausreichen, um Risikobewertung und Maßnahmen aktuell zu halten. Quartalsweise Abstimmungen mit der Geschäftsführung schaffen zusätzliche Transparenz. Hinzu kommen regelmäßige Prüfungen von Berechtigungen, Backup-Prozessen oder Sicherheitsvorfällen. Entscheidend ist dabei vor allem eines: Das ISMS muss gelebt werden. Dokumente, die nach ihrer Erstellung in der Schublade verschwinden, verbessern keine Informationssicherheit. Erst wenn Risiken regelmäßig überprüft, Maßnahmen angepasst und Verantwortlichkeiten tatsächlich wahrgenommen werden, entfaltet ein ISMS seinen Nutzen.

Fazit: Informationssicherheit muss praktikabel bleiben

Ein ISMS ist für Unternehmen − insbesondere für KMU − ein wirkungsvolles Instrument zur Priorisierung. Es hilft dabei, kritische Daten und Systeme sichtbar zu machen, Risiken strukturiert zu bewerten und Sicherheitsmaßnahmen nachvollziehbar umzusetzen. Entscheidend ist dabei nicht die Menge der Dokumentation, sondern ob Prozesse und Verantwortlichkeiten im Alltag tatsächlich funktionieren. Denn Informationssicherheit entsteht nicht durch Ordner und Richtlinien allein, sondern dadurch, dass Risiken verstanden, Maßnahmen umgesetzt und regelmäßig überprüft werden. Genau darin liegt der eigentliche Mehrwert eines ISMS.

Weitere Informationen zum Thema:

datensicherheit.de, 02.07.2026
Die eigentliche Herausforderung beginnt erst jetzt: NIS-2-Registrierung genügt nicht

datensicherheit.de, 05.07.2016
KRITIS: TÜV Rheinland beschreibt fünf Vorteile der ISO 27001 für Betreiber

[datensicherheit.de, 01.07.2026] Die Sicherheitsforscher von Check Point Research haben ein von DeepSeek generiertes Malware Sample aufgedeckt. Dabei hat ein KI-Modell eigenständig ein theoretisches Browser-Risiko mit einer funktionierenden Ransomware-Technik verknüpft. Diese wird vollständig im Browser ausgeführt. Das Browser-Risiko besteht ohne Exploit, ohne App-Installation und ohne dass der Angreifer technisches Fachwissen benötigt.

Dies ist der erste dokumentierte Fall, in dem ein innovatives KI-Modell eigenständig die Lücke zwischen einem theoretischen, ausschließlich browserbasierten Ransomware-Risiko und einer praktischen, funktionierenden Angriffskette überbrückt hat. Damit wurde ein neuartiger Angriffspfad aufgedeckt, den Sicherheitsverantwortliche aufgrund der Grenzen des Browser-Sandboxings zuvor als undurchführbar abgetan hatten. Das erforderliche Fachwissen zur Entdeckung eines neuen Angriffspfads stellt keinen Engpass mehr dar und Sicherheitsverantwortliche müssen dieser Veränderung nun Rechnung tragen, bevor Angreifer sie in großem Maßstab operationalisieren.

Die KI und der Angriff

1. Eine KI übernahm das „Denken“, das früher ein menschlicher Angreifer leisten musste
   Bei der Analyse von fast 3.000 Dateien in öffentlichen Telemetriedaten, die DeepSeek zugeschrieben wurden, stießen die Forscher auf eine Python-Flask-Anwendung. Sie wirkte wie eine KI-Halluzination aus dem Lehrbuch: Sie versuchte, Keylogging, den Diebstahl von Anmeldedaten, Webcam-Aufnahmen sowie ein Lösegeld-Overlay auf einer einzigen Webseite unterzubringen. Dies wird jedoch von den meisten Browsern schlichtweg nicht zugelassen. Doch versteckt in all dem Durcheinander hat das Modell eine Sache genau richtig gemacht: Es rief „showDirectoryPicker()“ auf, eine legitime Browser-API, die es einer Webseite ermöglicht, Dateien aus einem vom Nutzer ausgewählten Ordner zu lesen, zu ändern und zu exfiltrieren. Ein Laie kann ein böswilliges Ergebnis in einfacher Sprache beschreiben und erhält einen Prototyp, der dieses Ziel mit einer tatsächlichen Plattformfunktion verknüpft, von deren Existenz er bisher nichts wusste.
2. Vom hypothetischen Rahmenkonzept zum voll funktionsfähigen Proof-of-Concept
   Check Point Research hat die Technik durch die Erstellung eines kontrollierten PoC (Proof of Concept) validiert: ein gefälschtes KI-Tool zur Bildoptimierung namens „AI Avatar Enhancer“, dass die File System Access API nutzt, um Bilder in einem ausgewählten Verzeichnis zu verschlüsseln. Beim direkten Test mit DeepSeek V4 unter Verwendung des Wortes „Ransomware“ lehnte das Modell dies ab. Bei einer neutralen Formulierung generierte es jedoch durchweg funktionierenden, browserbasierten Ransomware-Code. In einer Antwort beschrieb das Modell die Ausgabe selbst als „eine ausgeklügelte Falle, die eine überzeugende KI-Upscaler-Oberfläche mit versteckten, Ransomware-ähnlichen Verhaltensweisen kombiniert“. Es handelt sich um einen Workflow, der keine APK-Installation, keine native Payload, keinen Browser-Exploit und keinen Root-Zugriff erfordert, sondern lediglich eine einzige Berechtigungsabfrage.
3. Nutzer von Android-Mobilgeräten sind am stärksten gefährdet
   Mit Chrome 132 wurde die vollständige Unterstützung für den Dateisystemzugriff auf Android eingeführt. Tests mit Chrome 148 haben bestätigt, dass Webseiten Zugriff auf das DCIM-Fotoverzeichnis anfordern können. In diesem Ordner werden in der Regel persönliche Fotos, gescannte Ausweise, Bank-Screenshots, medizinische Unterlagen, Wiederherstellungscodes und Reisedokumente über Jahre hinweg gespeichert.iOS Safari stellt diese API nicht zur Verfügung, sodass diese Technik dort nicht anwendbar ist. Der Verlust des Zugriffs auf diese Daten oder deren Exfiltration kann persönliche oder geschäftliche Probleme nach sich ziehen, die von Ransomware bis hin zu Erpressung reichen. Im Falle sensibler Daten kann es zu einer öffentlichen Bekanntmachung kommen, die einen Reputationsschaden nach sich zieht.Große KI-Anbieter wie Anthropic oder OpenAI lehnen Anfragen, die Ransomware, den Diebstahl von Zugangsdaten oder den Einsatz von Malware betreffen, konsequent ab. DeepSeek ist in dieser Hinsicht weniger konsequent. Es ist kostenlos, weit verbreitet und zugänglich. Im Test erzeugte eine einzige allgemeine Eingabeaufforderung eine vollständige bösartige Anwendung. Bei anderen Modellen hätte die Erstellung mehrere manuelle Anfragen und einen manuellen Zusammenbau erfordert. Diese niedrigere Einstiegshürde macht DeepSeek besonders attraktiv für Angreifer mit begrenzten technischen Fähigkeiten.

Unbegrenzte Malware-Varianten

In der Vergangenheit erforderte die Entdeckung eines neuen Angriffspfads Fachwissen und kreatives menschliches Denken. KI verändert diese Dynamik jedoch grundlegend: Auf diese Weise generierte Malware könnte die Bedrohungslandschaft von einer begrenzten Anzahl wiederverwendeter Malware-Familien hin zu einer größeren Menge wegwerfbarer, einmaliger Artefakte verschieben. Jedes dieser Artefakte enthält eine einzigartige Kombination von Techniken. KI implementiert nicht nur bestehende Techniken neu, sondern überbrückt auch die Lücke zwischen rein theoretischen Risiken und neuartigen, praktischen Angriffen, mit denen Verteidiger in der Praxis noch nicht konfrontiert waren.

Damit Sicherheitsexperten ihre IT-Umgebungen von dieser Art von Angriffen schützen können, muss jede Abfrage des Browsers nach Zugriff auf einen Ordner als sicherheitskritische Entscheidung behandelt werden. Sie sollten prüfen, welche Website die Abfrage stellt, welcher Ordner ausgewählt wird und ob Schreibzugriff tatsächlich erforderlich ist. Websites sollten niemals Zugriff auf die Hauptfotobibliothek, den DCIM-Ordner oder Verzeichnisse gewährt werden. Zu befürchten steht, dass sich Angreifer auf Ausweisdokumente, Wiederherstellungscodes oder Screenshots von Online-Banking Zugriff verschaffen. Nutzer sollten gegenüber mit KI beworbenen Lockangeboten wie Avatar-Upscalern und Bildoptimierern skeptisch bleiben. Für wichtige Aufgaben sollten sie seriöse native Apps oder etablierte Cloud-Dienste bevorzugen. Sie sollten regelmäßige Offline- und Cloud-Backups erstellen, damit verschlüsselte Dateien niemals die einzige Kopie sind. Browser und mobile Betriebssysteme sollten auf dem neuesten Stand gehalten werden. Unternehmen sollten Sicherheitslösungen einsetzen, die solche bösartigen Websites bereits vor dem Erscheinen verdächtiger Berechtigungsabfragen identifizieren und blockieren.

Eli Smadja, Group Manager bei Check Point Research, erklärt: „Wir erleben derzeit einen grundlegenden Wandel in der Art und Weise, wie neue Cyberangriffe entstehen. Zum ersten Mal haben wir Beweise dafür, dass ein KI-Modell eigenständig legitime Plattformfunktionen analysieren und eine funktionierende Angriffstechnik aufdecken kann. Darüber konnten Fachleute bisher nur theoretisch spekulieren, ohne zu wissen, dass die zugrunde liegende API überhaupt existiert. Die Hürde für die Umsetzung komplexer Angriffe sinkt erheblich, was tiefgreifende Auswirkungen auf jedes Unternehmen hat, das KI in seine Arbeitsabläufe integriert, sowie auf jeden Mobilfunknutzer, der mittlerweile sein gesamtes privates und berufliches Leben in einer Fotobibliothek mit sich führt. Die Zukunft der KI-Sicherheit darf nicht darauf beruhen, dass Modelle offensichtlich böswillige Anfragen ablehnen. Sie muss davon ausgehen, dass die nächste Angriffstechnik nicht von einem menschlichen Forscher, sondern durch eine KI-Halluzination entdeckt wird, die zufällig in einem Punkt richtig lag. Unternehmen, die sich schon jetzt auf diese Realität vorbereiten, indem sie den „Delivery Layer“ absichern, das auf Berechtigungen basierende Vertrauensmodell überdenken und jede Browser-Eingabeaufforderung als Sicherheitsentscheidung behandeln, werden diejenigen sein, die noch bestehen, wenn der Rest der Branche aufholt.“

Weitere Informationen zum Thema:

Check Point Research
Browser-Only Ransomware: From LLM Hallucinations to a Practical Attack Technique

datensicherheit.de, 27.02.2025
DeepSeek-R1 als Warnsignal: KI-Sicherheit muss bei der Architektur beginnen

[datensicherheit.de, 28.06.2026] Shrikant Dhanawade, Director „Product Management“, „Cloud-Security“ bei Qualys, betont in seiner aktuellen Stellungnahme, dass sich auf Künstliche Intelligenz (KI) stützende Erkennung eine Schwelle überschritten habe: IT-Sicherheitsteams könnten nun Schwachstellen, Fehlkonfigurationen und aktive Angriffspfade mit einer Geschwindigkeit und in einem vor einigen Jahren noch unvorstellbaren Umfang aufdecken. Das Problem bestehe nicht mehr darin, Risiken zu finden oder zu erkennen, sondern darin, „sie schnell genug zu beheben, damit es wirklich etwas bewirkt“. „Cloud“-Bereitstellungen verstärkten diesen Druck auf besondere Weise: „Die Infrastruktur, die Sicherheitsteams eilig beheben müssen, verändert sich, skaliert, wird neu bereitgestellt und neu konfiguriert – und das schneller, als es manuell möglich ist.“ Die Frage, die sich jedes Sicherheitsteam derzeit stellt, lautet demnach: „Wie können wir in ,Cloud’-Umgebungen, die niemals stillstehen, Prioritäten setzen und Abhilfemaßnahmen mit der gleichen Geschwindigkeit durchführen, mit der die Erkennung erfolgt?“ Seine ausführliche, ungekürzte Ausarbeitung liegt als Gastbeitrag zum Download vor.

Shrikant Dhanawade bringt die Herausforderung auf den Punkt: Die Infrastruktur verändert sich ständig über verschiedene Bereitstellungsarten hinweg, die jeweils unterschiedliche Risikomodelle mit sich bringen

Cyberangreifer jagen der sich rasant entwickelnden „Cloud“ dicht hinterher

„Fragt man die meisten Sicherheitsteams nach ihrer größten Herausforderung in der ,Cloud’, werden sie etwas über mangelnde Transparenz, zu viele Ressourcen, zu viele ,Tools’ und zu viele Daten sagen“, berichtet Dhanawade.

• Transparenz sei wohl ein echtes Problem – aber es sei nicht das schwierigste. „Das schwierigste Problem ist, dass die ,Cloud’-Infrastruktur von Natur aus dynamisch ist. Dadurch werden die Annahmen untergraben, auf denen traditionelle Sicherheitsprogramme basierten.“

Das „Weaponization Window“ (d.h. die Zeitspanne von der Veröffentlichung einer CVE bis zum aktiven cyberkriminellen Einsatz eines „Exploits“ in der Praxis) habe sich in den letzten Jahren von Wochen auf nur noch Stunden verkürzt. Dhanawade warnt: „KI unterstützt nicht nur Verteidiger, sondern hilft auch Angreifern dabei, Angriffspfade schneller zu entdecken und abzubilden, als es jede von Menschen durchgeführte Analyse nachhalten kann.“ Statische Angriffspfadmodelle, welche nur wöchentlich aktualisiert werden, seien dann bereits veraltet.

Sicherheitsprogramme auf Basis periodischer Bewertungszyklen können mit ständig weiterentwickelter Infrastruktur nicht Schritt halten

Die Gemengelage: „Ein für einen ,Batch-Job’ gestarteter Container kann maximal vier Minuten bestehen bleiben. Eine serverlose Funktion wird in Millisekunden ausgeführt. Eine Auto-Scaling-Gruppe kann als Reaktion auf einen Traffic-Anstieg Dutzende von Instanzen hinzufügen und entfernen, noch bevor ein wöchentlicher Scan überhaupt ausgeführt wurde.“

• Herkömmliche Schwachstellen-Scanner seien jedoch für eine Welt entwickelt worden, „in der Ressourcen lange genug vorhanden waren, um gescannt, bewertet, priorisiert und gepatcht zu werden“. In „Cloud“-Umgebungen könne die Ressource jedoch bereits verschwunden sein, bevor die Priorisierung überhaupt beginnt.

Er führt aus: „Dies ist kein Problem der Scan-Häufigkeit, das durch schnellere Scanner behoben werden kann. Es handelt sich um eine architektonische Diskrepanz. Sicherheitsprogramme, die auf periodische Bewertungszyklen angewiesen sind, können mit der sich ständig weiterentwickelnden Infrastruktur nicht Schritt halten.“ Es müsse sich folglich nicht nur der Scan-Zeitplan, sondern auch das Reaktionsmodell ändern.

Vergrößerung der Angriffsfläche aufgrund der Vielfalt der Bereitstellungsarten

Moderne „Cloud“-Umgebungen seien nicht homogen. Jede Bereitstellungsart weise ein anderes Sicherheitsmodell, andere Abhilfemaßnahmen und ein anderes Risikoprofil auf. Eine anfällige Anwendung werde verschoben und skaliert, um die Verfügbarkeit zu verbessern. Ein einheitlicher „Workflow“ für das Schwachstellen-Management, der alle diese Fälle gleichbehandelt, sei für die meisten von ihnen ungeeignet.

• Die Erkennungsleistung einer „Cloud Native Application Protection Platform“ (CNAPP) sei gut – aber es stelle sich die Frage, ob die Geschwindigkeit ausreicht. Die meisten modernen CNAPP-Plattformen seien zwar hervorragend darin, „Cloud“-Sicherheitssignale über diese weitläufige und flüchtige Angriffsfläche hinweg zu aggregieren und zu korrelieren – indes seien sie jedoch keine Plattformen zur Behebung von Schwachstellen.

Die Lücke zwischen einem einheitlichen Befund und einer behobenen Schwachstelle werde nach wie vor überwiegend durch einen manuellen Arbeitsablauf geschlossen. Es werde ein Ticket eröffnet, ein Team benachrichtigt, eine Änderung genehmigt, eine Bereitstellung durchgeführt und ein Scan zur Bestätigung erneut ausgeführt. In einer dynamischen „Cloud“-Umgebung dauere dieser Prozess Tage. „Bis das Ticket gelöst ist, wurde die Infrastruktur, die den Befund verursacht hat, möglicherweise bereits zweimal ersetzt.“

„Qualys TotalCloud“ bietet sofortige Erkennung in Echtzeit auf Basis von „Cloud“-Ereignissen

Dhanawade hat auch einen hauseigenen Lösungsansatz parat: „Qualys TotalCloud“ sei eben entwickelt worden, um diese Lücke zu schließen. Die Erkennung erfolge sofort – in Echtzeit und auf Basis von „Cloud“-Ereignissen. Als einheitliche CNAPP-Lösung korreliere diese Lösung Signale zu Schwachstellen, Fehlkonfigurationen, Identitätsproblemen und Befunden zu sensiblen Daten zu einem einzigen, kontinuierlichen Risikobild und verknüpfe dieses Bild direkt mit der Behebung.

• Das Ergebnis sei eine Sicherheitslage, welche nicht nur mehr erkenne, sondern auch schneller reagiere. Von einer falsch konfigurierten IAM-Rolle („Identity und Access Management“) bis hin zu einem aktiv ausnutzbaren Angriffspfad stellten erstklassige CNAPP-Lösungen sicher, „dass jedes von der Erkennungs-Engine aufgedeckte Signal einen direkten, automatisierten Weg zur Behebung hat“.

Um diese Lücke zu schließen, müsse das korrelierte Signal eines CNAPP mit einer autonomen Behebungsfunktion verknüpft werden, welche mit der Geschwindigkeit und dem Umfang der „Cloud“ agieren kann.

Den Überblick behalten mittels Hyper-Priorisierung in Cloud-Umgebungen

„Eine CNAPP, die zwar innerhalb von Sekunden einen ausnutzbaren Angriffspfad aufdeckt, aber eine Woche benötigt, um ihn zu schließen, bietet kein angemessenes Sicherheitsergebnis!“, unterstreicht Dhanawade. Diese verursache lediglich einen größeren Rückstau. „Entscheidend ist nicht, wie viele Schwachstellen erkannt wurden, sondern wie lange sie offenblieben, so dass ein Angreifer sie ausnutzen konnte. Die manuelle Priorisierung ist der Hauptgrund dafür, dass sie so lange offenbleiben.“

• Eine ausgereifte CNAPP-Implementierung in einem Unternehmen könne wöchentlich Zehntausende von Befunden zutage fördern. Allein das „Cloud Security Posture Management“ (CSPM) generiere in großen Umgebungen üblicherweise Zehntausende Richtlinienverstöße. „Ohne konsequente Priorisierung sehen sich Sicherheitsteams einer unüberschaubaren Triage-Last gegenüber und greifen standardmäßig auf die Vorgehensweisen ,vom Ältesten zum Neuesten’ oder ,mit dem höchsten CVSS-Wert zuerst’ zurück.“ Dabei spiegele keine dieser Methoden das tatsächliche Risiko wider. Zudem ignorierten die meisten Unternehmen fast ein Drittel ihrer als „geringfügig“ eingestuften Warnmeldungen. Dies sei problematisch, da das ausschließliche Verlassen auf den Wert vom „Common Vulnerability Scoring System“ (CVSS) dazu führen könnte, „dass Warnmeldungen aufgrund falscher Annahmen übersehen werden, die eigentlich sofort isoliert und behoben werden müssten“.

Unternehmen, welche „Compliance“-Vorgaben und -Rahmenwerken wie NIST 800-53 unterliegen, müssten zudem die Anforderungen an eine kontinuierliche Überwachung und schnelle Reaktion berücksichtigen. „Die Lösung? Eine fortgeschrittene Priorisierung, die sich auf die wichtigsten ,Exploits’ konzentriert – eine Art ,Hyper-Priorisierung’ auf der Grundlage mehrerer Kriterien“, so Dhanawade.

Umfassende hochdynamische Neubewertung der Ressourcen im Risikokontext

Jede Ressource werde kontinuierlich anhand eines Live-Bedrohungs-Feeds neu bewertet, „während sich die Bedrohungslandschaft weiterentwickelt“. Dabei würden auch die folgenden Risikofaktoren berücksichtigt:

• Exposition
  „Ist die betroffene ,Workload’ mit dem Internet verbunden?“ „Ist der anfällige Port von außerhalb der VPC erreichbar?“ Eine kritische Schwachstelle bei einem isolierten internen Dienst unterscheide sich grundlegend von derselben Schwachstelle bei einem öffentlich zugänglichen Endpunkt mit Lastenausgleich.
• Identität und Zugriff
  „Verfügt die kompromittierte Workload über eine IAM-Rolle mit weitreichenden Berechtigungen?“ „Kann ein Angreifer, der diese Schwachstelle ausnutzt, auf andere Konten oder Regionen zugreifen oder Daten exfiltrieren?“ Der Auswirkungsbereich eines Angriffs hänge stark davon ab, wozu die „Workload“ berechtigt ist.
• Wege der lateralen Bewegung
  „Die Analyse von Angriffspfaden über die ,Cloud’-Topologie hinweg zeigt, welche Schwachstellen, wenn sie ausgenutzt werden, einen Weg zu den wertvollsten ,Assets’ bieten!“ So könne ein Befund mit niedrigem CVSS-Wert bei einer „Workload“ mit Netzwerkzugriff auf eine Produktionsdatenbank eine höhere Priorität haben als ein kritischer CVE-Befund auf einer isolierten Entwicklungsinstanz.
• Geschäftlicher Kontext
  „Nicht alle Ressourcen haben das gleiche Gewicht!“ Eine Schwachstelle im Zahlungsabwicklungsdienst, im Kundendatenspeicher oder in einer für die „Compliance“ kritischen „Workload“ erfordere ein anderes Maß an Reaktionsdringlichkeit als derselbe Befund in einem internen Entwicklungstool.
• Aktive Bedrohungsfeeds
  Laufzeitsensoren beobachteten tatsächliches verdächtiges Verhalten, ungewöhnliche Prozessausführungen, unerwartete Netzwerkverbindungen sowie Zugriffsmuster bei Anmeldedaten und erhöhten die Priorität der damit verbundenen Schwachstellen von „theoretisch“ auf „bestätigt – aktiv“.
• Ausgleichende Kontrollmaßnahmen
  Eine Schwachstelle, welche durch eine WAF-Regel (Web Application Firewall) abgedeckt ist, welche den spezifischen Angriffsvektor blockiert, oder die sich in einer Workload befindet, in der der anfällige Codepfad niemals ausgeführt wird, berge ein geringeres effektives Risiko. Durch die Berücksichtigung von Kontrollmaßnahmen werde verhindert, dass die Behebungswarteschlange von Schwachstellen dominiert werde, welche bereits gemindert wurden.

Fokussierung auf verstärkende Wechselwirkung von Risikofaktoren

Der Befund mit der höchsten Priorität sei nicht derjenige mit der höchsten Punktzahl in einer einzelnen Dimension, „sondern derjenige, bei dem mehrere Risikofaktoren zusammenkommen“. Nicht Tausende von Befunden, sondern nur Dutzende.

• „Wenn sie nicht behoben werden, stellen Schwachstellen und Fehlkonfigurationen einen glaubwürdigen Weg zu einer schwerwiegenden Sicherheitsverletzung dar. Dies ist die Liste, auf die die autonome Behebung zuerst reagieren sollte.“

Die Hyper-Priorisierung in der „Cloud“ gehe über eine genaue Bewertung hinaus. Sie sei unerlässlich, um eine Liste mit Tausenden von Schwachstellen auf die wenigen Dutzend zu reduzieren, welche aktuell in ihrer spezifischen Umgebung ein echtes, unmittelbar bevorstehendes und ausnutzbares Risiko darstellten.

Qualys-Fazit: Impulse für „Cloud“-Sicherheitsteams

Die autonome Fehlerbehebung in der „Cloud“ sei kein Schwarz-Weiß-Szenario. Bei Konfigurationsabweichungen sei eine vollständige Automatisierung möglich. Beim „Human-in-the-Loop“-Ansatz würden Änderungen der Arbeitslasten, die mit operativen Risiken verbunden sind, manuell überprüft. Bei neuartigen Bedrohungen, für die es noch kein „Playbook“ gibt, komme eine auf „Large Language Models“ (LLM) gestützte Triage zum Einsatz.

• Die „Cloud“-Sicherheit sei eine besondere Herausforderung, da die zu schützende Umgebung von Natur aus dynamisch sei. Dhanawade gibt zu bedenken: „Die Infrastruktur verändert sich ständig über verschiedene Bereitstellungsarten hinweg, die jeweils unterschiedliche Risikomodelle mit sich bringen. All dies wird von Teams verwaltet, die schneller agieren als ursprünglich von den Sicherheitsprogrammen vorgesehen.“

CNAPP biete Sicherheitsteams nun einen einheitlichen Überblick über die gesamte Umgebung. Durch die Hyper-Priorisierung könnten sie sich auf das Wesentliche konzentrieren. Die autonome Behebung von Sicherheitslücken ermögliche es ihnen, Risiken schnell zu beseitigen, „bevor diese ausgenutzt werden können“. Doch abschließend merkt Dhanawade noch an: „Keine dieser Maßnahmen reicht für sich allein aus! Zusammen bilden sie jedoch ein Sicherheitsprogramm, das mit den neuesten KI-gestützten ,Cloud’-Bedrohungen tatsächlich Schritt halten kann.“

Weitere Informationen zum Thema:

Qualys
About Qualys. / The leading provider of information security and compliance cloud solutions.

Qualys
All posts by Shrikant Dhanawade / Director, Product Management, Cloud Security, Qualys

Qualys, Shrikant Dhanawade, Juni 2026
Der neue Standard bei CNAPP: Hyper-Priorisierung und autonome Behebung im Cloud-Maßstab

datensicherheit.de, 27.05.2026
Die physische Dimension digitaler Resilienz angesichts kinetischer Angriffe auf Cloud-Infrastrukturen / Patrick Fetter macht deutlich, weshalb physische Angriffe auf „Cloud“-Infrastrukturen – von Drohnen-Attacken auf Rechenzentren bis hin zu Sabotageakten an Seekabeln – die digitale Resilienz der Unternehmen grundlegend in Frage stellen

datensicherheit.de, 24.05.2026
Digitale Souveränität: Europa erneuert seine Cloud-Infrastruktur für 180 Millionen Euro / Die „GITEX AI EUROPE 2026“ in Berlin soll führende Unternehmen zusammenbringen, welche Europas „Cloud“- und KI-Zukunft gestalten – darunter IONOS und Trend Micro mit praxisreifen Lösungen für die Anforderungen des Marktes

datensicherheit.de, 08.04.2026
Warum Datenschutz zum entscheidenden Kriterium für Cloud-Speicher wird / Trotz der weiten Verbreitung digitaler Dienste bleibt ein Teil der deutschen Bevölkerung zurückhaltend gegenüber Cloudspeicher-Lösungen. Die STRATO-Studie zeigt deutlich welche Gründe dahinterstehen. Besonders häufig wird der Wunsch nach lokaler Speicherung genannt.

datensicherheit.de, 08.04.2026
Physische Sicherheit in Unternehmen: Governance entscheidend bei Cloud-Nutzung / Genetec unterstützt Unternehmen, mithilfe der „Cloud“ ihre physische Sicherheit zu modernisieren und zugleich widerstandsfähiger zu werden

datensicherheit.de, 07.03.2026
Monitoring von Cloud-Datenbanken: Transparenz und Kontrolle in dynamischen IT-Umgebungen / Die Datenspeicherung hat sich in den letzten Jahren erheblich verändert. Im Fokus der aktuellen digitalen Infrastruktur stehen neben der Migration in die Cloud insbesondere auch der Betrieb und das Management von Cloud-Datenbanken. Unternehmen verarbeiten Arbeitslasten in einem bislang unbekannten Umfang – Cloud-Datenbank-Management macht das möglich, indem es den Wartungsaufwand reduziert und zudem Flexibilität und Effizienz erhöht.