Wo man auch hinkommt, hört man immer wieder dieselbe Geschichte: KI hat alles verändert, Angreifer sind schneller geworden, und Governance ist entscheidend. Das ist eine Erzählung, die auch 50 andere CISOs vorbringen könnten.
Nach 20 Jahren in der Cybersicherheit habe ich den Vorteil, auf die Vergangenheit zurückblicken zu können. Ich habe große technologische Umbrüche miterlebt: das Internet, mobile Geräte, die Cloud … und vieles mehr. Für mich ist die interessante Frage, worin sich der KI-Wandel grundlegend von jedem anderen technologischen Wandel unterscheidet.
KI hat die Aufgabe des CISOs nicht ersetzt. Ja, sie hat das Tempo verändert, aber bei guter Sicherheit ging es schon immer darum, ein Team zu sein, das nicht nur die Technologie schützt, sondern dem Unternehmen auch dabei hilft, auf dem Markt, auf dem es im Wettbewerb steht, erfolgreich zu sein. Genau wie beim Internet, bei Mobilgeräten und bei der Cloud ist es eine Grundvoraussetzung, sicherzustellen, dass das Unternehmen KI sinnvoll einsetzt.
1. Wie mein Job vor einem Jahr aussah
Vor einem Jahr wären meine Prioritäten jedem CISO sehr vertraut gewesen: Ransomware, Identitätsmanagement, Schwachstellenmanagement, Risiken durch Drittanbieter, Cloud-Sicherheit, Datenschutz, Ausfallsicherheit. KI stand zwar auf der Tagesordnung, aber größtenteils als Risiko durch eine aufkommende Technologie. Heute ist sie Teil fast jeder dieser Diskussionen.
Das vergangene Jahr war keine leichte Zeit. Wir mussten Identitäten, Systeme, Anwendungen, Infrastruktur und Daten schützen. All das gilt nach wie vor, doch mittlerweile haben wir es mit Systemen zu tun, die riesige Mengen an Informationen verarbeiten, neue Informationen generieren, Empfehlungen aussprechen, Software schreiben, Arbeitsabläufe automatisieren und zunehmend im Namen von Menschen handeln können. Die alten Probleme sind nicht verschwunden. KI hat Einzug gehalten und den bestehenden Sicherheitsstack beschleunigt.
2. Was sich geändert hat und warum dies nicht schrittweise geschah
Der größte Wendepunkt ist der drastische Rückgang der Kosten für die Nutzung dieser Fähigkeiten. Ein Angreifer benötigt nicht mehr denselben Aufwand an Fähigkeiten und Zeit. Früher mussten sie unzählige Stunden in ihre Programmierkenntnisse oder die Erstellung von Inhalten investieren, um in großem Maßstab agieren zu können, und unzählige Stunden, um Ziele zu identifizieren und einzugrenzen. Gleichzeitig verfügen meine eigenen Mitarbeiter plötzlich über leistungsstarke Tools, die Unternehmensinformationen verarbeiten und Code, Analysen sowie Inhalte erstellen können.
Wir haben also zwei gleichzeitige Beschleunigungsprozesse. Was sich geändert hat, war nicht einfach nur, dass Angreifer KI erhielten. Alle erhielten KI. Und die Einführung erfolgte von unten nach oben. Die Mitarbeiter warteten nicht auf die KI-Strategie des Unternehmens. Entwickler begannen, Copiloten zu nutzen. Die Menschen experimentierten mit öffentlichen LLMs. Die Geschäftsbereiche entdeckten Automatisierungsmöglichkeiten.
Bei den meisten wichtigen Unternehmenstechnologien hatte die Sicherheitsabteilung noch etwas Zeit, die Umgebung vorzubereiten, bevor diese Technologien flächendeckend eingeführt wurden. Bei generativer KI erfolgte die Einführung oft noch vor der Einführung von Governance-Maßnahmen.
3. Wie sich die Aufgabe selbst verändert hat
Früher lautete die Frage der Sicherheitsabteilung: Wie schützen wir diese Technologie? Doch die KI zwingt uns, eine andere Frage zu stellen: Wie ermöglichen wir es dem Unternehmen, diese Technologie sicher zu nutzen?
Das stellt CISOs vor Fragen, die nicht ausschließlich die Cybersicherheit betreffen:
- Welche Informationen dürfen Mitarbeiter an KI-Systeme weitergeben?
- Welche Modelle und Dienste sind zugelassen?
- Was passiert mit Eingabeaufforderungen und hochgeladenen Daten?
- Wo werden Unternehmensdaten gespeichert?
- Wie verwalten wir KI-Identitäten, Agenten und Berechtigungen?
- Wie validieren wir KI-generierten Code?
- Inwieweit ist eine menschliche Aufsicht erforderlich?
- Inwiefern überschneiden sich die Zuständigkeiten in den Bereichen Recht, Datenschutz, Sicherheit, Daten-Governance und Compliance?
Allerdings müssen CISOs darauf achten, dass sie nicht zu Technikfeinden oder zur „KI-Polizei“ werden. Die Aufgabe des CISOs besteht darin, die Sicherheitsgrenzen zu definieren, innerhalb derer sich das Unternehmen schnell bewegen kann. Wenn die Sicherheitsstrategie für KI einfach lautet: „Verwendet sie nicht!“, hat man bereits verloren. Die Menschen werden sie nutzen. Unsere Aufgabe ist es, den sicheren Weg zum einfachsten Weg zu machen.
4. Was ich neu lernen oder verlernen musste
Eine Sache, die ich mir abgewöhnen musste, ist die Vorstellung, dass die Sicherheitsabteilung eine Technologie erst vollständig verstehen muss, bevor das Unternehmen sie einführt. Bei der KI finden Einführung und Experimentieren parallel zu unserem Verständnis der Risiken statt. Wir müssen eine kluge und durchdachte Einführung ermöglichen.
Ein weiterer Aspekt ist der Determinismus. Sicherheitsexperten sind damit aufgewachsen, Systeme zu bewerten, bei denen – grob gesagt – die Eingabe A die Ausgabe B erzeugen sollte. Generative Systeme verhalten sich nicht so vorhersehbar. Wir sind es gewohnt zu fragen, ob eine Kontrollmaßnahme funktioniert. KI zwingt uns dazu, uns mehr damit anzufreunden, zu fragen, wie zuverlässig sie funktioniert, unter welchen Bedingungen sie versagt und was passiert, wenn dies der Fall ist. Das ist intellektuell interessant.
Zwanzig Jahre in der Sicherheitsbranche lehren einen, Muster zu erkennen. Nun erinnert mich die KI daran, dass Mustererkennung zu einem Risiko werden kann, wenn sich die zugrunde liegenden Annahmen ändern.
Anfangs ging ich davon aus, dass das Hauptproblem der böswillige Einsatz von KI von außen gegen uns sein würde. Doch schon bald stellte ich fest, dass mein größter Einfluss intern auf die Datenverwaltung, die interne Einführung und die geschäftliche Umsetzung liegen würde.
5. Was kommt als Nächstes / Tipps für Kollegen
Erstens: Schafft kein separates KI-Sicherheitsuniversum.Ordnen Sie KI den Kontrollmechanismen zu, die Sie bereits kennen: Identität, Datenklassifizierung, Prinzip der geringsten Berechtigungen, Protokollierung, Risiken durch Drittanbieter, sichere Entwicklung, Reaktion auf Vorfälle und Ausfallsicherheit.Zweitens: Achten Sie genau auf Agenten.Die heute vorherrschende Interaktion verläuft oft nach dem Schema Mensch → Modell → Antwort. Die folgenreichere Architektur sieht zunehmend so aus: Mensch → Agent → Tools → Systeme → Daten → Aktionen. Sobald KI Maßnahmen ergreifen kann (anstatt nur Text zu generieren), gewinnen Autorisierung, Identität, Herkunft, Überwachung und Wirkungsbereich erheblich an Bedeutung. Ich mache mir weniger Sorgen darüber, dass eine KI etwas Falsches sagt, als darüber, dass ein KI-Agent befugt ist, etwas Falsches zu tun.Drittens: Schützen Sie die Datenschicht.Modelle werden sich schnell ändern. Anbieter werden wechseln. Architekturen werden sich ändern. Das heute größte KI-Unternehmen und das angesagteste Pioniermodell werden bald so alt sein wie Betamax. Ihre beständigen Sicherheitsressourcen bestehen darin, zu wissen, welche Daten Sie haben, wo sie sich befinden, wer darauf zugreifen kann und was diese Personen damit tun dürfen.
Viertens: Messen Sie den Erfolg nicht daran, wie viel KI Sie blockieren.Eine ausgereifte Sicherheitsorganisation sollte die legitime Nutzung ermöglichen und gleichzeitig inakzeptable Risiken eindämmen. Jeder große technologische Wandel bringt eine Phase mit sich, in der die Möglichkeiten schneller voranschreiten als die Kontrollmöglichkeiten. Das war beim Internet so. Das war bei Mobilgeräten so. Das war bei der Cloud so. Bei der KI geschieht dies mit außergewöhnlicher Geschwindigkeit.
Um damit gut umzugehen, muss man KI-Risiken nicht vollständig beseitigen. Vielmehr geht es darum, bewusst zu entscheiden, welche Risiken man eingehen will, Grenzen dafür zu setzen und dem Unternehmen dennoch die Möglichkeit zu geben, sich weiterzuentwickeln.
KI hat die Grundlagen der Cybersicherheit nicht außer Kraft gesetzt, aber sie verändert die wirtschaftlichen Rahmenbedingungen und das Tempo in diesem Bereich. Nach 20 Jahren aufeinanderfolgender Sicherheitstransformationen ist die KI möglicherweise die erste, bei der der CISO gleichzeitig die Technologie abwehren, schützen und dem Unternehmen bei der Einführung der Technologie helfen muss. Das macht sie zu einer Herausforderung.
Bill O’Connellist Chief Security Officer bei Commvault.