Deutsche Unternehmen schlecht gegen KI-gestützte Cyberangriffe gerüstet

Etwa die Hälfte der deutschen Unternehmen hat längst angefangen, mit künstlicher Intelligenz zu arbeiten. Sie nutzen sie, um Texte zu schreiben, Bilder zu generieren, Rechnungen zu bearbeiten. Aber während die Technologie in den Betrieben Einzug hält, bleiben die Schutzmaßnahmen dahinter zurück — ein Missverhältnis, das eine neue Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des TÜV-Verbands nun deutlich macht.

Die Befragung von etwa 500 deutschen Unternehmen zeigt ein beunruhigendes Bild. Zwar nutzt jedes zweite Unternehmen KI in irgendeiner Form, doch nur die Hälfte davon testet diese Anwendungen vorher auf Sicherheitslücken. Noch kritischer: Gerade einmal elf Prozent der befragten Firmen haben überhaupt spezielle Prozesse entwickelt, um auf KI-bezogene Sicherheitsvorfälle zu reagieren. Das bedeutet, dass die meisten Unternehmen, die KI einsetzen, für den Ernstfall völlig unvorbereitet sind.

Dieser Ernstfall ist bereits Realität. In den vergangenen zwölf Monaten verzeichneten oder vermuteten 17 Prozent der Unternehmen KI-gestützte Cyberangriffe oder Betrugsversuche. Von den betroffenen Firmen hatten 40 Prozent mit automatisierten Angriffen zu kämpfen, bei denen Angreifer systematisch nach Schwachstellen in ihren IT-Systemen suchten. Neun von zehn betroffenen Unternehmen entdeckten hochrealistische Phishing-E-Mails, die darauf abzielten, sensible Daten wie Passwörter zu stehlen. Die Angreifer nutzen KI, um ihre Täuschungen überzeugender zu machen.

Thomas Caspers, Vizepräsident des BSI, warnte bei der Vorstellung der Studie vor einer sich verschärfenden Lage. KI verändere die ohnehin angespannte Cybersicherheitssituation grundlegend, sagte er — ohne dabei in Alarmismus zu verfallen. Dirk Stenkamp, Präsident des TÜV-Verbands, beobachtet ein wiederkehrendes Muster: Unternehmen kümmern sich intensiv um KI-Sicherheit erst dann, wenn ernsthafte Vorfälle passiert sind. Das ist reaktiv statt präventiv, und es kostet Zeit und Geld.

Caspers betont, dass die Wirtschaft noch gar nicht im echten KI-Zeitalter angekommen ist. Derzeit wird viel experimentiert, alles Mögliche wird ausprobiert. Das treibt Innovation voran, schafft aber auch enorme Probleme. Je mehr KI-Anwendungen in Zukunft zum Einsatz kommen, desto mehr Leitplanken braucht es — so die Einschätzung des BSI-Vizepräsidenten.

Die Europäische Union hat bereits begonnen, solche Leitplanken zu errichten. Der EU-AI-Act schreibt vor, wie KI verwendet werden darf, besonders in der Wirtschaft. Schrittweise treten diese Vorgaben in Kraft. Sie umfassen die Zertifizierung und Überwachung von KI-Anwendungen, vor allem in Hochrisikobereichen wie Energiewirtschaft, Personalwesen und Medizin. Unternehmen wie Phnx Alpha aus Jena bieten bereits Unterstützung bei der Qualitätskontrolle von KI an — etwa bei der Prüfung von KI-Systemen in der medizinischen Diagnostik, wo es bereits klare Vorgaben für Zuverlässigkeit gibt.

Doch nicht alle Unternehmen wollen diesen Weg gehen. Die Studie zeigt: 42 Prozent der befragten Firmen nutzen KI derzeit gar nicht und planen das auch nicht. Ihre Gründe sind vielfältig — kein erkennbarer Nutzen, Bedenken beim Datenschutz und der Sicherheit, zu großer Aufwand, rechtliche Unsicherheiten. So entsteht eine gespaltene Wirtschaft: Die einen tasten sich vorsichtig an KI heran und versuchen, die Risiken zu managen. Die anderen halten sich ganz fern, um Gefahren erst gar nicht einzugehen.