Deutschlands Unternehmen stehen bei der Abwehr KI-gestützter Cyberangriffe vor erheblichen Herausforderungen. Einer gemeinsamen Untersuchung des TÜV-Verbands und des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zufolge haben lediglich elf Prozent der Betriebe mit bestehender oder geplanter KI-Nutzung spezielle Verfahren für entsprechende Sicherheitsvorfälle eingerichtet. Gleichzeitig hat bereits jedes sechste Unternehmen innerhalb eines Jahres mögliche oder nachgewiesene Angriffe mit KI-Bezug festgestellt.
Für die Studie wurden mehr als 500 Unternehmen mit mindestens 20 Beschäftigten befragt. Insgesamt registrierten 17 Prozent der Betriebe einschlägige Vorfälle. Davon berichteten vier Prozent über bestätigte Angriffe, elf Prozent über Verdachtsfälle und weitere zwei Prozent über beide Kategorien.
Phishing dominiert die KI-gestützte Cyberkriminalität
Unter den betroffenen Unternehmen stehen manipulierte E-Mails mit einem Anteil von 90 Prozent an erster Stelle. KI ermöglicht es Kriminellen, Nachrichten sprachlich überzeugend zu gestalten und individuell auf Empfänger zuzuschneiden. Dadurch werden betrügerische Kontaktversuche zunehmend schwieriger zu erkennen.
Weitere 40 Prozent der betroffenen Betriebe meldeten automatisierte Angriffswerkzeuge, die IT-Systeme auf Sicherheitslücken untersuchen und ihre Vorgehensweise anpassen können. Elf Prozent waren mit gefälschten Sprach- oder Videoaufnahmen konfrontiert. Solche Deepfakes können beispielsweise vermeintliche Anweisungen von Führungskräften vortäuschen und betrügerische Zahlungen auslösen.
Gewinnen in der Plattform-Ökonomie
Spezielle Notfallpläne bleiben die Ausnahme
Obwohl die Bedrohung wächst, verfügen nur wenige Unternehmen über angemessene organisatorische Vorkehrungen. Unter den Betrieben, die KI bereits einsetzen oder deren Einführung planen, nutzen 43 Prozent lediglich ihre bisherigen IT-Sicherheitsabläufe, ohne diese auf KI-spezifische Risiken auszurichten. Ein Fünftel entwickelt entsprechende Verfahren, während 25 Prozent bislang vollständig darauf verzichten.
Auch bei der aktiven Cyberabwehr bleibt das Potenzial der Technologie weitgehend ungenutzt. Lediglich 31 Prozent der Unternehmen, die KI verwenden, setzen sie zugleich zur Verbesserung ihrer IT-Sicherheit ein.
TÜV-Verbandspräsident Dr. Dirk Stenkamp sieht darin eine gefährliche Entwicklung. KI erleichtere Angreifern die Automatisierung und Personalisierung ihrer Methoden, während Unternehmen bei der Verteidigung technologisch hinterherhinkten. Zugleich könnten KI-Anwendungen selbst Schäden verursachen, etwa durch die Offenlegung vertraulicher Informationen oder fehlerhafte Entscheidungen.
Datenschutz und Sicherheitsbedenken bremsen KI-Einführung
Der Untersuchung zufolge verwenden inzwischen 49 Prozent der befragten Unternehmen KI-Anwendungen. Weitere neun Prozent beabsichtigen eine Einführung innerhalb eines Jahres. Die übrigen 42 Prozent verfolgen derzeit keine entsprechenden Pläne.
Bei dieser letzten Gruppe zählen Datenschutz- und Sicherheitsbedenken mit 53 Prozent zu den wichtigsten Hinderungsgründen. Noch häufiger wird mit 58 Prozent ein fehlender erkennbarer Nutzen genannt. Hinzu kommen technische Integrationsprobleme (44 Prozent), rechtliche Unsicherheiten (43 Prozent), mangelndes Fachwissen (39 Prozent) und Kostenbedenken (36 Prozent).
Unternehmen müssen dabei nicht nur externe Angriffe abwehren, sondern auch ihre eigenen KI-Systeme kontrollieren. Von den Betrieben mit bestehender oder geplanter KI-Nutzung bieten 56 Prozent Schulungen für Beschäftigte an. Jeweils 45 Prozent bewerten Risiken systematisch beziehungsweise verlangen formelle Freigaben für KI-Anwendungen. Anbieterprüfungen führen 42 Prozent durch. Dagegen haben 29 Prozent noch keine dieser organisatorischen Maßnahmen umgesetzt.
Technische Kontrollen und unabhängige Prüfungen gewinnen an Bedeutung
Bei den technischen Schutzvorkehrungen setzen KI-nutzende Unternehmen unterschiedliche Schwerpunkte. Zwei Drittel kontrollieren besonders kritische KI-Ergebnisse durch Qualitätssicherung und menschliche Überprüfung. 64 Prozent begrenzen Zugriffsberechtigungen, während 62 Prozent vertrauliche Informationen beispielsweise durch Anonymisierung schützen.
Etwas mehr als die Hälfte überprüft KI-Anwendungen vor ihrer Einführung auf Sicherheitsrisiken und weitere Anforderungen. Eine laufende Überwachung oder systematische Dokumentation der Nutzung erfolgt hingegen nur bei 40 Prozent. Acht Prozent verzichten vollständig auf die abgefragten technischen Sicherheitsmaßnahmen.
Unabhängige Kontrollen stoßen auf breite Zustimmung. Unter Unternehmen mit bestehender oder geplanter KI-Nutzung erwarten 69 Prozent dadurch zuverlässigere und sicherere Systeme. Für 51 Prozent ist eine externe Zertifizierung bereits ein wichtiges Kriterium bei der Produktauswahl.
Gemeinsam mit dem TÜV AI.Lab arbeiten die TÜV-Organisationen deshalb an einem Zertifizierungsrahmen für KI-Systeme. Dieser befindet sich in der praktischen Erprobung und soll nach den damaligen Planungen zum Jahresende bereitstehen.
BSI fordert stärkeren Einsatz von KI in der Cyberabwehr
BSI-Vizepräsident Thomas Caspers betont die strategische Bedeutung künstlicher Intelligenz für Wirtschaft, Staat und Gesellschaft. Unternehmen sollten KI nicht ausschließlich als zusätzliche Gefahrenquelle betrachten, sondern auch ihre Möglichkeiten zur Verbesserung der eigenen Widerstandsfähigkeit nutzen.
Das Risiko betreffe ausdrücklich auch Betriebe ohne eigene KI-Anwendungen. Wer entsprechende Systeme einsetze, müsse deren Schwachstellen durch gezielte Sicherheitsprüfungen und kontinuierliche Überwachung erkennen.
Für kleinere und mittlere Unternehmen stellt die beim BSI angesiedelte Allianz für Cyber-Sicherheit ergänzende Handlungsempfehlungen zum Schutz vor KI-verstärkten Angriffen bereit. Darüber hinaus baut die Bundesregierung mit dem AI Safety and Security Institute Deutschland eine nationale Einrichtung zur Bewertung leistungsfähiger KI-Systeme auf. BSI und Bundesnetzagentur übernehmen zunächst gemeinsam zentrale Aufgaben dieser Initiative.
