IBM zufolge kosten KI-gestützte Sicherheitsverletzungen Unternehmen im Durchschnitt 6 Millionen US-Dollar

IBM rückte KI-Sicherheit in den Mittelpunkt der google news, nachdem das Unternehmen festgestellt hatte, dass mehr als 20 % der untersuchten Organisationen Sicherheitsverletzungen erlitten, die auf KI-Modelle oder -Anwendungen abzielten. Die zentrale Zahl ist beunruhigend, doch sie erfasst nur die Hälfte des Konflikts. Angreifer nutzen KI auch, um herkömmliche Eindringversuche schneller, kostengünstiger und für Verteidiger schwerer einzudämmen zu machen.

IBMs Bericht zu Sicherheitsverletzungen 2026 trennt diese beiden Probleme. Das eine betrifft Angriffe auf KI-Systeme, einschließlich ihrer APIs, Plug-ins, Cloud-Workloads, Modelle und Trainingsdaten. Das andere betrifft KI-gestützte Angriffe, bei denen Kriminelle Deepfakes, Malware oder automatisierte Workflows gegen ein breiteres Ziel einsetzen.

Diese Unterscheidung ist wichtig, weil die meistzitierten Zahlen unterschiedliche Gruppen beschreiben. In seiner offiziellen Bekanntgabe der Ergebnisse erklärt IBM, dass eine von vier böswilligen Sicherheitsverletzungen KI-gestützt war – ein Anstieg um 56 % gegenüber dem Vorjahr. Separat berichteten mehr als 20 % der Organisationen von einer Sicherheitsverletzung, die auf ein KI-Modell oder eine KI-Anwendung abzielte.

Die Ergebnisse für das Vereinigte Königreich liefern eine weitere Kennzahl. Laut Berichten über die Studie erlebten 22 % der britischen Unternehmen im vorangegangenen Jahr eine KI-bezogene Sicherheitsverletzung. Alle drei Prozentwerte als austauschbar zu behandeln, würde übertreiben, was die Untersuchung tatsächlich belegt.

Die tiefere Erkenntnis lässt sich schwerer abtun. Unternehmens-KI hat mehr Identitäten, Schnittstellen, Datenflüsse und automatisierte Aktionen geschaffen, die Sicherheitsteams steuern müssen. Angreifer müssen nicht immer das Modell selbst kompromittieren. Sie können die gewöhnlichen Systeme rund um das Modell ausnutzen.

Damit entsteht ein Wettlauf zwischen der schnellen Einführung von KI und der langsameren Arbeit, Kontrolle zu etablieren. Dieselbe Technologie stärkt auch die Verteidigung und gibt Organisationen einen Grund, mehr KI einzusetzen, statt sich von ihr zurückzuziehen.

Was IBMs Zahlen für 2026 tatsächlich zeigen

KI taucht inzwischen auf beiden Seiten der Gleichung für Sicherheitsverletzungen auf: als Ziel für Angreifer und als Instrument, das sie einsetzen.

IBM veröffentlichte seinen Cost of a Data Breach Report 2026 am 29. Juli. Das Ponemon Institute führte die zugrunde liegende Forschung durch, während IBM sie finanzierte und analysierte. Der Datensatz umfasst Sicherheitsverletzungen, die 602 Organisationen weltweit zwischen März 2025 und Februar 2026 erlebten.

Der Bericht beziffert die durchschnittlichen weltweiten Kosten einer Sicherheitsverletzung auf 4,99 Millionen US-Dollar. Das entspricht einem jährlichen Anstieg von 12 % und einem Rekordwert für die Studie. IBM führt den Anstieg auf höhere Kosten für Erkennung, Eskalation und entgangene Geschäfte zurück.

KI-gestützte böswillige Sicherheitsverletzungen waren noch teurer. IBM berichtet von durchschnittlichen Kosten von 6 Millionen US-Dollar, rund 1 Million US-Dollar über dem weltweiten Gesamtwert. Diese Vorfälle machten eine von vier böswilligen Sicherheitsverletzungen aus und nahmen gegenüber dem Vorjahr um 56 % zu.

KI-gestützt bedeutet, dass der Angreifer während der Operation KI einsetzte. Deepfake-Imitationen waren laut der auf das Vereinigte Königreich fokussierten Berichterstattung die am häufigsten gemeldete Form und traten in 45 % dieser Kategorie auf. KI-gestützte Malware und Phishing trugen ebenfalls zum Anstieg bei.

Angriffe auf KI-Systeme bilden eine verwandte, aber separate Kategorie. Mehr als 20 % der Organisationen meldeten eine Sicherheitsverletzung, die auf ein KI-Modell oder eine KI-Anwendung abzielte. Die häufigsten Einstiegspunkte waren keine exotischen Angriffe auf die mathematischen Grundlagen von Modellen.

Kompromittierte APIs, Anwendungen oder Plug-ins machten 27 % der gemeldeten Ursachen aus. Cloud-Fehlkonfigurationen, die KI-Workloads betrafen, machten ebenfalls 27 % aus. Diese Gleichverteilung verweist auf ein vertrautes Sicherheitsproblem: Neue KI-Dienste übernehmen häufig alte Schwächen bei Zugriff, Integration und Infrastrukturmanagement.

Eine API beziehungsweise Programmierschnittstelle ermöglicht Softwaresystemen den Austausch von Anfragen und Daten. Ein Plug-in verschafft einer Anwendung Zugriff auf einen anderen Dienst oder eine Fähigkeit. Beides kann zu einem besonders wertvollen Angriffsweg werden, wenn eine KI-Anwendung umfassende Berechtigungen erhält oder sensible Unternehmensinformationen verarbeitet.

Die erste Berichterstattung hob auch die Ergebnisse für das Vereinigte Königreich hervor. Demnach erlebten 22 % der britischen Unternehmen im Vorjahr eine KI-bezogene Sicherheitsverletzung. Die durchschnittlichen Kosten einer Sicherheitsverletzung im Vereinigten Königreich sanken von 3,29 Millionen Pfund im Jahr 2025 auf 3,13 Millionen Pfund im Jahr 2026, obwohl die gemeldete Zahl der Sicherheitsverletzungen von 29.000 auf 29.870 stieg.

Diese nationalen Zahlen verkomplizieren die globale Geschichte. Sicherheitsverletzungen wurden in der britischen Stichprobe häufiger, doch ihre durchschnittlichen Kosten sanken. Finanzdienstleister sahen sich weiterhin durchschnittlichen Kosten von 5,46 Millionen Pfund gegenüber, während Energieunternehmen im Schnitt bei 4,03 Millionen Pfund lagen.

Es geht nicht darum, dass jede fünfte Sicherheitsverletzung überall dieselbe Ursache hat. IBMs Forschung verwendet mehrere sich überschneidende Kennzahlen für globale und nationale Stichproben. Die belastbare Schlussfolgerung lautet, dass KI-bezogene Risiken innerhalb der Unternehmenssicherheit kein Randfall mehr sind.

Warum die Google-News-Schlagzeile sorgfältig gelesen werden muss

Der Ausdruck „KI-bezogene Sicherheitsverletzung“ umfasst mehrere unterschiedliche Ereignisse, und jedes davon erfordert eine andere Abwehrreaktion.

Wer die Geschichte über google news findet, könnte vernünftigerweise annehmen, dass Kriminelle bei einer von fünf Sicherheitsverletzungen direkt ein KI-Modell gehackt hätten. IBMs Daten stützen diese vereinfachte Interpretation nicht.

Eine Organisation kann einen Angriff erleben, der auf ihr KI-System abzielt. Ein Angreifer kann KI gegen ein herkömmliches System einsetzen. Ein Mitarbeiter kann Daten über einen nicht autorisierten KI-Dienst preisgeben. Diese Ereignisse überschneiden sich, sind aber nicht identisch.

Dieses Messproblem ist mehr als ein technischer Vorbehalt. Es bestimmt, welche Kontrollen eine Organisation benötigt und worauf Sicherheitsteams ihre begrenzte Aufmerksamkeit richten sollten.

Ein Angriff auf ein Modell kann auf Trainingsdaten, Zugangsdaten, Prompts oder vertrauliche Informationen abzielen, die über Retrieval-Systeme verfügbar sind. Er kann auch die Eingaben eines Modells manipulieren oder übermäßige Berechtigungen ausnutzen, die einem autonomen Agenten gewährt wurden.

Ein KI-gestützter Angriff setzt die Technologie auf Seiten des Angreifers ein. Ein Deepfake-Anruf kann eine Führungskraft imitieren. Generative Tools können helfen, überzeugende Phishing-Nachrichten zu erstellen, Köder zu übersetzen oder Malware schneller anzupassen.

Shadow AI schafft einen dritten Weg. Der Begriff beschreibt KI-Tools, die ohne formelle Genehmigung, Transparenz oder Governance genutzt werden. Mitarbeiter könnten Kundendaten in einen Consumer-Chatbot einfügen, eine ungeprüfte Browser-Erweiterung installieren oder einen Meeting-Assistenten mit internen Dokumenten verbinden.

IBMs Forschung von 2025 zur Lücke bei der KI-Aufsicht liefert hilfreichen historischen Kontext. Sie ergab, dass 13 % der untersuchten Organisationen eine Sicherheitsverletzung erlebt hatten, an der ein KI-Modell oder eine KI-Anwendung beteiligt war. Weitere 8 % wussten nicht, ob eine solche Kompromittierung stattgefunden hatte.

Unter den Organisationen, die eine KI-bezogene Kompromittierung meldeten, verfügten 97 % nicht über angemessene Zugriffskontrollen für KI. Sechzig Prozent dieser Vorfälle kompromittierten Daten, während 31 % operative Störungen verursachten.

Dieselbe Forschung ergab, dass eine von fünf Organisationen eine mit Shadow AI verbundene Sicherheitsverletzung meldete. Organisationen mit einem hohen Anteil an Shadow AI hatten durchschnittliche Kosten für Sicherheitsverletzungen, die um 670.000 US-Dollar über denen von Organisationen mit wenig oder keiner Shadow AI lagen.

Die Governance hinkte bereits hinterher. Dreiundsechzig Prozent der von Sicherheitsverletzungen betroffenen Organisationen hatten entweder keine Governance-Richtlinie für KI oder entwickelten noch eine. Unter denen mit einer Richtlinie prüften nur 34 % regelmäßig auf nicht autorisierte KI-Nutzung.

Diese früheren Ergebnisse machen den Anstieg 2026 plausibler. Unternehmen verbrachten ein weiteres Jahr damit, Modelle mit Daten, Anwendungen und Geschäftsprozessen zu verbinden. Viele gingen dabei von einer schwachen Kontrollbasis aus.

Der Vergleich von Jahr zu Jahr erfordert jedoch weiterhin Vorsicht. IBM hat erst kürzlich detailliertere KI-Messgrößen eingeführt, und veränderte Definitionen können die gemeldete Häufigkeit beeinflussen. Eine bessere Erkennung kann das Problem auch größer erscheinen lassen, weil Organisationen Vorfälle endlich erkennen, die zuvor nicht klassifiziert wurden.

IBMs Stichprobe verdient dieselbe kritische Prüfung wie jede Studie zu Kosten von Sicherheitsverletzungen. Sie umfasst Organisationen, die Sicherheitsverletzungen erlebt haben, und keine zufällige Erhebung aller Unternehmen. Ihre Durchschnittswerte sollten nicht als Vorhersage dafür gelesen werden, was ein bestimmtes Unternehmen verlieren wird.

Die Forschung ist dennoch wertvoll, weil sie wiederkehrende Muster offenlegt. KI-Vorfälle häufen sich bei schwachen Zugriffskontrollen, unsicheren Integrationen, Fehlern bei der Cloud-Konfiguration und mangelhafter Transparenz. Das sind umsetzbare Erkenntnisse, selbst wenn der Anteil in der Schlagzeile Kontext benötigt.

KI verbilligt Angriffe, während die Verteidigung teuer bleibt

Der zentrale Zielkonflikt ist wirtschaftlicher Natur: Angreifer können größere Teile ihrer Arbeit automatisieren, während Verteidiger weiterhin für Untersuchung, Eindämmung, Wiederherstellung und entgangene Geschäfte zahlen.

IBM beschreibt KI als eine Technologie, die die Ökonomie von Cyberrisiken verändert. Sie kann den Arbeitsaufwand verringern, der nötig ist, um einen Köder zu erstellen, eine vertrauenswürdige Person zu imitieren oder Varianten eines Angriffs zu testen. Das Opfer trägt weiterhin die gesamten organisatorischen Kosten der Reaktion.

Mark Hughes, globaler geschäftsführender Partner für IBM Cybersecurity Services, sagte, fortschrittliche Frontier-Modelle ermöglichten Angreifern, Operationen „in Minuten statt in Tagen“ auszuführen. Die Aussage spiegelt IBMs Einschätzung der Bedrohung wider, doch die zugrunde liegende Richtung ist glaubwürdig, auch wenn die genaue Beschleunigungsrate je nach Angriff variiert.

Deepfakes veranschaulichen dieses Ungleichgewicht. Ein Krimineller muss eine Führungskraft nicht in jedem Kontext perfekt nachbilden. Die synthetische Stimme oder das Video muss nur genügend Dringlichkeit und Vertrautheit erzeugen, um einen Mitarbeiter dazu zu bringen, eine Kontrolle zu umgehen.

Herkömmliche Phishing-Filter bewerten zudem Nachrichten, Links und bekannte bösartige Infrastruktur. Eine sorgfältig personalisierte Anfrage, die über Sprache, Video oder ein etabliertes Kollaborationskonto übermittelt wird, kann diese vertrauten Signale umgehen.

KI-Agenten erhöhen auf Unternehmensseite den Einsatz. Ein Agent ist Software, die mit begrenztem menschlichen Eingreifen Aktionen über mehrere Systeme hinweg planen und ausführen kann. Er könnte Dokumente durchsuchen, Kundendaten aktualisieren, Code ausführen oder einen Workflow starten.

Jede Aktion erfordert eine Identität und Berechtigungen. Erhält ein Agent weitreichenden Zugriff, kann ein gestohlener Token oder eine manipulierte Anweisung Auswirkungen erzeugen, die über eine einzelne Chatbot-Antwort hinausgehen. Die Sicherheitsgrenze verlagert sich von der Modellschnittstelle in jedes System, das der Agent erreichen kann.

IBMs Bericht zufolge nutzte mehr als die Hälfte der Organisationen Agenten zur Bedrohungserkennung und Eindämmung. Nur 18 % setzten sie für das Schwachstellenmanagement ein. Diese Lücke lässt bekannte Schwachstellen ungelöst, während Angreifer schnellere Wege erhalten, sie zu finden oder auszunutzen.

Kritische Infrastruktur trägt einen unverhältnismäßig großen Teil des Risikos. IBM zufolge richteten sich 62 % der KI-gesteuerten Angriffe in der Studie gegen Sektoren kritischer Infrastruktur. Finanzdienstleistungen und Energie verzeichneten die höchsten Konzentrationen.

Die weltweiten durchschnittlichen Kosten für Sicherheitsverletzungen im Finanzdienstleistungssektor lagen bei 6,3 Millionen US-Dollar. Sicherheitsverletzungen im Energiesektor kosteten durchschnittlich 5,2 Millionen US-Dollar. Ein Vorfall in einer der beiden Branchen kann sich über Zahlungsnetzwerke, Lieferanten, Kunden oder essenzielle Dienste hinaus auf weitere Betroffene auswirken.

Ransomware erhöht den wirtschaftlichen Druck zusätzlich. IBM berichtet, dass Ransomware-Vorfälle von 34 % auf 39 % der untersuchten Sicherheitsverletzungen stiegen. Angreifer nutzten zunehmend den Ruf als Druckmittel, der in 41 % der Ransomware-Fälle genannt wurde, gefolgt von Mitarbeiterdaten mit 35 % und geistigem Eigentum mit 31 %.

Diese Strategie verändert die Kalkulation der Wiederherstellung. Die Wiederherstellung von Systemen beseitigt weder geleakte Informationen noch Reputationsschäden. Ein Unternehmen kann den technischen Einbruch eindämmen und dennoch weiterhin mit Benachrichtigungen, Untersuchungen, Rechtsstreitigkeiten und Kundenverlusten konfrontiert sein.

KI kann bei der Skalierung helfen, doch sie nimmt Angreifern nicht die Notwendigkeit eines Zugangs. Zugangsdaten, exponierte Dienste, ungepatchte Software und soziale Manipulation bleiben zentral. Die neuen Werkzeuge verstärken diese Wege, statt sie zu ersetzen.

Deshalb besteht der Hauptkonflikt nicht zwischen Menschen und Maschinen. Es geht um schnelle Automatisierung gegen fragmentierte Kontrolle. Angreifer können ihre Anstrengungen auf eine einzige Schwachstelle konzentrieren, während Verteidiger jede Identität, Integration, jeden Datenspeicher und jede Agentenaktion verstehen müssen.

Dieselben KI-Tools können die Kosten von Sicherheitsverletzungen senken

Die Warnung von IBM ist kein Argument gegen defensive KI, denn der Bericht bringt umfangreiche Sicherheitsautomatisierung zugleich mit erheblichen Einsparungen in Verbindung.

Organisationen, die KI und Automatisierung in Sicherheitsoperationen umfassend einsetzen, erzielten im Durchschnitt Kosteneinsparungen von 1,93 Millionen US-Dollar gegenüber Organisationen, die keines von beidem nutzen. Die IBM-Studie von 2025 berichtete über eine ähnliche Differenz von 1,9 Millionen US-Dollar und eine Verkürzung des Lebenszyklus einer Sicherheitsverletzung um 80 Tage.

Der Lebenszyklus einer Sicherheitsverletzung misst die Zeit, die benötigt wird, um einen Vorfall zu identifizieren und einzudämmen; nach der IBM-Methodik zählt dazu auch die Wiederherstellung von Diensten. Kürzere Lebenszyklen können Untersuchungskosten, Geschäftsunterbrechungen und die Zeit verringern, die Angreifern zur Bewegung durch ein Netzwerk zur Verfügung steht.

Diese Erkenntnis schafft einen echten Zielkonflikt. Unternehmen benötigen KI-gestützte Erkennung, um mit Maschinengeschwindigkeit reagieren zu können, doch jeder defensive Agent wird zugleich zu einer weiteren Identität, die kontrolliert werden muss. Eine Einführung ohne Inventarisierung, Berechtigungsgrenzen und Prüfpfade kann genau die Angriffsfläche schaffen, die sie eigentlich reduzieren soll.

Automatisierung funktioniert am besten bei Aufgaben mit klaren Belegen und begrenzten Befugnissen. Ein Sicherheitssystem kann einen ungewöhnlichen Login mit einer verdächtigen Token-Anfrage korrelieren, einen Endpunkt isolieren oder eine bekannte Schwachstelle priorisieren. Riskanter werden diese Maßnahmen, wenn ein Agent ohne Prüfung Produktionssysteme verändern kann.

IBM empfiehlt dynamische, identitätsbasierte Zugriffskontrollen für Agenten. Praktisch bedeutet das: Ein Agent sollte nur die Berechtigungen erhalten, die er für seine aktuelle Aufgabe benötigt. Seine Aktionen sollten einer verantwortlichen Person oder einem Dienst zugeordnet werden können, und Sicherheitsteams sollten nachvollziehen können, was passiert ist.

Datenkontrollen sind ebenso wichtig. Organisationen müssen wissen, wo sich sensible Datensätze befinden, welche Modelle sie abrufen können und wohin erzeugte Ausgaben gelangen. Klassifizierung und Echtzeitüberwachung helfen dabei, eine KI-Interaktion mit dem dadurch entstehenden Datenrisiko zu verknüpfen.

Die Cloud-Konfiguration bleibt eine Priorität, weil KI-Workloads selten isoliert arbeiten. Sie hängen von Objektspeichern, Datenbanken, Identitätsdiensten, Modellendpunkten und APIs von Drittanbietern ab. Ein perfekt abgesichertes Modell kann weder einen öffentlich zugänglichen Daten-Bucket noch exponierte administrative Zugangsdaten ausgleichen.

Verschlüsselung ist eine weitere ungelöste Schwachstelle. Nur 37 % der von IBM untersuchten Organisationen mit Sicherheitsverletzungen gaben an, sensible Daten sowohl im Ruhezustand als auch bei der Übertragung zu verschlüsseln. Lediglich 34 % hatten Transparenz über ihre kryptografischen Assets.

Diese Zahlen stehen nicht im Mittelpunkt der KI-Schlagzeile, zeigen jedoch, warum herkömmliche Kontrollen weiterhin wichtig sind. KI kann einen Angriff beschleunigen, doch die Folgen hängen davon ab, ob Daten geschützt waren, Zugriffe segmentiert wurden und anormales Verhalten erkannt wurde.

Sicherheitsteams benötigen außerdem ein genaues Inventar ihrer KI-Systeme. Dieses Inventar sollte genehmigte Modelle, eingebettete KI-Funktionen, Agenten, Dienstkonten, Plug-ins, Datenverbindungen und für Mitarbeitende zugängliche Verbraucherdienste umfassen.

Ein Richtliniendokument allein kann diese Transparenz nicht liefern. IBMs frühere Erkenntnis, dass nur 34 % der Organisationen mit KI-Governance-Richtlinien regelmäßig Audits zu Shadow AI durchführten, verdeutlicht die Lücke zwischen formulierter Governance und operativer Durchsetzung.

Die glaubwürdigste Reaktion verbindet daher Governance mit Engineering. Richtlinien definieren zulässige Nutzung und Zuständigkeiten. Technische Kontrollen erkennen Systeme, beschränken Berechtigungen, überwachen Verhalten und bewahren Beweise.

Übungen zur Reaktion auf Sicherheitsvorfälle sollten KI-spezifische Szenarien einschließen. Ein Unternehmen sollte wissen, wie es die Zugangsdaten eines Agenten widerruft, eine kompromittierte Integration deaktiviert, Prompts und Logs sichert und bestimmt, auf welche Daten das System zugegriffen hat.

Diese Vorbereitung sollte nicht zu einem pauschalen KI-Verbot werden. Verbote können Mitarbeitende zu weniger sichtbaren Tools drängen. Genehmigte Alternativen, klare Datenregeln und praktikable Prüfprozesse bieten Mitarbeitenden einen sichereren Weg und erhalten zugleich die Transparenz für die Sicherheit.

Was die Warnung von IBM nicht beweist

Der Bericht belegt ein ernstes Expositionsmuster, zeigt jedoch nicht, dass KI jeden als KI-bezogen eingestuften Vorfall verursacht hat.

Sicherheitsstatistiken vermischen häufig Ursache, Ziel und ermöglichende Technologie. Ein kompromittiertes Plug-in im Umfeld einer KI-Anwendung kann gewöhnlichen Diebstahl von Zugangsdaten beinhalten. Eine Cloud-Fehlkonfiguration hätte dieselben Daten möglicherweise auch offengelegt, wenn der Workload herkömmliche Analysen bedient hätte.

Diese Ereignisse als KI-bezogen zu bezeichnen, ist angemessen, weil das betroffene System KI-Workloads verarbeitet. Das bedeutet nicht, dass das Modell den ursprünglichen Fehler eingeführt hat.

Dieselbe Vorsicht gilt für KI-gestützte Angriffe. Ein Angreifer kann ein Sprachmodell verwenden, um eine Phishing-E-Mail zu formulieren, doch das entscheidende Versagen kann weiterhin in schwacher Authentifizierung oder darin liegen, dass ein Mitarbeiter eine betrügerische Anfrage genehmigt.

Die Attribution stellt ein weiteres Problem dar. Opfer können den Einsatz eines Deepfakes erkennen, weil sie synthetisches Audio- oder Videomaterial erhalten. Nachzuweisen, dass Malware durch KI entwickelt, verändert oder gesteuert wurde, kann schwieriger sein.

Organisationen unterscheiden sich außerdem in ihrer Fähigkeit, eine KI-Beteiligung zu erkennen. Ein reifes Sicherheitsteam könnte einen kompromittierten Agenten-Token identifizieren und den Vorfall korrekt klassifizieren. Ein weniger vorbereitetes Unternehmen könnte dasselbe Verhalten als allgemeinen unbefugten Zugriff erfassen.

Dadurch entsteht ein Berichtsparadox. Stärkere Überwachung kann die gemessene Zahl KI-bezogener Vorfälle erhöhen, selbst wenn sie deren Schwere reduziert. Eine steigende Verbreitung bedeutet nicht automatisch, dass jede Abwehrmaßnahme versagt.

Auch die kommerzielle Position von IBM erfordert Transparenz. Das Unternehmen verkauft Sicherheitssoftware, Beratung, Identitäts-, Datenschutz- und KI-Governance-Dienste. Sein Bericht kann nützliche Forschung enthalten und zugleich die Nachfrage nach diesen Produkten unterstützen.

Die Methodik hilft Lesern bei der Bewertung der Behauptungen. Das Ponemon Institute untersuchte weltweit 602 Organisationen mit Sicherheitsverletzungen, und IBM finanzierte und analysierte die Arbeit. An der Folgebefragung im Mai 2026 nahmen 456 dieser Organisationen teil.

In dieser Folgebefragung gaben 85 % an, dass das Bewusstsein für fortgeschrittene Frontier-KI-Fähigkeiten sie zu höheren Sicherheitsausgaben veranlassen würde. Zum Vergleich: In der ursprünglichen Untersuchung planten 64 %, nach einer Sicherheitsverletzung mehr auszugeben.

Der Vergleich legt nahe, dass Berichte über Frontier-KI Budgets beeinflussen, bevor Vorfälle eintreten. Er beweist nicht, dass jede geplante Investition Risiken senken wird oder dass autonome Verteidigung stets der beste Einsatz von Mitteln ist.

Organisationen müssen weiterhin entscheiden, wo Kontrollen messbare Vorteile bringen. Mehr Sicherheitstools können doppelte Warnmeldungen, konkurrierende Dashboards und unklare Verantwortlichkeiten erzeugen. Ein Agent, der eine Schwachstelle erkennt, bietet nur begrenzten Nutzen, wenn kein Team für die Behebung zuständig ist.

Die nützlichste Interpretation vermeidet beide Extreme. KI ist weder eine magische neue Angriffsklasse, die bestehende Sicherheit ungültig macht, noch ein Marketinglabel für bekannte Sicherheitsverletzungen.

Sie ist ein Beschleuniger, der mit einer wachsenden Angriffsfläche in Unternehmen verbunden ist. Sie steigert Geschwindigkeit und Umfang mancher Angriffe und schafft gleichzeitig neue Identitäten, Schnittstellen und Speicher für sensible Kontexte.

Diese Schlussfolgerung bleibt bedeutsam, ohne jede IBM-Zahl als universell zu behandeln. Sie lenkt die Aufmerksamkeit auf Zugriffskontrolle, Integrationssicherheit, Cloud-Konfiguration, Datentransparenz und Reaktionsgeschwindigkeit.

Drei Signale nach dem Google-News-Zyklus beobachten

Der nächste Test besteht darin, ob Organisationen ihre Besorgnis in schnellere Behebung, strengere Agentenberechtigungen und niedrigere Vorfallkosten umsetzen.

Das erste Signal ist die Einführung von KI für das Schwachstellenmanagement. IBM stellte fest, dass mehr als die Hälfte der Organisationen Agenten für Erkennung und Eindämmung nutzten, während nur 18 % sie zur Verwaltung von Schwachstellen einsetzten.

Erkennung findet verdächtige Aktivitäten nach oder während eines Eindringens. Schwachstellenmanagement behebt Schwächen, bevor Angreifer sie ausnutzen. Steigt der Wert von 18 %, werden Organisationen Automatisierung früher in der Sicherheitskette einsetzen.

Das würde IBMs Argument stärken, dass die Verteidigung näher an der Geschwindigkeit der Angreifer arbeiten muss. Bleibt die Einführung auf Alarmierung konzentriert, wird die Lücke bei der Behebung bestehen bleiben – unabhängig davon, wie viele KI-Tools Sicherheitsteams kaufen.

Die wichtige Kennzahl ist nicht die Anzahl eingesetzter Agenten. Es ist die Zeit zwischen der Entdeckung einer Schwachstelle und ihrer Behebung. Organisationen sollten verfolgen, ob Automatisierung dieses Intervall verkürzt, ohne unbefugte Änderungen oder operative Instabilität zu verursachen.

Das zweite Signal ist die Qualität der Identitätskontrollen für Agenten. Unternehmen verbinden Agenten mit Entwicklungsumgebungen, Kundensystemen, Dokumenten-Repositories und operativen Tools. Diese Verbindungen benötigen eng abgegrenzte Berechtigungen, kurzlebige Zugangsdaten und zuverlässige Zuordnung.

Eine aussagekräftige Verbesserung würde sich in Inventaren und Zugriffsprüfungen zeigen. Sicherheitsteams sollten wissen, welche Agenten existieren, wem sie gehören, welche Daten sie erreichen können und welche Aktionen sie ausführen dürfen.

Belege dafür, dass Organisationen Laufzeitkontrollen durchsetzen, würden IBMs vorgeschlagene Reaktion stützen. Eine fortgesetzte Abhängigkeit von statischen Dienstkonten mit weitreichenden Berechtigungen würde sie schwächen.

Vorfallanalysen werden einen weiteren Hinweis liefern. Wenn ein Agent zu einem Sicherheitsereignis beiträgt, sollten Unternehmen seine Anweisungen, Tool-Aufrufe, Identitätswechsel und Datenzugriffe rekonstruieren können. Fehlende Aufzeichnungen würden zeigen, dass die Einführung weiterhin schneller voranschreitet als die Governance.

Das dritte Signal sind die Kosten von Sicherheitsverletzungen im nächsten Jahr. Der klarste Vergleich wird sein, ob KI-gestützte Vorfälle weiterhin mehr als der globale Durchschnitt kosten und ob defensive Automatisierung ihre berichteten Einsparungen aufrechterhält.

Die Zahlen von IBM für 2026 setzen eine anspruchsvolle Ausgangsbasis: 4,99 Millionen US-Dollar für die durchschnittliche globale Sicherheitsverletzung, 6 Millionen US-Dollar für eine böswillige KI-gestützte Sicherheitsverletzung und Einsparungen von 1,93 Millionen US-Dollar im Zusammenhang mit umfassender Sicherheitsautomatisierung.

Eine kleiner werdende Kostenlücke würde darauf hindeuten, dass die Kontrollen aufholen. Eine größer werdende Lücke würde zeigen, dass Angreifereffizienz und Unternehmenskomplexität defensive Fortschritte weiterhin überholen.

Leser sollten auch beobachten, ob künftige Berichte dieselben Kategorien beibehalten. Stabile Definitionen für KI-gestützte Angriffe, Angriffe gegen KI-Systeme und Shadow AI machen Vergleiche von Jahr zu Jahr glaubwürdiger.

Die aktuelle Google-News-Schlagzeile wird verblassen, doch die operativen Fragen bleiben. Kann ein Unternehmen jeden KI-Agenten identifizieren, der in seiner Umgebung tätig ist? Kann es Zugriffe schnell widerrufen? Kann es feststellen, welche Informationen ein kompromittiertes System erreicht hat?

Diese Fragen sind für Entwickler, Sicherheitsverantwortliche, Unternehmenskäufer und Wissensarbeiter wichtig. Entwickler bestimmen, welche Berechtigungen und Logs eine KI-Anwendung offenlegt. Käufer entscheiden, ob Anbieter nutzbare Sicherheitsnachweise bereitstellen. Mitarbeitende beeinflussen, wohin sensible Informationen gelangen.

Teams sollten diese Entscheidungen, Systeminventare, Vorfallsaufzeichnungen und Zugriffsannahmen in einer durchsuchbaren Wissensdatenbank festhalten. Dokumentation kann technische Durchsetzung nicht ersetzen, doch fehlender Kontext verlangsamt Untersuchung und Verantwortlichkeit.

Die wichtigste Warnung von IBM ist nicht allein die Zahl von einem Fünftel. Es ist die wachsende Lücke zwischen der Geschwindigkeit, mit der Organisationen KI mit realer Arbeit verbinden, und der Langsamkeit, mit der sie Transparenz über diese Verbindungen schaffen.

Die praktische Reaktion beginnt mit einer Maßnahme: Jedes bereits verwendete Modell, jeden Agenten, jedes Plug-in, jede Identität und jede Datenquelle erfassen. Danach sollte gefragt werden, welche Verbindung den größten unüberwachten Pfad in sensible Systeme schafft.

Was würde Ihre Organisation entdecken, wenn sie dieses Inventar erstellt, bevor die nächste Sicherheitsverletzung die Frage erzwingt?