Wavestone AI Cyber Benchmark 2026: Governance liegt vor operativer Sicherheit
Wavestone hat einen Benchmark für 2026 veröffentlicht, der einen klaren Widerspruch offenlegt: Organisationen steuern KI deutlich besser, als sie sie nach der Bereitstellung absichern. Der Wavestone AI Cyber Benchmark 2026 stellte bei 88 % seines Panels Governance-Mechanismen fest. Doch nur 8 % binden Protokolle von KI-Anwendungen in das Monitoring von Security Operations Centern ein.
Diese Lücke ist relevant, weil Organisationen zunehmend Verantwortung für ihre KI-Systeme übernehmen. Die Hälfte der untersuchten Organisationen entwickelt inzwischen Systeme mit bestehenden Frameworks oder vortrainierten Modellen, gegenüber 35 % im Jahr 2025. Weitere 40 % steuern die gesamte Entwicklungskette.
Der Benchmark misst damit mehr als Fortschritte bei der Ausarbeitung von Richtlinien. Er erfasst eine Verlagerung operativer Risiken von Technologieanbietern hin zu Engineering-, Security-, Daten- und Business-Teams in Unternehmen. Diese Teams verantworten nun Systeme, die sensible Informationen abrufen, Tools aufrufen und Aktionen ausführen können.
Die zentrale Erkenntnis von Wavestone ist unbequem. Governance kann ein KI-System autorisieren, doch eine Autorisierung macht dieses System weder beobachtbar noch wiederherstellbar oder während eines Sicherheitsvorfalls sicher. Organisationen, die am schnellsten auf eigene Modelle und agentische Workflows setzen, stehen vor der größten Ausprägung dieses Problems.
Der Wavestone AI Cyber Benchmark 2026 legt eine breite Kontrolllücke offen
Organisationen haben KI-Governance schneller etabliert als die operativen Kontrollen, die nötig sind, um Ausfälle einzudämmen, Vorfälle zu untersuchen und vertrauenswürdige Systeme wiederherzustellen.
Wavestone veröffentlichte den Benchmark am 14. September 2026. Das Panel umfasst 30 große öffentliche und private Organisationen. Die Bewertung berücksichtigt zudem Erkenntnisse aus der KI-Sicherheitsarbeit der Beratung in den vergangenen drei Jahren.
Das Framework nutzt fünf Funktionen, die aus dem NIST Cybersecurity Framework abgeleitet sind. Jede Funktion umfasst mehr als 30 Bewertungsfragen, die auf einer Reifeskala von null bis 100 % bewertet werden.
Die Ergebnisse sinken, je näher die Funktionen an den laufenden Sicherheitsbetrieb rücken:
Govern erreichte 54 %.
Identify erreichte 55 %.
Protect erreichte 48 %.
Detect erreichte 40 %.
Respond erreichte 29 %.
Die höchste Bewertung betrifft die Identifizierung von Risiken, die niedrigste die Reaktion, wenn aus einem Risiko ein tatsächliches Ereignis wird. Diese Verteilung stützt die Schlussfolgerung des Wavestone-Partners Gérôme Billois: Organisationen sind besser darin, KI zu steuern, als sie im Produktivbetrieb sicher zu betreiben.
Die detaillierten Ergebnisse verschärfen diesen Kontrast. Laut dem Benchmark 2026 hatten 88 % des Panels KI-Governance-Mechanismen implementiert. Allerdings verfügten nur 32 % über klar definierte Aktivitäten, Stakeholder und Verantwortungsmodelle.
Diese Unterscheidung trennt eine Richtlinie von einem Betriebsmodell. Eine Richtlinie kann Sicherheitsprüfungen verlangen, ohne festzulegen, wer ein freigegebenes System überwacht. Sie kann Eskalationen vorschreiben, ohne zu bestimmen, wer eine kompromittierte Wissensdatenbank untersucht.
Auch beim Kompetenzbild zeigen sich ähnliche Ungleichgewichte. Nur 44 % der Organisationen hatten spezialisierte KI-Sicherheitsexperten identifiziert, die technische und geschäftliche Teams über den gesamten Lebenszyklus eines Systems hinweg unterstützen konnten.
Beim Testen haben Organisationen größere Fortschritte gemacht. Zwei Drittel führen spezielle KI-Sicherheits-Penetrationstests durch, während die Hälfte fortgeschrittene KI-spezifische Bewertungen vornimmt. Fünfzig Prozent integrieren KI-Bewertungen in wiederkehrende Audit- und Penetrationstestprogramme.
Ein Test bildet jedoch ein System nur zu einem bestimmten Zeitpunkt ab. Modelle, Retrieval-Quellen, Berechtigungen, Integrationen und Nutzerverhalten verändern sich nach der Bereitstellung. Eine bestandene Bewertung kann kontinuierliche Transparenz über diese Veränderungen nicht ersetzen.
Auch die Methodik des Benchmarks verlangt Vorsicht. Seine Prozentwerte beschreiben 30 bewertete Organisationen, nicht den gesamten globalen Markt. Wavestone warnt ausdrücklich davor, das Panel als repräsentative Marktschätzung zu lesen.
Trotz dieser Einschränkung ist das interne Muster aussagekräftig. Kontrollen rund um Freigabe und Bewertung sind deutlich verbreiteter als Kontrollen für Erkennung, Untersuchung und Wiederherstellung. Darin liegt die eigentliche Nachricht des Benchmarks.
Unternehmen wechseln vom KI-Konsum zur KI-Verantwortung
Die Sicherheitslücke gewinnt an Bedeutung, weil Unternehmen größere Teile des KI-Stacks selbst aufbauen und Verantwortlichkeiten übernehmen, die zuvor bei Anbietern lagen.
2025 nutzten 30 % des Wavestone-Panels lediglich KI-Funktionen, die über bestehende Produkte bereitgestellt wurden. Dieser Anteil sank 2026 auf 10 %. Die Veränderung signalisiert einen deutlichen Schritt über den passiven Konsum hinaus.
Die Hälfte des Panels von 2026 entwickelt KI-Systeme intern mit bestehenden Frameworks oder vortrainierten Modellen. Dieser Anteil stieg innerhalb eines Jahres von 35 %. Organisationen, die die vollständige Entwicklungskette steuern, legten von 35 % auf 40 % zu.
Diese Kategorien bringen unterschiedliche Sicherheitsverpflichtungen mit sich. Ein Unternehmen, das eine KI-Funktion nutzt, verwaltet vor allem Datenexposition, Nutzerzugriff, Konfiguration und Lieferantenrisiken. Eine Organisation, die ein Retrieval-System aufbaut, muss zusätzlich ihre Datenpipeline, Vektordatenbank, Modellverbindungen und Anwendungslogik absichern.
Eine Vektordatenbank speichert mathematische Repräsentationen, mit denen relevante Informationen für eine KI-Antwort abgerufen werden. Manipulieren Angreifer diesen Speicher, kann das System vergiftete Inhalte abrufen, ohne dass das zugrunde liegende Modell kompromittiert wird.
Das Verantwortungsproblem erstreckt sich auch auf Wissensspeicher. Organisationen behandeln interne Dokumente häufig als gesteuerte Geschäftsinformationen, jedoch nicht als aktive Bestandteile einer KI-Angriffsfläche. Retrieval verändert diese Annahme, weil gespeicherte Informationen das Verhalten eines Systems unmittelbar beeinflussen können.
Wavestone stellte fest, dass 72 % des Panels begonnen hatten, Datenschutzmaßnahmen für KI-Training umzusetzen. Fünfundsechzig Prozent führten Prüfungen der Datenqualität durch. Nur 9 % bewerteten vor dem Produktivbetrieb sowohl Datenqualität als auch Sicherheit systematisch.
Qualitätsprüfungen fragen, ob Daten korrekt, vollständig und für eine Aufgabe geeignet sind. Sicherheitsprüfungen fragen, ob die Daten manipuliert, offengelegt oder über einen nicht autorisierten Weg beschafft wurden. Ein Prozess kann den anderen nicht ersetzen.
Anbieterkontrollen liefern ein weiteres Beispiel. Cloud- und Modellplattformen stellen Authentifizierung, Protokollierung, Filter und Konfigurationsschutz bereit. Diese Schutzmaßnahmen decken jedoch nur die Verantwortlichkeiten ab, die beim Anbieter verbleiben.
Nur 11 % des Wavestone-Panels hatten begonnen, Schutzmaßnahmen über anbietereigene Kontrollen hinaus zu bewerten oder umzusetzen. Dies wird zu einer größeren Sorge, wenn Teams Modelle feinabstimmen, Komponenten selbst hosten oder Agents mit internen Tools verbinden.
Der Benchmark argumentiert nicht, dass Organisationen interne Entwicklung vermeiden sollten. Der Aufbau eigener Systeme kann die Kontrolle über Architektur, Datenstandort und Abhängigkeiten verbessern. Zugleich macht er die Organisation dafür verantwortlich, jede hinzugefügte Komponente abzusichern.
Die Ergebnisse von 2025 von Wavestone deuteten bereits auf dieses Thema hin. Sie unterschieden zwischen KI-Nutzern, Organisationen, die Drittanbieter-Modelle orchestrieren, und fortgeschrittenen Entwicklern proprietärer Systeme.
Die Ergebnisse von 2026 zeigen, dass mehr Organisationen in die anspruchsvollen Kategorien vorgedrungen sind. Ihre Sicherheitsprogramme haben mit diesem Übergang jedoch nicht gleichmäßig Schritt gehalten.
Deshalb erzeugt operative KI-Sicherheit inzwischen Druck auf mehrere Teams. Engineering muss nutzbare Telemetriedaten liefern. Security Operations muss sie interpretieren. Identity-Teams müssen Berechtigungen begrenzen, während Geschäftsverantwortliche entscheiden müssen, was Agents tun dürfen.
Dokumentation und durchsuchbares operatives Wissen gewinnen während dieses Übergangs ebenfalls an Bedeutung. Teams benötigen aktuelle Angaben zu Verantwortlichkeiten, Systemabhängigkeiten, Entscheidungen und Reaktionsverfahren. Eine gepflegte durchsuchbare Wissensdatenbank kann diese Arbeit unterstützen, auch wenn sie Sicherheitskontrollen nicht ersetzen kann.
KI-Sicherheits-Governance ist nicht dasselbe wie Produktivkontrolle
Der zentrale Gegensatz besteht zwischen dokumentierter Governance und kontinuierlich durchgesetzter Kontrolle, nicht zwischen Organisationen mit und ohne KI-Richtlinien.
Governance schafft notwendige Grenzen. Sie kann akzeptable Nutzung definieren, die Kritikalität von Systemen klassifizieren, Prüfanforderungen zuweisen und Eskalationswege festlegen. Diese Grundlagen sind wertvoll, doch sie betreiben das System nicht automatisch.
Operative Kontrolle stellt andere Fragen. Kann die Organisation verdächtiges Verhalten erkennen? Kann sie einen Agent isolieren? Können Ermittler nachvollziehen, was passiert ist? Können Teams ein vertrauenswürdiges Modell, einen Datensatz oder ein Wissensrepository wiederherstellen?
Der Wavestone AI Cyber Benchmark 2026 ergab, dass 88 % der Organisationen Protokolle von KI-Anwendungen erfassen. Nur 8 % leiten diese Protokolle an das Monitoring von Security Operations Centern weiter.
Dabei handelt es sich nicht primär um ein Problem der Datenerfassung. Es ist ein Integrationsproblem zwischen KI-Betrieb und Sicherheitsbetrieb.
Teams für KI-Anwendungen überwachen üblicherweise Latenz, Kosten, Ausgabequalität, fehlgeschlagene Anfragen und Modellleistung. Sicherheitsteams suchen nach kompromittierten Identitäten, ungewöhnlichen Zugriffen, bösartigen Eingaben, Datenabflüssen und nicht autorisierten Änderungen.
Dasselbe Ereignis kann für jede Gruppe anders aussehen. Ein Anstieg von Tool-Aufrufen kann auf einen beliebten Workflow, eine fehlerhafte Agent-Schleife oder einen Angriff hindeuten. Wirksame Erkennung erfordert Kontext aus der Anwendungs- und der Sicherheitsumgebung.
Protokollierung benötigt zudem einen definierten Zweck. Das Erfassen von Prompts ohne Zugriffsereignisse, Tool-Aufrufe, Modellversionen, Retrieval-Quellen oder Autorisierungsentscheidungen kann Ermittlern ein unvollständiges Bild hinterlassen.
Der AI RMF Core von NIST behandelt Monitoring nach der Bereitstellung, Incident Response, Wiederherstellung und Änderungsmanagement als miteinander verbundene Ergebnisse. Er fordert zudem dokumentierte Prozesse, um Vorfälle und Fehler nachzuverfolgen und sich davon zu erholen.
Dieser Lifecycle-Ansatz steht im Widerspruch zu einer einmaligen Freigabe. Ein KI-System kann sich ohne einen herkömmlichen Software-Release verändern. Ein Anbieter kann ein Modell aktualisieren, ein Team kann eine Retrieval-Quelle ersetzen oder Administratoren können die Berechtigungen eines Agents erweitern.
Diese Änderungen können frühere Annahmen ungültig machen. Eine Prüfung, die einen schreibgeschützten Dokumentenabruf freigegeben hat, sagt wenig über einen späteren Workflow aus, der Datensätze bearbeiten oder Nachrichten versenden kann.
Dasselbe Problem betrifft das Testen. Zwei Drittel des Wavestone-Panels führen spezielle KI-Sicherheits-Penetrationstests durch. Der Benchmark argumentiert jedoch, dass reife Organisationen Tests wiederkehrend statt nur ausnahmsweise durchführen müssen.
Wiederkehrende Tests sollten wesentlichen Änderungen folgen. Dazu gehören neue Modelle, Tools, Datensätze, Feinabstimmungen, Zugriffsbereiche und autonome Schritte. Das Testprogramm muss zudem die gesamte KI-Landschaft der Organisation abdecken.
Automatisierte Scans können anfällige Komponenten und Konfigurationsfehler finden. Sie können adversarische Interaktionen mit mehrdeutigen Anweisungen, vergiftetem Kontext oder mehreren verbundenen Tools jedoch nicht vollständig nachbilden.
KI-Red-Teaming untersucht diese Interaktionen durch strukturierte adversarische Tests. Doch auch Red Teaming liefert nur Hinweise für die getesteten Bedingungen, keine dauerhafte Garantie. Monitoring und Reaktion müssen die Verhaltensweisen abfangen, die Tests übersehen.
Die Lücke zwischen Governance und Betrieb spiegelt daher unterschiedliche Arbeit wider. Governance entscheidet, was geschehen soll. Operative Sicherheit erkennt, wenn die Realität von dieser Entscheidung abweicht, und gibt Teams eine Möglichkeit einzugreifen.
Agentische KI macht schwache Identitätskontrollen zum Geschäftsrisiko
Ein KI-Agent mit übermäßigen Zugriffsrechten kann eine irreführende Eingabe oder einen Modellfehler in eine nicht autorisierte Geschäftsaktion verwandeln.
Agentische KI bezeichnet Systeme, die Aufgaben planen, Tools aufrufen und mit begrenzter menschlicher Anleitung Aktionen ausführen. Diese Fähigkeit verschiebt das Sicherheitsziel von der Kontrolle generierter Texte hin zur Kontrolle autorisierten Verhaltens.
Dreiunddreißig Prozent des Wavestone-Panels hatten Risiken durch agentische KI in Governance-Frameworks integriert. Nur 17 % berücksichtigten den sicheren Zugriff auf KI-Funktionen und -Tools in Entwicklungsstandards.
Bei Identitätskontrollen fällt die Umsetzungsquote noch niedriger aus. Lediglich 15 % verfügten über spezielle Schutzmaßnahmen für das Identitäts- und Zugriffsmanagement von KI-Systemen und Agenten.
Diese Lücke ist relevant, weil Agenten probabilistische Modellentscheidungen mit deterministischen Unternehmenssystemen verbinden. Ein Modell kann auf Basis eines unsicheren Kontexts eine Aktion auswählen, doch die nachgelagerte Datenbank oder der Workflow führt diese Aktion konkret aus.
Das Risiko setzt kein böswilliges Modell voraus. Ein manipuliertes Dokument, indirekte Prompt-Injection, eine mehrdeutige Anfrage oder ein fehlerhafter Planungsschritt können einen ansonsten legitimen Agenten umleiten.
OWASP beschreibt übermäßige Handlungsfähigkeit als schädliches Verhalten, das durch übermäßige Funktionalität, Berechtigungen oder Autonomie ermöglicht wird. Die Leitlinien empfehlen eng abgegrenzte Tools, minimale Berechtigungen, nachgelagerte Autorisierung und die Überwachung von Aktivitäten.
Diese Kontrollen verlagern die Durchsetzung außerhalb des Modells. Diese Designentscheidung ist wichtig, weil ein Modell seine eigenen Berechtigungen überwachen zu lassen, eine zirkuläre Abhängigkeit schafft.
Stellen Sie sich einen internen Rechercheagenten vor, der Dateien liest und Zusammenfassungen erstellt. Er benötigt Zugriff auf freigegebene Repositories, braucht jedoch vermutlich keine Löschrechte. Sein Dateikonnektor sollte nur die erforderlichen Operationen bereitstellen.
Ein Kundenservice-Agent birgt ein anderes Risiko. Er könnte Kontoinformationen lesen, Gutschriften ausstellen und Serviceeinstellungen ändern. Jede Aktion benötigt eine definierte Grenze, eine Autorisierungsprüfung und einen Audit-Eintrag.
Ein Software-Agent kann mit Quellcode, Issue-Trackern, Bereitstellungssystemen und Cloud-Infrastruktur interagieren. Eine einzige privilegierte Identität für all diese Systeme zu verwenden, erschwert die Zuordnung und erhöht die möglichen Auswirkungen eines einzelnen Fehlers.
Das Prinzip der geringsten Berechtigung beschränkt jeden Agenten auf die kleinstmögliche erforderliche Menge an Ressourcen und Aktionen. Kurzlebige Zugangsdaten reduzieren die Expositionszeit. Eigene Identitäten pro Agent erleichtern die Nachverfolgung von Aktivitäten.
Aktionen mit hoher Auswirkung können zudem eine menschliche Freigabe erfordern. Die Kontrolle sollte vor der Ausführung greifen, nicht erst nachdem das Modell bereits ein kritisches System verändert hat.
Wavestone betont, dass Aktionen von Agenten begrenzt, nachvollziehbar und unterbrechbar bleiben sollten. Eine Unterbrechung erfordert mehr als eine Stopp-Schaltfläche in der Benutzeroberfläche. Sicherheitsteams benötigen eine verlässliche Möglichkeit, Zugangsdaten zu widerrufen und nachgelagerten Zugriff zu blockieren.
Die AI Controls Matrix bietet ein umfassenderes Kontroll-Framework für cloudbasierte KI-Systeme. Die Ausgabe 2026 umfasst 247 Ziele in 18 Sicherheitsdomänen.
Die Verfügbarkeit von Frameworks ist jedoch nicht die zentrale Einschränkung. Der Benchmark zeigt, dass Organisationen viele Risiken auf Governance-Ebene bereits erkennen. Die Umsetzung innerhalb der Anwendungsarchitektur und der Sicherheitsoperationen bleibt die schwierigere Aufgabe.
Agentische KI macht diese Umsetzung dringend. Ein Chatbot mit schwachen Kontrollen kann Informationen offenlegen oder eine schädliche Antwort erzeugen. Ein Agent mit schwachen Kontrollen kann zudem auf diese Antwort hin handeln.
Reaktion auf Vorfälle und Wiederherstellung bleiben die schwächsten Glieder
Organisationen können keine operative Resilienz beanspruchen, wenn den meisten KI-spezifische Untersuchungen, Reaktionspläne und standardisierte Wiederherstellungspraktiken fehlen.
Der Wavestone-Benchmark weist für Respond mit 29 % den niedrigsten Reifegrad aus. Die unterstützenden Kennzahlen zeigen warum.
Nur 8 % der bewerteten Organisationen konnten forensische Untersuchungen auf KI-Plattformen durchführen. KI-Forensik umfasst die Rekonstruktion relevanter Prompts, abgerufener Inhalte, Tool-Aktivitäten, Modellversionen, Berechtigungen und Systemänderungen.
Die Hälfte des Panels nutzte weiterhin Ad-hoc-Abhilfemaßnahmen ohne strukturierten Reaktionsprozess. Nur 13 % hatten dokumentierte KI-spezifische Incident-Response-Pläne, und laut Wavestone wurden diese Pläne nicht konsistent angewendet.
Auch die Wiederherstellung war begrenzt. Zweiundzwanzig Prozent sicherten KI-bezogene Assets, größtenteils mit nicht standardisierten Praktiken.
Ein herkömmliches Anwendungs-Backup kann Code und Datenbanken bewahren. Ein KI-Dienst kann von zusätzlichen Assets abhängen, darunter Modellkonfigurationen, Fine-Tuning-Daten, Embeddings, Sicherheitsrichtlinien, Prompts und externe Wissensquellen.
Die Wiederherstellung der Verfügbarkeit schafft noch kein Vertrauen. Ein wiederhergestelltes Wissensrepository kann weiterhin vergiftete Dokumente enthalten. Ein wiederhergestellter Agent kann kompromittierte Zugangsdaten oder unsichere Berechtigungen behalten.
Die erste Herausforderung bei der Reaktion ist die Klassifizierung. Teams müssen Sicherheitsereignisse von Zuverlässigkeitsfehlern, Richtlinienverstößen, Modellfehlern und gewöhnlichen Nutzerfehlern unterscheiden. Manche Vorfälle überschneiden mehrere Kategorien.
Eine nicht autorisierte Agentenaktion könnte mit einer Prompt-Injection beginnen, Daten offenlegen und falsche Datensätze erzeugen. Reagierende Teams benötigen möglicherweise Expertise aus Sicherheit, Datenschutz, Recht, Engineering, Modellrisiko und dem Geschäftsbetrieb.
Die zweite Herausforderung sind Belege. Ermittler benötigen synchronisierte Aufzeichnungen über Modelldienste, Identitätssysteme, Retrieval-Komponenten, Tool-Gateways und Zielanwendungen hinweg. Fehlender Kontext kann eine Rekonstruktion verhindern.
Wavestones Wert von 88 % für Logging kann deshalb beruhigender wirken, als er ist. Logging hilft bei der Reaktion nur dann, wenn Teams die richtigen Ereignisse bewahren, sie korrelieren und sie Ermittlern zugänglich machen.
Die dritte Herausforderung ist die Eindämmung. Organisationen müssen wissen, wie sie einen Agenten deaktivieren, seine Zugangsdaten widerrufen, einen Datensatz quarantänisieren, Modelle wechseln oder ein angebundenes Tool aussetzen können, ohne größere Störungen zu verursachen.
Die vierte Herausforderung ist die Wiederherstellung. Teams benötigen einen bekannten vertrauenswürdigen Zustand und einen Integritätstest, bevor sie das System wieder in Betrieb nehmen. Andernfalls kann die Wiederherstellung dieselbe Schwachstelle oder kompromittierte Informationen erneut herstellen.
Diese operative Komplexität erklärt, weshalb die Reaktionsreife hinter der Governance zurückbleibt. Richtlinien können häufig bestehende Risikomanagementstrukturen erweitern. KI-Incident-Response erfordert neue technische Belege, teamübergreifende Verfahren und Übungen.
Das kleine Panel des Benchmarks bleibt eine wichtige Einschränkung. Diese Prozentwerte sollten nicht zu Aussagen über jedes Großunternehmen werden. Organisationen, die sich freiwillig detaillierten Bewertungen unterzogen haben, können sich zudem vom breiteren Markt unterscheiden.
Auch die Messung hat sich verändert. Wavestone erweiterte seine Bewertung 2026 um Agentensicherheit, spezialisierte Schutzmaßnahmen, Monitoring und Reaktion. Direkte Vergleiche von Jahr zu Jahr sollten sich daher auf eindeutig vergleichbare Kennzahlen konzentrieren.
Dennoch entspricht das Muster etablierten Risikoleitlinien. NISTs Profil für generative KI betont die Dokumentation von Vorfällen, Logging, Berichterstattung und den Austausch von Informationen über den gesamten Lebenszyklus.
Die skeptische Interpretation lautet nicht, dass Governance gescheitert ist. Vielmehr kann Governance-Reife falsches Vertrauen erzeugen, wenn operative Belege weiterhin dünn sind.
Eine Richtlinie kann einen internen Meilenstein erfüllen. Sie zeigt nicht, dass ein Sicherheitsteam kompromittiertes Retrieval erkennen, die Aktionen eines Agenten nachverfolgen oder ein vertrauenswürdiges System wiederherstellen kann.
Drei Signale werden zeigen, ob der Betrieb aufholt
Die nächste Phase der KI-Sicherheitsreife wird anhand vernetzter Telemetrie, durchsetzbarer Agentenberechtigungen und geübter Wiederherstellung gemessen werden.
Das erste Signal ist der Anteil der Organisationen, die KI-Ereignisse in die aktive Sicherheitsüberwachung einspeisen. Wavestone stellte eine Lücke von 80 Prozentpunkten zwischen dem Sammeln von Anwendungsprotokollen und ihrer Integration in die SOC-Überwachung fest.
Diese Lücke zu schließen, erfordert definierte Erkennungsfälle und nicht nur das Weiterleiten jedes einzelnen Eintrags. Teams sollten Ereignisse identifizieren, die auf verdächtiges Retrieval, eine Ausweitung von Berechtigungen, ungewöhnliche Tool-Nutzung oder versuchte Datenextraktion hinweisen.
Belege für Fortschritte wären getestete Warnmeldungen, Untersuchungs-Playbooks und gemeinsame Verantwortlichkeit zwischen KI- und SOC-Teams. Ein weiteres Richtliniendokument würde die operative Lücke nicht schließen.
Das zweite Signal ist die Einführung dedizierter Identitätskontrollen für Agenten. Das aktuelle Ergebnis von 15 % zeigt, dass die Anerkennung auf Governance-Ebene der technischen Durchsetzung vorausgeeilt ist.
Fortschritte sollten sich durch getrennte Agentenidentitäten, eng begrenzte Zugriffe, kurzlebige Zugangsdaten und Autorisierung innerhalb nachgelagerter Dienste zeigen. Aktionen mit hoher Auswirkung sollten explizite Genehmigungsanforderungen haben.
Dieses Signal wird wichtiger, je mehr Organisationen Agenten in Finanzwesen, Kundenbetrieb, Softwarebereitstellung und interne Wissensworkflows einführen. Jedes zusätzliche Tool erweitert die Folgen übermäßigen Zugriffs.
Das dritte Signal ist, ob Organisationen KI-spezifische Wiederherstellung nach Vorfällen üben. Ein schriftlicher Plan ist nützlich, doch Teams müssen Eindämmung, Untersuchung, Wiederherstellung und Integritätsvalidierung testen.
Übungen sollten kompromittierte Datensätze, vergiftete Wissensquellen, geleakte Zugangsdaten, unsichere Modelländerungen und nicht autorisierte Agentenaktionen abdecken. Sie sollten außerdem prüfen, ob die Organisation kritische Arbeit während der Eindämmung fortsetzen kann.
Diese Signale werden Wavestones zentrale Einschätzung entweder stärken oder schwächen. Eine stärkere Monitoring-Integration würde zeigen, dass Governance in den Betrieb übergeht. Bessere Identitätskontrollen würden zeigen, dass Agentenrichtlinien durchsetzbar werden.
Erfolgreiche Wiederherstellungsübungen würden die stärksten Belege liefern. Sie würden zeigen, dass Organisationen die Kontrolle behalten können, wenn Prävention versagt, statt anzunehmen, dass jede Schutzmaßnahme funktioniert.
Der Wavestone AI Cyber Benchmark 2026 zeigt einen Zielkonflikt auf, den Unternehmensverantwortliche nicht allein durch eine langsamere Einführung lösen können. Mehr interne Entwicklung kann Autonomie und architektonische Kontrolle verbessern, verlagert jedoch auch Verantwortung nach innen.
Sicherheitsverantwortliche sollten hinter jedem Governance-Meilenstein Nachweise verlangen. Welche Systeme senden verwertbare Ereignisse an das SOC? Welche Agentenberechtigungen können sofort widerrufen werden? Welche KI-Assets verfügen über getestete Wiederherstellungsverfahren?
Engineering- und Geschäftsverantwortliche sollten parallele Fragen stellen. Wer trägt nach der Genehmigung Verantwortung für jedes bereitgestellte System? Welche Änderungen lösen eine Neubewertung aus? Welcher Mensch kann eine autonome Aktion stoppen, bevor sie eine kritische Anwendung erreicht?
Die entscheidende Frage lautet nicht mehr, ob eine Organisation über eine KI-Richtlinie verfügt. Sie lautet, ob diese Organisation erkennen, eindämmen, untersuchen und wiederherstellen kann, wenn ein KI-System außerhalb der Erwartungen handelt.
