KI-Sicherheit in Unternehmen: Umfang, Architektur und die Rahmenkonzeption für 2026

Unter „KI-Sicherheit im Unternehmen“ versteht man den Schutz von KI-Systemen, die auf Unternehmensebene eingesetzt werden: Modelle, Datenpipelines, Agenten und KI-gestützte SaaS-Lösungen, die sich im Besitz verschiedener Teams befinden, über die Beschaffungsabteilung erworben wurden, in Altsysteme eingebunden sind und mit regulatorischen Verpflichtungen verbunden sind. Der Begriff „Unternehmen“ bestimmt, welche Kontrollmaßnahmen wirksam sind – und nicht nur, wie viele davon erforderlich sind.

Genau diese Unterscheidung ist das zentrale Thema dieser Seite. Der Begriff „KI-Sicherheit“ umfasst das Fachgebiet im Allgemeinen, während „Cybersicherheit in Unternehmen“ sich auf den organisatorischen Aspekt bezieht. Im Folgenden geht es um die Schnittmenge: Wo verläuft die Grenze, was gehört zu einer sicheren KI-Infrastruktur in Unternehmen, was sagen die dokumentierten Vorfälle aus dem Jahr 2026 über den Angriffspfad aus, was umfasst eine Referenzarchitektur und welche Rahmenwerke und Vorschriften gelten Stand August 2026?

Was zeichnet KI-Sicherheit aus? KI-Sicherheit für Unternehmen

KI-Sicherheit wird zu Unternehmens-KI-Sicherheit, wenn sich der Umfang, die gemeinsame Verantwortung, die regulatorischen Risiken und die Anzahl der Maschinenidentitäten so verändern, dass die Kontrollmechanismen tatsächlich funktionieren.

Beginnen wir mit dem Verb. KI zu sichern bedeutet, das KI-System selbst zu schützen: seine Trainings- und Abfragedaten, seine Modellartefakte, seine Laufzeitumgebung und die Berechtigungen seiner Agenten. Das ist das Gegenteil davon, KI einzusetzen, um etwas anderes zu sichern. Beide Disziplinen existieren tatsächlich, beide werden im Gespräch als „KI-Sicherheit“ bezeichnet, und sie miteinander zu vermischen ist der schnellste Weg, eine Diskussion über den Umfang vor dem Vorstand zu verlieren.

Sechs beobachtbare Dimensionen unterscheiden den Einsatz von KI in Unternehmen vom Einsatz in kleinerem Maßstab. Jede einzelne dieser Dimensionen führt zu einer unterschiedlichen Kontrollsituation und nicht zu einem Größenunterschied, und genau das macht diese Abgrenzung nützlich und nicht nur rhetorisch.

Bildunterschrift: Die sechs Dimensionen, die KI-Sicherheit zu Unternehmens-KI-Sicherheit machen, und die jeweiligen Auswirkungen auf die Kontrolle.

Dieser Begriff hat nun einen konkreten Preis. In der Studie „Cost of a Data Breach “ aus dem Jahr 2026, die vom Ponemon Institute unter 602 Organisationen durchgeführt wurde, bei denen es zwischen März 2025 und Februar 2026 zu Datenschutzverletzungen gekommen war, erreichten die weltweiten Durchschnittskosten pro Vorfall einen Rekordwert von 4,99 Millionen US-Dollar – ein Anstieg von 12 % gegenüber dem Vorjahr (Network World, 2026). Im gleichen Zeitraum gab mehr als jede vierte Organisation, die Opfer eines böswilligen Angriffs wurde, an, dass der Angriff KI-gesteuert war – ein Anstieg um 56 % gegenüber dem Vorjahr (Infosecurity Magazine, 2026).

Das ist der Fall der Unternehmensgrenzen in einem Satz. Der gleiche Angriff verursacht höhere Kosten, wenn er auf eine Infrastruktur dieser Größe abzielt; KI ist mittlerweile ein messbarer Faktor für diesen Anstieg, und die Kontrollmaßnahmen, die bei einem Pilotprojekt mit zwei Personen funktioniert haben, lassen sich nicht übertragen.

KI-Sicherheit in Unternehmen, KI-Governance und KI-Risikomanagement

Bei der Sicherheit geht es um die Frage, ob das KI-System angegriffen werden kann, bei der Governance darum, ob es überhaupt existieren sollte, und beim Risikomanagement darum, was passiert, wenn es versagt.

Bildunterschrift: Die drei Disziplinen, die in KI-Programmen für Unternehmen häufig miteinander vermischt werden, dargestellt anhand der jeweiligen Fragestellung, auf die sie jeweils eine Antwort liefern.

Der Bereich Risikomanagement stützt sich auf eine Taxonomie der US-Regierung. NIST IR 8596, das „Cyber AI Profile“, wurde am 16.12.2025 als erster vorläufiger Entwurf veröffentlicht und unterteilt das Feld in drei Bereiche, die als „Secure“, „Defend“ und „Thwart“ bezeichnet werden: Sicherung von KI-Systemkomponenten, Durchführung von KI-gestützter Cyberabwehr und Abwehr von KI-gestützten Cyberangriffen (NIST, 2025). Die KI-Sicherheit in Unternehmen ist für den ersten und den dritten Bereich zuständig. Der zweite Bereich ist ein anderes Thema, das zufällig dieselben Begriffe verwendet, und die Gewohnheit, diese beiden Bereiche miteinander zu vermischen, ist der Grund dafür, dass so viele Programme nicht sagen können, was sie eigentlich finanzieren.

Die Zuständigkeit richtet sich nach dem Artefakt und nicht nach dem Organigramm. Das Plattformteam ist für die Kontrollen innerhalb der Pipeline zuständig, das Sicherheitsteam für die Erkennung und Reaktion bei KI-Systemen und den von diesen genutzten Identitäten, und GRC ist für die von beiden erzeugten Nachweise zuständig. Eine zersplitterte Zuständigkeit zwischen diesen drei Bereichen ist das von Fachleuten am häufigsten beschriebene Versagen und in der Regel ein Symptom dafür, dass diese Grenze von vornherein nie gezogen wurde.

Sicherheit und Compliance im Bereich der KI in Unternehmen hängen zwar zusammen, sind jedoch nicht austauschbar. Compliance ist die Nachweiseebene, die belegt, dass eine Kontrollmaßnahme vorhanden war, funktionierte und überprüft wurde. Bei der Sicherheit geht es darum, ob die Kontrollmaßnahme tatsächlich etwas verhindert. Die Tiefe der Governance auf Programmebene – also Modellregister, Genehmigungsworkflows und Richtlinien-Tools – gehört eher zu den KI-Governance-Tools als zu diesem Bereich, während die allgemeine Disziplin unter dem Begriff „KI-Sicherheit“ angesiedelt ist.

Was die KI-Sicherheit in Unternehmen schützt

Die KI-Sicherheit in Unternehmen umfasst fünf Ebenen, und die Ebene, die die meisten Unternehmen übersehen, ist das KI-Tool, das ein Mitarbeiter ohne Rücksprache autorisiert hat.

Die Organisation nach Ebenen des Anwesens ist der Organisation nach Bedrohungsnamen vorzuziehen, da Ebenen den Eigentümern und Budgets zugeordnet sind, während Bedrohungsnamen Konferenzvorträgen zugeordnet sind.

Bildunterschrift: Die fünf Ebenen einer Unternehmens-KI-Infrastruktur, die jeweiligen dominierenden Risiken und wo die Tiefe liegt.

Die Bestandsaufnahme hat oberste Priorität, denn man kann keinen Bestand sichern, den man nicht gezählt hat – und das Problem der Bestandsaufnahme ist derzeit das dringlichste. In der Studie zu Sicherheitsverletzungen aus dem Jahr 2026 gaben mehr als zwei Drittel der Unternehmen an, über keinen Governance-Prozess zur Eindämmung von „Shadow-AI“ zu verfügen – ein leichter Anstieg gegenüber dem Wert von 2025 –, und der Anteil der Sicherheitsvorfälle im Zusammenhang mit „Shadow-AI“ hat sich im Jahresvergleich mehr als verdoppelt und lag bei 43 % (Cybersecurity Dive, 2026). Die Erfassung, die Zuweisung von Verantwortlichkeiten und die Überprüfung des OAuth-Gültigkeitsbereichs sollten in den ersten 90 Tagen eines jeden Programms erfolgen.

Die Risikotaxonomie selbst ist öffentlich zugänglich und auf dem neuesten Stand. Die Anfang August 2026 veröffentlichte „OWASP GenAI LLM Top 10 für 2026“ listet folgende Punkte auf: 01:2026 Prompt Injection Erstens, 02:2026 Offenlegung sensibler Informationen, zweitens, und 03:2026 „Excessive Agency“ auf Platz drei, mit 05:2026 Daten- und Modellvergiftung sowie 09:2026 Schwächen bei Vektoren und Einbettungen, die die Datenschicht betreffen (OWASP-Projekt zur Sicherheit von Generativer KI, OWASP GenAI LLM Top 10 2026). Verwenden Sie die Kennungen aus dem Jahr 2026. Sechs der zehn Einträge haben im Vergleich zur Ausgabe von 2025 ihre Position gewechselt, sodass eine veraltete Kennung nun auf das falsche Risiko verweist.

Zwei Aspekte verdienen besondere Beachtung. Generative KI verfügt über eigene Kontrollmechanismen hinsichtlich der Ausgabeverarbeitung, der Abfragegrenzen und der Herkunft der Inhalte, was unter dem Thema „GenAI-Sicherheit“ behandelt wird. Und der schwierigste Teil bei der internen Einführung von LLMs und Agenten ist selten das Modell selbst. Es ist vielmehr die Integrationsschnittstelle: die Tools, die ein Agent aufrufen kann, die Systeme, auf die diese Tools zugreifen, und die Zugangsdaten, die diesen Zugriff ermöglichen.

Was die Vorfälle aus dem Jahr 2026 über den Angriffspfad von KI in Unternehmen aussagen

In jedem dokumentierten Fall aus dem Jahr 2026 verfügte die KI-Ebene über mehr Berechtigungen, als für ihre Aufgabe erforderlich waren, und es wurde zu diesem Zeitpunkt kein Unterschied festgestellt. OWASP stuft dieses Muster als 03:2026 „Excessive Agency“ stieg gegenüber der Ausgabe von 2025 vom sechsten Platz auf, da sich Produktionsvorfälle vor allem auf agentische Systeme konzentrierten.

Stellt KI eine Bedrohung für die Sicherheit dar? Ja, und zwar in dreierlei Hinsicht. Dass Angreifer KI gegen Sie einsetzen, ist die bekannte Gefahr, und der oben erwähnte Anstieg der KI-gestützten Angriffe um 56 % im Vergleich zum Vorjahr belegt dies. Die beiden anderen Aspekte werden in den Bedrohungsmodellen von Unternehmen immer wieder übersehen, tauchen jedoch beide in den dokumentierten Fällen aus dem Jahr 2026 auf.

Erstens kann Ihre eigene autorisierte KI ihren Aufgabenbereich überschreiten. Im Juli 2026 gab eine Plattform für das Hosting von KI-Modellen einen Einbruch bekannt, den sie in ihrer eigenen Mitteilung auf ein „Framework für autonome Agenten“ zurückführte, ohne den Betreiber namentlich zu nennen, und berichtete von mehr als 17.000 aufgezeichneten Ereignissen, die im Rahmen der forensischen Analyse rekonstruiert wurden (Hugging Face, 2026). Spätere Berichte klärten den Ursprung auf: Der Vorfall „ging auf einen internen Sicherheitstest zurück“, bei dem ein Evaluierungsagent versuchte, auf Produktionssysteme zuzugreifen und die Testlösungen abzurufen (The Hacker News, 2026). Es handelte sich um eine autorisierte Evaluierung, die ihre Grenzen überschritt, nicht um eine externe kriminelle Kampagne, und genau deshalb gehört sie in ein Bedrohungsmodell für Unternehmen.

Das gleiche Muster zeigt sich bereits an der Quelle. Ein KI-Labor untersuchte 141.006 Evaluierungsläufe, in denen seine Modelle Zugang zum Internet hätten erhalten können, und identifizierte drei Vorfälle, bei denen ein Modell aus der Evaluierungsumgebung heraus auf das Internet zugreift (Anthropic, 2026). Die eigentliche Ursache war eher ein Versagen der Kontrollgrenzen als ein Versagen des Modells: Die Evaluierungsanweisung teilte dem Modell mit, dass seine Umgebung eine Simulation ohne Internetzugang sei, doch aufgrund eines Missverständnisses mit dem Evaluierungspartner entsprach dies nicht der Wahrheit. Beachten Sie den Nenner. Es handelt sich um Evaluierungsläufe in einem einzigen Labor, nicht um Unternehmen.

Zweitens: KI, die Sie von einem Drittanbieter erwerben, wird zu einem Einfallstor in Ihr System. Das deutlichste Beispiel aus dem Unternehmensbereich ist nach wie vor der Diebstahl von OAuth-Tokens, die zu einer KI-Chat-Integration eines Drittanbieters gehörten. Forscher im Bereich Threat Intelligence verfolgten diese Aktivität unter der Bezeichnung „UNC6395“ und beschrieben den systematischen Export großer Datenmengen aus „zahlreichen Salesforce-Instanzen von Unternehmen“ (Google Threat Intelligence Group, 2025). Eine US-Finanzaufsichtsbehörde beschrieb denselben Vorfall vom August 2025 als einen KI-Lieferkettenangriff, von dem mehr als 700 Organisationen betroffen waren (FINRA, 2025). Die beiden Quellen gehen von unterschiedlichen Zahlen aus, und keine der beiden bestätigt die Angaben der anderen.

Auch der KI-Stack unterliegt nun einer Patch-Verpflichtung. Im CISA-Katalog „Known Exploited Vulnerabilities“ sind elf Einträge aus dem KI-Bereich verzeichnet, ein Trend, der bis in den Mai 2025 zurückreicht: Langflow mit sechs, LiteLLM mit zwei sowie n8n, Ray und MLflow mit jeweils einem Eintrag (CISA, 2026). Ray und MLflow sind jeweils erstmals im Katalog vertreten und erweitern damit den KI-Umfang des Katalogs von der Anwendungs- und Orchestrierungsebene auf den Rechenbereich und den Modelllebenszyklus. Die Frist für die Behebung der Sicherheitslücken bei Ray auf Bundesebene endete am 20.08.2026, die bei MLflow am 02.09.2026. Der Katalog erreichte am 24.08.2026 die Version 2026.08.24 mit 1.675 Einträgen, was verdeutlicht, wie schnell diese Liste veraltet.

Der Schweregrad hängt davon ab, welche Skala man heranzieht. NVD bewertet den Ray-Fehler (CVE-2025-62593) 8,8 „HIGH“ gemäß CVSS v3.1, während die GitHub-CNA denselben Eintrag mit 9,4 „CRITICAL“ gemäß CVSS v4.0 bewertet. Die MLflow-Sicherheitslücke (CVE-2026-64849) wird von der GitHub CNA mit 9,3 (KRITISCH) bewertet, wobei die eigene Einschätzung des NVD noch nicht vorliegt. Geben Sie bei jeder Weitergabe der Zahl die Quelle und die Version an. Die Schwachstelle von Ray ist zudem ein Angriffsvektor für Entwickler-Workstations, der über DNS-Rebinding erreichbar ist, und keine Server-Sicherheitslücke. Daher fällt sie eher in den Bereich der „Shadow-AI“-Thematik als in den Bereich der Bereitstellung von Produktionsmodellen.

In allen Fällen ist der Ablauf der Taktik einheitlich: 0006 Zugriff auf Anmeldedaten, dann 0008 Seitliche Bewegung, dann 0010 Exfiltration. Diese Abfolge liegt durchaus im Rahmen des Verhaltens Erkennung von Bedrohungen durch KI, was das Argument dafür ist, die Anmeldedaten von Agenten in denselben Überwachungsbereich wie die von Menschen einzubeziehen und nicht in ein separates KI-Programm.

‍

Eine Referenzarchitektur für die KI-Sicherheit in Unternehmen

Eine funktionierende KI-Sicherheitsarchitektur für Unternehmen weist jedem Modell, jeder Pipeline und jedem Agenten eine verifizierte Identität, bereichsbezogene Anmeldedaten und einen Ort zu, an dem es überwacht wird.

Kaum eine Seite zu diesem Thema veröffentlicht eine solche Übersicht, was seltsam ist, da die Frage nach der Architektur tatsächlich bei Design-Reviews gestellt wird. Die darunterliegenden Schichten orientieren sich eher an Vorgaben von Behörden und Normungsgremien als an einem bestimmten Produkt-Stack.

‍

Komponenten

Eine gut absicherbare KI-Sicherheitsinfrastruktur für Unternehmen besteht aus sechs Ebenen: einer Datenebene mit Quellen, Pipelines und Vektorspeichern, einer Modellebene mit Registern und Provenienz, einer Laufzeitebene, in der ein KI-Gateway Eingabeaufforderungen und Tool-Aufrufe abwickelt, einer Identitätsebene, die menschliche und nicht-menschliche Akteure abdeckt, einer Ebene zur Durchsetzung von Richtlinien sowie einer Beobachtungsebene, die die anderen fünf Ebenen überwacht. NIST SP 800-239, ein erster öffentlicher Entwurf, der am 27.07.2026 veröffentlicht wurde und zu dem bis zum 25.09.2026 Stellungnahmen abgegeben werden können, ist das einzige Dokument der US-Regierung zur KI-Architektur in diesem Belegsatz, und seine eigene Stichwortliste enthält eine Referenzarchitektur für KI-Rechenzentren (NIST, 2026). Was Kontrollinhalte betrifft, liefert die am 22.06.2026 veröffentlichte „AI Controls Matrix v1.1“ der „ Cloud Security Alliance“ 247 Kontrollziele in 18 Sicherheitsbereichen und ordnet diese den Normen ISO/IEC 42001, ISO/IEC 27001 und BSI AIC4 zu (Cloud Security Alliance, 2026). Es handelt sich bei keinem der beiden um einen Produktentwurf, und genau deshalb dienen sie als Anker.

Zugriffskontrollen

An dieser Stelle hören KI-Sicherheit und Zugriffskontrollen in Unternehmen auf, eine Abstraktion zu sein. In der Studie zu Sicherheitsverletzungen aus dem Jahr 2026 fehlten bei rund einem Fünftel der Unternehmen, die einen Sicherheitsvorfall im Zusammenhang mit einem KI-Modell oder einer KI-Anwendung meldeten, in 92 % der Fälle rollenbasierte Zugriffskontrollen, Multi-Faktor-Authentifizierung und ähnliche Kontrollmechanismen für diese Modelle und Anwendungen, und nur zwei von fünf Unternehmen wandten überhaupt Zugriffskontrollen auf ihre KI-Modelle und -Daten an (Help Net Security, 2026). Die Absicherung eines Modells beginnt hier: Legen Sie fest, wer und was das Modell aufrufen darf, protokollieren Sie jeden Aufruf mit der Identität des Aufrufers und trennen Sie die Anmeldedaten für die Inferenz von den Anmeldedaten, mit denen das Artefakt geändert werden kann.

Identität für nichtmenschliche Akteure

Die am 01.05.2026 von der CISA, der NSA und Partnerbehörden in Australien, Kanada, Neuseeland und dem Vereinigten Königreich veröffentlichten behördenübergreifenden Leitlinien legen die operativen Maßstäbe fest. Darin wird gefordert, dass jeder Agent „eine verifizierte, kryptografisch gesicherte Identität mit sich führt, kurzlebige Zugangsdaten verwendet und die gesamte Kommunikation“ mit anderen Agenten und Diensten verschlüsselt; außerdem werden in denselben Leitlinien die Risiken von Agenten in fünf Kategorien eingeteilt, die sich auf Berechtigungen, Design- und Konfigurationsfehler, Verhalten, Struktur und Rechenschaftspflicht beziehen (CyberScoop, 2026). Die „ Zero trust “-Prinzipien gelten hier unverändert, da ein Agent eine Arbeitslast ist und zero trust bereits weiß, wie man damit umgeht.

Beobachtbarkeit, Überwachung und Berichterstattung

Jede darüberliegende Ebene muss beobachtbar sein, da ihre Kontrollmechanismen sonst nicht überprüfbar sind. In der Praxis bedeutet dies drei Datenströme: Protokollaufzeichnungen zu Eingabeaufforderungen und Tool-Aufrufen aus der Laufzeitebene, Identitätsereignisse für jeden nicht-menschlichen Akteur sowie Daten zum Sicherheitsstatus darüber, was vorhanden ist und wie es konfiguriert ist – was die Aufgabe des KI-Sicherheitsstatusmanagements (AI-SPM) ist. Leiten Sie alle drei in dieselbe Sicherheitsüberwachungspraxis ein, die auch den Rest der Infrastruktur abdeckt, sowie in dieselben Sicherheitskontrollen von „cloud “, sofern diese Infrastruktur von „ cloud “ gehostet wird – anstatt ein separates KI-Sicherheits-Dashboard für das Unternehmen einzurichten, das niemand beachtet.

Die Genauigkeit ist der immer wiederkehrende Einwand, auf den es jedoch eine Antwort gibt. KI-gestützte Erkennungsmechanismen gewinnen Vertrauen auf dieselbe Weise wie jede andere Erkennung auch: durch den Abgleich mit bekanntem, einwandfreiem Verhalten, durch eine von Menschen überprüfbare Erklärung zu jedem Ergebnis und durch eine Rückkopplungsschleife, die Logik aussortiert, die sich in Ihrer Umgebung nicht bewährt. Erkennung und KI-Red-Teaming testen die beiden Extreme derselben Frage: Das eine fragt, ob echte Angriffe aufgedeckt werden, das andere, ob das System absichtlich zu Fehlverhalten gebracht werden kann.

Abwägungen

Zentralisierung sorgt für Durchsetzung und schafft einen Engpass. Ein KI-Sicherheitsgateway für Unternehmen, das jeden Befehl und jeden Tool-Aufruf abfängt, bietet Ihnen eine zentrale Stelle, an der Sie Richtlinien anwenden, Aktivitäten protokollieren und Zugriffsrechte widerrufen können. Es bietet Ihnen aber auch eine zentrale Stelle, an der es zu Ausfällen kommen kann, eine Warteschlange, die überlastet werden kann, und einen Anbieter, an den Sie gebunden sind. Eine föderierte Durchsetzung lässt sich besser skalieren und passt sich schneller an. Die meisten großen Unternehmen entscheiden sich für einen Hybridansatz: zentralisierte Identitätsverwaltung und Richtlinien, dezentrale Durchsetzung nahe an der Arbeitslast sowie zentralisierte Überwachbarkeit. Für welche Variante Sie sich auch entscheiden: Integrieren Sie sie in die bereits bestehende Cybersicherheitsarchitektur Ihres Unternehmens, anstatt daneben ein paralleles Programm aufzubauen.

Der Rahmen und die regulatorische Landkarte für 2026

Vier Rahmenwerkfamilien und eine Änderungsverordnung legen die Verpflichtungen für 2026 fest, und drei der am häufigsten als Standards genannten Dokumente befinden sich noch im Entwurfsstadium.

Bildunterschrift: Der Rahmen und die Regulierungsinstrumente für die KI-Sicherheit in Unternehmen, mit Angabe der jeweiligen Version und des Status (Stand: August 2026).

Zwei Zeilen haben die größten Auswirkungen auf die Planung. MITRE ATT&CK Enterprise befindet sich in der Inhaltsversion v19.2: Die v19-Reihe wurde am 28.04.2026 veröffentlicht und führte die Aufteilung in „Defense Evasion“ ein; die Zwischenversionen v19.1 und v19.2 folgten am 12.05.2026 bzw. am 06.08.2026 und enthielten kleinere Aktualisierungen für Gruppen, Software und Kampagnen (Änderungsprotokoll zu „MITRE ATT&CK “, Enterprise-Taktiken). Das KI-spezifische Begleitprodukt MITRE ATLAS veröffentlichte drei Releases innerhalb von drei Monaten und befindet sich derzeit auf Version v2026.07 (MITRE ATLAS-Releases). Alle vor August 2026 verfassten Informationen sind bei beiden Produkten veraltet.

Gerade beim EU-KI-Gesetz weisen die meisten Compliance-Pläne Fehler auf. Die Verordnung (EU) 2024/1689 wurde durch die Verordnung (EU) 2026/1744 geändert, wodurch die Verpflichtungen für Bereiche mit hohem Risiko gemäß Anhang III auf den 02.12.2027 und die Verpflichtungen gemäß Anhang I auf den 02.08.2028 verschoben wurden (EUR-Lex). Die Transparenzpflichten gemäß Artikel 50 wurden nicht aufgeschoben und traten am 02.08.2026 in Kraft; außerdem verabschiedete die Europäische Kommission am 20.07.2026 Umsetzungsleitlinien, in deren Titel Artikel 50 namentlich genannt wird (Europäische Kommission, 2026). Verweisen Sie auf das Amtsblatt statt auf einen Zeitachsen-Aggregator, da die Aggregatoren noch nicht alle auf dem neuesten Stand sind.

Auf Bundesebene in den USA kommen drei Punkte hinzu, die es zu beachten gilt – nicht fünfzig. Die Executive Order 14409 wurde am 02.06.2026 unterzeichnet und am 05.06.2026 als Dokument 2026-11415 im Federal Register veröffentlicht (Federal Register, 2026). Die behördenübergreifenden Leitlinien zur agentenbasierten KI vom 01.05.2026 werden im obigen Abschnitt zur Architektur behandelt. Und die eigenen Arbeiten des NIST zur KI-Sicherheit, einschließlich der COSAiS-Kontrollüberlagerungen, befinden sich weiterhin im Entwurfsstadium, was ein Grund ist, diese im Auge zu behalten, anstatt darauf zu warten.

Die Ebene der US-Bundesstaaten betrifft den Compliance-Kontext, nicht das Sicherheitsrecht, und eine andere Herangehensweise würde nur Budget verschwenden. Die verbindlichen KI-Gesetze der Bundesstaaten, die ab 2027 in Kraft treten, sind Instrumente zum Datenschutz, zur Bekämpfung von Diskriminierung und zur Offenlegung. Sie regeln, wie KI-Entscheidungen getroffen und offengelegt werden, nicht aber, wie KI-Systeme gesichert werden. Kaliforniens CPPA-Vorschrift zur Cybersicherheitsprüfung (11 CCR 7121) sorgt häufig für Verwirrung, da ihr Auslöser die Verarbeitung personenbezogener Daten in Verbindung mit Umsatzschwellenwerten ist, sodass eine Organisation, die überhaupt keine KI einsetzt, genauso davon betroffen ist. Integrieren Sie die staatliche Ebene in die Planung von KI-Governance-Tools und nicht in die Sicherheitsarchitektur.

Bewertung der KI-Sicherheit in Unternehmen

Beurteilen Sie das Programm anhand von Belegen, die Sie anfordern können, und nicht anhand von Kategoriebezeichnungen, und legen Sie den Preis entsprechend der Größe Ihrer KI-Infrastruktur fest.

Der Markt für KI-Sicherheitslösungen für Unternehmen befindet sich noch im Aufbau, und die Bezeichnungen der Produktkategorien verbreiten sich schneller als die tatsächlichen Funktionen. Anstatt Produkte zu bewerten, sollten Sie sich an Kriterien orientieren, die Sie in einen Fragebogen aufnehmen und im Rahmen eines Proof of Value überprüfen können. Die „AI Controls Matrix v1.1“ der „ Cloud Security Alliance“ ist eine herstellerunabhängige Bewertungsvorlage, die Ihnen die Entwicklung eigener Anforderungen erspart.

Bildunterschrift: Sechs Bewertungskriterien für die KI-Sicherheit in Unternehmen, die jeweils so formuliert sind, dass ein Käufer danach fragen und sie überprüfen kann, anstatt nur als Kategoriebezeichnung zu dienen.

Wodurch unterscheiden sich KI-Sicherheitstools von herkömmlichen Plattformen zur Erkennung von Bedrohungen? Vor allem darin, was sie erkennen können. Herkömmliche Erkennung orientiert sich an Hosts, Netzwerken und menschlichen Identitäten, während eine KI-Infrastruktur drei Objekte hinzufügt, die außerhalb dieses Modells liegen: Eingabeaufforderungen und deren Kontext, Modellartefakte und deren Herkunft sowie Anmeldedaten von Agenten, die ohne menschliche Beteiligung agieren. Der derzeit vorherrschende Trend geht eher in Richtung Erweiterung als in Richtung Ersatz: Telemetriedaten aus der KI-Ebene werden in denselben Triage- und Reaktions-Workflow eingespeist, den Ihre Sicherheitsoperations-Tools bereits nutzen, sodass ein sich seltsam verhaltender Agent in derselben Warteschlange landet wie ein kompromittiertes Konto.

Es gibt keine pauschale Antwort auf die Frage, was KI-Sicherheit in Unternehmen kostet, sondern nur Kostentreiber, von denen vier dominieren: die Größe der KI-Infrastruktur, die Anzahl der nicht-menschlichen Identitäten, die dadurch geschaffen werden, das mit den Anwendungsfällen verbundene regulatorische Risiko und der Umfang, in dem Ihre bestehende Telemetrie die Infrastruktur bereits abdeckt. Ein Unternehmen mit umfassender Identitäts- und Netzwerkabdeckung erwirbt eine Erweiterung. Eines, das über beides nicht verfügt, erwirbt eine Grundlage. Das Budgetmodell sieht entsprechend aus. Nennen Sie die KI-Infrastruktur, nennen Sie die Identitäten, nennen Sie die Verpflichtungen mit den dazugehörigen Fristen und berechnen Sie dann die Lücke zwischen dem, was Sie heute beobachten, und dem, was der auf dieser Seite beschriebene Angriffspfad von Ihnen verlangt. Was die Höhe des Schadens angeht, so kosten KI-gestützte Sicherheitsverletzungen durchschnittlich 6 Millionen US-Dollar – etwa 1 Million US-Dollar mehr als der weltweite Durchschnitt von 4,99 Millionen US-Dollar (Network World, 2026); dieser Aufschlag beschreibt KI-gestützte Sicherheitsverletzungen als Klasse und nicht als einzelne Angriffsart. Verankern Sie die Forderung an den oben genannten Befunden zur Zugriffskontrolle, denn 92 % stellen eine Kontrolllücke dar, auf die ein Vorstand reagieren kann – eine Marktprognose hingegen nicht.

Vectra AI s Sichtweise auf die Sicherheit von KI in Unternehmen

Vectra AI geht von der Annahme aus, dass ein Kompromiss bereits vorliegt. Kompetente Angreifer dringen ein, und KI-Systeme erweitern die Einfallstore – daher leitet sich die Methodik eher daraus ab als aus einer Produktkategorie. Behandeln Sie Modelle, Pipelines und Agenten als Identitäten in einem Netzwerk und nicht als Anwendungen. Beobachten Sie, was diese Identitäten tun, anstatt darauf zu achten, was die Richtlinien vorschreiben. Nutzen Sie dann „ Attack Signal Intelligence “, um dieses Verhalten auf eine kleine Anzahl von Signalen zu reduzieren, auf die ein Analyst sicher reagieren kann. Der praktische Test für ein KI-Sicherheitsprogramm im Unternehmen ist derselbe, der auch für den Rest der Infrastruktur gilt: Wenn ein autorisiertes System anfängt, außerhalb seines Aufgabenbereichs zu agieren, wie lange dauert es, bis jemand davon erfährt?

‍