KI-Cyberangriffe verkürzen die Reaktionszeit auf Minuten
Fortgeschrittene künstliche Intelligenz verändert nicht nur die Arbeit von Programmierern, Sicherheitsanalysten und Unternehmen. Sie verändert auch die Arbeitsweise der Angreifer. Die EU-Agentur für Cybersicherheit ENISA warnt in einem neuen Bericht, dass besonders leistungsfähige KI-Modelle den gesamten Lebenszyklus einer Sicherheitslücke verkürzen. Das betrifft den Zeitraum von ihrer Entdeckung bis zur tatsächlichen Ausnutzung. Das berichten unsere Kollegen von Finance.si.
Was früher Monate dauerte, kann künftig innerhalb weniger Stunden oder sogar Minuten geschehen. Der Bericht richtet sich vor allem an die zuständigen nationalen Behörden der EU-Mitgliedstaaten, politische Entscheidungsträger auf europäischer Ebene, Fachkräfte für Cybersicherheit und Anbieter digitaler Dienste. ENISA beschreibt die Entwicklung nicht als vorübergehenden Trend, sondern als strukturelle Beschleunigung von Angriff und Verteidigung.
Von Monaten zu Minuten
In der Vergangenheit blieb den Verteidigern häufig ausreichend Zeit, um eine Schwachstelle zu analysieren, einen Sicherheitspatch vorzubereiten und ihn kontrolliert einzuspielen. Inzwischen können Angreifer eine öffentlich bekannte Sicherheitslücke nahezu unmittelbar nach ihrer Bekanntgabe ausnutzen.
Nach Angaben des Berichts können neue Schwachstellen bereits innerhalb von 15 Minuten nach ihrer Veröffentlichung für Angriffe präpariert werden. Gleichzeitig ist die mittlere Zeit zwischen dem ersten Eindringen in ein System und dem Abfluss von Daten auf 72 Minuten gesunken.
Für die Sicherheitszentren der Unternehmen hat das weitreichende Folgen. Security Operations Center können nicht mehr nach einem Modell arbeiten, das mehrere Stunden oder sogar Tage für Analyse und Reaktion vorsieht. Sie müssen Angriffe innerhalb weniger Minuten erkennen, bewerten und eindämmen.
Nicht mehr die Systeme, sondern die Menschen sind der Engpass
ENISA betont, dass das Problem längst nicht mehr allein technischer Natur ist. Zunehmend geraten die Entscheidungsprozesse innerhalb der Unternehmen zum entscheidenden Engpass.
In vielen Organisationen müssen Ausschüsse, Systemadministratoren, verantwortliche Fachabteilungen und Führungskräfte einen Sicherheitspatch freigeben. Diese Arbeitsteilung war sinnvoll, solange sich Cyberangriffe langsamer entwickelten. Bei Angriffen, die sich mit Maschinengeschwindigkeit entfalten, kann sie jedoch zu viel Zeit kosten.
ENISA bezeichnet dieses Problem als "Authority Gap", also als Entscheidungslücke. Die größte Verzögerung entsteht demnach nicht mehr durch fehlende technische Möglichkeiten. Vielmehr sind Unternehmen organisatorisch nicht in der Lage, Gegenmaßnahmen schnell genug zu genehmigen.
Menschlich besetzte Freigabegremien können kaum innerhalb weniger Minuten über tiefgreifende Eingriffe in IT-Systeme entscheiden. Genau diese Zeitspanne könnte jedoch notwendig sein, um automatisierte KI-Cyberangriffe abzuwehren. Unternehmen sind damit möglicherweise technisch vorbereitet, aber organisatorisch zu langsam.
Automatische Sicherheitsupdates sind notwendig, aber riskant
Die logische Konsequenz besteht in einer stärkeren Automatisierung. Nach Einschätzung von ENISA könnten Betreiber kritischer Dienste künftig gezwungen sein, Sicherheitsupdates autonom installieren zu lassen. Manuelle Freigaben könnten angesichts der Geschwindigkeit der Angriffe nicht mehr ausreichen. Damit entsteht jedoch ein neues Risiko. Ein automatisch eingespielter Patch kann einen Systemausfall verursachen, eine Anwendung beeinträchtigen oder eine neue Sicherheitslücke in den Programmcode einführen.
Die entscheidende Frage lautet daher, wie Unternehmen innerhalb kürzester Zeit überprüfen können, welche Aktualisierungen tatsächlich dringend, technisch sicher und aus betrieblicher Sicht vertretbar sind. Dabei müssen sie zwei Gefahren gegeneinander abwägen. Auf der einen Seite steht das Risiko, dass ein automatisches Update ein wichtiges System beschädigt oder einen unerwünschten Ausfall verursacht. Auf der anderen Seite droht ein KI-gestützter Angriff, wenn die Organisation zu lange mit der Installation wartet.
Gerade kleinere Unternehmen dürften bei dieser Abwägung vor besonderen Problemen stehen. Ihnen fehlen häufig die finanziellen Mittel, das Fachwissen und die personellen Kapazitäten, um belastbare automatisierte Patch-Prozesse aufzubauen. Größere Organisationen können solche Verfahren voraussichtlich schneller einführen.
KI-Cyberangriffe machen technische Altlasten teurer
Besonders gefährdet sind ältere IT-Systeme, schlecht gepflegte Software und Unternehmen mit großen technischen Altlasten. Künstliche Intelligenz kann die Analyse von Programmcode, das Reverse Engineering und die Suche nach Schwachstellen in alten oder nicht mehr unterstützten Anwendungen erheblich beschleunigen.
Das bedeutet nicht, dass sich solche Systeme automatisch nicht mehr verteidigen lassen. Ihr Schutz erfordert jedoch mehr Aufwand. Unternehmen müssen Netzwerke stärker segmentieren, Systeme intensiver überwachen, Konfigurationen härten und ihre IT-Infrastruktur schrittweise modernisieren. Hinzu kommt ein bereits bestehender Rückstau an nicht behobenen Schwachstellen. Je mehr bekannte Sicherheitsprobleme sich in einer IT-Landschaft angesammelt haben, desto größer wird die Angriffsfläche für leistungsfähige KI-Systeme.
Bei kleinen und mittleren Unternehmen könnte diese Entwicklung Entscheidungen beschleunigen, alte Anwendungen aufzugeben oder weitere Systeme in die Cloud zu verlagern. Dabei müssen sie prüfen, ob die betrieblichen Einschränkungen, die Wartungskosten und das Sicherheitsrisiko den weiteren Betrieb einer veralteten Lösung noch rechtfertigen.
Auch die große Zahl neu entdeckter Schwachstellen stellt Unternehmen vor Probleme. KI-Systeme können immer mehr potenzielle Sicherheitslücken melden. Selbst wenn der Anteil falscher Warnungen sinkt, müssen Fachkräfte eine wachsende Menge tatsächlicher Funde überprüfen.
Die Entdeckung einer Schwachstelle ist damit nicht mehr zwangsläufig die schwierigste Aufgabe. Zum Engpass werden vielmehr die Priorisierung, die Prüfung und die sichere Behebung. Sicherheitsteams müssen entscheiden, welche Warnungen unmittelbar relevant sind und welche zunächst zurückgestellt werden können. ENISA verweist außerdem auf das Risiko, dass vermeintlich harmlose Schwachstellen künftig nicht mehr isoliert betrachtet werden dürfen. Fortschrittliche KI-Modelle können mehrere kleine Fehler miteinander verknüpfen und daraus einen funktionsfähigen Angriffsweg entwickeln.
So sollten Unternehmen reagieren
ENISA empfiehlt Unternehmen, grundsätzlich davon auszugehen, dass ihre IT-Umgebung bereits kompromittiert sein könnte. Sie sollten sich nicht allein auf den Schutz der äußeren Netzwerkgrenzen verlassen. Notwendig sind ein breiterer Schutz der Endgeräte, eine intensivere Echtzeitüberwachung, eine bessere Netzwerksegmentierung, verhaltensbasierte Analysen und schnellere Prozesse für die Reaktion auf Sicherheitsvorfälle.
Sicherheitsteams sollten KI-gestützte Systeme nutzen, um Warnmeldungen zu sortieren, Telemetriedaten fortlaufend zu überprüfen und mögliche Schäden automatisiert einzugrenzen. Bei besonders weitreichenden Entscheidungen muss jedoch weiterhin ein Mensch eingebunden bleiben. Das Ziel sind Sicherheitsabläufe, die beinahe in Echtzeit funktionieren. ENISA hält Erkennungs- und Reaktionszeiten im einstelligen Minutenbereich für notwendig. Unternehmen dürfen nicht länger Stunden oder Tage benötigen, um einen laufenden Angriff zu erkennen und Gegenmaßnahmen einzuleiten.
Die Automatisierung sollte dabei nicht bedeuten, dass Systeme ohne Kontrolle handeln. Entscheidend ist ein Modell, das maschinelle Geschwindigkeit mit menschlicher Aufsicht verbindet. Prozesse müssen nachvollziehbar und überprüfbar bleiben. Gleichzeitig darf die menschliche Freigabe nicht zum unüberwindbaren Zeitverlust werden.
Unternehmen müssen deshalb bereits vor einem Angriff festlegen, welche Maßnahmen ein Sicherheitssystem eigenständig ausführen darf. Dazu können das Sperren verdächtiger Konten, die Isolation einzelner Endgeräte oder die Blockierung bestimmter Netzwerkverbindungen gehören. Für schwerwiegendere Eingriffe benötigen sie klare Eskalationswege. Je genauer Verantwortlichkeiten und Handlungsspielräume im Voraus definiert sind, desto weniger Zeit geht während eines tatsächlichen Vorfalls verloren.
Cybersicherheit wird zur zentralen Unternehmensfunktion
Die wichtigste Botschaft des ENISA-Berichts lautet: Künstliche Intelligenz ersetzt die Grundlagen der Cybersicherheit nicht. Sie macht diese Grundlagen vielmehr noch bedeutender. Ein vollständiges Verzeichnis aller IT-Systeme, regelmäßige Sicherheitsupdates, die Überwachung von Protokolldaten, eine strenge Zugriffskontrolle, die Segmentierung von Netzwerken und vorbereitete Prozesse für Sicherheitsvorfälle sind keine rein technischen Routineaufgaben mehr. Sie werden zu geschäftskritischen Voraussetzungen.
Unternehmen, die Sicherheit weiterhin als gelegentliche Prüfung oder als isoliertes Projekt der IT-Abteilung betrachten, werden in einer Welt KI-beschleunigter Angriffe zu langsam reagieren. Erfolgreich werden nicht zwangsläufig die Organisationen mit den umfangreichsten Richtlinien und der meisten Dokumentation sein. Entscheidend wird sein, wer schneller entscheiden, Informationen überprüfen und wirksame Maßnahmen ergreifen kann.
Deutschland-Bezug: NIS2 und Cyber Resilience Act erhöhen den Druck
Die beschriebenen Risiken betreffen deutsche Unternehmen unmittelbar, da die europäische Agentur ihre Empfehlungen ausdrücklich mit den Anforderungen aus der NIS2-Richtlinie, dem Cyber Resilience Act und dem EU AI Act verknüpft. Für Unternehmen in Deutschland bedeutet dies, dass schnelle und belastbare Entscheidungsprozesse nicht nur aus technischer Sicht wichtiger werden. Sie gewinnen auch für die Erfüllung europäischer Sicherheits- und Meldepflichten an Bedeutung.
Besonders Betreiber kritischer Anlagen und weitere von NIS2 erfasste Organisationen müssen klare Eskalationswege, widerstandsfähige Prozesse für Sicherheitsvorfälle und eine laufende Kontrolle ihrer IT-Systeme aufbauen. Zugleich müssen Softwarehersteller ihre Produktlebenszyklen an die Anforderungen des Cyber Resilience Act anpassen.
Der Bericht zeigt damit ein grundlegendes Problem für die deutsche Wirtschaft: Selbst moderne Sicherheitstechnik kann wenig bewirken, wenn Zuständigkeiten unklar bleiben und Freigaben zu lange dauern. Deutsche Unternehmen müssen daher nicht nur in neue Werkzeuge investieren. Sie müssen auch Entscheidungswege verkürzen, Verantwortlichkeiten vorab festlegen und automatisierte Gegenmaßnahmen unter kontrollierten Bedingungen vorbereiten. ENISA empfiehlt den EU-Mitgliedstaaten und ihren Behörden ausdrücklich, solche Strukturen für KI-beschleunigte Sicherheitsvorfälle weiterzuentwickeln.
