IT-Security und KI: Warum es auf die Governance ankommt

width="2494" height="1402" sizes="auto, (max-width: 2494px) 100vw, 2494px">Gilt auch für Cybersecurity: Culture eats strategy for breakfast.ImageFlow – shutterstock.com



Dass Cybersecurity noch zu technologisch gedacht wird, zunehmend aber zur Organisationsfrage wird, hört man in Diskussionen eigentlich schon länger. Man kann also davon ausgehen, dass die Erkenntnis auch in den meisten Unternehmen gereift ist. Trotzdem folgte darauf in der Umsetzung oft wenig. Das könnte daran liegen, dass technologische Terminologien leichter, weil konkreter, zu adressieren sind. Das Terrain ist bekannt und komfortabler zu beackern, als Hierarchien, Verantwortlichkeiten und Prozesse infrage zu stellen.



Die Folge: Mit großer Gewissenhaftigkeit reden IT-Abteilungen über Firewalls, Endpoint Protection, SIEM-Systeme oder Backup-Strategien und gehen davon aus, dass sich Sicherheitsrisiken damit ausreichend eindämmen lassen.



Doch paradoxerweise bringt die technologische Innovation in Form von Cloud-Plattformen, hybriden Infrastrukturen und KI-gestützten Workflows neue, vor allem organisatorische Herausforderungen mit sich. Gerade KI beschleunigt diese Entwicklung massiv. Neue Tools und Modelle werden heute oft innerhalb weniger Wochen produktiv eingesetzt – häufig schneller, als Governance-Strukturen, Policies oder Verantwortlichkeiten überhaupt definiert werden können. Gleichzeitig entstehen neue Risiken: Schatten-KI, unkontrollierte Datenflüsse, automatisierte Entscheidungen oder Systeme, deren Ergebnisse sich nicht vollständig nachvollziehen lassen.



„Viele Unternehmen integrieren KI aktuell sehr schnell in produktive Prozesse, ohne gleichzeitig ausreichende Kontrollmechanismen aufzubauen“, beobachtet Daniel Schormann von Reply. „Blindes Vertrauen in KI birgt gerade im IT- und Security-Umfeld ein enormes Gefahrenpotenzial.“



Unternehmen müssen heute also nicht mehr nur klassische Bedrohungen kontrollieren, sondern auch Systeme, die eigenständig Inhalte generieren, Entscheidungen vorbereiten oder operative Prozesse beeinflussen.



Halluzination als Sicherheitsrisiko



Wie weit diese Entwicklung bereits reicht, beschreibt Frank Schwaak von Rubrik ungewöhnlich deutlich: „Eine halluzinierende KI kann im Unternehmen denselben Schaden anrichten wie ein klassischer Cyberangriff. Deshalb wird AI Governance zu einem zentralen Security-Thema.“



Unternehmen experimentieren derzeit mit lokalen LLMs, AI Agents, automatisierter Codegenerierung oder KI-gestützten Security-Prozessen. Die Dynamik ist enorm – und überfordert vielerorts bestehende Governance-Modelle.



„Bei KI stellt sich nicht mehr die Frage, ob sie offensiv eingesetzt wird, sondern wann und in welchem Umfang“, sagt André Feigenbutz von VORNAC. Gleichzeitig beobachte man, dass viele Unternehmen KI produktiv nutzen, bevor Sicherheitsleitplanken überhaupt definiert wurden.



Besonders kritisch sehen Experten dabei die wachsende Abhängigkeit von KI-generierten Ergebnissen. Christian Garske von LH Industry Solutions warnt vor einem schleichenden Kompetenzverlust: „KI nimmt vielen jungen Mitarbeitenden heute Arbeitsschritte ab, ohne dass sie die zugrunde liegende Logik wirklich verstehen. Genau deshalb wird Enablement immer wichtiger.“



Auch Andreas Hedderich von Microfin sieht darin ein strukturelles Risiko: „Je stärker Unternehmen KI einsetzen, desto wichtiger wird die kontinuierliche Evaluierung dieser Systeme. KI kann man nie vollständig vertrauen.“



Gleichzeitig eröffnet KI auch neue Möglichkeiten in der Cyberabwehr. Vor allem im Bereich Detection und Incident Response sehen viele Unternehmen bereits konkrete Mehrwerte. „KI kann Security-Teams vor allem im Response-Bereich enorm unterstützen – etwa dabei, schneller den letzten sauberen Systemstand oder relevante Zusammenhänge zu identifizieren“, sagt Frank Schwaak.



Die eigentliche Herausforderung liegt damit weniger in der Technologie selbst als in ihrer organisatorischen Einbettung. Unternehmen müssen lernen, KI nicht nur produktiv einzusetzen, sondern auch kontrollierbar zu machen – über Policies, Freigabeprozesse, Logging, Identitätsmanagement und klare Verantwortlichkeiten.



Studie “IT- und Cloud Security”: Sie können sich noch beteiligen!Zum Thema IT- und Cloud Security führt die COMPUTERWOCHE derzeit eine Multi-Client-Studie unter IT-Verantwortlichen durch. Haben Sie Fragen zu dieser Studie oder wollen Partner bei dieser Studie werden, helfen wir Ihnen unter research-sales@foundryco.com gerne weiter.



NIS2 und gut ist’s? Schön wär’s!



Der Handlungsbedarf auf organisatorischer Ebene wird auch sichtbar, wenn es um Regulatorik geht: „Viele Unternehmen behandeln NIS2 immer noch als reines IT-Thema“, erklärt Christian Garske von LH Industry Solutions. „Dabei entstehen die eigentlichen Risiken oft dort, wo juristische, organisatorische und technische Verantwortung nicht zusammenfinden.“



In der Cloud sind die Verantwortlichkeiten oft über interne Teams, externe Provider, Dienstleister und Fachabteilungen hinweg verteilt. Shared-Responsibility-Modelle funktionieren jedoch nur dann, wenn Unternehmen ihre eigenen Rollen und Prozesse tatsächlich verstehen – was in der Praxis häufig nicht der Fall ist.



„Viele Unternehmen unterschätzen nach wie vor ihre Verantwortung in der Cloud“, führt Frank Schwaak aus. „Backup und Recovery liegen in den meisten Fällen nicht beim Anbieter, sondern beim Kunden selbst.“



Die Folge ist ein grundlegender Perspektivwechsel: Cybersecurity entwickelt sich zunehmend von einer klassischen Schutzfunktion hin zu einer Frage der organisatorischen Handlungsfähigkeit. Entscheidend ist nicht mehr nur, ob Angriffe verhindert werden können – sondern ob Unternehmen unter permanentem Veränderungsdruck überhaupt noch steuerungsfähig bleiben.



Mit NIS2, DORA, KRITIS und dem AI Act wächst außerdem nicht nur der regulatorische Druck auf Unternehmen, sondern auch die Erwartung, Cybersecurity stärker organisatorisch zu verankern. Denn die Umsetzung der Regulatorik alleine stellt noch keinen belastbare Sicherheitsarchitektur dar.



„Von einem Gesetz zu erwarten, dass es ohne interne Diskussionen funktioniert, ist illusorisch“, betont Christian Garske. Sicherheitsanforderungen müssten immer in den jeweiligen Unternehmenskontext übersetzt werden – organisatorisch, technisch und operativ.



Genau daran scheitern laut Experten viele Organisationen derzeit. Häufig entstehen zwar Policies, Dokumentationen und Verantwortlichkeitsmodelle, im Ernstfall fehlen jedoch klare Entscheidungswege, abgestimmte Prozesse oder belastbare Kommunikationsstrukturen.



Auch Götz Schartner von 8com beobachtet diesen Widerspruch zunehmend: „Zu oft sehen wir Compliance first: Papier ist da, aber Übung, Entscheidungsfähigkeit, Wiederanlauf und belastbare Incident-Fähigkeit fehlen.“



Besonders problematisch wird das dort, wo regulatorische Anforderungen auf hochdynamische Cloud- und KI-Umgebungen treffen. Denn während Technologien sich permanent verändern, bleiben Governance-Strukturen vieler Unternehmen vergleichsweise träge. Genau dadurch entsteht eine gefährliche Lücke zwischen formaler Compliance und tatsächlicher Sicherheitsfähigkeit.



Für Andreas Hedderich ist deshalb klar: „Der Angreifer kann neue Wege und Lücken deutlich schneller ausprobieren. Verteidiger müssen dagegen gleichzeitig Menschen, Prozesse, Standards und Technologien weiterentwickeln.“



Governance neu denken



Wie gelingt also der Brückenschlag von Technologie zu Organisation? Die gute Nachricht: Die organisatorischen Herausforderungen moderner Cybersecurity lassen sich adressieren. Die schlechte: Es gibt dafür keine einzelne Technologie, kein Framework und keine Compliance-Vorgabe, die das Problem automatisch löst.



Unternehmen sollten deshalb zunächst akzeptieren, dass Security heute eine Querschnittsaufgabe ist. Governance, IT, Fachbereiche, Recht, Compliance und Management müssen deutlich enger zusammenarbeiten als bisher. Sicherheitsentscheidungen dürfen weder ausschließlich in der IT noch ausschließlich auf Management-Ebene getroffen werden. Entscheidend ist ein gemeinsames Verständnis darüber, welche Risiken tatsächlich geschäftskritisch sind und wie mit ihnen umgegangen werden soll.



Gleichzeitig wird es wichtiger, Verantwortlichkeiten klar zu definieren. Wer entscheidet über den Einsatz neuer KI-Anwendungen? Wer bewertet Risiken bei Cloud-Diensten? Wer trägt im Ernstfall die operative Verantwortung? Solche Fragen sollten nicht erst während eines Sicherheitsvorfalls beantwortet werden.



Auch beim Thema KI empfiehlt sich ein pragmatischer Ansatz. Unternehmen müssen nicht jede neue Technologie sofort regulieren. Sie sollten jedoch frühzeitig Leitplanken etablieren: klare Richtlinien für die Nutzung von KI, definierte Freigabeprozesse für neue Anwendungsfälle sowie Transparenz darüber, welche Systeme und Daten überhaupt betroffen sind.



Ebenso wichtig ist es, Security nicht ausschließlich über Compliance zu messen. Dokumentationen, Policies und Audits bleiben notwendig, sagen jedoch wenig darüber aus, ob ein Unternehmen im Ernstfall tatsächlich handlungsfähig ist. Regelmäßige Übungen, Incident-Response-Tests und klar definierte Kommunikationswege liefern oft deutlich aussagekräftigere Erkenntnisse über den tatsächlichen Reifegrad.



Für Petra Maria Grohs von Hitachi Vantara liegt genau darin die eigentliche Herausforderung: „Viele Unternehmen wissen regulatorisch inzwischen sehr genau, was sie tun müssen”, erklärt sie. “Die eigentliche Herausforderung ist aber, Security nicht nur als Pflichtübung zu verstehen, sondern als Business Enabler.“



Am Ende wird erfolgreiche Cybersecurity deshalb immer weniger durch einzelne Schutzmaßnahmen definiert. Entscheidend ist vielmehr, ob Organisationen in der Lage sind, technologische Veränderungen, regulatorische Anforderungen und neue Bedrohungen kontinuierlich in funktionierende Prozesse zu übersetzen. Gerade im KI-Zeitalter wird Governance damit vom Verwaltungsinstrument zur strategischen Kernkompetenz.



Teilnehmer des Roundtables “IT- und Cloud Security 2026”


Christian Garske, Lufthansa Industry Solutions:
„Die größte Herausforderung vieler Unternehmen ist nicht fehlende Technologie, sondern die Frage: Welches Framework passt überhaupt zu meiner Organisation – und wie orchestriere ich das sinnvoll?“
Ulrich Schaarschmidt / Lufthansa Industry Solutions GmbH & Co. KG


Andreas Hedderich, Microfin:
„In vielen Unternehmen gibt es zu wenig Schnittmengen zwischen Governance, Security und Engineering. Es existieren Prozesse und Verantwortlichkeiten, aber oft kein gemeinsames Verständnis eines gemeinsamen Ziels.“microfin Unternehmensberatung GmbH


Petra Maria Grohs, Hitachi Vantara:
„Security ist eine Führungsaufgabe. Aber wenn es nicht gelingt, das Business in diese Prozesse einzubinden, bleibt jede Sicherheitsstrategie am Ende wirkungslos.“Hitachi Vantara GmbH


Frank Schwaak, Rubrik: „Die Bedrohungslage verändert sich gerade massiv. Viele Angreifer wollen Unternehmen gar nicht mehr komplett lahmlegen, sondern sie exfiltrieren die Daten und lassen den Betrieb kontrolliert weiterlaufen, was dazu führt, dass Zero-Day-Angriffe ggf. noch später erkannt werden.“Nicolas Armer / Rubrik Germany GmbH


Daniel Schormann, Spike Reply:
„Wir sehen technologisch eine enorme Dynamik, gleichzeitig aber weiterhin große kulturelle Widerstände in vielen Organisationen. Selbst massive Sicherheitsvorfälle führen oft nicht zu nachhaltigen Veränderungen.“Spike Reply


André Feigenbutz, Vornac:
„Auch im Blue Teaming wird KI künftig eine immer größere Rolle spielen. Viele Unternehmen experimentieren bereits seit über einem Jahr sehr intensiv mit entsprechenden Technologien.“
VORNAC GmbH