Im KI-Zeitalter genügt zertifizierte Sicherheit alleine nicht mehr

Wann hat Ihr Verwaltungsrat, Stiftungsrat oder Ihre Geschäftsleitung das letzte Mal über Cybersecurity diskutiert und vor allem darüber gesprochen, dass Künstliche Intelligenz weniger den möglichen Schaden eines Cyberangriffs erhöht als dessen Eintrittswahrscheinlichkeit? Wer im Verwaltungsrat oder in der Geschäftsleitung Verantwortung trägt, kennt die unbequeme Situation dahinter. Man haftet für Risiken, die man oft nicht im Detail beurteilen kann.

Der Hebel von KI liegt weniger im Schaden pro Vorfall als in der Eintrittswahrscheinlichkeit.

Im Kern geht es um Beurteilungskompetenz. Es geht nicht darum, jede technische Einzelheit selbst zu beherrschen. Es geht darum, beurteilen zu können, ob die Antworten tragen, die man bekommt. Das ist keine Kür, denn Sorgfaltspflicht und die in der Schweiz richterrechtlich anerkannte Business Judgment Rule erwarten Entscheidungen auf Basis angemessener Information. Ob eine Information angemessen ist, lässt sich aber nur mit genau dieser Beurteilungskompetenz feststellen.

Bei der Cybersicherheit scheint dies aus meiner Sicht lange vertretbar gewesen zu sein. Die Risikobewertung lebte von der Annahme, dass bekannte und unbekannte Lücken zwar existieren, sowie von der Hoffnung, dass ihre Ausnutzung aufwendig, teuer und an seltenes Spezialwissen gebunden ist. Damit blieb die Eintrittswahrscheinlichkeit in der Riskmap niedrig genug, um sie zu verdrängen. Genau diese Annahme verschiebt sich nun dramatisch, und der Treiber ist die breite Verfügbarkeit von KI. Die Sorge um die offensiven Fähigkeiten der jüngsten Generation von KI-Modellen ist vor diesem Hintergrund nicht unbegründet.

Korrigiert wurde diese Haltung lange nicht, nicht einmal nach den Enthüllungen von Edward Snowden im Jahr 2013. Ich habe zu dieser Zeit einige Präsentationen und Vorträge zu diesem Thema gehalten, in denen ich zeigen konnte, dass nicht gezielt einige Verdächtige überwacht wurden. Gesammelt wurde im grossen Stil, was sich sammeln liess, bis hin zum direkten Zugriff auf Daten grosser Internetkonzerne und zum Mitschnitt des Datenverkehrs zwischen deren Rechenzentren. Die Wirkung meiner Worte blieb bis heute überschaubar.

Genau hier liegt meiner Meinung nach der Denkfehler, der bis heute in den verschiedenen Diskussionen nachwirkt. Jedes System kann ein Ziel sein, und zwar in unterschiedlichen Rollen. Ein einzelner Computer oder eine KMU-Umgebung muss nicht das eigentliche Objekt der Begierde sein. Er kann als eines von tausenden gekaperten Systemen dienen, um einen Angriff auf ein anderes Ziel zu lancieren. In diesem Zusammenhang wiederhole ich meine Haltung: Es ist nicht die Frage, ob man angegriffen wird. Es ist die Frage, wann, denn meist haben Angriffe direkte oder indirekte ökonomische Interessen.

Die Variable, die sich verschiebt

Der Grund liegt nicht in einem einzelnen neuen Angriff. Er liegt in einer veränderten Bedrohungslage. Das gewohnte Modell passt nicht mehr, denn wer erst reagiert, wenn ein Vorfall zweifelsfrei feststeht, reagiert zu spät, weil der Angreifer bis dahin bereits Position bezogen und Persistenz aufgebaut hat. Sicherheit ist damit weniger ein Zustand, den man einmal erreicht und bescheinigen lässt, als ein laufender Umgang mit Wahrscheinlichkeiten, die steigen und fallen.

Wenn die Konstruktion funktionierender Exploits aus bekannten Fehlern skalierbar wird, steigt nicht primär der Schaden pro Vorfall. Es steigt vor allem die Wahrscheinlichkeit, dass ein Vorfall überhaupt eintritt. Das ist genau der Aspekt, den Geschäftsleitungen und Verwaltungsräte neu bewerten müssen. Der Befund deckt sich mit dem, was der Global Cybersecurity Outlook 2026 des World Economic Forum als eine der grössten Sorgen im Zusammenhang mit generativer KI nennt: die Weiterentwicklung gegnerischer Fähigkeiten, von Phishing über die Entwicklung von Schadsoftware bis zu Deepfakes. Auch in der Fachliteratur wird beschrieben, dass Angreifer mit generativer KI raffinierter vorgehen. Vor allem aber gehen sie skalierbar und anpassungsfähig vor.

Diese Verschiebung trifft die Risikobewertung an ihrer empfindlichsten Stelle. Eine Unternehmung steuert Risiken über das Produkt aus Eintrittswahrscheinlichkeit und Schadenshöhe. Viele Programme sind auf die Begrenzung der Schadenshöhe ausgelegt, auf Notfallpläne, Versicherungen, Wiederherstellung. Bewegt sich nun die Wahrscheinlichkeit nach oben, verschiebt sich die gesamte Matrix, und ein Teil der bisherigen Priorisierung steht zur Disposition.

Natürlich darf man auch die Gegenseite nicht vernachlässigen, sonst wird das Bild schief. KI ist zweischneidig, denn dieselbe Technologie, die Angriffe verbilligt, stärkt auch die Verteidigung, etwa bei der Erkennung von Anomalien und bei der schnelleren Aufarbeitung von Vorfällen. Bloss eine effektive Verteidigung erfordert auch Architekturen und Prozesse, die sie nicht blockieren oder in die falsche Richtung führen. Die Schlussfolgerung ist deshalb kein Alarmismus. Es ist die nüchterne Neubewertung der Variable, die sich nun verändert: die Eintrittswahrscheinlichkeit.

Komplexität und Konzentration

Ein weiterer Teil des Cybersecurity-Risikos ist hersteller- oder hausgemacht. Viele Architekturen sind über die Jahre schleichend gewachsen, Schicht um Schicht, und das eigentliche Risiko liegt heute oft in ihrer Komplexität. Dies betrifft IT-Umgebungen. Es betrifft ebenso Softwarepakete, Datenbankmodelle und Ähnliches, die sich aufgrund dieser Entwicklung nur schwer absichern lassen. Schlimmer noch: Wer nicht mehr überblickt, was er betreibt, kann es auch nicht absichern. Die naheliegende Antwort ist Fokussierung und im besten Fall Vereinfachung, und sie ist meist richtig: weniger aktivierte Funktionen, weniger erreichbare Fläche, weniger Nahtstellen.

Warum ein Audit-Zertifikat alleine nicht genügt

Aus den veränderten Variablen folgt eine klare Konsequenz. Es genügt nicht mehr, Sicherheit allein zu zertifizieren und zu dokumentieren. Ein Audit beschreibt einen Zustand zum Zeitpunkt des Audits. Es belegt, dass eine Kontrolle existiert und dokumentiert ist. Es belegt nicht, dass diese Kontrolle einem denkenden, anpassungsfähigen Gegner standhält. Die Unterscheidung zwischen dem Nachweis der Existenz und dem Nachweis der Wirksamkeit ist nicht neu, aber unter den neuen Vorzeichen wird sie entscheidend. Ein Testat, das gestern galt, sagt wenig über eine Angriffsfläche, die sich laufend verändert. Gerade in schnell veränderlichen Umgebungen, und das ist mit KI-Systemen und KI-Agenten sicherlich der Fall, kann sich die Angriffsfläche über Nacht verändern.

Der Unterschied ist sehr praktisch, nicht akademisch. Die Wirksamkeit ist nur dann bewiesen, wenn dieselbe Kontrolle gegen einen realen Angreifer getestet wird, etwa in kontrollierten Angriffssimulationen. Ein Gremium, das im Rahmen seiner Governance nur die Existenz des Zertifikats oder eines Audits prüft, erfährt zwar, dass etwas existiert, nicht aber, ob es im Ernstfall einem Angriff standhalten würde. Die wirksamere Frage lautet deshalb nicht nur, ob ein Testat, Audit oder Zertifikat vorliegt. Sie lautet auch, ob die Kontrollen unter realistischen Bedingungen geprüft wurden und was diese Prüfung ergeben hat.

Ein Zertifikat belegt Konformität, nicht die Wirksamkeit gegen einen realen, adaptiven Angreifer.

Back to the roots: Beherrschbare Architektur

Was im Zeitalter von KI zählt, ist eine resiliente und vor allem beherrschbare Architektur, ergänzt durch tatsächlich vorhandenes Fachwissen im Verwaltungsrat und in der Geschäftsleitung. Beherrschbar heisst, dass die Organisation versteht, was sie betreibt, und im Ernstfall steuern kann, was sie verantwortet. Das bedeutet, dass man sein Inventar genauso im Griff haben muss wie die Architektur. Angesprochen nach einer Ransomware-Attacke, die über mehrere Monate Teile der Systeme lahmlegte, sagte mir eine Verwaltungsrätin, dass niemand wusste, dass die Unternehmung 8’000 Systeme weltweit betreibt. Ohne dieses Wissen bewertet ein Gremium eine Architektur, die es nicht beurteilen kann, und steuert im Ernstfall etwas, das es nicht versteht.

Das verlangt keine technische IT-Fachkompetenz. Niemand erwartet von einem Verwaltungsrat oder einer Geschäftsleitung, eine Firewall zu konfigurieren oder Code zu schreiben. Es verlangt Beurteilungskompetenz, also genug Tiefe, um zu erkennen, ob eine Antwort trägt oder nur beruhigt. Wo diese Tiefe fehlt, entscheidet das Gremium über Stellvertreter und Berater, über Zertifikate, über Zusagen von Anbietern, über den Konsens im Raum. Und die Stille im Raum, die aus fehlendem Wissen entsteht, wird oft als Konsens fehlinterpretiert. Stellvertreter sind bequem, aber sie unterscheiden echten Schutz nicht von dokumentiertem.

Die Forschung zur Urteilsbildung unter Intransparenz beschreibt dieses Muster. Wenn wir die Grundlage einer Aussage nicht durchdringen können, bleibt uns letztlich nur die Wahl zwischen Vertrauen und Ablehnung. Die eigentliche Beurteilung fällt aus; genau das geschieht in einem Gremium, das über eine Sicherheitsarchitektur befindet, ohne sie lesen zu können. Es delegiert sein Urteil an die Quelle, die es eigentlich prüfen sollte.

Auf Führungsebene heisst Beurteilungskompetenz nicht, alles selbst zu können. Es heisst, beurteilen zu können, ob die Antworten tragen. Ein Gremium sollte benennen können, wer in der Organisation die Sicherheitsarchitektur erklären kann, und es sollte den Unterschied erkennen zwischen einer Architektur, die im Ernstfall beherrschbar bleibt, und einer, die nur im Normalbetrieb funktioniert. Wo niemand diese Erklärung liefern kann, fehlt kein Dokument. Es fehlt eine Schlüsselkompetenz auf Führungsebene.

Die Verantwortung bleibt im Verwaltungsrat

Die Frage einer effektiven Cybersecurity endet nicht bei der Technik. Sie endet bei der Verantwortung. Art. 754 OR knüpft die Haftung der mit Geschäftsführung und Verwaltung betrauten Personen an die Sorgfalt, die ihre Aufgabe verlangt. Diese Sorgfalt lässt sich organisatorisch verteilen, aber nicht abgeben. Die Bewertung eines Risikos lässt sich an ein Zertifikat oder an einen Anbieter delegieren, das Urteil darüber, ob der Schutz echt ist, jedoch nicht. Ein Zertifikat entlastet das Gremium nicht von dieser Aufgabe. Es ist eine Eingabe in die Beurteilung, nicht ihr Ersatz.