BSI und TÜV: Nur 11 Prozent mit KI-Notfallprozessen

Jedes sechste Unternehmen in Deutschland hat in den vergangenen zwölf Monaten einen Cyberangriff oder Betrugsversuch registriert, bei dem künstliche Intelligenz eine Rolle gespielt hat oder gespielt haben könnte. Das zeigt die KI-Sicherheitsstudie 2026 „Künstliche Intelligenz und Cybersicherheit in Unternehmen“, die der TÜV-Verband und das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 7. Oktober in der Bundespressekonferenz vorgestellt haben. Befragt wurden mehr als 500 Unternehmen ab 20 Beschäftigten. 4 Prozent berichten von bestätigten Vorfällen, 11 Prozent von Verdachtsfällen und 2 Prozent von beidem.

Phishing an erster Stelle

Unter den betroffenen Unternehmen nennen 90 Prozent täuschend echte Phishing-Mails, die mithilfe von KI gezielt auf Personen oder Unternehmen zugeschnitten werden. 40 Prozent berichten von automatisierten Angriffsskripten, die eigenständig nach Schwachstellen suchen und sich dabei anpassen. 11 Prozent nennen Deepfakes, etwa nachgeahmte Stimmen von Führungskräften, mit denen Beschäftigte zu Überweisungen bewegt werden sollen.

Kaum KI-spezifische Abläufe

Nur 11 Prozent der Unternehmen, die KI nutzen oder den Einsatz planen, haben eigene Abläufe für KI-bezogene Sicherheitsvorfälle. 43 Prozent greifen auf allgemeine IT-Sicherheitsprozesse zurück, ohne sie um KI-spezifische Regeln ergänzt zu haben. 20 Prozent erarbeiten entsprechende Abläufe, 25 Prozent haben keine Regelungen. KI zur Verbesserung der eigenen IT-Sicherheit setzen 31 Prozent der KI-nutzenden Unternehmen ein.

Absicherung des eigenen KI-Einsatzes

49 Prozent der Unternehmen nutzen KI, weitere 9 Prozent planen dies innerhalb von zwölf Monaten. Von den 42 Prozent, die KI weder nutzen noch planen, nennen 58 Prozent fehlenden Nutzen und 53 Prozent Datenschutz- oder Sicherheitsbedenken als Grund.

Zur Absicherung des eigenen KI-Einsatzes bieten 56 Prozent Schulungen an. Jeweils 45 Prozent bewerten und klassifizieren KI-Anwendungen nach ihrem Risiko beziehungsweise haben formale Freigabeprozesse eingeführt. 42 Prozent prüfen KI-Anbieter, 29 Prozent haben keine dieser Maßnahmen umgesetzt. Bei den technischen Maßnahmen setzen 67 Prozent auf menschliche Prüfung kritischer KI-Ergebnisse, 64 Prozent haben Zugriffsrechte beschränkt und 62 Prozent schützen sensible Daten etwa durch Anonymisierung. 52 Prozent testen KI-Anwendungen vor dem Einsatz, 40 Prozent protokollieren oder überwachen die Nutzung. 8 Prozent haben keine dieser technischen Maßnahmen getroffen.

„Eine KI muss jedoch nicht gehackt werden, um Schaden anzurichten. Sie kann sensible Daten preisgeben oder auf Grundlage falscher Informationen Entscheidungen treffen.“

Dirk Stenkamp, Präsident des TÜV-Verbands

Erwartungen an unabhängige Prüfungen

69 Prozent der Unternehmen, die KI nutzen oder planen, erwarten von unabhängigen Prüfungen und Zertifizierungen mehr Sicherheit und Zuverlässigkeit. Für 51 Prozent ist eine solche Zertifizierung bereits ein wichtiges Auswahlkriterium.

(red)