KI braucht Leitplanken – aber wer setzt sie und wo?

KI verändert Endpoint-Security von zwei Seiten gleichzeitig: Sie macht Angriffe schneller und präziser und sie sitzt längst selbst im Unternehmen: als Agent, der nicht mehr nur antwortet, sondern handelt. Andreas Fuchs, Director Product Management bei DriveLock, spricht mit it management über Leitplanken und bewährte Sicherheitsprinzipien, die neu gedacht werden müssen.

KI gilt gleichzeitig als größte Bedrohung und als wichtigstes Werkzeug der IT-Security. Wie geht man mit diesem Widerspruch um?

Andreas Fuchs: Ich nutze gern ein Bild aus dem Garten: Bambus – eine fantastische Pflanze, schnellwachsend, robust und vielseitig. Aber wenn Sie ihn ohne Rhizomsperre pflanzen, breitet er sich unterirdisch aus, wohin er will. Irgendwann steht er im Nachbargarten oder wächst ins Fundament. Die Lösung ist nicht, keinen Bambus zu pflanzen. Die Lösung ist eine Sperre, die sein Wachstum lenkt.

KI ist vergleichbar mit diesem Bambus. Verantwortungsvoll eingesetzt, ist sie nützlich und nimmt uns eine Menge Arbeit ab. Aber etwas so Mächtiges darf nicht einfach ohne Grenzen wachsen, weil es dann unkontrollierbar wird. Die Frage ist deshalb nicht, ob KI Leitplanken braucht, sondern: wo setzen wir sie und wer setzt sie?

Security Manager werden von allen Seiten mit den Schlagworten „KI und Security“ überflutet. Welche Risiken müssen sie dabei zwingend bedenken?

Andreas Fuchs: Vor allem zwei und sie sind grundverschieden. Das eine ist das Risiko von außen: KI macht Cyberangriffe schneller, präziser und automatisierter. Das andere ist neuer und für viele unsichtbarer: das Risiko, das durch KI im eigenen Unternehmen entsteht, weil sie längst nicht mehr nur der Chatbot im Browser ist, sondern als eigenständig handelnder Agent direkt auf den Geräten und in den Workflows der Mitarbeitenden sitzt.

Beide Risiken verlangen unterschiedliche Antworten. Wer sie in einen Topf wirft, handelt gegen keines davon wirksam.

Fangen wir mit dem Außenrisiko an: Was bedeutet die Beschleunigung durch KI konkret für Unternehmen, die heute noch reaktiv arbeiten?

Andreas Fuchs: KI findet Schwachstellen schneller als jeder menschliche Pentester, generiert maßgeschneiderte Phishing-Mails in jeder Sprache und treibt Malware-Entwicklung in immer kürzeren Zyklen voran. Das Zeitfenster zwischen einer bekannten Schwachstelle und dem verfügbaren Patch besteht weiterhin, doch Angreifer können diese Lücke heute schneller als je zuvor ausnutzen.

Das verändert auch Prozesse, die seit Jahren etabliert sind wie Bug Bounty oder Responsible Disclosure. Wenn KI Sicherheitslücken in einer Geschwindigkeit aufdeckt,die jahrelang geübte Abläufe überfordert, ist das ein erheblicher Vorteil für Cyberkriminelle. Besonders riskant ist das für KRITIS-Betreiber und die Fertigungsindustrie, die häufig noch auf Legacy-Architekturen laufen, die sich nicht im Wochentakt patchen lassen. Wer dort reaktiv arbeitet, hat das Rennen schon verloren.

Und auf der Innenseite: Was macht KI im eigenen Unternehmen so schwer greifbar?

Andreas Fuchs: Die Innenseite folgt einer anderen Logik. Von Zero Trust kennen wir den Grundsatz, niemandem im eigenen Netz blind zu vertrauen. KI zwingt uns, diese Haltung neu zu schärfen, weil wir sie nicht als potenziellen Angreifer wahrnehmen, sondern als Werkzeug. Wir gewähren KI-Agenten – also Programmen, die eigenständig Aufgaben planen und ausführen – freiwillig Zutritt zu unseren Systemen. Dabei übersehen wir, dass sie mit den Rechten des angemeldeten Nutzers agieren. Damit entsteht eine neue Sicherheitsfrage: Nicht nur wer darf etwas tun, sondern was darf eine KI im Namen des Nutzers tun?

Was muss die IT-Sicherheit jetzt im Blick haben?

Andreas Fuchs: Es hilft, eine gedankliche Landkarte zu zeichnen. Ich sehe vier Ebenen: Mensch und Organisation, also Schulungen und klare Richtlinien. Identität und Zugriff: Welche Rechte bekommt eine KI – und wer entzieht sie ihr wieder? Netzwerk und Cloud: Was verlässt das Unternehmen, wenn Agenten mit externen Diensten kommunizieren? Und der Endpoint, auf dem es darum geht, was eine KI dort starten, lesen, schreiben und löschen darf. Entscheider sollten prüfen, welche Ebene bei ihnen am schwächsten ist. Der Endpoint ist dabei aktuell besonders kritisch. Denn dort vollzieht sich gerade etwas, das die meisten noch nicht auf dem Radar haben.

Man kann nicht kontrollieren, was man nicht sieht – das gilt für USB-Sticks, für Applikationen, und es gilt jetzt für KI-Agenten.

Andreas Fuchs, DriveLock SE

Was passiert denn Kritisches auf dem Endpoint?

Andreas Fuchs: Ein Kategorienwechsel. KI auf dem Endpoint ist nicht neu. Sie steckt längst in Virenscannern oder EDR-Lösungen, aber mit klar begrenzten Aufgaben. Für Security ist das vergleichsweise beherrschbar, weil Funktion, Kontext und Zugriff relativ klar begrenzt sind. Auch Large Language Models im Browser sind reaktiv, häufig cloudbasiert, handeln nicht selbst und bergen zwar Datenschutzrisiken, aber nicht automatisch ein klassisches Endpoint-Problem.

Mit agentischer KI ändert sich das grundlegend. Entscheidend ist nicht, ob das Modell lokal läuft. Entscheidend ist, dass KI über lokale Komponenten, Schnittstellen oder Nutzer-Tokens näher an Dateien, Anwendungen und Arbeitsabläufe rückt und dort Prozesse anstoßen, Dateien lesen oder verändern und andere Aktionen ausführen kann. Der Endpoint ist nicht mehr nur das Gerät, auf dem Software ausgeführt wird. Er wird zu einem Ort, an dem KI Entscheidungen vorbereitet und selbstständig umsetzt.

Das passiert nicht nur durch Schatten-KI. Es passiert auch ganz offiziell über Microsoft Copilot in Office, Teams und Outlook, über Claude Desktop, über Agenten mit automatisierten Workflows. Und in vielen Unternehmen hat noch niemand definiert, was diese KI tun darf und was nicht.

Was kann konkret schiefgehen, wenn niemand diese Grenzen zieht?

Andreas Fuchs: Es gibt einen prominenten Fall, in dem ein KI-Agent eine komplette Produktivdatenbank gelöscht hat, weil er es für den nächsten sinnvollen Schritt hielt. Im Grunde können alle klassischen Schutzziele kippen: Vertraulichkeit, Integrität, Verfügbarkeit. Nur eben nicht durch einen Angreifer, sondern durch einen wohlmeinenden Agenten, der auf Abwege gerät.

Klassische Endpoint-Security denkt in Anwendungen, die tun, was sie sollen. Insofern lassen sich Prinzipien wie Application Control, Application Behavior Control, Device Control anwenden. Der Charakter der Software ist aber nun ein anderer. Ein KI-Agent bekommt ein Ziel und sucht sich den Weg selbst. Er fragt nicht nach, seine Entscheidungswege sind intransparent. Damit reicht es nicht mehr, zu definieren, welche Anwendung laufen darf. Wir müssen definieren, welches Verhalten erlaubt ist – und welche Rechte ein Agent im Moment des Handelns tatsächlich braucht.

Wie sieht der Weg dahin aus? Wo fangen Unternehmen am besten an?

Andreas Fuchs: Die Logik ist nicht neu: sehen, steuern, schützen. Man kann nicht kontrollieren, was man nicht sieht – das galt für USB-Sticks, für Applikationen, und es gilt jetzt für KI-Agenten. Sichtbarkeit zuerst: Ich muss wissen, welche KI-Tools auf meinen Endpoints laufen, was sie tun, mit wem sie kommunizieren. Der zweite Schritt ist Kontrolle: Was darf ein Agent starten, lesen, schreiben und wer kann ihm die Rechte wieder entziehen? Daraus wird Prävention: vorab definieren, was erlaubt ist, statt zu reagieren, wenn etwas schiefgegangen ist.

Die methodische Grundlage dafür existiert bereits. Die eigentliche Aufgabe ist, diese Prinzipien auf neue Artefakte anzuwenden. Agentische Systeme bestehen aus konkreten Bauteilen wie Skills, MCP-Servern, Memory Files, AI-Plugins. Dort gehören als Nächstes die Leitplanken hin.

Herr Fuchs, vielen Dank für das Gespräch.