Souverän arbeiten in Zeiten der KI-Bulldozer

Die Risikolage spitzt sich zu: KI-Systeme brechen bei Tests aus Sandboxen aus, vertraute geopolitische Bündnisse wanken. Zugleich wollen Beschäftigte vermehrt flexibel arbeiten, was zusätzliche Angriffsflächen schafft.

it management diskutierte mit Matthias Ochs, Geschäftsführer des IT-Security-Spezialisten genua GmbH, wie Behörden und Unternehmen – insbesondere geheimschutzbetreute – reagieren sollten.

Herr Ochs, im Sommer erregte der Fall OpenAI Aufsehen: Die KI des Unternehmens hackte eigenmächtig ein fremdes Netzwerk. Wie stufen Sie den Vorfall ein?

Matthias Ochs: Ob Panne oder PR-Gag – das bleibt Mutmaßung. Wir hatten im Juni bei einem Hacking-Wettbewerb auf unserer Geek Week einen ähnlichen Vorfall. Auch hier hat agentische KI die Sandbox gesprengt und Dinge getan, mit denen wir nicht gerechnet hatten. Entscheidend ist: Nur weil KI scheinbar menschlich kommuniziert, handelt sie nicht auch wie Mensch. Wir dürfen keine Sozialisation, keine Moral, kein Unbehagen voraussetzen. KI ist ein Bulldozer. Wenn ich den Gang einlege, fährt er los.

Was bedeutet das für den Umgang mit KI?

Matthias Ochs: Unternehmen stehen unter enormem Wettbewerbsdruck, KI zu nutzen, etwa in der Softwareentwicklung. Einem Menschen muss ich den normativen Rahmen einer Aufgabe nicht erklären, einer KI schon. Man sollte agentische KI deshalb behandeln wie ein singulär hochbegabtes Kind.

Zeitgleich zur rasanten Entwicklung der KI verändert sich die geopolitische Weltordnung fundamental. Was bedeutet das für die EU, besonders im Hinblick auf die digitale Souveränität?

Matthias Ochs: Technologisch sind wir im Hintertreffen. Europäische Lösungen haben weder die Skalierungsmöglichkeiten noch die Funktionstiefe von Anthropic oder OpenAI. Ähnliches gilt im Vergleich mit China. Wir laufen Gefahr, uns durch KI-Nutzung noch stärker abhängig zu machen. Wir geben für Geschwindigkeits- und Qualitätsgewinne Marge ab. Dabei geht es nicht nur um Technologie, sondern auch um Ideologie. Bei KI aus China ist Kritik am chinesischen Staat nicht vorgesehen. Wenn wir damit interagieren oder sie als Open Source in unsere Software einbauen, verbreiten wir diesen Bias, diese Verzerrung weiter. Auch KI aus den USA enthält solche Verzerrungen. Das muss uns bewusst sein.

Wie sollten europäische Unternehmen und Behörden vorgehen, um ihre digitale Souveränität zu steigern?

Matthias Ochs: Die gute Nachricht: Was gestern richtig war, ist heute auch noch richtig. Ich muss wissen: Wann brauche ich eine eigene Infrastruktur, für was kann ich eine kommerziell verfügbare nutzen? Habe ich eine eigene Infrastruktur, brauche ich auch die Fähigkeit, sie zu betreiben. Wenn alles in der Cloud läuft, gebe ich das auf. Das Stichwort ist „Fähigkeit“.

Die Fähigkeit, Prozessoren herzustellen, Software mit hoher Vertrauenswürdigkeit oder Krypto-Algorithmen zu entwickeln – sind solche Fähigkeiten einmal verloren, dauert es sehr lange, sie wiederzugewinnen. Die Frage ist also: Was sind meine wichtigen Fähigkeiten, was macht meine Wertschöpfung aus, wie differenziere ich mich langfristig? Wo muss ich in Forschung, wo in Ausbildung investieren? Welchen Partnern kann ich vertrauen? Hier sollte man unabhängige Bewertungen und Zertifizierungen heranziehen und prüfen: Wie lange ist der Anbieter schon tätig, welche Referenzen hat er? In Deutschland und in der EU haben wir viele seriöse Security-Anbieter, auf deren Fähigkeiten ein Unternehmen vertrauen kann.

Ein weiterer grundlegender Wandel: Arbeiten wird mobiler. Was bedeutet das für Organisationen, die mit Dokumenten arbeiten, die als „Verschlussache – Nur für den Dienstgebrauch“ eingestuft sind?

Matthias Ochs: Früher war es unwahrscheinlich, dass ein Angreifer ein Endgerät in die Hand bekommt, heute ist das Risiko Alltag. Auch ich habe schon mal ein schwarzes Notebook auf einem schwarzen Taxi-Sitz vergessen. Dann muss man reagieren können – etwa mit Remote Wipe und Login-Sperre. Zugleich müssen Unternehmen Services nach außen sichtbar bereitstellen. So sind ihre Unternehmensdaten potenziell von außen erreichbar. Sie müssen also die Umgebung härten, ob lokal oder in der Cloud.

Man sollte Agentische KI behandeln wie ein singulär hochbegabtes Kind.

Matthias Ochs, genua GmbH

Welche traditionellen Konzepte sollten Security-Verantwortliche im Hinblick auf VS-NfD-konformes mobiles Arbeiten überdenken?

Matthias Ochs: Nicht überdenken, im Gegenteil: Wir müssen viele traditionelle Konzepte beibehalten! Defense in Depth, MFA, Festplattenverschlüsselung, Segmentierung mit Firewalls, Least Privilege, Security by Design. Ziel ist mehrschichtiger Schutz, damit Angriffe und Exploits nicht Raum greifen können. KI kann schneller Exploits entwickeln, aber bewährte Abwehrmethoden helfen nach wie vor. Auf sie müssen wir uns besinnen – mit einer Ausnahme: Der Gedanke des Perimeters. Diese Mauer gibt es höchstens noch in manchen Köpfen. Was heute stärker zählt, ist Resilienz. In nicht so goldenen Zeiten wird hier oft gespart. Das führt aber dazu, dass man im Ernstfall nicht optimal aufgestellt ist.

Welche Kriterien sollten Entscheider bei der Auswahl einer mobilen Arbeitsplatzlösung priorisieren?

Matthias Ochs: Natürlich braucht es einen vertrauenswürdigen Anbieter und solide Sicherheitstechnik, bei VS-NfD mit BSI-Zulassung. Entscheidend ist zudem Usability: Die Menschen stehen nicht morgens auf, um eine Security-Lösung zu bedienen. Wenn sie mit angezogener Handbremse unterwegs sind, finden sie das nicht lustig. Dann suchen sie Mittel und Wege, Vorgaben zu umgehen. Deshalb würde ich Nutzerfreundlichkeit hoch priorisieren. Ein zweiter zentraler Aspekt ist der Betriebsaufwand: Wie gut lässt sich die Lösung zentral verwalten, ist sie kompatibel mit meiner Umgebung, wie leicht lässt sie sich integrieren? Ein dritter Punkt ist die Skalierbarkeit: Manche unserer Kunden haben fünf- oder sechsstellige Nutzerzahlen. Das muss die Mobile-Work-Lösung bedienen können – und dabei bezahlbar bleiben.

Wie wird sich das mobile Arbeiten im VS-NfD-Umfeld in den nächsten Jahren entwickeln?

Matthias Ochs: Mobile First wird sich stärker durchsetzen. Die Privatwirtschaft hat diese Wende schon vollzogen, die Consumer ebenfalls. Die allermeisten User verbringen privat viel mehr Zeit am Handy oder Tablet als am Rechner. Wenn sie überhaupt noch einen haben. Bin ich aber zu Hause leistungsstarke aktuelle Hardware gewohnt, dann möchte ich beruflich nicht an einem PC aus dem vorletzten Jahrzehnt arbeiten. Die Arbeit muss Spaß machen, der Akku muss den ganzen Tag halten, und der Nutzer muss seine Arbeitsumgebung flexibel wählen können. Behörden und geheimschutzbetreute Unternehmen sind da spät dran, aber sie werden nachziehen müssen. Flexibles Arbeiten ist gerade für sie geschäftskritisch, um kompetente Mitarbeiter zu gewinnen und effiziente Abläufe zu ermöglichen.

Viele Unternehmen setzen auf die Cloud. Für Behörden und den Geheimschutz-Markt bieten die US-Größen aber keine zufriedenstellenden Lösungen, Stichwort CLOUD Act. Wird sich an dieser Lage in absehbarer Zukunft etwas ändern?

Matthias Ochs: Da hat sich schon viel geändert! Ist keine weltumspannende Cloud nötig, dann gibt es in Europa eine ganze Reihe von Anbietern, die man mit Fug und Recht als souverän bezeichnen kann, weil sie einen unabhängigen Software- Stack verwenden und ihre Infrastruktur ausschließlich in der EU anbieten. Dazu zählt die Bundesdruckerei-Gruppe, aber auch SAP, Ionos, die Schwarz-Gruppe und viele andere. Die gesamte Kette vom Endgerät über das Rechenzentrum bis zum Speicher lässt sich heute sicher und souverän abbilden. Und das ist dringend geboten.

Wenn Sie einem Geschäftsführer oder IT-Verantwortlichen nur einen Rat geben dürften: Welche strategische Entscheidung sollte er jetzt treffen, um seine Organisation langfristig sicher und flexibel aufzustellen?

Matthias Ochs: Mein Rat ist, sich zuerst ein Lagebild zu schaffen. Was ist wichtig, was kritisch, wie ist das zu schützen? Dort muss ich meine begrenzten Ressourcen einsetzen, und dafür brauche ich starke Partner.

Herr Ochs, wir danken für das Gespräch.