Nur weil unzählige Unternehmen generative KI (GenAI) einsetzen und in diese investieren, bedeutet das noch lange nicht, dass sie tatsächlich verstehen, worum es bei dieser Technologie geht – oder, was noch wichtiger ist, inwiefern sie den Umsatz und den Ruf der Marke gefährden könnte. Angesichts der zunehmenden Einführung von KI, die Effizienzsteigerungen und Kosteneinsparungen verspricht, benötigen Vorstände und Führungskräfte fachkundige Beratung hinsichtlich der potenziellen Risiken für das Unternehmen.
Eine neue Generation von IT-Fachkräften hält Einzug: der „ “ Chief Information Security Officer (CISO) als Berater für KI-Risiken.
Die Zahlen verdeutlichen, dass ein solcher Leitfaden erforderlich ist. Eine aktuelle Studie der Wharton School mit dem Titel „ “ ( ) ergab, dass 82 % der Führungskräfte KI wöchentlich nutzen und fast die Hälfte täglich darauf zurückgreift. Darüber hinaus zeigen drei von vier Führungskräften bereits positive Erträge aus ihren KI-Investitionen, und die meisten gehen davon aus, in naher Zukunft mehr dafür auszugeben, wie die Studie ergab. Möglicherweise ist ihnen jedoch nicht bewusst, in welchem Ausmaß sich die Bedrohungslage ausweitet.
Laut einer neuen Untersuchung des MIT Sloan und von Safe Security werden mittlerweile fast 80 % der „ “-Ransomware durch künstliche Intelligenz gesteuert, was auf einen deutlichen Anstieg der Angriffsgeschwindigkeit, des Angriffsvolumens und des Ausmaßes hindeutet. Hinzu kommt die interne Bedrohung: Mehr als die Hälfte der Mitarbeiter nutzt „ “ – also Schatten-KI- – sowie nicht genehmigte KI-Tools, die Unternehmen einem Risiko aussetzen. Dies geht aus einer umfassenden Umfrage „ “ hervor, die der deutsche Softwarekonzern Software AG im Jahr 2024 unter 6 000 Arbeitnehmern in den USA, Großbritannien und Deutschland durchgeführt hat. (Es ist sehr wahrscheinlich, dass diese Zahlen heute sogar noch höher liegen.) Und 13 % der Unternehmen meldeten im vergangenen Jahr Sicherheitsvorfälle im Zusammenhang mit KI-Modellen oder -Anwendungen, wie „ “ berichtet IBM.
Der CISO kann die Entscheidungsträger regelmäßiger und umfassender über diese exponentiell steigenden Risiken für das Unternehmen informieren – und darüber, welche neuen Kontrollmaßnahmen oder Ausgaben erforderlich sein könnten, um diese Risiken zu minimieren.
Die Rolle des CISO im Hinblick auf KI-Risiken neu überdenken
Stellen Sie sich KI-Risikoberater als Personen vor, zu deren Aufgaben neben der Entwicklung und Umsetzung von Cybersicherheitsstrategien auch die Beratung der Unternehmensführung hinsichtlich der sicheren, vorschriftsmäßigen und ethischen Nutzung von KI gehört, um die Unternehmensziele voranzutreiben und das Vertrauen der Kunden zu stärken.
“„Obwohl KI mittlerweile bei fast jeder Vorstandssitzung, an der ich teilnehme, zu den drei wichtigsten Tagesordnungspunkten gehört, verstehen die meisten Vorstände das Thema nach wie vor nicht.“David Gee, Risikoberater des Vorstands, ehemaliger CISO der HSBC und Autor
In gewisser Weise existiert diese Rolle bereits. Angesichts von Cybersicherheitsproblemen wie Ransomware, Datenlecks und Angriffen auf die Lieferkette von „ “ , die US-Unternehmen Kosten in Höhe von mehreren zehn Milliarden Dollar verursachen, ist die Sicherheit zu einem ernstzunehmenden geschäftlichen Anliegen geworden. So viele CISOs halten mittlerweile mehrmals im Jahr Präsentationen vor den Vorstandsmitgliedern.
Das bedeutet jedoch nicht, dass CISOs korrekt vermitteln, was Vorstandsmitglieder und Führungskräfte der obersten Ebene wirklich über KI wissen müssen, oder dass die Unternehmensleiter verstehen, was ihnen mitgeteilt wird.
„Obwohl KI mittlerweile zu den drei wichtigsten Tagesordnungspunkten in fast jeder Vorstandssitzung gehört, an der ich teilnehme, verstehen die meisten Vorstände das Thema nach wie vor nicht“, sagte David Gee, ein in Sydney ansässiger Risikoberater für Vorstände, ehemaliger CISO bei HSBC und Autor des neuen Buches <em>„Ein Tag im Leben eines CISO“.</em> „Sie stellen Vorstandsmitglieder mit einem Hintergrund in den Bereichen Rechnungswesen und Recht ein, nicht jedoch Personen mit Erfahrung in den Bereichen Cybersicherheit, Daten oder KI.“
Viele CISOs vermitteln den Vorstandsmitgliedern und Führungskräften möglicherweise auch den Eindruck, dass herkömmliche Cybersicherheits-Tools und -Kontrollen zur Bewältigung von KI-Risiken ausreichen, obwohl diese in Wirklichkeit unzureichend sind, so Jim Routh, Chief Trust Officer bei Saviynt und ehemaliger CISO, der Vorstände in Fragen der Cybersicherheit berät.
„Heute geben etwa 40 % der CISOs an: ‚Die Kontrollmaßnahmen, über die wir derzeit verfügen, reichen aus, um diesen technologischen Wandel zu bewältigen‘“, sagte Routh. „Ich halte das für unverantwortlich.“
Auch Herr Gee sieht dasselbe Problem.
„Die meisten Unternehmen arbeiten nach wie vor nach Strategien, die noch vor der Entstehung von GenAI entwickelt wurden“, sagte er. „Die Angriffsflächen haben sich verdoppelt – von herkömmlichen Systemen bis hin zu neuen KI-Einstiegspunkten wie Anwendungsprogrammierschnittstellen (APIs), RAG-Pipelines (Retrieval Augmented Generation) und Zugriffskontrollmodellen –, und die meisten CISOs haben diese noch nicht erfasst.“ APIs, RAG-Pipelines und Zugriffskontrollen für Modelle fungieren als Bindeglied zwischen KI-Modellen, Daten, Anwendungen und Nutzern und werden zunehmend als vielversprechende Angriffsvektoren angesehen.
KI-Risiken und der Umgang mit den richtigen Bedrohungen
Routh erklärte, dass sich die Bedrohungslage im Bereich der künstlichen Intelligenz an drei Fronten ausweitet, von denen jede mit dem gesamten Spektrum der Kompetenzen eines CISO angegangen werden muss. Dazu gehören:
- Grundlagemodelle –, bei denen Mitarbeiter Gefahr laufen, sensible Daten durch alltägliche Eingaben preiszugeben.
- SaaS-Anwendungen – „“, bei denen Sprachmodelle mit minimaler Überwachung eingebettet sind.
- Softwareentwicklung –, wo Personen mit unterschiedlichem Erfahrungsstand KI einsetzen, um potenziell anfälligen Code zu generieren.
Die Praxis, KI-Modelle einzusetzen, um anhand von Anweisungen in einfachem Englisch vollständige Anwendungen zu erstellen – ein Ansatz, der als „-Vibe-Coding“ bekannt ist –, bereitet Herrn Routh die größten Sorgen, da Anwendungen für den Betriebsablauf eines Unternehmens und dessen Lieferkettenpartner von entscheidender Bedeutung sind.
Und das beschränkt sich nicht nur auf das Programmieren von Apps. Die zunehmende Bedrohung durch „Schatten“-KI-Projekte im Allgemeinen bereitet Experten wie Wyatt Mayham, dem leitenden KI-Berater bei Northwest AI Consulting, Sorge. Mitarbeiter aus verschiedenen Geschäftsbereichen starten nicht genehmigte KI-Pilotprojekte oder kaufen Tools von Drittanbietern, ohne dass diese einer Sicherheitsprüfung unterzogen wurden, wodurch blinde Flecken entstehen, die CISOs nicht ignorieren dürfen, sagte er.
„Jede Woche entdecken wir neue KI-Anwendungen, die im Produktivbetrieb laufen, ohne dass die IT-Abteilung diese jemals freigegeben hat“, sagte Mayham. „Das Problem sind nicht nur die KI-Tools an sich. „Es sind die Führungskräfte, die nicht einmal wissen, dass es diese Tools gibt, bis etwas nicht mehr funktioniert.“
Diese mangelnde Sichtbarkeit sei mehr als nur eine technische Lücke, sagte er. Dies stellt eine Lücke in der Unternehmensführung dar, wodurch Unternehmen dem Risiko von Bußgeldern, Betriebsunterbrechungen und markenschädigenden Schlagzeilen ausgesetzt sind. Aus diesem Grund sind Experten der Ansicht, dass CISOs sich von Verteidigern im Hintergrund zu „Risikoexperten“ am Entscheidungstisch wandeln müssen.
Die richtige Sprache sprechen
Viele CISOs befinden sich noch immer in der Lernphase, um über KI-Risiken in geschäftlichen Begriffen zu sprechen.
“Das Problem sind nicht nur die KI-Tools an sich. Es sind die Führungskräfte, die nicht einmal wissen, dass es diese Tools gibt, bis etwas schiefgeht.”Wyatt Mayham, leitender KI-Berater, Northwest AI Consulting
Timothy Youngblood, ehemaliger CISO bei McDonald’s und T-Mobile und nun CISO in Residence bei Astrix Security, erklärte, dass es zu vielen Sicherheitsverantwortlichen schwerfällt, den Schritt vom bloßen Reden über Technologie hin zum Aufzeigen zu vollziehen, wie stark Sicherheit das Unternehmenswachstum unterstützt.
„Viele CISOs sind so sehr auf die Technik fixiert, dass sie manchmal vergessen, dass sie eigentlich deshalb dort sind, weil das Unternehmen versucht, seinen Umsatz zu steigern“, sagte er. „Die Aufgabe besteht darin, dazu beizutragen, dass diese Einnahmen weiterhin fließen, und über Risiken in einer Sprache zu sprechen, die jeder im Raum versteht.“
Diese Sprache geht vom Vorstand aus. Führungskräfte benötigen keine ausführlichen Erläuterungen zu den Themen „Model Poisoning“, „ “, „Prompt Injection“ oder „Patching“. Sie möchten verstehen, wie Sicherheitsmaßnahmen den Umsatz, die Kunden und den Ruf schützen.
Dieser umfassendere Kontext gewinnt umso mehr an Bedeutung, je stärker Fragen der Regierungsführung in den Vordergrund rücken.
Vorstände fordern CISOs zunehmend dazu auf, zwischen „ “ KI-Sicherheit (d. h. dem Schutz von Systemen vor Angriffen) und KI-Sicherheit (der Gewährleistung, dass sich KI wie beabsichtigt verhält) zu unterscheiden, erklärte Kara Sprague, CEO von HackerOne, einem Unternehmen für Bug-Bounty- en und die Offenlegung von Sicherheitslücken. Sie warnte davor, dass die Konzentration auf die eine oder andere Kategorie Unternehmen den Blick auf das Gesamtbild vernebeln könnte. CISOs müssten die gesamte Diskussion in die Hand nehmen, sagte sie.
„Unsere Untersuchung zeigt, dass etwa 84 % der CISOs als verantwortliche Stelle angesehen werden, wenn es um KI-Risiken im Zusammenhang mit Sicherheit und Schutz geht“, sagte Sprague. „Es werden also Erwartungen an den CISO gestellt, unabhängig davon, ob er diese Rolle übernehmen möchte oder dazu in der Lage ist.“
Eine Herausforderung für die Führungsetage – sich der unangenehmen Wahrheit über KI-Risiken stellen
Um diese Erwartung zu erfüllen, könnten Anpassungen an den Budgets erforderlich sein. Bestehende Verteidigungssysteme lassen sich nicht einfach für KI nachrüsten. Stattdessen betonten Experten wie Routh, dass finanzielle Mittel in die Datenverwaltung, die Modellüberwachung und Echtzeit-Sicherheitsmaßnahmen fließen müssten.
Seien Sie doch “nicht so ein Miesepeter … Als Berater für KI-Risiken möchten Sie derjenige sein, der Lösungen aufzeigt, die es dem Unternehmen ermöglichen, sicher „Ja“ zu sagen.”Kara Sprague, Geschäftsführerin von HackerOne
Eine Herausforderung, wie sowohl Routh als auch Youngblood betonten, besteht darin, dass hierfür neben technischem Fachwissen ebenso Fähigkeiten im Bereich Storytelling, Präsentation und Analyse erforderlich sind. Risikoberater müssten wissen, wie sie auf eine Weise überzeugen können, die neben den Risiken auch die Chancen hervorhebt, erklärten sie.
Gee, dessen Buch die sich wandelnde Rolle von Sicherheitsverantwortlichen im Zeitalter der KI beleuchtet, gliedert diesen Weg in drei wesentliche Anforderungen: Verantwortung übernehmen, sich darauf vorbereiten und die Beteiligten einbinden.
„KI ist keine vorübergehende Modeerscheinung; sie ist ein Tsunami“, sagte er. „Entweder man bringt sich in die richtige Position, um die Welle zu reiten, oder man wird von ihr mitgerissen.“
5 Schritte auf dem Weg zum KI-Risikoberater
Wie können CISOs all das also bewerkstelligen? Hier finden Sie einige Tipps von Experten, wie Sie KI-Risikoberater werden können:
- Machen Sie sich ein Bild davon, was Sie haben –CISOs müssen eine Bestandsaufnahme darüber erstellen, wie und wo KI im gesamten Unternehmen eingesetzt wird, einschließlich nicht genehmigter „Schatten-KI“-Projekte. „Man kann wirklich nichts regieren, von dessen Existenz man nichts weiß“, sagte Mayham. Das bedeute, KI-Systeme zu identifizieren, Datenflüsse nachzuverfolgen und Schwachstellen aufzudecken, bevor sie zu Risiken werden, sagte er.
- Definition des verantwortungsvollen Einsatzes –Sobald Klarheit geschaffen ist, sollten die CISOs einen Konsens darüber herbeiführen, was unter einem „verantwortungsvollen Einsatz“ von KI zu verstehen ist. Dies hänge zwar von der jeweiligen Branche und den gesetzlichen Vorgaben ab, doch der verantwortungsvolle Umgang solle als Leitstern für alle weiteren Bemühungen dienen, so Routh.
- Governance in das Unternehmen integrieren –Anschließend erklärten Routh und Youngblood, dass CISOs in der Lage sein sollten, darzulegen, wie sie Governance – KI-Richtlinien, Aufsicht, Rechenschaftspflicht und die Einhaltung gesetzlicher Vorschriften – in den täglichen Geschäftsbetrieb integrieren, um sowohl Cybersicherheit als auch Sicherheit zu zentralen Unternehmensaufgaben zu machen und nicht nur als nachträgliche Überlegungen zu betrachten.
- Setzen Sie Prioritäten –Es ist zudem wichtig, nicht zu versuchen, das Unmögliche zu erreichen. Sprague erklärte, CISOs sollten in der Lage sein, die Bedrohungslage zu analysieren, zu ermitteln, wo KI das größte Risiko für geschäftliche Prioritäten darstellt, und darzulegen, wie sie konkrete Lücken in der Risikoabdeckung schließen wollen. „Es ist eine Frage der Optimierung“, sagte sie, „denn wir alle wissen, dass die Budgets für Cybersicherheit nicht im gleichen Maße wachsen wie die Angriffsfläche.“
- Aufklären, aufklären, aufklären –Schließlich müssen CISOs den Vorstand und die Mitarbeiter über die sich wandelnde Bedrohungslage, die Maßnahmen des Unternehmens zur Risikominderung und deren Ausrichtung auf die geschäftlichen Prioritäten auf dem Laufenden halten und dafür sorgen, dass alle an einem Strang ziehen, so Youngblood und Sprague. Diese Gespräche müssen präzise sein und den Vorstandsmitgliedern sowie den Führungskräften ein klares und umfassendes Verständnis davon vermitteln, was geschieht und warum. „Wenn CISOs nicht die Vorreiterrolle bei der Aufklärung übernehmen, sondern den Mitarbeitern stattdessen ständig versichern, dass alles in Ordnung ist, erweisen sie ihnen damit einen Bärendienst“, fügte Routh hinzu.
Vor allem sollte in jeder Diskussion auf Vorstandsebene oder auf Führungsebene deutlich gemacht werden, wie der Plan eines CISO Innovationen fördert, anstatt Aktivitäten einzuschränken oder einfach nur „Nein“ zu sagen, so Sprague.
„Seien Sie nicht diese Miesmacherin, die immer nur sagt: ‚Nein, das können wir nicht‘“, mahnte sie. „Als Berater für KI-Risiken möchten Sie derjenige sein, der Lösungen anbietet, die es dem Unternehmen ermöglichen, ohne Bedenken ‚Ja‘ zu sagen.“
