KnowBe4-Studie: Unkontrollierte KI-Agenten und Deepfakes bedrohen Unternehmen

KnowBe4, der führende Anbieter digitaler Workforce-Security, hat seinen neuen Forschungsbericht «From Agentic Risk to Human Wins: Building a Culture of Security in the Era of Agentic AI» veröffentlicht. Die Ergebnisse offenbaren eine beunruhigende Realität: Autonome KI-Tools erweitern die Angriffsfläche von Unternehmen schneller, als Sicherheitsteams Schutzmassnahmen implementieren können. Die Studie basiert auf einer weltweiten Umfrage von Vanson Bourne unter 4’000 Fachkräften, darunter 800 Cybersicherheits-Entscheidungsträger:innen sowie 3’200 Mitarbeitende aus den Regionen Amerika, EMEA und APJ.

Schatten-KI als unkontrollierte Bedrohung

Die Zahlen sind deutlich: Alle deutschen Cybersicherheitsverantwortlichen geben an, KI einzusetzen. 78 Prozent haben bereits KI-Agenten im Einsatz, die innerhalb von Unternehmensworkflows eigenständig Massnahmen ergreifen – davon handeln 62 Prozent vollkommen autonom. Gleichzeitig fehlt es in vielen Organisationen an verbindlichen Governance-Strukturen: 48 Prozent der Unternehmen geben an, dass ihre KI-Nutzung weder genehmigt noch geregelt ist. Diese unkontrollierte «Schatten-KI» agiert praktisch als unsichtbare Schicht von Schattenmitarbeitenden, die sensible Unternehmensdaten ohne jegliche Aufsicht verarbeiten.

Über ein Drittel der Mitarbeitenden gibt zudem zu, dass sie – sollten offizielle KI-Tools des Unternehmens zu eingeschränkt oder zu langsam sein – aktiv nach eigenen, nicht genehmigten Alternativen suchen würden. 42 Prozent der Cybersicherheits-Entscheidungsträger:innen in Deutschland bestätigen, dass die unerlaubte Nutzung externer Software und nicht genehmigter KI-Anwendungen ihre Sicherheitslage in den letzten zwölf Monaten direkt beeinträchtigt oder gefährdet hat.

Deepfakes überfordern menschliche Abwehr

Parallel zur Ausbreitung von Schatten-KI hat sich auch der Angriffsvektor grundlegend verändert. Traditionelles Phishing ist längst einer hyperrealistischen, KI-gestützten Manipulation gewichen. 87 Prozent der Beschäftigten in Deutschland geben an, dass Deepfake-Stimmen und -Videos mittlerweile so realistisch sind, dass es schwieriger geworden ist zu wissen, wem man vertrauen kann. Noch alarmierender: 55 Prozent der Belegschaften räumen offen ein, dass sie sich von einem ausgeklügelten Deepfake-Betrug täuschen lassen könnten, bei dem sich der Betrüger als interner Mitarbeitender oder Führungskraft ausgibt.

«Die Cybersicherheit ist in eine volatile Phase eingetreten, in der Unternehmen versuchen, eine hybride Belegschaft aus Menschen und KI zu sichern, die sich schneller verändert, als Sicherheitsverantwortliche mithalten können», erklärt Dr. Martin Krämer, CISO-Advisor bei Knowbe4. «Angreifer agieren mit maschineller Geschwindigkeit und nutzen Angriffe wie Deepfakes, um Mitarbeitende ins Visier zu nehmen, sowie Prompt-Injections, um KI-Agenten zu kapern. Fast die Hälfte der KI-Nutzung in einem Unternehmen unkontrolliert zu lassen, ist eine massive Einladung an Angreifer.»

Menschliches Versagen unter Druck

64 Prozent der Beschäftigten in Deutschland geben zu, dass starker Zeitdruck, kognitive Überlastung und alltägliche Ablenkungen am Arbeitsplatz sie direkt dazu veranlassen, Abstriche zu machen und kritische Sicherheitsfehler zu begehen – selbst wenn sie die geltenden Sicherheitsprotokoll kennen. Deutsche Führungskräfte im Bereich Cybersicherheit bestätigen das Ausmass dieser Verhaltenslücke und weisen darauf hin, dass bis zu 52 Prozent aller Sicherheitsvorfälle des vergangenen Jahres durch alltägliche operative Fehler ausgelöst wurden – und nicht durch gezielte Exploit-Kits.

62 Prozent der deutschen Cybersicherheitsverantwortlichen nennen mangelndes Bewusstsein oder unklare Sicherheitsrichtlinien als den grössten Einflussfaktor auf die Cybersicherheit ihres Unternehmens in den letzten zwölf Monaten. 46 Prozent identifizieren KI-gestützte Angriffe als einen der Hauptfaktoren für künftige, vom Menschen verursachte Cybersicherheitsrisiken.

Grosse Lücke zum Goldstandard

Trotz wachsendem Bewusstsein haben lediglich 20 Prozent der Organisationen das Reifegrad-Modell nach dem sogenannten «Goldstandard» erreicht – definiert als vollständig abgestimmte Unternehmenskultur, die in der Lage ist, menschliche und agentische Risiken gemeinsam zu bewältigen. Dieser Goldstandard setzt voraus, dass Sicherheitsbewusstsein, Verhalten und Compliance durch starke Führung, klare Verantwortlichkeiten und effektives Measurement kombiniert werden.

Global betrachtet zeigt die Studie, dass nur 19 Prozent der Unternehmen einen integrierten und kulturell verankerten Ansatz verfolgen. Jene Organisationen, die diesen Weg gehen, performen deutlich besser: 83 Prozent von ihnen geben an, dass Sicherheitstrainings Vertrauen zwischen dem IT-Team und den Mitarbeitenden aufbauen, 67 Prozent bieten klare Leitlinien zur Meldung von Vorfällen, und 51 Prozent verfolgen einen coaching-orientierten Ansatz bei Phishing-Simulationen.

Von der Risikoverwaltung zur Resilienz

Der Bericht kommt zu dem Schluss, dass Unternehmen, die Cybersicherheit als Teil ihrer Unternehmenskultur begreifen, widerstandsfähiger sind. Es braucht Systeme, die Verhalten aktiv lenken statt nur zu informieren, unterstützende Kulturen, in denen das Melden von Fehlern gefördert wird, und eine Verlagerung des Fokus von der Verfolgung von Fehlern hin zur Stärkung positiver Handlungen. Zudem muss eine «Security-First»-Denkweise sowohl auf KI-Agenten als auch auf Menschen ausgeweitet werden.

Die Mitarbeitenden und KI-Agenten bilden gemeinsam eine einzige, vernetzte Verteidigungslinie. Unternehmen, die Bewusstsein, Verhalten und Unternehmenskultur auf ein klares Risikobild ausrichten, schaffen nicht nur Risikomanagement – sie schaffen «abgehärtete Ziele». Die Bedrohungen werden nicht verschwinden, aber sie werden auf besser vorbereitete Organisationen treffen.

Quelle: www.knowbe4.com/de/

Dieser Beitrag erschien ursprünglich auf m-q.ch - https://www.m-q.ch/de/knowbe4-studie-unkontrollierte-ki-agenten-und-deepfakes-bedrohen-unternehmen/