SITS -

ChatGPT, Copilot und andere KI-Tools sind mittlerweile Teil des Arbeitsalltags. Mitarbeitende nutzen sie, um Texte zu erstellen, Code zu prüfen, Informationen zusammenzufassen oder komplexe Aufgaben schneller zu lösen. Für Unternehmen ist das ein echter Produktivitätsgewinn. Gleichzeitig entsteht ein Sicherheitsproblem, das erst sichtbar wird, wenn bereits sensible Daten in externe KI-Systeme gelangt sind.

Denn kaum ein Unternehmen kann heute mit Sicherheit sagen, welche KI-Tools tatsächlich genutzt werden, welche Informationen in Prompts landen und ob vertrauliche Inhalte in Responses weiterverarbeitet werden. Genau hier wird Shadow AI zur Herausforderung: KI-Nutzung findet statt, teilweise täglich, aber außerhalb klarer IT-Freigaben, Security-Kontrollen und Governance-Prozesse.

Dieser Artikel erklärt, warum klassische Security-Ansätze bei generativer KI an Grenzen stoßen, welche Rolle SASE dabei spielt und wie Cato AI Security Unternehmen dabei unterstützt, KI sicher, kontrolliert und compliant einzusetzen.

Shadow AI und Datenabfluss: Die größten Risiken generativer KI

Unternehmen nutzen heute Tools wie ChatGPT täglich. Das Problem beginnt dort, wo niemand kontrolliert, welche Daten dort hineinfließen und was damit passiert.

In der Praxis geben Mitarbeitende häufig mehr Informationen in KI-Tools ein, als ihnen bewusst ist: Quellcode, Vertragsauszüge, Kundendaten, interne Strategiepapiere, Angebotsdetails oder technische Dokumentationen. Nicht immer geschieht das aus Nachlässigkeit. Meistens fehlt schlicht eine sichere Alternative, eine klare Richtlinie oder technische Kontrolle, die zwischen unkritischer Nutzung und riskantem Datenabfluss unterscheidet.

Das Ergebnis ist ein Kontrollverlust auf mehreren Ebenen:

  • Security-Teams sehen nicht zuverlässig, welche KI-Dienste genutzt werden.
  • Compliance-Teams können nicht nachvollziehen, welche personenbezogenen oder regulierten Daten verarbeitet wurden.
  • Fachbereiche behalten zwar ihre Produktivität, bewegen sich aber teilweise außerhalb freigegebener Prozesse.
  • Geistiges Eigentum kann unbeabsichtigt in Systeme gelangen, die nicht für vertrauliche Unternehmensdaten vorgesehen sind.

Genau deshalb reicht es nicht, KI pauschal zu verbieten. Verbote verlagern die Nutzung oft nur weiter ins Unsichtbare. Unternehmen brauchen einen Ansatz, der Produktivität ermöglicht und Risiken steuerbar macht.

Warum reichen klassische Security-Lösungen bei KI-Anwendungen nicht aus?

Klassische Security-Lösungen wurden für eine andere Art von Datenverkehr gebaut. Sie erkennen Anwendungen, Dateien, Benutzerverhalten oder bekannte Bedrohungsmuster. Generative KI funktioniert jedoch anders. Sie arbeitet mit semantischen, dynamischen Interaktionen: Prompts, Responses, Kontexten, Agent-Aktionen und teilweise automatisierten Workflows.

Ein herkömmlicher DLP-Ansatz kann zum Beispiel erkennen, wenn eine Datei mit bestimmten Mustern hochgeladen wird. Schwieriger wird es, wenn ein Mitarbeiter vertrauliche Informationen per Copy-and-Paste in einen Prompt überträgt, diese Informationen umformuliert oder mit anderem Kontext kombiniert. Noch komplexer wird es bei privaten KI-Anwendungen oder autonomen AI-Agents, die eigenständig Daten abrufen, Entscheidungen vorbereiten oder Aktionen auslösen.

Dazu kommen neue Angriffsszenarien. Prompt Injection kann KI-Systeme dazu bringen, unerwünschte Anweisungen auszuführen. Model Poisoning kann Trainings- oder Kontextdaten manipulieren. Unkontrollierte Agent-Workflows können Prozesse anstoßen, bevor Security-Teams überhaupt sehen, was passiert ist. Gleichzeitig steigen regulatorische Anforderungen durch DSGVO, EU AI Act und interne Governance-Vorgaben. Unternehmen müssen dabei nicht nur Datenabfluss verhindern, sondern auch nachvollziehbar dokumentieren, wie KI-Systeme eingesetzt werden.

Die Konsequenz: Einzelne Tools, manuelle Freigabeprozesse und isolierte DLP-Kontrollen reichen nicht mehr aus. Unternehmen benötigen Sichtbarkeit, Kontext und Policy Enforcement direkt dort, wo KI-Traffic entsteht und verarbeitet wird.

Wie SASE und Cato AI Security KI-Nutzung in Echtzeit absichern

SASE (Secure Access Service Edge) verbindet Netzwerk- und Sicherheitsfunktionen in einer cloudbasierten Architektur. Statt Security an einzelne Standorte, Appliances oder isolierte Tools zu binden, werden Zugriffe, Datenverkehr und Richtlinien zentral gesteuert. Das ist besonders relevant, wenn Mitarbeitende von überall arbeiten, Cloud-Dienste nutzen und KI-Anwendungen nicht mehr nur in einer kontrollierten Unternehmensumgebung stattfinden. Durch die Zusammenführung von Netzwerk- und Sicherheitsfunktionen in einer gemeinsamen Plattform entsteht die notwendige Transparenz und Kontrolle, um moderne Cloud- und KI-Workloads konsistent abzusichern.

Cato Networks erweitert diesen Ansatz mit Cato AI Security. Die Lösung ist nativ in die Cato SASE Plattform integriert und adressiert genau die Lücke zwischen KI-Nutzung, Datensicherheit und Governance. Durch die Integration der Aim-Security-Technologie und Cato Neural Edge mit NVIDIA-GPUs im globalen Backbone kann KI-Traffic inline und in Echtzeit analysiert werden.

Die 5 zentralen Bausteine für AI Security und AI Governance

  1. KI-Nutzung erkennen
    Die Plattform identifiziert, welche generativen KI-Tools, privaten Modelle oder AI-Agents im Unternehmen genutzt werden. Dadurch wird Shadow AI sichtbar.
  2. Prompts und Responses semantisch analysieren
    Inhalte werden nicht nur anhand statischer Muster geprüft. Die Lösung bewertet den Kontext und erkennt, ob sensible Daten, geistiges Eigentum oder regulierte Informationen betroffen sein könnten.
  3. Policies zentral durchsetzen
    Sicherheitsrichtlinien werden im bestehenden SASE-Kontext gesteuert. Das heißt: Benutzer, Gerät, Anwendung, Standort, Datenklassifizierung und Risiko fließen in die Entscheidung ein.
  4. Private KI-Anwendungen und Agents schützen
    Auch interne KI-Modelle und agentische Workflows können kontrolliert werden. Dadurch entsteht Schutz nicht nur für öffentliche Tools, sondern auch für eigene KI-Initiativen.
  5. Compliance und AI Security Posture Management unterstützen
    Security-Teams erhalten eine bessere Grundlage, um Risiken zu bewerten, Nachweise zu erbringen und regulatorische Anforderungen strukturiert umzusetzen.

Der entscheidende Punkt: KI-Sicherheit wird nicht als weiteres isoliertes Tool eingeführt. Sie wird Teil einer einheitlichen Security-Architektur.

Die wichtigsten Vorteile einer integrierten AI-Security-Plattform

Mehr Sichtbarkeit über Shadow AI

Organisationen können nur schützen, was sie sehen. Cato AI Security schafft Transparenz darüber, welche KI-Dienste genutzt werden, welche Datenflüsse entstehen und wo riskante Interaktionen stattfinden. Für CISOs und Security Engineers wird damit aus einem diffusen Bauchgefühl ein konkretes Lagebild. Das reduziert blinde Flecken und hilft, Governance gezielt aufzubauen. Nicht jede KI-Nutzung ist automatisch kritisch. Wichtig ist, riskante Nutzung von akzeptabler Nutzung unterscheiden zu können.

Schutz sensibler Daten und geistigen Eigentums

Prompts können vertrauliche Informationen enthalten, auch wenn keine Datei hochgeladen wird. Das macht KI-Datenabfluss so schwer greifbar. Durch semantische Inline-Inspektion lassen sich sensible Inhalte im Kontext erkennen, bevor sie unkontrolliert in externe Dienste gelangen.

Das schützt Kundendaten, Code, Verträge, Geschäftsstrategien und anderes geistiges Eigentum. Produktive KI-Nutzung bleibt dabei trotzdem möglich, weil nicht pauschal blockiert wird.

Compliance ohne Produktivitätsbremse

Datenschutz, DSGVO, EU AI Act und interne Richtlinien verlangen nachvollziehbare Kontrolle. Organisationen müssen verstehen, welche KI-Anwendungen genutzt werden, welche Daten verarbeitet werden und welche Maßnahmen zur Risikominimierung greifen.

Mit zentraler Policy-Steuerung, Transparenz und AI Security Posture Management lassen sich Compliance-Anforderungen besser operationalisieren. Damit schaffen Unternehmen die Voraussetzungen, KI sicher und strukturiert einzuführen, Risiken frühzeitig zu erkennen und Governance-Anforderungen dauerhaft umzusetzen.

Weniger Komplexität für Security Operations

Wenn KI-Security als separates Tool eingeführt wird, entsteht meistens das nächste Dashboard, der nächste Alarmkanal und die nächste Integrationsbaustelle. Eine SASE-integrierte Lösung reduziert diese Komplexität, weil Governance, Kontrolle und Detection in der bestehenden Plattform zusammenlaufen.

Security Operations Center profitieren von weniger Kontextwechseln, klareren Policies und einer besseren Einordnung von Events. Das kann False Positives reduzieren und Priorisierung erleichtern.

Skalierbare Grundlage für zukünftige KI-Nutzung

KI entwickelt sich rasant weiter. Heute geht es um Chatbots und Copilots, morgen um autonome Agents, interne Modelle und KI-gestützte Fachprozesse. Eine Sicherheitsarchitektur muss deshalb skalierbar genug sein, um neue Use Cases aufzunehmen, ohne jedes Mal bei null zu starten.

SASE bietet dafür die passende Basis, weil Sicherheit nicht an einzelne Standorte oder Anwendungen gebunden ist, sondern über Benutzer, Datenverkehr, Cloud-Dienste und Richtlinien hinweg gedacht wird.

Wo kommt AI Security in der Praxis zum Einsatz?

Beispiel 1: Entwickler nutzen KI zur Codeanalyse

Ein Entwickler möchte einen Fehler schneller finden und kopiert Teile eines internen Codes in ein generatives KI-Tool. Ohne Kontrolle kann dabei geistiges Eigentum abfließen. Mit AI Security im SASE-Kontext lässt sich erkennen, dass der Prompt sensible Codebestandteile enthält. Je nach Policy kann die Eingabe blockiert, bereinigt oder zur Prüfung markiert werden.

Beispiel 2: Legal-Teams arbeiten mit Vertragsauszügen

Ein Fachbereich möchte Vertragsklauseln zusammenfassen lassen. Dabei können personenbezogene Daten, Preise, Kundennamen oder vertrauliche Bedingungen in den Prompt gelangen. Eine semantische Prüfung kann risikoreiche Inhalte erkennen und verhindern, dass diese Informationen in nicht freigegebene KI-Dienste übertragen werden.

Beispiel 3: Fachbereiche testen eigene AI-Agents

Ein Team entwickelt einen internen Agenten, der Informationen aus mehreren Systemen zusammenführt. Ohne klare Kontrolle kann der Agent zu viele Daten abrufen oder Aktionen ausführen, die nicht vorgesehen waren. Runtime-Schutz hilft dabei, Agent-Interaktionen zu überwachen und Richtlinien während der Ausführung durchzusetzen.

Die wichtigsten Schritte zur erfolgreichen Einführung von AI Security

Der Einstieg sollte nicht mit einem Verbot beginnen. Unternehmen müssen verstehen, welche KI-Tools bereits genutzt werden, welche Daten betroffen sind und wo der größte Handlungsbedarf besteht.

Ein sinnvoller Implementierungsansatz umfasst vier Schritte:

  1. Bestandsaufnahme der KI-Nutzung
    Welche öffentlichen KI-Tools, Copilots, privaten Modelle oder Agents werden genutzt? Welche Fachbereiche arbeiten bereits produktiv damit?
  2. Risiko- und Datenklassifizierung
    Welche Daten dürfen in KI-Systemen verarbeitet werden? Welche Inhalte sind tabu? Wo gelten besondere regulatorische Vorgaben?
  3. Policy-Design im SASE-Kontext
    Regeln sollten nicht nur auf Anwendungsebene greifen. Sie sollten Benutzerrolle, Gerät, Standort, Datenart und Risiko berücksichtigen.
  4. Kontinuierliches Monitoring und Anpassung
    KI-Nutzung verändert sich laufend. Policies müssen daher regelmäßig überprüft, angepasst und mit neuen Use Cases abgeglichen werden.

Wichtig dabei ist die Balance: Zu lockere Richtlinien schaffen Risiko. Zu harte Blockaden fördern Umgehungslösungen. Der beste Ansatz gibt Mitarbeitenden klare, sichere Wege zur Nutzung und bietet Security-Teams die nötige Kontrolle.

Checkliste: Welche Anforderungen sollte eine moderne AI-Security-Lösung erfüllen?

Eine gute AI-Security-Lösung sollte mehr leisten als Tool-Erkennung oder pauschales Blocking. Entscheidend sind vor allem diese Kriterien:

  • Sichtbarkeit über öffentliche und private KI-Nutzung
    Die Lösung sollte Shadow AI, genehmigte KI-Dienste, private Modelle und Agent-Interaktionen erfassen können.
  • Semantische Analyse statt reiner Mustererkennung
    KI-Risiken entstehen oft durch Kontext. Deshalb reicht klassische DLP allein nicht aus.
  • Inline-Kontrolle in Echtzeit
    Risiken sollten erkannt werden, bevor Daten abfließen oder riskante Aktionen ausgeführt werden.
  • Zentrale Policy-Steuerung
    Policies müssen konsistent über Benutzer, Standorte, Anwendungen und Datenflüsse hinweg gelten.
  • Integration in bestehende Security-Architektur
    Eine Lösung sollte Security Operations entlasten, nicht zusätzliche Silos schaffen.
  • Compliance-Fähigkeit
    Nachvollziehbarkeit, Reporting und Governance sind entscheidend, um DSGVO, EU AI Act und interne Vorgaben belastbar umzusetzen.
  • Performance und Skalierbarkeit
    KI-Security darf nicht dazu führen, dass produktive Nutzung ausgebremst wird. Gerade semantische Analysen benötigen eine Architektur, die Echtzeitfähigkeit und globale Skalierung unterstützt.

Wie unterstützt SITS Unternehmen bei KI-Sicherheit und SASE?

SITS unterstützt Unternehmen dabei, SASE, KI-Sicherheit und Governance in eine tragfähige Sicherheitsarchitektur zu übersetzen. Dazu gehören Beratung, Architektur-Review, Implementierung, Integration in bestehende Security-Prozesse und auf Wunsch auch Betrieb und Support im Kontext von Cato-basierten SASE-Umgebungen.

Dadurch entsteht ein Ansatz, der technische Kontrolle, Compliance-Anforderungen und produktive KI-Nutzung zusammenbringt. Nicht als weiteres Insellösungsthema, sondern als Teil einer modernen Cybersecurity-Strategie.

KI sicher nutzen statt verbieten: Warum AI Security zur Pflicht wird

Generative KI ist nicht mehr nur ein Experimentierfeld. Sie wird zur produktiven Infrastruktur in Unternehmen. Deshalb reicht es nicht, KI-Nutzung nach Gefühl zu erlauben, zu blockieren oder irgendwo in einer Policy zu erwähnen.

Die wirkliche Herausforderung liegt in der Kontrolle: Welche KI wird genutzt? Welche Daten fließen wohin? Welche Risiken entstehen durch Prompts, Responses, private Modelle und AI-Agents? Und wie kann Sicherheit greifen, ohne den Produktivitätsgewinn wieder zu verlieren?

SASE und Cato AI Security bieten darauf eine Antwort. Sie verbinden Sichtbarkeit, semantische Inline-Inspektion, zentrale Policy-Steuerung und Runtime-Schutz in einer skalierbaren Plattform. Für IT-Security-Teams bedeutet das: weniger Kontrollverlust, nachhaltigere Compliance und eine bessere Grundlage, KI sicher im Unternehmen einzusetzen.

Möchten Sie wissen, wie sicher Ihre aktuelle KI-Nutzung wirklich ist?

Unsere Expertinnen und Experten unterstützen Sie dabei, Shadow AI sichtbar zu machen, Risiken zu bewerten und eine sichere SASE- und AI-Security-Strategie aufzubauen.

Jetzt kontaktieren

FAQ

SASE steht für Secure Access Service Edge. Der Ansatz kombiniert Netzwerk- und Sicherheitsfunktionen wie SD-WAN, Secure Web Gateway, Cloud Access Security Broker, Firewall as a Service und Zero Trust Network Access in einer cloudbasierten Architektur.

KI wird häufig über Cloud- und SaaS-Dienste genutzt. SASE ermöglicht es, Datenverkehr, Benutzer, Anwendungen und Richtlinien zentral zu steuern. Dadurch lässt sich KI-Nutzung besser überwachen, kontrollieren und absichern.

Shadow AI bezeichnet die Nutzung von KI-Tools außerhalb freigegebener IT- und Security-Prozesse. Das kann zu Datenabfluss, Compliance-Risiken und fehlender Nachvollziehbarkeit führen.

Klassische DLP-Lösungen arbeiten häufig mit Mustern, Dateien oder bekannten Regeln. KI-Interaktionen bestehen jedoch aus dynamischen Prompts, Responses und Kontexten. Deshalb braucht es semantische Analyse und Kontrolle in Echtzeit.

Nein. Pauschale Verbote lösen das Problem meist nicht nachhaltig. Sinnvoller ist ein kontrollierter Ansatz mit klaren Richtlinien, technischer Absicherung und sicheren Nutzungsmöglichkeiten für Mitarbeitende.

Wie eine stabile Firewall ein falsches Sicherheitsgefühl erzeugt

In vielen Unternehmen wird die Firewall vor allem danach bewertet, ob sie funktioniert. Solange Benutzer arbeiten können, Anwendungen erreichbar sind und keine Störungen auftreten, entsteht schnell der Eindruck, dass die Sicherheitsinfrastruktur in einem guten Zustand ist. Aus Sicht eines Security Reviewers ist das jedoch nur ein Teil der Wahrheit.

In Check Point Health Checks, Firewall Reviews und Security Audits zeigt sich regelmäßig, dass technisch stabile Umgebungen dennoch vermeidbare Sicherheitsrisiken enthalten. Über Jahre gewachsene Regelwerke, nicht mehr benötigte Administratorzugänge, ungenutzte Sicherheitsfunktionen oder fehlende Sicherheitsstandards sind keine Seltenheit.

Genau hier setzt Security Hardening an. Ziel ist es, vorhandene Sicherheitsfunktionen konsequent zu nutzen, unnötige Angriffsflächen zu reduzieren und die gesamte Check Point Umgebung robuster gegen aktuelle Bedrohungen aufzustellen.

Warum eine funktionierende Firewall trotzdem unsicher sein kann

Die meisten Check Point Umgebungen verfügen bereits über leistungsfähige Sicherheitsfunktionen. Das eigentliche Problem liegt selten in fehlender Technologie, sondern in der Konfiguration und dem laufenden Betrieb.

Im Laufe der Jahre entstehen immer komplexere Regelwerke, Administratoren wechseln, neue Projekte benötigen Ausnahmen und historische Konfigurationen bleiben bestehen. Häufig funktionieren diese Einstellungen zwar technisch einwandfrei, entsprechen jedoch nicht mehr den aktuellen Best Practices.

Typische Beobachtungen aus Security Reviews sind:

  • Administratorzugänge mit zu weit gefassten Berechtigungen
  • GUI Clients oder Managementzugriffe für unnötig große Netzbereiche
  • Veraltete Passwort Richtlinien
  • Fehlende Multifaktor Authentifizierung
  • Regelwerke mit nicht mehr benötigten Any-Freigaben
  • Deaktivierte oder ungenutzte Firewall Regeln
  • Fehlende Stealth Regeln
  • Nicht genutzte Sicherheitsfunktionen trotz vorhandener Lizenzierung
  • Unzureichende Dokumentation und fehlendes Lifecycle Management

Dadurch entstehen zusätzliche Angriffsflächen, die im normalen Betrieb oft unbemerkt bleiben.

Warum Firewall-Sicherheitsrisiken oft unentdeckt bleiben

Unternehmen reagieren erst auf Sicherheitsvorfälle, Audit Feststellungen oder Herstellerwarnungen. Zwischenzeitlich wird die Firewall hauptsächlich zur Sicherstellung des Betriebs administriert.

Dieser Ansatz erscheint zunächst nachvollziehbar, schließlich soll die Infrastruktur stabil laufen und Geschäftsprozesse unterstützen. In der Praxis führt es jedoch zu einer schleichenden Verschlechterung der Sicherheitsqualität. Neue Anforderungen werden umgesetzt, bestehende Regeln erweitert und temporäre Ausnahmen dauerhaft übernommen.

Hinzu kommt, dass moderne Check Point Umgebungen immer komplexer werden:

  • Cloud Anbindungen
  • Remote Access VPN
  • Identity Awareness
  • HTTPS Inspection
  • Threat Prevention
  • APIs
  • Automatisierung
  • Hybrid Mesh Security Konzepte

Je größer die Umgebung wird, desto schwieriger wird die manuelle Überprüfung aller sicherheitsrelevanten Konfigurationen. Genau deshalb fehlt vielen Unternehmen die notwendige Transparenz über den tatsächlichen Sicherheitszustand ihrer Firewall Infrastruktur. Mehr darüber, wie moderne Netzwerk- und Sicherheitsarchitekturen aufgebaut werden und welche Komponenten dabei zusammenspielen, erfahren Sie in unserem Bereich zu Netzwerk- und Sicherheitslösungen.

Check Point Security Hardening Checkliste: Diese Bereiche sollten geprüft werden

Ein erfolgreiches Firewall Hardening folgt einem strukturierten Vorgehen:

  1. Bestandsaufnahme
  2. Abgleich mit Best Practices
  3. Identifikation von Risiken und Quick Wins
  4. Priorisierte Umsetzung
  5. Kontinuierliche Überprüfung

Die einzelnen Schritte bauen aufeinander auf und schaffen die Grundlage für ein nachhaltiges Hardening. Im Folgenden betrachten wir die fünf Phasen näher.

1. Bestandsaufnahme

Zu Beginn wird die bestehende Umgebung analysiert. Dabei werden unter anderem betrachtet:

  • Konfiguration der Betriebssysteme
  • Topologie der Gateways & Cluster
  • Konfiguration der Management-Systeme
  • Administration der Firewalls
  • Sicherheitsrichtlinien
  • Logging und Monitoring
  • Backup und Recovery
  • Access Control Regelwerke
  • Threat Prevention Konfigurationen

2. Abgleich mit Security Best Practices

Anschließend erfolgt der Vergleich mit aktuellen Herstellerempfehlungen, etablierten Sicherheitsstandards und bewährten Praxiserfahrungen.

Typische Prüffelder sind:

  • Multifaktor-Authentifizierung
  • Trusted Clients
  • Management-Zugangsschutz
  • Gaia Betriebssystem Sicherheit
  • SNMP Konfiguration
  • Expert Mode Governance
  • Threat Prevention
  • HTTPS Inspection
  • Stealth Regeln
  • Implizite Regeln
  • Logging und Reporting

Diese Themen werden inzwischen auch im aktuellen Check Point Hardening Guide empfohlen. Für uns sind sie seit Jahren fester Bestandteil von Security Reviews und Hardening Assessments.

3. Identifikation von Quick Wins und Handlungsempfehlungen

Ein großer Teil der gefundenen Risiken lässt sich bereits mit geringem Aufwand reduzieren.

Typische Quick Wins sind:

  • Umsetzung aktueller Best Practices und Herstellerempfehlungen
  • Verbesserung des Eigenschutzes der Firewall Systeme
  • Rückbau von Inkonsistenzen in der Konfiguration zur Verbesserung der Redundanz und Ausfallsicherheit
  • Vervollständigung der Dokumentation
  • Aktualisierung veralteter Softwarestände
  • Stärkung der Passwort-Sicherheitsrichtlinien
  • Rückbau von Altlasten aus früheren Konfigurationen
  • Rückbau von Freigaberegeln mit Zero-Hit Count, deaktivierten Regeln, veralteten Temp- bzw. Testregeln
  • Einschränkung von Any-Freigaben
  • Aktivierung zusätzlicher Sicherheitsfunktionen, wie Geo Policies, dyn. Blocklisten, HTTPS Inspection, Content Inspection, DLP, Compliance Blades, uvm.
  • Verifikation regelmäßiger Backups und Policy Exports

4. Priorisierte Umsetzung

Nicht jede Maßnahme besitzt die gleiche Priorität. Deshalb werden die Ergebnisse bewertet und nach Risiko, Aufwand und Nutzen priorisiert. So können zuerst die größten Sicherheitsrisiken reduziert werden.

5. Kontinuierliche Überprüfung

Security Hardening ist kein einmaliges Projekt. Neue Anforderungen, Software-Updates und organisatorische Veränderungen machen regelmäßige Reviews notwendig, um den erreichten Sicherheitsstandard dauerhaft aufrechtzuerhalten. Viele Unternehmen ergänzen diesen Ansatz durch Managed Services, um Betrieb, Monitoring und kontinuierliche Optimierung langfristig sicherzustellen.

Welche Vorteile bringt regelmäßiges Firewall-Hardening?

Reduzierte Angriffsfläche: Nicht benötigte Dienste, Zugänge und Konfigurationen werden identifiziert und abgesichert.

Höhere Transparenz: Unternehmen erhalten einen klaren Überblick über Risiken, technische Schulden und Optimierungspotenziale.

Verbesserte Compliance: Sicherheitsanforderungen lassen sich besser dokumentieren und gegenüber Auditoren nachweisen.

Höhere Betriebssicherheit: Konsistente Standards erleichtern Administration, Betrieb und Fehlersuche.

Bessere Nutzung vorhandener Investitionen: In vielen Umgebungen werden bereits lizenzierte Sicherheitsfunktionen nicht vollständig genutzt. Durch Security Hardening können bestehende Investitionen häufig deutlich besser ausgeschöpft werden.

Firewall-Hardening in der Praxis: Beispiele aus Finanzwesen, Industrie und Verwaltung

Finanzdienstleister

Ein Finanzunternehmen nutzte bereits moderne Check Point Gateways, verfügte jedoch über zahlreiche historische Administratorzugänge. Durch die Einführung von MFA und die Überarbeitung der Administratorrollen konnte die Sicherheit deutlich verbessert werden.

Industrieunternehmen

Im Rahmen eines Firewall Reviews wurden zahlreiche Regelwerke analysiert. Dabei zeigte sich, dass über Jahre hinweg Ausnahmen, zu viele Any-Freigaben und unnötige Komplexitäten entstanden waren, die nicht mehr benötigt wurden. Die Bereinigung reduzierte Komplexität und
Angriffsfläche gleichermaßen.

Öffentliche Verwaltung

Eine Behörde etablierte nach einem Quick Check regelmäßige Security Reviews und Reporting Prozesse. Dadurch konnten Audit Feststellungen reduziert und Konfigurationsabweichungen frühzeitig erkannt werden.

Check Point Quick Check und Advanced Firewall Review als Einstieg ins Hardening

Um den tatsächlichen Sicherheitsstatus einer Check Point Umgebung bewerten zu können, empfiehlt sich ein Check Point Quick Check oder Advanced Firewall Review. Unternehmen erhalten dadurch eine fundierte Bestandsaufnahme und konkrete Handlungsempfehlungen. Solche Security Assessments schaffen die notwendige Transparenz über den tatsächlichen Sicherheitszustand der Umgebung.

Erfolgsfaktoren sind:

  • Aktuelle Dokumentation
  • Definierte Verantwortlichkeiten
  • Regelmäßige Reviews
  • Klare Administrationsstandards
  • Security Lifecycle Management
  • Kontinuierliches Reporting

Besonderen Mehrwert haben Projekte, bei denen technische Maßnahmen mit organisatorischen Prozessen kombiniert werden.

Worauf sollten Unternehmen bei einem Firewall-Hardening Partner achten?

Ein wirksamer Hardening Ansatz sollte mehr bieten als eine Liste technischer Schwachstellen.

Wichtige Kriterien sind:

  • Hersteller Know-How
  • Nachweisbare Praxiserfahrung
  • Orientierung an Best Practices
  • Nachvollziehbare Risikobewertung
  • Konkrete Handlungsempfehlungen
  • Skalierbarkeit
  • Aussagekräftige Reports
  • Integration in bestehende Betriebsprozesse

Besonders wichtig dabei ist die Verbindung aus technischer Analyse und praktischer Umsetzung, sowie belastbare Herstellerpartnerschaften. Unternehmen sollten darauf achten, dass ihr Dienstleister eng mit führenden Technologieanbietern zusammenarbeitet und über aktuelles Hersteller-Know-how verfügt. Auch wir legen großen Wert auf starke Partnernetzwerke und kontinuierlichen Austausch mit unseren Technologiepartnern, um Kunden stets nach aktuellen Best Practices beraten zu können. Mehr zu unseren Partnern erfahren Sie hier.

Wie SITS Check Point Umgebungen analysiert, härtet und dauerhaft absichert

Die SITS Group unterstützt Unternehmen seit vielen Jahren bei der Analyse, Optimierung und Absicherung von Check Point Umgebungen – von Security Reviews bis hin zum professionellen Firewall Management.

Dazu gehören unter anderem:

  • Check Point Quick Checks
  • Hardening Assessments
  • Advanced Firewall Reviews
  • Professional Services
  • Managed Services
  • Monitoring und Reporting
  • Security Audits

Unsere zertifizierten Experten bewerten bestehende Umgebungen anhand bewährter Best Practices, identifizieren Risiken und entwickeln konkrete Handlungsempfehlungen für eine nachhaltige Verbesserung der Sicherheitsarchitektur.

Fazit: Firewall-Hardening ist kein einmaliges Projekt

Eine Firewall kann technisch einwandfrei funktionieren und dennoch erhebliche Sicherheitsrisiken enthalten. Genau deshalb sollte Security Hardening nicht als einmalige Maßnahme verstanden werden, sondern als kontinuierlicher Prozess. Regelmäßige Reviews, etablierte Sicherheitsstandards und ein gelebtes Security Lifecycle Management helfen dabei, Risiken frühzeitig zu erkennen und die Angriffsfläche dauerhaft zu reduzieren.

Die zunehmende Komplexität moderner IT-Umgebungen zeigt, dass Transparenz, strukturierte Bewertungen und kontinuierliche Optimierungen wichtiger sind als je zuvor. Wer seine Firewall lediglich betreibt, verschenkt wertvolles Sicherheitspotenzial. Wer sie regelmäßig überprüft und gezielt härtet, schafft die Grundlage für eine dauerhaft belastbare Sicherheitsarchitektur.

Möchten Sie wissen, wie sicher Ihre Check Point Umgebung wirklich ist?

Nutzen Sie unsere Quick Checks, Hardening Assessments oder Advanced Firewall Reviews und erhalten Sie eine fundierte Bewertung Ihrer Sicherheitskonfiguration sowie konkrete Empfehlungen zur nachhaltigen Verbesserung Ihrer Sicherheitsarchitektur.

Jetzt kontaktieren

Über den Autor

Danny Jung ist Cyber Security Evangelist mit Spezialisierung auf Check Point Sicherheitslösungen.

Er unterstützt seit vielen Jahren Unternehmen bei Security Reviews, Firewall Audits, Health Checks, Hardening Projekten und Managed Security Services. Sein Schwerpunkt liegt auf der nachhaltigen Absicherung komplexer Check Point Umgebungen durch Best Practices, Automatisierung, Security Assessments und praxisnahe Beratung. Darüber hinaus entwickelt er eigene Werkzeuge, SmartConsole Extensions und Best Practices, die von der internationalen Check Point Community genutzt werden.

FAQ

Security Hardening umfasst alle technischen und organisatorischen Maßnahmen zur Reduzierung der Angriffsfläche einer Check Point Umgebung.

Mindestens einmal jährlich sowie nach größeren Infrastrukturänderungen oder Versions-Upgrades.

Gateways, Management Systeme, Administratorzugänge, Sicherheitsrichtlinien, Threat Prevention Funktionen, Logging, Monitoring sowie das Gaia Betriebssystem.

Erst die ganzheitliche Betrachtung der gesamten Umgebung ermöglicht eine belastbare Bewertung des Sicherheitsniveaus.

Ein Quick Check liefert eine schnelle Bewertung wichtiger Sicherheitsaspekte. Ein Advanced Firewall Review analysiert zusätzlich Infrastruktur, Topologie, Betriebssysteme, Management-Systeme, Regelwerke, Dokumentationen und Betriebsprozesse im Detail.

Unternehmen jeder Branche setzen KI-gestützte Lösungen wie Microsoft Copilot in einem Tempo ein, das bestehende Governance-Strukturen überfordert. Was als Assistenzfunktion begann, entwickelt sich zu autonomen Systemen, die auf sensible Daten zugreifen, Entscheidungen vorbereiten und Prozesse automatisieren.

Das Problem: Die regulatorischen Anforderungen ziehen nach, und zwar schnell. Mit dem EU AI Act ab August 2026 verschieben sich die Anforderungen von „Best Effort“ hin zu nachweisbarer Compliance. Dieser Artikel zeigt, wo die tatsächlichen Risiken liegen und wie Microsoft Copilot, richtig eingesetzt, Teil einer belastbaren Compliance-Strategie sein kann.

Wie schafft KI heute neue Compliance-Risiken für Unternehmen?

Jedes Compliance Framework basiert auf einer Grundannahme: dass ein Mensch für jede relevante Handlung in einem System verantwortlich ist. Diese Annahme wird durch künstliche Intelligenz aufgebrochen.

Mit dem Einsatz von KI wie Microsoft Copilot verändern sich Risikofaktoren nicht grundsätzlich, sie bekommen eine neue Wirkung. KI greift auf bestehende Daten und Berechtigungen zu und nutzt sie in einem Umfang der vielen Nutzenden nicht bewusst ist. Genau hier entstehen Risiken:

 

Identität
Copilot 365 übernimmt die Berechtigungen der Nutzenden und arbeitet innerhalb dieses Kontexts. Das führt dazu, dass auch alte, vergessene oder kaum genutzte Zugriffe genutzt werden, etwa wenn jemand die Abteilung wechselt oder Inhalte früher in einem öffentlichen Team lagen. Im Alltag fällt das oft nicht auf, KI greift diese Informationen jedoch aktiv auf und verarbeitet sie.

Datenzugriff
Copilot erbt bestehende Berechtigungen. So werden Jahrzehnte gewachsene Überberechtigungen plötzlich zum realen Risiko.

Nachvollziehbarkeit
Ohne gezielte Konfiguration gibt es keinen belastbaren Audit Trail. Entscheidungen werden intransparent.

Regulatorische Exposition
Systeme, die Entscheidungen vorbereitet oder automatisiert treffen (z. B. HR oder Finance), fallen unter Hochrisiko-Kategorien, mit potenziell massiven regulatorischen Konsequenzen.

Kurz gesagt: KI macht bestehende Schwächen sichtbar und verstärkt sie.

Was ist Microsoft Copilot und wie verarbeitet er sensible Unternehmensdaten?

Microsoft Copilot ist ein KI-gestützter Assistent, der direkt in Anwendungen wie Outlook, Teams, Word oder Excel integriert ist und Nutzer dabei unterstützt, Inhalte zu erstellen, Informationen zusammenzufassen und Aufgaben zu automatisieren.

Wichtig zu verstehen ist, dass Copilot kein isoliertes KI-Tool ist, sondern Teil der Microsoft 365 Umgebung. Er greift nicht auf externe Datenquellen zu, sondern arbeitet ausschließlich mit bestehenden Unternehmensdaten, Sicherheitsrichtlinien und Benutzerberechtigungen. Das bedeutet: Copilot „weiß“ nur das, was im System bereits freigegeben ist.

Die zentrale Eigenschaft: Copilot übernimmt den Kontext des Nutzers. Hat dieser Zugriff auf ein Dokument, kann er es verwenden. Wenn nicht, bleibt es unsichtbar. Das macht Copilot grundsätzlich zu einem kontrollierbaren System, aber nur, wenn die Umgebung sauber ist.

Wie stellt Microsoft Copilot Datensicherheit und Compliance sicher?

Microsoft verfolgt eine mehrschichtige Architektur, die Sicherheit, Datenkontrolle und regulatorische Anforderungen miteinander verbindet. In der Theorie sind diese Mechanismen klar definiert. In der Praxis zeigt sich jedoch: Erst durch die richtige Konfiguration wird daraus ein belastbares Compliance-Modell.

Dabei greifen mehrere Ebenen ineinander: von Identitäten über Datenzugriff bis hin zu Auditierbarkeit und Richtliniensteuerung. Dieses Zusammenspiel entscheidet, ob Copilot kontrolliert eingesetzt wird oder bestehende Risiken sichtbar macht.

Datenverarbeitung innerhalb des Microsoft Tenants

Eine zentrale Frage in vielen Projekten lautet: Verlassen Unternehmensdaten durch Copilot die eigene Umgebung?

Im Standardfall nicht, da Copilot innerhalb des bestehenden Microsoft 365 Tenants arbeitet. Das bedeutet, Daten verlassen die Umgebung nicht für Trainingszwecke.

Kurz gesagt:

  • keine Nutzung zur Modellverbesserung
  • keine Weitergabe an öffentliche Modelle
  • Verarbeitung innerhalb bestehender Sicherheitsgrenzen

Wichtig ist: Copilot verändert keine Datenlogik, er nutzt sie. Die Sicherheit hängt daher direkt von der Qualität der vorhandenen Umgebung ab.

Wie reduzieren berechtigungsbasierte Zugriffe Compliance-Risiken?

Copilot respektiert bestehende Zugriffskontrollen. Das reduziert Risiken jedoch nur dann, wenn:

  • Berechtigungen korrekt gepflegt sind
  • Over-Permissioning eliminiert wurde
  • Zugriff nach „Least Privilege“ vergeben wird

Ist das nicht gegeben, verstärkt Copilot vorhandene Schwächen. Daten, die bisher schwer auffindbar waren, werden plötzlich systematisch nutzbar.

Wie integriert sich Copilot in Microsoft Purview für Compliance-Management?

Microsoft Purview liefert die Steuerungsebene für Compliance. Hier werden Daten klassifiziert, Richtlinien definiert und Aktivitäten nachvollziehbar gemacht.

Wichtige Funktionen:

  • automatische Vererbung von Sensitivity Labels
  • vollständige Audit-Logs
  • eDiscovery für KI-generierte Inhalte
  • regulatorische Frameworks (EU AI Act, NIST AI RMF)

Jede Interaktion – Mensch zu KI, KI zu Daten, KI zu Prozessen – kann nachvollzogen werden. Das ist in regulierten Umgebungen keine Option, sondern Pflicht.

Ist Microsoft Copilot DSGVO-konform und für regulierte Branchen geeignet?

Ja, unter einer Voraussetzung: Nicht das Tool ist compliant, sondern der Einsatz.

Microsoft Copilot bringt die nötigen technischen Voraussetzungen mit, um regulatorische Anforderungen zu erfüllen. Daten werden innerhalb klar definierter Mandanten- und Sicherheitsgrenzen verarbeitet und fließen nicht unkontrolliert in externe Systeme ab. Zudem lassen sich bestehende Datenschutzrichtlinien, etwa über Sensitivity Labels oder Data Loss Prevention, direkt in die Nutzung von Copilot integrieren. Ein weiterer Punkt ist die Nachvollziehbarkeit: Interaktionen, Datenzugriffe und generierte Inhalte können protokolliert und in Audits ausgewertet werden. Damit entsteht die Grundlage, auf der sich Compliance sauber nachweisen lässt.

Für regulierte Branchen wie Finance, Healthcare oder KRITIS bedeutet das: Die notwendigen Mechanismen sind vorhanden, um Anforderungen aus DSGVO, internen Richtlinien oder zukünftigen Vorgaben wie dem EU AI Act umzusetzen. Nachweise lassen sich strukturiert erbringen, Datenschutzrichtlinien können durchgesetzt werden und bestehende Governance-Modelle lassen sich auf KI-Anwendungen erweitern.

Was dabei deutlich wird: Diese Möglichkeiten greifen nur, wenn sie aktiv genutzt werden. Ohne klare Regeln für Datenzugriff, Klassifizierung und Nutzung bleibt selbst eine gut abgesicherte Plattform angreifbar und genau hier liegt die Verantwortung. Sie liegt immer beim Unternehmen. Gerade im Kontext des EU AI Act gilt: Compliance wird nicht eingekauft, sie wird umgesetzt.

Welche Compliance-Risiken bestehen trotz Microsoft Copilot?

Die eigentlichen Risiken zeigen sich dort, wo bestehende Strukturen unter realer Nutzung belastet werden.

Typische Schwachstellen zeigen sich immer wieder an den gleichen Stellen:

Überberechtigungen
Zu weit gefasste Zugriffe werden sichtbar und aktiv genutzt.

Menschliche Fehler
Fehlkonfigurationen führen zu Datenexposition.

Intransparente Nutzung
Schatten-IT und unkontrollierte Nutzung bleiben ein Thema.

Fehlende Governance für KI-spezifische Prozesse
Klassische IT-Governance reicht nicht mehr aus.

Was sich aus diesen Punkten ergibt, wird in der Praxis oft unterschätzt: Copilot schafft keine neuen Risiken im engeren Sinne, er beschleunigt die Wirkung bestehender Schwachstellen. Fehler, die bislang isoliert waren, wirken plötzlich systematisch und in größerem Maßstab. Gerade deshalb reicht es nicht aus, sich auf technische Schutzmechanismen zu verlassen. Wie Copilot richtig eingesetzt genau hier Mehrwert schafft, zeigen konkrete Praxisbeispiele und Use Cases.

Warum macht Microsoft Copilot Ihr Unternehmen nicht automatisch compliant?

Copilot ist kein Compliance-Produkt, sondern ein Spiegel Ihrer Umgebung.

Gute Governance → kontrollierter Einsatz

Schlechte Governance → verstärktes Risiko

Viele Organisationen nutzen bereits die notwendigen Grundlagen: Zugriffskontrollen über Conditional Access, Datenklassifizierung und Monitoring über Microsoft Purview sowie Sensitivity Labels für sensible Inhalte.

Das Problem liegt selten im Fehlen dieser Werkzeuge, sondern in ihrer Nutzung. Häufig sind sie nicht auf KI-Anwendungen abgestimmt oder greifen nicht sauber ineinander. Richtlinien wurden für klassische Anwendungen definiert, nicht für Systeme, die Inhalte automatisch kombinieren und neu erzeugen.

Das führt zu einem trügerischen Gefühl von Sicherheit: Maßnahmen sind vorhanden, entfalten im Alltag jedoch nicht die gewünschte Wirkung. Dieses Phänomen wird als „Policy Illusion“ beschrieben: Governance existiert, funktioniert aber nicht in der Praxis.

Wie nutzen Unternehmen Microsoft Copilot sicher und compliant?

Bevor Copilot produktiv eingesetzt wird, entscheidet die Datenbasis darüber, ob der Einsatz kontrollierbar bleibt oder Risiken sichtbar werden.

Wie sollten Berechtigungen vor dem Einsatz von Copilot strukturiert werden?

Der erste und wichtigste Schritt ist die Datenhygiene.

  • Berechtigungen bereinigen
  • Zugriff reduzieren
  • sensible Daten korrekt strukturieren

Diese Maßnahmen wirken unspektakulär, haben aber direkte Auswirkungen auf den späteren Copilot-Einsatz. Je klarer Zugriffe definiert sind, desto präziser und kontrollierter arbeitet das System.

Datenklassifizierung als Grundlage für KI-Compliance

Warum spielt Datenklassifizierung eine so große Rolle für Compliance im KI-Kontext? Weil Systeme wie Copilot Inhalte nicht nur anzeigen, sondern kontextualisieren, verknüpfen und neu aufbereiten. Ohne klare Klassifizierung fehlt die Grundlage dafür, wie mit sensiblen Daten umgegangen werden soll. Copilot erkennt dann zwar Inhalte, kann ihre Schutzbedürftigkeit aber nicht einordnen.

In der Praxis bedeutet das:

  • sensible Daten werden klar identifiziert
  • Schutzmechanismen greifen automatisch
  • Richtlinien lassen sich durchsetzen

Mit sauberer Klassifizierung wird gesteuert, welche Inhalte Copilot einbeziehen darf und wie Ergebnisse ausgegeben werden. Ohne Struktur bleibt die Nutzung unscharf und schwer kontrollierbar.

Welche Governance-Richtlinien sind für KI-Tools notwendig?

Eine funktionierende Governance umfasst:

  • klare Verantwortlichkeiten (Ownership)
  • definierte Zugriffsmodelle
  • regelmäßige Audit-Prozesse
  • Integration in bestehende Compliance-Strukturen

Entscheidend ist: KI-Governance darf kein separates Projekt sein, sondern Teil des bestehenden Frameworks.

Wie unterstützt SITS eine sichere Copilot-Einführung?

Der Einsatz von Copilot scheitert selten an der Technologie, sondern daran, dass Daten, Berechtigungen und Governance nicht sauber zusammenspielen. Genau an diesem Punkt setzen wir mit Lösungen zu Microsoft Copilot & Studio an.

Wie bewertet SITS die Copilot-Readiness?

Der erste Schritt ist Transparenz: Welche Copilot-Anwendungen sind bereits im Einsatz und auf welche Daten greifen sie zu?

In vielen Umgebungen zeigt sich, dass mehr KI-basierte Funktionen genutzt werden als erwartet – ohne klare Verantwortung. SITS analysiert, welche Daten betroffen sind, welche Zugriffsmuster bestehen und wo Governance-Lücken sichtbar werden. Das Ergebnis ist kein abstrakter Statusbericht, sondern eine klare Bewertung, wo Risiken entstehen und welche Bereiche vor einem Rollout angepasst werden müssen.

Wie werden Governance- und Compliance-Frameworks aufgebaut?

Im nächsten Schritt geht es darum, aus dieser Bestandsaufnahme eine belastbare Struktur zu entwickeln, die auch in der Praxis funktioniert.

Dazu gehören:

  • Berechtigungen bereinigen und neu strukturieren
  • klare Verantwortlichkeiten definieren
  • regulatorische Anforderungen in Richtlinien überführen
  • Prozesse etablieren, die Kontrolle und Nachvollziehbarkeit sicherstellen

Im Fokus steht dabei kein theoretisches Modell, sondern eine Architektur, die im Alltag funktioniert, auch wenn Nutzung und Datenvolumen mit Copilot wachsen.

Unterstützung beim laufenden Compliance- und Risiko-Monitoring

Im nächsten Schritt geht es darum, aus dieser Bestandsaufnahme eine belastbare Struktur zu entwickeln, die auch in der Praxis funktioniert.

Die Einführung ist nur der erste Schritt. Danach zeigt sich, ob Governance dauerhaft trägt. SITS begleitet Organisationen dabei, Nutzung und Risiken kontinuierlich im Blick zu behalten. Dazu gehört, Veränderungen in der Datenstruktur zu erkennen, Richtlinien anzupassen und neue Anwendungsfälle zu integrieren. Gerade bei KI-Anwendungen verändert sich die Nutzung dynamisch. Prozesse, die heute funktionieren, können morgen Lücken aufweisen. Deshalb geht es nicht um einmalige Absicherung, sondern um laufende Steuerung.

Ist Microsoft Copilot sicherer als andere KI-Tools?

Im Vergleich zu generischen KI-Tools bietet Copilot wesentliche Vorteile:

  • Integration in bestehende Sicherheitsarchitektur
  • Nutzung vorhandener Berechtigungsmodelle
  • vollständige Audit-Fähigkeit
  • zentrale Governance

Während viele KI-Lösungen isoliert arbeiten, bleibt Copilot Teil eines Ökosystems, sofern dieses sauber konfiguriert ist.

Microsoft Copilot als Compliance-Vorteil für Unternehmen

Die Herausforderung wächst, weil KI schneller eingeführt wird als Governance-Strukturen nachziehen. Microsoft stellt mit Entra, Purview und Defender die notwendigen Bausteine bereit.
Richtig implementiert entsteht dadurch vollständige Transparenz, kontrollierter Datenzugriff und nachvollziehbare Entscheidungsprozesse.

Unternehmen, die jetzt handeln, bauen ein belastbares Fundament. Denn die entscheidende Frage ist nicht mehr: Ob Copilot genutzt wird, sondern wie kontrolliert und compliant er eingesetzt wird.

Zusätzliche Informationen über sichere KI-Einführung finden Sie hier: KI einführen - sicher und smart | SITS

Fazit: So wird Copilot compliant nutzbar

Microsoft Copilot kann Compliance unterstützen, weil er innerhalb der Microsoft 365 Umgebung arbeitet, bestehende Berechtigungen respektiert und sich über Purview auditierbar machen lässt.

Die Risikoseite bleibt trotzdem real: Überberechtigungen, unklare Datenklassifizierung, fehlende KI‑Governance und Schatten‑Nutzung werden durch Copilot schneller sichtbar und wirken im Alltag stärker.

Wer Copilot in regulierten Umgebungen sicher einsetzen will, braucht daher vor allem drei Dinge: saubere Zugriffsmodelle, klare Klassifizierung sensibler Daten und Governance‑Regeln, die KI‑Nutzung im Betrieb messbar und nachvollziehbar machen.

Unsicher, ob Ihre Copilot‑Umgebung wirklich compliant ist?

Wenn Sie Bedenken zu Oversharing, Berechtigungen, Datenklassifizierung oder Audit‑Nachweisfähigkeit haben, unterstützen wir Sie gerne beim sicheren und regelkonformen Einsatz von Copilot – von der Konfiguration bis zur nachhaltigen Nutzung.

 

Autor: Anton Picard, Principal Consultant for Microsoft Copilot & AI

 

Kontaktieren Sie uns jetzt und sprechen Sie mit unserem Expertenteam über Ihre Ausgangslage und die nächsten Schritte.

Jetzt kontaktieren

Künstliche Intelligenz (KI) ist im Arbeitsalltag angekommen. Mitarbeiter nutzen KI-Tools schnell, intuitiv und häufig ohne formale Einführung. Genau darin liegt ihr Mehrwert – und zugleich eine wachsende Herausforderung. Denn vielerorts erfolgt der Einsatz außerhalb definierter Prozesse, Sicherheitsprüfungen oder regulatorischer Leitplanken. Das Ergebnis ist sogenannte Shadow AI (Schatten-KI).

Was auf den ersten Blick wie eine harmlose Effizienzsteigerung wirkt, kann für Unternehmen gravierende Folgen haben: unkontrollierte Datenverarbeitung, Compliance-Verstöße und Sicherheitsrisiken, die empfindliche regulatorische Sanktionen, Haftungsfragen und nachhaltige Vertrauensverluste nach sich ziehen können. Gleichzeitig zeigt sich dabei ein klares Muster: Mitarbeiter greifen auf solche Lösungen zurück, weil bestehende Strukturen ihren produktiven Bedarf nicht ausreichend abdecken. Unternehmen stehen damit vor einer Aufgabe, die sich nicht allein technisch lösen lässt. Es geht um Orientierung in einem komplexen Umfeld – an der Schnittstelle von Produktivität, Regulierung und IT-Sicherheit. Wer KI nachhaltig einsetzen will, braucht mehr als einzelne Tools. Er benötigt einen klaren Kurs.

Genau hier setzt die SITS an. Als interdisziplinärer Partner unterstützt sie Unternehmen dabei, KI produktiv nutzbar zu machen und Compliance- sowie Security-Anforderungen von Anfang an mitzudenken. Im Folgenden zeigen wir, wie durch eindeutige Prozesse, gezielte Qualifizierung und einem ausgewogenen Maß an Kontrolle, Orientierung entsteht und weshalb ein ganzheitlicher Ansatz dabei eine zentrale Rolle spielt.

Wie eine klare KI-Governance Shadow AI verhindert

Produktiver KI-Einsatz beginnt nicht bei der Technologie, sondern bei der Struktur. Ohne eindeutige Regeln wird jede Nutzung schnell zum Risiko – rechtlich, organisatorisch und sicherheitstechnisch. 

Ein belastbares Governance-Modell schafft Orientierung und beantwortet zentrale Fragen:  

  • Welche KI-Tools sind freigegeben und wofür?
  • Nach welchen Kriterien werden neue Lösungen bewertet?  
  • Welche Daten dürfen verarbeitet werden? 
  • Wer trägt Verantwortung und wer kontrolliert die Einhaltung? 

Diese Leitplanken wirken wie ein Kompass: Sie geben Richtung, ohne den Handlungsspielraum unnötig einzuengen. Denn viele KI-Anbieter verarbeiten eingegebene Inhalte weiter oder nutzen Metadaten für eigene Zwecke. Ohne klare Vorgaben können vertrauliche oder personenbezogene Informationen unbemerkt nach außen gelangen – mit kaum reversiblen Folgen. 

Die SITS unterstützt Unternehmen dabei, solche Strukturen praxisnah zu entwickeln. Governance wird dabei nicht isoliert betrachtet, sondern gemeinsam mit Fachbereichen, IT, Datenschutz und Informationssicherheit erarbeitet. Das Ergebnis sind Regelwerke, die nicht nur compliant sind, sondern im Arbeitsalltag akzeptiert und gelebt werden. 

Stehen Produktivität und KI Regulierung im Widerspruch?

Auf strategischer Ebene erleben viele Unternehmen den Einsatz von KI als Spannungsfeld. Fachbereiche erwarten Geschwindigkeit, Effizienz und konkrete Entlastung im Arbeitsalltag. Gleichzeitig steigen regulatorische Anforderungen, Dokumentationspflichten und Sicherheitsvorgaben. Produktivität und Regulierung werden dabei häufig als Gegensätze wahrgenommen.

In der Praxis zeigt sich jedoch: Dieser Widerspruch ist meist kein inhaltlicher, sondern ein struktureller. Dort, wo klare Leitplanken fehlen oder regulatorische Anforderungen nicht in umsetzbare Rahmenbedingungen übersetzt werden, entsteht Unsicherheit. Diese Unsicherheit führt nicht zu weniger KI-Nutzung – sondern zu unkontrollierter Nutzung.

Shadow AI ist damit weniger ein bewusster Regelverstoß als ein organisatorisches Symptom. Mitarbeiter greifen auf KI-Tools zurück, weil sie effizient arbeiten wollen und keine klar geregelten, sicheren Alternativen vorfinden. Rein restriktive Vorgaben oder pauschale Verbote verschärfen dieses Problem häufig, anstatt es zu lösen.

Ein nachhaltiger Ansatz setzt daher früher an: Produktivität und Compliance müssen gemeinsam gedacht werden. Governance entfaltet ihren Wert erst dann, wenn sie nicht nur Grenzen definiert, sondern Orientierung bietet und produktive Nutzung ermöglicht. Genau hier entscheidet sich, ob KI zum Risiko oder zum strategischen Erfolgsfaktor wird.

Wie Enablement Shadow AI wirksamer reduziert als Verbote

Während Governance und Regulierung den strategischen Rahmen setzen, entscheidet sich im Arbeitsalltag, ob KI sicher genutzt wird oder zur Shadow AI wird.

Shadow AI entsteht dabei selten aus Unwissen, sondern aus dem Wunsch nach effizientem Arbeiten. Die Antwort darauf sind nicht pauschale Einschränkungen,
sondern gezielte Befähigung. Mitarbeiter benötigen Klarheit zu konkreten Fragen:

  • Welche Anwendungsfälle sind sinnvoll und zulässig?
  • Ab wann wird ein Prompt kritisch?
  • Welche Daten gelten als sensibel – auch indirekt?
  • Woran lässt sich ein vertrauenswürdiger Anbieter erkennen?

Wirksames Enablement setzt genau hier an. Schulungen müssen verständlich, praxisnah und an realen Use Cases orientiert sein. Ziel ist es, ein realistisches Verständnis für Chancen und Risiken von KI zu schaffen – ohne zu vereinfachen oder zu dramatisieren.

Die SITS verfolgt dabei einen Ansatz, der Produktivität und Compliance nicht gegeneinander ausspielt. Mitarbeiter, die den Rahmen kennen und verstehen, nutzen KI gezielter und verantwortungsvoller. So reduziert sich Shadow AI nicht durch Kontrolle, sondern durch Klarheit im täglichen Arbeiten.

Warum Security und Monitoring zur KI Strategie gehören

Auch mit klaren Regeln und geschulten Teams bleibt KI-Nutzung dynamisch. Neue Tools, neue Funktionen und neue Arbeitsweisen entstehen laufend. Umso wichtiger ist ein Frühwarnsystem, das Risiken sichtbar macht, ohne Vertrauen zu untergraben.

Dazu zählen unter anderem Transparenz über genutzte KI-Dienste, das Erkennen ungewöhnlicher Datenflüsse, die Identifikation sensibler Inhalte sowie regelmäßige Überprüfungen und Anpassungen.

Richtig verstanden ist Monitoring kein Instrument der Überwachung, sondern ein Mittel zur Steuerung. Es zeigt, wo Risiken entstehen, aber auch, wo produktive Bedarfe bestehen, die bisher nicht abgedeckt sind. Security wird so zum integralen Bestandteil einer zukunftsfähigen KI-Strategie.

Die SITS unterstützt Unternehmen dabei, Sicherheit und Compliance von Anfang an mitzudenken – nicht als nachträgliche Korrektur, sondern als festen Bestandteil der Architektur.

KI strategisch einsetzen: Von Shadow AI zum Wettbewerbsvorteil

Shadow AI ist kein Randphänomen und kein kurzfristiger Trend. Sie ist Ausdruck eines tiefgreifenden Wandels in der Art, wie Mitarbeiter Technologien nutzen und Produktivität definieren. Unternehmen, die diesen Wandel ignorieren oder ausschließlich mit Verboten reagieren, verlieren nicht nur Kontrolle, sondern auch Vertrauen und Innovationsfähigkeit.

Zukunftsfähiger KI-Einsatz erfordert daher vor allem eines: Orientierung. Klare Prozesse schaffen den Rahmen, Enablement übersetzt diesen Rahmen in den Arbeitsalltag, und Security sowie Monitoring sorgen dafür, dass Risiken frühzeitig erkannt und gesteuert werden können. Erst im Zusammenspiel dieser Elemente entsteht ein Umfeld, in dem KI produktiv, sicher und regelkonform eingesetzt werden kann.

Die SITS unterstützt Unternehmen dabei, diesen Kurs zu definieren und dauerhaft zu halten. Mit interdisziplinärer Expertise verbinden wir technisches Know-how, regulatorisches Verständnis und praktische Umsetzungserfahrung. So werden Compliance und Security nicht nachträglich ergänzt, sondern sind von Beginn an integraler Bestandteil der KI-Strategie.

Unternehmen, die KI erfolgreich einsetzen wollen, müssen nicht jede Nutzung kontrollieren. Sie müssen Orientierung geben. Ein klarer Kompass entscheidet darüber, ob KI zum Risiko wird oder zum nachhaltigen Wettbewerbsvorteil.

Sie stehen vor der Herausforderung, KI produktiv nutzen zu wollen, ohne Sicherheit und Compliance zu gefährden?
Entdecken Sie, wie SITS Unternehmen dabei unterstützt, KI strukturiert und sicher einzuführen.

Mehr erfahren

EOL: RSA & ECC

RSA und ECC sind seit Jahrzehnten das Rückgrat sicherer Internetverbindungen, Datenverschlüsselung und elektronischer Signaturen, doch ihre Frist läuft ab. Der Grund ist kein plötzlicher Bug oder neue mathematische Verfahren, die die genannten Algorithmen brechen könnten, sondern Physik: Ein hinreichend großer Quantencomputer kann mit Shors Algorithmus sowohl das Faktorisierungsproblem (RSA) als auch diskrete Logarithmen (ECC) effizient lösen.

Deshalb gilt: Wer heute Daten verschlüsselt, muss damit rechnen, dass Angreifer sie heute sammeln und später entschlüsseln („harvest now, decrypt later“). Das BSI zieht daraus erstmals ein konkretes Ablaufdatum für den alleinigen Einsatz klassischer asymmetrischer Verfahren. Die Einzelheiten sind als Empfehlung in der technischen Richtlinie TR-02102-1 vom Januar 2026 beschrieben.

Ab 2031: PQC-Verfahren…

Konkret bedeutet das, dass klassische RSA oder ECC-Verfahren, wie sie heute für den sicheren Austausch kryptografischer Schlüssel im Rahmen von z.B. HTTPS oder Secure E-Mail genutzt werden, nur noch bis Ende 2031 empfohlen werden. Für Anwendungen mit sehr hohem Schutzbedarf soll die Umstellung bereits bis Ende 2030 erfolgen.

… in hybrider Form …

Ab 2032 sollen klassische RSA und ECC-Verfahren nur noch in hybrider Form zusammen mit Post‑Quanten‑Kryptographie (PQC) genutzt werden. „Hybrid“ bedeutet hierbei, dass zwei Verfahren parallel angewendet werden. Neben den klassischen RSA-/ECC-Verfahren sollen zusätzlich moderne PQC-Verfahren kombiniert werden.

Das BSI empfiehlt den hybriden Ansatz ausdrücklich, weil PQC‑Verfahren zwar notwendig, aber im Vergleich zu RSA und ECC noch weniger bezüglich Implementierungssicherheit und möglichen Schwächen bei Angriffen auf Seitenkanäle untersucht sind.

Genau hier liegt die organisatorische Herausforderung: Eine Migration betrifft nicht nur einen Algorithmus, sondern Protokolle, Bibliotheken, Zertifikatsketten, Geräte‑Firmware und oft auch externe Partner. Besonders bei PKI‑Landschaften sind lange Migrationszeiten realistisch, weil neue Zertifikate, Richtlinien, HSM‑Support und Rollout‑Fenster zusammenpassen müssen.

… und ab 2035 auch für elektronische Signaturen

Für Signaturen setzt das BSI einen späteren, aber ebenfalls festen Horizont. Die alleinige Nutzung klassischer RSA-/ECC-Signaturverfahren wird nach aktuellem Kenntnisstand voraussichtlich nur noch bis Ende 2035 empfohlen.  Spätestens bis 2035 soll die Umstellung auf quantensichere Signaturen erfolgt sein. Auch hier ist die bevorzugte Variante hybrid, etwa durch das Aneinanderfügen einer klassischen ECC / RSA mit einer PQC‑Signatur, die nur gemeinsam als gültig zählt.

Bei elektronisch signierten Dokumenten ist die eigentliche „Krypto‑Frage“ nicht nur das Signieren heute, sondern vor allem die nachträgliche Prüfbarkeit über viele Jahre, oft weit über den Lebenszyklus von IT‑Systemen hinaus. Das BSI rät deshalb, bei Langzeitbedarf künftige PQC-Umstellungen zeitnah einzuplanen und alte Dokumente bei Bedarf mittels Übersignierung mit aktualisierten Verfahren erneut abzusichern. Für diese langfristige Beweiswerterhaltung verweist das BSI auf TR‑03125, welche die Beweiswerterhaltung kryptographisch signierter Dokumente regelt.

Was heißt das für Unternehmen heute?

Die Herausforderung liegt nicht in der Anwendung der neuen PQC-Verfahren, sondern in der Inventarisierung der betroffenen Applikationen und Services sowie in der risikobasierten Bewertung des jeweiligen Schutzbedarfs und der Migrationskomplexität. Ein umfassendes Migrationsprojekt, das die wichtigsten Applikationen und Services beinhaltet, dauert aufgrund von Abhängigkeiten und Lebenszyklen oft mehrere Jahre und muss daher frühzeitig geplant werden.

Das Vorgehen heißt «Kryptoagilität», welche das BSI explizit in der TR-02102-1 erwähnt. Kryptoagilität beschreibt die organisatorische, technische und prozessuale Fähigkeit, kryptografische Mechanismen flexibel zu ersetzen oder zu erweitern, ohne dass wesentliche Änderungen am Rest des Gesamtsystems vorgenommen werden müssen. Auf Basis dieses Vorgehens können sich Organisationen formell, effizient und gezielt diesen Herausforderungen stellen.

PQC‑Migration pragmatisch umsetzen

Mit unserem praxiserprobten Framework starten Sie schnell: Bestandsaufnahme, Pilot, Hybrid‑Rollout. Sprechen wir über Ihren Fahrplan zur PQC‑Migration.
Kontaktieren Sie uns

Mit Verspätung hat der deutsche Gesetzgeber das NIS2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 in Kraft ist. Darin sind zahlreiche Anforderungen zur Cybersicherheit vorgeschrieben, die es nun zeitnah umzusetzen gilt. Allerdings schwirren hierbei einige verwirrende Begrifflichkeiten durch das Gesetz: Sektoren mit hoher Kritikalität nach der NIS-2-Richtlinie werden in Deutschland meist als „besonders wichtige Einrichtungen“ (darunter die bisherigen KRITIS-Einrichtungen), teilweise aber auch „nur“ als „wichtige Einrichtungen“ bezeichnet. Andere kritische Sektoren sind analog eingeordnet.

Einige Umsetzungsvorschriften erfolgen erst noch durch Rechtsverordnungen des Bundesministeriums des Inneren (BMI), die sektorspezifisch zu erfüllende Vorgaben formulieren sollen, soweit die Europäische Kommission nicht selbst entsprechende Vorgaben macht, denn EU-Vorgaben sind immer vorrangig. Dies ist für IT-Dienstleister durch die Europäische Kommission bereits per Durchführungsverordnung 2024/2690 erfolgt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kann für besonders wichtige Einrichtungen Nachweispflichten vorschreiben, für wichtige Einrichtungen jedoch nur bei nachgewiesener unzureichender Umsetzung. Für letztere gilt insoweit der Grundsatz „bloß nicht auffallen…“.

Umzusetzende NIS2-Anforderungen in Deutschland

Bevor Sie nun komplett den Überblick verlieren, besteht Hoffnung in zweierlei Hinsicht:

Die innerhalb von drei Jahren umzusetzenden NIS2-Anforderungen sind nachvollziehbar und entsprechen üblicher Praxis der Informationssicherheit. Mit einem NIS2 as a Service Konstrukt (NIS2aaS) erhalten Sie Klarheit und tatkräftige Unterstützung bei der Umsetzung.

Bei NIS2aaS sind insoweit „nur“ die relevanten Bausteine zu identifizieren, zu denen externe Unterstützung benötigt wird. Folgende Elemente sollten durch Eigenleistung oder mit einem geeigneten NIS2aaS adressiert werden:

  • Umsetzung geeigneter, verhältnismäßiger und wirksamer technischer und organisatorischer Maßnahmen nach Stand der Technik unter Berücksichtigung europäischer und internationaler Normen (z.B. ISO/IEC 27001), um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Das setzt voraus, im ISMS betreffende Maßnahmen identifiziert zu haben und deren Aufrechterhaltung regelmäßig zu überprüfen und bei Bedarf fortzuentwickeln.
  • Einsatz nur zugelassener Produkte, Dienste und Prozesse zur Informations- und Kommunikationstechnik (IKT), die über eine Cybersicherheitszertifizierung verfügen. In einer Rechtsverordnung wird erst noch durch das BMI festgelegt, für welche IKT-Produkte, -Dienste und -Prozesse das vorgeschrieben sein wird. Die Vorgaben zur Cybersicherheitszertifizierung selbst werden wiederum durch das BSI festgelegt.
  • Meldung erheblicher Sicherheitsvorfälle an BSI und BBK: Erstmeldung innerhalb von 24 Stunden nach Kenntniserlangung mit Aktualisierung und Bewertung (unter Angabe der Kompromittierungsindikatoren) innerhalb von 72 Stunden! Diese Meldepflicht gilt bereits jetzt!
  • Teilnahme an Schulungen und Sensibilisierungsmaßnahmen zur Sicherheit in der Informationstechnik – insbesondere auch durch Geschäftsleitungen. Eine als „unzuverlässig“ vom BSI eingestufte Geschäftsleitung kann bei besonders wichtigen Einrichtungen deren Ausübung der Geschäftsleitungstätigkeit durch das BSI vorübergehend untersagt werden.
  • Durchführung von Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen nach drei Jahren ab Inkrafttreten des Gesetzes unter Vorlage entsprechender Nachweise ans BSI für besonders wichtige Einrichtungen, für die das BSI dies aufgrund des bestehenden Ausmaßes der Risikoexposition, der Größe der Einrichtung sowie der Eintrittswahrscheinlichkeit und Schwere von möglichen Sicherheitsvorfällen sowie ihrer möglichen gesellschaftlichen und wirtschaftlichen Auswirkungen angeordnet hat; weiterhin explizit gültig für Betreiber kritischer Anlagen. Erfahrungsgemäß legt das BSI solche Vorgaben recht kurzfristig fest, so dass innerhalb von einem Jahr bis maximal zwei Jahren entsprechende Nachweisverfahren in Gang gesetzt werden müssen.

Vorgeschriebene Mindestmaßnahmen für das Risikomanagement

Umzusetzende Maßnahmen müssen mindestens das Folgende umfassen:

1. Dokumentierte Konzepte z.B. in Form einer Richtlinie, zur Risikoanalyse sowie zur Sicherheit in der Informationstechnik.

2. Vorgehen zur Bewältigung von Sicherheitsvorfällen, inkl. Erkennung und Behandlung von Ereignissen, die die Verfügbarkeit, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten, die über informationstechnische Systeme, Komponenten und Prozesse angeboten werden oder zugänglich sind.

3. Aufrechterhaltung des Betriebs durch Backup-Management und Wiederherstellung nach einem Notfall sowie durch Etablierung eines Krisenmanagements.

4. Gewährleistung der Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte in den Beziehungen zu unmittelbaren Anbietern oder Dienstleistern.

5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen.

6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik.

7. Durchführung grundlegender Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik.

8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren.

9. Konzepte für die Sicherheit des Personals, der Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen.

10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder „kontinuierlichen“ Authentifizierung, zur gesicherten Sprach-, Video- und Textkommunikation sowie gesicherter Notfallkommunikationssysteme innerhalb der Einrichtung.

Typische NIS2aaS-Leistungen zur Umsetzung

Folgende Bausteine eines NIS2aaS unterstützen Sie bei der Umsetzung:

  • Aufbau eines geeigneten cybersicherheitsbezogenen Risikomanagements mit jährlich aktualisierten Risikoanalysen und Schwachstellenermittlungen in Form von Penetrationstests, in denen der Tester in die Rolle eines Angreifers schlüpft, oder Angriffssimulationen (z.B. in Form eines Attack Path Managements) und ggf. einer Übernahme der Funktion als Cyber Risk Manager.
  • Etablierung eines geeignet und effizient ausgerichteten ISMS, ggf. mit Übernahme der Funktion zugehöriger Funktionen als (Chief) Information Security Officer, Interner Auditor und/oder Begleiters zur Vorbereitung bei der Erbringung geforderter Nachweise oder Erlangung benötigter Zertifizierungen.
  • Etablierung eines Security Operation Centers (SOC), das frühzeitig den Eintritt von Sicherheitsvorfällen erkennt, rasch reagiert und die Einhaltung von Meldepflichten unterstützt.
  • Wiederkehrende Bestätigung ausreichender Resilienz durch Disaster Recovery Checks, Table Top Exercises und andere Notfallübungen.
  • Jährliche Bewertung der Sicherheit in der Lieferkette und damit verbundener Abhängigkeiten.
  • Durchführung geforderter Awareness-Trainings für Führungskräfte als auch Mitarbeitende.

Die SITS bietet Ihnen passende NIS2aaS-Leistungen an. Näheres finden Sie auf unserer NIS2 as a Service Seite.  Wir verfügen über umfassende Erfahrung in der Cybersicherheit und unterstützen Sie gerne bei der Umsetzung.

Beratung anfragen

Künstliche Intelligenz hat die Arbeitswelt, die Forschung und auch Cybersecurity tiefgreifend verändert. Doch dieselben Technologien, die Unternehmen heute schützen sollen, stehen auch Cyberkriminellen zur Verfügung. Generative KI wird zunehmend eingesetzt, um Schadsoftware zu entwickeln, Phishing-Kampagnen zu personalisieren, Social-Engineering-Angriffe zu automatisieren und Sicherheitsbarrieren zu umgehen.

Diese Entwicklung verschärft die Bedrohungslage 2025 erheblich: Angriffe werden schneller, gezielter und schwerer zu erkennen. In diesem Artikel beleuchten wir die wichtigsten KI-gestützten Angriffsszenarien – von AI-generierter Ransomware über autonome Angriffsagenten bis hin zu Prompt-Injection-Angriffen – und zeigen, wie Unternehmen ihre Verteidigung neu ausrichten können.

Was ist AI-generierte Ransomware?

Klassische Ransomware verschlüsselt Daten und fordert Lösegeld. Mit generativer KI heben Angreifer diesen Ansatz auf ein neues Level. Beispiele aus neuesten Analysen zeigen:

  • Claude Code von Anthropic wurde von Hackern missbraucht, um Malware zu programmieren, Schwachstellen zu identifizieren und maßgeschneiderte Erpresserschreiben zu verfassen.[1]
  • Ein Proof-of-Concept namens PromptLock zeigte, wie KI Ransomware dynamisch verschleiern und anpassen kann.

Angriffe lassen sich in kürzester Zeit vorbereiten, professionalisieren und skalieren, oft ohne tiefes technisches Wissen. Das macht AI-Ransomware so gefährlich: Sie ist flexibel, automatisiert und kaum vorhersehbar.

Insider-Bedrohungen durch KI-Agenten

Ein weiteres Feld, in dem KI die Spielregeln verändert, sind abgewandelte Insider Threats . Laut einer aktuellen Exabeam-Studie stufen 64 % der Unternehmen KI-gesteuerte Insider-Bedrohungen als gefährlicher ein als klassische externe Attacken.[2]

Warum?

KI-Agenten sind in der Lage, mit gestohlenen Zugangsdaten unauffällig in Unternehmensnetzwerken zu agieren. Dabei analysieren sie kontinuierlich Logfiles, passen ihr Verhalten an die Umgebung an und imitieren die Aktivitäten normaler Nutzer. Selbst erfahrene SOC-Teams haben Schwierigkeiten, diese Bewegungen von legitimen Vorgängen zu unterscheiden, was die Erkennung und Abwehr deutlich erschwert.

Damit ist der „Insider“ nicht mehr nur der frustrierte Mitarbeiter oder externe Partner, sondern auch ein autonomer KI-Agent, der sich im Unternehmensnetz bewegt.

Cybercrime as a Service: KI als Angriffs-Werkzeug

Früher war Ransomware-as-a-Service (RaaS) ein Geschäftsmodell, heute sorgt KI für eine neue Dimension. Laut einem Bericht von Anthropic und weiteren Experten nutzen Angreifer KI bereits für:

  • Recherche: Scans nach verwundbaren Zielen in Sekundenschnelle
  • Malware-Generierung: Anpassung von Schadcode auf spezifische Systeme
  • Social Engineering: Erstellung überzeugender Phishing-Mails / gefälschter Identitäten
  • Automatisierte Kampagnen: KI erledigt den gesamten Ablauf, von der Erstinfektion bis zur Erpressung

Diese Entwicklung bedeutet: Angriffe werden schneller, komplexer und personalisierter. Unternehmen sehen sich einer Bedrohung gegenüber, die in Qualität und Quantität skaliert.[1][3]

Verteidigung mit KI: Abwehr auf Augenhöhe

Verteidiger müssen KI genauso nutzen wie Angreifer, sonst haben sie im Wettlauf um die Sicherheit das Nachsehen.[4] Angriffe entwickeln sich heute in einer Geschwindigkeit, die ohne automatisierte Unterstützung kaum zu überblicken ist. KI-basierte Abwehrsysteme helfen nicht nur, große Datenmengen in Echtzeit auszuwerten, sondern auch subtile Angriffsmuster zu erkennen, die menschlichen Analysten entgehen würden. Nur wer seine Sicherheitsarchitektur aktiv mit KI-Technologien weiterentwickelt, bleibt in diesem dynamischen Umfeld widerstandsfähig.

Zu den wichtigsten Ansätzen gehören:

Behavioral Analytics

KI-gestützte Systeme erkennen Anomalien im Verhalten von Nutzern, Endpoints und Netzwerken. Unerwartete Muster werden sofort markiert, auch wenn die Malware selbst neu ist.  Da dieser Ansatz nicht auf bekannten Signaturen basiert, sondern auf Verhaltensabweichungen, ist er besonders gut gegen neuartige, KI-gestützte Angriffe geeignet.

Anomalie-Erkennung durch kleine KI-Modelle

Neben großen Sprachmodellen (LLMs) wie GPT oder Claude werden kleinere, spezialisierte Modelle (z. B. LLaMA, Mistral) in der Abwehr eingesetzt. Sie prüfen in Echtzeit Anfragen, Code oder Befehle auf Manipulationen.

Prompt-Injection-Abwehr

KI-Systeme selbst müssen gegen Angriffe wie „Prompt Injection“ geschützt werden. Hierbei manipulieren Angreifer Eingaben so, dass ein KI-Modell vertrauliche Informationen preisgibt oder falsche Aktionen ausführt.

LLM-Schutzlayer

Ergänzende Sicherheitsschichten, die speziell Sprachmodelle überwachen und gefährliche Ausgaben blockieren, gewinnen an Bedeutung.

Praktische Empfehlungen für Unternehmen

Um gegen KI-gestützte Angriffe gewappnet zu sein, sollten Organisationen folgende Schritte umsetzen:

  • UEBA einführen: User & Entity Behavior Analytics hilft, verdächtige Aktivitäten schnell zu erkennen.
  • Incident Response automatisieren: KI kann Vorfälle vorsortieren, klassifizieren und beschleunigt reagieren. Steigende regulatorische Vorgaben sind ein Treiber für bessere Sicherheitsarchitekturen. Die NIS2-Richtlinie, ebenso wie andere Regularien, verpflichten Unternehmen zu stärkerem Schutz – ein guter Anlass, moderne KI-Sicherheitslösungen einzuführen.
  • Awareness-Programme erweitern: Mitarbeitende müssen verstehen, dass Phishing und Social Engineering jetzt oft von KI perfektioniert werden.
  • Kontinuierliches Monitoring: Dark-Web-Scans und Threat Intelligence Services (z. B. CTI-as-a-Service) helfen, neue Muster früh zu identifizieren.

Fazit

Die Ära der AI-generierten Ransomware ist bereits in vollem Gange. Unternehmen stehen vor einer Bedrohungslage, die sich rasant entwickelt: von KI-erstellter Malware über Insider-Agenten bis hin zu vollautomatisierten Angriffskampagnen.

Die gute Nachricht: Mit derselben Technologie können Unternehmen ihre Verteidigung stärken. KI gegen KI – das ist die Realität der Cyberabwehr im Jahr 2025.

Wer jetzt handelt, stärkt nicht nur seine Widerstandsfähigkeit, sondern sichert auch seine Zukunft.

Quellen

[1] Barrett, B. (2025) Anthropic admits hackers have ‘weaponized’ its tools – and cyber experts warn it’s a terrifying glimpse into how quickly AI is changing the threat landscape. ITPro. Verfügbar unter: https://www.itpro.com/security/cyber-crime/anthropic-admits-hackers-have-weaponized-its-tools-and-cyber-experts-warn-its-a-terrifying-glimpse-into-how-quickly-ai-is-changing-the-threat-landscape

[2] Exabeam (2025) 'From Human to Hybrid: How AI and the Analytics Gap Are Fueling Insider Risk'. Verfügbar unter: https://www.exabeam.com/hubs/from-human-to-hybrid-how-ai-and-the-analytics-gap-are-fueling-insider-risk/

[3] Sabin, S. (2025) Hacker used AI to launch unprecedented cyberattack – and it could happen again. Tom’s Guide. Verfügbar unter: https://www.tomsguide.com/ai/hacker-used-ai-to-launch-unprecedented-cyberattack-and-it-could-happen-again

[4] Newton, C. (2025) Artificial intelligence is changing cybersecurity: Here’s how companies are responding. Business Insider. Verfügbar unter: https://www.businessinsider.com/artificial-intelligence-cybersecurity-large-language-model-threats-solutions-2025-5

Kaum ein Thema wird derzeit so intensiv diskutiert wie der sichere Einsatz von KI im Unternehmensalltag. Zwischen Datenschutz, Regulatorik und Produktivitätsdruck fragen sich viele Organisationen: Wie können wir Copilot nutzen, ohne Risiken zu schaffen?

Die Antwort liegt nicht in der Technologie allein – sondern in der Architektur dahinter. Denn Microsoft 365 Copilot respektiert zwar bestehende Zugriffsmodelle, Sensitivitätslabels und Verschlüsselung. Doch all das hilft wenig, wenn im Unternehmen historisch gewachsene Freigaben, öffentliche Sites und „Anyone“-Links die Kontrolle unterlaufen. Oversharing ist das stille Problem, das die Qualität von KI-Antworten und die Datensicherheit gleichermaßen gefährdet.

Governance wird so vom Randthema zum strategischen Fundament: Sie macht ein Zuviel an Zugriff sichtbar, steuerbar und messbar. Und genau hier beginnt die Transformation – weg von reaktiver Kontrolle, hin zu produktiver Verantwortung.

Warum Governance der Schlüssel ist

Künstliche Intelligenz entfaltet ihren Wert nur auf Basis vertrauenswürdiger Datenräume. Wenn Copilot Antworten liefert, dann sind diese nur so gut wie die Informationsarchitektur, auf der sie basieren. Oversharing untergräbt dabei beides – Vertrauen und Präzision.

Moderne Governance-Modelle schaffen Abhilfe: Sie definieren klare Datenverantwortlichkeiten, reduzieren Zugriffsrechte auf das Nötigste und machen Sensitivität sichtbar. Das Ergebnis: KI, die auf stabilen Leitplanken fährt.

Es geht nicht darum, den Zugriff zu erschweren – sondern darum, den Wert von Daten sicher zu steigern. Governance ist kein Compliance-Zwang, sondern der Hebel, der Copilot erst verlässlich und skalierbar macht.

Individuelle Souveränität: Vertrauen in jede Antwort

Wer Copilot nutzt, möchte sich darauf verlassen, dass die gelieferten Informationen relevant, korrekt und erlaubt sind. Sichtbare Sensitivitätslabels und durchdachte DLP-Richtlinien bilden dabei das Rückgrat dieses Vertrauens.

Copilot verarbeitet Inhalte nur, wenn die Nutzerin oder der Nutzer die entsprechenden Rechte besitzt. Bestimmte Labels – etwa „Top Secret“ – können sogar vollständig von der Antwortgenerierung ausgeschlossen werden. Die Datei bleibt zugreifbar, aber Copilot verwendet sie nicht als Quelle.

Dieses Zusammenspiel aus Transparenz und Schutz macht Datenkompetenz greifbar. Mitarbeitende verstehen, woher Informationen stammen, und arbeiten souveräner mit KI – ohne Angst vor Fehltritten.

Teams im Gleichgewicht: Ordnung ohne Bürokratie

In der Teamarbeit zeigt sich Governance in ihrer pragmatischsten Form. Der Site Access Review etwa ermöglicht es, Berechtigungen dort zu prüfen, wo sie entstehen – in den Fachbereichen selbst.

Teamleitungen erhalten automatisch eine Liste mit potenziell problematischen Freigaben, wie gebrochener Vererbung oder anonymen Links. So können sie Bereinigungen eigenständig durchführen, ohne dass IT-Teams jedes Detail manuell nachverfolgen müssen.

Währenddessen sorgt Restricted Content Discovery (RCD) dafür, dass betroffene Sites vorübergehend von Copilot ausgeblendet werden. Das Team arbeitet weiter, bereinigt parallel – und die Sicherheit steigt Schritt für Schritt. Governance wird so zum natürlichen Bestandteil der Teamroutine, nicht zur Belastung.

Teams im Gleichgewicht: Ordnung ohne Bürokratie

In der Teamarbeit zeigt sich Governance in ihrer pragmatischsten Form. Der Site Access Review etwa ermöglicht es, Berechtigungen dort zu prüfen, wo sie entstehen – in den Fachbereichen selbst.

Teamleitungen erhalten automatisch eine Liste mit potenziell problematischen Freigaben, wie gebrochener Vererbung oder anonymen Links. So können sie Bereinigungen eigenständig durchführen, ohne dass IT-Teams jedes Detail manuell nachverfolgen müssen.

Währenddessen sorgt Restricted Content Discovery (RCD) dafür, dass betroffene Sites vorübergehend von Copilot ausgeblendet werden. Das Team arbeitet weiter, bereinigt parallel – und die Sicherheit steigt Schritt für Schritt. Governance wird so zum natürlichen Bestandteil der Teamroutine, nicht zur Belastung.

Organisationen im Überblick: Steuerbare Risiken, messbarer Fortschritt

Skalierung braucht Sichtbarkeit. Mit dem Permission State Report aus SharePoint Advanced Management lässt sich auf Organisationsebene nachvollziehen, wie weitreichend Berechtigungen verteilt sind – bis zu einer Million Sites auf einen Blick.

Microsoft Purview ergänzt diese Übersicht durch das DSPM for AI Assessment: Es identifiziert regelmäßig die meistgenutzten Sites, bewertet ihre Sensitivität und erkennt typische Oversharing-Muster. In kritischen Bereichen kann Restricted Access Control (RAC) den Zugriff auf definierte Gruppen begrenzen.

Was entsteht, ist eine operative Blaupause: Governance, die messbar ist, Risiken quantifiziert und Fortschritt sichtbar macht. Nicht mehr nur reaktive Sicherheit, sondern aktive Steuerung.

Use Cases aus der Praxis

  • Ein M&A-Team arbeitet mit streng vertraulichen Dokumenten, die durch ein „Top Secret“-Label geschützt sind. Eine Purview-DLP-Regel verhindert, dass Copilot diese Inhalte verarbeitet. Wird eine Anfrage gestellt, verweist Copilot transparent auf die Richtlinie – der Zugriff bleibt geschützt, der Arbeitsfluss ungestört.
  • In einem Projektteam führen Site Access Reviews zu einer Woche gezielter Bereinigung: „Anyone“-Links werden entfernt, Vererbungen korrigiert. Währenddessen schützt RCD die Site vor KI-Zugriff. Die Fachseite löst das Problem eigenständig, ohne IT-Overhead.
  • Auf Unternehmensebene schließlich wird ein E5-Governance-Blueprint nach dem Prinzip Pilot → Deploy → Operate umgesetzt. Innerhalb weniger Tage sind die Top-100-Sites identifiziert, analysiert und priorisiert. Kritische Bereiche erhalten RAC-Schutz, und wiederkehrende Assessments sorgen für dauerhafte Hygiene.

Messen, was zählt: Von Kennzahlen zu Kultur

Was man nicht misst, kann man nicht steuern – und das gilt auch für KI-Governance. Der Oversharing Exposure Index (OEI) zeigt, wie viele Dateien oder Sites zu offen geteilt sind. Der Wert allein ist keine Anklage, sondern ein Startpunkt für gezielte Verbesserung.

Mit der Permissions Hygiene (P95) wird sichtbar, wie viele Personen tatsächlich Zugriff auf eine Site haben und ob Ausreißer das Sicherheitsniveau gefährden. Die Label Coverage Rate zeigt, wie konsequent sensible Inhalte klassifiziert und geschützt werden.

Diese Zahlen sind mehr als Kennwerte – sie werden zum Kompass. Werden sie regelmäßig erhoben und in die OKRs der Data Owner integriert, entsteht eine Kultur, in der Governance selbstverständlich ist. Eine, in der KI nicht nur sicher, sondern wirksam arbeitet.

Die Architektur dahinter: Bausteine nachhaltiger Governance

Hinter erfolgreicher KI-Governance stehen keine Zufälle, sondern präzise Werkzeuge.

Der SAM DAG Permission State Report scannt Millionen von Sites und deckt gnadenlos auf, wo Berechtigungen zu weit gefasst sind.

Das Site Access Review delegiert Verantwortung an die Fachseiten, während RCD temporär sensible Inhalte aus Copilot ausblendet. RAC wiederum schützt besonders kritische Datenräume durch klare Whitelists.

Microsoft Purview liefert mit DSPM for AI regelmäßige Assessments und erlaubt den Drilldown bis auf Dateiebene. Kombiniert mit DLP für Copilot entsteht ein fein abgestimmtes Sicherheitsnetz – transparent, nachvollziehbar und skalierbar.

Diese Komponenten greifen ineinander wie Zahnräder. Sie automatisieren Kontrolle, fördern Eigenverantwortung und machen KI-Governance zu einem dauerhaften Qualitätsmerkmal.

Ausblick: Secure-by-Default als neues Normal

Microsofts Roadmap zeigt, wohin die Reise geht: Ein-Klick-Assessments, erweiterte Delegationsmodelle, Policies-as-Code. Governance wird nicht mehr add-on, sondern Betriebssystem – ein integraler Bestandteil moderner Zusammenarbeit.

Das Ziel ist klar: Ein Secure-by-Default-Modell, in dem Datenräume strukturiert, Rechte überprüft und Teams befähigt sind, ihre Umgebung eigenständig zu pflegen. Governance wird damit nicht zur Bremse, sondern zum Booster – für Sicherheit, Produktivität und Vertrauen in Copilot.

Fazit: Governance ist kein Nebenprojekt – sie ist der Schlüssel zum Erfolg

Hinter erfolgreicher KI-Governance stehen keine Zufälle, sondern präzise Werkzeuge.

Copilot kann nur so gut sein wie die Daten, die ihm zur Verfügung stehen. Oversharing-Governance ist deshalb keine technische Nebensache, sondern die Voraussetzung für echten Geschäftswert.

Wer Governance früh etabliert, schafft die Grundlage für eine KI, die nicht nur produktiv, sondern auch verantwortungsvoll arbeitet. So wird Copilot nicht zum Risiko – sondern zum strategischen Erfolgsfaktor der digitalen Zusammenarbeit.

Die aktuelle Cybersicherheitsregulierung der EU hat eine zentrale Schwachstelle für Cyberbedrohungen erkannt: Die Supply Chain. Angriffe erfolgen zunehmend indirekt über eingesetzte Lieferketten. Sei es, dass über die Supply Chain Malware verteilt wird oder benötigte Dienstleister oder Dienste nicht ausreichend verfügbar sind. Daher finden sich in der NIS-2-Richtlinie, der DORA-Verordnung, der Cyberresilienz-Verordnung, der neuen Produkthaftungsrichtlinie und zahlreichen weiteren Vorschriften vor allem Anforderungen zur Absicherung von Schnittstellen zu Lieferanten und Dienstleistern, sobald sich deren Tätigkeit auf eigene Netz- und Informationssysteme auswirken kann. Die Folgen sind weitreichend, denn letztlich ist doch nahezu jeder Teil einer für irgendwen relevanten Lieferkette.

NIS2 zum Ersten: Einrichtungen der Supply Chain im besonderen Fokus

Unabhängig von der nationalen Umsetzung hat die Europäische Union nahezu zeitgleich mit dem Inkrafttreten der NIS-2-Richtlinie die Durchführungsverordnung 2024/2690 erlassen. Darin wird festgelegt, welche Risikomanagementmaßnahmen im Bereich Cybersicherheit verpflichtend umzusetzen sind. Adressaten sind:

  • DNS-Diensteanbieter,
  • TLD-Namenregister,
  • Anbieter von Cloud-Computing-Diensten,
  • Anbieter von Rechenzentrumsdiensten,
  • Betreiber von Inhaltszustellnetzen (d.h. Betreiber eines Netzes dezentraler Server zur Gewährleistung hoher Verfügbarkeit, Zugänglichkeit oder schnellen Zustellung digitaler Inhalte und Dienste für Internetznutzer),
  • Anbieter verwalteter Dienste (d.h. Anbieter von Diensten im Zusammenhang mit Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder jeglicher anderer Netz- und Informationssysteme),
  • Anbieter verwalteter Sicherheitsdienste (d.h. Anbieter verwalteter Dienste, die Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich Cybersicherheit durchführen oder erbringen),
  • Anbieter von Online-Marktplätzen,
  • Anbieter von Online-Suchmaschinen,
  • Anbieter von Plattformen für Dienste sozialer Netzwerke und
  • Vertrauensdiensteanbieter (d.h. Anbieter von Diensten zur Erstellung, Überprüfung und Validierung von elektronischen Signaturen, elektronischen Zeitstempeln, elektronischen Siegeln bzw. elektronischen Zertifikaten).

Die Besonderheit für diese Einrichtungen besteht darin, dass sie durch EU-Recht bereits eindeutig bestimmt sind, weshalb eine nationale Präzisierung nicht mehr erforderlich ist. Dieser Teil der Supply Chain ist folglich verpflichtet, die Vorgaben aus der Durchführungsverordnung unmittelbar umzusetzen. Diese ist seit dem 28.10.2024 in Kraft. Wer also eigene IT-Dienstleistungen erbringt und nicht nur Produkte mit digitalen Elementen bereitstellt, die der Nutzer anschließend selbst betreibt, ist seither zur Umsetzung NIS2-spezifischer Anforderungen verpflichtet.

Für die genannten Einrichtungen wurde in der Durchführungsverordnung im Einzelnen festgelegt, was genau umzusetzen ist:

  • im Konzept für die Sicherheit von Netz- und Informationssystemen,
  • im Konzept für das Risikomanagement,
  • im Konzept zur Bewältigung von Sicherheitsvorfällen,
  • im Betriebskontinuitäts- und Krisenmanagement,
  • bei der Sicherheit der Lieferkette,
  • bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen,
  • im Konzept zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich Cybersicherheit,
  • im Bereich der Cyberhygiene (d.h. Maßnahmen zur Cybersicherheit),
  • bei Schulungen im Bereich Cybersicherheit,
  • bei der Kryptografie,
  • bei der Sicherheit des Personals,
  • bei der Zugriffskontrolle,
  • beim Anlagen- und Wertemanagement und
  • bei der Sicherheit des Umfelds und physischer Sicherheit.

Im Wesentlichen entspricht das üblichen Anforderungen, wie sie sich bereits aus der ISO/IEC 27001 ergeben. In diesem Zusammenhang wurden jedoch detaillierte Kriterien festgelegt, ab wann ein erheblicher Sicherheitsvorfall vorliegt, der entsprechend kurzfristig zu melden ist. Da in begründeten Fällen Abweichungen von den Vorgaben zulässig sind, sofern diese dokumentiert werden, besteht hier ein interessanter Gestaltungsspielraum. Dieser sollte möglichst frühzeitig genutzt werden, damit sich diese Einrichtungen gegenüber Auftraggebern geeignet positionieren können. Das setzt aber umfassendes Erfahrungswissen voraus.

Bei der Sicherheit der Lieferkette der verpflichteten Einrichtungen sind insbesondere die Beziehungen zu den direkten (!) Anbietern und Dienstleistern hinsichtlich der damit verbundenen Risiken für Netz- und Informationssystemen zu minimieren. Hierzu sind besondere Verpflichtungen in Beauftragungen vorzunehmen.

Neben den genannten Einrichtungen betreffen die Anforderungen folglich auch deren unmittelbare Lieferkette!

 

NIS2 zum Zweiten: Weitere IT-bezogene Einrichtungen der Supply Chain

Im Rahmen der NIS-2-Richtlinie werden weitere Einrichtungen mit starkem IT-Bezug aus der Supply Chain adressiert. Für diese gelten, im Gegensatz zu den zuvor genannten Einrichtungen, „nur“ die allgemeinen NIS2-Anforderungen:

  • Betreiber von Internet-Knoten,
  • Anbieter öffentlicher elektronischer Kommunikationsdienste,
  • Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste,
  • Hersteller von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen (z.B. Hersteller von Mikroprozessoren, Druckern, Monitoren, Soundkarten, Grafikkarten, Netzwerkkarten, Desktop-Computern, Laptops, Mainframes, PDAs, Speichermedien, Servern, Scannern, Chipkartenlesern, Point-of-Sale-Terminals, Telefongeräten, Routern, Mobiltelefonen, Feuermeldern, Fernsehern, Stereoanlagen, Lautsprechern, Mikrofonen, Kopfhörern, Videospielgeräten, Zeiterfassungsgeräten, elektromedizinischen Geräten u.v.a.m.)

Gerade bei den aufgelisteten Herstellern werden i.d.R. Produkte mit digitalen Elementen eingesetzt. Diese unterliegen zusätzlich den Anforderungen der Cyberresilienz-Verordnung, die spätestens bis zum 11. Dezember 2027 umzusetzen sind. Bereits zum 9. Dezember 2026 müssen die EU-Mitgliedsstaaten zudem die neuen Vorgaben aus der EU-Produkthaftungsrichtlinie umsetzen, weshalb entsprechende Vorgaben ab dann auch sanktionierbar sind. Auch für diese Einrichtungen gilt: Das Warten auf ein nationales Umsetzungsgesetz ist nicht die beste Entscheidung. Anpassungen interner Abläufe sind unvermeidlich und benötigen erfahrungsgemäß Zeit.

Die übrigen drei Bereiche sind bereits heute durch das Telekommunikationsrecht entsprechend verpflichtet. Ergo sind hier die Hersteller die eigentliche Zielgruppe der neuen Anforderungen zur Cybersicherheit.

DORA: Auch indirekte Supply Chain betroffen

Für den Finanzsektor wurden die Anforderungen an die Lieferkette (hier „IKT-Drittdienstleister“ genannt) im Vergleich zu NIS2 verschärft. Neben der DORA-Verordnung selbst konkretisieren zahlreiche delegierte Verordnungen und Durchführungsverordnungen auf EU-Ebene, was verbindlich umzusetzen ist:

  • bei der Gewährleistung der IKT-Betriebssicherheit,
  • bei der Beschaffung, Entwicklung und Wartung von IKT-Systemen,
  • bei den zu vereinbarenden Vertragsinhalten,
  • bei der Meldung schwerwiegender IKT-bezogener Vorfälle als auch
  • hinsichtlich eines Ausfalls eines relevanten IKT-Drittdienstleisters.

Im Rahmen von DORA müssen die vom IKT-Drittdienstleister eingesetzten Lieferanten und Dienstleister (Unterauftragnehmer) gegenüber der Einrichtung aus dem Finanzsektor (mit Angabe des jeweiligen obersten Mutterunternehmens) benannt und ins zugehörige Informationsregister eingetragen werden, das von der Finanzaufsichtsbehörde gezielt ausgewertet wird. Gilt ein IKT-Drittdienstleister oder dessen Unterauftragnehmer für den Finanzsektor als „kritisch“, da mindestens 10 % der Einrichtungen von einem Teil dieser Lieferkette bedient werden, dann unterliegt dieser zusätzlich der Kontrolle durch die Finanzaufsichtsbehörde.

Entsprechend verpflichtet sind:

  • Dienstleister im Zusammenhang mit IKT-Projektmanagement,
  • Dienstleister im Zusammenhang mit Unternehmensanalyse, Softwaredesign, -entwicklung, Tests von Software,
  • Dienstleister im Zusammenhang mit Helpdesk-Support und First-Level-Support bei IKT-Vorfällen,
  • Dienstleister im Zusammenhang mit Schutz, Erkennung, Reaktion bzw. Wiederherstellung von IKT-Sicherheit, einschließlich Umgang mit Sicherheitsvorfällen und Forensik,
  • Bereitsteller von IKT-Infrastruktur, Betriebsmitteln bzw. Hostingdiensten,
  • Bereitsteller digitaler Verarbeitungskapazitäten,
  • Bereitsteller von Datenspeicherplattformen,
  • Betreiber von Telekommunikationssystemen,
  • Bereitsteller von Netzwerkinfrastruktur,
  • Bereitsteller von Endgeräten, Servern und Datenspeichergeräten,
  • Bereitsteller von lokal ausgeführter Software,
  • Dienstleister im Zusammenhang mit Infrastrukturkonfiguration, Wartung, Installation, Kapazitätsmanagement, betriebliches Kontinuitätsmanagement und Anbietern verwalteter Dienstleistungen (Managed Service Provider),
  • Erbringer von Know-how bzw. IKT-Fachwissen,
  • Bereitsteller von Cloud-Diensten (IaaS, PaaS sowie SaaS) und
  • Erbringer der Risikokontrollfunktion.

Die Anzahl der zur Umsetzung verpflichteten Stellen ist somit spürbar höher als unter NIS2! Und etliche davon sind sich vermutlich noch nicht bewusst, dass sie unter diese Regulierung fallen.

Zusammengefasst: Alle IT-Dienstleister unterliegen zusätzlichen Anforderungen zur Cybersicherheit

Informations- und Kommunikationstechnik durchdringt heute nahezu alle Lebensbereiche und muss daher besondere Anforderungen zur Cybersicherheit erfüllen. Das gilt faktisch für die gesamte IT-bezogene Lieferkette. In den bisherigen NIS2-Umsetzungsplänen wird das volle Ausmaß bedauerlicherweise heruntergespielt. Die Anzahl der umsetzungspflichtigen Einrichtungen ist wesentlich größer.

Im Laufe der Zeit wird das Erstaunen über eingehende Sicherheitsanforderungen zunehmen und allen beteiligten Stellen viel Zeit und Geld kosten. Da ist es von Vorteil, sich rechtzeitig auf die neue Cybersicherheitswelt einzustellen. Wir unterstützen Sie dabei: Mit unserem NIS2-Assessment haben wir die wesentlichen Anforderungen gebündelt, damit Sie handlungsrelevante Lücken fokussiert und priorisiert angehen können. Darin stecken unsere Praxiserfahrungen aus über 100 KRITIS-Audits. So erhalten Sie schnell Kenntnis darüber, worauf es bei der Cybersicherheit wirklich ankommt.

KONTAKT AUFNEHMEN

Was würde passieren, wenn Ihre IT stillsteht?

Ein Cyberangriff legt Ihre Systeme lahm, Daten verschwinden, Kommunikation bricht ab. Ihre Kunden werden unruhig, Projekte verzögern sich, Kosten und Reputationsschäden steigen. Für viele Unternehmen ist das keine Theorie, sondern tägliche Realität. Gleichzeitig fehlen Fachkräfte, die IT wird komplexer und regulatorische Anforderungen wachsen. Die entscheidende Frage lautet: Wie widerstandsfähig ist Ihre Unternehmens-IT wirklich?

Digitale Resilienz ist Chefsache

Aktuelle Zahlen zeigen eine klare Tendenz. Führungskräfte berichten zunehmend von unnötig komplizierten Strukturen in Betrieb, Technologie und Datenmanagement. Das hemmt Innovation und erhöht Risiken. Wer in dieser Lage weiterhin nur reaktiv agiert, riskiert längere Ausfallzeiten und strategische Nachteile.

Digitale Resilienz bedeutet, auch im Ernstfall handlungsfähig zu bleiben. Sie ist die Fähigkeit, Vorfälle zu verkraften, schnell wieder arbeitsfähig zu werden und dabei das Vertrauen von Kunden und Aufsichtsbehörden zu sichern.

Zahlen, die zu denken geben

  • 90% der Unternehmen erwarten 2025 mehr Cyberangriffe[1]
  • 149.000 unbesetzte IT-Stellen in Deutschland im Jahr 2023, Tendenz steigend[2]
  • 80% der Führungskräfte empfinden ihre IT-Strukturen als unnötig komplex[3]

Security by Design - Schutz von Anfang an

Sicherheit ist heute keine nachträgliche Zusatzoption mehr. Mit Security by Design werden Schutzmechanismen von Anfang an in Services, Plattformen und Prozesse integriert. Das reduziert die Angriffsfläche, erleichtert Compliance und sorgt für einen stabilen Betrieb.

Managed Services setzen genau hier an: Sie machen Sicherheit, Governance und Compliance zu festen Bestandteilen der Betriebsarchitektur und schaffen so resiliente, zukunftssichere IT-Strukturen.

Managed Services als strategischer Hebel - mehr als nur Outsourcing

Managed Services sind mehr als ausgelagerte Aufgaben: Sie unterscheiden sich deutlich von klassischen Outsourcing-Methoden, da sie Resilienz, Effizienz und Innovation gleichzeitig stärken. Ihre internen Teams werden entlastet und können den Fokus wieder auf ihre Kernkompetenzen legen, während Standardbetrieb, Updates und Reaktionen auf Störungen zuverlässig laufen. Standardisierte und automatisierte Prozesse reduzieren manuelle Eingriffe und sichern planbare Qualität. Dokumentierte Betriebsabläufe und aussagekräftige Reports schaffen Transparenz und Auditfähigkeit. Skalierbare Services wachsen mit Ihrem Bedarf, ohne Abhängigkeiten zu erzeugen.

Gleichzeitig erhalten Unternehmen durch die Auslagerung bestimmter IT- oder Geschäftsprozesse Zugang zu spezialisiertem Fachwissen und innovativen Technologien, die intern oft nicht verfügbar sind. Dies steigert Effizienz und schafft klare Wettbewerbsvorteile. Vertrauen wird dabei zum entscheidenden Faktor: Wer souverän mit Daten und Prozessen umgeht, stärkt nicht nur die eigene Resilienz, sondern positioniert Sicherheit auch als Argument in Vertrieb und Marketing.

„Wer jetzt in Managed Services investiert, kann Risiken proaktiv minimieren, IT-Services zukunftssicher gestalten und Wettbewerbsvorteile ausbauen.“

Christoph Wolf (Director Portfolio Unit - Security & IT-Solutions, SITS)

Das 4W-Modell: Struktur und Klarheit im Service-Design

Um Leistungen anschaulich und vergleichbar zu machen, empfiehlt sich eine strukturierte Service-Architektur wie das 4W-Modell. Es basiert auf dem Security by Design Prinzip und integriert Sicherheit von Anfang an.

Was wird bereitgestellt - Core Services

Die Basis bilden klar definierte Core Services, die die zentralen Anforderungen moderner Unternehmen abdecken. Dazu gehören Sicherheits- und Infrastrukturleistungen wie Firewall Services, Managed Network Services, Virtual Server Management sowie Mail Encryption und Mail-Archivierung.

Woraus besteht der Betrieb - Additional Services

Resilienz entsteht nicht durch Technik allein, sondern durch verlässliche Betriebsbausteine:

  • Monitoring erkennt Störungen frühzeitig.
  • Regelmäßige Updates schließen Sicherheitslücken.
  • Reporting sorgt für Transparenz und liefert die Grundlage für fundierte Entscheidungen.

Diese Services ergänzen den Standardbetrieb und heben Stabilität und Sicherheit auf das nächste Level, ohne Ihre IT unnötig zu belasten.

Wie intensiv wird betreut - Operating Models

Nicht jedes Unternehmen braucht den gleichen Grad an Unterstützung. Deshalb ist es wichtig zu definieren, wie intensiv ein Managed Service ausgeprägt sein soll. Das Operating Model regelt, wie viel Verantwortung übernommen wird und wie sich Servicezeiten und SLAs gestalten:

  • Care: Grundlegende Unterstützung; Verantwortung liegt überwiegend bei Ihnen
  • Co-Managed: Geteilte Verantwortung, definierte Aufgaben werden übernommen
  • Full-Managed: Vollständige Betriebsübernahme mit höchstem Service-Level

Womit wird umgesetzt - Technology

Die Wahl der richtigen Plattformen und Sicherheitslösungen ist entscheidend für Flexibilität, Skalierbarkeit und Compliance. Eine kuratierte Auswahl bewährter Technologiepartner erleichtert diesen Prozess und stellt höchste Standards sicher.

Praxisblick: Resilienz messbar gemacht

Ein Beispiel aus der Industrie zeigt, wie Managed Services konkret wirken: Ein mittelständisches Unternehmen modernisierte den Plattformbetrieb mit einer Hybridlösung aus Azure und Private Cloud. Backup-, Patch- und Monitoring-Services sowie dokumentierte Betriebsprozesse wurden eingeführt.

Das Ergebnis: Die Wiederherstellungszeit sank um 60%, die interne IT gewann Kapazität für Innovationsprojekte und das Auditrisiko wurde deutlich reduziert.

Trends, die den Handlungsdruck erhöhen

  • Sicherheit als integraler Bestandteil: Sicherheitsanforderungen steigen weiter, Resilienz wird zur Steuerungsgröße
  • Regulatorik: Vorgaben wie DORA und NIS2 verlangen nachvollziehbaren, geprüften Betrieb
  • Plattformunabhängige Betriebsmodelle: Hybride Landschaften aus Private Cloud, Public Cloud und On-Prem müssen einheitlich gemanagt werden
  • Souveränität und Vertrauen: Steigender Bedarf nach Daten- und Betriebskontrolle in Europa, auch bei Nutzung von Hyperscalern

Fazit: Wer nicht Managed, wird Gemanaged

Digitale Resilienz ist keine Option, sondern die Basis unternehmerischer Handlungsfähigkeit. Manuelle Prozesse, überlastete Teams und rein reaktive Sicherheitsmaßnahmen reichen in einer immer komplexer werdenden Bedrohungslage nicht mehr aus. Die Risiken sind klar: Ausfallzeiten, Datenverluste, regulatorische Sanktionen und Vertrauensverlust.

Die Lösung liegt in einem proaktiven Ansatz:

  • Sicherheit beginnt nicht beim Alarm, sondern beim Design.
  • Resilienz entsteht nicht durch Hoffnung, sondern durch Struktur.

Jetzt ist der richtige Zeitpunkt, Verantwortung neu zu denken. Managed Services sind nicht nur die Zukunft, sie sind die Antwort auf eine Gegenwart, die bereits keine Fehler verzeiht.

[1] Bitkom 2024 https://www.bitkom.org/Presse

[2] Bitkom 2023 - https://www.bitkom.org/Presse/Presseinformation/Rekord-Fachkraeftemangel-Deutschland-IT-Jobs-unbesetzt

[3] PwC Global Digital Trust Insights 2022