Wenn Angreifer in KI-Geschwindigkeit agieren, muss die Governance Schritt halten
Eine Schwachstelle wurde an einem Montag bekannt gegeben. Am Donnerstag wurde sie bereits aktiv ausgenutzt. Die Organisation, die ich auditierte, hatte eine Managementbewertung für das nächste Quartal geplant. Drei Monate entfernt.
Diese Lücke ist die Geschichte der Cybersicherheit im Jahr 2026. Governance in KI-Geschwindigkeit bedeutet, dass eine Organisation ihre Risikobewertung und Entscheidungsfindung in dem Tempo revidieren kann, in dem sich die Bedrohung bewegt, und nicht nach dem Rhythmus des Jahreskalenders.
Jahrelang lag den meisten Managementsystemen die Annahme zugrunde, dass sich das Bedrohungsumfeld langsam genug ändert, um es jährlich zu bewerten. Jährliche Risikobewertung, jährliche Managementbewertung, jährlicher Zyklus. Das Tempo entsprach der Geschwindigkeit des Wandels. Diese Annahme ist nicht mehr haltbar.
Das Geschwindigkeitsproblem ist ein Governance-Problem
Es ist verlockend, KI-beschleunigte Angriffe unter „technisches Risiko“ einzuordnen und dem Security-Team zu übertragen. Das ist ein Fehler. Das Security-Team kann Maßnahmen umsetzen, aber es kann nicht festlegen, wie oft die Organisation ihre Risikoposition formal überprüft, wer befugt ist, zwischen den Zyklen zu handeln, oder was eine Entscheidung auf Vorstandsebene auslöst. Das sind Governance-Fragen, und diese stehen über der Ebene der Maßnahmen.
ISO 27001:2022, Kap. 6.1.2 verlangt, dass eine Organisation ihre Informationssicherheitsrisiken in geplanten Abständen und bei signifikanten Änderungen bewertet. Die meisten Organisationen lesen die erste Hälfte dieses Satzes und ignorieren stillschweigend die zweite. Der geplante Zeitpunkt wird zur gesamten Praxis. Die Klausel über signifikante Änderungen – dort, wo Geschwindigkeit tatsächlich stattfindet – bleibt ungenutzt, weil niemand die Befugnis hat, sie einzuberufen.
Das ist die Lücke. Es fehlt keine Maßnahme, sondern ein Trigger sowie ein Verantwortlicher für diesen Trigger. Bei einem Audit im letzten Jahr stellte sich heraus, dass dieselbe Organisation sechs Maßnahmen ordnungsgemäß umgesetzt hatte, jedoch keinen Weg besaß, um außerhalb des Jahreszyklus Entscheidungen zu treffen.
Was Führungskräfte beantworten können müssen
Wenn ich heute ein Managementsystem bewerte, stelle ich drei Fragen, die nichts mit Technik zu tun haben, sondern alles damit, ob die Organisation das Tempo halten kann.
Wer ist befugt, eine außerplanmäßige Risikobewertung einzuberufen, und auf welcher Grundlage? In den meisten Organisationen lautet die ehrliche Antwort: niemand. Denn der Prozess ist um das jährliche Datum herum aufgebaut und hat die Notwendigkeit, schneller zu agieren, nie antizipiert. Die Bewertung findet statt, wenn der Kalender es sagt, nicht wenn die Bedrohung es erfordert.
Was ist erforderlich, um diese Bewertung tatsächlich einzuberufen? Wenn die Antwort darauf hinausläuft, bis zur nächsten geplanten Vorstandssitzung zu warten, dann ist die Governance-Struktur bereits zu langsam für das Umfeld, in dem sie agiert. Eine Bedrohung, die sich innerhalb von Tagen entwickelt, kann nicht auf eine Quartalsagenda warten.
Und schließlich: Wenn sich die Bedrohungslandschaft verschiebt, prüft dann jemand, ob die bestehende Risikobehandlung noch standhält? Dies ist der Kern von Kap. 9.3, der Anforderung an die Managementbewertung. Eine Managementbewertung, die nur die Entscheidungen des Vorjahres bestätigt, ist ein Bericht, kein Steuerungsinstrument.
Der Umbruch, den Führungskräfte verarbeiten müssen
Die unangenehme Schlussfolgerung ist, dass das Zertifikat an der Wand nichts darüber aussagt, ob die Organisation schnell reagieren kann. Eine nach ISO 27001 zertifizierte Organisation mit einem rein jährlichen Bewertungsrhythmus ist gleichzeitig konform und langsam. Konformität und Widerstandsfähigkeit sind nicht dieselbe Eigenschaft, und KI-beschleunigte Bedrohungen sind genau der Punkt, an dem dieser Unterschied sichtbar wird.
Dies sind die Governance-Implikationen von KI-beschleunigten Bedrohungen, konkret gemacht. Das Modell, das dem Angreifer hilft, steht auch dem Verteidiger zur Verfügung. Was die beiden unterscheidet, ist die AI Governance drumherum: ob sie Schritt halten kann, wenn das Tempo anzieht.
Im nächsten Artikel betrachte ich, was ISO 42001 spezifisch verlangt, wenn KI die Bedrohung darstellt und nicht nur das ist, was gesteuert wird. In einem dritten Teil erläutere ich, warum der jährliche Zyklus der Managementbewertung nicht mehr passt und wie ein reaktionsschneller Rhythmus in der Praxis aussieht. Wenn Sie wissen wollen, ob Ihre Organisation zwischen den Bewertungszyklen auf eine schnelle Bedrohung reagieren kann, dann ist dies die Lücke, die zuerst untersucht werden sollte. iQomply arbeitet mit Vorständen und Security-Verantwortlichen genau an dieser Frage: Aufbau einer Cybersecurity-Governance, die steuert und nicht nur zertifiziert.
Häufig gestellte Fragen
Ja, auf eine spezifische Weise. Fortschrittliche KI-Modelle verkürzen die Zeit zwischen dem Bekanntwerden einer Schwachstelle und der Existenz eines funktionierenden Exploits. Die Schwachstelle selbst ist nicht neu, aber das Zeitfenster für eine Reaktion, bevor sie missbraucht wird, ist kürzer. Für Managementsysteme, die auf jährlichen Bewertungszyklen basieren, ist diese Komprimierung die zentrale Herausforderung.
Beides, aber sie befinden sich auf unterschiedlichen Ebenen. Technische Maßnahmen verringern die Exponierung. Die Governance bestimmt, wie schnell die Organisation Risiken neu bewerten und Maßnahmen autorisieren kann, wenn sich das Umfeld ändert. KI-beschleunigte Bedrohungen legen Schwachstellen in der Governance-Ebene offen, die technische Tools allein nicht lösen können.
ISO 27001:2022, Kap. 6.1.2 verlangt eine Risikobewertung in geplanten Abständen und bei signifikanten Änderungen. Die zweite Bedingung ist die relevante für KI-Geschwindigkeitsbedrohungen, aber das ist der Teil, den die meisten Organisationen ungenutzt lassen, weil niemand die Befugnis besitzt, eine außerplanmäßige Bewertung einzuleiten.
Festlegen, wer befugt ist, eine außerplanmäßige Risikobewertung einzuberufen und was diese auslöst. Stellen Sie sicher, bevor Sie Maßnahmen oder Tools hinzufügen, dass die Governance-Struktur schneller zusammenkommen und entscheiden kann, als es der Jahreskalender erlaubt. Der Trigger und dessen Verantwortlicher sind der Ausgangspunkt.
