Die Geschwindigkeit, mit der Cyberkriminelle heute zuschlagen können, hat sich fundamental verändert. Agentic AI — autonome künstliche Intelligenzsysteme, die eigenständig Aufgaben ausführen — haben Hackern Werkzeuge in die Hand gegeben, die vorher nur gut ausgebildeten Sicherheitsexperten vorbehalten waren. Reverse Engineering, automatische Exploit-Generierung und dynamische Codeanalyse laufen jetzt teilautomatisiert ab.
Das Besondere an dieser Entwicklung: Die Barriere zwischen “schwer zu attackierenden” und “leicht zu attackierenden” Systemen ist gefallen. Besonders deutlich wird dies bei Automotive- und Medical-Device-Apps. Fahrzeug-Telematiksysteme und medizinische Geräte-Anwendungen waren lange Zeit durch ihre technische Komplexität geschützt — proprietäre Datenformate, OEM-spezifische Authentifizierungsverfahren, spezialisierte Protokolle. Diese Hürden haben sich für AI-gestützte Angriffe als überwindbar erwiesen. Bei Medical-Device-Apps stieg die Angriffsquote um acht Prozentpunkte — der steilste Anstieg aller Sektoren.
Auch die historische Sicherheitslücke zwischen iOS und Android hat sich geschlossen. 2023 waren iOS-Apps noch nur halb so häufig Ziel von Attacken wie Android-Apps. 2026 lag die Quote bereits bei 97 Prozent der Android-Quote — ein dramatischer Wandel, getrieben durch AIs Fähigkeit, in beiden Ökosystemen zu operieren.
Für deutsche Organisationen bedeutet dies ein Umdenken in der Sicherheitsstrategie erforderlich. Die bisherige Annahme, dass geografische Entfernung oder technische Komplexität Schutz bieten, ist überholt. Derek Holt, CEO von Digital.ai, formuliert es pointiert: “Die gleiche KI, die deine Entwickler heute morgen zum Bauen deiner App nutzen, wird heute nachmittag zum Angriff verwendet.”
Die Konsequenz ist eindeutig: Passive Verteidigung funktioniert nicht mehr. Unternehmen müssen ihre Anwendungen bereits beim Launch selbstverteidigungsfähig machen — nicht erst nach Wochen oder Monaten, wenn das Security-Team einen Angriff bemerkt. Mit 87 Prozent aller überwachten Apps unter aktiver Attacke ist Warten keine tragfähige Strategie mehr.
Experten fordern daher, dass auch Verteidiger auf agentic AI setzen müssen. Nur mit defensiven KI-Systemen lässt sich die Kluft zwischen Angriff und Abwehr schließen. Für deutsche Unternehmen bedeutet dies zusätzliche Compliance-Anforderungen und erhebliche Investitionen in moderne AppSec-Infrastrukturen.