Das Phänomen ist in der IT-Sicherheit seit Jahren bekannt, verschärft sich aber durch den AI-Boom erheblich: Sicherheitsteams werden überrumpelt, weil sie nicht strategisch planen können, sondern nur noch taktisch reagieren. Der Grund liegt in der klassischen Fehlerverteilung bei neuen Technologien — Security wird als Nachgedanke behandelt, nicht als integraler Teil des Entwicklungsprozesses.
Diese Dynamik hat sich in den letzten Monaten deutlich beschleunigt. Viele Unternehmen experimentieren mit AI-Use-Cases, ohne dass Sicherheitsverantwortliche in die Diskussionen eingebunden sind. Sobald sich jedoch Geschäftswert abzeichnet, drängen Application Owner und Entwicklungsteams ihre Lösungen in die Produktion. Plötzlich müssen Security-Teams Ad-hoc-Maßnahmen ergreifen, um Risiken zu minimieren — ein Szenario, das weder zukunftssicher noch effektiv ist.
Für deutsche Organisationen verschärft sich die Problematik durch regulatorische Anforderungen. Die DSGVO fordert explizit “Privacy by Design” und “Security by Design” — Konzepte, die nur funktionieren, wenn Sicherheitsaspekte von Anfang an berücksichtigt werden. Fehlt diese frühe Einbindung, entstehen nicht nur technische Schulden, sondern auch rechtliche Risiken. Unternehmen müssen bei Datenschutzverstößen mit Bußgeldern rechnen, und meldepflichtige Sicherheitsvorfälle müssen der zuständigen Aufsichtsbehörde und betroffenen Personen gemeldet werden.
Das BSI hat die Sicherheitsrisiken von AI-Systemen längst auf dem Radar. In seinen Leitfäden betont die Behörde die Notwendigkeit von Threat Modelling, expliziter Sicherheitsarchitektur und regelmäßigen Sicherheitsbewertungen — alles Maßnahmen, die deutlich früher im Entwicklungsprozess ansetzen müssen als bislang üblich.
Wie lässt sich diese Reaktivität überwinden? Experten empfehlen mehrere Ansätze: Erstens sollten Security-Teams proaktiv mit Entwicklungs- und Fachbereichen kommunizieren und AI-Projekte frühzeitig identifizieren. Zweitens braucht es etablierte Governance-Prozesse, die festlegen, welche Security-Reviews vor der Produktionsfreigabe obligatorisch sind. Drittens sollten Unternehmen AI-Security-Richtlinien etablieren, die Datenschutz, Modell-Robustheit und Supply-Chain-Sicherheit abdecken.
Die gute Nachricht: Unternehmen, die diese Prinzipien früh verinkernen, können die AI-Transformation sicherer gestalten. Die schlechte: Solange Security ein Nachgedanke bleibt, bleiben Unternehmen und ihre Daten gefährdet.