Ob Ransomware, kompromittierte Geschäfts-E-Mails oder Angriffe über die Lieferkette Dritter: Organisationen haben sich an Datenpannen gewöhnt – und stecken zwischen wachsenden Bedrohungen, die sie nicht ignorieren können, und Verteidigungskosten, die sie nicht dauerhaft tragen können.
Bryson Byrd, Cybersicherheitsberater bei Huntress, sieht eine strukturelle Schieflage im Markt. Anbieter neuer Sicherheitswerkzeuge verfolgten oft durchaus die richtigen Ziele, doch ihre Wagniskapitalgeber drängten sie zu den lukrativeren großen Kunden. In der Folge entstünden Produkte für Großunternehmen, die teuer sind oder voraussetzen, dass ein dediziertes Sicherheitsteam und ein rund um die Uhr besetztes Security Operations Center vorhanden sind. Kleinere Firmen bleiben zurück. „Wenn es Millionen kleiner Unternehmen gibt, führt das dazu, dass wir – als Land, als Gemeinschaft, wie auch immer wir es definieren wollen – unverhältnismäßig unsicherer sind", sagt Byrd gegenüber Dark Reading. Kleine und mittlere Unternehmen stellten ein systemisches Risiko für die Lieferkette dar, doch der Markt bilde das nicht ab. Für Byrd ist Cybersicherheit deshalb nicht nur eine Budgetfrage, sondern ebenso eine Frage von Priorisierung und Geschäftsresilienz.
Syed Ghayur, VP of Solution Engineering bei ArmorCode, sieht die frühen Anzeichen einer Bezahlbarkeitskrise. Das Problem sei nicht, dass Organisationen plötzlich weniger ausgäben, sondern dass die Ökonomie nicht mehr aufgehe: Die Kosten stiegen schneller als die Budgets, während die Personalstärke der Sicherheitsteams gleich bleibe. Teams sollten deutlich mehr Risiko verarbeiten, ohne entsprechend mehr Menschen oder Mittel zu erhalten.
Ein Treiber ist der Wildwuchs an Werkzeugen. Laut Ghayur betreibt ein durchschnittliches Großunternehmen bereits 40 Sicherheits-Scanner; er verweist auf Untersuchungen von Palo Alto Networks und IBM, wonach umfassendere Sicherheitsarchitekturen 83 Werkzeuge von 29 Anbietern umfassen. Das Ergebnis seien erhebliche Doppelungen: Dutzende Produkte erzeugten überlappende Befunde, die nicht auf den jeweiligen Geschäftskontext zugeschnitten sind.
Künstliche Intelligenz kommt als weitere Kostenschicht hinzu. Organisationen haben KI rasch zur Ergänzung ihrer Sicherheitswerkzeuge eingeführt, doch die Ausgaben – etwa für Tokens und Premium-Stufen – fielen höher aus als erwartet. Jeden einzelnen Schwachstellenbefund unterschiedslos mit teurer KI zu analysieren, treibe die Kosten und die Alarmmüdigkeit gleichermaßen. „Ohne Priorisierung und Kostensteuerung skalieren die Ausgaben mit der Zahl der Befunde statt mit dem tatsächlich reduzierten Risiko", sagt Ghayur. Hinzu kommt die Qualitätsfrage: Eine Studie von 1Password ergab, dass von großen Sprachmodellen erzeugte Patches im Durchschnitt in 53,9 Prozent der Fälle die Schwachstelle nicht behoben, eine neue eingeführt oder beides bewirkt haben.
„Das Risiko besteht darin, dass Organisationen auf eine von zwei schlechten Arten reagieren", so Ghayur. „Entweder geben sie unterschiedslos Geld aus, um Schritt zu halten, oder sie automatisieren unterschiedslos, um Kosten zu senken. Letzteres kann in der Cybersicherheit besonders gefährlich sein."
Besonders relevant ist das für kritische Infrastrukturen wie Gesundheitswesen und Fertigung, die mit Altsystemen arbeiten und zugleich stark im Visier verschiedenster Angreifer stehen, darunter staatliche Akteure. Die Beratungsfirma Signisys empfiehlt den meisten Unternehmen, acht bis zwölf Prozent des gesamten IT-Budgets für Cybersicherheit einzuplanen; im Gesundheitswesen, im Finanzsektor und in Behörden sollten es zehn bis 15 Prozent sein.
Ghayurs Antwort lautet nicht, weniger Sicherheit einzukaufen, sondern aus vorhandenen Investitionen messbar mehr Risikoreduktion zu holen – beginnend mit einem Wechsel der Maßeinheit von Befunden zu Risiko, auch bei KI-Ausgaben. Die nächste Phase der Sicherheitsökonomie werde dem ähneln, was die FinOps Foundation für die Cloud geleistet habe: Auch dort waren Organisationen von Einsparungen gegenüber lokalen Servern ausgegangen, ehe die Kosten stärker stiegen als erwartet; FinOps schuf einen Rahmen für Transparenz, Effizienz und Kostenkontrolle. „Sicherheitsverantwortliche werden zunehmend nachweisen müssen, dass sie nicht nur Risiko senken", erwartet Ghayur, „sondern dass jeder Dollar, jede Ingenieursstunde und zunehmend jeder KI-Token für die Schwachstellen ausgegeben wird, die am meisten zählen."