Bei einem Drittel dieser Befragten geschah das im vergangenen Jahr sogar drei Mal oder häufiger. Der Bericht weist zudem darauf hin, dass die tatsächliche Lage schlechter ist als die Zahlen nahelegen: Bis zu 40 Prozent der Organisationen haben bestimmte Sicherheitsalarme schlicht abgeschaltet, weil das Personal zur Auswertung fehlte. Eine Regel zu deaktivieren, die nie zu einer Eskalation führt, gilt als solide Detection Engineering – eine Regel abzuschalten, weil niemand Zeit für ihre Ergebnisse hat, verengt dagegen die Sichtbarkeit genau dort, wo sie gebraucht wird.
Parallel verschärft sich die Bedrohungslage: 56 Prozent der Befragten beobachteten im vergangenen Jahr eine Zunahme KI-gestützter Angriffe, besonders im Finanz- und Gesundheitssektor. Am häufigsten genannt werden KI-verfasste Phishing-Mails, Deepfake-Betrug per Audio und Video, groß angelegte Credential-Stuffing-Angriffe und KI-generierte Schadsoftware. Erstmals rangieren sowohl die Absicherung von KI-Systemen als auch der Einsatz von KI für Sicherheitszwecke unter den obersten Prioritäten – vor klassischen Themen wie Cloud- und Datensicherheit.
Die Beweggründe sind operativ: schnellere Reaktionszeiten (73 Prozent), bessere Erkennungsabdeckung (71 Prozent), mehr Leistung mit gleichem Personal (56 Prozent) und weniger Erschöpfung bei Analysten (37 Prozent). 72 Prozent der KI-Nutzer berichten von mindestens 25 Prozent kürzeren Untersuchungszeiten, was etwa 25 gewonnenen Minuten pro Alarm entspricht.
Ebenfalls 72 Prozent versuchten, eigene KI-Werkzeuge intern zu bauen. Einen Geschwindigkeitsvorteil brachte das nicht: Eigenentwickler meldeten Zeitgewinne von 25 Prozent oder mehr im gleichen Umfang wie alle KI-Nutzer (73 gegenüber 72 Prozent). Der Unterschied liegt in der Haltbarkeit – 46 Prozent dieser Projekte wurden aufgegeben, erreichten nie den Produktivbetrieb oder wurden durch ein kommerzielles Produkt ersetzt.
Vertrauen gibt es nur mit Grenzen. Die Mehrheit sagt zwar, dass die Schlussfolgerungen der KI meist mit denen eines menschlichen Experten übereinstimmen, doch 57 Prozent verlangen weiterhin, dass ein Mensch jede einzelne KI-Entscheidung prüft, bevor ein Alarm geschlossen wird. 44 Prozent nutzen KI, um Maßnahmen vorzuschlagen, die Menschen ausführen; 30 Prozent lassen sie risikoarme Gegenmaßnahmen selbstständig erledigen. Kein einziger Befragter räumt der KI vollständige, unbeaufsichtigte Autonomie ein.
Gewonnene Zeit fließt in die aktive Suche nach verborgenen Bedrohungen. Rund die Hälfte der Teams betreibt regelmäßig Threat Hunting, 38 Prozent fanden dabei bösartige Aktivität, die automatisierte Werkzeuge übersehen hatten. Teams, die wöchentlich oder häufiger jagen, melden eine Trefferquote von 49 Prozent – gegenüber 8 Prozent bei Teams, die nie jagen.
Einen Personalabbau erwarten die Befragten nicht: 57 Prozent rechnen mit unveränderter Teamgröße, 9 Prozent sogar mit Wachstum. Stattdessen verschieben sich Rollen in Richtung Incident Response, Threat Hunting und das Testen der eigenen Abwehr. Als größte Hürden gelten regulatorische Fragen zu Datenschutz und Modelltraining (44 Prozent) sowie mangelnde Nachvollziehbarkeit der KI-Entscheidungen (41 Prozent).
Prophet Security, im Rahmen von „Rising in Cyber 2026" von über 150 CISOs und Sicherheitsverantwortlichen ausgezeichnet, adressiert nach eigenen Angaben genau diese Lücke: Die Plattform plane jede Untersuchung dynamisch statt nach starrem Playbook, frage SIEM, EDR, Identitäts-, Cloud- und E-Mail-Systeme direkt ab und liefere notfalls das Ergebnis „nicht schlüssig" statt einer Vermutung. Jede Abfrage werde protokolliert, Kundendaten trainierten keine Modelle, Bereitstellungen seien mandantenrein und die Datenebene könne in der VPC des Kunden laufen. Beim Kunden JB Poindexter senkte Prophet AI die mittlere Untersuchungsdauer laut Anbieter auf unter vier Minuten und ersparte 1.469 Analystenstunden.