Die Zahlen von IANS und Artico zeichnen ein Bild knapper Etats bei gleichzeitig hoher KI-Priorität: Während die Budgets kaum wachsen, konzentrieren sich die neu verfügbaren Mittel auf KI. Nick Kakolowski, Senior Research Director bei IANS, sieht darin auch einen strukturellen Effekt: „Die formale Verknüpfung von Ausgaben mit KI in der Budgetstruktur beeinflusst die Ausgaben stärker als erwartet." Eine eigene Budgetposition mache es vielen Organisationen offenbar leichter, mehr Geld für KI zu bekommen. Neben der Sorge vor einer sich schnell wandelnden Bedrohungslage spiele eine Rolle, dass viele „Führungsteams Angst haben, bei KI den Anschluss zu verlieren, und Druck auf die Fachbereichsleiter ausüben, die Technologie zu übernehmen".
Die Investitionen fließen, obwohl unklar ist, welchen Wert Unternehmen daraus ziehen. Eine Gartner-Umfrage unter mehr als 1.000 IT-Fachleuten aus Unternehmen mit mindestens 50 Millionen US-Dollar Umsatz legt eine Diskrepanz zwischen den ambitioniertesten und den ertragreichsten Anwendungsfällen offen. „Die am weitesten verbreiteten KI-Anwendungsfälle sind selten diejenigen mit den höchsten positiven Erträgen", so Gartner. Führungskräfte nannten Bedrohungserkennung und -abwehr als meistverfolgten Einsatzzweck – den größten Wert lieferte laut Gartner jedoch die intelligente Optimierung von IT-Assets und -Kosten. Fachbereichsleiter tappten häufig in die Falle, „populäre" oder stark gehypte KI-Anwendungen gegenüber solchen mit greifbarem Nutzen zu bevorzugen.
Ram Varadarajan, CEO von Acalvio, führt den Trend auf eine Asymmetrie der Ängste zurück: „Ein übersehener Einbruch ist sichtbar und karriereschädigend, deshalb ist der Kauf von ‚KI-gestützter‘ Sicherheit eine Versicherung gegen Schuldzuweisungen, keine belegte Wette." Anbieter bedienten diese Angst; sobald KI zur Grundannahme des Marktes werde, ersetze „eine an den Mitbewerbern orientierte Beschaffung die evidenzbasierte Beschaffung".
Andere begründen das Tempo mit der Bedrohungslage. Sean Murphy, Field CISO bei F5, sieht den Grund nicht in spekulativen Renditen, sondern darin, dass KI das Labor verlassen habe und im Produktivbetrieb angekommen sei. „Das bedeutet, dass sich die Bedrohungslandschaft in einem Tempo beschleunigt, das menschliche Verteidiger schlicht nicht mithalten können", sagt er. Angreifer agierten bereits in Maschinengeschwindigkeit, eine Verteidigung im Menschentempo sei nicht tragfähig. David Lindner, CISO von Contrast Security, wird deutlicher: Angreifer nutzten KI bereits für treffsicherere Phishing-Mails, mutierende Schadsoftware und die schnellere Suche nach Fehlern im Code. „Wer wartet, bis der Business Case steht, teilt seinem Aufsichtsgremium im Grunde mit, dass er langsamer zu verlieren plant."
Dass sich der Ertrag von Sicherheitsinvestitionen schwer beziffern lässt, ist kein neues Problem: Der größte Nutzen besteht darin, dass etwas nicht passiert – etwa ein Datenleck oder eine Betriebsstörung. Schwieriger wird es, wenn mehrere Schutzschichten denselben Angriff verhindern. Daniel Kennedy, Principal Research Analyst bei S&P Global Market Intelligence, verweist auf den Unterschied zwischen ROI und ROSI: Letzterer messe vermiedene Verluste, während ROI dem Vergleich von Maßnahmen diene, die Geld einbringen oder sparen. Die Sicherheitsdebatte solle sich vor allem darum drehen, wie KI abgesichert wird, damit Beschäftigte sie gefahrlos nutzen können, und wo sie sinnvoll in Sicherheitswerkzeuge, SecOps oder die Prüfung generierten Codes integriert wird.
Dass KI Teams eher umbaut als ersetzt, zeigt die IANS-Umfrage deutlich: 91 Prozent der CISOs erwarten in den kommenden zwölf Monaten produktivere Teams, 81 Prozent rechnen mit Bedarf an neuen Rollen und Fähigkeiten. Repetitive Aufgaben sollen an KI übergehen, Fachkräfte sich auf Anomalieerkennung, Bedrohungsanalyse und Entscheidungen zu neuen Bedrohungen konzentrieren.
Ronald Lewis, Leiter Cybersecurity Governance bei Black Duck, mahnt zur Unterscheidung „zwischen der Kunst des Möglichen und der Kunst des Machbaren. KI ist nicht die Antwort auf jedes Problem, und nicht jeder Anwendungsfall liefert nennenswerten geschäftlichen Nutzen." Der Markt werde mit KI-Produkten geflutet, von denen manche transformativen Wert lieferten, andere nur Kosten und Komplexität. „Die Gewinner werden nicht zwangsläufig die Organisationen sein, die KI am schnellsten einführen, sondern die, die es am durchdachtesten tun", sagt Lewis.