Die rasante Verbreitung von KI-gestützten Entwicklungstools hat eine Realität geschaffen, mit der die Sicherheitsindustrie kämpft. Was früher Monate dauerte, entsteht nun in Tagen oder Stunden. Black Duck Software, eine Ausgliederung aus dem Softwaregiganten Synopsys, beobachtet diese Entwicklung aus privilegierter Position – das Unternehmen wurde sieben Jahre in Folge als Leader im Gartner Magic Quadrant für Application Security Testing ausgezeichnet.
Schmitt beschreibt die aktuelle Situation als “dritte Welle der Anwendungssicherheit”. Nach der Ära der manuellen Code-Überprüfung und der DevOps-Integration geht die Branche nun in ein KI-getriebenes Modell über, das auf Geschwindigkeit und Skalierbarkeit ausgelegt ist. Das Problem: Die Angriffsfläche wächst parallel mit. Je mehr Code produziert wird, desto mehr potenzielle Schwachstellen entstehen – und desto leichter wird es für Angreifer, diese auszunutzen.
Doch Schmitt warnt vor einer weit verbreiteten Fehleinschätzung: Dass KI die Anwendungssicherheit schwächt. Das Gegenteil ist der Fall. “Es geht um Apps plus”, erklärt er – KI soll bestehende Tools ergänzen und nicht ersetzen. Wenn KI intelligent in Entwicklungs-Workflows integriert wird, kann sie große Codebasen analysieren, geschäftslogische Fehler aufdecken und kontinuierliche, autonome Sicherheitsprozesse ermöglichen – ohne dabei Entwickler zu bremsen.
Für deutsche Unternehmen hat dies konkrete Konsequenzen. Startups und etablierte Mittelständler, die auf KI-basierte Entwicklungstools setzen, müssen ihre Sicherheitsarchitektur grundlegend überdenken. Legacy-Systeme, die für geringe Codefrequevenzen ausgelegt sind, werden zum Bottleneck. Gleichzeitig steigt der Druck, sicher zu entwickeln – nicht irgendwann nach dem Launch, sondern kontinuierlich, in Echtzeit.
Die Botschaft von Black Duck ist klar: Wer KI in der Entwicklung einsetzt, ohne die Sicherheit entsprechend zu modernisieren, übernimmt ein enormes Risiko. Doch wer beide intelligent kombiniert, kann nicht nur schneller entwickeln, sondern auch sicherer. Das ist kein Problem ohne Lösung – es ist eine Chance für die Branche, ihre Security-Kultur neu zu definieren.