Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Ende Juni 2026 eine Lageeinschätzung veröffentlicht, die es in sich hat. Der Kernbefund: Künstliche Intelligenz verschiebt das Kräfteverhältnis zwischen Angreifern und Verteidigern spürbar – und zwar zugunsten der Angreifer. Kein Hype, keine Zukunftsmusik. Das passiert gerade.
Was das konkret bedeutet, warum Patches allein nicht mehr reichen und was du jetzt anpassen solltest, erklären wir hier.
Vom Phishing-Tool zur autonomen Angriffsmaschine
KI ist in der Cyberkriminalität kein Neuland. Angreifer haben Sprachmodelle schon länger genutzt, um überzeugendere Phishing-Mails zu schreiben oder Texte zu lokalisieren. Das war lästig, aber beherrschbar.
Was sich jetzt ändert, ist die Qualitätsstufe. Aktuelle Frontier-Modelle können Quellcode systematisch auf Sicherheitslücken durchsuchen, diese analysieren und direkt verwertbaren Exploit-Code generieren. Aufgaben, für die erfahrene Sicherheitsforscher früher Tage oder Wochen gebraucht haben, erledigen KI-Agenten heute in Stunden – teilweise vollständig autonom.
Hinzu kommt: Durch sogenanntes Patch-Diffing können Angreifer aus einem frisch veröffentlichten Sicherheitsupdate innerhalb kürzester Zeit ableiten, wie die zugrundeliegende Schwachstelle aussieht. Ein Patch wird damit auch zu einem Exploit-Bauplan – und der steht praktisch sofort nach Veröffentlichung zur Verfügung.
Die Zahlen sprechen eine klare Sprache
Der M-Trends 2026 Bericht von Mandiant bringt eine Zahl, die aufhorchen lässt: Die mediane Zeit bis zur ersten Ausnutzung einer Schwachstelle liegt mittlerweile bei minus sieben Tagen. Schwachstellen werden also im Schnitt eine Woche bevor überhaupt ein Patch existiert, bereits aktiv ausgenutzt.
Das bedeutet: Die klassische Reaktionskette „Patch erscheint → IT-Team prüft → Rollout innerhalb von Tagen" funktioniert nicht mehr als Schutz. Bis der Patch bei dir eingespielt ist, haben Angreifer in vielen Fällen längst einen Fuß in der Tür.
Nicht nur Exploit-Entwicklung: KI als Social-Engineering-Werkzeug
Neben dem technischen Angriffsvektor wird KI auch im Bereich Social Engineering immer schlagkräftiger. Personalisierte Phishing-Kampagnen, die auf öffentlich verfügbaren Informationen basieren – Unternehmenswebsite, LinkedIn, Social Media – lassen sich heute weitgehend automatisiert erstellen. Der Aufwand für Angreifer sinkt, die Qualität steigt.
Noch eine Stufe weiter gehen Deepfake-basierte Angriffe: gefälschte Videocalls, KI-generierte Stimmen, die Kollegen oder Vorgesetzte imitieren. Solche Szenarien sind kein Science-Fiction mehr, sondern werden in konkreten Vorfällen beobachtet.
KI-Systeme selbst als Angriffsziel
Ein Aspekt, der in der aktuellen Diskussion oft untergeht: KI-Systeme vergrößern die Angriffsfläche nicht nur durch ihre Fähigkeiten als Werkzeug für Angreifer. Sie sind selbst ein neues Ziel.
Sogenannte Prompt-Injection-Angriffe nutzen aus, dass KI-Modelle Anweisungen aus externen Quellen verarbeiten – also aus Dokumenten, Webseiten oder E-Mails, die ein Nutzer dem Modell vorlegt. Wenn ein Sprachmodell in automatisierten Workflows mit echten System-APIs verbunden ist, kann eine gut platzierte Anweisung in einem Dokument dazu führen, dass das Modell im Namen des Nutzers Aktionen ausführt, die dieser nie beabsichtigt hat. Datenschleusung, unautorisierte Systemzugriffe, Malware-Downloads – alles ist theoretisch möglich.
KI-Komponenten müssen daher wie jede andere sicherheitskritische Software behandelt werden: mit Isolierung, Berechtigungskonzepten und Validierungsschichten.
Was du jetzt konkret tun solltest
Die gute Nachricht: Die notwendigen Maßnahmen sind keine revolutionären Neuerungen. Sie sind größtenteils bekannt – werden aber in der Praxis zu oft aufgeschoben oder halbherzig umgesetzt. Angesichts der aktuellen Entwicklung ist Aufschub keine Option mehr.
Angriffsfläche kennen und verkleinern
Du kannst nur schützen, was du kennst. Erstelle ein vollständiges Inventar aller Systeme und Anwendungen in deiner Organisation, insbesondere derjenigen, die aus dem Internet erreichbar sind. Prüfe für jedes exponierte System, ob diese Erreichbarkeit wirklich notwendig ist. Management-Zugänge und Admin-Oberflächen haben im offenen Internet nichts verloren.
Netzwerksegmentierung ist kein Luxus, sondern Grundschutz: Eine einzelne kompromittierte Maschine sollte nicht die gesamte Infrastruktur gefährden können.
Patchmanagement auf Geschwindigkeit trimmen
Der Zeitpuffer, den IT-Teams früher hatten, ist drastisch geschrumpft. Exponierte Systeme – vor allem Perimeter-Systeme wie Firewalls, VPN-Gateways und Remote-Access-Lösungen – müssen innerhalb von Stunden gepatcht werden können, nicht innerhalb von Tagen. Das erfordert klare Zuständigkeiten, getestete Rollout-Prozesse und eine funktionierende Asset-Übersicht.
Automatisierung kann helfen, aber vollständiges Auto-Patching ohne vorherige Prüfung ist riskant. Fehlgeschlagene Updates können Dienste lahmlegen. Die Balance zwischen Geschwindigkeit und Prüfung muss vorab definiert sein.
"Assume Breach" als Grundhaltung
Es ist keine Frage des Ob, sondern des Wann. Jedes System, das aus dem Internet erreichbar ist, wird früher oder später angegriffen. Richtet eure Sicherheitsarchitektur entsprechend aus: Monitoring, Logging und Detection müssen so aufgestellt sein, dass ihr aktive Angriffe erkennt – nicht erst Wochen danach.
Besondere Aufmerksamkeit verdienen gepatchte Zero-Days: Wenn eine kritisch ausgenutzte Schwachstelle geschlossen wird, sollte die Frage nicht lauten „Sind wir jetzt sicher?", sondern „Wurden wir in der Zeit zwischen erster Ausnutzung und unserem Patch bereits kompromittiert?".
CVSS-Score allein reicht nicht mehr
KI-Modelle sind in der Lage, mehrere Schwachstellen zu verketten, die einzeln betrachtet harmlos wirken. Ein CVSS-Score von 5.0 kann in Kombination mit zwei weiteren mittleren Schwachstellen zu einem vollständigen Angriffspfad führen. Bewertet Schwachstellen daher immer im Kontext eurer konkreten Umgebung – welche Systeme sind exponiert, welche Daten liegen dahinter, welche Folgekompromittierungen wären möglich.
Mitarbeiter sensibilisieren
Technische Schutzmaßnahmen haben ihre Grenzen, wenn Menschen Angriffsvektoren öffnen. Regelmäßige Sensibilisierung zu Phishing, Deepfakes und Social Engineering gehört inzwischen zum Pflichtprogramm – und sollte über das klassische „Klick nicht auf Links"-Training hinausgehen.
KI ist kein reiner Risikofaktor
Fairerweise: KI ist nicht nur Bedrohung. Dieselben Fähigkeiten, die Angreifern helfen, stehen auch Verteidigern zur Verfügung. KI-gestützte Schwachstellenanalyse, automatisiertes Monitoring, Unterstützung bei Penetrationstests und die Entlastung von IT-Teams bei Routineaufgaben sind reale Vorteile, die sich heute schon nutzen lassen.
Der Unterschied ist: Angreifer müssen keine Freigabeprozesse durchlaufen, keine Wartungsfenster einhalten und keine Rücksicht auf Betriebsstabilität nehmen. Verteidiger schon. Deshalb muss die Antwort auf die neue Bedrohungslage strukturell sein – nicht nur reaktiv.
Die Lage hat sich verändert. KI macht Angriffe schneller, günstiger und zugänglicher für Akteure, die früher nicht die technischen Mittel gehabt hätten. Das BSI formuliert es klar: Sicherheitsprogramme, Prozesse und Reaktionsmechanismen müssen an eine deutlich schnellere und dichtere Bedrohungslage angepasst werden.
Wer seine IT-Sicherheit noch nach dem Prinzip „Patch wenn Zeit ist, Monitoring wenn Budget da ist" betreibt, wird das spüren.