KI läuft in Unternehmen längst nicht mehr nur auf einer Ebene. Sie ist gleichzeitig bei Mitarbeitern, Entwicklern, in eigenen Modellen und bei autonomen Agenten im Einsatz. Wer nur eine dieser vier Ebenen absichert, lässt die anderen drei offen, wie der aktuelle AI Risk and Readiness Report zeigt.
Das Governance-Paradox
Das zugrunde liegende Problem ist bekannt: 73 Prozent der Unternehmen setzen KI-Tools bereits produktiv ein, aber nur 7 Prozent verfügen über eine Echtzeit-Governance, die Richtlinien auch technisch durchsetzt. 90 Prozent haben ihre KI-Sicherheitsbudgets erhöht, dennoch fühlen sich 29 Prozent unsicherer als zwölf Monate zuvor. Das Paradox erklärt sich nicht durch mangelnde Investitionsbereitschaft, sondern durch eine strukturelle Fehldiagnose. Die meisten Sicherheitsstrategien behandeln KI-Risiko als ein einzelnes Problem. Tatsächlich sind es fünf, mit jeweils eigenen Akteuren, Datenflüssen und Angriffsflächen.
Mitarbeiter, Entwickler und eigene Modelle
Die sichtbarste KI-Aktivität ist die alltägliche Nutzung durch Mitarbeiter, etwa für Zusammenfassungen, Recherchen oder Codevorschläge. Die eigentliche Herausforderung liegt aber eine Ebene tiefer: 47 Prozent der Beschäftigten nutzen KI-Tools über private, nicht unternehmenskontrollierte Accounts, und 88 Prozent der Sicherheitsteams können nicht zuverlässig zwischen einem autorisierten Unternehmens-Tenant und einem privaten Account auf derselben Plattform unterscheiden. Damit laufen klassische Zugriffskontrollen ins Leere, nicht weil sie fehlen, sondern weil die Grundlage fehlt, auf der sie wirken könnten.
Ein anderes Risiko entsteht, wenn Entwickler LLM-APIs direkt in Produktionsanwendungen einbinden. Hier gibt es keine menschliche Eingabe im klassischen Sinne, sondern Anwendungen, die automatisiert Anfragen an externe Sprachmodelle stellen und deren Antworten in Geschäftsprozesse einspeisen. Klassische Sicherheitswerkzeuge, die für menschliche Interaktionen entwickelt wurden, sehen diese Schicht schlicht nicht.
Immer mehr Unternehmen betreiben zudem eigene, intern gehostete Modelle, trainiert auf proprietären Daten und in kritische Prozesse eingebunden. Das verringert die Abhängigkeit von externen Anbietern, verlagert das Sicherheitsproblem aber vollständig in die eigene Verantwortung. Entscheidend sind zwei Zeitpunkte: Vor dem Einsatz, wo Red-Teaming das Verhalten des Modells unter adversarialen Bedingungen testet, und danach, wenn es darum geht, wie das Modell in der Produktion auf Prompt-Injection reagiert.
Autonome Agenten und fehlende Sichtbarkeit
Am schnellsten wächst der Use Case, der am wenigsten durch bestehende Sicherheitsarchitekturen abgedeckt ist: autonome KI-Agenten, die über das Model Context Protocol (MCP) auf Unternehmenssysteme zugreifen und im Namen autorisierter Nutzer handeln. Eine wachsende Mehrheit an Organisationen ist bereits mit konkretem Agenten-Risiko konfrontiert, ein erheblicher Teil davon durch Shadow-Deployments, von denen die IT-Abteilung nichts weiß. KI-Agenten verfügen in vielen Organisationen bereits über direkte Schreibrechte auf Kollaborationsplattformen, E-Mail-Systeme und teilweise sogar auf Identity Provider, also auf die Systeme, die alle anderen Zugriffe kontrollieren. Das Problem ist strukturell: Ein Agent authentifiziert sich als autorisierter Nutzer, trifft nicht-deterministische Entscheidungen und lässt sich durch Prompt-Injection manipulieren, ohne dass eine einzelne Transaktion verdächtig aussieht.
Alle vier Ebenen setzen eine Grundlage voraus, die in den meisten Unternehmen fehlt: eine vollständige, aktuelle Übersicht darüber, welche KI-Systeme überhaupt im Einsatz sind. Nur 6 Prozent der Organisationen berichten von vollständiger Sichtbarkeit über alle KI-Aktivitäten in ihrer Umgebung, 94 Prozent treffen ihre Sicherheitsentscheidungen also auf Basis eines unvollständigen Bildes.
Fazit: Eine Plattform statt vieler Insellösungen
Die Komplexität dieser fünf Ebenen zeigt, dass punktuelle Sicherheitslösungen an ihre Grenzen stoßen. Ein fragmentierter Ansatz führt zu Sicherheitslücken und administrativer Überlastung. Sinnvoller sind Plattformen, die von der Nutzerinteraktion am Endpoint bis zur autonomen Agentensteuerung im Rechenzentrum durchgängige Sichtbarkeit und Kontrolle bieten. Eine echte KI-Sicherheitsstrategie beginnt dabei nicht mit der Frage, wie sich Risiken blockieren lassen, sondern mit der Frage, was überhaupt in der eigenen Umgebung läuft.