Ich hab in den letzten Tagen mal wieder tiefer in die aktuelle Sicherheitslage reingeschaut – und ehrlich: mir wurde beim Lesen ein bisschen schwindelig. Nicht, weil ich nichts Neues erwartet hätte, sondern weil sich das Tempo, mit dem sich Angriff und Abwehr gegenseitig hochschaukeln, gefühlt nochmal verdoppelt hat.

Auslöser war eine neue Veröffentlichung des BSI vom 22. Juni 2026 – die Version 1.0 einer IT-Sicherheitsinformation zu den Auswirkungen von KI auf die Cybersicherheit. Die Kernaussage: Aktuelle KI-Systeme sind inzwischen so leistungsfähig, dass sie Schwachstellen in Software innerhalb kurzer Zeit teilweise autonom erkennen, analysieren und in verwertbare Angriffspfade überführen können. Das BSI nennt das eine "strukturelle Veränderung der Cyberbedrohung". Klingt abstrakt, ist aber ziemlich konkret.

Ich hab mir dazu parallel den AI Security Report 2026 von Check Point Research angeschaut – der kam am 14. Juli raus. Auch da: Vulnerability Response Times sind von Tagen auf Stunden zusammengefallen. KI, so Check Point, operiert inzwischen in jeder Phase der Angriffskette – vom Schreiben von Malware bis zum Ausführen von Befehlen in Live-Netzwerken. Keine Zukunftsmusik mehr, sondern der aktuelle Stand.

Am eindrücklichsten fand ich die Zahlen des AI Security Institute (AISI), die im April auf all-about-security.de aufbereitet wurden. Die haben sieben Frontier-Modelle unter standardisierten Bedingungen getestet – 32 Angriffsschritte in einem simulierten Unternehmensnetzwerk. Das stärkste Modell schaffte durchschnittlich 15,6 von 32 Schritten. Ein menschlicher Experte bräuchte dafür rund 14 Stunden. Vor 18 Monaten lagen dieselben Modelle bei weniger als 2 Schritten. Die Kosten pro Versuch: rund 65 Pfund.

Kommen wir zu den Zahlen, die mir als SOC-Analyst wirklich Bauchschmerzen bereiten: Der Mandiant M-Trends Report 2025 dokumentiert, dass die durchschnittliche Verweildauer von Angreifern in Netzwerken von 205 Tagen (2014) auf 11 Tage (2024) gesunken ist. Gleichzeitig werden laut it-boltwise.de 28,3 Prozent aller Schwachstellen innerhalb von 24 Stunden nach Veröffentlichung ausgenutzt. Der CrowdStrike Global Threat Report 2026 legt noch einen drauf: die schnellste gemessene Breakout Time liegt bei 27 Sekunden. Durchschnitt 2025: 29 Minuten – ein Rückgang um 65 Prozent gegenüber dem Vorjahr.

Das BSI beschreibt ziemlich genau, warum wir Verteidiger hier strukturell im Nachteil sind. Angreifer profitieren von Geschwindigkeit, Skalierung und Automatisierung – wir bleiben an reale Betriebsgrenzen gebunden. Testaufwand, Freigabeprozesse, Wartungsfenster, Herstellerabhängigkeiten. Da kann ein Patch noch so schnell entwickelt sein – bis er auf meinen Systemen liegt, sind die Angreifer meist schon durch.

Was in der Diskussion aber oft zu kurz kommt: Wir tragen die Verantwortung für die Systeme, die wir schützen. Ein Angreifer kann scheitern, zehnmal scheitern – beim elften Versuch hat er vielleicht Glück, und der Schaden ist da. Ihm ist es im Zweifel egal, ob dabei Kollateralschaden entsteht. Mir nicht. Wenn ich eine neue Technologie einführe, muss ich sicherstellen, dass sie stabil läuft, keine neuen Lücken aufreisst und im Ernstfall nicht selbst zum Risiko wird. Das kostet Zeit. Tests, Freigaben, Dokumentation, Schulungen – das fällt nicht vom Himmel.

Gleichzeitig darf das nicht zur Ausrede werden, sich Neuerungen zu verweigern. Der Verizon DBIR 2026 zeigt, dass Vulnerability Exploitation mit 31 Prozent erstmals Credential Abuse mit 13 Prozent als häufigsten initialen Einstiegsvektor überholt hat – auch das eine direkte Folge der KI-Beschleunigung. Wer jetzt sagt "das ist alles zu schnell, wir machen erstmal gar nichts", der wird nicht etwa langsamer überholt – der steht einfach still. Die Schere öffnet sich rasant, und wer nicht mitgeht, fällt zurück.

Für mich heißt das: Es braucht beides. Die Disziplin, Sicherheit nicht dem Tempo zu opfern. Und den Mut, sich trotzdem auf neues Terrain zu wagen, neue Tools auszuprobieren, KI in der Verteidigung zu testen, bevor der Rückstand zu groß wird. Verantwortung übernehmen heisst nicht, alles langsamer zu machen. Es heisst, schneller zu lernen.