Executive Summary
- 17 % der Unternehmen berichten bestätigte oder vermutete Vorfälle, bei denen KI eine Rolle spielte.
- Nur 11 % der befragten Unternehmen verfügen über spezielle Abläufe für KI‑bezogene Sicherheitsvorfälle.
- Häufige Angriffsformen: täuschend echte Phishing‑Mails (90 %), automatisierte Angriffsskripte (40 %), Deepfakes (11 %).
- 49 % nutzen KI bereits, 9 % planen den Einsatz binnen zwölf Monaten; nur 31 % der KI‑Nutzenden setzen KI zur Verbesserung der IT‑Sicherheit ein.
- 69 % erwarten von unabhängigen Prüfungen mehr Sicherheit; 51 % sehen Zertifizierungen als wichtiges Auswahlkriterium.
Was ist passiert?
Fakten: Eine gemeinsame Untersuchung des TÜV‑Verbands und des Bundesamtes für Sicherheit in der Informationstechnik (BSI) auf Basis von mehr als 500 befragten Unternehmen ab 20 Mitarbeitenden dokumentiert den aktuellen Stand zu KI und Cybersicherheit. Insgesamt 17 Prozent der Unternehmen berichten in den vergangenen zwölf Monaten von bestätigten Vorfällen (4 %), Verdachtsfällen (11 %) oder beidem (2 %), bei denen KI eine Rolle gespielt hat oder gespielt haben könnte. Nur 11 Prozent der Unternehmen haben spezielle Abläufe für den Umgang mit KI‑bezogenen Sicherheitsvorfällen. Als häufigste Angriffsformen werden täuschend echte Phishing‑Mails (90 % der Betroffenen), automatisierte Angriffsskripte (40 %) und Deepfakes (11 %) genannt.
Weitere Fakten aus der Befragung: 49 Prozent der Betriebe setzen KI ein, 9 Prozent planen dies innerhalb der nächsten zwölf Monate, 42 Prozent setzen derzeit keine KI ein und planen dies auch nicht. Unter den KI‑nutzenden Unternehmen verwenden nur 31 Prozent KI zur Verbesserung der IT‑Sicherheit. Gängige Schutzmaßnahmen an KI‑Anwendungen sind Qualitätssicherung und menschliche Prüfung (67 %), beschränkte Zugriffsrechte (64 %), Schutz sensibler Daten (62 %), Tests vor Einsatz (52 %) und Protokollierung/Monitoring (40 %). 8 Prozent gaben an, keine der genannten technischen Maßnahmen getroffen zu haben.
Warum ist das relevant?
Fakten: Die Studie benennt sowohl externe Bedrohungen durch KI‑gestützte Angriffe als auch Risiken aus dem eigenen KI‑Einsatz. 69 Prozent der Unternehmen, die KI nutzen oder planen, erwarten von unabhängigen Prüfungen eine höhere Sicherheit; 51 Prozent betrachten Zertifizierungen durch unabhängige Prüforganisationen als wichtiges Auswahlkriterium. Die TÜV‑Organisationen arbeiten zusammen mit dem TÜV AI.Lab an einem Rahmenprogramm für die Zertifizierung von KI‑Systemen, das mit Pilotpartnern erprobt wird und Ende des Jahres verfügbar sein soll. Begleitmaterialien wie das Handout der Allianz für Cyber‑Sicherheit (ACS) für KMU sind verfügbar.
Einordnung: Für Entscheider bedeutet dies, dass die Bedrohungslage nicht nur theoretisch ist: die Befragung dokumentiert konkrete Vorfälle und verbreitete Angriffsmuster. Gleichzeitig zeigt die Studie Lücken in Prozessen und technischen Maßnahmen, sowohl bei der Abwehr als auch beim Absichern des eigenen KI‑Einsatzes. Das Interesse an unabhängigen Prüfungen und Zertifizierungen deutet auf einen Bedarf an belastbaren Nachweisen zur Zuverlässigkeit von KI‑Anwendungen.
Was bedeutet das für den Mittelstand?
Fakten: Viele KMU nennen Datenschutz‑ und Sicherheitsbedenken als Gründe gegen KI (53 %), gefolgt von fehlendem Nutzen (58 %), hohem Integrationsaufwand (44 %), rechtlichen Unsicherheiten (43 %), fehlenden Kompetenzen (39 %) und erwarteten Kosten (36 %). Bei KI‑nutzenden Unternehmen sind Maßnahmen wie Mitarbeiterschulungen (56 %), Risikobewertungen (45 %), formale Freigabeprozesse (45 %) und Lieferantenprüfungen (42 %) bereits verbreitet, aber 29 % haben keine dieser Maßnahmen umgesetzt.
Einordnung: Die Zahlen zeigen, dass Mittelstandsunternehmen zugleich Ziel und potenzieller Verursacher von Risiken sind: Externe Angreifer nutzen KI zur Automatisierung und Täuschung, während ungesicherter interner KI‑Einsatz Daten preisgeben oder falsche Entscheidungen verursachen kann. Für Entscheidungsträger heißt das konkret: fehlende KI‑spezifische Prozesse erhöhen das Risiko, Vorfälle zu übersehen oder falsch zu reagieren; unzureichende technische Schutzmaßnahmen reduzieren die Wirksamkeit von Abwehrstrategien.
Passend dazu: KI-Readiness-Check
Empfehlung von Future AI Solutions
Auf Basis der Studienergebnisse empfehlen wir pragmatische, unmittelbar umsetzbare Schritte — getrennt von den Fakten dargestellt:
- Prozesse ergänzen: Ergänzen Sie bestehende IT‑Security‑ und Incident‑Response‑Prozesse um KI‑spezifische Szenarien (Erkennung, Meldewege, Eskalation). Die Studie zeigt, dass nur 11 % solche Abläufe haben.
- Technische Schutzmaßnahmen umsetzen: Setzen Sie Priorität auf Qualitätssicherung und menschliche Prüfung kritischer KI‑Ergebnisse, beschränken Sie Zugriffsrechte, anonymisieren Sie sensible Daten und führen Sie Tests vor dem produktiven Einsatz durch — Maßnahmen, die laut Studie bereits bei Teilen der Unternehmen angewendet werden.
- Monitoring und Protokollierung ausbauen: Nur 40 % protokollieren oder überwachen KI‑Nutzung; erweitertes Logging erleichtert Erkennung und forensische Aufklärung.
- Lieferanten und Produkte prüfen: Führen Sie Lieferantenbewertungen durch und fordern Sie Nachweise zur Sicherheit; 51 % der KI‑Nutzenden betrachten Zertifizierungen als wichtig.
- Schulungen und Freigabeprozesse: Schulen Sie Mitarbeitende und etablieren Sie formale Freigaben für KI‑Anwendungen (bereits bei Teilen der Unternehmen umgesetzt).
- Unabhängige Prüfungen in Betracht ziehen: Nutzen Sie verfügbare Angebote, Handouts der ACS und zukünftig verfügbare Prüf‑/Zertifizierungsrahmen als Entscheidungshilfe; viele Unternehmen erwarten davon mehr Sicherheit.
Diese Empfehlungen sind als Orientierung zu lesen. Konkrete Maßnahmen sollten an Unternehmensgröße, Einsatzszenario und Risikoexposition angepasst werden.