Der „CISO Insight Report“ von Okta warnt mit deutlichen Zahlen vor einem Kontrollverlust bei der Sicherheit von KI-Agenten. Unternehmen treiben die Adaption von KI-Agenten derzeit rasant voran, doch vielen fehlen noch die nötigen Kontrollmechanismen, um diese sicher zu verwalten. Für Deutschland zeigt der Report dabei zudem ein alarmierendes Paradoxon.
Obwohl 81 Prozent der hiesigen CISOs ein KI-gesteuertes Phishing als größte Bedrohung fürchten, weisen 58 Prozent der Unternehmen einen gefährlich niedrigen Reifegrad bei der KI-Governance auf. Die Umfrage zeigt zudem, dass die Hälfte der CISOs in Deutschland extrem oder sehr besorgt über KI-gesteuerte Sicherheitsvorfälle ist. Diese Sorge spiegelt sich jedoch nicht in der tatsächlichen Vorbereitung wider. Nur gut zwei Drittel der deutschen CISOs (61 Prozent) können mit Sicherheit sagen, wo ihre KI-Agenten eingesetzt werden, auf welche Ressourcen diese Zugriff haben oder welche Aktionen sie eigenständig ausführen dürfen.
Weltweit zeigt sich sogar: Bei Organisationen mit niedrigem Reifegrad und reaktiver Herangehensweise geben 18 Prozent an, dass sie bei einem Sicherheitsvorfall keinerlei Möglichkeiten haben, einen außer Kontrolle geratenen KI-Agenten zu erkennen oder zu stoppen.
Die Quintessenz: Mit der zunehmenden Autonomie von KI-Agenten müssen CISOs für nicht-menschliche Identitäten dieselbe Sicherheitsdisziplin anwenden wie für Mitarbeiter, Auftragnehmer und Partner. Dies beinhaltet klare Verantwortlichkeiten, eingeschränkte Zugriffsrechte und regelmäßige Überprüfungen der Privilegien.
Fehlende strategische Abstimmung mit der Geschäftsführung
Ein wesentliches Risiko entsteht durch die mangelnde Abstimmung auf der Führungsebene. Lediglich 27 Prozent der CISOs in Deutschland haben das Gefühl, dass sie bezüglich der akzeptablen KI-Risiko-Stufen vollständig mit ihrer Geschäftsführung und dem C-Level auf einer Linie sind – und nur 42 Prozent der CISOs in Deutschland geben an, dass ihre Führungsebene die KI-Sicherheit tatsächlich als geschäftsfördernden Faktor bewertet. Während nämlich knapp die Hälfte (46 Prozent) der deutschen Vorstände dem Thema Innovation den Vorrang vor der IT-Sicherheit gibt, räumen nur knapp 39 Prozent beiden Bereichen die gleiche Priorität ein. Diese Schieflage bleibt nicht ohne Folgen für die Angriffsfläche: 65 Prozent der deutschen CISOs sind besorgt darüber, dass exzessive KI-Zugriffsrechte nicht regelmäßig überprüft werden.
Das deutsche Paradoxon: Hohes Vertrauen bei mangelhafter Infrastruktur
Speziell im deutschen Markt zeigt der Report eine deutliche Diskrepanz zwischen Selbstüberschätzung und echtem KI-Reifegrad. Deutsche Organisationen führen die Umfrage bei der akuten Angst vor spezifischen Bedrohungen an:
81 Prozent der deutschen CISOs nennen KI-gesteuertes Phishing als ihre größte Sorge. Dennoch leiden sie unter einer massiven Wahrnehmungslücke: Einerseits schätzen sie ihr eigenes Vertrauen in ihre Kontrollmechanismen sehr hoch ein, andererseits weisen 58 Prozent der Unternehmen einen lediglich niedrigen oder reaktiven Reifegrad bei der KI-Governance auf. Zudem verfügen 12 Prozent über keinen einheitlichen Ansatz für das Identitätsmanagement von KI-Agenten.
Die kritische Folge: Mehr als die Hälfte der deutschen Organisationen befindet sich während eines aktiven Sicherheitsvorfalls quasi im Blindflug.
Identitätsverwaltung von KI-Agenten läuft oft als Nebensache
Auch strukturell werden Identitäten von KI-Agenten häufig unzureichend gehandhabt. 15 Prozent der befragten Organisationen in Deutschland nutzen gemeinsame Anmeldeinformationen (Shared-Credentials) oder Service-Accounts mit weitreichenden Berechtigungen, um den Zugriff von KI-Agenten zu steuern. Knapp 39 Prozent der deutschen Unternehmen verwalten ihre Agenten lediglich ad-hoc und auf Team-Ebene isoliert. Dabei wissen die Sicherheitsverantwortlichen, dass ein Umdenken notwendig ist: Auf die Frage nach der wichtigsten KI-Sicherheitsfunktion für das KI-Agenten-Unternehmen setzten die CISOs in Deutschland das Thema Governance mit 35 Prozent unangefochten auf den ersten Platz.
„KI-Agenten für Unternehmen verbreiten sich in der EMEA-Region in Maschinengeschwindigkeit, aber die Sicherheits-Frameworks, die sie schützen sollen, sind stark fragmentiert“, erklärt Stephen McDermid, EMEA CSO bei Okta. Weiter: „Wir beobachten den besorgniserregenden Trend, dass Organisationen hochgradig autonome, nicht-menschliche Akteure mit Verfahren behandeln, die für menschliche Mitarbeiter konzipiert wurden, anstatt anzuerkennen, dass KI-Agenten viel schneller agieren können als Menschen und daher automatisierte Kontrollmechanismen erforderlich sind. Noch schlimmer ist, dass sich manche Unternehmen auf gemeinsam genutzte Zugangsdaten mit weitreichenden Berechtigungen verlassen.“
Info: Der vollständige CISO-Insight-Report findet sich hier: https://www.okta.com/newsroom/articles/global-ciso-insights-2026/
