Nicht die AI ist das Sicherheitsproblem, sondern deine Langsamkeit

Aktuell häufen sich die Meldungen über neu entdeckte Sicherheitslücken. Und weil in fast jeder Meldung irgendwo das Wort „AI“ auftaucht, entsteht der Eindruck, Künstliche Intelligenz sei das Problem: Sie schreibt unsicheren Code, sie öffnet Angriffsflächen, sie macht die Welt gefährlicher.

Das ist falsch. An den wenigsten dieser Lücken ist AI schuld. Die meisten von ihnen sind nicht neu – sie sind teilweise seit Jahrzehnten vorhanden. Schlafende Fehler in altem Code, ungeschützte Schnittstellen, Konten mit Standardpasswörtern, Systeme, die seit Ewigkeiten niemand mehr angefasst hat. All das lag schon vorher im Keller. Es hat nur keiner hingeschaut.

Was AI – und meinetwegen auch VibecodingSoftware nicht mehr klassisch programmieren, sondern in natürlicher Sprache beschreiben und die KI den Code schreiben lassen. Der Mensch steuert per Feedback („Vibes“) und prüft oft nicht mehr jedes Detail. – tatsächlich zu verantworten hat, ist etwas anderes: die Geschwindigkeit, mit der diese Lücken ausgenutzt werden. Früher lag zwischen dem Bekanntwerden einer Schwachstelle und dem ersten flächendeckenden Angriff oft genug Zeit, um zu reagieren. Heute findet eine AI die Lücke, beschreibt sie, und zwei Stunden später zirkuliert ein einsatzfähiger ExploitEin Angriffsprogramm oder eine Anleitung, die eine bekannte Sicherheitslücke gezielt ausnutzt. Wenn die Lücke ein kaputtes Schloss ist, ist der Exploit der passende Dietrich.. Der Zeitraum, in dem wir reagieren können, schrumpft von Wochen auf Stunden.

Das ist der eigentliche Befund: nicht ein neues Risiko, sondern eine alte Schuld, die plötzlich fällig wird.

Davon zu trennen ist die Frage, welche neuen Angriffsflächen AI-Agenten selbst mitbringen, etwa durch Prompt Injection. Darum geht es hier nicht.

Warum uns das nicht kalt lassen darf

Die Konsequenz daraus ist unbequem. Wenn die Lücken alt sind und nur schneller ausgenutzt werden, hilft es nicht, auf AI zu schimpfen oder auf bessere AI zu hoffen. Dann hilft nur eines: den Keller vor dem Einbruch aufzuräumen.

Genau das wird aber in vielen Unternehmen seit Jahren vor sich hergeschoben. Das Patch-Management ist „in Arbeit“, die Systeminventur ist „geplant“, die Zugriffe sind „historisch gewachsen“. Digitalisierung, die nur aufs Aussehen der Oberfläche achtet, hat die Substanz vernachlässigt.

Jetzt wird die Rechnung präsentiert – nur eben schneller, als viele erhofft haben.

Das ist der Punkt, den ich unter Digitalem Verhalten immer wieder diskutiere: Technik ersetzt keine Hausaufgaben. Wer seine Systeme nicht kennt, seine Updates nicht im Griff hat und keine Ahnung hat, welche Zugänge es überhaupt gibt, für den ist jede Sicherheitslücke ein Volltreffer – egal ob sie der Angreifer mit AI oder mit Handarbeit findet.

Was jetzt konkret zu tun ist

Die gute Nachricht: Die Liste dessen, was zu tun ist, ist kurz und unspektakulär. Sie erfordert keine AI, nur konsequentes Handeln:

• Inventur: Welche Systeme, Dienste und Zugänge existieren überhaupt? Du kannst nicht schützen, was du nicht kennst.
• Updates und Patches: konsequent und mit dokumentiertem Prozess. „Irgendwann im Quartal“ ist keine Strategie, wenn der Exploit nach zwei Stunden unterwegs ist.
• Zugänge aufräumen: Standardpasswörter, alte Konten, unnötige Admin-Rechte entsorgen. Der Klassiker unter den jahrzehntealten Lücken.
• Notfallplan: Wer entscheidet was, wenn es doch passiert? Auch das muss vor dem Ernstfall stehen, nicht währenddessen.

Kein Punkt davon ist neu. Kein Punkt davon ist technisch aufregend. Aber genau deshalb wird er so oft verschoben – und genau deshalb entscheidet er jetzt, wer die Geschwindigkeit der Angreifer einfach aussitzt und wer zum Fall für die Abendnachrichten wird.

Und bevor du jetzt seufzt: Nein, du musst diese Liste nicht in wochenlanger Handarbeit abarbeiten. Die Ironie der ganzen Geschichte ist nämlich, dass ausgerechnet AI dir bei genau diesen Hausaufgaben helfen kann – bei der Inventur, beim Aufräumen der Zugänge, beim Aufspüren der alten Leichen. Wie, das ist ein eigenes Thema – mehr dazu im nächsten Beitrag.

Die Lücken sind alt. Die Frist ist neu. Was fehlt, ist der erste Schritt – und der ist kleiner, als du denkst: Sieh nach, was du eigentlich betreibst. Wenn du dabei Unterstützung brauchst, sag Bescheid.