Die Angst ist die falsche
Fast jeder Bericht über KI und Cybersecurity erzählt dieselbe Geschichte. Angreifer bekommen ein Superhirn, entwickeln Angriffe, die kein Mensch je gesehen hat, und du brauchst dringend ein neues Tool mit "AI" im Namen, um zu überleben.
Das ist die falsche Angst.
KI macht Angreifer nicht klüger. Sie macht sie schneller und billiger. Und das ist für ein KMU eigentlich eine viel unangenehmere Wahrheit, weil die meisten erfolgreichen Angriffe nie clever waren. Sie waren einfach schneller als deine Reaktion.
Anthropic, die Firma hinter dem KI-Modell Claude, hat dazu einen deutlichen Leitfaden veröffentlicht. Ihre Kernaussage: KI senkt die Ressourcen, die Zeit und das Können, das nötig ist, um Schwachstellen zu finden und auszunutzen. In den nächsten 24 Monaten werden unzählige bisher unentdeckte Bugs von KI gefunden und zu funktionierenden Angriffen verkettet. Die zweite Hälfte des Satzes geht oft unter: Verteidiger, die dieselben Werkzeuge nutzen, können genauso schnell werden.
Das lässt sich managen. Es geht um Tempo, und Tempo ist planbar.
Was sich wirklich ändert: das Fenster schliesst sich
Stell dir den Ablauf früher vor. Ein Hersteller meldet eine Lücke. Ein Sicherheitsforscher schreibt Wochen später einen Machbarkeitsnachweis. Kriminelle bauen daraus irgendwann einen brauchbaren Angriff. Du hattest, grob gesagt, ein paar Wochen Zeit, um zu patchen.
Dieses Fenster war schon vor KI am Schrumpfen. In unserer Erfahrung planen viele KMU ihre Updates noch immer in Monatszyklen, mit einem Wartungsfenster am Wochenende und einem Genehmigungsprozess davor. Genau dieser Rhythmus wird zum Problem.
Wenn eine Lücke bekannt wird und wenige Stunden später ein automatisierter Angriff dagegen läuft, ist dein Monatszyklus keine Vorsicht mehr. Er ist ein offenes Scheunentor.
Das ist der ganze Punkt. Nicht der Angriff wird gefährlicher. Deine Trägheit wird gefährlicher.
Sechs Dinge, die für ein KMU zählen
Der Anthropic-Leitfaden listet sieben Empfehlungen für grosse Sicherheitsteams auf. Die meisten davon sind für einen Konzern mit eigener Abteilung geschrieben. Wir haben sie auf das eingedampft, was ein Schweizer KMU mit 50 bis 500 Mitarbeitern tatsächlich umsetzen kann und sollte.
1. Schliess deine Patch-Lücke
Das ist das langweiligste Thema der IT-Sicherheit. Es ist auch das wichtigste.
Es gibt eine öffentliche Liste von Schwachstellen, die nachweislich aktiv ausgenutzt werden. Die US-Behörde CISA pflegt sie unter dem Namen "Known Exploited Vulnerabilities". Alles auf dieser Liste, das dich betrifft, gehört sofort gepatcht. Nicht im nächsten Wartungsfenster. Sofort.
Für alles andere hilft eine Priorisierung nach Ausnutzungswahrscheinlichkeit, damit du nicht in einer Liste von 4000 theoretischen CVEs ertrinkst. Und für alles, was aus dem Internet erreichbar ist, gilt eine simple Faustregel: patchen innerhalb von 24 Stunden, sobald ein Angriff existiert. Wenn das nur mit automatischem Ausrollen und automatischem Neustart geht, dann ist das der Weg. Ein manueller Freigabeprozess, der drei Tage dauert, kostet dich in dieser Welt mehr, als er schützt.
2. Rechne mit mehr gefundenen Lücken, nicht mit weniger
Wenn KI das Finden von Schwachstellen billiger macht, dann finden auch die Guten mehr. Deine Scanner, deine Dienstleister, deine Entwickler werden plötzlich zehnmal so viele Meldungen produzieren.
Das ist kein Grund zur Panik, aber ein Grund zur Vorbereitung. Du brauchst einen simplen Prozess, wie Meldungen reinkommen, wie sie sortiert werden und wer sie bis zur Behebung verfolgt. Ein Excel reicht am Anfang. Was nicht reicht, ist "das schaut sich der Roman an, wenn er Zeit hat".
Und der gleiche Massstab gilt für deine Lieferanten. Wenn du von dir selbst schnelles Patchen erwartest, dann erwarte es auch von den Firmen, deren Software in deinem Netz läuft. Das gehört in den Vertrag, nicht in ein Bauchgefühl. Mehr dazu in unserem Beitrag Dein Lieferant wurde gehackt.
3. Bau für den Einbruch, nicht gegen ihn
Das ist der Denkfehler, den wir am häufigsten sehen. Sicherheitsbudgets fliessen fast vollständig in die Mauer, die den Angreifer draussen halten soll. Fast nichts fliesst in die Frage, was passiert, wenn er trotzdem drin ist.
In einer Welt, in der Angriffe in Stunden entstehen, verschiebt sich das Gewicht. Du kannst nicht mehr davon ausgehen, dass die Mauer immer hält. Also baust du so, dass ein Einbruch an einer Stelle nicht das ganze Haus bedeutet.
Konkret heisst das: jede Anfrage wird geprüft, auch die aus dem eigenen Netz. Zugänge hängen an einem physischen Faktor, den man nicht per Mail abphishen kann, etwa einem Passkey oder einem Hardware-Schlüssel. Und langlebige Passwörter und Schlüssel werden durch kurzlebige, eng begrenzte Zugänge ersetzt. Das ist die Idee hinter Zero Trust, und wir haben sie in Zero Trust entmystifiziert ohne Marketing-Nebel erklärt.
4. Mach dich kleiner
Hier liegt der grösste Hebel für ein KMU, und er kostet meistens kein Geld, sondern Disziplin.
Jeder Server, jeder Dienst, jede Schnittstelle, die aus dem Internet erreichbar ist, ist eine Tür, die ein automatisierter Angreifer anfassen kann. Die unangenehme Realität aus fast jedem Assessment, das wir machen: Niemand hat eine vollständige Liste dieser Türen. Es gibt immer den alten Server, den "temporären" Zugang von vor drei Jahren, die vergessene Test-Umgebung.
Führ eine aktuelle Liste von allem, was nach aussen zeigt. Schalt ab, was niemand mehr braucht. Reduziere, was jeder Dienst nach aussen anbietet. Das ist keine Technologie, das ist Aufräumen. Aber es entzieht dem KI-Angreifer schlicht die Ziele. Wer nicht erreichbar ist, wird nicht angegriffen.
5. Verkürze deine Reaktionszeit
Wenn Angriffe schneller werden, entscheidet nicht mehr nur die Prävention, sondern wie schnell du merkst, dass etwas läuft, und wie schnell du handelst.
Genau hier hilft KI dir, statt gegen dich. Ein Modell kann die erste Sichtung von Alarmen übernehmen und das Rauschen wegfiltern, bevor ein Mensch draufschaut. Es kann während eines Vorfalls mitschreiben, Zeitstempel setzen und den ersten Entwurf des Nachberichts liefern, während dein Team das Problem löst statt zu protokollieren.
Das musst du nicht selbst bauen. Aber du solltest einmal durchgespielt haben, was passiert, wenn nicht ein Vorfall auftritt, sondern fünf gleichzeitig. Und du solltest ein Notfall-Verfahren haben, mit dem du im Ernstfall in Minuten patchen oder abschotten darfst, ohne den normalen Genehmigungsweg. Wie so ein Ernstfall wirklich abläuft, steht in Incident Response Readiness.
6. Nutz denselben Rückenwind
Der Teil, den die Angst-Version der Geschichte weglässt: Alles, was den Angriff billiger macht, macht auch die Verteidigung billiger.
Dieselbe KI, die Lücken findet, kann deinen Code prüfen, bevor er live geht. Sie kann doppelte Findings zusammenfassen, Behebungen vorschlagen und die stumpfe Fleissarbeit übernehmen, die deine wenigen Sicherheitsleute bisher ausgebremst hat. Für ein KMU ist das keine Bedrohung, das ist ein Ausgleich. Zum ersten Mal skaliert Verteidigung ähnlich günstig wie Angriff.
Deshalb ist die richtige Reaktion nicht "mehr Budget für ein Angst-Tool". Die richtige Reaktion ist, den Abstand zwischen "wir wissen von der Lücke" und "sie ist geschlossen" so klein wie möglich zu machen. Das ist Arbeit an deinem Prozess, kein Posten auf einer Einkaufsliste.
Und wenn du gar kein Sicherheitsteam hast?
Viele KMU haben keinen Menschen, dessen Job Sicherheit ist. Das ist in Ordnung. Der Anthropic-Leitfaden hat dafür eine kurze, ehrliche Liste, und sie deckt sich mit dem, was wir kleinen Betrieben ohnehin raten:
- Automatische Updates einschalten, überall. Betriebssystem, Browser, Anwendungen.
- Verwaltete Dienste einem selbst gehosteten Server vorziehen. Lass jemand anderen patchen, der es hauptberuflich tut.
- Passkeys oder Hardware-Schlüssel auf allen Konten nutzen, die es unterstützen.
- Die kostenlosen Sicherheitsfunktionen einschalten, die du sowieso schon hast, zum Beispiel bei Microsoft 365.
Das ist keine Hochsicherheit. Aber es schliesst die Türen, durch die die allermeisten automatisierten Angriffe reinkommen.
Wo du morgen früh anfängst
Wenn du aus diesem Artikel nur eine Sache mitnimmst: Das Problem ist nicht der schlaue Angriff. Das Problem ist der Abstand zwischen dem Moment, in dem eine Lücke bekannt wird, und dem Moment, in dem du sie schliesst.
Also mach morgen früh genau eines. Öffne die CISA-Liste der aktiv ausgenutzten Schwachstellen und prüf, ob etwas davon bei dir läuft. Wenn ja, patch es diese Woche. Nicht diesen Monat.
Der Rest, die Angriffsfläche, die Assume-Breach-Architektur, der Incident-Prozess, folgt daraus. Aber er folgt in deinem Tempo, geplant und mit Budget, statt panisch nach dem nächsten Tool zu greifen, das "AI" auf der Verpackung hat.
Und wenn du nicht weisst, welche deiner Türen offen stehen: Genau das schauen wir uns in einem Security Assessment zuerst an. Meistens ist die Liste kürzer als befürchtet und der erste Schritt billiger als gedacht.
