Eine Hundertstelsekunde pro Ziel

Am Montag, dem 14. September, hat die spanische Datenschutzbehörde in ihrem Blog etwas veröffentlicht, das sie so noch nie veröffentlicht hatte: die Meldung einer Verletzung des Schutzes personenbezogener Daten, bei der der Vorfall nach Angaben der betroffenen Organisation von einem Agenten künstlicher Intelligenz ausgeführt worden sein soll.

Die Schilderung umfasst vier Zeilen. Der Agent habe zunächst in generischen Dateien nach Schwachstellen gesucht, einen gültigen Login durchgeführt und dann, einmal im System, begonnen, „de forma autónoma“ nach Schwachstellen in der Anwendung zu suchen. Nachdem er eine ausnutzbare gefunden hatte, habe er personenbezogene Daten verändert und Rechnungen eingesehen.

Es lohnt sich, sofort aufzuzählen, was dieses Dokument nicht ist, denn in drei Tagen habe ich es schon anders erzählt gesehen. Es ist keine Entscheidung der Behörde. Es ist ein Beitrag im institutionellen Blog, gezeichnet von Francisco Pérez Bes, der den Inhalt einer eingegangenen Meldung wiedergibt und ausdrücklich darauf hinweist, dass die Information von der meldenden Organisation stammt und „deberá ser objeto del correspondiente análisis“, also entsprechend zu prüfen sein wird. Es ist auch kein Vorwurf an einen Anbieter: Die Behörde stellt klar, dass der Einsatz eines bestimmten Modells nicht bedeutet, dass das Modell oder die Infrastruktur seines Anbieters kompromittiert wurden. Es ist eine Meldung, die die Behörde öffentlich gemacht hat, weil sie darin ein Signal sieht, und als Signal ist sie zu lesen.

Das Signal liegt allerdings nicht dort, wo es fast alle verorten. Es liegt nicht darin, dass eine Maschine in eine Verwaltungsanwendung eingedrungen ist. Das tun Skripte seit zwanzig Jahren. Es liegt in vier Worten der Schilderung: einmal drinnen, hat der Agent selbst gesucht.

Um zu verstehen, warum diese vier Worte ein Essay wert sind, muss man zu einer Rechnung aus dem Jahr 2010 zurück, als es große Sprachmodelle noch nicht gab und niemand sich vorstellte, sich gegen sie verteidigen zu müssen.

Der Einwand gehört vollständig zugestanden

Es gibt eine schnelle Art, die Sache abzulegen, und sie ist intellektuell respektabel. Sie geht so: Die offensive Automatisierung hat die KI nicht erfunden. Massenscanner, Credential Stuffing, Exploit-Kits, Würmer, Botnetze, Mass Exploitation. Das Internet ist ein automatisierter Schießstand, seit lange bevor jemand das Wort Prompt prägte, und wer je einen Server öffentlich gestellt hat, weiß, dass innerhalb von Minuten etwas zu klopfen beginnt.

Der Einwand ist nicht nur richtig. Er ist in einem viel massiveren Maßstab richtig, als die meisten ahnen, die ihn vorbringen.

GreyNoise, das diesen Verkehr berufsmäßig beobachtet, zählte im im Februar veröffentlichten Bericht 2.969.010.478 bösartige Sitzungen in hundertzweiundsechzig Tagen, von 3.804.232 verschiedenen IP-Adressen. Fast drei Milliarden Sitzungen in gut fünf Monaten, gegen Geräte am Netzrand. Im selben Zeitraum wuchs ein auf Credential Spraying spezialisiertes Botnetz in zweiundsiebzig Tagen von zweitausend auf dreihunderttausend Adressen. Und die Zahl, die mir am besten gefällt, weil sie die Rhetorik der stets neuen Bedrohung zerlegt: Schwachstellen, die vor 2015 veröffentlicht wurden, zogen 7,3 Millionen Sitzungen auf sich, viermal mehr als jene aus den Jahren 2023 und 2024.

Die Massencyberkriminalität hat nicht auf die KI gewartet, um industriell zu werden. Sie war es längst, sie war längst ökonomisch rational, und sie verbrachte die meiste Zeit damit, an zehn Jahre alte Türen zu klopfen, weil dort jemand öffnet.

Wer die spanische Nachricht mit einem „nichts Neues“ abtut, hat in allem recht außer im Schluss. Um zu erklären, warum, muss ich jemandem das Wort überlassen, der das Problem untersucht hat, als die Frage noch Spam hieß.

Die Rechnung, die Cormac Herley 2010 aufmachte

2010 stellt Cormac Herley beim Workshop on the Economics of Information Security eine Arbeit vor, deren Titel wie ein Scherz klingt und keiner ist: The Plight of the Targeted Attacker in a World of Scale, das Elend des gezielten Angreifers in einer Welt der Skalierung.

Die Ausgangsfrage ist jene, die sich jeder ehrliche Mensch angesichts des durchschnittlichen Sicherheitsniveaus mindestens einmal gestellt hat: Wenn fast zwei Milliarden Menschen das Internet nutzen und dabei selbst elementare Schutzmaßnahmen vernachlässigen, warum wird dann jedes Jahr nur ein winziger Bruchteil tatsächlich getroffen? Herleys Antwort ist nicht technisch. Sie ist ökonomisch.

Er unterscheidet zwei Familien von Angriffen. Die skalierbaren, deren Kosten fast unabhängig von der Zahl der Angegriffenen sind: ob man zehn oder hundert Millionen E-Mails verschickt, die Grenzkosten liegen nahe null. Und die nicht skalierbaren oder gezielten Angriffe, die Aufwand für das einzelne Opfer verlangen. Den Massenangreifer nennt er Carl, die gezielte Angreiferin Klara, und dann rechnet er.

Er nimmt die von Kanich und Kollegen vermessene Spam-Kampagne: 2.800 Dollar Ertrag aus 350 Millionen versendeten E-Mails. Er unterstellt, dass Carl mindestens die Kosten gedeckt hat. Dann fragt er, was geschähe, wenn Klara dieselbe Population erreichen wollte und dafür zehn Cent Aufmerksamkeit pro Person aufwendete. Es würde sie 35 Millionen Dollar kosten. Mit Carls Budget käme Klara stattdessen auf 28.000 Nutzer, vier Größenordnungen weniger.

Dann dreht Herley die Rechnung um, und das ist der Schritt, der den Artikel trägt. Wollte der Angreifer für jedes Ziel bezahlte menschliche Arbeit zum damaligen US-Mindestlohn von 7,25 Dollar je Stunde einsetzen, bleibt ihm, um kostendeckend zu bleiben, ein Budget von einer Hundertstelsekunde Aufmerksamkeit pro Kopf.

Eine Hundertstelsekunde.

Daraus folgt der strukturelle Schluss, den ich zitiere, weil alles Weitere in diesem Essay darauf ruht: Skalierbare Angriffe „must be entirely automated with no per-user intervention whatever“, müssen also vollständig automatisiert sein, ohne jeden Eingriff pro Nutzer. Das ist keine Handlungsempfehlung. Das ist eine Budgetrestriktion.

Und die Restriktion hat eine Nebenwirkung, der Herley einen ganzen Abschnitt widmet. Skalierbare Angriffe passen sich nicht an. Carl schickt das Phishing, probiert den Trojaner, tastet die Firewall ab, prüft, ob der Router noch das Werkspasswort trägt. All das kann er zu nahezu null Kosten tun, an Millionen Menschen parallel. Weicht Alice aber dem Phishing aus, schreibt Herley, dann gilt: „Carl doesn’t step up other attacks“. Er bleibt nicht dran, wechselt die Route nicht, verstärkt die Angriffe auf den Router nicht, weil er an der Firewall abgewiesen wurde. Klara schon. Scheitert Klara an den Sicherheitsfragen, geht sie zum Social Engineering über, und scheitert sie auch dort, versucht sie, einen Keylogger installieren zu lassen. Klara passt sich an, weil Klara ein Aufmerksamkeitsbudget pro Ziel hat.

Fünfzehn Jahre lang ruhte die Architektur der Massensicherheit auf dieser Trennung. Wer nicht wertvoll genug war, um Klaras Aufmerksamkeit zu rechtfertigen, verteidigte sich gegen Carl, und Carl war ein von Konstruktion wegen dummer Gegner. Nicht weil er unfähig gewesen wäre, sondern weil es ihn mehr kostete, mit dir klug zu sein, als du wert warst.

Was ein höheres Aufmerksamkeitsbudget wirklich kauft

Jetzt wird die Frage präzise, und aus meiner Sicht ist sie die einzige, die in der ganzen Debatte über offensive KI zählt.

Was geschieht mit der Trennung zwischen Carl und Klara, wenn ein Teil der Aufmerksamkeit pro Ziel aufhört, menschliche Arbeit zu sein, und Inferenz wird?

Ich behaupte nicht, die Maschine sei zu Klara geworden. Die wirkliche Klara ist ein Nachrichtendienst mit physischem Zugang, unbegrenzten Mitteln und Zeit. Davon ist die Maschine weit entfernt. Ich behaupte etwas Bescheideneres und, wie ich fürchte, Folgenreicheres: dass Carl begonnen hat, sich jene Eigenschaft Klaras zu kaufen, die ihm immer verwehrt war, nämlich die Anpassung, und dass er sie sich innerhalb seiner eigenen Kostenstruktur kauft.

Ein Agent, der probiert, die Fehlermeldung liest, begreift, dass dieser Weg zu ist, einen anderen versucht und das Gelernte am nächsten Ziel wiederverwendet, ist kein genialer Angreifer. Er ist ein mittelmäßiger Angreifer, dessen Aufmerksamkeitsbudget pro Ziel keine Hundertstelsekunde mehr beträgt.

Genau das macht die spanische Schilderung interessant. Nicht den Login, der ein beliebiges Credential Stuffing gewesen sein kann. Den Satz danach: einmal drinnen, hat er selbst gesucht. In einer klassischen skalierbaren Kampagne ist das der Moment, in dem die Automatisierung endet und die menschliche Arbeit beginnt, denn jede Verwaltungsanwendung ist anders als alle übrigen, und um zu verstehen, wo der Fehler sitzt, muss man sie ansehen. Diese menschliche Arbeit ist die Kostenschwelle, die die meisten Ziele aus dem Markt hielt.

Das spanische Nationale Kryptologiezentrum sagt in seinem im Juni erschienenen Leitfaden BP/36 dasselbe in einer Zeile, ohne es Ökonomie zu nennen: Offensive KI bringe nicht zwangsläufig neuartige Techniken, sondern „la capacidad de automatizar, acelerar y ampliar a gran escala ataques ya conocidos“, die Fähigkeit, bereits bekannte Angriffe zu automatisieren, zu beschleunigen und massiv auszuweiten, wodurch sich die verfügbaren Reaktionszeiten der Organisationen deutlich verkürzen. Da schreibt eine staatliche Stelle in einem Dokument guter Praxis, dass nicht die Neuheit der Technik das Problem ist, sondern der Preis, zu dem die alte Technik verfügbar wird.

Die entscheidende Schwelle ist also nicht die perfekte Autonomie. Sie wird nicht kommen, und auf sie zu warten ist ein ausgezeichneter Weg, in der Zwischenzeit nichts zu tun. Die Schwelle ist der Punkt, an dem hundert Wege auszuprobieren weniger kostet als die menschliche Arbeit, um einen einzigen auszuprobieren.

Die Belege, die wir haben, und was sie wiegen

Hier muss ich langsamer werden, denn an dieser Stelle wird ein Essay wie dieser entweder ernsthaft oder zu Angstmarketing.

Der meistzitierte Beleg ist der Bericht von Anthropic vom 13. November 2025 über eine Spionagekampagne, die das Unternehmen einer Gruppe zuschreibt, die es GTG-1002 nennt. Die genannten Zahlen sind die, die alle wiederholt haben: Die KI habe 80 bis 90 % der Kampagne ausgeführt, menschliches Eingreifen sei nur „only sporadically“ nötig gewesen, vielleicht an vier bis sechs kritischen Entscheidungspunkten je Kampagne; rund dreißig globale Ziele aus großen Technologieunternehmen, Finanzinstituten, Chemieindustrie und Behörden; auf dem Höhepunkt Tausende Anfragen, oft mehrere pro Sekunde.

Die Zahlen, die fast niemand wiederholt hat, sind ebenso lehrreich. Erfolgreiche Einbrüche gab es in „a small number of cases“, und der Bericht räumt ein, dass das Modell „occasionally hallucinated credentials or claimed to have extracted secret information that was in fact publicly-available“. Erfundene Zugangsdaten. Aufgeblähte Ergebnisse. Eine Maschine, die ihrem Operator erzählte, Geheimnisse gefunden zu haben, die auf einer öffentlichen Website standen. Der Vollständigkeit halber: Der ursprüngliche Text wurde am Tag nach der Veröffentlichung korrigiert, weil dort Tausende Anfragen pro Sekunde stand.

Wer diesen Bericht nur wegen des Prozentsatzes zitiert, verwendet eine Quelle schlecht, die mehr hergibt. Vier bis sechs menschliche Entscheidungspunkte je Kampagne, das ist die ökonomische Zahl; die niedrige Erfolgsquote und die Halluzinationen sind die Zahl, die sagt, dass es nicht um Kompetenz geht. Ein System, das oft irrt, aber fast nichts kostet, kann sich eine Fehlerquote leisten, die einen Profi aus dem Markt drängen würde. Skalierung gleicht Mittelmaß aus, und sie gleicht es nur aus, wenn das Scheitern billig ist.

Der zweite Beleg ist weniger spektakulär und wiegt aus meiner Sicht schwerer. Die Google Threat Intelligence Group schreibt in ihrem Bericht vom 11. Mai 2026, sie habe erstmals einen Akteur identifiziert, der einen Zero-Day einsetzt, von dem sie annimmt, er sei mit KI entwickelt worden; sie dokumentiert APT28, das gegen die Ukraine eine Schadsoftware einsetzt, die zur Laufzeit ein Sprachmodell abfragt, um sich ihre Befehle generieren zu lassen; und sie beschreibt Akteure, die Tausende repetitiver Prompts senden, um CVEs zu analysieren und Proof-of-Concept-Exploits zu validieren. Der Satz, den ich unterstrichen habe, ist aber ein anderer, und es ist Ökonomie, geschrieben von Bedrohungsanalysten: Durch die Automatisierung von Informationsbeschaffung und Aufgabenunterstützung senken diese Interaktionen „the barrier to entry for complex, multi-stage operations“ und erlauben es den Akteuren, ihr Humankapital auf die strategischen Elemente höherer Ordnung zu konzentrieren.

Humankapital. Markteintrittsbarriere. Sie beschreiben keine neue Waffe. Sie beschreiben die Umverteilung eines knappen Faktors.

Der dritte Beleg zirkuliert am meisten und trägt am wenigsten, deshalb steht er zuletzt und wird auf Normalmaß gebracht. Im September 2025 veröffentlichte Check Point eine Analyse zu HexStrike-AI, einem Red-Teaming-Framework, das über hundertfünfzig Sicherheitswerkzeuge orchestriert, und hielt fest, dass binnen Stunden nach der Offenlegung mehrerer Citrix-NetScaler-Schwachstellen bestimmte Untergrundkanäle über seinen Einsatz dagegen diskutierten. Aus dieser Analyse stammt die Zahl, die man überall gelesen hat: von Tagen auf unter zehn Minuten. Im Text von Check Point wird diese Zahl dem zugeschrieben, was „attackers claim“, was Angreifer also behaupten. Es ist keine Messung, keine im Labor gestoppte Zeit, sondern eine Forenprahlerei, die ein Sicherheitsunternehmen aufgriff und die dann in dreihundert Artikeln zur Tatsache wurde.

Ich schreibe das, weil es mich ärgert, wenn andere es tun. Wenn die These dieses Essays die zehn Minuten von HexStrike braucht, um zu stehen, dann steht sie nicht.

Der Preis, den der Angreifer zahlt, ist nicht der Listenpreis

Wer über die Grenzkosten der Inferenz argumentiert, zieht irgendwann eine Preisliste hervor. So viel je Million Eingabetoken, so viel je Million Ausgabetoken, mal der Zahl der Versuche. Die Übung ist ehrlich, aber brüchig, denn Preislisten ändern sich vierteljährlich und weil sie eine strukturelle These vom aktuellen Preis eines Anbieters abhängig macht.

Es gibt einen besseren Grund für die Annahme, dass die Kosten offensiver Aufmerksamkeit sinken, und er steht im selben Google-Bericht.

Die GTIG dokumentiert ein Ökosystem, das Modellzugang außerhalb des legitimen Kanals beschafft: Gateways, die mehrere API-Schlüssel bündeln, Werkzeuge zur automatischen Kontoregistrierung, die den vollen Zyklus aus CAPTCHA-Umgehung, SMS-Verifikation und Löschung selbständig abwickeln, Anti-Fingerprint-Browser zur Isolierung der Sitzungen. Der Befund der Analysten lautet, die Akteure seien dabei, ihre feindseligen Arbeitsabläufe zu industrialisieren und sie über den Missbrauch von Testzugängen und die programmatische Rotation von Konten zu subventionieren, „industrializing their adversarial workflows while subsidizing their operations through trial abuse and programmatic account cycling“.

Übersetzt: Der Angreifer zahlt nicht, was wir zahlen. Er zahlt, was der Diebstahl eines Schlüssels kostet, oder nichts.

Das macht das ökonomische Argument stärker, nicht schwächer. Es hängt von der Preispolitik niemandes ab. Es hängt daran, dass eine Fähigkeit, die einst in seltenen Menschen steckte, zu einer fungiblen Ressource geworden ist, die man horten, weiterverkaufen, stehlen und recyceln kann. Und es ist der Grund, warum ich Beruhigungen für wenig überzeugend halte, die auf Inferenzkosten beruhen: Sie setzen einen Gegner voraus, der zum Listenpreis einkauft.

Das marginale Ziel

Hält die Analyse, dann betrifft die wichtigste Wirkung nicht die Ziele, über die man in der Zeitung liest.

Große Organisationen waren ökonomisch längst angreifbar. Sie waren Klaras Aufmerksamkeit immer wert, sie haben ein SOC, sie kaufen Threat Intelligence, sie üben Angriffsszenarien. Für sie ist ein billigerer Angreifer eine quantitative Verschlechterung einer ohnehin bekannten Lage.

Die Wirkung liegt am Rand. Sie liegt in jenem ganzen Band von Zielen, das niemand ignorierte, weil es sicher gewesen wäre, sondern weil es niemandes Zeit wert war. Die Gemeinde mit achttausend Einwohnern und dem exponierten Fachverfahren für Baugenehmigungen. Die Branchensoftware, die vierzig Kanzleien nutzen, 2014 gut geschrieben und von zwei Personen gepflegt. Die Individualanwendung, die sich ein Mittelständler bauen ließ und die seit dem Produktivgang niemand mehr angesehen hat. Die Industriemaschine mit Weboberfläche, die nicht aktualisiert werden kann, weil es den Lieferanten nicht mehr gibt.

Dieses Band war nicht durch eine Kontrolle geschützt. Es war durch eine Rechnung geschützt: Das Ding zu verstehen kostete mehr, als sich daraus holen ließ. Es lag, wörtlich, unterhalb der Aufmerksamkeitsschwelle.

In meiner Arbeit ist dieses Band keine Abstraktion. Es ist der größte Teil der Kunden, die ein IT-Unternehmen aus der Provinz vor sich hat, und es ist der Grund, warum mich dieses Thema mehr interessiert als die Chronik staatlicher Angriffe. Wenn ich mit einer kleinen Verwaltung über Sicherheit spreche, lautet der Satz, den ich am häufigsten höre, nicht „wir haben kein Budget“. Er lautet „wer sollte denn ausgerechnet uns angreifen“. Fünfzehn Jahre lang war dieser Satz keine Dummheit. Er war eine vernünftige empirische Beobachtung, gestützt auf eine reale Ökonomie.

Die Daten zur Größe der Opfer sagen, dass diese Vernunft sich schon vor den Agenten abgenutzt hatte. Der Data Breach Investigations Report 2025 von Verizon fand Erpressungssoftware in 88 % der Verletzungen bei kleinen und mittleren Unternehmen, gegenüber 39 % bei großen Organisationen. Kleine werden nicht verschont, sie werden abgeerntet. Und in der Ausgabe 2026 ist die Ausnutzung von Softwareschwachstellen mit 31 % zum häufigsten Einstiegsvektor geworden und hat gestohlene Zugangsdaten überholt, während Ransomware in 48 % der Verletzungen auftaucht.

Und nun stelle man sich vor, was dieser häufigste Einstiegsvektor bedeutet, sobald das Verstehen einer unbekannten Anwendung aufhört, menschliche Arbeit zu sein. Es bedeutet nicht, dass Angreifer gut werden. Es bedeutet, dass die Frage, ob sich das Studium dieses Ziels lohnt, dort ein Ja bekommt, wo sie früher ein Nein bekam.

Der Beleg, der fehlt

Und jetzt der Teil, der mich etwas kostet, weil er alles Bisherige schwächt und weil ich ihn nicht in einer Fußnote verstecken will.

Wäre die These in ihrer starken und unmittelbaren Fassung richtig, müssten wir sie in den aggregierten Zahlen längst sehen. Mehr Versuche, mehr Ziele, mehr verbrannte Schwachstellen, schneller. Sehen wir nach.

VulnCheck, das eine der seriöseren Datenbanken zur tatsächlichen Ausnutzung führt, hat Ende Juli die Bilanz des ersten Halbjahrs 2026 veröffentlicht. Vierhundertfünfundneunzig Schwachstellen mit Nachweis der Ausnutzung. 23,43 % wurden am Tag der CVE-Veröffentlichung oder davor ausgenutzt, nach 28,93 % im Jahr 2025. Rund zweihundert CVEs wurden binnen einunddreißig Tagen nach Veröffentlichung ausgenutzt, gegenüber 196 im Jahr 2024 und 194 im Jahr 2025. Das Verhältnis ausgenutzter zu veröffentlichten Schwachstellen ist von 2,7 % im zweiten Halbjahr 2023 auf heute 1,4 % gefallen. Und der Satz der Analysten ist eindeutig: „early exploitation activity has not scaled at the same pace as CVE issuance“.

Zweihundert gegen hundertsechsundneunzig gegen hundertvierundneunzig. Drei Jahre, drei fast gleiche Zahlen, und dazwischen alles, was ich oben geschildert habe.

Es gibt drei Arten, diese Zahl zu lesen, und ich will alle drei auf den Tisch legen, auch die, die mir unrecht gibt.

Die erste lautet, es sei zu früh. GTG-1002 stammt aus dem November, der GTIG-Bericht aus dem Mai, die spanische Meldung von Montag. Ein Halbjahr ist kein Trend, und die Verbreitung einer offensiven Technik hat ihren eigenen Takt.

Die zweite lautet, wir messen das Falsche, und das ist die Lesart, die ich für die tragfähigste halte. Die Zählung ausgenutzter CVEs misst, wie viele verschiedene Schwachstellen ins offensive Repertoire eingehen. Die ökonomische These sagt über diese Zahl nichts vorher. Sie sagt vorher, dass die Menge der Ziele wächst, für die sich der Einsatz des bestehenden Repertoires lohnt. Das sind zwei verschiedene Größen, und die zweite kommt in keinem dieser Indikatoren vor, denn marginale Ziele zu zählen hieße, Vorfälle in Organisationen zu zählen, die zu klein für ein SOC sind, zu klein für eine Pressemitteilung und oft zu klein, um es überhaupt zu bemerken. Die Zahl von GreyNoise zu den Schwachstellen von vor 2015, die den vierfachen Verkehr der jüngeren auf sich ziehen, sagt genau das: Das Volumen jagt nicht der Neuheit nach, es jagt den stillstehenden Zielen nach.

Die dritte Lesart lautet, die These sei falsch oder zumindest stark überschätzt. Dass adaptive Aufmerksamkeit zu unzuverlässig bleibt, um einen Operator wirklich zu ersetzen, dass Halluzinationen den Kostenvorteil aufzehren und dass das gegenwärtige Regime der Massenausnutzung alter Dinge schlicht die rentabelste Strategie bleibt, wie seit zehn Jahren.

Ich weiß nicht, welche der drei stimmt. Was ich tun kann, ist vorab zu sagen, was mich umstimmen würde, denn eine These, die sich nicht widerlegen lässt, ist keine These. Wenn sich in achtzehn Monaten die Daten zu den Opfern nach Größe nicht nach unten verschoben haben, wenn die Verteilung der Ziele aussieht wie heute, wenn die mediane Zeit zwischen Veröffentlichung und Ausnutzung sich weiterhin nicht zusammenzieht, dann habe ich eine elegante Geschichte über ein Phänomen erzählt, das es nicht gab. Und wer mich davon überzeugen will, dass ich recht habe, soll mir nicht noch einen Bericht über eine staatliche Gruppe bringen, sondern die Kurve der Verletzungen in Organisationen unter fünfzig Beschäftigten.

Das Paradox des Schwachstellenmanagements

Es gibt allerdings eine Folge, die schon jetzt gilt, gleich welche der drei Lesarten zutrifft, und sie gilt, weil sie die Verteidigung betrifft und nicht den Angriff.

Wir setzen KI auf beiden Seiten des Tisches ein, und die beiden Seiten erzeugen nicht denselben Gegenstand. Auf der offensiven Seite erzeugt sie Versuche. Auf der defensiven Seite erzeugt sie Befunde. Versuche verbrauchen sich von selbst: Entweder sie kommen durch oder nicht. Befunde nicht. Befunde sammeln sich in einer Warteschlange, die jemand lesen muss.

Wird das Erzeugen von Meldungen kostenlos, während die Sichtung menschlich bleibt, verwandelt sich Sicherheit in einen Denial-of-Service-Angriff gegen die eigene Organisation. Das ist nicht als Witz gemeint. Ich habe Schwachstellenrückstände mit Tausenden Einträgen gesehen, in denen die mediane Verweildauer die Nutzungsdauer der Software überstieg, die sie enthielt, und in denen niemand sagen konnte, welche davon von außen erreichbar waren.

Die Zahl der Befunde hört in diesem Regime auf, Information zu sein. Dasselbe gilt für die Zahl der Meldungen, der CVEs im Perimeter, der geblockten Versuche. Das sind alles Kennzahlen, die implizit Aufwand maßen, und Aufwand zu messen hat Sinn, solange es etwas kostet, ihn zu erzeugen. Kostet es nichts mehr, bleiben Aktivitätskennzahlen, die sich beliebig hochtreiben lassen, ohne dass sich etwas verbessert.

Messbar bleibt das Ergebnis. Wie viel tatsächlich erreichbares Risiko je eingesetzter Einheit Aufmerksamkeit beseitigt wurde. Wie viel Zeit zwischen einem Signal und der Eindämmung vergeht. Wie viele Assets einem Verantwortlichen zugeordnet sind, der antwortet. Wie weit der Schaden reicht, wenn eine Zugangsberechtigung fällt. Wie viel Zeit zwischen der Veröffentlichung eines Advisory zu einer von uns genutzten Komponente und der Entscheidung darüber vergeht.

Fünf langweilige Zahlen, und niemand setzt sie auf eine Folie, weil sie nicht befriedigend wachsen. Aber es sind die einzigen, die eine Maschine nicht aufblasen kann.

Der spanische Leitfaden BP/36 kommt zu einem stimmigen operativen Schluss, und ich finde ihn ehrlicher als einen guten Teil der Anbieterliteratur: Wenn der Angreifer in Maschinengeschwindigkeit erkennt, priorisiert und ausnutzt, kommt eine einmal jährlich aufgenommene Momentaufnahme der Sicherheit konstruktionsbedingt zu spät. Das ist kein Argument, mehr Werkzeuge zu kaufen. Es ist ein Argument, Ausgaben von der periodischen Prüfung zur dauerhaften Fähigkeit zu verlagern.

Verteidigung in Maschinengeschwindigkeit ohne Souveränität der Maschine

Die Antwort, die man am häufigsten hört, lautet „KI gegen KI“, und als Slogan funktioniert das bestens. Als Architektur ist sie unvollständig, und es lohnt sich zu erklären, warum, bevor man sie übernimmt.

Verkürzt sich die Zeit zwischen Aufklärung und Ausnutzung, wird ein defensiver Prozess aus Meldung, manuellem Lesen, Ticket, Besprechung und Freigabe strukturell zu langsam. Darüber gibt es keinen Streit. Der Schluss „dann setzen wir eben ein Modell ein, das entscheidet“ führt aber ein anderes und ernsteres Problem ein als das erste.

Ein Verteidigungssystem, das Konten sperren, Sitzungen widerrufen, Segmente isolieren und Dienste abschalten kann, besitzt viel Autorität. Es ist echte operative Autorität, ausgeübt in Zeiträumen, in denen niemand sie nachlesen kann, über eine Infrastruktur, von der die Arbeit von Menschen abhängt. Sie einer probabilistischen Komponente zu übergeben heißt hinzunehmen, dass ein Fehlalarm zur Betriebsunterbrechung wird, und heißt, einer Behörde nichts vorlegen zu können, wenn sie fragt, wer entschieden hat.

Das Muster, das ich verwende und das mir zu tragen scheint, trennt drei Dinge, die üblicherweise zusammen verpackt werden. Die Erkennung darf in Maschinengeschwindigkeit laufen, und dort ist das Modell nützlich. Die Eindämmung muss deterministisch sein, also eine geschriebene Regel, die ein Mensch vorher genehmigt hat und die schlicht auslöst: Sitzung aussetzen, Token widerrufen, Rate Limit setzen, starke erneute Authentifizierung verlangen, ausgehenden Verkehr zu Zielen außerhalb der Liste blockieren. Die Entscheidung darüber, was wirklich geschehen ist und was als Nächstes geschieht, bleibt menschlich, in menschlichem Takt, weil die Eindämmung ihr die Zeit erkauft hat.

Es ist dieselbe Logik, nach der in einer Industrieanlage der Sensor klug und das Sicherheitsventil dumm ist. Das Ventil muss nichts verstehen, es muss jedes Mal schließen, bei derselben Schwelle, auch wenn alles andere kaputt ist.

Daraus folgt auch das Einzige, was ich einem Mittelständler oder einer kleinen Verwaltung sinnvoll sagen kann, die ein Wettrennen um Personal nicht gewinnen können und nie gewinnen werden. Das Ziel ist nicht ein weniger fähiger Gegner. Das Ziel ist, jeden Versuch teurer und lauter zu machen, als das Ziel wert ist. Schnelles Patchen der exponierten Dinge, phishingresistente Mehrfaktorauthentifizierung, wirklich durchgesetzte minimale Rechte, Segmentierung, Sicherungen, die durch eine tatsächlich durchgeführte und nicht bloß geplante Wiederherstellung geprüft sind, Kontrolle über das, was hinausgeht, ein Verzeichnis dessen, was man besitzt, und Protokolle, die jemand ansieht.

Das ist keine neue Liste. Es ist dieselbe wie vor zehn Jahren, und wer das enttäuschend findet, hat das Argument nicht erfasst: Stimmt die ökonomische These, dann muss die Verteidigung nicht exotisch werden, sie muss ökonomisch ungünstig zu durchqueren werden. Gut entworfene Reibung blockiert die normale Arbeit nicht. Sie erhöht den Preis anomaler Verläufe, und genau an dieser Größe arbeitet der Angreifer von der anderen Seite.

Das Recht verkürzt dieselbe Zeit

Während die Automatisierung die technische Zeit verkürzt, verkürzt der europäische Gesetzgeber die organisatorische, und beide Verkürzungen treffen sich im selben Büro.

Seit dem 11. September 2026 müssen europäische Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden: Frühwarnung binnen vierundzwanzig Stunden ab Kenntnis, Meldung binnen zweiundsiebzig, Abschlussbericht binnen vierzehn Tagen nach Verfügbarkeit einer Abhilfemaßnahme. Wie dieser Moment der Kenntnis zu bestimmen ist und warum er der interessanteste Punkt der ganzen Konstruktion ist, habe ich vergangene Woche geschrieben und wiederhole mich hier nicht.

Was mich hier interessiert, ist eine andere, ältere und weniger diskutierte Norm. Artikel 32 der DSGVO schreibt keine Sicherheitsmaßnahmen vor, sondern dem Risiko angemessene Maßnahmen, und verlangt, den Stand der Technik, die Implementierungskosten und die Art der Verarbeitung zu berücksichtigen. Das ist eine bewusst elastische Norm, und Elastizität wirkt in beide Richtungen.

Ändert sich die Ökonomie des Gegners, ändert sich das Risiko. Ändert sich das Risiko, verschiebt sich die Schwelle dessen, was angemessen ist. Nicht weil jemand sie umgeschrieben hätte, sondern weil sie gebaut wurde, um sich zu bewegen.

Genau diese Lesart schlägt die spanische Behörde am Ende ihres Beitrags vor, und deshalb ist dieser Text mehr wert als die Nachricht, die er enthält. Die AEPD fordert Verantwortliche, Auftragsverarbeiter und Datenschutzbeauftragte auf, KI-gestützte Angriffe ausdrücklich in die Risikoanalysen aufzunehmen, die Reaktionszeiten angesichts der Automatisierung von Angriffen zu überprüfen, die Kontrollen über Identitäten und Zugangsdaten zu verstärken und automatische Erkennungs- und Eindämmungsmechanismen einzurichten. Das ist keine Prognose über die Zukunft. Es ist die Feststellung, dass die vor drei Jahren geschriebene Risikoanalyse, mit einem Gegner darin, der kostete, was er damals kostete, nun eine Welt beschreibt, die es nicht mehr gibt.

Wer eine DSFA besitzt, deren Bedrohungsabschnitt aus einer Vorlage von 2021 kopiert wurde, sollte sie diese Woche noch einmal lesen, nicht weil ein neues Gesetz gekommen wäre, sondern weil sich der Nenner geändert hat.

Was zu verteidigen bleibt

Der Fehler, den ich in dieser Debatte am häufigsten sehe, ist die Vermenschlichung des Gegners. Man spricht von Agenten, die „sich entscheiden anzugreifen“, und von dort rutscht es in den Film.

Ein Agent braucht keine eigene kriminelle Absicht. Er ist ein Multiplikator, angewandt auf ein Ziel, das ihm jemand vorgegeben hat. Das Problem ist keine Maschine, die etwas will: Es ist eine Optimierungsfunktion, ausgestattet mit Werkzeugen, Gedächtnis, Rückmeldung und Maschinenzeit, gerichtet auf ein Ziel, das ein Mensch geschrieben hat, der dafür voll verantwortlich bleibt. Wer den Willen in der Software sucht, sucht am falschen Ort und sieht unterdessen nicht an den richtigen, nämlich ins Zugriffsprotokoll.

Sicherheit war immer ein ökonomisches Gleichgewicht so gut wie ein technisches. Wir haben Angriffe nie unmöglich gemacht: Wir haben den Erfolg unrentabel gemacht, begrenzt, was der Erfolgreiche mitnimmt, und die Zeit verkürzt, bis alles wieder steht. Ändert sich der Preis einer der beteiligten Tätigkeiten, verschiebt sich das Gleichgewicht, und es verschiebt sich leise, ohne dass jemand etwas ankündigt.

Macht eine Maschine es billig, tausendmal zu probieren, dann muss die Verteidigung den Erfolg teuer, den Schaden begrenzt und die Wiederherstellung schnell machen. Das klingt nach einer Binsenweisheit, und das ist es auch, bis auf ein Detail: Es sind drei verschiedene Ziele, sie werden auf drei verschiedene Arten finanziert, und die meisten Organisationen, die ich kenne, finanzieren genau eines davon.

Fünfzehn Jahre lang war eine Hundertstelsekunde pro Ziel die Mauer, die alle schützte, die es nicht wert waren, angegriffen zu werden. Sie war keine Sicherheitsmaßnahme, sie tauchte in keinem Audit auf, niemand hatte sie entworfen. Sie war eine Tatsache der Buchhaltung, und wie alle Tatsachen der Buchhaltung ist sie das Leichteste der Welt, das man verlieren kann, ohne es zu merken.

Nicht die Intelligenz des Angreifers gehört überwacht. Der Preis seiner Aufmerksamkeit.

Die spanische Meldung bleibt ein Einzelfall, in Prüfung, erzählt von dem, der ihn erlitten hat. Sie als Beweis einer Epoche zu behandeln wäre genau die Abkürzung, die ich in diesem Text zu vermeiden versucht habe. Aber dafür sind Signale da: nicht um zu beweisen, sondern um hinsehen zu lassen. Und was man beim Hinsehen sieht, ist kein Roboter, der hacken gelernt hat. Es ist ein Markt, der gerade seine Eintrittsschwelle geändert hat, und eine Menge von Organisationen, die bisher darunter lagen und nicht wissen, dass sie dort waren.

Der Autor

Andrea MargiovanniKI

Ich verfolge das Verhältnis zwischen KI und europäischer Regulierung als politisches Faktum, nicht als technisches Spektakel. Ich arbeite mit Teams, die KI mit AI Act, CRA, NIS2 vereinbar machen müssen, ohne Compliance auf eine Checkliste zu reduzieren.

Zum Weg →