Chainguard-Umfrage: 77 Prozent der Sicherheitsverantwortlichen rechnen binnen eines Jahres mit einem Exploit

KI verändert die Arbeit schneller, als Verteidiger reagieren können

Chainguard, das sich selbst als vertrauenswürdige Quelle für Open Source bezeichnet, hat den globalen Bericht veröffentlicht. Er beleuchtet die wachsende Kluft zwischen der Geschwindigkeit, mit der KI-gestützte Werkzeuge Schwachstellen finden und verketten können, und der Geschwindigkeit, mit der menschliche Teams sie beheben. Laut Umfrage sagen 91 Prozent der Sicherheitsverantwortlichen, KI-beschleunigte Angriffe hätten ihre Arbeit im vergangenen Jahrzehnt stärker verändert als alles andere.

Das Unternehmen beschreibt eine dreifache Bedrohung für Sicherheitsteams: Frontier-KI-Modelle, die Schwachstellen schneller finden als je zuvor, Angreifer, die dieselben Werkzeuge zum Ausnutzen einsetzen, und Supply-Chain-Angriffe, die Risiken von außerhalb der Organisation einschleusen. Vorschriften wie der EU Cyber Resilience Act und die Product Liability Directive erhöhen laut Bericht den Druck, da sie die Kosten für das Offenlassen bekannter Schwachstellen steigern.

Quincy Castro, Chief Information Security Officer bei Chainguard, sagte: "KI kann Schwachstellen in Minuten finden und verketten, während ihre Behebung weiterhin in menschlichem Tempo erfolgt und mit Produktterminen und Verfügbarkeit konkurriert." Er nennt dies die AI Exploit Gap.

Zuversicht senkt die Angriffserwartung nicht

Die Daten zeigen, dass Verantwortliche selbst dann mit einem Exploit rechnen, wenn sie ihren Sicherheitsprogrammen vertrauen. Unter den Befragten, die ihre Cybersicherheits-Tools als sehr wirksam einstufen, erwarten dennoch 77 Prozent, dass ein Angreifer innerhalb des nächsten Jahres eine Schwachstelle ausnutzt. Dasselbe gilt für 78 Prozent der Verantwortlichen, die ihre Incident-Response-Teams für den Umgang mit KI-gestützten Angriffen als sehr gut aufgestellt halten, und für 77 Prozent derjenigen, die sagen, die Investitionen seien der Bedrohung voraus geblieben.

Weitere Ergebnisse des Berichts:

• Burnout: 64 Prozent sagen, die Sorge vor KI-beschleunigten Angriffen habe im vergangenen Jahr mäßig oder stark zu ihrem eigenen Burnout beigetragen. Rund 96 Prozent geben an, der Burnout im Team beeinträchtige die Fähigkeit ihrer Organisation, sich gegen KI-Bedrohungen zu verteidigen, zumindest in gewissem Maß; 54 Prozent beschreiben die Auswirkung als mäßig oder erheblich.
• Behebungsgeschwindigkeit: 93 Prozent befürchten, dass ihre Unternehmen KI-gestützte Exploits nicht schnell genug beheben können. Mehr als die Hälfte erwartet, dass KI-gestützte Schwachstellensuche ihre Teams innerhalb eines Jahres regelmäßig abhängt.
• Unternehmensgröße: Unternehmen mit mindestens 1 Milliarde US-Dollar Umsatz lassen hohe oder kritische Schwachstellen mehr als doppelt so häufig ungepatcht wie Unternehmen mit unter 250 Millionen US-Dollar (66 % gegenüber 27 % sagen, dass sie dies zumindest manchmal tun).

Größere Unternehmen nennen geschäftliche Zielkonflikte, etwa dass umsatzrelevante Arbeit Vorrang hat (46 %) und Patches den Betrieb zu stark stören (48 %). Kleinere Unternehmen verweisen auf Kapazitätsgrenzen, etwa Schwierigkeiten beim Testen von Patches (59 %).

Dringlichkeit, Budgets und Maßnahmen der Teams

Die Wahrnehmung der Bedrohung scheint mit der Exposition zusammenzuhängen. Unter den Verantwortlichen, die glauben, dass KI die menschliche Behebung bereits überholt, sagen 20 Prozent, ihre Organisationen ließen kritische Schwachstellen zumindest manchmal ungepatcht. Bei denen, die dies innerhalb eines Jahres erwarten, steigt der Wert auf 50 Prozent, bei jenen, die den Umbruch erst in mehr als einem Jahr sehen, auf 64 Prozent.

Die Teams passen sich an. Laut Umfrage haben 51 Prozent Personal auf die Schwachstellenbehebung umgeschichtet, 50 Prozent setzen auf Software-Komponenten, die standardmäßig sicher sind (secure by default), 47 Prozent haben Abhängigkeiten von Drittanbietern reduziert und 42 Prozent die Scan-Frequenz erhöht. Zudem haben 40 Prozent mehr Sicherheitspersonal und 39 Prozent mehr Entwicklungspersonal eingestellt.

Geld scheint nicht das Hauptproblem zu sein. Rund 70 Prozent sagen, es sei leicht, Budget für die Abwehr KI-gestützter Bedrohungen zu bekommen, doch 39 Prozent haben Tools gekauft, die sie nicht ausgerollt haben. Nur 22 Prozent bewerten ihre Tools als "sehr wirksam". Fast die Hälfte (48 %) sagt, die Investitionen blieben hinter den Erwartungen von Vorständen und Geschäftsleitungen zurück, und 93 Prozent meinen, die Führungsebene müsse mehr Dringlichkeit zeigen.

Was das für Sicherheits- und Entwicklungsteams bedeutet

Chainguard folgert, dass es Sicherheitsverantwortlichen weder an Bewusstsein noch an Budget fehlt, sondern an der Fähigkeit, mit dem Tempo zu handeln, das KI inzwischen verlangt. Castro argumentiert, schnelleres Patchen sei für die meisten Organisationen kein gangbarer Weg und würde wachsende Ressourcen verschlingen. Der Lösungsvorschlag des Unternehmens: Prävention zum Standard machen und die Behebung zur gemeinsamen Aufgabe von Entwicklung und Sicherheit, damit weniger Schwachstellen in die Produktion gelangen.

Die Umfrage wurde von Chainguard in Auftrag gegeben und von Wakefield Research im September 2026 durchgeführt. Befragt wurden Cybersicherheitsverantwortliche mindestens auf Director-Ebene in Unternehmen mit mindestens 500 Beschäftigten (250 in Singapur und den VAE/Saudi-Arabien) in neun Märkten: USA, Vereinigtes Königreich, Frankreich, Deutschland, Brasilien, Singapur, Mexiko, VAE/KSA und Japan. Da die Studie von einem Anbieter gehärteter Open-Source-Komponenten in Auftrag gegeben wurde, spiegeln ihre Schlussfolgerungen die Sichtweise des Unternehmens wider.