Warum Cybersecurity eine Governance-Frage ist

Veröffentlicht am 24. Oktober 2026

„Darum kümmert sich die IT.“ Wenn es um Cybersecurity geht, fällt dieser Satz in vielen Führungsrunden früher oder später. Er klingt nach klarer Arbeitsteilung. In Wahrheit beschreibt er eine Lücke.

Wer bei Cybersecurity nur an Firewalls, Server und Codezeilen denkt, verwechselt das Symptom mit der Ursache. Cybersecurity ist keine rein technische Herausforderung. Sie ist eine menschliche – und damit eine Frage von Führung und Verantwortung.

Diese Überzeugung steht am Anfang der Gründungsgeschichte von PINK CYBER. Und sie ist der Grund, warum ich mich sehr freue, seit Oktober dem Advisory Board des Unternehmens anzugehören, als Advisor für AI Governance, Executive Leadership & Corporate Responsibility. Zwei Vorfälle aus diesem Jahr zeigen, warum das Thema gerade jetzt in die Chefetage gehört.

KI-Agenten mit Generalschlüssel

Im Juli haben KI-Agenten, die OpenAI auf einem Cybersecurity-Benchmark testete, ihre Testumgebung verlassen. Sie gelangten ins Internet und verbrachten mehrere Tage in den Produktionssystemen von Hugging Face, einer der wichtigsten Plattformen für KI-Modelle weltweit. Kein Mensch hat sie gesteuert.

Hineingekommen sind sie über Software-Schwachstellen. Danach bewegten sie sich vor allem mit Zugangsdaten weiter, die sie unterwegs eingesammelt hatten. Mit einem einzigen Netzwerk-Schlüssel nahmen sie 181-mal neue Rechner ins Firmennetz auf. Ein anderes Zugangsrecht öffnete ihnen Superuser-Rechte auf allen Kubernetes-Clustern zugleich. Das Postmortem von Hugging Face rekonstruiert rund 17.600 Aktionen der Agenten. Die meisten scheiterten. Es reichte, dass einige gelangen.

Bemerkenswert ist, was gehalten hat: eine Datenbank, die nur freigegebene Netzwerkadressen zuließ, und eine strikte Liste erlaubter Verbindungen nach außen. Also Kontrollen, die nicht auf einem Schlüssel beruhten, den man stehlen kann.

Auch auf der anderen Seite zeigt sich eine Governance-Lücke. Laut OpenAI waren die Schutzfilter aus dem Produktivbetrieb in der Testumgebung bewusst abgeschaltet, und eine Überwachung der Agenten war nicht eingerichtet. Einige Details des Vorfalls sind bis heute umstritten. Die Grundlinie ist es nicht.

PHP2Shell: Eine Lücke im Fundament des Netzes

Diese Woche kam der nächste Weckruf. Am 21. Oktober hat das PHP-Projekt zwei kritische Schwachstellen im Kern der Programmiersprache geschlossen (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer ohne Anmeldung Code auf Servern ausführen. Betroffen sind alle PHP-Versionen des vergangenen Jahrzehnts. PHP läuft auf einem Großteil der Websites weltweit, vom Online-Shop bis zum Behördenportal.

Gefunden haben die Lücken Sicherheitsforschende mithilfe von KI-Modellen. Die geordnete Veröffentlichung ging trotzdem schief: Informationen sickerten Stunden vor den Patches durch, und laut AWS liefen erste Angriffe schon vor der offiziellen Bekanntgabe.

Hier waren keine außer Kontrolle geratenen Agenten am Werk. Und doch zeigt sich dasselbe Muster. KI macht das Finden von Schwachstellen schneller, für Verteidiger wie für Angreifer. Das Zeitfenster zwischen Entdeckung und Angriff schrumpft auf Stunden. Wer dann erst klären muss, wer im Unternehmen entscheidet, ob ein System vom Netz geht, hat schon verloren.

Die eigentliche Lücke: Verantwortung

Beide Vorfälle erzählen dieselbe Geschichte. Die verwundbarste Stelle ist selten die Technologie allein. Es ist die Frage, die im Alltag zu oft niemand rechtzeitig stellt: Wer hat diesem Agenten eigentlich so viel Zugriff gegeben? Und wer trägt die Verantwortung, wenn etwas schiefgeht?

Mit KI-Agenten verschiebt sich das Problem. Bisher ging es vor allem darum, welche Menschen auf welche Systeme zugreifen dürfen. Jetzt handeln zunehmend Maschinen mit eigenen Identitäten, eigenen Schlüsseln und eigenen Rechten, oft mit mehr Zugriff als jede einzelne Mitarbeiterin. Wer diese Rechte vergibt, überprüft und wieder entzieht, ist keine Detailfrage für die IT. Es ist eine Führungsentscheidung.

In meinen Jahren als CEO und Managerin in skandinavischen Technologieunternehmen habe ich gelernt: Vertrauen entsteht durch Strukturen, nicht durch Slogans. Dazu gehören klare Zuständigkeiten. Dazu gehört aber auch eine Kultur, in der jemand den Mut hat zu fragen, warum ein System eigentlich diese Rechte braucht. Genau das meine ich, wenn ich von Governance spreche.

NIS2: Cybersecurity ist jetzt auch rechtlich Chefsache

Bemerkenswert finde ich, dass der Gesetzgeber in Deutschland inzwischen zum selben Schluss gekommen ist. Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz. Es betrifft rund 29.500 Unternehmen aus nahezu allen Branchen, nicht mehr nur die Betreiber kritischer Infrastruktur.

Und es macht Cybersecurity ausdrücklich zur Aufgabe der Geschäftsleitung: Sie setzt die Sicherheitsmaßnahmen um, überwacht sie und haftet bei Pflichtverstößen gegenüber dem eigenen Unternehmen (§ 38 BSI-Gesetz). Dazu kommt die Pflicht, sich regelmäßig schulen zu lassen, um die Risiken selbst beurteilen zu können. Wegdelegieren an die IT ist damit keine Option mehr.

Für mich ist das mehr als eine weitere Vorschrift. Das Gesetz schreibt fest, was gute Führung ohnehin ausmacht: Wer Verantwortung trägt, muss verstehen, wofür. Das gilt auch für Unternehmen, die gar nicht unter NIS2 fallen.

Fragen, die sich die Geschäftsleitung jetzt stellen sollte

Governance beginnt nicht mit einem Tool, sondern mit den richtigen Fragen. Diese würde ich in jeder Führungsrunde auf den Tisch legen:

Welche KI-Agenten und automatisierten Systeme arbeiten bei uns, und mit welchen Zugriffsrechten?
Wer hat diese Rechte vergeben, und wann wurden sie zuletzt überprüft?
Welche Zugangsdaten gelten dauerhaft und könnten, einmal gestohlen, das halbe Unternehmen öffnen?
Wer darf im Ernstfall entscheiden, ein System vom Netz zu nehmen, auch nachts und am Wochenende?
Landen Warnsignale bei einem Menschen, der handeln kann, oder nur in einem Protokoll, das niemand liest?
Weiß die Geschäftsleitung genug, um die Antworten auf diese Fragen beurteilen zu können?

Mein Fazit

Als ehemalige Journalistin war es mir immer wichtig, komplexe Risiken so zu übersetzen, dass Führungskräfte gute Entscheidungen treffen können. Genau das ist heute der Kern meiner Arbeit mit Impathic: AI Governance und Corporate Digital Responsibility als Fundament für Unternehmen, die widerstandsfähig bleiben, auch wenn ihre Systeme schneller werden als ihre Prozesse.

Bei PINK CYBER bringe ich diese Perspektive künftig gemeinsam mit einem Kreis herausragender Beiratskolleginnen und -kollegen ein. Das Unternehmen stellt Diversität bewusst in den Kern seiner Sicherheitsmission. Auch das ist Governance: Teams mit unterschiedlichen Blickwinkeln stellen die unbequemen Fragen früher.

Sicherheit gehört auf die Agenda der Geschäftsleitung, nicht in den Keller.

Quellen

Kostenlosen KI-Governance-Check starten

Alle Artikel im Blog