KI steigt zum zweitgrößten menschlichen Sicherheitsrisiko auf
Künstliche Intelligenz ist laut dem „Security Awareness & Culture Report 2026“ des SANS Institute mittlerweile das zweitgrößte von Security-Awareness-Fachleuten erfasste menschliche Risiko. Vor zwei Jahren lag KI noch auf Rang vier. Gleichzeitig fehlt es vielen Awareness-Programmen an Personal, um über grundlegende Compliance-Schulungen hinauszugehen.
Die schnelle Verbreitung von KI am Arbeitsplatz stellt Sicherheitsteams vor neue Aufgaben. Beschäftigte haben die Technologie laut SANS schneller angenommen, als viele Teams deren Nutzung regulieren können. Dabei geht es nicht nur um generative KI-Anwendungen: Auch von Beschäftigten ohne Softwareentwicklungshintergrund erstellter Code und autonom handelnde KI-Agenten rücken in den Fokus. Für den aktuellen Report wurden mehr als 1.700 Security-Awareness-Fachleute auf sechs Kontinenten befragt.
Von Platz vier auf Platz zwei
Unter den von Security-Awareness-Fachleuten erfassten menschlichen Risiken liegt KI inzwischen an zweiter Stelle. Nur Social Engineering wird im „Security Awareness & Culture Report 2026“ höher eingestuft. Zwei Jahre zuvor belegte KI noch den vierten Platz.
Der Report widmet den mit KI verbundenen menschlichen Risiken einen eigenen Abschnitt und unterscheidet dabei drei Bereiche. Dazu gehört die unbefugte Verwendung generativer KI-Werkzeuge durch Mitarbeiter. Hinzu kommt sogenanntes „Vibe-Coding“, bei dem Beschäftigte ohne Hintergrund in der Softwareentwicklung Code erstellen. Als dritten Bereich nennt SANS KI-Agenten, deren Handlungen nicht von Menschen überprüft werden.
Während Sicherheitsteams mit diesen neuen Risiken umgehen müssen, setzen sie KI selbst bereits in großem Umfang ein. 75 Prozent der Teams für Security Awareness nutzen die Technologie laut Report zur Entwicklung und Verwaltung ihrer eigenen Programme. Lediglich 2,4 Prozent haben KI ausprobiert und anschließend entschieden, dass sie für diesen Zweck nicht nützlich ist.
Die Ergebnisse basieren auf Antworten von mehr als 1.700 Security-Awareness-Fachleuten aus Nordamerika, Europa, Asien, Afrika, Australien und Südamerika. Begleitet wurden die Ergebnisse von einem neu gebildeten zwölfköpfigen Beirat, dem unter anderem Fachleute von Bank of Ireland, Medibank und Datadog angehören.
Sicherheitskultur braucht Personal und Zeit
Neben den KI-Risiken untersucht der Report die Voraussetzungen für die Reife von Security-Awareness-Programmen. Dabei identifiziert SANS vor allem zwei Faktoren: die Größe des zuständigen Teams und die Zeit, über die ein Programm betrieben wird.
Um das Verhalten der Belegschaft zu verändern, sind demnach mindestens drei fest zugewiesene Mitarbeiter erforderlich. Bis Ergebnisse sichtbar werden, vergehen laut Report drei bis fünf Jahre. Der nächste Reifegrad, der Aufbau einer dauerhaften Sicherheitskultur, setzt etwas mehr als vier fest zugewiesene Mitarbeiter und einen Zeitraum von fünf bis zehn Jahren voraus.
Die Mehrheit der untersuchten Programme erreicht laut SANS keinen dieser beiden Schwellenwerte bei der Personalausstattung. Viele Programme verfügen demnach trotz steigender Gehälter weiterhin nicht über genügend Personal, um ihre Aktivitäten über grundlegende Compliance-Schulungen hinaus auszubauen.
„Jedes Jahr hören wir dasselbe von Fachleuten: Sie wissen, wo ihr Programm steht, sind sich aber nicht sicher, was als Nächstes zu tun ist. Welche Maßnahmen werden die größte Wirkung erzielen, insbesondere angesichts begrenzter Zeit und begrenzter Budgets?“,
erklärt Lance Spitzner, Technischer Direktor bei SANS Workforce Security and Risk Training. Für die aktuelle Ausgabe sei deshalb die Matrix für die Indikatoren überarbeitet und stärker auf das Reifegradmodell abgestimmt worden. „Diese Daten liefern ihnen greifbare Argumente für Budgetgespräche mit der Unternehmensleitung“, so Spitzner.
Ein neues interaktives Benchmarking-Tool soll Fachleuten zudem ermöglichen, Reifegrad, Teamgröße und Ressourcenausstattung ihres eigenen Programms in Echtzeit mit dem gesamten Datensatz zu vergleichen.
Gehälter steigen trotz fehlender Ressourcen
Parallel zum weiterhin bestehenden Personalbedarf sind die Gehälter im Bereich Security Awareness gestiegen. Das weltweite Durchschnittsgehalt erreichte 2026 laut SANS 123.624 US-Dollar. Das entspricht einem Anstieg um rund 7.000 US-Dollar gegenüber dem Vorjahr.
In Europa liegt das durchschnittliche Gehalt bei 106.896 US-Dollar. Der Report schlüsselt die Vergütungsdaten darüber hinaus nach Region, Branche und beruflichem Hintergrund auf.
it&d business Redaktion
Kommentare