KI-Cybersicherheit : EU-Aktionsplan: richtig erkannt, aber zu langsam umgesetzt

Dass Künstliche Intelligenz (KI) die Cybersicherheit verändert, ist nichts Neues. Seit Jahren nehmen die Angriffsvektoren durch KI zu. Neu ist jedoch die Gefahr, die von den neuesten Gen-AI-Modellen ausgeht: Ihre Fähigkeit, Schwachstellen innerhalb weniger Minuten statt innerhalb mehrerer Tage zu identifizieren und Angriffe in einem bisher undenkbaren Ausmaß zu automatisieren, ist erst seit wenigen Wochen Realität.

Die EU-Kommission beschreibt mit ihrem Aktionsplan also ein reales und aktuelles Problem. Allerdings hinkt die Antwort dem Tempo der Entwicklung hinterher. Die angekündigte Testplattform für sichere KI-Nutzung in der Cybersicherheit soll erst Ende 2026 bereitstehen, eine eigene EU-Bewertungskapazität für KI-Modelle sogar erst 2027. Organisationen, die bis zu diesen Fristen KI-beschleunigten Angriffen ausgesetzt sind, haben von diesen Instrumenten zunächst nichts.

Bemerkenswert ist der konkrete Anlass für den Aktionsplan. Nach einer Anordnung der US-Regierung hatte Anthropic Mitte Juni den Zugang zu seinen KI-Modellen Fable 5 und Mythos 5 für Nutzer außerhalb der USA gesperrt. Ende Juni wurde die Sperre größtenteils wieder aufgehoben. Seit Anfang Juli ist die frei zugängliche Variante Fable 5 weltweit verfügbar. Die leistungsfähigere und für Cybersicherheitsaufgaben deutlich potentere Variante Mythos 5 bleibt dagegen auf eine kleine Gruppe geprüfter US-Organisationen beschränkt. Ob und wann europäische Unternehmen Zugang erhalten, bleibt offen.

Souveränität bleibt Sicherheitsthema

Was diese Episode zusätzlich einordnet: China erwägt derzeit, den Auslandszugang zu seinen eigenen fortschrittlichsten Modellen einzuschränken – unter anderem aus Sorge, ein Mythos-ähnliches Werkzeug könnte gegen chinesische Systeme eingesetzt werden. Damit behandeln beide Länder KI-Spitzenmodelle inzwischen als strategisches, kontrollierbares Gut und nicht als gewöhnliche Handelsware. Für europäische Unternehmen bedeutet das, dass weder der Zugang zu den leistungsfähigsten US-Modellen noch zu den günstigeren chinesischen Alternativen auf Dauer verlässlich ist. Damit zeigt sich erneut, dass digitale Souveränität primär eine Sicherheitsfrage ist.

Das bedeutet für europäische Unternehmen, dass sie nicht auf externe Lösungen warten können und dürfen. Das gilt sowohl für die angekündigten EU-Instrumente, die frühestens Ende 2026 einsatzbereit sein werden, als auch für den gesicherten Zugang zu den leistungsfähigsten KI-Werkzeugen aus den USA oder China. In beiden Fällen unterliegt der Zugang politischen Entscheidungen.

Es gibt jedoch auch eine gute Nachricht. Die im Aktionsplan beschriebenen Ziele sind in der Sicherheitspraxis bereits bekannt: eine belastbare Einschätzung der eigenen Angriffsfläche, funktionierende Erkennung und Reaktion, priorisierte Behebung von Schwachstellen und die Sicherstellung der Handlungsfähigkeit einer Organisation, wenn Prävention allein nicht ausreicht. Die Standortbestimmung und Maßnahmenplanung können also jetzt schon beginnen – ganz unabhängig von kommenden Leitfäden.

Ein Kommentar von Etienne Dziomber, Leiter des Geschäftsbereichs Information Security, Adesso.