247 Tage bis zur Eindämmung eines Sicherheitsvorfalls, 6 Millionen US-Dollar Schaden durch KI-gestützte Angriffe, 1,93 Millionen US-Dollar Einsparpotenzial durch KI in der Abwehr und nur sechs Prozent des Sicherheitsbudgets für KI-Agenten zeigen, warum Investitionen in KI-Sicherheit Risiken senken, Kosten vermeiden und Compliance sichern.
Ein Beitrag von Steve Riley, VP und Field CTO bei Netskope
Jeder CISO, der schon einmal um zusätzliches Sicherheitsbudget kämpfen musste, kennt diese Frage. Bei KI-Risiken ist sie neu, beantwortbar ist sie trotzdem. Wer ins nächste Budgetgespräch geht, sollte deshalb nicht mit einer Bedrohungsfolie argumentieren, sondern mit Kennzahlen. Die folgenden vier stammen im Kern aus dem Cost of a Data Breach Report 2026 von IBM sowie dem Ponemon Institute und decken die wichtigsten Kostenhebel im KI-Zeitalter ab.
Die vier Kennzahlen im Überblick
- 247 Tage vergehen im Schnitt, bis ein Sicherheitsvorfall erkannt und eingedämmt ist.
- 6 Mio. US-Dollar kostet ein Vorfall, an dem Angreifer KI beteiligt haben.
- 1,93 Mio. US-Dollar spart, wer KI und Automatisierung in der eigenen Abwehr umfassend einsetzt.
- 6 Prozent der Sicherheitsbudgets fließen bislang in die Absicherung von KI-Agenten.
Zur Einordnung: Der Report schneidet dieselbe Stichprobe mehrfach unterschiedlich. Bezugsgröße für alle folgenden Vergleiche sind die weltweiten Durchschnittskosten eines Datenlecks, die 2026 mit 4,99 Mio. US-Dollar einen Höchststand erreichten, ein Plus von zwölf Prozent. Die Werte einzelner Gruppen liegen teils darüber, teils darunter, sie lassen sich nicht addieren. In Deutschland stiegen die Durchschnittskosten nach einem Rückgang im Vorjahr wieder auf 4,25 Mio. Euro.
247 Tage, bis ein Vorfall erkannt und eingedämmt ist
Die durchschnittliche Zeit bis zur Erkennung und Eindämmung stieg 2026 erstmals nach fünf Jahren wieder an. 247 Tage: Das sind mehr als acht Monate, in denen ein Angreifer im System operiert.
Für das Gespräch mit der Finanzabteilung lohnt die Darstellung in Quartalen, die dort übliche Rechengröße. Über fast drei Quartale hinweg kann sich der Schaden aufbauen, aber eine realistische Obergrenze für die Endsumme gibt es nicht. Eine ungedeckte Position, die so lange wächst, ist für jeden CFO ein Problem. Und sie wächst unabhängig davon, ob das Governance-Budget freigegeben ist.
KI auf der Angreiferseite, ein Aufschlag von einer Million Dollar
Nicht jeder Vorfall kostet gleich viel, und die Differenz zeigt, wo das Risiko tatsächlich liegt. Jedes vierte böswillige Datenleck war 2026 KI-gestützt, ein Anstieg von 56 Prozent gegenüber dem Vorjahr. Diese Vorfälle kosten im Schnitt 6 Mio. US-Dollar und damit rund 1 Mio. US-Dollar mehr als der globale Durchschnitt über alle Vorfälle hinweg. Den größten Anteil stellen Deepfake-Imitationen und KI-gestützte Schadsoftware.
Die Angriffsseite ist dabei nur die eine Hälfte. Der Report wertet dieselben Vorfälle zusätzlich danach aus, ob ungesteuerte KI im eigenen Haus beteiligt war. Der Anteil der Sicherheitsvorfälle mit Beteiligung von Schatten-KI, also von Tools und Agenten außerhalb jeder formalen Governance, stieg auf 43 Prozent, nach 20 Prozent im Vorjahr. Diese Vorfälle kosteten im Schnitt 5,39 Mio. US-Dollar und lagen damit ebenfalls über dem globalen Durchschnitt. Ungesteuerte KI vergrößert die Angriffsfläche, und die damit einhergehende Sichtbarkeitslücke verlängert die Zeitspanne, in der ein Eindringling unbemerkt agieren kann. KI-Risiko gehört damit ganz oben auf die Agenda und nicht auf die Liste der Vorhaben, die man angeht, sobald Zeit und Budget übrig sind.
KI auf der Abwehrseite spart fast zwei Millionen Dollar
Bis hierhin war KI das Problem. Sie ist zugleich jedoch das wirksamste Gegenmittel. Nicht jedes Unternehmen braucht 247 Tage, um einen Vorfall zu finden und einzudämmen. Wer schneller ist, gibt spürbar weniger Geld für Eindämmung und Behebung aus. Organisationen, die KI und Automatisierung im Sicherheitsbereich umfassend einsetzen, senken ihre durchschnittlichen Vorfallkosten um 1,93 Mio. US-Dollar und erkennen bzw. beheben Vorfälle 65 Tage schneller.
Für den deutschen Markt fällt der Effekt ähnlich deutlich aus, die Ersparnis liegt hier bei 1,53 Mio. Euro pro Vorfall. Genutzt wird diese Möglichkeit allerdings längst nicht überall: 64 Prozent der Unternehmen weltweit setzen KI und Automatisierung in ihren Sicherheitsabläufen nur eingeschränkt oder gar nicht ein.
Dass diese Möglichkeit vielerorts ungenutzt bleibt, ist für das Budgetgespräch der eigentliche Punkt. Die Ersparnis entsteht nicht von selbst, sondern aus Investitionen in Erkennung und Automatisierung, die vor dem Vorfall getätigt wurden, nicht danach.
KI-Risiken erfordern mehr als 6 Prozent des Sicherheitsbudgets
Die vierte Zahl steht in den eigenen Budgetunterlagen. Laut des AI Risk and Readiness Reports von Netskope und Cybersecurity Insiders berichten 90 Prozent der Sicherheitsverantwortlichen von gestiegenen KI-Sicherheitsbudgets in diesem Jahr. Zugleich fließen nach dem 2026 Agentic AI Security Report von Arkose Labs bislang nur 6 Prozent der Sicherheitsbudgets in die Absicherung von KI-Agenten.
Prozentuale Zuwächse von einer niedrigen Ausgangsbasis erzeugen eine trügerische Sicherheit, denn die meisten dieser 90 Prozent haben vor einem Jahr vermutlich wenig bis gar nichts in KI-spezifische Sicherheit investiert.
Das ist keine Geschichte über Sicherheitsteams, die leichtfertig mit Geld umgehen. Es ist eine Geschichte über Budgets, die für ein Bedrohungsmodell aus der Zeit vor agentenbasierter KI gebaut wurden, zugeschnitten auf ein Risikoprofil, das sich in den vergangenen 18 Monaten weit verschoben hat.
Die Lücke zwischen Richtlinie und Kontrolle
Dass die Aufsicht mit der Verbreitung nicht Schritt hält, zeigt der Report an mehreren Stellen. Zwei Werte reichen aus: 68 Prozent der Organisationen, die einen Sicherheitsvorfall verzeichneten, hatten überhaupt keine KI-Governance-Richtlinie, und nur 19 Prozent gaben an, dass Governance- und Sicherheitsteams ihre Arbeit miteinander abstimmen. Beide Werte haben sich gegenüber dem Vorjahr verschlechtert, ebenso die Verbreitung einzelner Kontrollen wie der Freigabepflicht vor dem Einsatz neuer KI-Anwendungen. Die Steuerung verliert also an Boden, während die Exposition wächst.
Genau in dieser Lücke zwischen Richtlinie und tatsächlicher Kontrolle entstehen die Kosten, die die vier Zahlen oben beziffern. In Deutschland kommt der regulatorische Rahmen hinzu. Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025 ohne Übergangsfrist, die Registrierungsfrist beim BSI ist längst abgelaufen, und die Geschäftsleitung haftet persönlich. Zusammen mit den Anforderungen der EU-KI-Verordnung (siehe Leitfaden zu den Anforderungen des EU-KI-Gesetzes in Bezug auf Agenten) wird die nachweisbare Steuerung des KI-Einsatzes damit vom Governance-Thema zur Compliance-Pflicht.
Fazit: Mit vier Kennzahlen ins Budgetgespräch
Zusammengenommen ergeben diese Zahlen ein klares Bild: ein Lebenszyklus von 247 Tagen, 6 Mio. US-Dollar für Vorfälle mit KI-Beteiligung, knapp 2 Mio. US-Dollar Ersparnis für Organisationen mit funktionierender Erkennung und Automatisierung sowie ein Budgetanteil von 6 Prozent, der schlicht zu niedrig ist.
Wer mit diesen vier Kennzahlen statt mit einer Bedrohungsfolie ins Budgetgespräch geht, führt eine Ressourcendiskussion auf Basis von Daten. Gut umgesetzte Governance ist nachweislich die günstigere Option. Und sie ist eine der Voraussetzungen dafür, dass Sicherheitsverantwortliche zu KI-Vorhaben Ja sagen können, statt sie ausbremsen zu müssen.
Über den Autor
Steve Riley ist VP und Field CTO bei Netskope und verfügt über 25 Jahre Branchenerfahrung mit Fokus auf Cloud- und Cybersicherheit. Seine Arbeit umfasst die Gestaltung langfristiger Technologiestrategien sowie die Beratung von Führungskräften und Kunden. Zuvor war er unter anderem in leitenden Security-Positionen bei Microsoft und Amazon Web Services tätig.
Zentrale Erkenntnisse der DS-Redaktion
- 247 Tage dauert es im Schnitt, einen Sicherheitsvorfall zu erkennen und einzudämmen.
- KI-gestützte Angriffe verursachen durchschnittlich sechs Millionen US-Dollar Schaden pro Vorfall.
- Der umfassende Einsatz von KI und Automatisierung in der Abwehr spart durchschnittlich 1,93 Millionen US-Dollar pro Vorfall.
- Bislang fließen nur sechs Prozent der Sicherheitsbudgets in die Absicherung von KI-Agenten.
- Fehlende Governance und mangelnde Abstimmung zwischen Sicherheits- und Governance-Teams erhöhen Risiken und Kosten.
Fazit der DS-Redaktion
KI-Sicherheit ist kein optionaler Kostenfaktor, sondern eine strategische Investition in die Risikominimierung und wirtschaftliche Stabilität des Unternehmens. Die Kennzahlen zeigen, dass gezielte Investitionen Schäden begrenzen, Einsparpotenziale erschließen und regulatorische Anforderungen erfüllen helfen. Entscheidend ist, Sicherheitsbudgets konsequent an der wachsenden Nutzung von KI auszurichten und Governance sowie technische Kontrollen frühzeitig zu verankern.
Weitere Informationen
DATENSICHERHEIT.DE, 09.09.2026
KI wird zum Einfallstor: ChatGPT-Lücke ermöglichte Zugriff auf Unternehmensdaten
DATENSICHERHEIT.DE, 05.09.2026
Phishing im Wandel: Cyberangreifer setzen verstärkt auf .vu-Domains
DATENSICHERHEIT.DE, 19.08.2026
KI-Cyberabwehr: Fehlentscheidungen bremsen den Geschwindigkeitsvorteil
DATENSICHERHEIT.DE, 22.05.2026
KI-Einsatz: Erfolgsfaktoren zum Erkenntnisgewinn für Führungskräfte
DATENSICHERHEIT.DE, 27.02.2026
Eckhart Hilgenstock: KI als Entscheidungshilfe – aber niemals Ersatz für menschliche Führung
DATENSICHERHEIT.DE, 20.01.2026
Vertrauen, Ethik und Resilienz im Fokus: Der CISO der Zukunft übernimmt Führungsrolle
DATENSICHERHEIT.DE, 29.08.2025
PromptLock: ESET-Warnung vor erster autonomer KI-Ransomware
![Denis Meißner berichtet: Viele unserer Kunden, gerade im öffentlichen Bereich, beschäftigen sich viel intensiver mit Datensouveränität, Transparenz, Compliance und Kostenkontrolle, Foto: © ]init[](https://www.datensicherheit.de/wp-content/uploads/denis-meissner-init.webp)
