Wie CISOs KI-Sicherheitsrisiken messen können

Lee EnnisSenior Manager, Data Science | F5

Louise ScullySenior Manager, Produktmarketing, KI-Sicherheit & Bedrohungsanalyse | F5

KI-Sicherheitsrisiken lassen sich für CISOs zunehmend schwer allein durch Richtlinien beherrschen. Da Unternehmen immer mehr KI-Modelle, KI-Anwendungen und agentenbasierte Workflows einsetzen, benötigen Sicherheitsverantwortliche klarere Verfahren, um zu beurteilen, welche Modelle für den Einsatz geeignet sind, welche Anbieter Risiken mit sich bringen könnten und wie sich KI-Systeme verhalten, wenn sie realen Bedrohungen ausgesetzt sind.

Genau hier kommt es auf Messbarkeit an. Die KI-Sicherheitsbenchmarks von F5, darunter der Comprehensive AI Security Index (CASI) und der Agentic Resistance Score (ARS), helfen Unternehmen dabei, die Risiken von KI-Modellen zu bewerten, ihre KI-Sicherheitslage zu vergleichen und zu verstehen, wie sich Modelle und agentenbasierte Systeme unter dem Druck gegnerischer Angriffe verhalten. In Kombination mit kontinuierlichen Erkenntnissen von F5 Labs zu KI-Bedrohungen bieten diese Benchmarks CISOs eine fundiertere Entscheidungsgrundlage für die Modellauswahl, die Anbieter-Governance, den Laufzeitschutz und die kontinuierliche Bewertung von KI-Risiken.

Das ist wichtig, weil viele Entscheidungen zur KI-Sicherheit lange vor dem Produktivbetrieb eines Modells getroffen werden. Wenn ein KI-System in Betrieb geht, hat das Unternehmen möglicherweise bereits das Modell ausgewählt, den Anbieter genehmigt, die Architektur festgelegt, die Datenflüsse abgebildet, Tools angebunden und Systemzugriffe gewährt. Kontrollen zur Laufzeit bleiben unverzichtbar, sind jedoch wirksamer, wenn ihnen bessere Entscheidungen in vorgelagerten Phasen zugrunde liegen.

Für CISOs geht es nicht mehr nur um die Frage, wie KI nach ihrer Bereitstellung abgesichert werden kann. Vielmehr geht es darum, KI-Risiken über den gesamten Lebenszyklus hinweg messbar zu machen – von der Beschaffung und Modellauswahl über die Bereitstellung und Überwachung bis hin zu kontinuierlichen Tests.

KI-Risiken entstehen bereits vor der Laufzeit

KI-Sicherheit wird häufig im Zusammenhang mit dem Schutz zur Laufzeit diskutiert: der Überwachung von Prompts, der Kontrolle von Ausgaben und der Verhinderung von Missbrauch, sobald KI-Systeme produktiv eingesetzt werden. Diese Kontrollen sind von entscheidender Bedeutung, bilden jedoch nur einen Teil des Lebenszyklus der KI-Sicherheit ab.

KI-Risiken sind nicht nur ein Problem zur Laufzeit. Sie betreffen auch die Beschaffung, die Steuerung von Anbietern und die Architektur. Wenn die Sicherheitsbewertung erst nach der Bereitstellung erfolgt, müssen CISOs möglicherweise Risiken bewältigen, die früher im Prozess hätten reduziert, hinterfragt oder vermieden werden können. Ziel ist es nicht, die Einführung von KI zu verlangsamen. Vielmehr sollen Unternehmen schneller vorankommen und zugleich einen klareren Überblick über die Risiken erhalten, die sie eingehen.

Was aktuelle Forschungsergebnisse zeigen

Jeden Monat veröffentlicht F5 Labs gemeinsam mit den CASI- und ARS-Bestenlisten Erkenntnisse zu Bedrohungen im Bereich der KI-Sicherheit, um die Entwicklung von Risiken im Zusammenhang mit Modellen, KI-Agenten und Ökosystemen zu verfolgen. Die Forschungsergebnisse von F5 Labs vom Mai 2026 deuten auf einen grundlegenden Wandel in der Art und Weise hin, wie CISOs über KI-Risiken denken müssen. Die Erkenntnisse sind nicht nur technische Hinweise für Forschende, sondern liefern auch praxisnahe Lehren für Sicherheitsverantwortliche, die Modelle genehmigen, Anbieter prüfen, Richtlinien festlegen und KI-Anwendungen beim Übergang in den Produktivbetrieb schützen.

Die erste Erkenntnis lautet: Die Wahl des Modells ist inzwischen eine Sicherheitsentscheidung. Die CASI-Analyse vom Mai zeigte deutliche Unterschiede beim Sicherheitsniveau innerhalb der Qwen-Modellfamilie, darunter eine Differenz von 78 Punkten zwischen Qwen3-2B und Qwen3-4B. Für CISOs ist die Schlussfolgerung eindeutig: Es reicht nicht aus, den Namen des Modells zu kennen. Unterschiedliche Größen, Versionen, Konfigurationen und Bereitstellungsoptionen können jeweils unterschiedliche Risikoprofile aufweisen.

Ein kleineres oder kostengünstigeres Modell mag als attraktive Alternative erscheinen, wenn es für eine bestimmte Aufgabe ausreichend leistungsfähig ist. Weist dieses Modell jedoch ein wesentlich anderes Sicherheitsprofil auf, müssen Sicherheitsteams den Austausch möglicherweise infrage stellen oder verhindern. Eine solche Entscheidung lässt sich leichter vertreten, wenn sie auf objektiven Tests, vergleichbaren Bewertungen und einem klaren Bild davon beruht, wie sich die Modelle unter adversarialen Bedingungen im direkten Vergleich verhalten.

Die zweite Erkenntnis ist, dass die Sicherheitsmechanismen von KI auf eine Weise versagen können, die sich mit statischen Richtlinien nicht erfassen lässt. Die Bedrohungsanalysen vom Mai zeigten Angriffstechniken auf, mit denen die Grenzen der Schutzmechanismen von Modellen weiterhin ausgelotet werden, darunter Jailbreak-Ansätze, die darauf abzielen, vorgesehene Kontrollen zu umgehen. Für CISOs bedeutet dies, dass sich Sicherheitstests für KI parallel zu den Angriffsmethoden weiterentwickeln müssen, da ein Modell, das bei einem Test sicher erscheint, bei einem anderen versagen kann.

Die dritte Erkenntnis ist, dass Risiken in der KI-Lieferkette inzwischen Teil der KI-Sicherheit sind. Die Bedrohungsanalysen vom Mai wiesen auf Risiken in KI-nahen Entwicklungsabläufen, Paketökosystemen, CI/CD-Pipelines, Registries und KI-gestützten Entwicklerwerkzeugen hin. Das verbindende Element ist Vertrauen: vertrauenswürdige Pakete, vertrauenswürdige Automatisierung, vertrauenswürdige Registries, vertrauenswürdige Werkzeuge und vertrauenswürdige Ausführungspfade. Für CISOs bedeutet dies, dass KI-Risiken nicht nur von Prompts, Ausgaben oder dem Modellverhalten zur Laufzeit ausgehen. Sie können auch von den Anbietern, Werkzeugen, Paketen, Pipelines und Automatisierungsebenen ausgehen, auf denen KI-Anwendungen basieren.

Zusammengenommen führen diese Erkenntnisse zu demselben Schluss: CISOs müssen von KI-Richtlinien zur Messung der KI-Nutzung übergehen. Richtlinien legen fest, was geschehen sollte, doch Messungen helfen Sicherheitsteams zu verstehen, was tatsächlich geschieht, welche Risiken entstehen und wo Entscheidungen angepasst werden müssen.

Modellrisiken entwickeln sich schneller als die Governance

Mit der zunehmenden Verbreitung von KI stehen Unternehmen unter dem Druck, schnell zu handeln, Kosten zu senken und mehr Anwendungsfälle im gesamten Unternehmen zu unterstützen. Teams vergleichen Modelle anhand von Leistung, Latenz, Verfügbarkeit, einfacher Bereitstellung und Preis. Leistungsfähigkeit und Kosten allein vermitteln jedoch kein vollständiges Bild. Ein Modell, das aus geschäftlicher Sicht als praktikable Alternative erscheint, kann ein anderes Maß an KI-Sicherheitsrisiken mit sich bringen – selbst wenn es aus derselben Modellfamilie stammt.

Ein Anbieter gibt möglicherweise an, ein bekanntes Modell zu verwenden. Ein internes Team erklärt vielleicht, aus Effizienzgründen auf ein kleineres Modell umzusteigen. Ein Produktteam geht womöglich davon aus, dass sich Modelle derselben Familie weitgehend ähnlich verhalten. Aus Sicherheitsperspektive können solche Annahmen riskant sein, insbesondere wenn das Modell mit sensiblen Daten, kundenorientierten Anwendungen, geschäftskritischen Workflows oder agentenbasierten Systemen verbunden ist, die im Namen von Nutzern Aktionen ausführen können.

CISOs benötigen aussagekräftigere Nachweise als nur den Namen des Modells. Sie müssen verstehen, wie sich ein Modell unter gezielten Angriffen verhält, wie es im Vergleich zu Alternativen abschneidet und ob sich eine vorgeschlagene Änderung wesentlich auf die Risikolage des Unternehmens auswirkt.

CASI macht Modellrisiken frühzeitig messbar

CASI ermöglicht es Unternehmen, das grundlegende Sicherheitsniveau von KI-Modellen vor deren Bereitstellung zu vergleichen. Für CISOs wird die Modellsicherheit dadurch von einem subjektiven Diskussionsthema zu einer messbaren Entscheidungsgrundlage.

In der Praxis unterstützt CASI verschiedene Governance-Prozesse. Es hilft Sicherheitsteams dabei, zu beurteilen, ob ein Modell für einen bestimmten Anwendungsfall geeignet ist. Dabei wird berücksichtigt, dass ein Modell, das für risikoarme interne Zusammenfassungen eingesetzt wird, möglicherweise nicht ebenso gründlich geprüft werden muss wie eines, das mit Kundendaten, geschäftskritischen Prozessen oder autonomen agentischen Systemen verbunden ist. Darüber hinaus kann CASI die Beschaffungs- und Lieferanten-Governance stärken, indem es Sicherheitsteams eine klarere Grundlage für Fragen dazu bietet, welche Modelle eingesetzt werden, wie sie getestet wurden und welche Nachweise diese Entscheidungen stützen.

Wenn das Unternehmen ein kostengünstigeres Modell einsetzen möchte, kann Benchmarking dabei helfen festzustellen, ob diese Änderung vertretbar ist, ob zusätzliche Kontrollen erforderlich sind oder ob das Risiko den Nutzen überwiegt.

Bedrohungsinformationen decken Risiken im Ökosystem auf

Die aktuellen Erkenntnisse zur Bedrohungslage sind wichtig, weil sie zeigen, dass sich Sicherheitsrisiken im Zusammenhang mit KI nicht auf das Modell selbst beschränken. Für CISOs ist vor allem relevant, dass sich die Risiken zunehmend auf die Systeme im Umfeld von KI ausweiten: Entwickler-Workflows, Paket-Ökosysteme, CI/CD-Pipelines, Registrys, Automatisierungsebenen und KI-gestützte Tools.

Entwickler installieren Pakete, Agenten führen Aufgaben aus, CI/CD-Pipelines veröffentlichen Code, Registrys verteilen Abhängigkeiten und KI-gestützte Tools erhalten Zugriff auf lokale Umgebungen und Workflows. Wenn diese Vertrauenspfade nicht kontrolliert, getestet und überwacht werden, können Risiken entstehen, noch bevor eine KI-Anwendung die Produktionsumgebung erreicht.

Für CISOs lautet die Erkenntnis aus diesen Bedrohungsinformationen, dass die KI-Governance das gesamte Ökosystem einbeziehen muss, das die KI-Entwicklung unterstützt – nicht nur das ausgewählte Modell oder die Laufzeitkontrollen, mit denen es abgesichert wird. Bei Anbieterprüfungen sollten Modellquellen, Entwicklungspipelines, Paket-Governance, Tool-Berechtigungen und das Abhängigkeitsmanagement berücksichtigt werden. Architekturprüfungen sollten untersuchen, worauf Agenten und KI-gestützte Tools zugreifen können, was sie ausführen dürfen und an welchen Stellen eine menschliche Genehmigung erforderlich ist. CASI hilft dabei, Risiken auf Modellebene vor der Bereitstellung zu bewerten, während ARS dabei unterstützt, das Verhalten agentischer Systeme unter adversarialen Bedingungen zu beurteilen.

ARS misst die Resilienz agentischer Systeme

Mit dem Übergang von KI-Modellen zu KI-Anwendungen und agentischen Workflows stehen Unternehmen vor immer komplexeren Herausforderungen bei der Messung. Ein Modell mag für sich genommen akzeptabel erscheinen, doch das Risiko kann sich verändern, wenn es mit Tools, APIs, Datenquellen, Geschäftslogik oder Systemen verbunden wird, die es ihm ermöglichen, Aktionen auszuführen.

ARS erweitert die Messung auf diese operative Ebene und unterstützt Unternehmen dabei, zu bewerten, wie sich agentische Systeme unter anhaltendem gegnerischem Druck verhalten. Diese Systeme erzeugen nicht einfach nur Ausgaben; sie können Entscheidungen treffen, Tools aufrufen, Daten abrufen, Workflows auslösen oder Geschäftsprozesse beeinflussen.

Das bedeutet, dass bei Sicherheitstests für KI berücksichtigt werden muss, wie sich Systeme im Laufe der Zeit und unter Angriffen verhalten – und nicht nur, wie ein einzelnes Modell in einer kontrollierten Evaluierung abschneidet. ARS hilft CISOs zu verstehen, in welchen Bereichen agentenbasierte Systeme widerstandsfähiger sein können, wo möglicherweise zusätzliche Kontrollen erforderlich sind und wie sich KI-Anwendungen verhalten, wenn sie realen Angriffstechniken ausgesetzt sind.

Von Richtlinien zu messbaren Maßnahmen

Der nächste Schritt besteht darin, Messbarkeit von Anfang an in KI-Entscheidungen zu verankern. KI-Sicherheit muss Teil des gesamten Lebenszyklus werden – von der Modellbewertung und Anbieterprüfung über Architekturdesign, Bereitstellung und Laufzeitschutz bis hin zu kontinuierlichen Tests und fortlaufender Überwachung. Diese ganzheitliche Betrachtung des Lebenszyklus ist wichtig, da sich KI-Risiken im Laufe der Zeit verändern. Neue Angriffstechniken entstehen, Modelle werden aktualisiert, Anbieter ändern ihre zugrunde liegenden Systeme und agentenbasierte Workflows eröffnen neue Möglichkeiten für Missbrauch.

Für CISOs bedeutet dies, dass KI-Sicherheit nicht mit einer einmaligen Genehmigung abgehakt werden kann. Sie muss zu einer kontinuierlichen Aufgabe werden, bei der Messungen und Tests über den gesamten Lebenszyklus hinweg fest verankert sind.

KI-Risiken nachvollziehbar begründen

CISOs sollen die Einführung von KI unterstützen und gleichzeitig mit einer sich noch immer wandelnden Risikolandschaft umgehen. Sie müssen Innovationen ermöglichen, aber auch schwierige Fragen von Vorständen, Aufsichtsbehörden, Kunden und internen Stakeholdern beantworten.

Welche Modelle sind für den Einsatz zugelassen? Welche Anbieter könnten KI-Risiken mit sich bringen? Welche Anwendungsfälle erfordern zusätzliche Tests? Wann ist ein kostengünstigeres oder schnelleres Modell eine vertretbare Alternative und wann birgt es zu große Risiken? Welche Nachweise stützen diese Entscheidungen?

Dies sind keine rein technischen Fragen. Es sind Fragen der Governance, der Beschaffung und des Geschäftsrisikos. Zunehmend erfordern sie objektive Nachweise.

Die Unternehmen, die am schnellsten einen höheren Reifegrad erreichen, werden diejenigen sein, die über informelle KI-Prüfungen hinausgehen und Messverfahren fest in ihre KI-Entscheidungsprozesse integrieren. Das bedeutet, Modelle vor ihrer Auswahl zu bewerten, Systeme vor ihrer Skalierung zu testen und Risiken kontinuierlich neu zu beurteilen, wenn sich Modelle, Bedrohungen, Anbieter und Anwendungsfälle verändern.

CISOs dürfen mit der Bewertung von KI-Risiken nicht bis zur Bereitstellung warten. Die fundiertesten Entscheidungen werden bereits in früheren Phasen des Lebenszyklus getroffen. Durch die Kombination von CASI, ARS und kontinuierlichen Erkenntnissen von F5 Labs zu KI-Bedrohungen können CISOs Sicherheitsrisiken im Zusammenhang mit KI über den gesamten KI-Lebenszyklus hinweg transparenter, besser begründbar und leichter handhabbar machen.

Weitere Informationen finden Sie in der Forschung von F5 Labs.

Über die Autoren

Lee EnnisSenior Manager, Data Science | F5

Lee Ennis leitet das KI-Team für Data Science und Forschung bei F5. Sein Schwerpunkt liegt auf der Entwicklung fortschrittlicher KI-Sicherheitslösungen, die Unternehmen dabei unterstützen, große Sprachmodelle (LLMs) und generative KI-Systeme sicher bereitzustellen und zu überwachen. Sein Team vereint Fachwissen in den Bereichen maschinelles Lernen, adversariales Testen und Modellabsicherung, um Schwachstellen zu identifizieren und das Vertrauen in KI-gestützte Umgebungen zu stärken.

Weitere Blogbeiträge von Lee Ennis

Louise ScullySenior Manager, Produktmarketing, KI-Sicherheit & Bedrohungsanalyse | F5

Louise Scully ist Senior Managerin im Produktmarketing für KI-Sicherheit und Threat Intelligence bei F5. Im Laufe ihrer Karriere war sie in den Bereichen Produktmarketing, Produktmanagement, Markteinführungsstrategie, Kommunikation, Thought Leadership und Kategorieentwicklung für KI-Sicherheit und Unternehmenstechnologie tätig. Bevor sie zu F5 kam, leitete Louise das Marketing bei CalypsoAI und Artomatix und trug dazu bei, KI-Technologien und Forschungsergebnisse auf den Markt zu bringen.

Weitere Blogbeiträge von Louise Scully