KI verkürzt die Zeitspanne zwischen der Entdeckung und der Ausnutzung von Sicherheitslücken erheblich. Um zu verstehen, was das in der Praxis für Sicherheitsverantwortliche bedeutet, haben wir uns kürzlich mit Michael Montoya, Chief Technology Operations Officer bei F5, zusammengesetzt. Er ist für die unternehmensweite Sicherheits- und Resilienzstrategie von F5 verantwortlich. Lesen Sie weiter und erfahren Sie, wie Montoya die Bedrohungslandschaft nach Mythos einschätzt und was Unternehmen tun müssen, um zu bestehen.
F: In den Nachrichten wird viel über Mythos berichtet. Wie sieht die Bedrohungslandschaft nach Mythos aus Sicht einer Führungskraft im Sicherheitsbereich tatsächlich aus?
Montoya: Ehrlich gesagt geht alles schneller. Das ist die Kernaussage. Wir beobachten, dass KI die Entdeckung von Schwachstellen beschleunigt und das Zeitfenster zwischen Offenlegung und Ausnutzung verkürzt. Früher wurde dieses Zeitfenster in Wochen oder Monaten bemessen. Sicherheitsteams richteten ihre gesamten Betriebsabläufe an dieser Annahme aus: Eine Schwachstelle wurde offengelegt, priorisiert, ein Patch eingeplant und durch den Änderungsprozess geschleust. Dieses Tempo reicht heute nicht mehr aus.
Und ich möchte klarstellen, worin die eigentliche Herausforderung besteht. Es geht nicht einfach nur darum, dass es mehr Bedrohungen gibt. Entscheidend sind die Geschwindigkeit und das Ausmaß, mit denen sie auftreten. Dieses Tempo stellt eine völlig andere Herausforderung dar, denn Unternehmen haben nicht mehr Wochen oder Monate Zeit, um zu reagieren.
Was bedeutet das also für Sicherheitsverantwortliche? Es ist wichtig, dass sie von einem „Patching zuerst“-Ansatz zu einem „Schutz zuerst“-Ansatz übergehen. Patching ist nach wie vor enorm wichtig, kann aber nicht die einzige Verteidigungslinie sein, wenn die Zeit so sehr drängt. Zweitens müssen sie mit der Geschwindigkeit von KI reagieren. Das bedeutet, auf Laufzeitschutz und virtuelles Patching zu setzen, um die Gefährdung zu reduzieren, während dauerhafte Fehlerbehebungen umgesetzt werden. Und in einer Welt, in der Anwendungen, APIs und KI-Workloads über Clouds, Rechenzentren und Edge-Umgebungen verteilt sind, bedeutet dies, einen Plattformansatz zu verfolgen, mit dem Sicherheitsmaßnahmen in der gesamten Umgebung einheitlich angewendet werden können.
F: Welches ist derzeit das größte Risiko, das Unternehmen Ihrer Meinung nach unterschätzen?
Montoya: Ohne zu zögern: die Komplexität. Ich denke, viele Unternehmen haben noch nicht vollständig verinnerlicht, dass Komplexität an sich zu einem ihrer größten Sicherheitsrisiken geworden ist.
Denken Sie einmal darüber nach, in welchen Umgebungen ein durchschnittliches Unternehmen heute tatsächlich tätig ist: in hybriden Umgebungen, in mehreren Clouds, am Edge und inzwischen auch in einer wachsenden Zahl von KI-Umgebungen, die darübergelegt werden. Jede einzelne davon birgt das Potenzial für voneinander isolierte Tools, Richtlinien und Workflows – und damit für Lücken oder blinde Flecken. Niemand plant eine solche Struktur bewusst. Doch im Laufe der Zeit entsteht sie trotzdem.
Die Arbeit in diesem Bereich ist wenig glamourös, hat aber eine große Hebelwirkung. Reduzieren Sie die betriebliche Komplexität, wo immer es möglich ist. Wenden Sie sich von uneinheitlichen Einzellösungen ab und verfolgen Sie stattdessen eine einheitliche Plattformstrategie. Sorgen Sie außerdem in jeder Ihrer Betriebsumgebungen für durchgängige Transparenz, Richtliniendurchsetzung und Schutzmaßnahmen. Wenn Sie die Frage „Was schützt diese Anwendung und auf Grundlage welcher Richtlinie?“ nicht unabhängig vom Standort der Anwendung stets gleich beantworten können, sollten Sie dort ansetzen.
F: Das Vertrauen in die Software-Lieferkette steht unter Druck. Wie entwickeln Sie die Sicherheitspraktiken von F5 weiter, um Ihre Kunden zu schützen?
Montoya: Unsere Kunden messen ihr Vertrauen in F5 daran, wie schnell wir ihnen helfen, neu auftretende Bedrohungen zu erkennen und darauf zu reagieren. Das ist eine faire Beurteilung, und diesen Maßstab legen wir auch an uns selbst an.
Die unbequeme Wahrheit ist, dass traditionelle Release-Zyklen mit der maschinenschnellen Erkennung von Schwachstellen kaum Schritt halten können. Wenn Ihre Sicherheitsverbesserungen einem vierteljährlichen Rhythmus folgen, während sich Bedrohungen täglich weiterentwickeln, geraten Sie strukturell ins Hintertreffen. Sicherheit muss daher kontinuierlich gewährleistet und direkt in die Plattform integriert werden.
In der Praxis bedeutet das, Sicherheitstests, Validierungen und Härtungsmaßnahmen überall dort zu automatisieren, wo es möglich ist, und dafür zu sorgen, dass Sicherheitsverbesserungen und Updates schneller bei den Kunden ankommen.
Und ich würde diese Erwartung auch auf externe Partner ausweiten. Nehmen Sie Ihre Technologiepartner in die Pflicht, ihre Produkte ebenso schnell abzusichern und zu härten, wie neue Bedrohungen entstehen. Fragen Sie sie nach ihren Zykluszeiten. Fragen Sie, welche Prozesse automatisiert sind. Das sind heute berechtigte Fragen, und die Antworten darauf sind sehr aufschlussreich.
F: Wie schützen Sie Innovationen, ohne das Unternehmen auszubremsen, wenn Anwendungsteams in rasantem Tempo neuen Code und neue KI-Funktionen bereitstellen?
Montoya: Diese Frage wird mir häufig gestellt. KI-gestützte Innovationen führen zu einem explosionsartigen Anstieg von Anwendungen, APIs und Diensten. Das ist kein Problem, das eingedämmt werden muss – es ist das Geschäft. Doch Sicherheitsverantwortliche müssen folgende Dynamik im Blick behalten: Wenn die Sicherheit zum Engpass wird, kommt die Entwicklung nicht zum Stillstand. Sie sucht sich einen Weg an Ihnen vorbei. Am Ende haben Sie weniger Einblick und weniger Kontrolle als zuvor – also genau das Gegenteil von dem, was Sie erreichen wollten.
Das Ziel besteht also nicht darin, sich zwischen Geschwindigkeit und Sicherheit zu entscheiden. Diesen Kompromiss kann man nicht eingehen. Stattdessen müssen Sie beides ermöglichen. Es gibt keinen CISO, der das Geschäft ausbremsen oder Innovationen verhindern möchte.
Einige Möglichkeiten, das erforderliche Gleichgewicht zu erreichen: Integrieren Sie Sicherheit direkt in den Prozess der Anwendungsbereitstellung. Automatisieren Sie Schutzmaßnahmen, wo immer es möglich ist, anstatt sich auf manuelle Prüfungen zu verlassen, die nicht skalierbar sind. Nutzen Sie Kontrollen, die Risiken beim Auftreten neuer Bedrohungen sofort reduzieren und den Schutz aufrechterhalten können, bis der Code entsprechend angepasst ist. Geben Sie Entwicklern echte Innovationsfreiheit, während Governance und Sicherheit im Hintergrund für Stabilität sorgen.
Wenn das gelingt, ist das Sicherheitsteam nicht länger das Team, das Nein sagt. Es wird zu dem Team, das sichere Innovationen ermöglicht.
F: Kurz gesagt: Was ist das Wichtigste, das eine Führungskraft im Sicherheitsbereich heute tun muss, um in dieser neuen Realität zu bestehen?
Montoya: Setzen Sie auf Resilienz und richten Sie Ihre Organisation darauf aus. Es ist wichtig zu verstehen, dass Vorstände nicht mehr nur danach fragen, ob ihr Unternehmen sicher ist, sondern auch, ob es sich angesichts des ständigen Wandels schnell anpassen, reagieren und erholen kann. Das bedeutet, dass Resilienz heute eine geschäftliche Notwendigkeit ist.
Wie ich bereits sagte, ist die Reduzierung von Komplexität ein wesentlicher Bestandteil dieser Gleichung. Sie müssen die Anwendungsbereitstellung, die Sicherheit und den Betrieb in einem gemeinsamen Betriebsmodell zusammenführen. Sie müssen in Plattformen investieren, die Transparenz, Konsistenz und Resilienz verbessern. Und Sie müssen die Kontrolle darüber behalten, wo sich all Ihre Anwendungen, Daten und Sicherheitsrichtlinien befinden, da sich der geopolitische und KI-bedingte Druck stetig weiterentwickelt.
Sicherheitsverantwortliche müssen mit der KI Schritt halten oder ihr sogar voraus sein. Das bedeutet, dass wir KI in allen Bereichen unserer Abwehr einsetzen müssen. Das lässt sich nicht von heute auf morgen umsetzen. Letztlich wird jedoch genau das die Unternehmen auszeichnen, die im KI-Zeitalter erfolgreich sind.
Weitere Informationen finden Sie auf unserer F5 Application Delivery and Security Platform (ADSP) Webseite. Melden Sie sich außerdem unbedingt für den virtuellen, auf Abruf verfügbaren Post-Mythos Security Summit von F5 an, der am 10. September beginnt.
Ähnliche Blogbeiträge
Vier Gründe, warum Sie den F5 Post-Mythos Security Summit nicht verpassen sollten
Holen Sie sich Expertenrat, um Ihre Apps, APIs und Modelle in der Post-Mythos-Welt zu schützen.
Von einer App zu einer Flotte von KI-Agenten: Ein 90-Tage-Framework für KI-Sicherheit
Vermeiden Sie den kostspieligen Ansatz „Erst bereitstellen, später absichern“ – mit einem umfassenden Framework zum Schutz von KI-Modellen, Anwendungen und autonomen Agenten.
Fünf Stufen antifragiler Cyberresilienz verwandeln Praxis in Ergebnisse
Erfahren Sie, wie fünf Stufen antifragiler Resilienz Störungen in adaptive Verhaltensweisen überführen, die Ausfälle begrenzen und hybride Multicloud-Architekturen stärken.
Warum Ihre KI-Richtlinien, Governance und Leitplanken nicht warten können
KI-Richtlinien und -Governance dürfen nicht länger als reine Formalitäten oder Zukunftsthemen betrachtet werden. Sie müssen durch praktische, durchsetzbare Leitplanken ergänzt werden.
Wenn „privat“ nicht privat ist: Wie ChatGPT-Unterhaltungen öffentlich wurden
KI verändert die Arbeitsabläufe in Unternehmen, doch eine übersehene Einstellung hat bereits Tausende vertraulicher Unterhaltungen öffentlich zugänglich gemacht
KI-Nutzung verstehen: Warum Unternehmen Transparenz brauchen
Anstatt einen zu laxen oder zu strengen Ansatz zu verfolgen, können Unternehmen durch mehr Transparenz bei der KI-Nutzung fundierte und durchsetzbare Entscheidungen treffen.