Mobile-Menu

Tool-Silos und Schatten-KI gefährden Compliance und Bilanz IT-Wildwuchs trifft 2026 auf Gesetzgeber und KI

Ein Gastbeitrag von Suvish Viswanathan 5 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Gewachsene Tool-Silos und unkontrollierte Schatten-KI machen Un­ter­neh­men 2026 haftbar. NIS-2, DORA und der Cyber Resilience Act fordern struk­turiertes Risikomanagement. Wer jetzt konsolidiert und Identitätsmanage­ment zentralisiert, schafft Compliance, digitale Souveränität und sichere KI-Grundlagen gleichzeitig.

Tool-Silos und Schatten-KI machen Unternehmen 2026 haftbar – NIS-2, DORA und CRA fordern Konsolidierung, Identitätsmanagement und Enterprise-Browser für Compliance.(Bild: © DAYA-DAKSH - stock.adobe.com)
Tool-Silos und Schatten-KI machen Unternehmen 2026 haftbar – NIS-2, DORA und CRA fordern Konsolidierung, Identitätsmanagement und Enterprise-Browser für Compliance.
(Bild: © DAYA-DAKSH - stock.adobe.com)

2026 endet das Laissez-Faire. Gesetzliche Vorgaben verankern Cybersecurity immer stärker auf der Vorstandsebene und machen Nachlässigkeit zum handfesten Bilanz- und Haftungsrisiko. Die längst überfällige Konsolidierung verspricht aber nicht nur Compliance, sondern Entlastung für Belegschaften und ein tragfähiges Fundament für den Einsatz von KI.

„Weiterhin angespannt“ ist die IT-Sicherheitslage laut dem aktuellen Lagebericht des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Nach dem Kosten-Nutzen-Kalkül der Angreifer gibt es auch keine „uninteressanten Ziele“ mehr: In einem datengetriebenen Wirtschaftsumfeld ist jedes Unternehmen ein lohnendes Ziel.

Befunde zur Sicherheitslage: Unternehmen machen es Angreifern zu leicht

Dabei wählen die Angreifer gezielt den Weg des geringsten Widerstands und konzentrierten sich auf leicht einzunehmende Ziele. Als Hauptgrund für Vorfälle machen Deutschlands oberste IT-Sicherheitsexperten nicht etwa spektakuläre Zero-Day-Exploits, sondern nicht ausreichend geschützte Systeme aus. Die digitale Angriffsfläche wächst dabei schneller, als Präventionsmaßnahmen greifen.

Der Branchenverband Bitkom warnt in seiner renommierten jährlichen Wirtschaftsschutz-Untersuchung erneut eindringlich, dass Phishing und Social Engineering weiterhin die häufigsten Ursachen erfolgreicher Angriffe sind. Und die aktuelle Ausgabe des Cost of a Data Breach Report von IBM beziffert die durchschnittlichen Kosten eines einzigen Datenschutzvorfalls in Deutschland auf beachtliche 4,4 Millionen Euro.

Die Angriffsvektoren sind nicht neu, die Auswirkungen schon

Die hohen Kosten erklären sich aus auch mit den weitreichenderen Folgen. Denn die altbewährten Strategien der Cyberkriminellen kompromittieren heute nicht einfach eine E-Mail-Adresse, sondern Identitäten, über die automatisierte Entscheidungslogiken und Geschäftsprozesse, KI-Systeme und digitale Wertschöpfung gesteuert werden.

So kann ein einzelner übernommener Account beispielsweise falsche Bestellungen auslösen, auf Daten zugreifen oder Geschäftsprozesse steuern. Spätestens jetzt ist Cybersicherheit nicht nur IT-Hygiene und Compliance, sondern Voraussetzung für jede sichere Form der Automatisierung.

Anforderungen an betriebliche Cybersicherheit steigen weiter

Auf diese steigenden Risiken reagiert der Gesetzgeber mit immer strengeren Auflagen. Das stellt Unternehmen vor Herausforderungen. So ist die NIS‑2‑Richtlinie zwar schon seit 2024 in Kraft, das deutsche Umsetzungsgesetz jedoch wurde erst am 5. Dezember 2025 verabschiedet. Gerade für die rund 25.000 Unternehmen, die durch die Ausweitung des Geltungsbereichs erstmals betroffen sind, bedeutete das lange Warten auf klare Vorgaben zur Umsetzung eine Hängepartie. Sie müssen nun unter hohem Zeitdruck Rechtskonformität herstellen.

Die Finanzwirtschaft, als kritische Infrastruktur bereits von NIS2 betroffen, hat zusätzlich den Anforderungen des Digital Operational Resilience Act (DORA) zu einem strukturierten IT-Risikomanagement gerecht zu werden. Währenddessen prüfen Cyber-Haftpflichtversicherer mit Hilfe von Schwachstellen-Scans und Penetrationstests immer genauer, ob Gerätehygiene und Zugriffskontrollen belastbar sind. Bei Lücken zahlen Unternehmen hohe Risikoprämien oder riskieren, ganz ohne Versicherungsschutz dazustehen.

Best of Breed war gestern: 2026 rächt sich der Tool-Flickenteppich

In der Praxis bedeutet das, dass Unternehmen spätestens 2026 den Widerspruch zwischen den Anforderungen von Gesetzgeber, Aufsichtsbehörden und Versicherern und historisch gewachsenen Tool-Stacks auflösen müssen. Single-Sign-On-Lösungen (SSO), isolierte Multi-Faktor-Authentifizierungssysteme (MFA), eigenständige Gerätezertifikatslösungen und zusätzliche Tools zum Schutz vor Datenverlust (DLP): Was einst als „Best of Breed“ galt, wird zunehmend zu einem Hindernis.

Die geforderten Sicherheitsarchitekturen verlangen nachvollziehbare, auditfähige Prozesse und kurze Reaktionszeiten. Viele Unternehmen scheitern allerdings schon an einer zentralen Übersicht über Identitäten, Zugriffe, Gerätezustände und eingesetzte Softwarekomponenten. Das Fehlen dieser Informationen kostet bei Vorfällen viel Zeit.

Regulierung zwingt Unternehmen aus den Silos

Das weiß auch der Gesetzgeber und hat folglich bereits das nächste Compliance-Thema für Unternehmen in petto. Das BSI bietet mit der technischen Richtlinie TR‑03183‑2 seit 2023 eine Handreichung für Software Bill of Materials (SBOM) an. Die soll Unternehmen eher als Orientierungshilfe dienen; ihre Umsetzung ist freiwillig. Anders verhält es sich mit dem Cyber Resilience Act (CRA) der EU, auf den die Richtlinie vorbereiten soll: Ab dem 11. September 2026 treten erste Pflichten in Kraft, nachdem bereits ab dem 2. August die umfassenderen Pflichten des AI Act gelten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

2026 wird für Unternehmen ein Jahr der Konsolidierung. Wer Silos jetzt abbaut und auf einen homogenen Tech-Stack und Security-by-Design setzt, vermeidet haftungsrelevante Verstöße mit schwerwiegenden Folgen.

Digitale Souveränität fängt beim Identitätsmanagement an

Die konsequente Steuerung von Identitäten, Berechtigungen und Zugängen nach Zero Trust und Need-to-know-Prinzipien entscheidet darüber, wer auf welche Systeme zugreift, welche KI-gestützten Prozesse automatisiert laufen und welche Daten das Unternehmen verlassen. Das BSI betont unermüdlich die Bedeutung eines konsistenten Identitäts- und Berechtigungs­ma­nage­ments: Passkeys, phishing-resistente MFA und adaptive Policies zählen zu den Instrumenten, die digitale Souveränität messbar machen.

2026 wird digitale Souveränität messbar. Unternehmen, die Identitätsmanagement als zentrale Stellschraube für die Sicherheitsarchitektur einsetzen, schaffen Sicherheit, Compliance und KI-Grundlagen aus einem Guss.

Schatten‑KI erhöht Risiken: 2026 schlägt die Stunde der Enterprise-Browser

Über 60 Prozent der Mitarbeiter nutzen bei der Arbeit generative KI‑Tools und automatisieren so auf eigene Faust an der IT-Abteilung und an Sicherheitsbeauftragten vorbei. Diese "Schatten‑KI“ schafft neue, schwer zu adressierende Angriffsflächen und Risiken, weil Datenabflüsse über Browser‑Interaktionen mit externen Modellen kaum erfasst werden. Folgerichtig rückt der Browser in den Fokus der Sicherheitsstrategie. Enterprise‑Browser integrieren Zero‑Trust‑Mechanismen und DLP. Transparenz und Zweckbindung der Datenerfassung sind allerdings die Voraussetzung dafür, dass solche Lösungen rechtssicher sind und bei Belegschaften auf Akzeptanz treffen.

2026 wird das Jahr der Einhegung von Schatten-KI durch Enterprise-Browser. Wer sie nutzt, beugt Datenlecks, Compliance-Verstößen und "wilden" Automatisierungen vor.

Fazit

Fragmentierte IT-Stacks, isolierte Zugriffsrechte und unkontrollierte KI-Nutzung sind 2026 mehr denn je ein Geschäfts- und Haftungsrisiko – nicht zuletzt für die Chefetage. Wer konsolidiert, Silos abbaut, zentrale Identitäts- und Zugriffskontrollen etabliert und Enterprise-Browser mit integrierter Sicherheit einsetzt, schafft die Grundlage für digitale Souveränität und sicheren KI-Einsatz. IT- und Security-Teams profitieren dabei von weniger Integrationsaufwand durch Harmonisierung, während Fachbereiche höhere Benutzerfreundlichkeit und Akzeptanz verzeichnen. Unternehmen, die im Compliance-Thema nicht nur lästige Pflichten, sondern auch Chancen sehen, machen aus der Not eine Tugend und optimieren dabei ihre Abläufe.

Über den Autor: Suvish Viswanathan ist Regional Director, DACH bei Zoho.

(ID:50702602)

Weiterführende Inhalte