Komplexität als Sicherheitsrisiko Weniger Software, mehr Kontrolle

Anbieter zum Thema

cidaas by Widas ID GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Jedes unübersichtliche, ungepatchte oder überflüssige System erweitert die Angriffsfläche. Ohne Inventar, klare Beschaffungskriterien und KI-Go­vernance verlieren Unternehmen die Kontrolle über ihre IT-Landschaft.

Die Zahl der eingesetzten IT-Tools wächst, doch die Produktivität hält nicht Schritt. Schlecht integrierte Systeme, technische Schulden und unkontrollierte KI vergrößern die Angriffsfläche und binden Budgets, die für Sicherheit fehlen. Die Kontrolle behält, wer Komplexität abbaut statt anzuhäufen.

Cybersicherheitsprognosen 2026

Zehn Schritte für mehr KI-Sicherheit und weniger Komplexität im Jahr 2026

Wenn die Tool-Flut zur Bremse wird

In vielen Führungsetagen hält sich die Annahme, dass jede zusätzliche Softwarelösung Abläufe optimiert. Der Blick in die IT-Abteilungen zeigt oft das Gegenteil. Ab einem bestimmten Kopplungsgrad bremst Technologie die Abläufe, statt sie zu beschleunigen.

Belastbare Zahlen dazu liefert die Technologieeffizienz-Studie 2026 von MaibornWolff unter 305 IT-Verantwortlichen und Fachkräften in deutschen Unternehmen. In 52 Prozent dieser Unternehmen hat die Verbreitung ineffizienter Software im vergangenen Jahr weiter zugenommen, und 61 Prozent bestätigen, dass zu komplexe Software ihre Arbeitsprozesse verlangsamt.

Für Sicherheitsverantwortliche ist die Botschaft eindeutig. Jedes System, das keinen messbaren Mehrwert liefert, bindet Ressourcen und zählt damit als zusätzliche Last.

Vorsicht Falle!

Die 14 gefährlichsten Irrtümer in der IT-Security!

Jede Anwendung vergrößert die Angriffsfläche

Redundanz ist in vielen Organisationen die Regel. 44 Prozent der Befragten nennen unnötig komplexe Software als häufigste Form der Ineffizienz, 41 Prozent betreiben Lösungen parallel zu funktional vergleichbaren Werkzeugen. Aus Security-Sicht bedeutet jedes dieser Systeme eine eigene Komponente, die gepatcht, überwacht und rechtskonform verwaltet werden muss. Je mehr davon extern erreichbar sind, desto wichtiger wird die kontinuierliche Kontrolle der eigenen Angriffsfläche, wie sie das External Attack Surface Management beschreibt.

Hier entsteht das eigentliche Risiko. Wo der Überblick über das Software-Portfolio fehlt, wachsen Schatten-IT und ungesehene Einfallstore. Der aktuelle Lagebericht 2025 des BSI benennt das Angriffsflächenmanagement als Gebot der Stunde und zählt durchschnittlich 119 neue Schwachstellen pro Tag, rund 24 Prozent mehr als im Vorjahr.

Je größer und unübersichtlicher die Landschaft, desto mehr Angriffsfläche entsteht, die sich kaum noch vollständig absichern lässt. Konsolidierung ist damit keine reine Effizienzfrage. Sie ist eine Sicherheitsmaßnahme.

BSI-Lagebericht 2025

Deutschland bleibt leichtes Ziel für Cyberangriffe

Technische Schulden sind offene Flanken

Software altert vor allem durch mangelnde Pflege und kurzfristige Provisorien. Die Befragten nennen veraltete Dokumentation (45 Prozent) und fehlende Dokumentation (39 Prozent) als zentrale Ursachen technischer Schulden. Systeme werden so zur Blackbox, deren Funktionsweise niemand mehr vollständig durchschaut.

Für die IT-Sicherheit ist das doppelt gefährlich. Veraltete Frameworks und nicht mehr gewartete Bibliotheken bleiben als bekannte Schwachstellen im Betrieb, und niemand kann sie sicher beurteilen oder ablösen. Der aktuelle Data Breach Investigations Report von Verizon führt die Ausnutzung von Software-Schwachstellen bei rund 31 Prozent der untersuchten Sicherheitsverletzungen als beteiligten Faktor auf.

Verschärft wird die Lage durch den Wissensverlust beim Ausscheiden erfahrener IT-Fachkräfte. Bleibt deren Wissen undokumentiert, wird die sichere Wartung eines Legacy-Systems zum Kraftakt. Saubere Entwicklung und Dokumentation bilden deshalb die Voraussetzung für dauerhaft beherrschbare und damit sichere Systeme.

Verizon Data Breach Investigations Report 2026

Exploits lösen Zugangsdaten als Einfallstor ab

Schatten-KI beschleunigt den Kontrollverlust

Der Einsatzumfang von KI-Tools ist in 61 Prozent der Unternehmen im vergangenen Jahr gestiegen, oft getrieben durch den Druck, den Anschluss nicht zu verlieren, statt durch einen klaren Business Case. Darin liegt die eigentliche Gefahr. Trifft KI auf ungeordnete Prozesse, beschleunigt sie vor allem die Durchführung des Falschen.

Die Studiendaten stützen diese Sorge. 59 Prozent der Befragten befürchten, dass digitaler Müll durch KI in Zukunft zunimmt, und 47 Prozent fühlen sich durch die Menge und Frequenz neuer KI-Anwendungen überfordert. Sickern diese Werkzeuge unkontrolliert als Schatten-KI in die Fachbereiche, entstehen neue Datenabflüsse und Angriffspunkte, die keine zentrale Instanz mehr überblickt.

Ohne strikte Governance wirkt KI als Katalysator für Komplexität. Generativer Code entsteht schneller, als er manuell zu prüfen ist, und technische Schulden vervielfachen sich automatisiert. Die zentrale Orchestrierung von KI gehört damit auf die Sicherheitsagenda, bevor die Tool-Flut den nächsten Kontrollverlust erzeugt.

So behalten Sie den Überblick

Zu viele Identitäten, zu wenig Kontrolle

Drei Prinzipien für eine schlanke, sichere IT

Der Handlungsdruck ist real, die Umsetzung hinkt hinterher. 37 Prozent der Unternehmen haben bislang keinerlei dedizierte Maßnahmen zur Reduktion von IT-Komplexität ergriffen. Wer die Beherrschbarkeit seiner Landschaft zurückgewinnen will, kann sich an drei Prinzipien orientieren.

Bestand bewerten und gezielt zurückbauen

Vor jeder Neuanschaffung steht die ehrliche Bestandsaufnahme. Ungenutzte Anwendungen und sogenannte Zombie-Systeme, also laufende Server ohne nennenswerten Nutzen, binden Ressourcen und Rechte, ohne Wert zu liefern. Erscheint eine vollständige Analyse zu umfangreich, empfiehlt sich ein fokussierter Start mit zwei bis fünf geschäftskritischen Kernsystemen. Etablierte Migrationsmuster wie das Strangler Fig Pattern erlauben den schrittweisen Rückbau, ohne den laufenden Betrieb zu gefährden.

Fragmentierte Tool-Landschaften werden zum Sicherheitsrisiko

All-in-One-Plattformen reduzieren Angriffsfläche und Zombie-Accounts

Vernetzung vor Neuanschaffung

Für 33 Prozent der Befragten zählt mangelnde Integration zu den Hauptursachen technologischer Komplexität, und 56 Prozent verlieren spürbar Zeit durch schlecht integrierte Systeme. Interoperabilität sollte deshalb zum härtesten Kriterium jeder Beschaffung werden. Standardisierte Schnittstellen und ein API-First-Ansatz halten die Landschaft modular und ersetzbar. Das senkt Integrationskosten und schließt zugleich die Lücken zwischen Systemen, in denen Daten heute manuell und fehleranfällig übertragen werden.

Das müssen CISOs jetzt beachten

4 große Herausforderungen der API-Sicherheit

Standard entlastet, Individualität differenziert

Nicht jeder Prozess benötigt eine Speziallösung. Für unterstützende Standardaufgaben ist eine integrierte Plattform meist überlegen, weil robuste Standards die Komplexität reduzieren und die Sicherheit erhöhen. Individuelle Software rechtfertigt sich dort, wo sie einen messbaren Wettbewerbsvorteil schafft. Diese bewusste Differenzierung verhindert, dass die Landschaft erneut ausufert.

Für die Praxis lassen sich daraus konkrete Schritte ableiten:

• Ein aktuelles Inventar aller aktiv genutzten Anwendungen führen und Zombie-Systeme konsequent abschalten.

• Interoperabilität und Schnittstellenfähigkeit als verbindliches Beschaffungskriterium verankern.

• KI-Werkzeuge zentral freigeben und überwachen, um Schatten-KI vorzubeugen.

• Dokumentation als festen Teil der Definition of Done etablieren, damit kein System zur Blackbox wird.

Beherrschbarkeit ist die Basis der Sicherheit

Der stärkste Beweis für den Erfolg von Konsolidierung ist menschlicher Natur. 49 Prozent der Unternehmen berichten von einer höheren Akzeptanz bei den Mitarbeitenden, nachdem Komplexität abgebaut wurde, 42 Prozent von niedrigeren Betriebskosten. Wer aufräumt, entlastet Budgets und zugleich die Menschen, die Systeme sicher betreiben sollen.

Digitale Souveränität entsteht durch die Beherrschbarkeit und strukturelle Vereinfachung der bestehenden Landschaft. Souverän handelt, wer seine Systeme aktiv steuert und bereinigt statt sie nur anzusammeln. Weniger Software. Mehr Kontrolle. Genau hier verbinden sich Sicherheit und Effizienz.

Über den Autor: Alexander Hofmann verantwortet als Chief Technology Officer und Partner seit 2012 die technologische Ausrichtung von MaibornWolff. Der Münchner IT-Dienstleister entwickelt mit mehr als 800 Digital Expertinnen und Experten komplexe Softwarelösungen für Kunden wie BMW, die Deutsche Bahn oder Miele. Für Hofmann und sein Team gehört der Einsatz von KI im Softwareengineering seit drei Jahren zum gelebten Alltag. Unter anderem hat er mit der AI Trusted Zone eine abgesicherte Infrastruktur für den KI-Einsatz in Kun­den­projekten etabliert. Seine technologische Vision gibt er als CTO regelmäßig in Vorträgen, Dis­kussionsrunden und Publikationen weiter, so etwa im Fachbuch „Generative and Agentic AI for IT Managers“.

NIS2 und DORA als Treiber für Security Operations

IT-Sicherheit scheitert ohne Struktur

(ID:50985585)