Deutsche CISOs trauen der eigenen KI-Sichtbarkeit nicht Warum Skepsis bei KI-Identitäten zum Sicherheitsvorteil wird

Anbieter zum Thema

Delinea

cidaas by Widas ID GmbH

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Agentic AI ist längst kein Buzzword mehr. In deutschen Unternehmen vergeben KI-Agenten heute Tickets, orchestrieren Workflows, greifen auf Datenbanken zu und sprechen mit Kundinnen und Kunden. Jeder dieser Agenten bringt eine eigene Identität mit eigenen Berechtigungen mit und genau daraus entstehen neue Sicherheitsrisiken.

Der Identity Security Report 2026 von Delinea zeigt sehr deutlich, wie groß diese neue Angriffsfläche bereits geworden ist. Noch spannender ist der Blick auf Deutschland. Hier entsteht ein Profil, das nicht in das übliche Muster „Deutschland als Nachzügler“ passt, sondern eher in die Kategorie „kritisch, aber konstruktiv“.

Digitale Souveränität im Wandel

Wie KI die digitale Identität verändert

Deutschland im KI‑Reality‑Check

Global herrscht beim Thema AI Security ein bemerkenswerter Widerspruch. Viele Un­ter­neh­men fühlen sich für Agentic AI gut gerüstet, gestehen aber im nächsten Satz ein, dass ihnen die Grundlagen fehlen – etwa bei Discovery, Monitoring und Privilege Control. In Deutschland fällt auf, dass dieser Widerspruch schwächer ausgeprägt ist. Ein Kennwert macht das deutlich: In der globalen Auswertung geben 82 Prozent an, sehr zuversichtlich zu sein, was die Entdeckung nicht‑menschlicher Identitäten in Produktionsumgebungen angeht. In Deutschland liegt diese Zuversicht bei 74 Prozent und damit am niedrigsten im Vergleich der Regionen.

Das klingt zunächst nach einer Schwäche. In Wahrheit ist es eher ein Qualitätsmerkmal. Wer sich bei der Sichtbarkeit eigener NHIs nicht in Sicherheit wiegt, unterschätzt die Risiken weniger. Skepsis funktioniert hier wie ein Korrektiv gegen trügerische Selbstzufriedenheit. Sie schafft die Grundlage, um Investitionen in bessere Kontrollen zu rechtfertigen, statt sie als „nice to have“ abzutun.

KI-Sicherheit beginnt bei der Identität, nicht beim Netzwerk

KI-Lieferketten haben keinen Perimeter

Moderne Zugriffskontrollen statt alter Dauerrechte

Noch deutlicher wird der Unterschied beim Blick auf die Art der Zugriffssteuerung. Weltweit dominieren nach wie vor statische, lang laufende Credentials für Bots, Service‑Konten oder Agenten. In Deutschland setzt sich ein anderes Muster durch.

Laut dem Report nutzen hierzulande 35 Prozent der befragten Unternehmen moderne Zu­griffs­me­tho­den wie Just‑in‑Time‑ oder temporäre Zugänge für NHIs. Das ist der höchste Wert weltweit.

Ephemerer Zugriff ersetzt dauerhafte Berechtigungen durch kurzlebige Freigaben, die nur so lange bestehen, wie ein Agent eine bestimmte Aufgabe ausführt. Das reduziert die An­griffs­flä­che, ohne Prozesse unnötig zu blockieren. Bemerkenswert ist dabei, dass 19 Prozent der deutschen Organisationen Standing Access für NHIs bereits aktiv durch ephemeres Access‑Design ersetzt haben. Auch das ist ein Spitzenwert.

Die Zahlen legen nahe, dass deutsche Security Teams Agentic AI nicht nur als Risiko bewerten, sondern auch als Anlass, veraltete Modelle zu modernisieren. Statt KI‑Projekte mit den „alten“ Regeln irgendwie durchzubringen, nutzen sie die Gelegenheit, um Privileged Access für Maschinen grundsätzlich neu zu denken.

Non-Human Identities übersteigen menschliche 50 zu 1

Wenn KI-Agenten ihre eigenen Schlüssel brauchen

Tooling ist der Engpass, nicht der Wille

Spannend ist auch, wo deutsche Unternehmen die größten Hürden sehen. Global verteilen sich die Antworten recht gleichmäßig auf Performance, Legacy‑Abhängigkeiten, fehlende Al­ter­na­ti­ven und Tooling‑Probleme. In Deutschland schiebt sich ein Faktor nach vorn.

22 Prozent der befragten IT‑Entscheider sehen Limitierungen im Tooling als größte Hemm­schwel­le für die Reduktion von Standing Access. Kein anderer Markt im Report nennt diesen Punkt so häufig. Daraus lässt sich einiges ablesen: Zum einen herrscht Bereitschaft, Zugriffsmodelle umzustellen. Zum anderen stoßen Teams in der Praxis an technische Grenzen. Viele bestehende IAM‑Landschaften wurden für menschliche Identitäten gebaut und lassen sich nur schwer auf NHIs und KI‑Agenten übertragen.

Für CISOs in Deutschland entsteht damit ein sehr konkreter Handlungsauftrag. Die nächste Ausbaustufe der Identity Security entscheidet sich weniger in Policies und Handbüchern, sondern in der Frage, ob die Plattformen KI‑Identitäten genauso sauber abbilden können wie Mitarbeiterkonten. Wer jetzt modernisiert, verändert damit die Spielräume der nächsten Jahre.

Identität in der KI-Ära

Gratwanderung zwischen KI und menschlicher Identität

Weniger Druck, mehr Gestaltungsspielraum

Ein weiterer Unterschied fällt beim Thema Business‑Druck auf. In vielen Regionen stehen Security‑Teams massiv unter Zugzwang. KI‑Initiativen sollen schnell sichtbar werden, Governance wird zur vermeintlichen Bremse. Die Folge: Identitätskontrollen werden aufgeweicht, Ausnahmen häufen sich, Shadow AI nimmt zu.

In Deutschland ist das Bild differenzierter. Nur 14 Prozent der Befragten berichten von starkem Druck, Zugriffs‑Kontrollen zu lockern. Und nur 13 Prozent sehen die Erwartung hoher Busi­ness‑Geschwindigkeit als größten Hinderungsgrund, Standing Access abzubauen. Beide Werte sind globale Tiefststände. Gleichzeitig liegt der Anteil der Unternehmen, die AI‑Initiativen wegen Si­cher­heits­an­for­de­rung­en verzögern müssen, bei 24 Prozent. Auch dieser Wert ist vergleichsweise niedrig.

Damit entsteht eine Konstellation, die man selten sieht. Die Security‑Teams haben Raum, um Governance mitzudenken, ohne bei jeder Entscheidung sofort als Innovationsbremse zu gelten. Die Zahlen deuten darauf hin, dass dieser Raum genutzt wird. Es wird nicht langsam gearbeitet, sondern bewusster. KI‑Projekte entstehen mit einem anderen Grundrauschen in Sachen Zugriffsdesign.

Unkontrollierte API-Schlüssel werden zum Compliance-Risiko

KI-Agenten brauchen Identitäten, keine statischen API-Schlüssel

Schatten‑KI als Stresstest für die Realität

Trotz all dieser positiven Signale bleibt ein Risiko, das im Deutschland‑Spotlight besonders klar sichtbar wird. Shadow AI hat sich auch hierzulande etabliert. 15 Prozent der befragten Organisationen geben an, dass etablierte Kontrollen noch immer über Schattennutzung umgangen werden. Damit liegt Deutschland mit an der Spitze.

Dahinter steckt ein bekanntes Muster. Mitarbeitende suchen sich ihre eigenen Werkzeuge, wenn offizielle Lösungen fehlen oder zu starr wirken. Unlizenzierte KI‑Agenten, lokale Open‑Source‑Installationen, selbst gebaute Automationen – all das entsteht oft in grauen Zonen. Für Identity Security bedeutet das, dass nicht nur die Infrastruktur stimmen muss. Sie muss auch so gestaltet sein, dass Fachbereiche sie akzeptieren.

Für CISOs ergibt sich daraus eine doppelte Aufgabe. Zum einen gilt es, Shadow‑Nutzung sichtbar zu machen, ohne sofort den Rotstift anzusetzen. Zum anderen braucht es attraktive, sichere Alternativen. Wer KI ausschließlich verbietet, stärkt genau die Schattenlandschaft, die er eigentlich eindämmen möchte.

Schatten-KI ist eine Sicherheitsgefahr

Unkontrollierte Nutzung von KI verhindern

Was deutsche CISOs aus diesen Erkenntnissen mitnehmen sollten

Aus dem Blick auf den deutschen Markt lassen sich fünf zentrale Learnings für den Umgang mit NHIs und Agenten ableiten:

• 1. Mehr Skepsis = höhere Standards: Die niedrige Selbstsicherheit bei der Discovery von NHIs ist kein Makel, sondern ein Hinweis auf strengere Maßstäbe und auf die Bereitschaft, in echte Transparenz zu investieren.

• 2. Moderne Zugriffsmodelle sind in der Praxis angekommen: Temporärer Zugriff und Just‑in‑Time‑Kontrolle sind in Deutschland keine Folienbegriffe mehr, sondern gelebte Praxis, gerade im Umfeld von KI‑Identitäten.

• 3. Ohne Plattform bleibt Governance Theorie: Die Fokussierung auf Tooling‑Lücken zeigt, dass sich Identity Security in der Agentic‑AI‑Ära nicht allein über manuelle Governance regeln lässt. Ohne Plattformen, die NHIs und Agenten nativ abbilden, bleiben Policies Papier.

• 4. Weniger Business‑Druck ist ein Zeitfenster: Governance lässt sich in dieser Phase von Anfang an mitdenken, statt sie später teuer auf gewachsene Agenten‑Landschaften aufzuschrauben, nur weil der Druck aus dem Business steigt.

• 5. Shadow AI testet Identitätskontrollen im Alltag: Shadow AI verdeutlicht, dass technische Exzellenz nicht genügt. Identitätskontrollen müssen auch im Alltag bestehen, unter Zeitdruck, in Fachabteilungen, in hybriden Teams. Nur dann wird aus kühler Skepsis ein echter Sicherheitsvorteil.

Der 2026 Identity Security Report von Delinea liefert dazu nicht nur Zahlen, sondern auch konkrete Empfehlungen, von Zero Standing Privilege über maschinenschnelle Kontrollen bis hin zu praktischen Wegen, Experimente in isolierten Umgebungen zu bündeln. Für deutsche CISOs ergibt sich daraus eine klare Perspektive. Wer konsequent auf Sichtbarkeit, moderne Kontrollmodelle und tragfähiges Tooling setzt, muss sich nicht zwischen KI‑Tempo und Sicherheit entscheiden. Er setzt die Spielregeln, nach denen Agentic AI im eigenen Unternehmen überhaupt erst sicher skalieren kann.

(ID:50919325)