Illustration Absmeier foto ki designer

Hybrid AI verspricht Unternehmen mehr Wahlfreiheit bei Modellen und Betriebsformen. Gleichzeitig wächst ein Geflecht aus Schnittstellen, Datenflüssen und Zuständigkeiten, das sich mit klassischen Kontrollen nur unzureichend steuern lässt. Für CISOs wird deshalb die Fähigkeit entscheidend, KI-Nutzung sichtbar zu machen, Risiken über den gesamten Lebenszyklus zu bewerten und Governance mit technischer Observability zu verbinden.

Management Summary

Hybrid AI vergrößert die Angriffsfläche: Mehr Modelle, Schnittstellen und Datenflüsse erhöhen die Komplexität – und damit den Bedarf an zentraler Steuerung.
Transparenz ist die operative Grundlage: CISOs benötigen ein belastbares Inventar der eingesetzten KI-Systeme sowie Einblick in Datenflüsse, Abhängigkeiten und Zugriffsrechte.
Governance muss mit der Nutzung Schritt halten: Verbindliche Freigabeprozesse, Rollen, Kontrollen und Schulungen sind entscheidend, um Shadow AI und unkontrollierten Datenabfluss einzudämmen.
Technik allein reicht nicht aus: Zusätzliche Security-Tools entfalten erst im Zusammenspiel mit Prozessen, Verantwortlichkeiten und messbaren Risikokriterien ihre Wirkung.
CISOs sollten KI-Risiken zum Vorstandsthema machen: Ein gemeinsames Zielbild, regelmäßige Berichte und eine risikobasierte Priorisierung verbinden Innovationsgeschwindigkeit mit Resilienz und Compliance.

76 Prozent der CISOs sehen mangelnde Transparenz als zentrale Hürde für den sicheren KI-Einsatz // 80 Prozent nennen unzureichende Governance bei nicht autorisierter KI-Nutzung als größte Herausforderung für die Datensicherheit // 43 Prozent zählen KI-Governance zu ihren Top-Sicherheitsprioritäten

Wie zuvor bei der Cloud setzen Unternehmen auch bei KI zunehmend auf eine Kombination verschiedener Modelle – von Frontier- und Open-Weight-Modellen bis hin zu spezialisierten und privat gehosteten Lösungen. Diese sogenannte Hybrid AI bietet mehr Auswahl und Flexibilität, schafft aber zugleich neue Verbindungen zwischen Modellen, Anwendungen, Infrastrukturen und Unternehmensdaten. Der neue Bericht »Stärkung der CISO-Rolle im Zeitalter von KI« von Gigamon zeigt, dass damit auch neue Herausforderungen entstehen [1]. So geht aus der Befragung von mehr als 300 CISOs weltweit hervor, dass mit zunehmender KI-Nutzung auch die Zahl KI-bezogener Sicherheitsvorfälle sowie Transparenzprobleme und Governance-Hürden steigen.

CISOs sehen wachsende Governance-Lücke

»Heutige Governance kann mit den rasanten Entwicklungen von Hybrid AI kaum mithalten«, so Grant Yacomeni, CISO bei Gigamon. »Unternehmen wollen für jede Anwendung die passende KI einsetzen können. Diese Flexibilität setzt jedoch voraus, dass sie ihre KI-Umgebung transparent überblicken und kontrollieren können. Dafür müssen CISOs wissen, welche KI-Systeme eingesetzt werden, wie diese mit Anwendungen und Daten interagieren und was entlang dieser Verbindungen geschieht. Denn was man nicht sehen kann, lässt sich auch nicht kontrollieren.«

Wie weit Governance und KI-Nutzung bereits auseinanderliegen, zeigen die Studienergebnisse: Unter den deutschen Organisationen, die im vergangenen Jahr einen Sicherheitsvorfall erlebt haben, berichten 82 Prozent von KI-bezogenen Sicherheitsvorfällen. 33 Prozent berichten vom Abfluss interner Daten in KI-Systeme, 30 Prozent von nicht autorisierter KI-Nutzung.

Auch auf globaler Ebene zeigt sich Handlungsbedarf: Sieben von zehn CISOs weltweit sehen auf Führungsebene ein mangelndes Verständnis für Best Practices in der IT-Sicherheit. Dadurch könnte die KI-Einführung schneller voranschreiten als die dafür erforderlichen Sicherheitsvorkehrungen. Entsprechend wird die Schließung dieser Lücke wichtiger: 41 Prozent der CISOs zählen ein besseres Verständnis der Risiken und Chancen von KI auf Vorstandsebene zu ihren wichtigsten Sicherheitsprioritäten für die kommenden zwölf Monate.

Schließlich können die Risiken auch sehr persönliche Auswirkungen haben: So befürchtet mehr als jeder vierte CISO, nach einem schwerwiegenden Cybervorfall seinen Job zu verlieren. Das verdeutlicht die wachsende Verantwortung von CISOs, die Innovation und Sicherheit beim KI-Einsatz miteinander in Einklang bringen müssen.

Transparenz wird zur zentralen Priorität

Für 76 Prozent der CISOs weltweit stellt die eingeschränkte Transparenz bei KI-getriebenem Datenverkehr eine große Hürde für die sichere Einführung von KI dar. 45 Prozent priorisieren eine bessere Transparenz über KI-getriebene Datenflüsse in hybriden Cloud-Infrastrukturen. Gleichzeitig investieren Unternehmen weiterhin stark in Sicherheitstechnologien. 88 Prozent der CISOs weltweit setzen neue Tools ein, um die Erkennung von Sicherheitsvorfällen und die Transparenz zu verbessern. Dennoch nehmen Sicherheitsvorfälle weiter zu: 76 Prozent der deutschen Unternehmen verzeichneten im vergangenen Jahr eine Sicherheitsverletzung – ein Anstieg um 21 Prozent im Vergleich zum Vorjahr. Zusätzliche Tools allein scheinen damit noch nicht den nötigen Kontext für zunehmend komplexe IT-Umgebungen liefern zu können.

Die Studie weist Transparenzlücken in mehreren kritischen Bereichen auf:

Incident Response: Nur 27 Prozent der CISOs weltweit geben an, dass ihr Unternehmen bei einem Sicherheitsvorfall innerhalb von 72 Stunden die Ursache identifizieren und den Normalbetrieb wiederherstellen kann. Bei anderen C-Level-Führungskräften liegt dieser Anteil bei 48 Prozent, was auf eine deutliche Diskrepanz zwischen operativer Realität und der wahrgenommenen Resilienz auf Führungsebene hinweist.
East-West-Datenverkehr: Mehr als ein Drittel (36 Prozent) der CISOs sieht den lateralen East-West-Verkehr als einen Bereich mit besonders hohem Risiko für Sicherheitsverletzungen. Mit der zunehmenden Kommunikation zwischen KI-Modellen, Anwendungen, KI-Agenten, Daten und Infrastrukturen über verteilte Umgebungen gewinnt dieses Thema stärker an Bedeutung.
Verschlüsselter Datenverkehr: Für 86 Prozent der CISOs ist Transparenz über verschlüsselten Datenverkehr entscheidend für die Vorbereitung auf Post-Quantum Computing (PQC). 89 Prozent sind zudem der Ansicht, dass eine bessere Transparenz über verschlüsselten Datenverkehr dazu beitragen könnte, Cyberversicherungsprämien zu senken.

Die Rolle von Deep Observability bei Hybrid AI

Mit der zunehmenden Verbreitung von Hybrid AI gewinnen bestimmte technische Voraussetzungen für CISOs an Bedeutung. Dazu gehören der Zugriff auf präzise netzwerkbasierte Telemetriedaten und eine umfassende Transparenz über Daten während ihrer Übertragung. Netzwerkbasierte Telemetriedaten wie Pakete, Flows und anwendungsbezogene Metadaten ergänzen Metriken, Events, Logs und Traces (MELT) um zusätzlichen Kontext. Deep Observability versetzt Sicherheitsteams damit in die Lage, nachzuvollziehen, wie KI-Systeme, Anwendungen und Daten über hybride Cloud-Infrastrukturen hinweg miteinander interagieren. Weltweit sehen 87 Prozent der CISOs Deep Observability als grundlegende Voraussetzung für die Absicherung ihrer KI-Implementierungen.

[1] Methodik »Stärkung der CISO-Rolle im Zeitalter von KI«

Der Bericht basiert auf einer CISO-spezifischen Auswertung des »2026 Hybrid Cloud Security Report«, der übergeordneten Gigamon-Studie zur Hybrid-Cloud-Sicherheit. Für den Report wurden die Antworten der 307 befragten CISOs aus der Gesamtstudie ausgewertet.

Der vollständige Studienbericht »Stärkung der CISO-Rolle im Zeitalter von KI« steht als PDF hier zur Verfügung.

https://www.gigamon.com/content/dam/resource-library/german/executive-summary/es-gigamon-hybrid-cloud-security-2026-de.pdf

[2] Methodik »Hybrid Cloud Security Survey 2026: Realitätscheck: Warum KI-Sicherheit oft nur eine Illusion ist«

Die Umfrage zur Hybrid-Cloud-Sicherheit 2026 wurde von Gigamon in Auftrag gegeben und in Zusammenarbeit mit Vitreous World durchgeführt. Die Daten basieren auf einer Online-Umfrage, die vom 16. bis 17. Februar 2026 unter 1.023 IT- und Security-Verantwortlichen in Australien, Frankreich, Deutschland, Singapur, dem Vereinigten Königreich und den USA durchgeführt wurde. Unter den Befragten befanden sich 307 CISOs.

Der Bericht »Hybrid Cloud Security Survey 2026: Realitätscheck: Warum KI-Sicherheit oft nur eine Illusion ist« mit den Ergebnissen von mehr als 1.000 IT- und Security-Verantwortlichen steht nach Registrierung hier zur Verfügung:

https://www.gigamon.com/de/resources/resource-library/white-paper/wp-gigamon-survey-hybrid-cloud-security-2026.html?intcid=home-report

FAQ: Hybrid AI, Governance und Sicherheit

Was bedeutet Hybrid AI?

Hybrid AI bezeichnet den parallelen Einsatz unterschiedlicher KI-Modelle und Betriebsformen – etwa proprietärer Frontier-Modelle, offener Modelle, spezialisierter Systeme sowie privat oder in der Public Cloud betriebener Lösungen. Der Sicherheitsbedarf entsteht vor allem an den Übergängen zwischen Modellen, Anwendungen, Datenquellen und Infrastrukturen.

Warum wird Hybrid AI zur Governance-Aufgabe?

Mit jedem zusätzlichen Modell, Plug-in, Agenten und Datenzugriff wächst die Zahl der Abhängigkeiten. Governance muss daher festlegen, welche Systeme für welchen Zweck freigegeben sind, welche Daten sie verarbeiten dürfen, wer verantwortlich ist und wie Nutzung, Änderungen und Vorfälle dokumentiert werden. ISO/IEC 42001 beschreibt dafür ein organisationsweites Managementsystem mit Rollen, Richtlinien, Risikobewertung und kontinuierlicher Verbesserung [6].

Wie erhalten Unternehmen einen belastbaren Überblick über ihre KI-Nutzung?

Ausgangspunkt ist ein zentrales KI-Inventar. Es sollte Modell, Anbieter, Version, Hosting, Anwendungsfall, Datenklassen, Schnittstellen, verantwortliche Stelle und Freigabestatus erfassen. Technische Discovery und Netzwerk-Telemetrie helfen, nicht registrierte Nutzung und unerwartete Datenflüsse sichtbar zu machen; organisatorische Melde- und Beschaffungsprozesse halten das Inventar aktuell.

Was ist Shadow AI?

Shadow AI ist die nicht genehmigte oder nicht erfasste Nutzung von KI-Diensten, Modellen oder Funktionen. Sie kann entstehen, wenn Beschäftigte öffentliche Dienste verwenden, Teams eigene Tools beschaffen oder KI-Funktionen unbemerkt in Software-Updates einziehen. Gegenmaßnahmen sind praktikable freigegebene Alternativen, klare Datenregeln, Schulungen sowie die technische Erkennung unbekannter Dienste.

Welche Risiken sind bei generativer KI besonders relevant?

Das BSI nennt neue IT-Sicherheitsrisiken und die Verstärkung bekannter Bedrohungen; seine Orientierungshilfe betrachtet auch Gegenmaßnahmen und kann als Grundlage einer systematischen Risikoanalyse dienen [4]. OWASP führt für LLM-Anwendungen unter anderem Prompt Injection, Offenlegung sensibler Informationen, Lieferkettenrisiken, übermäßige Handlungsvollmacht und unsichere Ausgabeverarbeitung auf [5].

Welche Rolle spielt Deep Observability?

Deep Observability verbindet klassische Betriebsdaten mit netzwerkbasiertem Kontext wie Paketen, Flows und anwendungsbezogenen Metadaten. Dadurch können Sicherheitsteams nachvollziehen, welche Systeme kommunizieren, welche Pfade Daten nehmen und wo Anomalien auftreten. Sie ersetzt jedoch weder Zugriffskontrollen noch Governance, sondern ergänzt diese um technische Nachweis- und Analysefähigkeit.

Wie lässt sich ein Rahmenwerk für KI-Risikomanagement aufbauen?

Das NIST AI Risk Management Framework strukturiert die Arbeit in vier Funktionen: Govern, Map, Measure und Manage. Das Generative-AI-Profil ergänzt spezifische Risiken und Maßnahmen für generative Systeme [3]. ENISA empfiehlt zusätzlich ein mehrschichtiges Vorgehen aus allgemeinen Cybersecurity-Grundlagen, KI-spezifischen Maßnahmen und sektorspezifischen Kontrollen [7].

Welche Kontrollen sollten Unternehmen priorisieren?

Priorität haben ein vollständiges KI-Inventar, Datenklassifizierung, rollenbasierte Zugriffe, Freigaben für Modelle und Integrationen, Protokollierung, Lieferantenprüfung, Tests gegen Prompt Injection und Datenabfluss sowie begrenzte Rechte für KI-Agenten. Für kritische Anwendungsfälle sollten Human-in-the-Loop-Freigaben, Notfallabschaltungen und wiederkehrende Red-Team-Tests vorgesehen werden.

Wie sollte der Vorstand eingebunden werden?

Der Vorstand sollte Risikotoleranz, Verantwortlichkeiten und Eskalationswege festlegen. Ein regelmäßiges Reporting kann die Zahl freigegebener und unbekannter KI-Anwendungen, kritische Datenflüsse, Sicherheitsereignisse, offene Maßnahmen, Lieferantenrisiken und Zeit bis zur Erkennung beziehungsweise Eindämmung abbilden. Dadurch wird KI-Sicherheit mit Geschäftsrisiken und Investitionsentscheidungen verbunden.

Was sind sinnvolle erste Schritte in den nächsten 90 Tagen?

Unternehmen können zunächst Verantwortliche benennen, bestehende KI-Nutzung inventarisieren und Datenklassen mit erlaubten Werkzeugen verknüpfen. Danach folgen technische Sichtbarkeit, Mindestkontrollen für Beschaffung und Integration sowie ein Pilot für besonders relevante Anwendungsfälle. Abschließend sollten Messgrößen, Vorfallprozesse und ein regelmäßiger Governance-Zyklus etabliert werden; NIST, BSI, OWASP, ISO und ENISA bieten dafür anschlussfähige Orientierung [3][4][5][6][7].

Zusätzliche Quellen

[3] NIST – AI Risk Management Framework und Generative AI Profile:
https://www.nist.gov/itl/ai-risk-management-framework
https://www.nist.gov/itl/ai-risk-management-framework/ai-risk-management-framework-resources
[4] BSI – Generative AI Models: Opportunities and Risks for Industry and Authorities:
https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/KI/Generative_AI_Models.html
[5] OWASP – Top 10 for LLM and GenAI:
https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/
[6] ISO – ISO/IEC 42001:2023 AI Management Systems:
https://www.iso.org/standard/42001
[7] ENISA – Multilayer Framework for Good Cybersecurity Practices for AI:
https://www.enisa.europa.eu/publications/multilayer-framework-for-good-cybersecurity-practices-for-ai

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

2626 Artikel zu „KI Governance“

Business | Business Process Management | IT-Security | Künstliche Intelligenz | News | Services | Tipps

KI-Governance umsetzen: Wie CIOs Richtlinie, Rechte und Nachweise zusammenbringen

25. September 2026

KI-Governance wird für CIOs zur Umsetzungsdisziplin: Richtlinien allein reichen nicht, wenn Identitäten, Rollen, Freigaben und Protokolle technisch unverbunden bleiben. Der Beitrag zeigt, wie Unternehmen rechtliche Vorgaben in kontrollierbare Zugänge übersetzen, Nachweise auditfest organisieren und den Aufbau eines tragfähigen Frameworks realistisch planen. Management Summary Governance wird erst durchsetzbar: Eine KI-Richtlinie entfaltet Wirkung, wenn jede Regel mit…