KI-Sicherheitsstudie 2026 von BSI und TÜV: Nur jedes zehnte Unternehmen hat einen Plan, wenn die KI selbst der Vorfall ist

Am 7. Oktober 2026 haben das BSI und der TÜV-Verband ihre KI-Sicherheitsstudie 2026 veröffentlicht. Die Pressemitteilung hat eine Zahl nach vorn gestellt, die schnell die Runde gemacht hat: Jedes sechste Unternehmen berichtet von Cyberangriffen oder Betrugsversuchen, bei denen KI eine Rolle gespielt hat.

Für einen Betrieb, der selbst KI einsetzt, steht die wichtigere Zahl weiter hinten. Nur 11 Prozent der Unternehmen, die KI nutzen oder planen, haben eigene Abläufe für den Fall, dass etwas mit KI schiefgeht. Der Rest hofft, dass der allgemeine IT-Notfallplan auch dann trägt, wenn der Vorfall kein Virus ist, sondern ein Chatbot, der Kundendaten ausplaudert, oder ein Agent, der eine Bestellung auslöst, die niemand wollte.

Wir haben die Studie im Original gelesen, alle 63 Seiten. Hier steht, was drinsteht, wie die Zahlen zu lesen sind und was wir einem Mittelständler daraus raten.

Offenlegung: Wir bauen KI-Agenten für Unternehmen und verkaufen mit AgentGuard ein eigenes Produkt, das Agenten protokolliert und Aktionen zur Freigabe vorlegt. Mit BSI und TÜV-Verband haben wir keine Geschäftsbeziehung.

Wer befragt wurde

Die Umfrage hat forsa im Auftrag von BSI und TÜV-Verband durchgeführt, telefonisch zwischen dem 22. Juni und dem 31. Juli 2026. Befragt wurden 505 Unternehmen ab 20 Beschäftigten, am Telefon waren Verantwortliche für KI-Nutzung, IT-Sicherheit, IT-Leitung oder die Geschäftsleitung.

Das ist für den Mittelstand eine brauchbare Grundlage. Kleinstbetriebe unter 20 Beschäftigten sind nicht dabei. Wo die Studie nach Größe trennt, liegen Unternehmen ab 250 Beschäftigten vorn, etwa beim Beschränken von Zugriffsrechten (80 Prozent) und bei Tests vor dem Einsatz (70 Prozent).

Was die Studie über Angriffe von außen sagt

17 Prozent aller Befragten berichten für die vergangenen zwölf Monate von Angriffen oder Betrugsversuchen mit KI-Bezug. Davon sind 4 Prozent ausschließlich bestätigte Vorfälle, 11 Prozent ausschließlich Verdachtsfälle und 2 Prozent beides. Der größte Teil ist also Verdacht. Das spricht nicht gegen die Zahl, eher dafür, wie schwer KI-gestützte Angriffe zu erkennen sind.

Unter den betroffenen Unternehmen nennen 90 Prozent täuschend echte Phishing-Mails, 40 Prozent automatisierte Angriffsskripte, die selbstständig nach Schwachstellen suchen, und 11 Prozent Deepfakes, etwa gefälschte Stimmen von Führungskräften. Wie sich Betriebe gegen den Anruf mit der geklonten Chefstimme wappnen, beschreiben wir unter Stimmklon-Abwehr.

Der Präsident des TÜV-Verbands, Dr. Dirk Stenkamp, sagt dazu in der Pressemitteilung: „Für Mitarbeitende ist oft kaum noch zu erkennen, ob eine E-Mail von einem Menschen verfasst oder mit KI erstellt wurde. Was Unternehmen bislang registrieren, könnte deshalb nur die Spitze des Eisbergs sein.”

Was die Studie über den eigenen KI-Einsatz sagt

Hier wird es für jeden Betrieb interessant, der schon einen Chatbot, einen Telefonassistenten oder einen Agenten im Einsatz hat.

49 Prozent der befragten Unternehmen setzen KI ein, weitere 9 Prozent planen es innerhalb von zwölf Monaten. Für diese Gruppe hat die Studie gefragt, wie sie mit KI-bezogenen Sicherheitsvorfällen umgeht:

Umgang mit KI-Vorfällen	Anteil
Eigene Abläufe speziell für KI-Vorfälle	11 %
Solche Abläufe werden gerade erarbeitet	20 %
Allgemeine IT-Sicherheitsprozesse ohne KI-Regeln	43 %
Keine Regelung	25 %

Quelle: KI-Sicherheitsstudie 2026, S. 47. Basis: Unternehmen, die KI nutzen oder den Einsatz planen.

Wichtig beim Zitieren: Die 11 Prozent beziehen sich nicht auf alle Unternehmen, sondern nur auf diese Gruppe. Auf alle Befragten umgerechnet wäre der Anteil noch kleiner, die Studie selbst weist diese Umrechnung aber nicht aus.

Bei den technischen Schutzmaßnahmen der KI-nutzenden Betriebe sieht es so aus (S. 39):

Maßnahme	Anteil
Menschliche Prüfung kritischer KI-Ergebnisse	67 %
Zugriffsrechte beschränkt	64 %
Sensible Daten geschützt, etwa anonymisiert	62 %
KI-Anwendungen vor dem Einsatz getestet	52 %
Protokollierung oder Monitoring der KI-Nutzung	40 %
Keine dieser Maßnahmen	8 %

Die Lücke, die uns am meisten auffällt, ist die Protokollierung. Sechs von zehn Betrieben, die KI einsetzen, könnten nach einem Vorfall nicht sauber nachvollziehen, was ihre KI wann getan hat. Ohne Protokoll gibt es keinen Vorfall, den man aufarbeiten kann, nur eine Vermutung.

Zu KI-Agenten, also Systemen, die selbstständig handeln, hat die Studie ebenfalls gefragt (S. 43). 84 Prozent sorgen sich, dass Agenten auf Grundlage falscher oder erfundener Informationen falsche Entscheidungen treffen. Je 78 Prozent sehen Risiken durch neue Schnittstellen, durch abfließende Daten und durch ungewollte Aktionen. 74 Prozent finden, dass die Verantwortung für Fehler unklar ist.

Was BSI und TÜV-Verband empfehlen

Am Ende der Studie stehen fünf Prioritäten für Unternehmen (S. 55 bis 59). Zwei davon sind für den Mittelstand besonders handfest.

Zum Einsatz von KI-Agenten heißt es wörtlich: „Beim Einsatz von KI-Agenten ist besonders auf technisch begrenzte Rechte, kontrollierte Schnittstellen und geeignete Testumgebungen zu achten. Kritische oder irreversible Aktionen sind durch menschliche Freigaben, Transaktionsgrenzen und technische Abbruchmöglichkeiten proaktiv abzusichern.”

Zu Notfällen: Bestehende IT-Sicherheits- und Notfallprozesse sollen um KI-Szenarien wie Datenabflüsse, manipulierte Inhalte und ungewollte Agentenaktionen ergänzt werden. Vorfälle beim eigenen KI-Einsatz sollen möglichst früh erkannt, dokumentiert und ausgewertet werden. Gegen KI-Phishing empfehlen die Autoren, Beschäftigte zu sensibilisieren und sensible Zahlungs- oder Datenfreigaben über einen unabhängigen Kommunikationsweg rückzubestätigen.

Für kleinere Betriebe verweist die Studie außerdem auf ein Handout der Allianz für Cyber-Sicherheit mit dem Titel „Schutz vor KI-verstärkten Cyberangriffen”, das sich ausdrücklich an Inhaberinnen und Inhaber kleiner Betriebe richtet.

Was das für Ihren Betrieb heißt

Ein eigener Ablauf für KI-Vorfälle klingt nach einem Projekt. In einem mittelständischen Betrieb ist er eher eine Seite Papier und ein paar technische Schalter. Wir würden mit diesen Fragen anfangen.

Was zählt bei uns als KI-Vorfall?

Schreiben Sie es auf, bevor es passiert. Typische Fälle: Der Chatbot nennt einem Kunden Daten eines anderen Kunden. Ein Agent verschickt eine Mail oder löst eine Bestellung aus, die so nicht gewollt war. Eine KI-Antwort enthält eine falsche Zusage, auf die sich ein Kunde beruft. Jemand hat über eine präparierte Mail oder Webseite Anweisungen in den Agenten geschleust. Wie solche eingeschleusten Anweisungen funktionieren, haben wir in Prompt Injection: wie Sie KI-Agenten schützen beschrieben.

Wer darf den Stecker ziehen?

Für jeden KI-Dienst muss feststehen, wer ihn abschalten darf und wie das technisch geht, ohne dass erst ein Dienstleister angerufen werden muss. Ein Agent, der sich nur über einen Programmierer stoppen lässt, ist im Ernstfall nicht zu stoppen. Mehr dazu in Ihr KI-Agent kann jetzt handeln. Wer sagt Nein?.

Was wird protokolliert, und wer schaut hinein?

Ohne Protokoll keine Aufarbeitung. Mindestens: Eingabe, Ausgabe, verwendetes Modell, ausgelöste Aktionen und wer sie freigegeben hat. Und zwar so gespeichert, dass es sich nachträglich nicht unbemerkt ändern lässt. Was genau hinein gehört, steht in Audit-Trail für KI-Chatbots: was Sie protokollieren müssen.

Welche Aktionen braucht eine zweite Unterschrift?

Zahlungen, Löschungen, Mails an Kunden, Änderungen an Stammdaten. Hier deckt sich die Empfehlung der Studie mit dem, was wir in Projekten umsetzen: Der Agent darf vorbereiten, ein Mensch gibt frei. Das gilt genauso für den Menschen, der eine angeblich dringende Zahlungsanweisung des Chefs per Mail oder Anruf bekommt. Rückruf über eine bekannte Nummer, nie über die in der Nachricht.

Wann wird gemeldet?

Ein KI-Vorfall kann zugleich eine Datenschutzverletzung sein, dann gilt die 72-Stunden-Frist aus Art. 33 DSGVO für die Meldung an die Aufsichtsbehörde. Wer das erst im Vorfall prüft, verliert die Zeit, die er für die Aufklärung braucht. Legen Sie vorher fest, wer diese Frage entscheidet.

Unsere Einschätzung

Die Studie bestätigt, was wir in Gesprächen mit Betrieben oft sehen. Die Einführung von KI läuft schnell, die Absicherung kommt hinterher. Das ist kein Vorwurf. Die meisten Werkzeuge sind so gebaut, dass man sie an einem Nachmittag startet, und kein Anbieter liefert den Notfallplan mit.

Bemerkenswert finden wir, wie deutlich BSI und TÜV-Verband beim Thema Agenten werden. Begrenzte Rechte, menschliche Freigaben, Abbruchmöglichkeiten und Protokolle stehen dort nicht als Kür, sondern als Empfehlung an alle Unternehmen, die Agenten einsetzen. Wer das heute umsetzt, ist auch für das angekündigte Zertifizierungsprogramm des TÜV, das Ende 2026 verfügbar sein soll, besser vorbereitet.

Wir setzen genau diese Grenzen in Kundenprojekten mit unserem eigenen Werkzeug um. AgentGuard sitzt als eigener Dienst vor den Agenten, protokolliert jede Aktion manipulationssicher und legt folgenreiche Aktionen einem Menschen zur Freigabe vor. Wenn Sie zuerst Ihren Stand prüfen lassen möchten, ist unser KI-Audit der passende Einstieg.

Quellen

• TÜV-Verband, Pressemitteilung vom 7. Oktober 2026: Nur jedes zehnte Unternehmen gegen KI-gestützte Angriffe gerüstet, jedes sechste Unternehmen berichtet von Vorfällen
• BSI und TÜV-Verband: KI-Sicherheitsstudie 2026 (PDF, 63 Seiten; Methodik S. 62, Vorfälle S. 45 bis 47, Schutzmaßnahmen S. 39, Agenten S. 43, Empfehlungen S. 55 bis 59)
• Verordnung (EU) 2016/679 (DSGVO), Art. 33: Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde