Die Access-Trust-Lücke in der modernen Sicherheit schließen

Der moderne Arbeitsplatz agiert mit einer Geschwindigkeit, für die klassische Sicherheitsinfrastrukturen nie konzipiert wurden. Mitarbeitende wechseln zwischen Dutzenden Cloud-Anwendungen, geben Unternehmensdaten in KI-Tools ein und greifen von privaten Geräten auf Unternehmenssysteme zu – oft, bevor Sicherheitsteams überhaupt von diesen Tools wissen. Diese Diskrepanz hat das geschaffen, was Forschende heute als „Access-Trust-Gap“ bezeichnen: die wachsende Kluft zwischen dem, was Unternehmen glauben zu kontrollieren, und der tatsächlichen Arbeitsweise.

Zwei aktuelle Studien verdeutlichen die Tragweite dieser Herausforderung. Untersuchungen von 1Password zeigen, dass traditionelle Sicherheitstools wie Single Sign-On, Mobile Device Management und Identity Access Management nicht mehr mit den heutigen Zugriffswegen von Mitarbeitenden und KI-Agenten Schritt halten. Gleichzeitig belegt eine Anaconda-Umfrage unter über 300 KI-Fachleuten, dass selbst Unternehmen mit formellen KI-Governance-Rahmenwerken mit Sicherheitsbedenken, inkonsistentem Monitoring und fragmentierten Toolchains kämpfen. Zusammen offenbaren diese Erkenntnisse eine doppelte Krise: Unternehmen stehen einer rasanten KI-Adoption gegenüber, die die Kontrolle überholt, und grundlegenden Zugriffsproblemen, die jedes neue Tool zur potenziellen Schwachstelle machen.

wichtige Erkenntnisse

1. Shadow AI ist weit verbreitet und bleibt meist unbeaufsichtigt. 73 % der Mitarbeitenden nutzen inzwischen KI-Tools bei der Arbeit, aber 27 % haben nicht genehmigte Anwendungen verwendet, von denen ihre Unternehmen nichts wissen. Diese browserbasierten, kostenlosen Tools führen zu Transparenzlücken, wenn sensible Daten in nicht geprüfte Systeme gelangen.
2. Traditionelle Zugriffskontrollen kommen mit SaaS-Adoption nicht mehr mit. Nur zwei Drittel der Unternehmensanwendungen sind hinter Single Sign-On abgesichert, ein großer Teil der Softwarelandschaft bleibt unverwaltet. Über die Hälfte der Mitarbeitenden gibt zu, Arbeits-Tools ohne IT-Freigabe herunterzuladen, weil genehmigte Lösungen zu langsam oder nicht funktionsreich genug sind.
3. Credential-Diebstahl bleibt eine der Hauptursachen für Datenschutzvorfälle. Zwei Drittel der Mitarbeitenden zeigen riskante Passwortpraktiken wie Wiederverwendung oder Weitergabe per E-Mail, und gestohlene Zugangsdaten sind die zweithäufigste Ursache für schwerwiegende Datenschutzvorfälle. 89 % der Sicherheitsverantwortlichen fördern inzwischen die Einführung von Passkeys, um die Abhängigkeit von klassischen Passwörtern zu reduzieren.
4. KI-Governance leidet unter fragmentierten Toolchains. Nur 26 % der Unternehmen verfügen über hochgradig einheitliche KI-Entwicklungsumgebungen, während 30 % kein formelles Monitoring zur Erkennung von Model Drift in der Produktion haben. Sicherheitsbedenken verzögern KI-Einführungen bei fast zwei Dritteln der Unternehmen, wobei Teams viel Zeit mit der Behebung von Abhängigkeits- und Schwachstellenproblemen verbringen.
5. Ehemalige Mitarbeitende haben weiterhin Zugriff auf Unternehmenssysteme. 38 % der Mitarbeitenden berichten, nach dem Ausscheiden weiterhin auf Konten oder Daten früherer Arbeitgeber zuzugreifen – ein deutliches Zeichen für gravierende Offboarding-Lücken. Inkonsistente Prozesse zur Zugriffsbeendigung und fragmentierte Identitätsmanagementsysteme lassen diese Sicherheitslücken über Hunderte von Cloud-Anwendungen hinweg bestehen.

Das Access-Trust-Gap verstehen

Das Access-Trust-Gap beschreibt eine grundlegende Fehlanpassung in der modernen Unternehmenssicherheit. Unternehmen haben ihre Abwehrmaßnahmen um Tools aufgebaut, die für eine andere Zeit konzipiert wurden – als Mitarbeitende von firmeneigenen Geräten aus arbeiteten, auf eine begrenzte Zahl genehmigter Anwendungen zugriffen und über verwaltete Netzwerke verbunden waren. Diese Welt existiert nicht mehr.

Die heutige Arbeitswelt ist flexibel und verteilt. Mitarbeitende wechseln zwischen Firmenlaptops und privaten Smartphones. Sie nutzen Cloud-Services, die nie die IT-Infrastruktur berühren. Sie arbeiten über Plattformen zusammen, von deren Existenz Sicherheitsteams oft nichts wissen. Klassische Kontrollen wie SSO setzen voraus, dass alle wichtigen Anwendungen katalogisiert und integriert sind – doch diese Annahme bricht zusammen, wenn Mitarbeitende mit Kreditkarte und E-Mail-Adresse neue Tools eigenständig einführen können.

Die 1Password-Studie identifiziert vier kritische Bereiche, in denen sich diese Lücke vergrößert: KI-Governance, SaaS und Schatten-IT, Zugangsdaten und Endgerätesicherheit. In jedem Bereich zeigt sich das gleiche Muster – schnelle Einführung neuer Tools und Arbeitsweisen, gefolgt von begrenzter oder verzögerter Kontrolle. Die Folgen reichen von kleinen Ineffizienzen bis hin zu schwerwiegenden Sicherheitsvorfällen, und das Problem verschärft sich, da KI eine weitere Komplexitätsebene in ein ohnehin belastetes Sicherheitsmodell bringt.

KI-Governance: Zwei Seiten derselben Medaille

KI ist schneller als fast jede andere Technologie in den Arbeitsalltag integriert worden. Laut 1Password-Studie nutzen 73 Prozent der Mitarbeitenden KI zumindest teilweise für ihre Aufgaben. Über ein Drittel gibt jedoch an, nicht immer die Unternehmensregeln zur KI-Nutzung zu befolgen – und einige wissen nicht einmal, welche Regeln gelten. Diese Diskrepanz zwischen Nutzung und Governance schafft unmittelbare Risiken.

Das Problem geht über Regelverstöße hinaus. Rund 27 Prozent der Mitarbeitenden haben KI-Tools genutzt, die nie vom Unternehmen genehmigt wurden. Diese Shadow-AI-Tools sind meist browserbasiert und kostenlos, was ihre Einführung trivial, aber ihre Erkennung für IT-Teams nahezu unmöglich macht. Wenn Mitarbeitende sensible Daten in ungeprüfte Systeme einspeisen – sei es zur Inhaltserstellung, Analyse oder Automatisierung –, entstehen potenzielle Schwachstellen, die alle Sicherheitskontrollen des Unternehmens umgehen.

Hinzu kommt ein Kommunikationsproblem. Während nur wenige Sicherheitsteams glauben, dass ihr Unternehmen keine KI-Richtlinie hat, berichten deutlich mehr Mitarbeitende, nie eine solche gesehen zu haben. Das deutet darauf hin, dass Richtlinien zwar existieren, aber die Zielgruppe nicht erreichen – eine gefährliche Lücke zwischen Absicht und Praxis.

Auch technisch steht die KI-Governance vor großen Herausforderungen. Die Anaconda-Umfrage ergab, dass Sicherheit mit 39 Prozent der Nennungen das häufigste Risiko bei der KI-Entwicklung ist. Fast zwei Drittel der Unternehmen berichten von Verzögerungen bei KI-Einführungen wegen Sicherheitsbedenken. Viele Teams geben an, dass die Fehlersuche bei Abhängigkeiten – insbesondere in Open-Source-Python-Paketen – direkt auf die Produktivität schlägt.

Obwohl Prozesse zur Prüfung von Paketen auf Sicherheit und Compliance existieren, kommen aktuelle Ansätze mit dem Umfang und der Komplexität von KI-Projekten nicht mehr mit. Unternehmen setzen auf eine Mischung aus automatisierten Schwachstellenscans, internen Paketregistern und manuellen Prüfungen, doch die Häufigkeit von Sicherheitsvorfällen zeigt, dass diese Methoden nicht ausreichen. Das Problem ist nicht fehlendes Bewusstsein oder mangelnde Anstrengung, sondern dass die Angriffsfläche schneller wächst als die Schutzmechanismen.

Auch das Monitoring ist uneinheitlich. 83 Prozent der Unternehmen dokumentieren die Herkunft von Foundation Models und 81 Prozent die Modellabhängigkeiten, aber nicht alle Dokumentationen sind umfassend. Fast jeder Fünfte hat überhaupt keine formelle Dokumentation. Auch beim Monitoring der Performance gibt es Lücken: 70 Prozent haben Mechanismen zur Erkennung von Model Drift oder unerwartetem Verhalten, aber 30 Prozent verfügen über kein formelles Monitoring in Produktionsumgebungen.

Diese Blind Spots sind entscheidend. Ohne konsistentes Monitoring können Unternehmen nicht erkennen, wenn Modelle an Qualität verlieren, sich unerwartet verhalten oder sensible Informationen preisgeben. Da KI immer stärker in produktive Systeme eingebunden wird – etwa bei Kundenservice, Finanztransaktionen oder operativen Prozessen –, wird die fehlende Nachverfolgbarkeit zum kritischen Governance-Problem.

Das Fragmentierungsproblem betrifft auch die Toolchains. Nur 26 Prozent der Unternehmen verfügen über eine hochgradig einheitliche KI-Entwicklungstoolchain. Die Mehrheit arbeitet mit teils einheitlichen oder fragmentierten Umgebungen, einige beschreiben ihre Setups als hochgradig fragmentiert. Diese Fragmentierung führt zu Transparenzlücken, doppeltem Aufwand und inkonsistenten Sicherheitskontrollen zwischen Teams und Projekten.

Kulturelle Faktoren erschweren die Lage zusätzlich. Ein Viertel der Befragten sieht Widerstand von Data-Science-Teams gegen Sicherheitsmaßnahmen als zentrales Problem. Werden Governance-Prozesse auf unterschiedliche Systeme aufgesetzt, werden sie langsam und umständlich – was Teams dazu verleitet, sie zu umgehen. Das Ergebnis: mehr Schatten-IT, mehr nicht genehmigte Tools und eine wachsende Lücke zwischen Richtlinie und Praxis.

SaaS-Wildwuchs und die Realität der Schatten-IT

Die Explosion von Cloud-Anwendungen hat die Arbeitsweise von Unternehmen grundlegend verändert. Organisationen setzen heute auf Hunderte Cloud-Apps, aber die meisten entziehen sich der Sichtbarkeit und Kontrolle der IT. Die 1Password-Studie zeigt: Über die Hälfte der Mitarbeitenden gibt zu, Arbeits-Tools ohne Erlaubnis heruntergeladen zu haben – meist, weil genehmigte Alternativen zu langsam oder unzureichend sind.

Dieses Verhalten treibt den sogenannten SaaS-Wildwuchs – die unkontrollierte Verbreitung von Software-as-a-Service-Anwendungen im Unternehmen. Die Zahlen sind besorgniserregend: 70 Prozent der Sicherheitsexperten sagen, dass SSO-Tools keine vollständige Lösung für Identitätssicherung sind. Im Schnitt sind nur etwa zwei Drittel der Unternehmensanwendungen hinter SSO abgesichert, ein erheblicher Teil bleibt unverwaltet und oft unbekannt.

Die Gründe für dieses Umgehen der Prozesse sind klar: Mitarbeitende stehen vor echten Workflow-Problemen und brauchen Lösungen. Dauert der genehmigte Beschaffungsprozess Wochen und die nicht genehmigte Alternative nur Minuten, entscheidet sich die Mehrheit für den schnellen Weg. Ist das offiziell freigegebene Tool zu langsam, wenig intuitiv oder fehlen wichtige Funktionen, suchen sich Mitarbeitende Alternativen. Das ist kein böswilliges Verhalten – es geht darum, effizient zu arbeiten.

Die Offboarding-Lücke zeigt, wie tief das Problem reicht. 38 Prozent der Mitarbeitenden geben an, nach dem Ausscheiden weiterhin Zugang zu Konten oder Daten früherer Arbeitgeber zu haben. Diese Zahl sollte alle Sicherheitsverantwortlichen alarmieren. Sie zeigt, dass Prozesse zur Zugriffsbeendigung inkonsistent sind, viele Konten und Tools nicht im Offboarding-Prozess enthalten sind und Unternehmen keinen vollständigen Überblick darüber haben, wo ehemalige Mitarbeitende noch Zugriff haben könnten.

Fragmentierte Zugriffssysteme machen solche Lücken zur Regel statt zur Ausnahme. Wenn Unternehmen Dutzende oder Hunderte Cloud-Services nutzen, jeweils mit eigenem Zugriffsmanagement, wird vollständiges Offboarding extrem schwierig. Eine einzige übersehene Anwendung kann monatelang oder jahrelang ein Einfallstor bleiben.

Zugangsdaten: Das dauerhafte schwache Glied

Trotz jahrelanger Security-Awareness-Schulungen und immer ausgefeilterer Authentifizierungstechnologien bleibt Passwortsicherheit ein Grundproblem. Die 1Password-Studie zeigt: Zwei Drittel der Mitarbeitenden geben unsichere Praktiken zu, etwa Passwörter mehrfach zu verwenden, Zugangsdaten mit Kollegen zu teilen, Standardpasswörter zu nutzen oder Zugangsdaten per E-Mail oder Messenger zu versenden.

Diese Verhaltensweisen beschränken sich nicht auf weniger technikaffine Mitarbeitende. Auch Sicherheitsexperten greifen zu denselben riskanten Praktiken – das Problem liegt weniger am Bewusstsein als an der Reibung, die sicheres Credential-Management verursacht. Wer Dutzende oder Hunderte Konten mit jeweils einzigartigen, komplexen Passwörtern verwalten muss, greift oft zu Abkürzungen, die die Sicherheit untergraben.

Die Folgen sind messbar und gravierend. Fast die Hälfte der Befragten nennt schwache oder kompromittierte Passwörter als größte Sicherheitsherausforderung. Bei Unternehmen, die in den letzten drei Jahren einen schwerwiegenden Datenschutzvorfall hatten, waren gestohlene Zugangsdaten die zweithäufigste Ursache – nur übertroffen von Software-Schwachstellen.

Das Muster ist eindeutig: Zugangsdaten bleiben ein attraktiver und effektiver Angriffsvektor, weil sie wertvoll und vergleichsweise leicht zu kompromittieren sind. Phishing, Credential Stuffing und Social Engineering zielen auf das schwächste Glied der meisten Sicherheitsketten – Benutzername und Passwort.

Unternehmen reagieren mit der Einführung von Passkeys und anderen passwortlosen Authentifizierungsmethoden. 89 Prozent der Sicherheitsverantwortlichen geben an, Passkeys zu fördern oder deren Einführung zu planen. Passkeys ersetzen klassische Passwörter durch biometrische oder gerätebasierte Authentifizierung, die Phishing-resistent ist, die Nutzerfreundlichkeit erhöht und Compliance-Anforderungen unterstützt.

„Die Begeisterung für Passkeys überrascht mich nicht, denn die Unternehmen, die Passkeys vorantreiben, machen die Umstellung extrem einfach – ein Klick und es ist erledigt“, sagt Brian Morris, CISO bei Gray Media, und hebt den praktischen Nutzen neuer Authentifizierungsmethoden hervor.

Der Wandel wird jedoch nicht über Nacht erfolgen. Passwörter werden noch Jahre neben neuen Authentifizierungssystemen existieren, während Unternehmen Altsysteme, Drittanbieter-Integrationen und schrittweise Nutzerumstellung managen. Das realistische Ziel ist nicht die vollständige Abschaffung von Passwörtern in naher Zukunft, sondern die Reduzierung der Häufigkeit, mit der Nutzende Rohdaten eingeben, und zusätzliche Schutzmaßnahmen für verbleibende Zugangsdaten.

Gerätemanagement im Zeitalter hybrider Arbeit

Der Wandel zu hybrider und mobiler Arbeit hat das Gerätemanagement erheblich komplexer gemacht. Fast drei Viertel der Mitarbeitenden nutzen zumindest gelegentlich private Geräte für die Arbeit, über die Hälfte sogar wöchentlich. Das stellt einen grundlegenden Wandel dar, wie Menschen auf Unternehmensressourcen zugreifen – doch die Sicherheitswerkzeuge zur Verwaltung dieses Zugriffs sind nicht mitgewachsen.

Mobile Device Management bleibt das Standardkontrollinstrument für Firmenhardware, aber Sicherheitsverantwortliche erkennen zunehmend die Grenzen. MDM-Tools wurden für Umgebungen entwickelt, in denen Unternehmen die Geräte besitzen, das Betriebssystem kontrollieren und umfassende Richtlinien durchsetzen können. Sie sind nicht für Szenarien gemacht, in denen Mitarbeitende flexibel zwischen privaten und Firmengeräten wechseln und Cloud-Services nutzen, die außerhalb des klassischen Netzwerk-Perimeters liegen.

Die Grenzen zeigen sich in der Praxis. Sicherheitsverantwortliche berichten, dass MDM weder ausreichend Schutz für verwaltete Geräte noch Compliance gewährleistet – insbesondere in hybriden Umgebungen. Private Geräte verfügen nicht über den Schutz von Firmenrechnern: keine Enterprise-Endpoint-Protection, keine zentral verwaltete Verschlüsselung, kein garantiertes Patch-Management. Dennoch nutzen Mitarbeitende diese Geräte für E-Mails, Dokumentenbearbeitung, Videokonferenzen und Business-Anwendungen.

Selbst wenn Unternehmen Bring-Your-Own-Device-Praktiken verbieten, ist die Durchsetzung bestenfalls lückenhaft. Mitarbeitende greifen dennoch während der Fahrt vom Smartphone oder im Homeoffice vom privaten Laptop auf Unternehmensdaten zu. Die Wahl besteht oft zwischen vollständiger Blockade – was Produktivität und Zufriedenheit beeinträchtigt – oder Zulassen und Akzeptieren des Risikos.

Praktische Lösungen und Empfehlungen

Das Access-Trust-Gap und die Herausforderungen der KI-Governance erfordern ein Umdenken in der Sicherheitsstrategie. Pauschale Verbote und starre Kontrollen funktionieren nicht mehr, wenn Mitarbeitende neue Tools sofort und von jedem Gerät oder Ort aus nutzen können. Der Weg nach vorn erfordert Transparenz, Orientierung und integrierte Kontrollen statt Barrieren und Einschränkungen.

• KI-Governance

  • Statt KI zu blockieren, deren Nutzung überwachen und steuern.
  • Kontinuierliche Discovery-Mechanismen implementieren, um sowohl genehmigte als auch nicht genehmigte Tools zu identifizieren.
  • KI-Richtlinien klar an alle Mitarbeitenden kommunizieren.
  • Governance direkt in Entwicklungsworkflows einbetten, um Widerstände zu verringern und Innovation mit Kontrolle zu verbinden.
  • In bessere Transparenz bei Modellkomponenten, umfassende Schulungen und automatisiertes Monitoring für Model Drift und Anomalien investieren.

• SaaS-Wildwuchs und Schatten-IT

  • Governance automatisieren, um Zugriffe über alle Tools hinweg im Zeitverlauf zu verfolgen – nicht nur bei SSO-verbundenen Anwendungen.
  • Netzwerksegmentierung, Endpoint-Visibility-Tools und regelmäßige Discovery-Prozesse nutzen, um Schatten-IT sichtbar zu machen.
  • Fokus auf umfassendes Offboarding: Checklisten erstellen, Zugriffsbeendigungen automatisieren und regelmäßige Zugriffsüberprüfungen durchführen.

• Credential-Sicherheit

  • Passkeys und passwortlose Authentifizierung zuerst für risikoreiche Anwendungen einführen und dann schrittweise ausweiten.
  • Passwortmanager verpflichtend machen und SSO-Abdeckung ausbauen.
  • Die Häufigkeit reduzieren, mit der Nutzende Rohdaten eingeben.

• Geräte- und Endpoint-Sicherheit

  • Die hybride Realität akzeptieren und Kontrollen entsprechend gestalten.
  • Zero-Trust-Architektur implementieren, die jede Zugriffsanfrage überprüft.
  • Firmenhardware für Mitarbeitende bereitstellen, die auf sensible Daten zugreifen, oder Zugriffsrichtlinien abhängig vom Gerätestatus und Nutzerverhalten anwenden.

Bei all diesen Maßnahmen ist das richtige Gleichgewicht entscheidend. Sicherheitskontrollen, die die Arbeit der Mitarbeitenden erheblich erschweren, werden umgangen. Die wirksamsten Maßnahmen sind jene, die sich an der tatsächlichen Arbeitsweise orientieren und Schutz bieten, ohne unnötige Reibung zu erzeugen.

Sicherheit muss mit der Arbeitsgeschwindigkeit Schritt halten

Das Access-Trust-Gap und die Herausforderungen der KI-Governance sind keine temporären Probleme, die sich mit der Reife der Technologien von selbst lösen. Sie spiegeln einen grundlegenden Wandel wider – hin zu verteilten, flexiblen, KI-gestützten Arbeitsabläufen, für die klassische Sicherheitstools nie entwickelt wurden.

Unternehmen, die diese Lücken schließen, gewinnen einen Wettbewerbsvorteil durch bessere Sicherheit und schnellere Innovation. Wer sie ignoriert, sieht sich wachsenden Risiken gegenüber, da die Kluft zwischen Richtlinie und Praxis weiter wächst. Die Lösung erfordert adaptive, auf Transparenz ausgerichtete Ansätze, die Kontrolle bieten, ohne Fortschritt zu blockieren.

Sicherheitsteams müssen sich vom Gatekeeper zum Enabler wandeln, von Kontrollfokus zu Transparenzfokus und von reaktiv zu proaktiv. Die Arbeitswelt hat sich dauerhaft verändert – und die Sicherheitspraktiken müssen sich mitverändern.