Wie die KI-Warnung der „Five Eyes“ die Sichtweise der Vorstände auf Cyber-Wiederherstellung und -Resilienz verändert

Im Juni 2026 veröffentlichte das Australian Signals Directorate eine Bekanntmachung zu einer gemeinsamen Erklärung der Cybersicherheits behörden der „Five Eyes “. Der Beitrag, der direkt auf den vollständigen Wortlaut der Erklärung verweist, fasst die Dringlichkeit der Position der australischen Regierung zum Thema Cyberresilienz zusammen:

Künstliche Intelligenz beschleunigt die Geschwindigkeit, das Ausmaß und die Komplexität von Cyberbedrohungen – schneller, als die meisten Unternehmen darauf vorbereitet sind. Angesichts der damit verbundenen Risiken, die nicht nur Betriebsstörungen, sondern auch finanzielle Verluste und Reputationsschäden mit sich bringen können, ist die Botschaft klar: Cyberresilienz ist mittlerweile ein zentrales Geschäftsrisiko und nicht mehr nur ein IT-Thema. Führungskräfte in Unternehmen sind aufgefordert, jetzt zu handeln.

Quelle: Australian Signals Directorate über LinkedIn

Diese Botschaften bilden einen Schwerpunkt, indem sie die enormen Belastungsfaktoren für Führungskräfte in Unternehmen und Sicherheitsexperten, mit denen ich täglich in ganz Australien und Neuseeland zusammenarbeite, auf den Punkt bringen und bestätigen.

Hinter dieser dringenden Botschaft verbirgt sich eine reale und unmittelbare Gefahr, die exponentiell zunimmt. Seit Jahren betonen führende Experten für Cybersicherheit weltweit, dass man bei der Cyberabwehr von der Prämisse „Assume Breach“ ausgehen sollte. Nun ist klar, dass Abwehrmaßnahmen zwar nach wie vor von entscheidender Bedeutung sind, jedoch nicht ausreichen. Unternehmen müssen in der Lage sein, schneller auf Angriffe zu reagieren und sich von diesen zu erholen – selbst von solchen, die sie nicht vollständig vorhersehen können.

Künstliche Intelligenz hat die Angriffsfläche grundlegend verändert. Sie hat die Vorgehensweise von Angreifern sowie die Art und Weise, wie wir unsere Systeme schützen, verändert. Und sie verändert die Art und Weise, wie Vorstände über die Schnittstelle zwischen dem Einsatz künstlicher Intelligenz, Identitätssicherheit sowie der „ incident response “ und der Wiederherstellung nach Ausfällen nachdenken müssen.

TL;DR: Die wichtigsten Erkenntnisse für Sicherheits- und Führungskräfte

• Künstliche Intelligenz verkürzt die Zeitabläufe in der Cyberwelt und macht veraltete Annahmen gefährlich.
• Die „Five Eyes“-Behörden haben die Cyber-Resilienz zu einem Thema auf Vorstandsebene gemacht und nicht mehr nur als reines IT-Thema betrachtet.
• Für die meisten Unternehmen ist die Identitätsresilienz von zentraler Bedeutung für die Cyberresilienz, da Active Directory und hybride Identitätslösungen die Grundlage für den Geschäftsbetrieb und die Wiederherstellung bilden.
• Eine Datensicherung allein reicht nicht aus. Unternehmen müssen nachweisen, dass sie Active Directory innerhalb einer realistischen geschäftlichen Wiederherstellungszeit (RTO) in einen bekanntermaßen fehlerfreien Zustand zurückversetzen können.
• Die leistungsfähigsten Programme betrachten Identitätsschutz, saubere Wiederherstellung und Krisenmanagement als eine einzige Disziplin und nicht als separate Projekte.

Wie die Einführung von KI derzeit die Cyberrisiken beschleunigt

Unternehmen in ganz Australien (wie auch ihre Pendants weltweit) berichten mir, dass sie zwischen den Chancen und den Risiken der KI hin- und hergerissen sind. Laut einer Studie von Semperis ist diese Erfahrung nur allzu verbreitet – und das bedeutet, dass Unternehmen KI-Agenten schneller direkten Zugriff auf kritische Systeme gewähren, als sie angemessene Sicherheitsvorkehrungen treffen können.

In der Studie „The State of Identity Security in the AI Era“ habe ich festgestellt , dass die Befragten aus australischen Unternehmen Folgendes bestätigten:

• Bei 37 % der Belegschaft ist KI auf lokalen Rechnern installiert, von denen aus sie Zugriff auf SSH- und Verschlüsselungsschlüssel hat.
• 24 % der Unternehmen setzen bereits KI-Agenten ein, um sicherheitsrelevante Helpdesk-Anfragen zu bearbeiten, darunter Passwortzurücksetzungen und den VPN-Zugang.

Während die Befragten der Studie den Einsatz von KI-Agenten vorantreiben, sind sie sich zugleich bewusst, dass die Einführung zusätzlicher Agentenidentitäten die Angriffsfläche im Bereich der Identitätssicherheit erheblich vergrößert.

• 80 % der australischen Befragten gehen davon aus, dass KI dazu führen wird, dass Identitätsangriffe häufiger auftreten.
• 65 % gehen davon aus, dass Angreifer KI einsetzen werden, um ihre Identitätsinfrastruktur anzugreifen.

Die regionalen Statistiken, die ich in der Semperis-Studie gefunden habe, stimmen weitgehend mit den Berichten aus allen Regionen der Welt überein. Dies ist ein weltweites Problem.

Wenn Vorstände fragen, ob das Unternehmen auf einen durch KI beschleunigten Cyberangriff vorbereitet ist, antworten viele Teams mit einer Liste von Sicherheitsmaßnahmen: Multi-Faktor-Authentifizierung (MFA), Endpoint Detection and Response (EDR), Datensicherung, Patching, Überwachung, Tabletop-Übungen. All dies ist wichtig.

Die Realität sieht jedoch so aus, dass nur 21 % der australischen Unternehmen – und lediglich 32 % der Unternehmen weltweit– davon überzeugt sind, die Kontrolle zurückgewinnen zu können, falls ein KI-Agent Administrator-Zugangsdaten offenlegen sollte.

Die Erklärung der Cybersicherheitsbehörden der „Five Eyes“ legt die Messlatte höher. Die Botschaft lautet nicht lediglich, dass Organisationen ihre Abwehrmaßnahmen verstärken sollten. Vielmehr müssen Führungskräfte davon ausgehen, dass Annahmen zu Cyberrisiken innerhalb von Monaten oder sogar Wochen überholt sein können – und dass die Widerstandsfähigkeit im Falle eines tatsächlichen Vorfalls auch unter Druck standhalten muss.

Das ist ein anspruchsvoller Maßstab. Viele Unternehmen haben noch nie wirklich überprüft, ob sie ihre Identitätssysteme nach einer Kompromittierung schnell und lückenlos wiederherstellen können.

Und da die Identität die geschäftliche Steuerungsebene darstellt, ist diese Lücke keine technische Randnotiz. Es handelt sich um ein Geschäftsrisiko mit betrieblichen, finanziellen und rufschädigenden Folgen.

Warum die KI-Warnung der „Five Eyes“ gerade jetzt von Bedeutung ist

Die „Five Eyes“-Behörden formulierten ihre Warnung knapp und direkt. Künstliche Intelligenz senkt bereits die Hürden für böswillige Akteure, erhöht die Geschwindigkeit und Komplexität von Angriffen und verkürzt den Zeitraum zwischen der Entdeckung einer Sicherheitslücke und deren Ausnutzung, insbesondere im Zusammenhang mit Identitäten.

Gleichzeitig argumentieren sie, dass Cyber-Resilienz nicht mehr nur ein rein technisches Anliegen ist. Es handelt sich um eine Führungsverantwortung, die mit der Geschäftskontinuität, dem Marktvertrauen und dem langfristigen Unternehmenswert verbunden ist.

Diese Herangehensweise und diese Vorgaben sollten für jeden CISO, jeden IAM-Verantwortlichen, jeden Active-Directory- und Hybrid-Identitätsadministrator, jeden SecOps-Verantwortlichen sowie jeden Unternehmensarchitekten von Bedeutung sein. Dadurch verschiebt sich die Fragestellung von „Verfügen wir über Kontrollmaßnahmen?“ hin zu „Können wir nachweisen, dass diese Kontrollmaßnahmen im Falle eines tatsächlichen Vorfalls, bei dem die Identitäten angegriffen werden, auch tatsächlich funktionieren?“

Für die meisten Unternehmen liegt der Beweis für ihre Widerstandsfähigkeit in der Wiederherstellung der Identitäten. Wie Semperis feststellt, ist das Identitätssystem an den meisten Cybervorfällen beteiligt, und in den meisten Organisationen handelt es sich bei diesem Identitätssystem um eine hybride Umgebung, deren Kern aus Active Directory und Entra ID besteht.

Die Herausforderung, die Vorstände oft übersehen: Identität ist sowohl ein Ziel als auch eine Voraussetzung

Sicherheitsverantwortliche weisen seit Jahren darauf hin, dass Active Directory eine kritische Infrastruktur darstellt. Die Erklärung der „Five Eyes“ verleiht diesem Argument jedoch neue Dringlichkeit, da künstliche Intelligenz den Zeitrahmen für die Erkennung, Entscheidungsfindung und Reaktion erheblich verkürzt.

Das Problem besteht nicht nur darin, dass Angreifer es auf die Identitätsverwaltung abgesehen haben. Vielmehr hängt das gesamte Unternehmen in seinem Funktionieren von der Identitätsverwaltung ab. Wenn die Identitätsverwaltung ausfällt, können E-Mail, Konferenzschaltungen, Dateizugriff, SaaS-Zugriff, betriebliche Arbeitsabläufe und sogar die Krisenkoordination ebenfalls ausfallen.

Dadurch entsteht ein kombiniertes Risiko:

• Identitäten stellen eine besonders gefährdete Angriffsfläche dar.
• Die Identitätsdaten ermöglichen laterale Bewegungen und eine Ausweitung von Berechtigungen.
• Die Identitätsverwaltung ist zudem das System, das das Unternehmen benötigt, um alle anderen Prozesse wiederherzustellen.

Aus diesem Grund sollten Vorstände die Wiederherstellung von Active Directory nicht lediglich als eine weitere Sicherungsmaßnahme betrachten. AD ist eine replizierte Multi-Master-Datenbank mit strengen Anforderungen an die Wiederherstellung, und eine fehlerhafte Wiederherstellung kann zu längeren Ausfallzeiten führen, die Persistenz von Angreifern wiederherstellen oder die Teams dazu zwingen, von vorne zu beginnen.

Warum KI die Frage der Identitätswiederherstellung noch dringlicher macht

In den Leitlinien der „Five Eyes“ wird nicht behauptet, dass KI alle Grundsätze der Cybersicherheit verändert. Tatsächlich sind viele der Empfehlungen grundlegender Natur: Verringern Sie Sicherheitsrisiken, beschleunigen Sie die Installation von Patches, nehmen Sie veraltete Systeme außer Betrieb, stärken Sie die Identitäts- und Zugriffskontrollen, gehen Sie davon aus, dass Sicherheitsverletzungen auftreten werden, und testen Sie Reaktionspläne im Voraus.

Was die KI verändert, ist das Tempo und das Ausmaß, in dem Schwachstellen aufgedeckt und ausgenutzt werden können. Das bedeutet, dass sich seit langem bestehende Annahmen wie „Wir werden Zeit haben, dem nachzugehen“, „Wir können das manuell beheben“ oder „Unser Backup reicht wahrscheinlich aus“ immer schwerer aufrechterhalten lassen.

Für Identitätsteams lautet die wichtigste Schlussfolgerung: Die Wiederherstellungsbereitschaft muss als dynamische Fähigkeit betrachtet werden, nicht als statisches Dokument. Wenn Angreifer schneller handeln können, müssen Unternehmen dies im Voraus wissen:

• Wie lange es dauert, bis das AD wieder in einen bekanntermaßen fehlerfreien Zustand versetzt ist
• Ob die Sicherungen fehlerfrei sind
• Ob privilegierte Zugriffspfade erkannt und reduziert wurden
• Ob Krisenkommunikation und Entscheidungsfindung fortgesetzt werden können, wenn identitätsabhängige Tools ausfallen

Dies sind Fragen auf Vorstandsebene, da sie darüber entscheiden, ob ein Cybervorfall zu einer begrenzten Störung oder zu einer langwierigen Unternehmenskrise wird.

Die Kluft zwischen Backup und echter Identitätsresilienz

Einer der wichtigsten Aspekte der Identitätsresilienz ist der Unterschied zwischen dem Vorhandensein eines Backups und der Fähigkeit, einen vertrauenswürdigen Zustand wiederherzustellen.

Semperis macht dies deutlich: Entscheidend ist das Ergebnis – die Wiederherstellung –, nicht die Datensicherung allein.

Jeder kann behaupten, eine Sicherung von Active Directory erstellt zu haben. Die schwierigere Frage ist jedoch, ob das Unternehmen diese Sicherung so wiederherstellen kann, dass genügend vertrauenswürdige Identitätskapazitäten wiederhergestellt werden, um den Betrieb auf dem Niveau eines „Minimum Viable Company“ (MVC) innerhalb des erforderlichen Zeitrahmens aufrechtzuerhalten.

Diese Unterscheidung ist von Bedeutung, da kompromittierte Identitätssysteme nicht nur auf eine einzige Weise kompromittiert werden. Angreifer können zwar die Betriebssysteme kompromittieren, auf denen Active Directory (AD) gehostet wird, sie können sich jedoch auch innerhalb der AD-Datenbank selbst durch privilegierte Konten, Änderungen an Berechtigungen, unzulässige Mitgliedschaften oder andere Hintertüren dauerhaft etablieren. Wird das falsche Backup zu schnell wiederhergestellt, kann dies dazu führen, dass der Angreifer seinen Zugang erneut erhält.

Genau hier weisen viele Resilienzprogramme noch Mängel auf. Sie verfügen zwar über Backup-Richtlinien und möglicherweise sogar über Wiederherstellungshandbücher. Allerdings haben sie noch nicht unter Beweis gestellt, dass Identitäten unter den Belastungen und der Verwirrung einer tatsächlichen Cyberkrise innerhalb eines realistischen Wiederherstellungszeitziels (RTO) einwandfrei wiederhergestellt werden können.

Was Aufsichtsräte die Geschäftsführung derzeit fragen sollten

Wenn die Erklärung der „Five Eyes“ einen Appell an die Führungsetage darstellt, benötigen die Vorstände konkrete Fragen, die sie stellen können. Zu den geeigneten Fragen gehören:

• Können wir Active Directory in einen bekanntermaßen fehlerfreien Zustand zurückversetzen? Eine schnelle Wiederherstellung ist wichtig, doch eine fehlerfreie Wiederherstellung ist noch wichtiger. Führungskräfte sollten sich fragen, wie das Unternehmen sicherstellt, dass der Wiederherstellungspunkt vertrauenswürdig ist und dass keine Daten auf der Identitätsebene nach der Wiederherstellung erhalten bleiben.
• Haben wir die Wiederherstellung im Hinblick auf unser tatsächliches geschäftliches RTO getestet? Ein AD-Wiederherstellungsziel ist nur dann sinnvoll, wenn dabei genügend Identitätsdienste wiederhergestellt werden, um die kritischen Anwendungen und Geschäftsprozesse des Unternehmens zu unterstützen. Die Wiederherstellung eines einzelnen „ domain controller “ ist nicht gleichbedeutend mit der Wiederherstellung des Geschäftsbetriebs.
• Wissen wir, welche Sicherheitslücken im Bereich der Identitätsverwaltung am schwerwiegendsten sind? Die Leitlinien der „Five Eyes“ legen den Schwerpunkt auf grundlegende Kontrollmaßnahmen und die Minimierung von Sicherheitsrisiken. In der Praxis umfasst dies das Verständnis privilegierter Zugriffspfade, veralteter Administratorzugriffsrechte, Fehlkonfigurationen, Delegierungsrisiken sowie schwacher Identitätskontrollen, die Angreifer miteinander verketten können.
• Kann das Einsatzteam die Koordination gewährleisten, wenn identitätsabhängige Systeme nicht verfügbar sind? Ein Notfallplan, der davon ausgeht, dass E-Mail, Dateifreigaben und die normale Kommunikation während eines Ausfalls der Identitätsdienste weiterhin funktionieren, ist unvollständig. Das Krisenmanagement muss unabhängig von den wiederherzustellenden Systemen funktionieren und über eine „Out-of-Band“-Kommunikations- und Koordinationsmöglichkeit verfügen (wie beispielsweise Semperis Ready1), die sicherstellt, dass die Einsatzteams während des gesamten Vorfalls weiterhin zusammenarbeiten können.
• Haben wir dies erst kürzlich ausreichend überprüft? Wenn Annahmen zu Cyberrisiken bereits innerhalb weniger Monate veralten können, darf die Überprüfung der Widerstandsfähigkeit nicht nur eine einmal im Jahr durchgeführte Routinemaßnahme sein. Sie muss häufig genug durchgeführt werden, um die aktuelle Architektur, die aktuellen Abhängigkeiten und die aktuellen Angriffspfade widerzuspiegeln.

Wie sich praktische Bereitschaft äußert

Die gute Nachricht in der Erklärung der „Five Eyes“ ist, dass die Antwort nicht lautet: „Kaufen Sie mehr Werkzeuge.“

Die Behörden weisen die Führungskräfte ausdrücklich auf die Grundlagen, eine disziplinierte Umsetzung und den gezielten Einsatz von KI hin, um die Verteidigung dort zu verbessern, wo sie einen Mehrwert bietet.
In hybriden Identitätsumgebungen umfasst die praktische Einsatzbereitschaft in der Regel mehrere Maßnahmen.

Identitätsangriffspfade reduzieren

Stärken Sie den privilegierten Zugriff, beseitigen Sie unnötige Sicherheitslücken, überprüfen Sie regelmäßig die Berechtigungen und identifizieren Sie risikoreiche Angriffspfade zu Tier-0-Ressourcen, bevor dies ein Angreifer tut.

Verbesserung der Transparenz hinsichtlich identitätsspezifischer Verhaltensweisen

Die allgemeine Protokollierung ist zwar wichtig, doch erfordern Identitätsangriffe häufig einen AD-spezifischen Kontext, um gefährliche Änderungen wie DCSync-Aktivitäten, „Golden Ticket “-Verhalten, Manipulationen an privilegierten Gruppen oder den Missbrauch von „AdminSDHolder“ zu erkennen.

Testen Sie die Wiederherstellung so, wie sie im Geschäftsalltag ablaufen würde

Ein aussagekräftiger Wiederherstellungstest überprüft, ob Identitätsdienste in der richtigen Reihenfolge, mit den richtigen Abhängigkeiten und in ausreichendem Umfang für kritische Vorgänge wiederhergestellt werden. Zudem wird geprüft, ob die Teams unter Druck handlungsfähig sind und während des gesamten Vorfalls effektiv kommunizieren können.

Betrachten Sie Krisenmanagement und Identitätswiederherstellung als untrennbar miteinander verbunden

Die Wiederherstellung der Identität ist nicht nur ein rein technischer Vorgang. Es handelt sich vielmehr um ein Koordinationsproblem, an dem Führungskräfte, Rechtsabteilungen, Infrastrukturteams, Anwendungsverantwortliche, Einsatzkräfte und häufig auch externe Interessengruppen beteiligt sind. Unternehmen, denen beides gut gelingt, erholen sich schneller und mit weniger Chaos.

In welchen Bereichen Semperis als vertrauenswürdiger Berater zum Einsatz kommt

Semperis ist in diesem Zusammenhang besonders wertvoll, wenn das Ziel nicht lediglich darin besteht, ein Produkt zu verkaufen, sondern Unternehmen dabei zu unterstützen, die Lücke zwischen ihren Identitätssicherheitsplänen und der tatsächlich nachgewiesenen Identitätsresilienz zu schließen.

Ein erster Schritt kann darin bestehen, die Sicherheitsrisiken zu erfassen. Semperis bietet kostenlose und praxisorientierte Methoden zur Ermittlung des Ausgangszustands der Identitätssicherheit, darunter Purple Knight die Bewertung häufiger Schwachstellen in AD, Entra ID und Okta sowie Forest Druid zur Identifizierung von Angriffspfaden der Stufe 0.

Die Fachkompetenz von Semperis erstreckt sich auch auf die Bereiche Notfallmanagement und Wiederherstellung. Ihre Identity Forensics sowie das „ Incident Response “ (IFIR) betonen, dass es bei der Wiederherstellung darum geht, das AD in einen malwarefreien, vertrauenswürdigen Zustand zurückzuversetzen, anstatt lediglich die Dienste wieder online zu schalten. Die Wiederherstellungsplanung geht einher mit einer Krisenkoordination, die auch dann verfügbar bleibt, wenn identitätsabhängige Systeme nicht erreichbar sind.

Diese Positionierung ist von Bedeutung, da sie mit den Leitlinien der „Five Eyes“ im Einklang steht. Das strategische Erfordernis besteht nicht darin, mehr Angst zu schüren. Vielmehr geht es um mehr Nachweise –dass grundlegende Kontrollmechanismen wirksam sind, dass die Identität einwandfrei wiederhergestellt werden kann und dass die Organisation den Vorfall bewältigen kann, anstatt mitten im Geschehen improvisieren zu müssen.

Die Vorstände müssen die Identitätswiederherstellung nun validieren

Die wichtigste Herausforderung, die sich aus der Erklärung der „Five Eyes“ ergibt, besteht nicht darin, festzustellen, ob künstliche Intelligenz die Cyberrisiken verändern wird. Dies ist bereits geschehen.

Nun müssen Führungsteams jene Fähigkeit sicherstellen, die im Falle einer Kompromittierung der Identitäten von entscheidender Bedeutung ist: die Fähigkeit, das Active Directory schnell, sauber und mit ausreichender Kontrolle wiederherzustellen, um den Geschäftsbetrieb aufrechtzuerhalten.

Vorstände benötigen keine weitere abstrakte Zusicherung, dass „wir über entsprechende Kontrollmechanismen verfügen“. Sie benötigen den Nachweis, dass die Identitätsresilienz auch unter Druck funktioniert. Unternehmen, die diesen Nachweis erbringen können, sind besser darauf vorbereitet, nicht nur durch KI-beschleunigte Bedrohungen zu überstehen, sondern auch das Vertrauen zu bewahren, wenn es darauf ankommt.

Verwandte Ressourcen

Erklärung der Cybersicherheitsbehörden der „Five Eyes“ | Cyber.gov.au
Der Stand der Identitätssicherheit im Zeitalter der KI
Einführung von KI-Agenten in Ihre Identitätsinfrastruktur
Identitätswiederherstellung und Krisenmanagement: Untrennbar miteinander verbunden für Incident Response
Neugestaltung des Cyber-Krisenmanagements: Warum Pläne scheitern
Die größten Fallstricke bei der manuellen „ AD Forest Recovery “
Minimum Viable Company: Echte Cyber-Resilienz beginnt bei der Identität
Checkliste: Bereiten Sie Ihre Identitätsinfrastruktur auf das Zeitalter der Agenten vor