29 Prozent lassen Cyber-KI autonom handeln – Governance hinkt hinterher

Am 21. Oktober 2026 veröffentlichte PwC Deutschland die deutschen Ergebnisse der Digital Trust Insights 2027: 29 Prozent der Befragten würden KI-Agenten in der Cyberabwehr vollständig eigenständig handeln lassen, 30 Prozent priorisieren verantwortungsvolle KI-Governance und Compliance und 25 Prozent Schutzmechanismen für Sprachmodelle; PwC-Cyberexperte Moritz Anders sagt darin: „KI-Agenten gewinnen in der Cybersecurity schneller an Autonomie, als Unternehmen ihre Governance weiterentwickeln.“

Die Antworten beschreiben eine Bereitschaft zur Freigabe und Schwerpunkte künftiger Investitionen. Sie belegen keinen bereits erfolgten Einsatz vollständig autonomer Agenten. Für IT-Verantwortliche liegt die entscheidende Grenze deshalb bei den Rechten des Agenten: Eine Meldung zu erstellen hat andere Folgen, als ein Konto zu sperren oder ein System vom Netz zu trennen.

Welche Eingriffe die Befragten Agenten zutrauen

Die geplanten Aufgaben reichen von der Dokumentation eines Vorfalls bis zur Änderung laufender Systeme. Der Fachbeitrag von All About Security nennt 42 Prozent der deutschen Befragten, die zumindest risikoarme Aktionen ohne menschliche Freigabe zulassen würden, sowie geplante Einsätze zur Malware-Entfernung und Systemwiederherstellung (51 Prozent), zum Erkennen und Löschen von Phishing-Mails (49 Prozent), zum Erstellen und Eskalieren von Incident-Tickets oder zum Schließen von Lücken und Ändern von Konfigurationen (je 46 Prozent), zum Isolieren betroffener Endgeräte (45 Prozent) und zum Sperren von Konten oder Entziehen von Zugriffsrechten (39 Prozent).

Diese Zustimmung zu Einsatzfeldern ist keine einheitliche Freigabe für jede Handlung innerhalb dieser Felder. Ein zusätzliches Incident-Ticket verändert zunächst den Meldeprozess. Eine automatische Konfigurationsänderung greift dagegen in den Zustand eines Systems ein; eine irrtümliche Kontosperre kann Beschäftigte unmittelbar von benötigten Diensten ausschließen. Auch eine Phishing-Mail zur Prüfung zurückzuhalten und sie endgültig zu löschen sind unterschiedliche Entscheidungen, obwohl beide unter E-Mail-Abwehr fallen können.

Die Unterscheidung zwischen risikoarmen und folgenreichen Aktionen ist in den Antworten bereits angelegt: Für Tätigkeiten mit mittleren oder hohen Auswirkungen soll ein Mensch entscheiden. Offen bleibt, wie einzelne Unternehmen diese Grenze für ihre Systeme ziehen würden. Bei der Isolation eines Endgeräts etwa hängt die mögliche Unterbrechung davon ab, welche Arbeit über dieses Gerät läuft und ob die Trennung rasch rückgängig gemacht werden kann.

Wo die Kontrollprioritäten auseinanderlaufen

Der Rückstand zeigt sich bei ausgewählten Investitionsprioritäten, nicht als Nachweis fehlender Schutzregeln in einzelnen Unternehmen. Bei verantwortungsvoller KI-Governance und Compliance liegt der deutsche Anteil unter dem globalen Wert; dasselbe gilt für die Absicherung von KI-Modellen und für Schutzmechanismen generativer Sprachmodelle. Beim Schutz von Trainingsdaten und bei der kontinuierlichen Kontrolle von Risiken und Compliance liegen die deutschen Antworten dagegen über den weltweiten Werten.

Diese Unterschiede betreffen verschiedene Fragen. Aus der Bereitschaft, Agenten eigenständig handeln zu lassen, und der seltener genannten Governance-Priorität lässt sich daher nicht schließen, dass dieselben Befragten beides angegeben haben. Ebenso wenig verrät eine Investitionspriorität, welche Kontrollen schon bestehen. Die Werte zeigen aber, warum die Freigabe einer konkreten Agentenaktion mehr aussagt als ein allgemeines Bekenntnis zu autonomer Cyberabwehr.

Für einen Agenten mit Änderungsrechten muss feststehen, auf welche Systeme sich sein Auftrag erstreckt, welche Aktion eine menschliche Entscheidung auslöst und wie der Ablauf später rekonstruiert werden kann. Gerade bei Malware-Entfernung, Konfigurationsänderungen und Kontosperren kann dieselbe Automatisierung eine Reaktion beschleunigen und bei einer falschen Entscheidung den Betrieb stören. Diese Abwägung betrifft die jeweilige Berechtigung, nicht allein die Leistungsfähigkeit des zugrunde liegenden Modells.

Was die deutsche Stichprobe trägt

Die Methodik im Bericht von Digital Business nennt 3.934 befragte Führungskräfte aus 71 Ländern und Territorien, darunter 277 Personen in Deutschland; die Befragung lief von Mai bis Juli 2026, und rund 65 Prozent der deutschen Teilnehmenden kamen aus Technologie-, rund 35 Prozent aus Business-Funktionen.

Die deutschen Zahlen sind damit eine gesonderte Auswertung von Führungskräfteantworten. Die Zahl der Antworten variiert zwischen Fragen, weil nicht jede Frage allen Funktionsgruppen gestellt wurde. Besonders bei Vergleichen einzelner Prozentwerte ist deshalb Vorsicht geboten: Sie beschreiben Prioritäten und mögliche Freigaben innerhalb der jeweiligen Frage, keine gemeinsame Messung des tatsächlichen Agenteneinsatzes oder seiner Fehlerquote.

Auch der Vergleich mit den weltweiten Antworten hat eine Grenze. Er zeigt, wo die befragten deutschen Führungskräfte andere Schwerpunkte setzen, erklärt aber nicht, wodurch diese Unterschiede entstehen. Unternehmensgröße, bestehende Sicherheitsarchitektur und die konkrete Bedeutung von „eigenständig handeln“ für einen Betrieb lassen sich aus den veröffentlichten Einzelwerten nicht zusammenführen.

Eine Risikomatrix für Agentenrechte

Die genannten Aufgaben lassen sich nach möglicher Auswirkung und Umkehrbarkeit ordnen. Die folgende Matrix ist eine redaktionelle Einordnung der Einsatzfelder, keine zusätzliche Kategorie der Befragung. Sie trennt vor allem die Entscheidung, einen Agenten für eine Aufgabe vorzusehen, von der Entscheidung, ihm die nötigen Rechte ohne Einzelfreigabe zu geben.

• Reversible Routine: Ein Agent legt ein Incident-Ticket an, ergänzt Hinweise oder leitet einen Verdacht zur Prüfung weiter. Eine solche Aktion sollte mit begrenzten Rechten und einem nachvollziehbaren Protokoll verbunden sein. Eine menschliche Freigabe für jeden Eintrag wäre weniger entscheidend als die Möglichkeit, Fehler zu erkennen und zu korrigieren.
• Privilegierte Änderung: Das Schließen einer Sicherheitslücke, eine neue Konfiguration oder die Isolation eines Endgeräts verändert Schutz und Erreichbarkeit. Vor der Ausführung sollten Umfang und betroffene Systeme feststehen. Je größer die mögliche Unterbrechung, desto wichtiger werden menschliche Freigabe, Protokollierung und eine zuvor geklärte Rücknahme.
• Potenziell geschäftskritischer Eingriff: Eine Kontosperre, der Entzug von Zugriffsrechten oder die Segmentierung von Netzwerkverkehr kann legitime Arbeit unmittelbar unterbrechen. Hier sollte eine automatische Ausführung auf eng definierte Bedingungen begrenzt sein; außerhalb dieser Grenzen entscheidet ein verantwortlicher Mensch vor dem Eingriff.

Ein Agent kann innerhalb derselben Aufgabe von der ersten in die dritte Risikostufe geraten: Eine Meldung über ein verdächtiges Konto ist etwas anderes als dessen Sperrung. Für die spätere Aufklärung eines Fehlers zählt deshalb, welche konkrete Aktion freigegeben war, welches System sie betraf und ob sich ihr Ergebnis zurücknehmen ließ.

Lesen Sie auch:

• Claude führt 26 Prozent der Modellforschung – autonom ist es noch nicht
• 39 Prozent erwarten KI-Stellenabbau – im Vorjahr trat er weit seltener ein
• Die US Army vergibt KI-Agenten feste Cyber-Jobs – Menschen tragen das Risiko