Programmierer, so lautet ein populäres Bonmot, sind Maschinen, die Koffein in Code verwandeln. Das trifft auch auf viele andere Freiberufler zu. Der hohe Koffeinbedarf hängt damit zusammen, dass Freelancer allzu oft genau dann arbeiten, wenn ihr Gehirn sich lieber auf Stand-by schalten und zur Ruhe begeben möchte, nämlich nachts.

Sogar ein Buch gibt es schon, das sich mit diesem Phänomen und seinen Ursachen beschäftigt (“Why Programmers work at Night“). Gesund ist die Nachtarbeit nicht, ebenso wenig wie das ständige Zuviel an Arbeit und ein paar andere Arbeits- und Lebensgewohnheiten, die vielen Freiberuflern zu eigen sind.

Work-Life-Balance in Schieflage geraten

Nach Ansicht von Karol Krol, einem polnischen Blogger, Programmierer und Internetunternehmer, stehen viele Freelancer kurz vor dem Burnout, ohne es zu merken. Wir sagen Freiberuflern, woran sie feststellen können, dass ihre Work-Life-Balance bedrohlich in die Schieflage geraten ist.

1. Sie arbeiten oft bis spät in die Nacht

Menschen sind keine Eulen und keine Fledermäuse, sondern biologisch eindeutig tagaktive Tiere. Sie sehen gut am Tag und schlecht in der Nacht. Sich einzureden, man sei nachts am produktivsten oder könne nachts “einfach am besten arbeiten”, ist in aller Regel Selbstbetrug. Wer nachts kein Ende findet, hat entweder insgesamt zu viel Arbeit oder schafft es nicht, sich tagsüber Ablenkungen zu entziehen.

2. Sie kommen morgens nicht in Gang

Natürlich: Kalt duschen, ein schneller Kaffee und 20 Minuten nach dem Weckerklingeln am Schreibtisch sitzen – das schaffen die wenigsten. Aber wer auch zwei oder drei Stunden nach dem Aufstehen nicht in der Lage ist, die ersten Dinge auf der To-do-Liste anzugehen, hat ein Problem. Ein Grund kann – natürlich – chronische Müdigkeit sein, ein anderer die Tatsache, dass Sie Ihren Arbeitstag nicht als begrenztes, achtstündiges Gebilde betrachten. Sie sind eigentlich immer im Arbeitsmodus – und haben deshalb auch nie Freizeit.

3. Sie haben keine Zeit für Entspannung

Nie abzuschalten, ist hochgradig gesundheitsgefährdend. Gerade Menschen, die grundsätzlich viel leisten können und wollen, brauchten unbedingt Erholungsphasen, damit ihre Kraft erhalten bleibt. Dabei genügt es nicht, auf dem Sofa zu liegen und über den nächsten Job nachzudenken. Denn auch das Gehirn braucht Entspannung. Wer es ihm nie gönnt, ist allein schon deshalb ein Burnout-Kandidat.

4. Ihre Standardantwort ist: Keine Zeit!

Wie oft haben Sie zuletzt gesagt: “Ich kann nicht, bin gerade im Stress!”, wenn ein Freund mit Ihnen ein Bier trinken gehen wollte? Wenn Sie seit drei Wochen oder mehr außer Arbeiten nichts gemacht haben, dann stimmt etwas nicht. Ein Leben, das ausschließlich aus Arbeit besteht, kann nicht Ihr Ziel sein.

5. Jobs werden nicht pünktlich fertig

Das kann natürlich ganz unterschiedliche Gründe haben: insgesamt zu viel Arbeit, schlechte Organisation, schlechtes Briefing durch den Auftraggeber etc.
Der häufigste und gefährlichste Grund hängt allerdings eng mit Punkt zwei dieser Liste zusammen: Dadurch, dass sie immer im Arbeitsmodus sind und ihr Arbeitstag gefühlt 24 Stunden hat, gaukelt das Unterbewusstsein Ihnen vor, Sie hätten für alles unendlich viel Zeit. Also gibt es auch keinen Grund, sofort mit irgendwas anzufangen.

6. Keine Zeit für eigene Projekte

Freiberufler zu sein bedeutet, Freiheiten zu haben. Zum Beispiel die, neben den Jobs für Ihre Kunden eigene Projekte anzuschieben. Doch ein solches Projekt zu starten ist eine Sache, es anschließend auch durchzuziehen, eine andere. Wenn Sie mindestens ein Projekt haben, an das Sie glauben, das aber schon seit einem halben Jahr darauf wartet, weiterverfolgt zu werden, sollten Sie sich fragen, warum Sie ursprünglich gerne Freiberufler sein wollten.

7. Sie haben keine Hobbys

Oder doch, haben Sie natürlich schon, aber Sie kommen schon ewig nicht mehr dazu. Das Klavier ist seit einem Jahr so verstimmt, dass es keinen Spaß mehr macht. Den Klavierstimmer anrufen? Keine Zeit. Siebzig Euro kostet der Fitness-Club Sie jeden Monat, aber Sie haben keine Ahnung, wann Sie zuletzt dort waren.

8. Sie lesen fast nie mehr ein Buch

Klar, auch viele Angestellte tun das nicht. Aber für fast alle fällt Lesen in die Rubrik: Dinge, die ich schon lange mal wieder tun wollte. Wer Bücher liest, beweist sich selbst, dass er zumindest gelegentlich gerne auf andere Gedanken kommen möchte. Und dass er entschlossen ist, sich auch mal zu entspannen.

9. Freundschaften schlafen ein

Mehrere Menschen, die Ihnen lieb und teuer sind, haben Sie seit Monaten nicht mehr gesprochen. Nehmen Sie sich vor, einmal pro Woche zum Hörer zu greifen und Menschen anzurufen, die ihnen wichtig sind. Oder die Ihnen mit gutem Grund einmal wichtig waren.

Stress

… und ziehen Sie Yoga und weitere Meditationsübungen in Betracht. Diese Übungen sind die besten Mittel gegen Stress und tragen dazu bei, Stressgefühle abzubauen. Ganz abgesehen vom gesundheitlichen Nutzen dienen die Trainings auch dazu, den Stress besser zu managen.

Obwohl wir natürlich seit unserer Geburt atmen, wissen die meisten von uns nicht, wie man richtig atmet. Viele atmen in einer oberflächlichen Art und Weise – besonders in stressbetonten oder unruhigen Zeiten. Tiefes Atmen durch den Bauch kann zur inneren Ruhe beitragen. Und es hilft, in unbequemen und angespannten Situationen einen kühlen Kopf zu bewahren.

Wer sich die Zeit nimmt um darüber zu sprechen, wie die vielen Veränderungen und Schwierigkeiten am Arbeitsplatz die einzelnen Mitarbeiter bewegen, kann die Arbeitsmoral heben. Es ist ein Fehler zu glauben, Menschen seien nicht verängstigt und besorgt und der Arbeitsplatz sei davon nicht betroffen.

Die Zeiten sind angespannt und schwierige Veränderungen in Organisationen sind die Regel. Daher sind Ehrlichkeit, Glaubwürdigkeit und Offenheit so wichtig. Heute ist es mehr als je zuvor entscheidend, eine positive Einstellung in der Belegschaft auszulösen. Stellen Sie Fragen, die zu Lösungen ermuntern wie “Was läuft heute gut, was sind unsere Stärken, wie möchten wir, dass dieses Unternehmen aussieht?”

Leute arbeiten intensiver für das, woran sie glauben und was sie zur Schaffung beigetragen haben. Das ist ein entscheidender Punkt, der während einer tiefgreifenden Umgestaltung am Arbeitsplatz geprüft werden muss. Was das mögliche Ausmaß des Arbeitsplatz-Wandels betrifft, sollten Mitarbeiter frühzeitig in die Entwicklung einbezogen werden.

Bücher, Gruppen, Familie und enge Freunde sowie Trainer können wichtige Quellen sein, um sich den eigenen Gefühlen bewusster zu werden. Auch kann man dadurch leichter lernen, mit diesen Gefühlen umzugehen, um sich über sein Verhalten im Klaren zu werden. Besonders sollte man darauf achten, wie man andere Menschen anspricht.

Was man tut oder lässt, hat direkten Einfluss darauf, was Mitarbeiter glauben, was akzeptabel ist. Seien Sie ein überzeugendes Beispiel dafür, dass ein ausgeglichenes Verhältnis zwischen Beruf und Privatleben von Bedeutung ist. Essen Sie mit anderen zu Mittag und motivieren Sie Kollegen dazu mitzukommen. Auch Spaß und Lachen am Arbeitsplatz sind erwünscht, da dies Stress reduzierende Faktoren sind.

Wer sich immer nur auf das Negative konzentriert, tut weder seiner Gesundheit noch seiner Denkweise einen Gefallen. Und seien wir ehrlich: Der Anteil an positiven und erbaulichen Geschichten in den Nachrichten fällt eindeutig spärlich aus. Es ist extrem wichtig, sich so gut wie möglich von jeglichem Trübsal abzukapseln und wieder mit Leuten Kontakt aufnehmen bzw. Dinge zu tun, die Spaß machen.

Konzentrieren Sie sich auf den Kern Ihrer Arbeit. Jetzt ist Zeit, mit den Mitarbeitern Prioritäten zu setzen und sich darüber Gedanken zu machen, welche Projekte einen perfekten Lösungsansatz erfordern. Nicht jedes Projekt kann an oberster Stelle stehen. Gerade in wirtschaftlich angespannten Zeiten sind Brainstorming-Sitzungen wichtiger denn je.

Deutschland steht unter Zeitdruck. Diesen Eindruck vermittelt die Studie „The accelerating impact of AI on campus and branch networks“. Demnach haben hiesige Unternehmen nur noch etwa 24 Monate Zeit, bevor ihre Netzwerkkapazitäten mit der KI-Nutzung nicht mehr Schritt halten.

Im Rahmen der Studie wurden 3.472 CIOs sowie Führungskräfte aus den Bereichen Netzwerk, End User Computing und Technologie in Asien-Pazifik, Europa, dem Nahen Osten, Lateinamerika und Nordamerika befragt. Darunter waren 200 aus Deutschland. Die Befragten arbeiten in Organisationen mit mehr als 500 Mitarbeitern. Die gemeinsam von Foundry und Cisco konzipierte sowie von Cisco gesponsorte Untersuchung wurde zwischen März und April 2026 durchgeführt.

Kollaps in zwei Jahren

Die gewonnen Zahlen sind alarmierend: 67 Prozent der deutschen Betriebe erwarten, dass ihre Netze innerhalb der nächsten zwei Jahre an ihre Grenzen stoßen werden. Ganze 84 Prozent geben offen zu, dass sie massive Upgrades benötigen, um mit dem explodierenden Datenwachstum Schritt zu halten.

Dabei ist KI längst kein Zukunftsszenario mehr. In deutschen Unternehmen ist sie im Arbeitsalltag angekommen:

• GenAI (etwa Chatbots) wird bereits bei 36 Prozent unternehmensweit eingesetzt.
• Agentic AI zur Automatisierung von Prozessen folgt mit 32 Prozent.
• Physical AI, etwa in der Robotik, liegt bei 25 Prozent.

Daten-Tsunami durch KI

Diese zunehmende KI-Nutzung bringt jedoch ein Problem mit sich: Der dadurch verursachte Datenverkehr wird sich, so die Studie, in den kommenden drei Jahren mehr als verdreifachen (ein Plus von 214 Prozent). Auf diesen Tsunami sind gerade einmal 16 Prozent der deutschen Unternehmen vollumfänglich vorbereitet.

Aber warum bringen die neuen KI-Anwendungen die Infrastruktur so ins Schwitzen? Der Grund liegt in der Arbeitsweise der KI. Im Gegensatz zu einem menschlichen Nutzer, der gelegentlich eine Webseite aufruft, lösen KI-Agenten in Sekundenschnelle Dutzende von API-Aufrufen und Datenbankabfragen aus. Workloads, die keine Fehler verzeihen. Sie reagieren extrem empfindlich auf Latenz, Bandbreitenmangel und Paketverluste.

Kritische Lage in der Industrie

Besonders entscheidend für die Wertschöpfung, Exportkraft und Produktivität in Deutschland ist die Industrie. Gemäß dem kürzlich von Cisco veröffentlichten State of Industrial AI Report setzt zwar ein Fünftel der deutschen Unternehmen KI großflächig und ausgereift in laufenden Industrieprozessen ein. Viele Unternehmen stoßen jedoch durch fehlende Voraussetzungen insbesondere bei Netzwerkinfrastruktur, Cybersicherheit und IT/OT-Betriebsmodellen an ihre Grenzen. Dies gilt insbesondere, wenn KI in Echtzeit in der Produktion eingesetzt wird. Entsprechend benötigt vor allem die Industrie eine moderne und skalierbare Infrastruktur, denn mit KI wird die Netzwerkkapazität Teil der realen Wertschöpfung.

Wenn KI für Deutschland wirklich eine zweite Chance ist, Versäumnisse der Digitalisierung aufzuholen, wie Uwe Peter, Geschäftsführer von Cisco Deutschland, postuliert, dann besteht Handlungsbedarf. So fordert Peter: „Deutschland muss jetzt dringend in KI-fähige und schnell skalierbare Netzwerke investieren, um weiterhin wettbewerbsfähig zu bleiben. Ansonsten droht unserem Wirtschaftsstandort gerade im Vergleich zu anderen Industrienationen ein erheblicher Rückstand.“

Der weltweite Vergleich

Eine Gefahr, die die Studie zu belegen scheint. So sehen weltweit 23 Prozent (hierzulande 16 Prozent) der Unternehmen ihre Netzwerkinfrastruktur vollständig für die KI-Zukunft gerüstet. Und lediglich bei 76 Prozent (Deutschland 84 Prozent) der globalen Unternehmen sind Upgrades erforderlich. Bei der unternehmensweiten KI-Nutzung liegt der weltweite Durchschnitt aktuell in allen drei Bereichen vor Deutschland:

• Generative KI 51 Prozent,
• Physical AI 28 Prozent
• und Agentic AI 33 Prozent.

Ein Flaschenhals ist oft das Funknetz. Die Hälfte der Unternehmen nennt WLAN als den Bereich mit dem größten Kapazitätsbedarf. Hier entbrennt derzeit ein politischer Richtungsstreit um das 6-GHz-Band. Während Experten fordern, dieses Frequenzband für WLAN freizugeben, um die nötigen Kapazitäten für KI zu schaffen, empfiehlt ein EU-Beratungsgremium aktuell die Priorisierung des Mobilfunks.

„Spektrumspolitik ist heute Industriepolitik“, kritisiert denn auch Peter. So stehe für Deutschland viel auf dem Spiel: Bis zum Jahr 2030 könnten der Industrie 13,7 Milliarden Euro verloren gehen, wenn das Spektrum nicht rechtzeitig für WLAN-Anwendungen zugänglich gemacht werde.

Ein Cyber Risk Assessment unterstützt dabei, potenzielle Bedrohungen und Schwachstellen für wichtige digitale und physische Unternehmens-Assets zu identifizieren, zu bewerten und zu priorisieren. Trotzdem stolpern in diesem Zusammenhang immer noch viele CISOs und Sicherheitsentscheider über Fallstricke, die sie daran hindern, ihre Risk-Assessment-Ziele vollumfänglich zu erreichen.

Welche das konkret sind und wie man sie gewissenhaft meidet, haben wir im Gespräch mit Security-Experten herausgefunden.

1. Einfach nur abhaken

Die wohl größte Falle im Zusammenhang mit Risk Assessments besteht darin, diese als Checkliste zu behandeln – statt als Entscheidungshilfe, die mit realem Business Impact oder Threat-Szenarien verknüpft ist. Shirsendu Mondal, Security-Forscher an der University of North Carolina, klärt auf: „Wenn sich Ihre Risikobewertung nur noch darum dreht, irgendwelche Kästchen abzuhaken, verlieren Sie die Fähigkeit, die tatsächlichen Risiken einer Umgebung zu Tage zu fördern. Das Ziel eines solchen Assessments sollte jedoch sein, aufzudecken, an welchen Stellen tatsächlich eine Gefährdungslage besteht.“ 

Der beste Weg, diese „Selbstzufriedenheits“-Falle zu umgehen, besteht laut dem Forscher darin, einen kontextorientierten Ansatz zu fahren: „Fragen Sie konkret danach, wo sich die betreffende Ressource befindet, wer darauf zugreifen kann, welche Daten sie berührt, wie wichtig sie für den Betrieb ist und was passiert, wenn sie ausfällt. Risiken sollten stets mit den geschäftlichen Auswirkungen korreliert werden – nicht bloß mit technischen Erkenntnissen.“

Eben, weil Risiken seiner Ansicht nach mehr sind als nur technische Probleme, empfiehlt Mondal Security-Entscheidern, andere Führungskräfte aus dem Unternehmen in das Security-Gefüge zu integrieren – etwa aus der IT und dem Betrieb.

2. Ergebnisse schönreden

Besonders in schwierigen Zeiten ist es das A und O, den Stakeholdern (und sich selbst) gegenüber ehrlich zu sein. Diese Auffassung vertritt auch Pablo Riboldi, CISO beim Softwareunternehmen BairesDev: „Wenn die Ergebnisse entmutigend sind, sollte man einfach zugeben, dass sich die Bedrohungslage deutlich schneller entwickelt hat, als über das bisherige Bewertungs-Framework abzusehen war.“

Anstatt einfach nur Schwachstellen-Listen zu übergeben, rät Riboldi dazu, konkrete Angriffsszenarien abzubilden: „Zum Beispiel, indem Sie die drei kritischsten Assets priorisieren und ein eingehendes Risk Assessment durchführen. So lässt sich auch ein unmittelbarer Mehrwert demonstrieren.“

3. Scope falsch einschätzen

Nicht wenige CISOs sichern Dokumentenkontrollen ab, haken Compliance-Checkboxen ab und erstellen ein Risikoregister, das den Eindruck vermittelt, dass alles in Ordnung ist. Der Schein trügt jedoch des Öfteren, wie Denis Calderone, CTO beim Sicherheitsdienstleister Suzu Labs, aus eigener Erfahrung weiß: „In solchen Fällen kommt es nicht selten vor, dass sich niemand die Mühe gemacht hat, zu testen, ob diese Kontrollen tatsächlich funktionieren. Oder, ob der Scope der Risikobewertung auch das abdeckt, worauf es wirklich ankommt.“

Der Technologieentscheider hat dazu auch ein Beispiel aus der Praxis auf Lager: „Wenn das Risk Assessment die Produktionsserver und das Unternehmensnetzwerk umfasst, der alte Dev-Rechner, ein Drittanbieter-Portal oder ein verwaister API-Endpunkt dabei aber außen vor bleiben, ist das ungünstig. Angreifer betrachten die gesamte Umgebung und finden genau den Einstiegspunkt, der zuvor als nicht bewertungswürdig erachtet wurde.“

Künstliche Intelligenz (KI) verschlimmere die Situation laut Calderone noch: Unternehmen setzten vielfach KI-Tools ein, verknüpften diese mit internen Systemen und gewährten ihnen Zugriff auf sensible Daten – ohne dass das in die Risikobewertung einfließe. Der Experte warnt: „Wenn Ihr Risk Assessment aufgesetzt wurde, bevor Ihr Unternehmen damit begonnen hat, KI in Workflows zu integrieren, ist es bereits veraltet.“

4. Annahmen nicht hinterfragen

Wenn sich die Zielsetzung einer Risikobewertung in Richtung „Hauptsache bestanden“ verschiebt, stellt das vielleicht Auditoren zufrieden. Die Unternehmensleitung könnte dadurch jedoch in die Irre geführt werden, wie Amit Basu, CIO und CISO beim Schifffahrtsunternehmen International Seaways, erklärt: „Führungskräfte und Vorstandsmitglieder sehen ein fertiges Risikoregister und gehen davon aus, dass das Unternehmen geschützt ist. Unterdessen bleiben echte Bedrohungen unberücksichtigt, weil sie nicht nahtlos in den Bewertungsrahmen passten. Dieser Fallstrick ist unsichtbar – er verbirgt sich hinter einem Dashboard.“

Nach Ansicht von Basu ist ein Risk Assessment nur so gut, wie die ihm zugrundeliegenden Annahmen: „Diese sollten Sie explizit dokumentieren und immer dann überprüfen, wenn sich das Business verändert, eine Bedrohungslage verschiebt oder ein Sicherheitsvorfall eine Lücke zu Tage fördert.“

Ein Risk Assessment, so der CISO, sei nicht als fertiges Produkt zu betrachten, sondern als lebendiger Beitrag zu einem fortlaufenden Dialog zwischen Security-Abteilung und Unternehmen.

5. Risiken nicht mit Impact verknüpfen

Probleme in den Hintergrund zu rücken oder herunterzuspielen, fällt deutlich leichter, wenn man den Zusammenhang zwischen Risiko und Business einfach ausblendet. Das erkennt auch Dan Moore, Senior Director of Strategy and Identity Standards beim CIAM-Spezialisten FusionAuth, an. Er warnt jedoch vor den Folgen dieses Gebarens: „So wird es sich diffizil gestalten, tatsächliche Risiken zu kommunizieren. Schlimmer noch: Es liefert den Mitgliedern des Security-Teams einen Vorwand, sich darüber zu beschweren, dass sie missverstanden oder nicht wertgeschätzt werden – und das beeinträchtigt die Effektivität des Teams.“

Der Manager erachtet es als wichtig, stattdessen konkret zu sein und zielgerichtet vorzugehen: „Verzichten Sie auf Angaben wie eine Patch-Compliance von 95 Prozent. Sprechen Sie stattdessen über das Risiko, das nicht gepatchte Systeme für das Unternehmen darstellen.“

Dabei seien manchen Systemen – etwa Legacy-Konstrukten, die nicht mit dem Internet verbunden sind – geringere Risiken inhärent als anderen, selbst wenn sie dieselben Patch-Probleme aufwiesen, meint Moore und empfiehlt, diese Tatsache anzuerkennen und die Reaktion entsprechend abzuwägen.  

6. Compliance mit Security verwechseln

„Compliance allein ist weder ein Garant für robuste Security, noch erfüllt sie die Mindestanforderungen für einen wirksamen Schutz“, hält Adriel Desautels, CEO der Security-Beratung Netragard, fest.

Unternehmen gerieten demnach besonders oft in diese Falle, wenn sie für Penetrationstests externe Firmen beauftragten, die sich auf Compliance konzentrieren und gleichzeitig „erstklassige Dienstleistungen“ versprechen. „In Wahrheit liefern diese oft automatisierte Scans, die als manuelle Tests getarnt sind“, meint Desautels.

Das Ergebnis sei ein falsches Sicherheitsgefühl, warnt der Manager: „Vergegenwärtigen Sie sich einfach, dass bei jedem größeren Sicherheitsvorfall der letzten zehn Jahre eine Organisation beteiligt war, die zum Zeitpunkt des Angriffs alle Compliance-Vorgaben erfüllt hatte.“

7. Risiken nicht vollständig verstehen

Unternehmen betrachten Risk Assessments oft als eine Art „Schwachstellenkatalogisierung“, bei der es darum geht, Lücken zu finden, Schweregrade zu erfassen und Audits zu bestehen. Letzteres heißt allerdings nicht, dass die Risiken auch verstanden wurden.

Geht es nach Safi Raza, Senior Director for Cybersecurity bei Fusion Risk Management, sollten sich CISOs darauf konzentrieren, technische Risikosignale mit betrieblichen Folgen zu verknüpfen: „Dazu muss man verstehen, welche Services betroffen sind, wie sich Störungen ausbreiten und was das für den Umsatz, die Kunden oder regulatorische Verpflichtungen bedeutet.“

Der Experte rät in diesem Zusammenhang dazu, zunächst von statischen Bewertungen zu einer kontinuierlichen, kontextbezogenen Risikotransparenz überzugehen, um sicherzustellen, dass Risiken nicht nur technisch verstanden werden.“ (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Was ist Claude Mythos?

Claude Mythos ist ein KI-Modell, das von Anthropic entwickelt wurde und für Anwendungen in den Bereichen Cybersicherheit und Gesundheitswesen optimiert ist. Ursprünglich wurde Mythos 5 im April einer kleinen Gruppe geprüfter Technologiepartner zugänglich gemacht – im Vorfeld eines geplanten, breiter angelegten Rollouts.

Zu diesem Zweck rief das KI-Unternehmen das Projekt „Glasswing“ ins Leben, ein Konsortium, das Infrastrukturanbietern, Open-Source-Entwicklern und großen Technologieunternehmen einen begrenzten, kontrollierten Zugriff zu Mythos gewährt. Ziel der Initiative ist es, Verteidigern zu ermöglichen, Schwachstellen schneller aufzuspüren und zu beheben, als Angreifer sie identifizieren können. Das erscheint auch dringend notwendig, setzen diese doch zunehmend selbst auf KI-gestützte Werkzeuge.

Über welche Fähigkeiten verfügt Claude Mythos?

Die ersten 50 Partner von Project Glasswing konnten mithilfe von Mythos mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in allen gängigen Betriebssystemen und Webbrowsern aufspüren.

So identifizierte das Modell Sicherheitslücken, die selbst den fähigsten Sicherheitsforschern jahrelang entgangen waren – etwa einen 27 Jahre alten Fehler in OpenBSD. Zudem hat Mythos bewiesen, dass es mehrere Schwachstellen miteinander verknüpfen kann.

Wie schränkt Anthropic den Zugang zu Claude Mythos ein?

Anthropic teilte bei der Vorstellung von Claude Mythos mit, es schränke die Verfügbarkeit des Spitzen-KI-Modells bewusst ein, da dessen Fähigkeiten von Angreifern leicht missbraucht werden könnten.

Im Juni wurde die Technologie dann für weitere 150 Organisationen freigegeben. Alle Mythos-Partner müssen hierbei aber zustimmen, dass ihre Daten 30 Tage lang zu Sicherheitsüberwachungszwecken gespeichert werden.

Am 15. Juni verhängte die Trump-Regierung allerdings Exportbeschränkungen für Claude Fable 5 und Claude Mythos 5. Diese sollten ausländischen Staatsangehörigen sowohl innerhalb als auch außerhalb der USA den Zugang verwehren. Am 30. Juni wurden die Beschränkungen jedoch bereits wieder aufgehoben.

Was ist Claude Fable?

Für einen breiteren Einsatzbereich bietet Anthropic Claude Fable 5 an. Das Modell basiert auf derselben technischen Grundlage wie Mythos. Es verfügt jedoch über strenge Sicherheitsmechanismen, die den Betrieb in als „riskant“ eingestuften Bereichen der Cybersicherheit einschränken. Alle als problematisch deklarierten Anfragen werden stattdessen automatisch an das ältere und weniger leistungsfähige Large Language Model (LLM) Opus 4.8 weitergeleitet.

Wie nutzen Security-Partner von Anthropic den Zugriff auf Mythos?

Cisco, einer der Projekt-Glasswing-Partner, hat seine „Foundry Security Spec“ als Open-Source-Lösung veröffentlicht. Hierbei handelt es sich um ein modellunabhängiges Framework für Sicherheitstests, das es anderen Anbietern und Sicherheitsexperten in Unternehmen ermöglichen soll, ähnliche Arbeitsabläufe zu entwickeln, ohne bei Null anfangen zu müssen.

Vor kurzem betonten Vertreter von Cisco auf einer Online-Veranstaltung, dass Verteidiger KI nutzen können, um Sicherheitsprobleme wesentlich schneller und in größerem Umfang zu identifizieren, zu bestätigen und zu beheben. Ältere Modelle, die nach dem Prinzip „eine Schwachstelle finden und patchen“ funktionieren, seien nicht mehr zeitgemäß. Dies liege daran, dass Angreifer KI einsetzen, um den Weg von der Entdeckung einer Schwachstelle bis zu deren Ausnutzung zu beschleunigen. Cisco wiederum setzt KI intern bereits in der Defensive ein, um 1,8 Milliarden Zeilen Code im gesamten Produktportfolio zu scannen.

Gleichzeitig betonen die Experten, dass kleinere Unternehmen keinen Zugriff auf eingeschränkte KI-Modelle benötigen, um ihre Sicherheit zu verbessern. In solchen Betrieben lasse sich stattdessen mehr erreichen, indem grundlegende Sicherheitsmaßnahmen optimiert werden. Hierzu zählen laut Cisco unter anderem Authentifizierung, Netzwerk-Segmentierung, Zero Trust und die Behebung aktiv ausgenutzter Schwachstellen.

Bieten andere KI-Anbieter etwas Vergleichbares zu Claude Mythos an?

Mythos ist das prominenteste Beispiel für Frontier-KI-Modelle. Mit ihnen kann die Suche nach Zero-Day-Lücken in einem Tempo und Ausmaß automatisiert werden, die weit über die Fähigkeiten menschlicher Teams hinausgeht.

Allerdings arbeiten auch etliche andere Anbieter an hochleistungsfähigen, auf Sicherheit ausgerichteten „Frontier“-KI-Modellen. Zudem gibt es andere leistungsstarke Open-Source-Modelle, die sich problemlos für die Cybersicherheitsforschung nutzen lassen. Claude Mythos ist also bei weitem nicht die einzige verfügbare Option.

So werden beispielsweise die Modelle GPT-5.4-Cyber sowie GPT-5.5 von OpenAI genutzt, um Schwachstellen zu erkennen und zu analysieren. Auch in der Malware-Analyse und der Bedrohungsmodellierung kommen sie zum Einsatz. Zugang zu diesen Technologien können Sicherheitsanbieter, Unternehmen und Forscher über das Programm „Trusted Access for Cyber“ (TAC) von OpenAI erhalten.

Zusätzlich hat das chinesische Cybersicherheitsunternehmen 360 Security Technology mit Tulongfeng ein System entwickelt, das als Gegenstück zu Anthropics „Mythos“ beschrieben wird.

Privat lassen sich leistungsstarke offene Modelle – darunter DeepSeek V3.2 von DeepSeek und Llama 4 von Meta – auf GPU-Infrastrukturen betreiben und in der Cybersicherheitsforschung einsetzen. Fugu des japanischen Anbieters Sakana AI ist eine weitere Option in dieser Kategorie.

Was kritisieren Cybersicherheitsexperten an Claude Mythos?

Kritiker aus dem Cybersecurity-Bereich räumen ein, dass Claude Mythos zweifellos hochentwickelt sei. Die Marketing-Behauptung, wonach es zuverlässig produktive IT-Systeme lahmlegen könne, übersteige jedoch die tatsächlichen Fähigkeiten.

Darüber hinaus beklagen sich Sicherheitsexperten – etwa in Podcasts – über die übertrieben restriktiven Sicherheitsmechanismen von Claude Fable: Bereits Anfragen, einen sicherheitsrelevanten Blogbeitrag zusammenzufassen oder sogar das Wort „Exploit“ zu buchstabieren, würden auf das deutlich schwächere Modell Opus 4.8 zurückgestuft. Dadurch würden selbst alltägliche Aufgaben in der Informationssicherheit unnötig erschwert.

Andere Experten warnen davor, dass Frontier-KI-Modelle anfällig für False Positives seien. Eher grundsätzlich ist die Kritik, dass das schnellere Aufspüren von mehr Schwachstellen das eigentliche Problem nicht löst, nämlich zuverlässig Sicherheitslücken zu beheben oder nicht-technische Angriffsvektoren wie Social Engineering zu verhindern.

Wie sollten CISOs auf Mythos reagieren?

Die Nachrichtendienste der „Five Eyes“ (USA, Großbritannien, Kanada, Australien und Neuseeland)  warnen davor, dass hochmoderne KI-Modelle wie Claude Mythos „sowohl offensive als auch defensive Cyber-Fähigkeiten grundlegend verändern werden“ – und zwar in einem Zeitraum von Monaten statt Jahren.

„Während KI uns dabei helfen wird, die Cyberabwehr im Laufe der Zeit zu verbessern, erhöht sie zugleich Geschwindigkeit, Ausmaß und Raffinesse von Cyberbedrohungen“, heißt es in der Erklärung der Gruppe. Unternehmen sollen daher KI nutzen, um ihre Abwehrmechanismen im Rahmen umfassenderer Strategien zur Stärkung der Cybersicherheits-Resilienz zu verbessern.

Die meisten Unternehmen seien jedoch bei weitem noch nicht darauf vorbereitet, was dies für ihre Bedrohungsmodelle bedeutet, warnt ein Experte. „Wir verfügen heute über KI-Systeme, die realistische Angriffswege über Software, Anbieter und kritische Infrastrukturen hinweg schneller abbilden können, als menschliche Angreifer sie erfassen können“, erläutert Joe Hubback, Partner und CISO beim Beratungsunternehmen Elixirr sowie ehemaliger McKinsey-Partner. Dadurch, dass „Fähigkeiten der ‚Mythos-Klasse‘ vor der breiten kommerziellen Einführung stünden, handle es sich nicht mehr um „ein Nischenproblem der Forschung“, ergänzt er. Vielmehr sei es jetzt ein Faktor, den jedes Unternehmen in sein Bedrohungsmodell einbeziehen müsse, so der Experte.

Auch ein Bericht der Cloud Security Alliance warnt davor, dass KI die Zeitspanne zwischen der Entdeckung einer Schwachstelle und deren Ausnutzung drastisch verkürzt habe. Damit seien herkömmliche Sicherheitsmodelle, die auf „Patchen und Reagieren“ basieren, überholt. Unternehmen sollten sich vielmehr auf anhaltende Wellen von Schwachstellen einstellen, die durch „Project Glasswing“ und andere Quellen mittels KI aufgedeckt werden.

„Die bei Mythos beobachteten Fähigkeiten werden schon bald breiter verfügbar sein. Dadurch wird sich die Anzahl sowie Häufigkeit komplexer, neuartiger Angriffe, denen sich Unternehmen gegenübersehen, drastisch erhöhen“, heißt es in der Warnung. Sicherheitsverantwortliche müssten daher ihre Verteidigungsstrategien auf einen „Mythos-ready“-Ansatz umstellen, der auf kontinuierlichem Schwachstellenmanagement, schnellerer Priorisierung und verbesserter Reaktion auf Sicherheitsvorfälle basiert. (tf)

Dieser Artikel basiert auf einem Beitrag von CSO.

In der aktuellen Folge übt Prof. August-Wilhelm Scheer, der bereits Anfang 2021, in der allerersten TechTalk-Ausgabe, zu Gast war, strenge Kritik: Deutschland habe den Computer mit erfunden, mit Firmen wie Siemens und Nixdorf auch hier gebaut. Aber heute spiele man auf der Angebotsseite eigentlich keine große Rolle mehr. „Wir sind große Anwender, aber wir sind nicht führend in der Entwicklung von Software – und von Hardware ist eigentlich auch nichts mehr geblieben. Wir haben zwar auf der Anwendungssoftware mit der SAP einen großen Erfolg erzielt, auch international. Aber damit ist die Liste dann auch schon fast erschöpft.“

Der Sprung in die Digitalisierung wurde verpasst

Der Wissenschaftler, der selbst mit der Geschäftsprozess-Managementlösung ARIS einen weltweiten Erfolg erzielte, sieht mehrere Ursachen für den Bedeutungsverlust der deutschen IT-Industrie. Deutschland habe zu lange auf seine Ingenieurskunst und Hardwarekompetenz gesetzt, während Software, Prozesse und digitale Geschäftsmodelle unterschätzt wurden.

Auch der Politik wirft Scheer vor, die strategische Bedeutung der Informationstechnik über Jahrzehnte verkannt zu haben – mit Folgen für die Wettbewerbsfähigkeit zahlreicher Branchen. Wenn er auf Bundesebene angemahnt habe, Deutschland müsse mehr in die Informationstechnik investieren, habe er häufig zu hören bekommen: ‚Wir sind doch Exportweltmeister. Sollen die Amerikaner die ‚Computerei‘ machen – wir bauen die besten Autos und Maschinen‘, so der Professor für Wirtschaftsinformatik.

Ein zentrales Thema der Episode ist außerdem die Erfolgsgeschichte von SAP. Scheer, der selbst rund 20 Jahre im Aufsichtsrat der Walldorfer saß, erläutert, warum ausgerechnet SAP zum weltweit erfolgreichsten deutschen Softwareunternehmen wurde. Entscheidend seien neben einem starken Gründerteam die frühe Standardisierung von Unternehmenssoftware, die enge Zusammenarbeit mit internationalen Beratungshäusern sowie die Fähigkeit gewesen, technologische Umbrüche immer wieder erfolgreich zu meistern.

„Viele IT-Unternehmen bleiben in so einer Mittelmäßigkeit stehen“

Mit Blick auf die Zukunft zeigt sich Scheer trotz aller Kritik vorsichtig optimistisch. Die Bedingungen für Unternehmensgründungen hätten sich in Deutschland deutlich verbessert, das eigentliche Problem beginne jedoch erst nach den ersten Erfolgen. Vielen Softwareunternehmen fehle der Mut zur echten Internationalisierung, während erfolgreiche Start-ups häufig früh von ausländischen Konzernen übernommen würden. Dadurch gingen nicht nur Unternehmen, sondern auch wichtige Innovationsimpulse verloren.

Auch die Debatte um digitale Souveränität bewertet Scheer differenziert. Der Aufbau einer europäischen IT-Infrastruktur sei zwar notwendig und unterstützenswert. Entscheidend sei jedoch, dass Europa nicht nur regulatorisch agiere, sondern wieder selbst wettbewerbsfähige Software und Plattformen entwickle. “Wir sind immer sehr gern in der Schiedsrichterrolle oder sitzen auf der Tribüne und wissen alles besser”, so Prof. Scheer. Im Endeffekt sei entscheidend, auf dem Platz mitzuspielen.

„Als Unternehmer und als Papst hat man keine Altersbegrenzung“

Zum Abschluss spricht der Unternehmer über seine Motivation, auch mit über 80 Jahren weiterzuarbeiten. Unternehmertum sei für ihn die spannendste Form, Ideen umzusetzen und Verantwortung zu übernehmen. Gründerinnen und Gründern rät er, sich nicht vom schnellen Geld oder Investoren treiben zu lassen, sondern nachhaltige Innovationen zu entwickeln und Unternehmen möglichst eigenständig aufzubauen. Auch SAP sei bis zum Börsengang ohne Fremdkapital gewachsen.

Die vollständige Episode von TechTalk – Voice of Digital ist hier oder auf allen gängigen Podcast-Plattformen verfügbar.

width="100%" height="152" frameborder="0" allowfullscreen allow="autoplay; clipboard-write; encrypted-media; fullscreen; picture-in-picture" loading="lazy" src="https://open.spotify.com/embed/episode/2nbu974IOc99PbKhXUZJKR?utm_source=oembed">

Wir haben Fälle gescheiterter Manager gesammelt, die durch ihr Verhalten im Job gleichsam um ihre Entlassung gebettelt haben. Die Top fünf:

1. Zeigen Sie jedem Ihre schlechte Laune

Für große Aufmerksamkeit sorgte der CIO eines mittelständischen Unternehmens, von dem die IT-Beraterin Bonnie Carson di Matteo berichtet. In einem Meeting äußerten Kollegen vorsichtige Kritik an dem Versuch des Managers, die Businessprozesse zu verbessern. Statt einer Antwort schleuderte der CIO einen Stift quer durch den Konferenzraum, den er anschließend stürmisch verließ.

Unglücklicherweise, so geht die Mär, war der IT-Manager schon vorher durch spontane Entlassungen einzelner Mitarbeiter aufgefallen, wodurch der gute Ruf, den der Manager durch ehrenamtliches Arbeiten in seiner Freizeit erworben hatte, nicht mehr zu retten war.

Auch Coachings zur Verhaltensänderung und ausführliche Gespräche mit dem Personalchef des Unternehmens sorgten nur kurz für Verhaltensänderungen: Als ein Kollege nur wenige Wochen später das Budget des CIOs zu kritisieren wagte, zeigte der sein schon erprobtes Missverhalten: Er explodierte, stürmte aus dem Meeting und ward ein paar Tage nicht mehr gesehen. Sein Vertrag wurde darauf hin aufgelöst.

2. Vermeiden Sie es, Ihre Fehler selbst zu entdecken

Jeder hat Fehler, aber leider brauchen manche Mitarbeiter länger, sie zu entdecken. Sollten Sie zu dieser Spezies gehören, achten Sie auf die folgenden, untrüglichen Anzeichen, dass andere sie schon längst kennen:

• Meetings finden neuerdings ohne Sie statt.
• Ihre Beiträge und Anmerkungen sind nicht mehr gefragt oder werden vom Adressaten schlicht ignoriert.
• Sie werden in strategische Planungen nicht einbezogen.
• Ihre Abteilung leidet unter hoher Fluktuation, und Sie haben dennoch Schwierigkeiten, Ihre Stellung dort zu halten.
• Ihre Kollegen fragen bei IT-Problemen lieber jemand anderen um Rat und lösen solche Probleme künftig ohne Sie.
• Kritik an Ihrer Arbeit erfahren Sie nicht direkt von der Quelle, sondern allenfalls durch Ihren Vorgesetzten.

3. Überschätzen Sie einfach Ihre Fähigkeiten

Ein großes Unternehmen aus dem mittleren Westen der USA hatte Probleme mit der Implementation eines ERP-Systems. Die externe Beraterin Eileen Strider, die früher selbst als CIO gearbeitet hatte, fand schnell die Ursache für das drohende Scheitern: den CIO, der mit der Leitung des Projekts betraut war.

Der hatte zu Projektbeginn eine Arbeitsgruppe ins Leben gerufen, um Anregungen und Kritik aus den Abteilungen des Unternehmens zu bekommen. Zu Anfang, so wird die Beraterin zitiert, seien die Kollegen auch ganz eifrig gewesen, Ihre Ideen und Vorschläge einzubringen. Mit fortschreitendem Projekt stellte sich aber heraus, dass der CIO eigentlich nur eine Sorte von Ideen gut fand: seine eigenen. “Er vertraute sehr auf seine Entscheidungskompetenz”, so Eileen Strider, “und die meiste Energie setzte er letztlich dafür ein, die Ratschläge seiner Kollegen abzubiegen”.

Das aber führte bei den Kollegen und Mitarbeitern des CIO zu einem massiven Vertrauensverlust. Als die externe Beraterin dem Projektteam unter der Leitung des CIOs die Ergebnisse ihrer Untersuchung präsentierte, zeigte der sich überrascht. Aber anstatt sein Verhalten zu ändern, reichte er einen Tag später seine Kündigung ein.

4. Legen Sie eine gewisse Trägheit an den Tag

Nicht jede falsche Entscheidung führt zu einer Kündigung. Aber die Unfähigkeit, überhaupt Entscheidungen zu treffen, wird auf Dauer bewirken, dass Sie Ihren Job verlieren.

Von einem Fall, der gleich zwei CIOs betraf, berichtet John Stevenson: Der eine musste zunächst mit einem sehr knapp bemessenen Budget haushalten, der zweite verfügte dagegen über eher üppig bemessene Geldmittel. In der Lage, große Investitionsentscheidungen zu treffen, war indes keiner der beiden: Der eine hatte zu wenig Geld für solche Projekte, der andere konnte wenige große Entscheidungen mit vielen kleinen Anschaffungen vermeiden.

Als die Unternehmen der beiden fusionierten, kam keiner der beiden mit der veränderten Situation zurecht. Da Untätigkeit aber auf Dauer keine Lösung für die Unternehmens-IT sein konnte, endete die unproduktive Phase mit der Entlassung beider Manager. Statt ihrer übernahm besagter John Stevenson die Position seiner Vorgänger.

5. Ruhen Sie sich auf Ihren Erfolgen aus

Das Dasein eines CIOs ist ungemein angenehm, wenn der Laden einfach nur läuft. Allerdings kann eine gewisse Behäbigkeit die Karriere torpedieren, wie Dan Gingras, IT-Berater aus Atlanta, zu bedenken gibt. Gingras zitiert den Fall eines großen Fertigungsunternehmens, das über 50 Jahre im Besitz eines einzelnen Unternehmers war.

Der neue Eigentümer, der dennoch irgendwann kam, räumte dann aber auf: Er installierte einen neuen CEO, ersetzte den alten Finanzchef und sorgte auch für einen anderen Vizepräsidenten im Bereich Vertrieb und Marketing. Nur dem CIO blieb dieses Schicksal wenigstens zum Teil erspart: Er durfte zumindest vorübergehend weiter machen, weil er der letzte war, der mit den alten Systemen noch umgehen konnte.

Wenn Sie doch bleiben möchten: Ändern Sie sich

Für den Fall, dass Sie Ihren aktuellen Job doch lieber behalten möchten: Selbsterkenntnis, dass Ihre IT-Karriere aufgrund persönlicher Schwächen am Scheideweg steht, ist auch der erste Schritt zur Besserung. Und das ist als nächstes zu tun:

• Identifizieren Sie die Ursachen Ihrer persönlichen Schwächen und tun Sie ihr Bestes, um sie künftig zu umgehen.
• Finden Sie einen internen Mentor oder leisten Sie sich einen externen Berater, der Ihnen hilft, Ihre Schwächen zu überwinden.
• Besprechen Sie diese Maßnahmen mit wichtigen Kollegen, damit die wissen, dass Sie sich bemühen, Ihre Fehler zu bekämpfen.
• Bitten Sie diese Kollegen um eine Rückmeldung auf Ihre Bemühungen.
• Nutzen Sie Tools und Programme, um anhaltende Probleme zu erkennen und den Erfolg bei ihrer Lösung zu messen.
• Seien Sie geduldig! Sein Verhalten zu ändern, braucht Zeit. Noch länger dauert es aber, seine Kollegen von diesen Änderungen zu überzeugen.

Kündigungsgespräche richtig führen

Wer einem Mitarbeiter die Entlassung mitteilt, sollte darauf achten, dass es ein Gespräch auf Augenhöhe ist. Sechs Tipps zur Gesprächsführung.

Achten Sie darauf, dass vor dem Gespräch mit dem Mitarbeiter keiner seiner Kollegen von der Kündigung erfährt.

Bereiten Sie sich auf das Gespräch vor: Welche Faktoren machen die Kündigung unumgänglich? Wie können Sie auf mögliche Einwände reagieren?

Seien Sie ehrlich: Beschönigen Sie nicht die Situation, sondern geben Sie Ihrem Mitarbeiter ein konstruktives Feedback.

Berücksichtigen Sie auf jeden Fall, dass es bei einer Kündigung nicht nur um eine Fach- oder Führungskraft einer bestimmten Abteilung geht, sondern um einen Menschen mit allen seinen sozialen und gesellschaftlichen Bezügen. Das ist gerade dann wichtig, wenn man den Mitarbeiter nicht immer geschätzt hat.

Geben Sie ihm genügend Zeit für seine Reaktionen wie Wut oder Tränen: Bieten Sie gegebenenfalls ein weiteres Gespräch in ein paar Tagen an, wenn der Mitarbeiter sich wieder gesammelt hat.

Seien Sie auch in den nächsten Tagen stets offen für weitere Fragen des gekündigten Mitarbeiters.

In einem Profiling-Gespräch sagte mir eine Mitarbeiterin, die sich auf eine Führungsposition beworben hatte, dass sie mit ihrer Chefin überhaupt nicht zurecht kommt. “Ich habe sieben Jahre für eine narzisstische Chefin gearbeitet – anschließend war ich sechs Monate in Therapie”, erzählte die Mitarbeiterin.

Was mir die Mitarbeitende dann berichtete, klang eher nach einem Psycho-Thriller, als nach einem Arbeitsalltag. Da wurden Vorgesetzte manipuliert, Aussagen bewusst falsch wiedergegeben, Geschichten erfunden zum Schaden unterschiedlicher Menschen in der Organisation und erfolgreiche Führungskräfte lächerlich gemacht. Nach außen verhielt sie sich charmant und korrekt – vor allem in Richtung Unternehmensleitung. Dass ständig Menschen in diesem Bereich gekündigt hatten und der Krankenstand hoch war, fiel vorerst niemandem auf.

Die Königin der Menschenverachtung

Der Rede ist hier von der Herzkönigin – bekannt aus dem Märchen ” Alice im Wunderland”. Die Herzkönigin ist die Schwester von Alice und aufgrund einiger Traumata entwickelt sie sich zu einer Königin der Menschenverachtung.

“Ab mit dem Kopf!” – ist wohl der bekannteste Satz aus diesem Märchen, und bei der genannten Chefin war das die Ansage zum Krieg. “Ich habe mich so geschämt, wenn ich davon mitbekam, welche Intrigen sie gesponnen hat, um Kollegen ganz bewusst Schaden zuzufügen”, so die leidtragende Mitarbeiterin.

Oft ist Narzissmus schwer zu erkennen

Und weiter: “Wenn jemand nicht ihrer Meinung war, war er ihr Feind und sein Bild musste zerstört werden, und das so lange, bis dieser Mensch aufgegeben hat oder das Unternehmen verlassen musste. Abgesehen hatte sie es auf Menschen, die entweder besonders kompetent oder sehr beliebt bei den Mächtigen waren. Irgendwie war es ihr immer möglich verdeckt zu regieren.”

Das, was sich hier als typische Verhaltensweisen des weiblichen Narzissmus zeigt, ist manchmal in der Praxis schwer zu erkennen. Es gibt immer wieder Menschen, die glauben, Narzissmus sei ausschließlich ein männliches Phänomen. Fakt ist: Narzisstische Frauen leben ihre Nöte nur anders aus als narzisstische Männer.

Unfähig eigenes Verhalten zu reflektieren

Von dem Mangel an Empathie und den Schwierigkeiten, sich in andere Menschen hineinzuversetzen und eine liebevolle Beziehung zu führen, ist es ihnen nahezu unmöglich, die eigenen Verhaltensweisen zu reflektieren und zu verändern.

Die übertriebene Selbstbezogenheit macht sie manchmal zum Sklaven ihres eigenen Äußeren und so manche “Störung im Essverhalten” deutet auf eine tiefe narzisstische Not hin. Narzissmus ist eine Persönlichkeitsstörung und braucht eine Therapie.

Oft sind andere Frauen das Opfer …

Ihr manipulatives Verhalten dynamisiert sich besonders bei Frauen, die im engen Umfeld mit ihr arbeiten. Hat diese Frau tiefliegende Unsicherheiten, sei es eine unverarbeitete Störung in der Beziehung zu ihrer Mutter und ist ihr Selbstwert nur gering ausgeprägt oder ihre Mutter selbst ein Mensch mit vielen narzisstischen Anteilen: Ist sie für die Herzkönigin ein gefundenes Opfer.

Werden die Bedürfnisse und Wünsche der Herzkönigin nicht erfüllt wird es schwierig. Dann finden täglich Übergriffe, Machtmissbrauch, Bashing und Mobbing und andere Verhaltensweisen statt. “Manchmal habe ich gedacht, ich sei verrückt und mit mir stimmt etwas nicht”, so die betroffene Mitarbeiterin.

… und oft schaut das Team weg

Häufig sind ihre Opfer nicht in der Lage sich abzugrenzen, sei es aus Angst, Ohnmacht oder Schuldgefühlen. Diese Menschen haben häufig gelernt, alles auf sich zu beziehen und sich in unterschiedlichen Situationen angesprochen und schuldig zu fühlen. Das bedeutet auch, dass alle sich im Team so verhalten, als gäbe es kein Problem, aus Angst ihr nächstes Opfer zu sein.

Doch was kann eine Mitarbeitende unternehmen, wenn sie mit einer Chefin dieser Art zusammenarbeiten muss? Wichtig sind ein paar Punkte zu wissen, auch wenn schon vieles in Betracht gezogen wurde:

• Diese Frau braucht einen Therapeuten, keinen Coach!

• Eigenreflexion und Selbsterkenntnis gehören nicht zu ihren Charaktereigenschaften, deshalb ist jede Wartezeit auf eine authentische Wiedergutmachung vertan.

• Sie spürt keine Reue, auch wenn ihre Tränen täuschend echt aussehen. (Vorsicht, Männer!) Es ist lediglich eine Affekt-Regulierung, wenn es “eng” wird und ihr Spiel droht aufzufliegen. Hier heißt der Klassiker des Dramatischen-Theaters: Attacke ist die beste Verteidigung.

• Wichtig ist, Vorfälle und Konflikte zu dokumentieren und gegebenenfalls Zeitzeugen hinzuzufügen. Unterstützung innerhalb der Organisation ist wichtig und hilft später maßgeblich bei der eigenen Verarbeitung.

Unternehmen sollten besonders Führungskräfte darin unterstützen, sei es durch Schulungen oder Weiterbildung, schwierige Persönlichkeiten zu verstehen und zu führen und unter bestimmten Umständen aus dem Arbeitsverhältnis zu lassen.

Data Products tragen dazu bei, die Art und Weise zu standardisieren, wie Rohdaten, Data-Warehouse-, sowie logische Data-Lake-Ansichten kombiniert und genutzt werden, um Analyse- und KI-Funktionen bereitzustellen. Indem sie Datenprodukte entwickeln, können Teams in Unternehmen einen Großteil der im Vorfeld erforderlichen Daten-Pipelines sowie Governance- und Management-Tasks optimieren. Darüber hinaus gewährleisten diese auch, dass Mensch und KI auf vertrauenswürdige Datenressourcen zugreifen.  

Kochen bietet an dieser Stelle eine hilfreiche Analogie: Sie könnten sich dazu entscheiden, für Ihr Lieblingsgericht ausschließlich auf frische Zutaten zu setzen. Dieser Ansatz funktioniert gut, wenn Sie sowohl die Zeit als auch die nötigen Fähigkeiten dafür mitbringen. Wenn nicht, setzen Sie eventuell lieber auf Convenience-Bestandteile – insbesondere unter Zeitdruck. Datenprodukte bieten eine vergleichbare Zeitersparnis – Analytics- und KI-Funktionen bauen in diesem Fall auf konsistenten, (vor)optimierten „Zutaten“ auf.

Die folgenden fünf Tipps sollten Sie bei Ihrer Data-Product-Initiative unbedingt verinnerlichen.

1. Data Products strategisch nutzen

Die meisten Unternehmen können es sich nicht leisten, für jede Datenvisualisierung, jedes Machine-Learning-Modell oder jeden KI-Agenten eigene Datenprodukte zu entwickeln. Schließlich ist das mit Kosten und Zeitaufwand verbunden. Dazu kommt: Sobald ein Data Product bereitgestellt ist, müssen die Produktmanager für fortlaufenden Support und ein entsprechendes Lifecycle-Management sorgen. Die erste entscheidende Frage ist also, in welchen Fällen es für agile Daten-Teams Sinn macht, Datenprodukte zu entwickeln – und wie dabei priorisiert werden sollte.   

Ein Ansatzpunkt besteht darin, das Data Product auf einen einzelnen Datensatz herunterzubrechen und sich zu überlegen, was es bedeutet, diesen zum Produkt zu machen. Danielle Ben-Gera, Vice President of Engineering bei Crunchbase, erklärt: „Ein Datensatz sollte erst dann zu einem Datenprodukt werden, wenn sich mehrere Teams bei Entscheidungen – oder zum Support von Anwendungen – darauf verlassen.“

Dabei seien eine angemessene Governance, klare Zuständigkeiten, Versionierungen und ein kontrollierter Lebenszyklus für Änderungen essenziell, warnt die Managerin: „Ansonsten liefert man nur instabile Pipelines aus, die die nachgelagerten Workflows zum Erliegen bringen.“

Eine andere Überlegung, die zu Data Products führt, ist die Nutzung von Daten außerhalb der Governance. An dieser Stelle kann ein Datenprodukt einen taktischen Ansatz darstellen, wie Yaad Oren, Global Head of Research and Innovation bei SAP, nahelegt: „Wenn Datensätze teamübergreifend ohne strenge Governance, klar definierte Prozesse oder eindeutige Zuständigkeiten genutzt werden, ist Unternehmen zu empfehlen, ein Data Product zu entwickeln. Datenprodukte, die in einer einheitlichen Datenbasis verankert sind, beseitigen Silos, schaffen ein gemeinsames Verständnis über die Daten und etablieren einen sicheren, standardisierten Zugriff auf diese.“

Eine dritte Möglichkeit, Datenprodukte strategisch zu nutzen, ist, diese für definierte Kunden in wiederverwendbarer Form zu entwickeln, um Effizienzgewinne einzufahren. Wenn ein solches Data Product erfordert, mehrere Datenquellen miteinander zu kombinieren, ist das Vision Statement und qualifizierter Business Value besonders wichtig. Christopher Zangrilli, Vice President of Technology Strategy beim Compliance-Dienstleister Vertex, erklärt: „Führungskräfte sollten sich fragen, ob die Daten die Cycle Times optimieren, die Entscheidungsgenauigkeit verbessern oder Compliance-Risiken mindern, um den Business Impact einzuordnen. Wenn Governance, Change Management, Qualität und Messverfahren von Beginn an integriert sind, wandeln sich Datenprodukte von experimentellen Tools zu strategischen Ressourcen.“

2. Datenprodukte standardisieren

Produkte im Supermarkt sind mit einer Verpackung versehen, auf der eine detaillierte Liste der Inhaltsstoffe, ein Verfallsdatum und ein Preis angegeben sind. Ganz ähnlich sollten Data-Governance-Verantwortliche vorgehen – und standardisieren, wie Data Products definiert, katalogisiert und gemanagt werden. Wie und warum, erklärt Abhi Sharma, Mitbegründer und CEO des KI-Anbieters Relyance AI: „Jedes moderne Datenprodukt sollte vier Fragen klar beantworten: Woher stammen die Daten, wie werden sie systemübergreifend transformiert, wer oder was nutzt sie und welche Governance-Verpflichtungen fallen dabei an? Ohne diesen durchgängigen Kontext entwickeln Teams Funktionen auf der Grundlage von Daten, die sie nicht vollständig verstehen.“

Obwohl Lebensmittelhersteller ihre Inhaltsstoffe veröffentlichen und mit Blick auf Gefahren wie allergische Reaktionen kennzeichnen, dokumentieren nur wenige die Herkunft ihrer Rohstoffe und welchen Weg diese vom Erzeuger zum Händler nehmen. Geht es darum, Data Products in streng regulierten Branchen zu entwickeln, kann es allerdings erforderlich sein, genau das zu tun – und die Data Lineage zu erfassen. Besonders wichtig ist das, wenn es darum geht, Datenquellen für KI-Applikationen zu standardisieren.

Carter Page, Executive Vice President of Research and Development beim Dev-Spezialisten Astronomer, weiß, was anderenfalls droht: „Ohne Data Lineage arbeiten Teams im Blindflug und Governance verkommt zu reaktiver Fehlerbehebung. Wenn Teams dagegen nachvollziehen können, woher die Daten stammen, wie sie transformiert wurden und welche Systeme darauf angewiesen sind, werden Aktualisierungen vorhersehbar, die richtigen Pipelines getestet, die betroffenen Stakeholder benachrichtigt und grundlegende Änderungen dokumentiert. Bevor es dadurch zu Incidents kommt.“

3. Data Products nachhaltig managen

Lebenszyklusmanagement erfordert bei APIs, Anwendungen oder KI-Modellen, einen Release-Plan für Optimierungen, Fehlerbehebungen und andere notwendige Updates festzulegen. Geht es hingegen um Datenprodukte, kommen mehrere, verwandte Disziplinen zusammen, wie Ulf Viney, EVP of Engineering beim KI-Datenspezialisten Precisely, erklärt: „Um den Lebenszyklus von Data Products zu managen, braucht es Versionierung, Testing, strukturierte Deployments und Stakeolder-Kommunikation.“

Ein weiterer grundlegender Unterschied bei Datenprodukten: Ihr Lifecycle Management ist eng damit verbunden, wie die zugrundeliegenden Datensätze wachsen – beziehungsweise, welche strukturelle Veränderungen diese durchlaufen. Ein Data Product, das zwar funktioniert, aber nicht veränderungsresistent ist oder keine Warnmeldungen ausgibt, wenn Fehlerbehebungen erforderlich sind, kann nachgelagerte Anwendungsfälle beeinträchtigen und das Vertrauen der Stakeholder und Nutzer in die Daten untergraben. Insbesondere letzteres gilt es zu verhindern. Wie, weiß Bethany Sehon, Senior Director of Enterprise Data bei Capital One: „Ein nachhaltiges und skalierbares Governance-Framework kann sicherstellen, dass Daten leicht zu finden, zu verstehen und zu nutzen sind.“

Teams, die geschäftskritische Echtzeit-Datenprodukte managen, die mehrere nachgelagerte Analytics- und KI-Anwendungsfälle unterfüttern, sind die folgenden DevOps- und Data-Governance-Praktiken zu empfehlen:

• Legen Sie unverhandelbare Data-Governance-Kriterien fest – insbesondere, wenn es darum geht, Datenqualitäts-Benchmarks zu setzen, etwaige Verzerrungen zu identifizieren und Datenschutzrichtlinien einzuhalten.
• Nutzen Sie fortschrittliche CI/CD-Pipelines, Continuous Deployment sowie Continuous Testing und automatisieren Sie Produktions-Deployments.
• Stellen Sie sicher, dass sämtliche Datenintegrationen über „observable“ DataOps verfügen, Datenqualitätsprobleme überprüft werden und Alerts ausgesendet werden, wenn die Pipelines zum Erliegen kommen. Um Requests und Incidents zu bearbeiten, sollten IT-Services zudem entsprechend definiert werden.
• Stützen Sie sich auf Plattform-Strategien wenn es um Datenmanagement geht – zum Beispiel im Hinblick auf Data Fabrics, DSPM, Dokumentenverarbeitung und Vektordatenbanken.

4. Datenprodukte verargumentieren

Ein Data Product auf die Beine zu stellen, ist leider kein Garant dafür, dass dieses auch angenommen wird. Das verdeutlichen auch die Beispiele von Reusable Code, API-Nutzung oder DevOps-Tools: Sie alle zielten darauf ab, Entwicklern das Arbeitsleben leichter zu machen und die Qualität zu verbessern. Trotzdem nahmen viele Teams lieber eine „Not invented here“-Haltung ein und setzten lieber auf Eigenentwicklungen statt die Standards anderer.

Datenprodukte stehen allerdings vor noch größeren Herausforderungen. Ganz besonders, wenn sie darauf abzielen, Datensilos zu konsolidieren oder Tabellenkalkulationen zu eliminieren. Um die Akzetanz zu fördern (und Feedback einzuholen), sollten die für die jeweiligen Data Products verantwortlichen Produktmanager deshalb ein Change-Management-Programm entwickeln. Förderlich ist dabei, darzulegen, wie das Datenprodukt auf den kulturellen Change und die KI-Strategie des Unternehmens einzahlt – etwa indem es die Demokratisierung von KI vorantreibt und die Kompetenz im Umgang mit der Technologie optimiert.

5. Data Products richtig evaluieren

Der Geschäftswert eines kundenorientierten Produkts wird häufig gemessen anhand der Auswirkungen auf den Umsatz, der Nutzungs-Metriken sowie der Kundenzufriedenheit. Interne, mitarbeiterorientierte Produkte lassen sich hingegen anhand ihrer Workflow-Effizienz, ihrem Potenzial für Produktivitätssteigerungen und der Mitarbeiterzufriedenheit evaluieren.

„Zu viele Unternehmen behandeln Datenprodukte immer noch als technische Outputs und nicht als strategische Assets“, kritisiert Daniel Ziv, Global Vice President of AI and Analytics beim KI-Anbieter Verint. Der wahre Wert von Data Products lasse sich daran ablesen, wie einzigartig die generierten Daten sind, wie viel messbaren Einfluss sie auf Entscheidungen nehmen, meint der Manager: „Wenn jedes Unternehmen Zugang zu denselben KI-Modellen hat, ergibt sich der Wettbewerbsvorteil aus ‚uniquen‘ Daten und der Geschwindigkeit, mit der diese in Maßnahmen umgesetzt werden können.“

Eine Best Practice auf die IT-Entscheider in diesem Zusammenhang zurückgreifen können, ist es, Metriken heranzuziehen, die Aufschluss über die Geschwindigkeit digitaler Transformationsvorhaben geben. Dazu gehören etwa:  

• „Time to Data“,
• „Time to Decision“,
• „Time to Innovation“, und
• „Time to Value“.

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

Fast 200 Ökonomen, Forschende und Vertreter der Technologiebranche haben den gemeinsamen Appell „We must act now“ unterzeichnet. In ihm fordern sie die Politik auf, schneller zu handeln, um die wirtschaftlichen Auswirkungen durch Künstliche Intelligenz (KI) zu verstehen und zu bewältigen. Koordiniert und veröffentlicht wurde das Ganze vom Stanford Digital Economy Lab.

Zu den Unterzeichnenden gehören 15 Nobelpreisträger darunter Daron Acemoglu und Simon Johnson, Professoren am Massachusetts Institute of Technology, die 2024 den Nobelpreis für Wirtschaftswissenschaften erhielten. Weitere Unterzeichnende sind unter anderem die Chefökonomen der KI-Unternehmen OpenAI und Anthropic sowie der Anthropic-Mitbegründer Jack Clark und der ehemalige Google-CEO Eric Schmidt.

In ihrem Appell warnen sie davor, dass sich KI schneller als jede frühere Technologie entwickeln und größere wirtschaftliche Auswirkungen als die Industrielle Revolution haben könnte. Als Zeitraum für ihre Prognose geben die Experten die nächsten zehn Jahre an. Sie weisen hierbei insbesondere auf das Risiko eines massiven Verlusts von Arbeitsplätzen hin.

KI als Chance, aber auch Belastung

„Dampfmaschine, Elektrizität und Computer gaben Gesellschaften jeweils Jahrzehnte Zeit, sich anzupassen. Künstliche Intelligenz könnte uns dafür nur wenige Jahre lassen. Wir können unsere Strategie und unsere Institutionen nicht erst mitten im Wandel improvisieren. Wer auf Gewissheit wartet, kommt zu spät“, erklärt Anton Korinek, Professor an der University of Virginia, der derzeit beurlaubt bei Anthropic tätig ist.

Sein Kollege und Mitunterzeichner Ajay Agrawal, Professor an der Rotman School of Management der University of Toronto, stimmt ihm zu: „Ob der rasante Fortschritt der KI den globalen Lebensstandard breit anhebt oder Wohlstand in den Händen weniger konzentriert, ist nicht vorbestimmt. Es hängt davon ab, wie wir unsere politischen und wirtschaftlichen Systeme heute neu gestalten. Wir können es uns nicht leisten, abzuwarten, bis die Transformation vollständig eingetreten ist, und uns in der Zwischenzeit auf institutionelle Strukturen zu verlassen, die für eine Welt vor hochpräziser KI optimiert wurden.“

Der Appell enthält keine konkreten politischen Vorschläge, dafür aber eine Forderung an Ökonomen, Politiker und Technologieunternehmen. Sie sollen:

• rasch bessere Methoden entwickeln, um die Auswirkungen von KI auf den Arbeitsmarkt zu messen; und
• politische Maßnahmen formulieren, die die Entwicklung so steuern, dass sie sowohl den Menschen als auch der Gesellschaft zugutekommt.
  (tf)

Astronaut, Model, Polizist, Koch, Schuhverkäufer, Jet-Pilot, manchmal sogar Bundeskanzler – Jeder Mensch hat Berufe, von denen er in jungen Jahren geträumt hat. Auch wenn nur die Allerwenigsten ihre Kindheitsträume verwirklicht haben und sie heute rückblickend manchmal sogar belächeln, sind sie doch wertvolle Schätze, die helfen können, mehr Erfüllung im Job zu finden. “Die Geschichte jedes Menschen beginnt naturgemäß in der Kindheit”, erläutert die Münchner Karriereberaterin und Diplom-Psychologin Madeleine Leitner. “Darum bieten gerade die Kindheitsträume eine wertvolle Hilfe, wenn es darum geht herauszufinden, warum Menschen heute beruflich unzufrieden sind. So helfen sie sogar bei der Karriereplanung.”

Wilde Kerle, traurige Realität

Traumjobs aus der Kindheit verdeutlichen oft verblüffend das Problem in der heutigen Realität: Ein braver Familienvater, der auch im Job folgsam seinem dominanten Vorgesetzten assistiert, wollte als Kind eigentlich immer Raubritter werden und war im Gegensatz zu heute tatsächlich ein “wilder Kerl”. Oder: Eine in heftige Machtkämpfe im Management verstrickte Führungskraft war schon als Kind der Überzeugung, dass ihr Name später einmal auf einem Hochhaus stehen würde. Ein beruflich aufs Abstellgleis geratener Mitarbeiter im mittleren Management wollte als Kind zwar Matrose werden, hatte damals aber schon festgestellt, dass nur Kapitäne wirklich etwas zu sagen haben.

Schon Kinder haben eine Persönlichkeit mit Vorlieben und Abneigungen. Viele Menschen verlören aber im Laufe ihres Lebens aus den unterschiedlichsten Gründen ihren eigentlichen Wesenskern, weiß die Psychologin aus ihrer Erfahrung in der Beratung von Menschen in beruflichen Umbruchsituationen. “Die Erinnerungen an frühere Traumjobs in der Kindheit geben in der Zusammenarbeit oft wertvolle Hinweise auf des Pudels sprichwörtlichen Kern: Wer bin ich eigentlich? Was macht mir wirklich Spaß, was bringt mir Erfüllung?”

Ursachen kennen, Veränderungen anstoßen

Dabei warnt Leitner jedoch davor, bei der Interpretation der Ideen allzu schnelle und oberflächliche Schlussfolgerungen zu ziehen. Traumjobs können ganz unterschiedliche Vorstellungen und Motivationen zu Grunde liegen. Ein Pilot kann Touristen an ihr Urlaubsziel bringen und ihnen damit eine Freude machen, er kann als Kampfpilot das Böse bekämpfen oder als Kunstflieger kreative Showflüge entwickeln. Ein Förster kann etwas Gutes für Pflanzen und die Natur tun, Beute machen oder den Wald zu einem wirtschaftlichen Erfolgsmodell gestalten. Ein Arzt kann vor allem Menschen helfen wollen, aber auch Prestige und Wohlstand als Motivation sehen oder einfach nur ein perfekter Handwerker in seinem Spezialgebiet sein.

Der amerikanische Autor John Holland unterschied sechs unterschiedliche Motive, mit denen man die Vorstellung der Menschen von ihren Traumjobs kategorisieren kann:

1. R(ealistic): körperlich arbeiten

2. I(nvestigative): analysieren

3. A(rtistic): kreativ sein

4. S(ocial): helfen, unterstützen

5. E(nterprising): etwas managen

6. C(onventional): verwalten

Diese Kategorien erweisen sich selbst bei auf den ersten Blick sehr unterschiedlichen früheren Traumjobs eines Menschen als erstaunlich homogen. “Wenn man die daraus resultierenden Muster dann mit der aktuellen Tätigkeit und den dabei geforderten Elementen vergleicht, erkennt man zumeist sehr schnell, wo die Ursachen für Unzufriedenheit liegen”, so Leitner. Typische und besonders problematische Kombinationen sind zum Beispiel: ein “A”- lastiger, kreativer Mensch, der einen “C”-Verwaltungsjob ausübt. Auch eine “S”-Person, die primär helfen will, in ihrem Job aber vor allem Geschäfte und Umsatz generieren soll, wird in ihrem Wesenskern verletzt. Hier liegt ein wichtiger Schlüssel zum Verständnis des Veränderungsbedarfs.

Feintuning statt radikalem Wechsel

Dabei warnt die Psychologin jedoch ausdrücklich vor radikalen Berufswechseln. Oft reiche ein Feintuning. Mehr oder auch weniger Verantwortung, mehr oder weniger Kreativität, verwaltende oder gestaltende Tätigkeiten könne man oftmals auch im bestehenden Job übernehmen. Es komme auf die Details an, um wieder mehr Zufriedenheit im Beruf zu finden oder mehr Erfolg zu haben. Auch wenn manche Menschen ihren Kindheitsträumen bis heute nachtrauern, seien diese selten noch wirklich relevant. Wenn sie nämlich die Vorstellung von ihren früheren Traumjobs bewusst mit der Realität abglichen, führe das nicht selten schnell zur Ernüchterung.

“Das sollte man aber wirklich einmal ganz bewusst tun”, rät Leitner. “Am schlimmsten ist es nämlich, ein Leben lang einem Traum nachzutrauern, der sich in Wirklichkeit als Albtraum erwiesen hätte.”

Häufig sind Unternehmen noch damit beschäftigt, Sicherheitsvorfälle zu dokumentieren, während Angreifer bereits ihre nächste Kampagne planen. Auf Angreiferseite wird systematisch analysiert, welche Methoden sich als effektiv erweisen, welche Ziele sich zu verfolgen lohnen und wie sich der Aufwand pro Angriff minimieren lässt. Dieser „Return on Attack” ist das Ergebnis konsequenter Datennutzung.

Auf Unternehmensseite fehlt häufig eine vergleichbare Steuerungslogik, die Sicherheitsmaßnahmen konsequent nach ihrer Wirkung bewertet. In der Praxis stehen Kennzahlen im Vordergrund, die vor allem Aktivitäten abbilden, etwa Alerts, installierte Patches oder abgeschlossene Tickets. Diese Werte sind zwar operativ relevant, zeigen jedoch nicht, ob die Risiken tatsächlich sinken.

Somit fehlt eine belastbare Entscheidungsgrundlage, um Maßnahmen zu priorisieren und Ressourcen gezielt dort einzusetzen, wo sie das Risiko am stärksten reduzieren. Das erschwert es auch, Sicherheitsinvestitionen gegenüber der Geschäftsführung nachvollziehbar zu begründen.

Die Lösung liegt in einem klaren Fokus auf den richtigen Kennzahlen. Dabei haben sich drei KPIs als belastbare Grundlage erwiesen:

• die Reduzierung von Sicherheitsvorfällen,
• die durchschnittliche Zeit bis zur Erkennung eines Angriffs (Mean Time to Detect, MTTD) und
• die Zeit bis zur Eindämmung (Mean Time to Respond, MTTR).

Sie zeigen, wie schnell Teams reagieren und ob die Sicherheitsmaßnahmen tatsächlich greifen.

Was resiliente Unternehmen anders machen

Unternehmen, die Cyberangriffe und Systemausfälle besser bewältigen als andere, betrachten Sicherheit nicht als isolierte IT-Aufgabe. Sie sehen sie als organisatorische Fähigkeit, die in gemeinsamen Daten, klaren Prozessen und funktionsübergreifender Verantwortung verankert ist.

Sie schaffen Transparenz über ihre gesamte IT-Umgebung. Dadurch wissen alle Teams, welche Daten vorliegen und wie verlässlich diese sind. Sie erkennen Probleme frühzeitig und können deren mögliche Auswirkungen schnell einschätzen.

Zudem können sie Ursachen effizient untersuchen und schnell reagieren, weil Prozesse und Zuständigkeiten klar definiert sind. Außerdem arbeiten sie funktionsübergreifend, sodass Security-, IT- und Entwicklungsteams Informationen teilen, statt in getrennten Strukturen zu arbeiten.

Resilienz strukturell verankern

Resilienz entsteht durch eine bewusste strategische Entscheidung sowie mehrere ineinandergreifende Hebel:

1. Funktionsübergreifendes Krisenmanagement: Tools und Prozesse, die einen schnellen Informationsaustausch zwischen Security-, IT- und Entwicklungsteams ermöglichen, begrenzen den Schaden im Ernstfall und verhindern, dass Krisen eskalieren.
2. Automatisierung: Wer Routineaufgaben automatisiert, entlastet Teams, erhöht die Reaktionsgeschwindigkeit und schafft Kapazitäten für strategische Arbeit.
3. Integration von Security in die Softwareentwicklung: Je früher Sicherheitsanforderungen berücksichtigt werden, desto seltener entstehen Schwachstellen, die später aufwendig behoben werden müssen.
4. Gezieltes Investieren: Ausgaben für digitale Resilienz sollten nicht als Kostenfaktor verbucht werden, sondern als Zukunftsinvestition – mit messbarem Rückfluss in Form reduzierter Ausfallkosten, stabilerer Prozesse und höherer Widerstandsfähigkeit gegenüber Angriffen.

Wer diese vier Faktoren konsequent umsetzt, schafft die Grundlage dafür, dass KPIs wie Incident-Reduzierung, MTTD und MTTR nicht nur Zahlen im Reporting bleiben, sondern tatsächlich steuern.

Resilienz ist eine strategische Entscheidung

Unternehmen, die Cybersicherheit als Investition statt als Kostenstelle begreifen, treffen vor allem eine strategische Entscheidung: Sie definieren, welche Risiken sie eingehen wollen, bauen gezielt die Fähigkeiten auf, diese zu erkennen und einzudämmen, und machen den Fortschritt für die gesamte Führungsebene sichtbar.

Resilienz entsteht dort, wo Teams abteilungsübergreifend auf dieselben Daten zugreifen und Verantwortung gemeinsam tragen. Das gelingt jedoch nur, wenn Resilienz nicht als reine interne IT-Aufgabe verstanden wird.

Die Geschwindigkeit technologischer Veränderungen und eine zunehmend komplexe Bedrohungslage erfordern offene Strategien. Diese basieren auf funktionsübergreifender Zusammenarbeit, klaren Kennzahlen und dem Wissen, dass Widerstandsfähigkeit von entsprechender Expertise und bewährtem Branchenwissen profitiert und nicht allein vom Blick nach innen. (jd)

Wie schnell sich Krisen auf globale Lieferketten auswirken können, zeigte sich in den letzten Monaten immer wieder. Dabei sind Krisen an sich kein neues Phänomen. Ein Novum ist jedoch die Wucht, mit der diese Unternehmen treffen – in Beschaffung, Produktion und Wertschöpfung.

Der Grund dafür liegt in der engen Verflechtung von Politik und Wirtschaft. Geopolitische Entscheidungen bleiben heute nicht mehr auf die Ebene internationaler Beziehungen beschränkt, sondern beeinflussen Lieferketten direkt: Handelsbeschränkungen, Sanktionen und entsprechend angepasste Transportrouten verändern Materialflüsse und Beschaffungsprozesse unmittelbar.

Geopolitik und ihre Wirkung auf Lieferketten

Besonders deutlich werden diese Auswirkungen in der diskreten Fertigung, zum Beispiel in der Automobilindustrie. Denn hier lassen sich Lieferanten nicht kurzfristig austauschen. Viele Unternehmen arbeiten mit langjährigen, ausgewählten Partnern. Komponenten entstehen in gemeinsamer Entwicklung und werden oft ausschließlich von einem Lieferanten bezogen.

Das hat berechtigte Effizienzgründe, wird in Krisenzeiten aber zum Risiko. Fällt ein Lieferant weg, etwa durch unterbrochene Handelswege oder geopolitische Entscheidungen, geraten ganze Wertschöpfungsketten unter Druck. Alternative Bauteile müssen erst entwickelt, qualifiziert und getestet, neue Lieferanten auf die Einhaltung regulatorischer Vorgaben – etwa des Lieferkettensorgfaltspflichtengesetzes (LkSG) –  geprüft werden. Das dauert und schlägt sich direkt in der Produktionsplanung, der Materialverfügbarkeit und letztlich in den Kosten nieder.

Eine Single Source zu haben, ist nicht per se problematisch, solange Unternehmen ihre Abhängigkeit kennen und aktiv steuern. Das bedeutet:

• Kritische Materialien oder Komponenten im Blick zu haben,
• alternative Bezugsquellen frühzeitig zu identifizieren und zu validieren, sowie
• relevante Zulieferer regelmäßig zu überprüfen, um im Ernstfall schnell agieren zu können.

Die eigene IT-Landschaft als potenzielle Risikoquelle

Dieses Bewusstsein gewinnt vor dem Hintergrund zunehmender technologischer Abhängigkeiten noch mehr an Relevanz. Denn auch in der eigenen IT-Landschaft entstehen über Jahre Strukturen, die sich nicht kurzfristig ersetzen lassen. Mit Blick auf  SAP-Anwender sind das zum Beispiel: ein ERP-Kern, ein einzelner Hyperscaler, eine bestimmte Cloud-Region (Standort des Rechenzentrums des Hosters) oder ein hochspezialisierter Softwareanbieter – auch das zählt jeweils als Single Source. Die Wechselkosten sind hoch, die Integration der Systeme, Anwendungen und Prozesse komplex – und das nötige Knowhow steckt oft in wenigen Köpfen.

Damit stellen sich in der Debatte um digitale Souveränität im Kern dieselben Fragen wie im Kontext der Lieferkette:

• Wie groß ist unser „Klumpenrisiko“?
• Wo sind wir über die Zeit in eine Abhängigkeit hineingewachsen?
• Wie schnell sind wir handlungsfähig, wenn sich Rahmenbedingungen ändern?

Dabei geht es um mehrere Ebenen: Datenstandorte, rechtliche Vorgaben, den operativen Betrieb sowie die technische Kontrolle über die eingesetzten Plattformen.

Also etwa, wenn der Cloud-Anbieter ausfällt, regulatorische Vorgaben den Betrieb in bestimmten Regionen einschränken oder Exportkontrollen den Zugriff auf kritische Technologien begrenzen. So kann die Abhängigkeit von Softwareplattformen oder zentralen Kernsystemen im Ernstfall dazu führen, dass Unternehmen nicht mehr frei über ihre Prozesse und Daten verfügen können.

Auch die Antworten auf diese Fragen ähneln denen der Lieferkettenproblematik: So wie ein modulares Produktportfolio Unternehmen in der Beschaffung flexibel macht, sorgt eine modulare, standardisierte Architektur in der IT für mehr Flexibilität. Ein sauberer ERP-Kern – Stichwort Clean Core –, offene Schnittstellen, portierbare Daten und sauber dokumentierte Prozesse sind das digitale Pendant zum qualifizierten Zweitlieferanten. Sie schaffen die Voraussetzung, um im Bedarfsfall überhaupt eine Wahl zu haben.

Künstliche Intelligenz schafft neue Abhängigkeiten

Mit dem rasant steigenden Einsatz künstlicher Intelligenz erhält das Thema digitale Souveränität eine weitere Dimension. Unternehmen integrieren Sprachmodelle und KI-Agenten beispielsweise mittels SAP Business AI zunehmend in ihre Geschäftsprozesse. Sie automatisieren Abläufe, lassen sich bei Entscheidungen unterstützen und beschleunigen die Entwicklung neuer Produkte und Dienstleistungen.

Wie schnell daraus ein strategisches Risiko werden kann, zeigte der Fall Anthropic im Juni 2026: US-Behörden wiesen das KI-Unternehmen an, sein neuestes Modell für Nicht-US-Bürger  zu blockieren – aus Gründen der nationalen Sicherheit. Die Firma reagierte – und sperrte den Zugang zu seinen  fortschrittlichsten KI-Modellen weltweit.

Inwiefern nationale Sicherheit hierbei tatsächlich eine Rolle gespielt hat, sei dahingestellt. Fakt ist aber, dass der Vorgang ein grundlegendes Problem demonstriert: Unternehmen haben keinen Einfluss darauf, ob leistungsfähige KI-Modelle verfügbar bleiben, eingeschränkt oder nur bestimmten Nutzergruppen zugänglich gemacht werden.

Bedenkt man, dass Hersteller wie SAP einen großen Teil der neu angekündigten Business AI Platform auf genau diesem Anbieter aufbauen, stellt sich – wie in vielen anderen Fällen auch – die Frage: Wie unabhängig sind wir wirklich? Und: Gibt es im Fall der Fälle einen Plan B?

Es geht nicht mehr allein um Datenstandorte, Cloud-Infrastrukturen oder Software-Plattformen. Erfolgsentscheidend wird zunehmend, wer den Zugang zu KI-Systemen kontrolliert, unter welchen Bedingungen sie genutzt werden dürfen und wie schnell sich diese Rahmenbedingungen ändern können.

Resilienz schlägt reine Effizienz

Damit verschiebt sich der Maßstab. Über Jahre war Effizienz für Unternehmen das oberste Gebot: Bestände runter, Just-in-Time hoch, Lieferantenzahl reduzieren, IT-Landschaft konsolidieren. Jeder dieser Punkte ist nachvollziehbar, macht die Systeme in Summe aber auch verletzlicher.

Genau deshalb reicht der Blick auf Effizienz allein heute nicht mehr aus – und Resilienz wird immer wichtiger. Wenn Lieferketten reißen, geopolitische Entscheidungen Märkte verändern oder der Zugang zu digitalen Technologien eingeschränkt wird, entscheidet nicht mehr die schlankste Struktur über den Erfolg, sondern die anpassungsfähigste.

Am Ende geht es weder um vollständige Autarkie noch um die Illusion, Risiken vollständig auszuräumen. Unternehmen werden auch künftig auf Lieferanten, Technologien und Partner angewiesen sein. Entscheidend ist aber, diese Abhängigkeiten bewusst zu gestalten, statt sich von ihnen überraschen zu lassen. Wer seine kritischen Schnittstellen kennt, Alternativen vorbereitet und Handlungsspielräume erhält, verbindet Effizienz mit Widerstandsfähigkeit. Genau daraus entsteht, worauf es in unsicheren Zeiten ankommt: Entscheidungsfreiheit. (mb)

Vorweg eine Definition: Wenn von “Ways of Working” die Rede ist, sind klar definierte Prinzipien gemeint, die von Einzelpersonen und Teams im Arbeitsalltag beachtet werden, wenn es darum geht, Aufgaben umzusetzen und Ziele zu erreichen. Gleichzeitig stellen sie Verhaltensstandards und -prinzipien dar, die den Rahmen für Zusammenarbeit, Entscheidungsfindung und Führung im Unternehmen bilden.  

Doch wie können “Ways of Working” in der Praxis gestaltet, operationalisiert und erfolgreich verankert werden? Eine Beobachtung, die ich immer wieder mache: Wenn über das Wie im Unternehmenskontext gesprochen wird, geht es oftmals um spezielle Methoden, Prozesse oder Praktiken, die im Arbeitsalltag durch die Belegschaft, Teams oder Einzelpersonen umgesetzt werden (müssen), um eine Aufgabe zu erledigen oder Ziele zu erreichen. Dass dies auf Dauer nicht reicht, sollte auf der Hand liegen: Es nimmt Mitarbeitenden den Freiraum, selbstständig zu agieren und Lösungen zu finden. Darüber hinaus hemmt es ihre Kreativität, Innovationskraft und Lösungskompetenz. Diese Aspekte sollten also nie die Basis für die unternehmensweiten “Ways of Working” sein. Stattdessen sollte es bei der Ausarbeitung des Wie um kulturelle Erwartungen, Werte und die generelle Zusammenarbeit sowie Arbeitsweise von Mitarbeitenden im gesamten Unternehmen gehen. Davon profitieren Unternehmen und Mitarbeitende gleichermaßen. 

Arbeitgeber können Orientierung geben und schaffen so gleichzeitig ein gemeinsames Verständnis sowie Klarheit – ohne die Mitarbeitenden einzuschränken und zu demotivieren. Außerdem können sie die Mitarbeiterbindung und -zugehörigkeit fördern, wenn die in den Ways of Working definierten Prinzipien und Werte aktiv gelebt werden. Mitarbeitenden hingegen geben sie Klarheit hinsichtlich der Erwartungshaltung, schaffen Raum für Eigenständigkeit und ermöglichen berufliche sowie persönliche Weiterentwicklung. 

 

“Ways of Working” definieren und gestalten

Damit dieser Mehrwert nicht abstrakt bleibt, braucht es einen klaren Prozess zur Entwicklung der “Ways of Working”. Ein geeigneter Startpunkt, um diese zu definieren, kann folgender sein: Unternehmen können per Datenanalyse herausfinden, welche individuellen Verhaltensweisen von Top-Führungskräften explizit positive geschäftliche Auswirkungen haben – und daraus entsprechende Wie-Standards ableiten. Konkret sieht das so aus: Auf Basis einer internen Analyse zu Top-Leader-Verhaltensweisen, lässt sich ein neues Ways-of-Working-Modell entwickeln, das auf den folgenden vier Säulen basiert: 

1. We act candidly: Wir kommunizieren offen und transparent. Denn wir wissen, dass Wachstum von Menschen und Unternehmen nur durch offene Kommunikation von Erwartungen und Entscheidungen möglich ist. 
2. We win together: Wir arbeiten abteilungsübergreifend zusammen, um das große Ganze zu sehen, voneinander zu lernen und uns gegenseitig zu unterstützen. Wir sind stets bestrebt, Lösungen anzubieten und Ergebnisse zu erzielen, auch bei persönlichen Meinungsverschiedenheiten. 
3. We take ownership: Wir reden nicht nur darüber, sondern krempeln die Ärmel hoch, um Dinge in die Tat umsetzen – mit Mut und Zuversicht Verantwortung für das Gesamtergebnis zu übernehmen. So gelingt es unserer Überzeugung nach, Ergebnisse zu erzielen und außergewöhnliche Produkte zu schaffen. 
4. We create impact: Wir konzentrieren uns auf die Bedürfnisse unserer Kunden und des Unternehmens, indem wir ständig nach Spitzenleistungen streben und hohe Standards einhalten, evidenzbasierten Entscheidungen den Vorzug geben und eine Wachstumsmentalität verfolgen. Veränderungen betrachten wir als Katalysatoren für sinnvolle Innovationen. 

Diese definierten “Ways of Working” dienen im Arbeitsalltag als kultureller sowie struktureller Rahmen, der festlegt, wie Mitarbeiter innerhalb des Unternehmens im Team zusammenarbeiten, Aufgaben umsetzen und Ziele erreichen wollen. 

Ways-of-Working-Modell praktisch umsetzen

Aber selbst das beste Modell entfaltet nur dann seine Wirkung, wenn es von der Theorie in die Praxis übersetzt werden kann und im Alltag durch die Mitarbeitenden lebendig wird. Der entscheidende Hebel dafür ist eine bewusste Feedback- und Lernkultur, die durch ein gut durchdachtes Change-Management gestützt wird. Nur so kann das gewünschte Verhalten im Wie sichtbar, verstärkt und langfristig im Unternehmen verankert werden. Erfolgskritisch sind in diesem Zusammenhang drei Faktoren. 

1. Bewusste Kommunikations- und Implementierungsstrategie  

Ein gezielter interner Kommunikations- und Stakeholder-Plan hilft, den Sinn und Nutzen von “Ways of Working” für alle greifbar zu machen – und sie so in der Organisations-DNA fest zu etablieren. Entscheidend ist die Vorgehensweise: “Ways of Working” sollten nicht vorschnell als Poster an die Wände gehängt oder in groß angelegten Kampagnen von null auf hundert verkündet werden, solange sie noch nicht im Alltag erlebbar sind.

Denn Akzeptanz entsteht nur, wenn Mitarbeitende die “Wie”-Prinzipien bereits in der täglichen Arbeit spüren. Deshalb empfiehlt sich eine schrittweise Einführung über bestehende Prozesse und Arbeitsweisen – etwa im Onboarding, in Meetings oder Performance-Gesprächen. Erst wenn diese Grundlagen etabliert sind, sollte die breite Kommunikation folgen. So wirken die Prinzipien authentisch und praxisnah und werden nicht als reine Symbolpolitik wahrgenommen. 

 2. Senior Role Modeling  

Führungskräfte dienen als Vorbilder und Multiplikatoren für eine gelebte und erfolgreiche Verankerung der “Ways of Working”. Ihr Verständnis und ihre Haltung gegenüber dessen bestimmt, wie ernst das “Wie” in der Organisation genommen wird. Es ist daher wichtig, dass Führungskräfte sie im Alltag sichtbar vorleben – in Meetings, Entscheidungsprozessen und im Umgang mit Mitarbeitenden.

Hilfreich ist es, dafür klare Erwartungshaltungen zu formulieren und diese regelmäßig in Führungsrunden zu reflektieren. Sinnvoll sind auch Peer-Feedback-Formate auf Managerebene, in denen Führungskräfte sich gegenseitig Rückmeldung geben, ob und wie sie die Prinzipien tatsächlich verkörpern. So entsteht Verbindlichkeit – und das “Wie” wird nicht als abstraktes Konzept, sondern als gelebte Praxis erfahrbar. 

3. Operationalisierung im Führungsalltag  

Die “Ways of Working” müssen im Arbeitsalltag greif- und messbar sein. Führungskräfte müssen daher lernen, anhand der “Wie”-Kriterien gutes von exzellentem Verhalten zu unterscheiden – und das auch konkret zu benennen und Feedback dazu zu geben. Effektive Lernmethoden dafür sind unter anderem In-Person-Trainings, How-to-Guides oder Apps mit Praxisübungen und Fallstudien. 

“Ways of Working” sind strategischer Erfolgsfaktor – für Startups ebenso wie für den Mittelstand oder internationale Konzerne. Sie bilden die Brücke zwischen Kultur und Geschäftserfolg, geben Orientierung im Arbeitsalltag, schaffen Klarheit über Erwartungen und ermöglichen eine Zusammenarbeit, die nicht vom Zufall abhängt, sondern systematisch gefördert wird. (pg/fm)

Sie wollen weitere interessante Beiträge zu diversen Themen aus der IT-Welt lesen? Unsere kostenlosen Newsletter liefern Ihnen alles, was IT-Profis wissen sollten – direkt in Ihre Inbox!

Viele Bürgerinnen und Bürgern erleben im Alltag, dass digitale Verwaltungsleistungen sich oft in Online-Formularen erschöpfen, die als PDF heruntergeladen und ausgedruckt werden müssen.

Das bestätigt die Studie „Digitalisierung in der öffentlichen Verwaltung 2026“, die CIO und COMPUTERWOCHE mit den Partnern UiPath und Materna durchgeführt haben. An ihr nahmen 316 Entscheiderinnen und Entscheider aus deutschen Behörden unterschiedlicher Größe und Verwaltungsebenen teil. Demnach haben erst 28 Prozent der Behörden ihre Verwaltungsleistungen komplett digitalisiert, während 34 Prozent noch (weitgehend) offline arbeiten.

Den höchsten Reifegrad der Stufe 4, also die medienbruchfreie Leistungserbringung inklusive Once-Only-Prinzip, erreichen im Schnitt nur 14 Prozent der Behörden. Eine deutliche Mehrheit von 65 Prozent der Befragten kann zudem keinen verbindlichen Termin für das Erreichen von Reifegrad 4 nennen, sodass ein klarer Zeithorizont für diesen Qualitätssprung fehlt.

Theorie und Praxis: Die Automatisierungslücke

Dabei klafft eine Lücke zwischen dem theoretischen Automatisierungspotenzial der Verwaltungsprozesse, das nach Selbsteinschätzung der Behörden im Schnitt bei 49 Prozent liegt, und den bislang nur 23 Prozent tatsächlich automatisierten Prozessen. Diese Differenz von 26 Prozentpunkten signalisiert, dass die Bereitschaft zur Automatisierung vorhanden ist, es bei der Umsetzung jedoch hapert.

Immerhin ist die Digitalisierung der Verwaltung kein bloßes Lippenbekenntnis. Ein Drittel der Behörden führt 2026 entsprechende Projekte durch, weitere 29 Prozent haben die nächste Digitalisierungswelle für 2027 fest eingeplant. Allerdings sind zwölf Prozent der Vorhaben auf vier und mehr Jahre ausgelegt und werden somit frühestens 2030 abgeschlossen sein. Signifikant ist das Gefälle nach Behördengröße. Während vier von zehn Häusern mit 1000 und mehr Beschäftigten Digitalisierungsprojekte aktiv realisieren, sind es bei kleineren Behörden mit weniger als 250 Beschäftigten nur 19 Prozent.

Top-3-Hindernisse: Standards, Föderalismus, Know-how-Lücken

Die Ursachen für den schleppenden Fortschritt sind struktureller Natur. Das größte Hemmnis sehen 48 Prozent der Befragten in fehlenden Standards für Daten und Schnittstellen, 40 Prozent in der föderalen Zersplitterung ohne zentrale Steuerung. Dahinter rangieren gleichauf mit jeweils 37 Prozent Know-how-Defizite, IT-Fachkräftemangel, Datenschutzunsicherheiten und knappe Budgets. Diese Häufung verweist auf ein Problem, das in über Jahrzehnte gewachsenen, veralteten IT-Systemen wurzelt.

Auffallend sind die Wahrnehmungsunterschiede zwischen den Funktionsträgern. Bei der föderalen Zersplitterung liegen Behördenleitung mit 24 Prozent und IT-Verantwortliche mit 46 Prozent ganze 22 Prozentpunkte auseinander. Noch deutlicher ist die Kluft bei datenschutzrechtlichen Unsicherheiten, die lediglich 15 Prozent der Behördenleitenden, aber 39 Prozent der IT-Verantwortlichen als Bremse benennen.

Once-Only und Souveränität zwischen Anspruch und Realität

Ebenfalls groß ist der Abstand zwischen politischem Zielbild und gelebter Praxis beim Once-Only-Prinzip (OOP). 47 Prozent der Befragten sehen die im Onlinezugangsgesetz (OZG) verankerte Pflicht, Daten nur einmal zu erheben, eher als Wunschbild denn als Realität. Nur 18 Prozent halten eine Umsetzung in den kommenden fünf Jahren für realistisch. Am skeptischsten sind ausgerechnet Kommunen (16 Prozent), die wegen der meisten Bürgerkontakte am stärksten vom OOP profitieren würden. Bundesbehörden (27 Prozent) zeigen sich dagegen deutlich zuversichtlicher.

Ein vergleichbares Muster prägt die digitale Souveränität. Für mehr als die Hälfte der Befragten (52 Prozent) hat sie bei Ausschreibungen hohe bis allerhöchste Priorität. Nur eine Minderheit von 17 Prozent hält die priorisierte Beschaffung von Lösungen, die mit der Deutschen Verwaltungscloud (DVC) kompatibel sind, für problemlos oder weitgehend gut realisierbar. Dass 29 Prozent die Realisierbarkeit mit „Weiß nicht“ bewerten, spricht dafür, dass der Rahmen in vielen Behörden noch nicht operativ verankert ist.

Datenschutz bremst die Cloud, Unkenntnis die DVC

Die Studie förderte aber noch weitere aufschlussreiche Ergebnisse zutage. So sind Cloud-Dienste in der Verwaltung inzwischen kein Randthema mehr. Knapp 39 Prozent der Behörden nutzen sie, weitere 22 Prozent planen den Einsatz. Als mit Abstand größte Hürde für den Cloud-Einsatz nennen 59 Prozent Datenschutzanforderungen wie die DSGVO.

Die 2025 gestartete Deutsche Verwaltungs-Cloud (DVC) als „souveränes Cloud-Fundament der öffentlichen Verwaltung in Deutschland“ wird mehrheitlich als Ergänzung (37 Prozent) bestehender Infrastrukturen gesehen, nur in 22 Prozent der Fälle als Ersatz. Rund die Hälfte der Befragten erwartet von der DVC immerhin eine positive Entwicklung, doch 52 Prozent kennen die DVC nach eigener Aussage kaum. Entsprechend ernüchternd sind die Zufriedenheitswerte in puncto Standardisierungsgrad (18 Prozent) und Interoperabilität (16 Prozent).

KI in Behörden: Einsatz wächst, Know-how fehlt

Künstliche Intelligenz hat ebenfalls Einzug in den Behörden gehalten. 29 Prozent setzen bereits KI-Tools ein, 17 Prozent planen dies für die nächsten zwei Jahre. Im Vordergrund stehen generative KI und Large Language Models (LLM) mit 55 Prozent. Acht von zehn Behörden, die KI nutzen, stehen zudem dem Einsatz von KI-Agenten positiv gegenüber, wobei Datenschutzrisiken mit 48 Prozent das größte Hemmnis bilden.

Der eigentliche Engpass liegt beim Know-how. Nur 31 Prozent der Behörden verfügen nach eigener Einschätzung vollständig oder ausreichend über die nötigen Daten- und KI-Skills. Ohne eine gezielte Qualifizierungsoffensive droht der KI-Einstieg also in eine Sackgasse zu führen, bevor er wirklich begonnen hat. Besonders kritisch ist die Lage in den Kommunen, wo 21 Prozent entsprechende Skills haben, während Landesbehörden mit 43 Prozent erheblich besser dastehen.

Kaum Erfolgsmessung, schwache Zufriedenheit mit IT

Ein blinder Fleck ist auch die Steuerung der Digitalisierung, denn ein Viertel der Behörden führt keine Erfolgskontrolle durch. Nur elf Prozent messen den Digitalisierungserfolg systematisch. Aufschlussreich ist der Blick auf Funktionsträger: Bewerten 58 Prozent der IT- und Digitalisierungsverantwortlichen den Erfolg, sind es in der Fachverwaltung nur 42 Prozent. Wer die Digitalisierung verantwortet, misst sie also häufiger als jene, die sie umsetzen.

Dazu passt die verhaltene Zufriedenheit mit der eigenen Behörden-IT. Am besten schneiden die Security-Anforderungen mit 43 Prozent ab, am schlechtesten die Flexibilität und Anpassbarkeit der IT-Systeme mit 20 Prozent. Über ein Drittel (36 Prozent) attestiert den eigenen Portalen zudem Behördendeutsch statt verständlicher Sprache.

Doppeltes Risiko: Offline- und Online-Versagen der Verwaltung

Brisant ist der Blick nach vorn. Wenn der demografische Wandel das Betreiben physischer Bürgerämter in kleinen Kommunen unmöglich macht, droht ein doppeltes Versagen des Staates, erst offline und dann online. 69 Prozent der Behörden sehen dieses Szenario als ernste Gefahr, davon 36 Prozent als groß bis sehr groß.

46 Prozent der kleinen Verwaltungen mit weniger als 250 Beschäftigten schätzen das Risiko deutlich höher ein als große Häuser mit über 1000 Beschäftigten. Dort sind es nur 30 Prozent, ein Abstand von 16 Prozentpunkten, der die Nähe der Kommunen zur Versorgungsrealität widerspiegelt. Die Botschaft dieser Zahlen ist eindeutig: Die öffentliche Verwaltung läuft Gefahr, einen gesellschaftlichen Kipppunkt zu verpassen, wenn analoge Strukturen schneller wegbrechen, als digitale Alternativen tragfähig werden.

Studiensteckbrief

Herausgeber: CIO, CSO und COMPUTERWOCHE

Studienpartner: Materna Information & Communications SE; UiPath GmbH

Grundgesamtheit: Oberste (IT-)Verantwortliche in Unternehmen der DACH-Region: Beteiligte an strategischen (IT-)Entscheidungsprozessen im C-Level-Bereich und in den Fachbereichen (LoBs); Entscheidungsbefugte sowie Experten und Expertinnen aus dem IT-Bereich

Teilnehmergenerierung: Persönliche E-Mail-Einladung über die Entscheiderdatenbank von CIO, CSO und COMPUTERWOCHE sowie – zur Erfüllung von Quotenvorgaben – über externe Online-Access-Panels

Gesamtstichprobe: 316 abgeschlossene und qualifizierte Interviews

Untersuchungszeitraum: 12. bis 21. März 2026

Methode: Online-Umfrage (CAWI) Fragebogenentwicklung & Durchführung: Custom Research Team von CIO, CSO und Computerwoche in Abstimmung mit den Studienpartnern

Wie der Cloud Report 2026 des Branchenverbands Bitkom zeigt, ist Cloud Computing in der deutschen Wirtschaft mittlerweile Standard. In der Cloud wird immer mehr gespeichert und gearbeitet, wobei Private Cloud (64 Prozent) häufiger genutzt wird als Public Cloud (53 Prozent). Zusätzlich ist Cloud selbst ein Geschäftsmodell, entweder als Produkt oder als Teil davon, welches von 22 Prozent der Befragten angeboten wird.

Fällt die Cloud – egal, in welcher Form – einmal aus oder ist nicht erreichbar, macht sich schnell Panik breit. Zurecht, wie eine Umfrage von Bitkom zeigt: 46 Prozent der mehr als 600 befragten Unternehmen in Deutschland müssten über kurz oder lang wohl die Arbeit einstellen. Jedes elfte (neun Prozent) könnte sogar ab dem Moment des Ausfalls nicht mehr weiterarbeiten. Im Schnitt, so zumindest die subjektive Einschätzung der Cloud-Nutzer, könnte der Geschäftsbetrieb rund drei Tage (78 Stunden) aufrecht gehalten werden.

Dass ein solches Szenario nicht völlig aus der Luft gegriffen ist, zeigt die Umfrage: So kam es in den vergangenen zwölf Monaten bei 28 Prozent der Unternehmen, die Cloud-Dienste nutzen, zu gravierenden Cloud-Ausfällen.

Die Maßnahmen, um die Folgen abzumildern und Auswirkungen auf die Arbeitsabläufe möglichst gering zu halten, sind dabei mannigfaltig:

• 82 Prozent verfügen über Notfall- und Wiederanlaufpläne,
• Drei Viertel (75 Prozent) haben wichtige Daten außerhalb der Cloud gesichert,
• Zwei Drittel (69 Prozent) monitoren selbst die Cloud-Dienste, um rasch reagieren zu können,
• 68 Prozent haben vertragliche Vereinbarungen mit den Cloud-Anbietern geschlossen und
• 66 Prozent können einen Notbetrieb mit lokalen Lösungen starten.

Außerdem haben sechs von zehn Unternehmen (59 Prozent) Anwendungen auf unterschiedliche Systeme verteilt, ein Drittel (35 Prozent) hat redundante Systeme und acht Prozent nutzen einen zweiten Cloud-Anbieter als Maßnahme, um sich vor Cloud-Ausfällen zu schützen.

„Eine funktionsfähige Cloud ist für Unternehmen so wichtig wie stabile Stromversorgung und Zugang zum Internet“, erklärt Bitkom-Präsident Dr. Ralf Wintergerst. „Gleichzeitig ist die Nutzung von Cloud-Diensten häufig sicherer und stabiler, als auf eigene Server zu setzen. Wichtig ist deshalb, die Cloud in ein Sicherheitskonzept für das Unternehmen zu integrieren.“

In den letzten Jahren ging man in der Unternehmens-IT standardmäßig davon aus, dass KI denselben Weg wie viele andere Workloads einschlagen würde – und sich in der Public Cloud etabliert. Die Annahme schien auf den ersten Blick plausibel: Schließlich verfügen Hyperscaler über Infrastruktur, GPU-Kapazität, Managed Services und Entwickler-Ökosysteme. Wer schnell vorankommen wollte, für den schien KI in der Public Cloud lange die naheliegende Lösung zu sein.

Diese Logik wird nun durch die Realität in Frage gestellt. Unternehmen vollziehen mit Blick auf KI zunehmend den Schritt von Experimenten hin zum Produktivbetrieb. Dabei stellen immer mehr Anwender fest, dass die Public Cloud zwar ein komfortabler Ausgangspunkt ist – aber langfristig nicht die praktischste Lokation: Immer öfter kommt in Unternehmen die Frage auf, ob sie es sich leisten können, ihre KI-Strategie langfristig aufzubauen auf:

• Kostenmodellen, die sie nicht kontrollieren,
• Risiken, die sie nicht vollständig eindämmen können, und
• Architekturen, die eher auf die Skalierbarkeit der Anbieter als auf die Wirtschaftlichkeit des eigenen Unternehmens optimiert sind.

Deshalb wird KI in der Private Cloud sowie On-Premises zunehmend populärer. Die Anwender wechseln jedoch nicht auf diese Lösungen, weil das gerade angesagt ist. Sondern, weil es in vielen Fällen die finanziell vernünftigste Entscheidung ist.

Wann schnappt die KI-Token-Falle zu?

Allgemein gelten Token-basierte KI-Preismodelle weiterhin als stabiles, ausgereiftes Geschäftsmodell. Das trifft allerdings nicht zu: Vielmehr handelt es sich weiterhin um ein stark von den Anbietern subventioniertes Umfeld, das von aggressiver Rabattpolitik geprägt ist. Marktanteile haben für die Anbieter dabei Priorität vor anständigen Margen. Das mag für die Anwender kurzfristig eine gute Nachricht sein. Es ist aber gefährlich anzunehmen, dass diese Bedingungen von Dauer sein werden.

Wenn Unternehmen ihre KI-Nutzung skalieren, kann der resultierende Token-Konsum schnell zu einem ernstzunehmenden finanziellen Risiko werden. Ein Chatbot-Pilotprojekt ist eine Sache. Eine unternehmensweite Applikation für Geschäftsprozesse, Kundeninteraktion, Wissenssysteme, Automatisierung, Analytics oder Embedded Software etwas ganz anderes. Die in der Pilotphase einst vertretbaren Gebühren für KI-Token verwandeln sich in diesen Fällen zu wiederkehrenden Betriebskosten. An diesem Punkt können dann selbst geringfügige Preisanpassungen erhebliche Auswirkungen auf das Unternehmensbudget haben.  

In der Konsequenz überdenken viele Führungskräfte im Technologiebereich derzeit ihre Annahmen bezüglich der Kosten von KI. Dabei erkennen sie zunehmend auch, dass die aktuelle Preisgestaltung möglicherweise nicht die langfristigen Ausgaben widerspiegelt. Wenn die Subventionen auslaufen und die Nutzung zunimmt, dürften die Token-Kosten stark ansteigen und damit großangelegte KI-Implementierungen unter Umständen wirtschaftlich unrentabel machen.

Das ist die Falle, die Unternehmen vermeiden sollten: Kein CIO möchte erklären müssen, dass das Unternehmen KI zwar erfolgreich in Betrieb genommen hat – aber kein Geschäftswert entstanden ist, weil die Anbieterrechnung ihn aufgefressen hat. Ganz ähnlich ist es vielen Firmen bereits mit Blick auf die Cloud ergangen – denselben Fehler bei KI zu wiederholen, ist kein gangbarer Weg.

Hybrid AI – das natürliche Endziel

Es kristallisiert sich zunehmend heraus, dass die Zukunft der Enterprise-KI weder ausschließlich in der Public Cloud noch On-Premises liegt. Vielmehr ist diese Zukunft in vielen Fällen hybrid:  Der Markt reift über ideologische Gräben hinaus und entwickelt sich in eine Richtung, in der Workloads auf der Grundlage von Wirtschaftlichkeit, Governance, Latenz und Kontrolle platziert werden.

Dieser Wandel ist bedeutsam, weil nicht jedes KI-Problem ein riesiges gehostetes Modell erfordert – im Gegenteil: Immer mehr Anwender stellen fest, dass kleinere, domänenspezifische KI-Modelle bei spezifischen Business-Tasks genauso gut und oft sogar besser abschneiden. Einige nutzen optimierte Modelle, andere setzen auf klassisches Machine Learning und prädiktive Systeme. Wieder andere kombinieren Retrieval-Techniken mit Small Language Models (SMLs). Und wieder andere entwickeln eingeschränkte Modelle, die strikt auf bestimmte Betriebsdomänen zugeschnitten sind. Diese Systeme sind für eine Private-Infrastruktur oft deutlich besser geeignet: Sie befinden sich näher an den Unternehmensdaten, lassen sich für vorhersehbare Workloads optimieren und gehen nicht mit einem, nach oben hin offenen, Token-basierten Abrechnungsmodell einher.

Das gilt insbesondere, wenn das KI-Modell häufig innerhalb von internen Geschäftsprozessen eingesetzt wird und nicht nur gelegentlich von einer begrenzten Anzahl von Nutzern. Mit anderen Worten: Unternehmen entscheiden sich nicht nur für Private AI, weil ihnen die Preisgestaltung der Public Cloud missfällt. Sie entscheiden sich dafür, weil sie lernen, KI-Systeme zu entwickeln, die den Anforderungen des Unternehmens entsprechen, anstatt sich standardmäßig auf das zu verlassen, was (von außen) am einfachsten zu nutzen ist.

Security und Governance als Zusatztreiber

Die Kosten von KI sind für die meisten Anwender zwar das drängendste Anliegen sein – aber nicht das einzige. Security und Governance entwickeln sich zu ebenso wichtigen Triebkräften, denn Anwenderunternehmen fühlen sich zunehmend unwohl bei dem Gedanken daran, dass sensible Informationen über öffentlich zugängliche KI-Tools, APIs und Benutzer-Workflows verarbeitet werden, die diffizil zu überwachen und zu kontrollieren sind.

Und diese Sorge ist nicht abstrakt: Regelmäßig halt vertrauliche Informationen in öffentlichen KI-Schnittstellen Einzug, weil die Mitarbeiter danach streben, ihre Produktivität zu steigern. So arbeiten etwa Dev-Teams manchmal schneller, als die Richtlinien Schritt halten können oder führen Geschäftsbereiche Tools erst einmal außerhalb der Governance ein. Das erhöht das Risiko für Datenlecks, Compliance-Verstöße und Sicherheitsvorfälle, die in direktem Zusammenhang mit dem KI-Einsatz stehen.

Zwar können Public Clouds ein hohes Maß an Sicherheit bieten, doch viele Anwender bevorzugen für sensible KI-Workloads strengere interne Kontrollen, um eine optimierte Observability, Zugriffskontrolle, Datenlokalität und Richtliniendurchsetzung zu gewährleisten. Private AI reduziert hingegen die Anzahl der Unbekannten: Sie gibt Unternehmen eine direktere Kontrolle darüber:

• wo sich Daten befinden,
• wie Modelle genutzt werden,
• wer darauf zugreifen darf und
• wie Systeme geprüft werden.

Das beseitigt das Risiko zwar nicht vollständig, sorgt aber dafür, dass es besser zu managen ist.

Private AI – der Aufwand lohnt sich

Die schlechte Nachricht: Private AI ist nicht trivial. Die Technologie On-Premises oder in der Private Cloud einzusetzen, erfordert:

• Investitionen,
• Planung,
• spezielles Knowhow,
• operative Disziplin, sowie
• die Bereitschaft, einen größeren Teil der Infrastruktur selbst zu managen.

Anwenderunternehmen, die diesen Weg beschreiten, müssen sich zudem mit Infrastrukturdesign, GPU-Auslastung, Lebenszyklusmanagement, Modellbetrieb, Integration und Ausfallsicherheit auseinandersetzen – also die Aspekte, die bei Public Services oft abstrahiert werden. Dieser zusätzliche Aufwand birgt ebenfalls echte Risiken: Manche Unternehmen werden den betrieblichen Aufwand unterschätzen, andere werden zu viel für die Infrastruktur ausgeben – und wieder andere werden Schwierigkeiten damit haben, die richtigen Fachkräfte zu finden.

Aufgrund der möglichen Kosteneinsparungen sind jedoch viele Unternehmen inzwischen bereit, das auf sich zu nehmen. Diese Anwender steigen nicht auf Private AI um, weil es einfacher ist, sondern weil es auf lange Sicht klüger ist. Sie sind zu der Überzeugung gelangt, dass es besser ist, in eigene erfolgskritische Kapazitäten zu investieren, als diese über eine externe Plattform mit unklarer wirtschaftlicher Zukunft zu beziehen. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Infoworld.com erschienen.

Microsoft-CEO Satya Nadella sorgte kürzlich für Aufsehen, als er prognostizierte, dass traditionelle Enterprise-Anwendungen im Zeitalter der agentischen KI „kollabieren” würden. Die Befürchtungen vieler Anleger, dass AI-Agenten den Markt für Unternehmenssoftware erschüttern werden, spitzten sich Anfang Februar zu, als die Veröffentlichung von Anthropic Cowork einen massiven Ausverkauf von Software-Aktien auslöste.

Ist die „SaaS-pocalypse“ lediglich ein Phänomen der Wall Street, oder hat sie auch Auswirkungen auf CIOs? Ist die Rhetorik „SaaS ist tot“ realistisch, oder ist sie maßlos übertrieben? Wir haben Branchenbeobachter befragt, womit sie rechnen.

Etablierte Lieferanten sind im Vorteil

Branchenausblick: Die aktuellen Marktführer werden ihre Dominanz auf absehbare Zeit ausüben, indem sie KI-Agenten in ihre Plattformen integrieren.

Forrester-Analystin Kate Leggett hat eine klare Meinung zur Zukunft des Softwaremarktes: „Es gibt einmal die Bewertungen von Investoren und dann gibt es die Realität, was in großen Unternehmen tatsächlich geschieht und in welchem Zeitrahmen Veränderungen stattfinden werden.“ Kernanwendungen würden so schnell nicht verschwinden, erklärt sie gegenüber unserer US-Schwesterpublikation CIO.com, auch wenn es an den Rändern zur Erosion komme. In welchem Zeitrahmen? „Es könnte Jahrzehnte dauern, bis alle Ausgaben vollständig von KI-Agenten übernommen werden.“

Abonnieren Sie unserer CIO-Newsletter für mehr Analysen, Hintergründe und Deep Dives für die CIO-Community.

IT-Experte William Flaiz fügt hinzu: „Auf Führungsebene werden keine Entscheidungen getroffen, CRM-Systeme komplett abzuschaffen.“ Allerdings hätten CIOs in Unternehmen einen starken Anreiz, agentische KI in bestehende Plattformen zu integrieren, um mehr Wert aus ihren Investitionen herauszuholen. „Sie suchen nach Möglichkeiten, mit den ihnen zur Verfügung stehenden Tools bessere Ergebnisse zu erzielen“, sagt Flaiz.

„Hinsichtlich des Ausmaßes der Umwälzungen gibt es viel Schwarz-Weiß-Denken“, berichtet Alex Demeule, Senior Analyst bei Technology Business Review Inc. (TBRI). „Natürlich wird KI einen großen Einfluss auf Softwareanbieter haben. Aber in den kommenden fünf bis zehn Jahren sind sie viel besser positioniert für den Sprung ins KI-Zeitalter, als es der Aktienkurs vermuten lässt.“ Seine Prognose lautet, dass Agentic AI nur langsam eingeführt wird und Menschen noch viele Jahre lang eine Rolle spielen werden.

Agentic AI wird Preismodelle revolutionieren

Branchenausblick: Agentische KI wird einen grundlegenden Wandel von Abo-basierenden hin zu verbrauchs- oder ergebnisorientierten Preismodellen auslösen.

Dana Gardner, Präsident und Chefanalyst bei Interarbor Solutions, ist der Ansicht, dass es kurz- bis mittelfristig weniger darum geht, bestehende Software-Systeme komplett zu ersetzen. Vielmehr stehe das Ende der Preismacht ihrer Lieferanten bevor. „Versierte CIOs werden KI nutzen, um die Gesamtkosten der IT zu senken.” Schließlich seien KI-Agenten in der Lage, Verbrauchs- und Nutzungsmuster von Business-Applikationen zu verstehen. CIOs können diese Erkenntnisse in günstigere Verträge umsetzen.

In einem Bericht über die Auswirkungen von KI auf den SaaS-Markt schreibt die Unternehmensberatung Bain & Co.: „Wenn ein AI Agent eine menschliche Aufgabe ersetzt, erwarten Kunden, dass sie auf Basis der Ergebnisse bezahlen und nicht nach der Anzahl der Anmeldungen. Marktführer wie Intercom und Salesforce bewegen sich bereits in diese Richtung. Der grundlegende Wandel besteht darin, nicht mehr für den Zugriff, sondern für die geleistete Arbeit zu berechnen.“

Auch die Marktbeobachter von IDC stellen im Report „FutureScape: Worldwide Agentic AI 2026 Predictions“ fest, dass eine rein auf Nutzerlizenzen basierende Preisgestaltung bis 2028 überholt sein wird. So würden 70 Prozent der Softwareanbieter demnach ihre Preisstrategien auf neue Wertkennzahlen wie Verbrauch, Ergebnisse oder organisatorische Fähigkeiten umstellen.

Laut Forrester-Analystin Leggett werde sich die Abkehr von Abo-Preisen auf verschiedene Weise vollziehen. So könnte ein CIO, der ein Abonnement für 100 Lizenzen hat, beispielsweise 10 oder 20 dieser Lizenzen gegen eine nutzungs- oder ergebnisbasierte Abrechnung umtauschen. Lieferanten würden voraussichtlich Lizenzstufen oder flexible Optionen mit einer Art agentenbasierter Preisgestaltung anbieten.

Softwareplattformen werden fusionieren und neue Rivalitäten schaffen

Branchenausblick: Da KI-Agenten nicht unterscheiden, woher die Daten stammen, werden die Grenzen zwischen traditionellen Kategorien der Unternehmenssoftware wie CRM und ERP verschwimmen.

Um effektiv zu arbeiten, benötigen KI-Agenten Zugriff auf Daten, unabhängig davon, wo diese gespeichert sind. SaaS-Anbieter haben das erkannt und heben die Grenzen zwischen CRM, ERP, IT-Service-Management und anderen Kategorien auf. Leggett weist beispielsweise darauf hin, dass Lieferanten wie Oracle und Microsoft einheitliche Datenplattformen aufbauen. Diese lassen sich via Model Context Protocol (MCP) integrieren, um komplexe KI-basierte Workflows zu unterstützen.

• Oracle bietet eine integrierte Suite aus cloudbasierten ERP- und CRM-Anwendungen sowie eine vollständig verwaltete agentenbasierte Plattform an.
• Microsoft offeriert unter dem Dach von Dynamics 365 sowohl ERP- als auch CRM-Funktionalitäten, ebenso wie branchenspezifische Lösungen auf Basis kleiner Sprachmodelle (SLMs), die schlanker und kostengünstiger sind als LLMs.
• SAP integriert seine Signavio-Suite für Geschäftsprozess-Management, sein LeanIX-SaaS-Tool für Unternehmensarchitektur-Management sowie seinen Joule-AI-Agenten zu einem einheitlichen System.
• Salesforce führt sein Mulesoft-Angebot für Integration und Automatisierung als Platform-as-a-Service mit seiner Data360-Kundendatenplattform und seiner Agentforce-AI-Plattform zusammen.
• Das IT-Service-Management-Schwergewicht ServiceNow hat die Übernahme des Anbieters der agentischen KI-Plattform Moveworks abgeschlossen und Salesforce im CRM-Bereich herausgefordert.

Gewinner und Verlierer im Software-Sektor

Branchenausblick: Agentic AI wird erhebliche Auswirkungen auf Anbieter von Einzelprodukten haben. Anbieter mit generischen Apps müssen kämpfen, während Lieferanten beispielsweise branchenspezifischer Tools besser aufgestellt sind.

Laut Analystin Leggett von Forrester werden Einzelprodukte wie Workflow-, Tabellenkalkulations- oder einfache Projektmanagement-Apps „in relativ kurzer Zeit verschwinden“, da sie leicht nachzubilden sind. Stark vertikalisierte Apps seien besser vor Disruption geschützt, da sie tiefgreifendes Fachwissen und Integrationen mit angrenzenden Systemen, beispielsweise aus den Bereichen CAD oder medizinische Bildgebung, bieten. Beispiele hierfür sind Epic und Cerner für das Management elektronischer Patientenakten (EHR), IQVIA für Pharmazie und Biowissenschaften oder Procore im Bauwesen.

Laut Leggett verfügen die großen Anbieter von CRM-Plattformen über eingebaute Vorteile: einen Schutzwall um ihre Daten, branchenspezifisches Wissen und Workflows, tiefe Partnernetzwerke, bewährte Branchen-Practices sowie Fachwissen in regulatorischen Feldern. Demeule von TBRI weist zudem darauf hin, dass etablierte Anbieter gerade deshalb langfristig Bestand haben, weil sie sich bei jeder Disruptionswelle erfolgreich neu ausrichten konnten – sei es beim Übergang von On-Premises-Lösungen zur Cloud oder bei der Umstellung von unbefristeten Lizenzen auf Abonnements.

Vibe-Coding als Disruptor spezifischer Segmente

Branchenausblick: Vibe-Coding könnte die Vormachtstellung der SaaS-Anbieter ins Wanken bringen und Endnutzern die Möglichkeit geben, ihre eigenen Agenten zu erstellen.

Vibe-Coding, also KI-Agenten zu verwenden, um Software auf Basis einfacher Eingaben in natürlicher Sprache zu erstellen, hebt die Low-Code- und No-Code-Bewegung auf eine neue Stufe. Mithilfe von Vibe-Coding können Software-Anwender KI-Dienste nutzen, um eine Produktivitäts-App zu erstellen, die über die Grenzen einer traditionellen CRM- oder ERP-Plattform hinausgeht.

Laut Leggett stellt Vibe-Coding eine echte Bedrohung dar, da es Arbeitnehmern potenziell ermöglicht, produktiver zu sein. So ließen sich traditionelle Plattformen für Enterprise-Software umgehen, auch weil sie von vielen Nutzern als aufgebläht und kompliziert angesehen werden.

Unternehmen, die technologisch rückständig sind, verfügen möglicherweise nicht über die Fähigkeiten oder das Selbstvertrauen, eigene Agenten zu entwickeln und einzusetzen, die geschäftskritische Arbeitsabläufe beeinflussen. „Vibe-Coding als punktuelle Lösung betrachten wir als disruptiv”, sagt Demeule. „Geschäftsmodelle für kleine, isolierte Lösungen geraten durch AI-Agenten in große Gefahr. Wer aber komplexe, unternehmenskritische Infrastrukturen managt, der ist aktuell sicher, weil KI diese Komplexität noch nicht beherrscht.“

Eine agentische Orchestrierungsschicht entsteht

Branchenausblick: Es wird weiterhin herkömmliche SaaS-Anwendungen geben, doch diese werden voraussichtlich hinter einer agentischen Orchestrierungsschicht verborgen sein.

Analysten sind sich einig, dass die Benutzeroberfläche der Zukunft nicht die herkömmliche SaaS-Lösung, sondern agentisch sein wird, während das CRM- oder ERP-System in den Hintergrund tritt. IDC-Analyst Bo Lykkegaard erläutert den Trend: „Komplexität ist die Achillesferse des SaaS-Modells. Jede SaaS-Anwendung erfordert eine eigene Lernkurve und Benutzeroberfläche, was bei sporadischer Nutzung schnell zu Ineffizienzen führt.“

KI biete hier eine überzeugende Lösung: Anstatt durch mehrere Dashboards zu navigieren, könnten Nutzer mit agentengesteuerten, dialogorientierten Schnittstellen interagieren, die systemübergreifend Aufgaben ausführen. Das Ergebnis? „KI als eine neue Schnittstellenschicht, die Komplexität abstrahiert, repetitive Prozesse automatisiert und neu definiert, wie Menschen Software nutzen.“ Die entscheidende Frage für die kommenden Jahre: Werden CIOs diese Funktionalität von ihren aktuellen Software-Lieferanten oder von Disruptoren wie OpenAI, Anthropic und Palantir beziehen? (ajf/jd)

Um Mitarbeiter in IT-Unternehmen zu motivieren, das Beste aus ihnen herauszuholen und sie zu einem erfolgreichen Team zusammenzuschweißen, ist gute Führung gefragt. Doch was heißt gute Führung, worauf kommt es an?

Effiziente Führungskräfte sind Macher. Sie ergreifen die Initiative. Im Sinne von: einfach machen, also: “Entscheiden und durch!” Aber auch im Sinne von “einfach(er) machen”. Das gelingt ihnen, weil sie trotz – oder auch gerade wegen – aller Komplexität im Business Führungsleitlinien an der Hand haben, die einfach und klar sind. Ich nenne solche Führungspersönlichkeiten daher ©lean leader: Sie sind “clean” in ihrer Führung – sauber und klar.

Diese erfolgreichen Manager berufen sich auf ein Set an klaren Werten. Das macht sie berechenbar für ihre Mitarbeiter. Es macht sie authentisch und zuverlässig. Zuverlässigkeit wiederum gibt den Mitarbeitern Sicherheit – Sicherheit in Zeiten des Wandels (also immer), bei wirtschaftlichen Herausforderungen. Sie geben da Orientierung, wo die Business-Welt immer schneller, fordernder und widersprüchlicher wird. Gerade in dieser Zeit der massiven Veränderungen helfen sie, Barrieren im Kopf zu finden und zu lösen.

Das heißt: Führungskräfte machen sich selbst und ihr Team erfolgreich, indem sie Orientierung geben. Ihre Führungsprinzipien sind damit die Basis eines Führungshandelns, das von Werten zu Wertschöpfung führt. Ich gebe Ihnen vier Führungsprinzipien an die Hand, auf die es ankommt:

Führungsprinzip 1: Fokussieren Sie sich auf die wesentlichen Dinge

Arbeiten Sie mehr am Unternehmen, weniger im Unternehmen. Was ich damit meine: Nicht Ihre vielen Überstunden und die zahlreichen E-Mails, die zwischen Ihnen und Ihren Mitarbeitern hin- und hergehen, führen Ihr Unternehmen in die Zukunft. Es kommt vielmehr darauf an, das Richtige zur richtigen Zeit, am richtigen Ort zu tun – und dies häufig und konsequent. Hierzu müssen Sie oft Dinge in Millisekundenschnelle innerlich bewerten können. Ein gutes Gefühl dafür zu entwickeln, was jeweils zu entscheiden ist, ist somit Ihr Ass.

Tipp: Trainieren Sie Ihre Intuition. Üben Sie dies schon bei Ihrer nächsten Entscheidung. Was ist Ihre erste spontane Eingebung? Fassen Sie diese innerlich in Worte. Vergleichen Sie, zu welchem Ergebnis Sie bei logischer Abwägung der vorliegenden Fakten kommen. Wägen Sie dann beide Entscheidungen in ihren möglichen Auswirkungen ab. Wenn Sie so regelmäßig vorgehen, aktivieren Sie Ihre intuitiven Eigenschaften und bekommen ein feineres Gespür dafür, was sich auf Ihrer Gefühlsebene abspielt.

Führungsprinzip 2: Trainieren Sie Ihr Entscheider-Gen

Auch wenn das richtige Bauchgefühl da ist, und selbst, wenn alle Fakten geprüft, Pro-und-Contra-Listen erstellt wurden: Ein gewisses Risiko, die vermeintlich falsche Entscheidung zu treffen, besteht immer. Deshalb erfordern Entscheidungen immer Mut. Doch auch den können Sie trainieren.

Tipp: Erklären Sie Aussagen wie “Wann soll ich das denn noch machen?”, “Warum immer ich?” u.ä. für sich zum Tabu. Denn das sind “Opfer”-Aussagen. Formulieren Sie “Macher”-Aussagen daraus – etwa “Was brauche ich, um mein Ziel zu erreichen?”, “Es ist wie es ist – wie kommen wir jetzt voran?”. Machen Sie sich hierzu in Zukunft immer klar, welche Fragen zu einer Situation oder Entscheidung unausgesprochen in Ihrem Kopf sind, und notieren Sie diese.

Führungsprinzip 3: Stellen Sie den Menschen ins Zentrum Ihres Führungshandelns

Gute Führungskräfte sehen in erster Linie den Menschen im Mitarbeiter. Demnach sollte auch für Sie der Mensch, dessen Talente und seine Stärken der Fokus Ihres Handelns sein. Helfen Sie dem Mitarbeiter, mehr zu leisten als das, wozu er sich selbst imstande sieht. So machen Sie Geführte zu Folgenden.

Tipp: Stellen Sie sich immer mal wieder Fragen zu Ihrem eigenen Menschenbild: Woran glauben Sie in der Zusammenarbeit und dem Zusammenleben mit anderen Menschen – und zwar zutiefst im Inneren, wo Sie auch Ihre Vorurteile “verstecken”? Seien Sie dabei ehrlich zu sich selbst. Denken Sie außerdem darüber nach, wie Sie Ihre Haltung in der Kultur Ihres Unternehmens empfinden. Welches Menschenbild wird dort gelebt? Die Klarheit hilft Ihnen, authentisch und kongruent zu sein.

Führungsprinzip 4: Handeln Sie zuverlässig als Vorbild

Ihre Autorität hängt immer davon ab, ob Sie für Ihre Mitarbeiter ein zuverlässiges Vorbild sind. Vorbild sind Sie aber nur, wenn Ihre Worte und Ihre Taten übereinstimmen. Nehmen Sie sich den Satz “Walk your talk!” als Motto, seien Sie stets verbindlich.

Tipp: Holen Sie sich von Dritten ein detailliertes Feedback darüber ein, wie Sie nach außen hin wahrgenommen werden. Das können Mentoren, gute Bekannte oder vertrauenswürdige Kollegen sein. Prüfen Sie, ob Eigen- und Fremdbild übereinstimmen. Was glauben die Anderen, welche Werte Sie vertreten? Und wie stark empfinden diese die Übereinstimmung Ihrer Werte mit Ihrem Handeln?

Begreifen Sie Klarheit als ganz wesentliche Kompetenz im Bereich des Führungshandelns. Als Führungskraft müssen Sie schließlich benennen können, was ist und wie es ist. Fangen Sie damit an, diese Kompetenz zu entwickeln.

Die Do’s und Don’ts der Führung im leeren Büro

Don’t: Isolation Flexibles Arbeiten ist nicht für jedermann: Mitarbeiter mit großem Bedürfnis nach sozialer Interaktion benötigen Alternativen.

Don’t: Ständige Erreichbarkeit Das Pochen auf ständige Erreichbarkeit schadet der Zufriedenheit und Gesundheit der Mitarbeiter und führt oftmals zu Burn-Out.

Don’t: Schlechte Organisation Die Umstellung auf ein flexibles Arbeitsmodell über Nacht überfordert die Mitarbeiter und führt selten zum Erfolg.

Don’t: Kontrolle Die permanente Überwachung ist durch die Einschränkung der individuellen Arbeitsweise die größte Hürde auf dem Weg zur flexiblen Arbeit.

Don’t: Arbeitsweise vorschreiben Vorschriften zu Zeitplanung und Arbeitsweise mindern die Leistung der Mitarbeiter.

Do: Feedback Regelmäßiges Feedback auf die geleistete Arbeit bindet Mitarbeiter auch über große Distanzen an das Team.

Do: Spielregeln definieren Klare und transparente Regeln vermeiden Missverständnisse und erleichtern den Arbeitsalltag.

Do: Vertrauen Anwesenheit ist nicht gleich Produktivität. Flexibles Arbeiten heißt vor allem, Mitarbeitern zu vertrauen.

Do: Regelmäßige Meetings Nur der enge Austausch im Team sorgt für einen reibungslosen Ablauf und ein positives Arbeitsumfeld.

Do: Investitionen Investitionen in Technik und Support garantieren eine sichere Verwaltung und den Zugriff von jedem beliebigen Ort.

Nach jahrelanger Erfahrung mit der Cloud glaubten IT-Führungskräfte, ihre Strategien diesbezüglich endlich fest im Griff zu haben. Dann kam die KI.

Die aktuellen Herausforderungen rund um die Cloud gehen jedoch weit über künstliche Intelligenz hinaus. Dazu zählen neben der Frage, wo Workloads für maximale Effizienz platziert werden sollten, auch Governance-Anforderungen, Datensouveränität, zunehmend ausgefeilte Cyberbedrohungen und steigender Kostendruck. All diese Faktoren machen die Cloud-Landschaft immer komplexer.

Mehr als ein Infrastrukturthema

„Das Ganze hat sich zu einem ziemlich komplexen Durcheinander entwickelt“, stellt der Cloud-Experte David Linthicum fest. Eine moderne Cloud-Strategie müsse heute Private Clouds, Multi-Cloud-Umgebungen, Hybrid-Cloud-Modelle und souveräne Clouds berücksichtigen – deutlich mehr, als die meisten CIOs bislang bewältigen mussten.

Anfangs drehten sich die Diskussionen rund um Cloud vor allem um Agilität, Skalierbarkeit und Kostenoptimierung, erklärt Joshua Bellendir, CIO des Einzelhändlers WHSmith North America. „Heute müssen wir eine wesentlich größere und komplexere Zahl von Faktoren berücksichtigen: KI-Bereitschaft, Cybersicherheit, Data Governance, Anforderungen an die Datensouveränität, Edge Computing, Integrationsarchitekturen und operative Resilienz.“

Eine der größten Veränderungen bestehe darin, dass die Cloud nicht mehr nur ein Infrastrukturthema sei, so Bellendir. „Sie ist inzwischen eng mit Unternehmensarchitektur, Business Transformation und Datenstrategien verknüpft.“

Auch Amit Basu, Vice President, CIO und CISO bei International Seaways, beobachtet zunehmende Komplexität. „Zwar gelten die Vorteile geringerer Investitionskosten und höherer Flexibilität in vielen Bereichen weiterhin, doch das Management der Cloud-Umgebung ist deutlich anspruchsvoller geworden.“, erklärt er.

Jason Johnson, CIO des Musikinstrumentenhändlers Sweetwater, beschreibt die aktuelle Situation als eine der komplexesten Phasen überhaupt für das Cloud-Management. Die Anbieter erweiterten ihre Portfolios kontinuierlich um neue Services, Produktvarianten und Optionen.

„Das schafft zwar zusätzliche Möglichkeiten, verursacht aber auch erheblichen Aufwand, um den Überblick zu behalten. Man braucht Fachkräfte, die nicht nur wissen, was verfügbar ist, sondern auch beurteilen können, welche Lösung für den jeweiligen Anwendungsfall die richtige ist“, meint der IT-Entscheider.

Viele Unternehmen würden inzwischen in eine zweite Phase ihrer Cloud-Reife eintreten, nachdem sie in der ersten Phase den Fokus auf Migration und Modernisierung gelegt hätten, erklärt Johnson. „Heute geht es stärker um Optimierung, Governance, KI-Unterstützung und nachhaltigen Betrieb. Dieser Wandel verändert die Diskussionen, die ich mit CIOs führe, grundlegend.“

Die wenigsten CIOs können es sich jedoch leisten, lange über ihre nächsten Schritte nachzudenken. Sie müssen den Herausforderungen zunehmend komplexer werdender Cloud-Strategien aktiv begegnen.

Wie KI die Cloud-Gleichung verändert

„Der Wunsch, KI möglichst schnell einzuführen, setzt IT-Verantwortliche erheblich unter Druck. Dabei spielt die Cloud eine zentrale Rolle“, führt Linthicum aus. „Die Aufsichtsräte treiben das Thema noch stärker voran als den Cloud-Boom vor 15 Jahren“, erklärt er. CIOs spüren diesen Druck und müssen so schnell wie möglich handeln, um zusätzliche Rechenkapazitäten für KI-Initiativen bereitzustellen – und das in einem ohnehin schon komplexen Umfeld.“

Gleichzeitig müssten CIOs das Problem der Datenkomplexität lösen, bevor KI-Systeme erfolgreich integriert werden können, betont der Cloud-Experte. „Derzeit drehen sich viele im Kreis und versuchen herauszufinden, welcher Ansatz dafür der Beste ist.“

Hyperscaler galten früher als der einfache Weg, so Linthicum, könnten aber drei- bis viermal so teuer werden. KI-Systeme kosten seiner Einschätzung nach etwa zehnmal so viel wie vergleichbare, traditionelle Anwendungen.

Basu von International Seaways erklärt, dass KI die Diskussion über die IT-Architektur grundlegend verändert habe. „Die Verfügbarkeit von GPUs, Vektordatenbanken, Inferenz mit geringer Latenz und groß angelegte Datenpipelines bringen Anforderungen mit sich, die sich nicht nahtlos in herkömmliche Cloud-Designmodelle einfügen“, merkt er an. Unternehmen verlagern Workloads nicht mehr einfach nur in die Cloud. Sie entwerfen Architekturen für völlig andere Rechen- und Datenanforderungen.“

Laut Zachary Lewis, CIO und CISO der University of Health Sciences and Pharmacy, verstärkten die Bedürfnisse interner Stakeholder diese Komplexität noch. „Geschäftsbereiche wünschen sich unterschiedliche KI-Fähigkeiten, Sicherheitsteams wollen Governance und eine gewisse Kontrolle über KI-Anwendungen, der Justiziar möchte wissen, welche Art von Daten in das KI-Modell eingespeist werden, und das Finanzteam erwartet Kostenvorhersehbarkeit. CIOs müssen all dies unter einen Hut bringen – und das erfolgreich versteht sich“, so Lewis.

Seit der Online-Händler für Musikinstrumente und professionelle Audiotechnik Sweetwater seine Cloud-Strategie um das Jahr 2016 formalisiert hat, versucht Johnson, Workloads dort zu platzieren, wo sie für externe und interne Kunden den größten Nutzen bringen.

„Alles mit Kundenkontakt muss so nah wie möglich am Endnutzer ablaufen“, erklärt er. Die gleiche Logik gilt auch für interne Workloads: Sie gehören in die Nähe derjenigen, die sie nutzen. KI wäre ohne die Cloud nicht möglich. Die für KI erforderliche Rechenkapazität war bereits vorhanden – die Cloud verfügte darüber und konnte sie bereitstellen. In vielerlei Hinsicht ist KI vielleicht das größte Geschenk der Cloud an die Branche. Beide haben sich gegenseitig ermöglicht“, fügt der Manager hinzu.

Cloud-Kostenmanagement wird immer komplexer

Johnsons größtes Problem ist die konsistente Steuerung der Kosten. „Früher war es relativ einfach: Rechenleistung, Speicher, Datenverkehr. Heute ist es ein Puzzle. Reservierte Instanzen, Sparpläne, Spot-Preise, Kosten pro Anfrage, Gebühren für Datenübertragungen zwischen Regionen – das summiert sich schnell. Und es ist wirklich schwer vorherzusagen, wie Ihre Rechnung aussehen wird, bis sie eintrifft.“

Deshalb sei FinOps inzwischen zu einer eigenen Disziplin geworden.

Auch Basu hält FinOps für unverzichtbar. „Kosten für KI-Inferenz, Datenübertragungen und wachsende Speichermengen können monatliche Kostenschwankungen verursachen, die selbst erfahrene Teams überraschen“, führt er aus. Kostenmanagement ist heute eine kontinuierliche operative Disziplin und nicht mehr nur eine gelegentliche Überprüfung.“

Auch die Gefahr des Vendor Lock-in beschäftigt Johnson ständig. „Je tiefer man die nativen Dienste eines Anbieters integriert, desto schwieriger wird ein Wechsel. Das ist nicht zwangsläufig schlecht, aber ein Kompromiss. Ich sehe das wie technische Schulden. Man gewinnt heute Geschwindigkeit und zahlt später Zinsen, wenn man die Richtung ändern möchte.“

Gleichzeitig erkennt Johnson an, dass Cloud-Anbieter Unternehmen sind, die auf Umsatz und Marge achten und regelmäßig die Regeln für Rabatte und Kostenmodelle ändern.

Finanzielle Effizienz entstehe nicht von selbst, betont er: „Das erfordert Teams, Prozesse und echte Investitionen in FinOps. Die Werkzeuge sind vorhanden. Die eigentliche Herausforderung besteht darin, sie richtig einzusetzen.“

In den meisten Unternehmen liege das Finanzwissen in der Buchhaltung und das technische Wissen in der IT, erklärt Johnson. Beide Gruppen beim Cloud-Kostenmanagement zusammenzubringen, sei eine vergleichsweise neue Herausforderung.

„Vor zehn Jahren war das Modell einfach: Man beantragte ein Investitionsbudget, die Buchhaltung genehmigte es, Hardware wurde bestellt und die IT installierte und optimierte alles. Fertig“, sagt Johnson. „Heute ist es eine tägliche Aufgabe. Neue Dienste werden aktiviert, Verträge ändern sich, Preisstrukturen werden angepasst. Die Finanzabteilung versteht die Geldströme, aber nicht die Technik. Die IT versteht die Technik, aber nicht die finanziellen Hebel.“

Jeder große Cloud-Anbieter verfügt über die entsprechenden Tools, erklärt Johnson. „AWS Cost Explorer, Azure Cost Management, die Abrechnungs-Dashboards von Google Cloud. Die Daten sind alle vorhanden. Doch viele Unternehmen nutzen diese Daten nicht. Dann kommt die Rechnung und alle sind überrascht. Die Werkzeuge haben die Entwicklung angekündigt. Man hat nur nicht hingehört.“

Datenregulierung bringt zusätzliche Herausforderungen

Die University of Health Sciences and Pharmacy hat Studierende aus der ganzen Welt. Laut Lewis ist Cloud-Management aufgrund der zunehmenden Datenschutz- und Regulierungsanforderungen weltweit deutlich schwieriger geworden.

„Wir müssen verstehen, in welcher Cloud-Region Metadaten gespeichert werden und wo sie dauerhaft liegen. Wenn diese Daten in ein intern trainiertes Modell einfließen, können wir garantieren, dass sie in der EU bleiben? Und wenn jemand die Löschung seiner Daten verlangt, können wir alle Speicherorte zuverlässig identifizieren?“

Basu ergänzt, dass Datensouveränität zu einer weiteren zentralen Architekturfrage geworden sei.

„Sie beeinflusst, wo Workloads ausgeführt werden dürfen, wie Daten zwischen Regionen bewegt werden und was mit bestimmten Datensätzen geschehen darf. Man kann nicht davon ausgehen, dass die Standardkonfiguration eines Hyperscalers automatisch alle regulatorischen Anforderungen erfüllt.“

Private Cloud, Public Cloud oder On-Premises?

KI hat eine Neubewertung der Platzierung von Workloads ausgelöst. Johnson glaubt jedoch, dass sich die Frage nach Private Cloud, Public Cloud oder On-Premises häufiger verändert, als viele denken.

„Ich denke, die meisten unserer Workloads befinden sich derzeit am richtigen Ort. Aber wir sind nur dorthin gelangt, weil wir bereit waren, Standardannahmen zu hinterfragen.“

Bei Sweetwater gebe es keine Regel, dass neue Workloads automatisch in die Cloud gehören. Ein Workload könne in der Cloud starten und später wieder ins eigene Rechenzentrum zurückkehren, wenn die Wirtschaftlichkeit dies erfordert.

„Die eigentliche Disziplin besteht darin, dies laufend zu überprüfen, Wendepunkte zu erkennen und die Größe der Umgebung kontinuierlich anzupassen. Das richtige Werkzeug zur richtigen Zeit – das ist das einzige Prinzip, das langfristig Bestand hat.“

Basu plant keinen Umstieg auf eine Private Cloud, da die Wirtschaftlichkeit und der betriebliche Aufwand dies für sein Unternehmen nicht rechtfertigen.

„Die richtige Frage lautet: Welches Modell für Datenresidenz, Latenz und Kontrolle ist für jeden Workload angemessen? Das ist eine Frage der Datenklassifizierung, nicht der Cloud-Bereitstellungsstrategie.“

Lewis, dessen Universität rund 95 Prozent ihrer Infrastruktur in der Cloud betreibt, sieht angesichts der Anforderungen von KI und moderner Hardware kaum praktikable Alternativen.

„Wenn man groß angelegte Data Lakes trainieren und fundierte Geschäftsentscheidungen mithilfe von maschinellem Lernen und der dahinterstehenden Intelligenz treffen möchte, ist es fast nicht mehr praktikabel, auf eigene Server zu setzen“, so Lewis.

CIOs müssten sich fragen, ob sie überhaupt über das notwendige Know-how verfügen, um eine solche Infrastruktur selbst zu betreiben. Letztlich müsse man das Beste aus den vorhandenen Möglichkeiten machen.

Fokus auf die Grundlagen

Unternehmen mögen vielleicht dem neuesten Trend hinterherjagen – derzeit ist das die agentische KI –, doch IT-Führungskräfte sollten sich auf ihre Infrastruktur, das Management und die Plattformplanung konzentrieren, betont Linthicum.

„Das ist vielleicht weniger spannend, aber wenn man KI im Unternehmen einsetzen will, muss man diese Probleme zuerst lösen.“

Johnson warnt, dass die Cloud eine Vielzahl architektonischer Muster ermöglicht – und diese Freiheit könne ohne Leitplanken zum Problem werden. „Erstellen Sie das Leitliniendokument, bevor Sie es brauchen – nicht erst, wenn bereits fünf Teams auf fünf verschiedene Arten vorgehen.“

IT-Verantwortliche sollten außerdem frühzeitig für ein sauberes Tagging und Transparenz bei den Kosten sorgen. Das müsse der erste Schritt sein und dürfe nicht erst als Aufräumprojekt betrachtet werden, warnt Johnson: „Wenn Sie Ihre Ausgaben nicht vom ersten Tag an klar nachvollziehen können, sind Sie bereits im Rückstand.“

Ein weiterer wichtiger Schritt sei der Aufbau eines Audit-Programms mit klaren Kontrollen darüber, wer Änderungen an Produktivsystemen vornehmen darf: „Die Auswirkungen einer fehlerhaften Änderung in der Cloud sind größer und treten schneller ein, als die meisten Menschen erwarten – bis sie es selbst erleben.“

Die Frage nach den Kompetenzen

Die Fähigkeiten, die für den Betrieb moderner Cloud-Umgebungen erforderlich sind, entwickeln sich laut Basu schneller weiter, als die meisten internen Teams realistischerweise mithalten können. Deshalb setzt International Seaways auf spezialisierte Managed Service Provider (MSPs), anstatt in jedem Bereich tiefgehendes internes Expertenwissen aufzubauen.

„Dadurch haben wir Zugang zu aktuellen Fähigkeiten, ohne Teams ständig umschulen oder neu aufbauen zu müssen, wenn sich die Technologie ändert. Die Entscheidungen, die uns 2020 geschützt haben, wurden Jahre zuvor getroffen – lange bevor jemand ihre Bedeutung erkannt hatte. Infrastrukturstrategie bedeutet immer, sich auf eine Zukunft vorzubereiten, die noch nicht vollständig sichtbar ist.“

Entscheidend sei, solche Entscheidungen bewusst und auf Basis klarer Überlegungen zu treffen, anstatt später unter Druck reagieren zu müssen.

Anpassungsfähige Organisationen aufbauen

Edge-Computing fügt laut Johnson eine weitere Ebene der Komplexität hinzu. Erfolgreich werden nicht diejenigen sein, die die perfekte Architektur finden. „Es sind diejenigen, die Organisationen aufbauen, die sich schnell anpassen können, wenn sich die richtige Antwort morgen ändert“, erklärt er.

Der eigentliche Wettbewerbsvorteil liege nicht in der gewählten Cloud-Plattform, sondern darin, wie schnell ein Team lernen und handeln kann, so Johnson.

Auf die Frage, wie sich Cloud-Umgebungen weniger kompliziert gestalten lassen, gaben die CIOs folgende Empfehlungen:

• Behandeln Sie Ihre Cloud-Architektur wie ein Produkt, nicht wie ein Projekt. Sie benötigt kontinuierliche Verantwortung und Weiterentwicklung, nicht nur eine einmalige Implementierung.
• Überprüfen Sie Ihre Entscheidungen regelmäßig. „Die richtige Entscheidung im ersten Jahr ist oft nicht mehr die richtige im dritten. Planen Sie feste Überprüfungspunkte ein“, erklärt Johnson.
• Ordnen Sie jeden Workload einer Kostenstelle zu. Basu hat dies umgesetzt; die IT überprüft kontinuierlich Auslastung und Größenanpassungen, anstatt auf periodische Audits zu warten.
• Die Datenklassifizierung bestimmt die regionale Platzierung. Bevor ein Workload in Produktion geht, sollten Rechts- und Compliance-Abteilungen von Anfang an eingebunden sein.
• Entwickeln Sie Cloud-fähige Lösungen. Das kann günstiger und risikoärmer sein als die unveränderte Migration stark angepasster Altsysteme.
• Konsolidierung ist eine strategische Entscheidung, kein Rückzug. Weniger Plattformen, die gut gesteuert werden, schneiden dauerhaft besser ab als eine zersplitterte Multi-Cloud-Landschaft.
• Unterschätzen Sie nicht die Governance-Lücke, die durch KI entsteht. Schaffen Sie jetzt eine KI-Governance-Struktur, bevor sich technische und organisatorische Schulden anhäufen.
• Cloud-Strategie ist keine reine IT-Architekturentscheidung. Die Pandemie habe gezeigt, dass sie vor allem eine Entscheidung zur Sicherung der Unternehmensresilienz sei. „Die Organisationen, die schwierige Entscheidungen vor einer Krise treffen, sind diejenigen, die unbeschadet daraus hervorgehen.“
• Verknüpfen Sie Cloud-Entscheidungen mit messbaren Geschäftsergebnissen. Bellendir von WHSmith berichtet, dass sein Unternehmen stark in Integrationsarchitekturen, Cybersicherheitskontrollen, Observability und Data Governance investiert, um hybride Umgebungen besser zu unterstützen.
• Legen Sie größeren Wert auf Cloud-Kostenkontrolle und operative Disziplin. Dadurch wird die Transparenz über die Cloud-Nutzung verbessert und sichergestellt, dass die Skalierung von KI-, Analyse- und Digitalisierungsinitiativen langfristig finanziell tragfähig bleibt.

Auch wenn niemand vorhersagen kann, ob Cloud-Umgebungen künftig weniger komplex werden, werden Unternehmen sie weiterhin nutzen.

„Die Cloud ist nicht mehr die Zukunft der IT – sie ist die Gegenwart. Die Diskussion hat sich von der Frage ‚Sollen wir das tun?‘ hin zu ‚Wie werden wir darin besser?‘ verschoben. Und genau damit verbringe ich heute den Großteil meiner Zeit“, konstatiert Johnson. (mb)

Dieser Artikel basiert auf einem Beitrag von CIO.com

---

오픈AI가 사이버보안 기업 트레일 오브 비츠(Trail of Bits)와 협력해 널리 사용되는 오픈소스 소프트웨어의 취약점을 찾아 수정하는 AI 기반 프로그램을 출범했다. 소프트웨어 공급망 깊숙이 존재하는 결함으로 인해 기업이 직면하는 보안 위험이 커지는 상황에 대응하기 위한 조치다.

‘패치 더 플래닛(Patch the Planet)’으로 명명된 이 프로젝트는 AI 기반 취약점 연구와 인간 전문가의 검토를 결합해 보안 문제를 식별하고, 이를 검증된 패치로 발전시켜 기존 프로젝트의 공개 절차를 통해 배포할 수 있도록 지원한다.

초기 참여 프로젝트에는 파이썬(Python), 고(Go), cURL, 시그스토어(Sigstore), NATS 서버(NATS Server), aiohttp, 프리엔진엑스(freenginx), pyca/cryptography, python.org 등이 포함됐다. 이들 프로젝트는 소프트웨어 개발, 네트워킹, 암호화, 소프트웨어 공급망 인프라 등 다양한 영역에서 활용되며 광범위한 기업용 애플리케이션과 서비스의 기반을 제공하고 있다.

오픈AI는 각 프로젝트가 유지관리자와의 협의를 통해 보안 지원이 가장 필요한 영역을 파악하는 단계부터 시작된다고 설명했다. 이후 연구진이 잠재적인 취약점을 조사하고, 실제 영향을 미치는 문제를 검증한 뒤 패치를 개발하거나 개선한다. 또한 테스트를 지원하고 기존 프로젝트의 공개 절차에 맞춰 취약점 공개를 조율할 예정이다.

참여 보안 연구원은 오픈AI의 AI 모델과 코덱스 시큐리티(Codex Security)를 활용해 코드를 분석하고 수정 작업이 배포 단계까지 이어질 수 있도록 지원한다. 트레일 오브 비츠 엔지니어는 결과가 유지관리자에게 전달되기 전에 이를 검토한다. 이는 오탐지와 중복 보고를 걸러내 오픈소스 프로젝트의 추가 업무 부담을 줄이기 위한 절차다.

오픈AI는 프로그램 확대에 맞춰 해커원(HackerOne), 캘리프(Calif)와도 협력하고 있다. 이들 기관은 취약점 분류, 책임 있는 공개 절차, 추가적인 취약점 발굴 작업을 지원한다.

오픈AI는 현재까지 프로젝트를 통해 “수백 건의 보안 문제를 발견하고 수십 건의 패치를 병합했으며, 더 많은 사례가 현재 조정된 공개 절차에 따라 처리되고 있다”라고 밝혔다.

또한 이번 프로젝트를 통해 퍼징(fuzzing), 과거 CVE 분석, 차등 테스트(differential testing)를 위한 도구가 개발됐으며, 패치 생성 이전에 부정확한 결과를 걸러내는 시스템도 구축됐다고 설명했다.

오픈AI가 오픈소스 보안에 집중하게 된 배경에는 로그4셸(Log4Shell)과 XZ 유틸리티(XZ Utils) 백도어 사건이 있다. 이들 사례는 공유 소프트웨어 구성요소의 결함이 얼마나 빠르게 기업용 소프트웨어 전반으로 확산될 수 있는지를 보여줬다.

업계 분석가들은 패치 더 플래닛이 기업의 위험 관리 방식에 변화를 가져올 수는 있지만, AI 기반 취약점 연구를 보다 광범위한 소프트웨어 공급망 위험 관리 프로그램의 일부로 활용할 때에만 의미가 있다고 평가했다. AI를 기존 보안 체계를 대체하는 수단으로 여겨서는 안 된다는 것이다.

포레스터의 수석 애널리스트 비스와지트 마하파트라(Biswajeet Mahapatra)는 “가장 큰 변화는 속도”라며 “AI 지원 연구는 취약점 탐지와 검증, 패치 개발, 테스트, 문서화 과정을 더욱 빠르게 수행할 수 있으며, 인간 검토자는 유지관리자에게 전달되기 전에 오탐지를 줄일 수 있다”라고 설명했다.

이어 “하지만 부족한 전문 인력에 대한 의존성이 사라지는 것은 아니다”라며 “그 역할이 취약점 분류, 악용 가능성 판단, 패치 안전성 검토, 공개 시점 결정, 운영 환경 배포 관리 등으로 이동할 뿐”이라고 분석했다.

운영 환경 적용 전 거버넌스 체계 마련 필요

오픈소스 사이버보안 아키텍트 데바슈리 다타(Devashri Datta)는 기업이 AI 기반 취약점 연구를 보안 운영 파이프라인에 도입하기 전에 적절한 거버넌스 통제를 구축해야 한다고 조언했다. 검증되지 않은 결과가 엔지니어링 조직에 과도한 부담을 주는 상황을 방지하기 위해서다.

다타는 “CISO는 위험 모델링 과정에서 ‘안전성 관련 계층(Safety Relevance Layer)’을 요구해야 한다”라며 “이는 AI가 생성한 모든 결과가 인간 분석가에게 전달되기 전에 자동 검증 절차를 통과하도록 하는 구조화된 프레임워크로, 동적 개념증명(PoC) 검증과 강력한 오탐지 필터링 기능을 포함해야 한다”라고 설명했다.

다타는 이러한 통제 체계가 취약점 공개 절차까지 포괄해야 한다고 지적했다. 특히 AI 도구가 기업이 직접 관리하지 않는 제3자 오픈소스 구성요소에서 결함을 발견한 경우가 중요하다는 설명이다. 조직은 외부 의존성에서 확인된 문제가 발견될 때 즉시 적용할 수 있는 에스컬레이션 경로, 통지 일정, 역할 분담 체계를 사전에 마련해야 한다고 강조했다.

다타는 “AI로 가속화된 환경에서 임기응변식 취약점 공개는 단순한 절차상의 공백이 아니라 기업의 책임 문제로 이어질 수 있다”라며 “운영 파이프라인에서 AI를 신뢰하려면 검증 가능한 감사 체계가 필수적이다. 조직은 AI가 특정 코드 줄을 문제로 판단한 이유와 취약점 악용 가능성을 어떻게 검증했는지, 그리고 패치가 하위 운영 시스템에 문제를 일으키지 않는다고 판단한 근거를 추적할 수 있어야 한다”라고 말했다.

정기 대응에서 지속 대응으로

업계 분석가들은 AI 기반 취약점 연구가 기업의 보안 운영 방식을 정기적인 패치 주기 중심에서 지속적인 위험 평가 체계로 전환하도록 만들 수 있다고 전망했다. 변형 분석(variant analysis)과 차등 테스트(differential testing)에 필요한 시간이 수주에서 수일 수준으로 단축될 경우, 보안팀은 자사 환경에서 실제로 중요한 취약점을 더 빠르게 선별해야 하기 때문이다.

다타는 이러한 변화가 기업의 취약점 우선순위 결정 방식에도 영향을 줄 것이라고 분석했다. 앞으로는 일반적인 CVSS(Common Vulnerability Scoring System) 점수만으로 대응 우선순위를 정하기 어려워질 것이며, 취약점은 영향을 받는 시스템과 비즈니스 역할, 운영 환경 노출 수준, 실제 악용 가능성 등을 종합적으로 고려해 평가해야 한다는 설명이다.

다타는 “이제는 맥락을 반영한 안전 중심의 우선순위 결정 체계로 전환해야 한다”라며 “기업의 SBOM과 VEX(Vulnerability Exploitability eXchange, 취약점 악용 가능성 교환) 프로그램은 단순한 규정 준수용 스프레드시트에서 벗어나 실시간 기계 판독형 데이터 체계로 발전해야 한다”라고 말했다.

이어 “특히 AI 기반 파이프라인에서는 VEX 모델을 확장해 AI가 새롭게 만들어내는 위험 영역까지 포함해야 한다”라고 설명했다.

포레스터의 마하파트라는 취약점 관리 프로그램 역시 소프트웨어 소유권, 공급업체 대응, 비즈니스 영향 분석과 더욱 긴밀하게 연결돼야 한다고 평가했다.

마하파트라는 “보안팀은 정기적인 취약점 처리 방식에서 벗어나 지속적인 노출 감소 체계로 전환해야 한다”라고 말했다.

이는 SBOM을 단순한 규정 준수 문서가 아닌, 운영 환경 노출도와 공급업체 대응 현황이 반영된 살아 있는 자산 목록으로 관리해야 함을 의미한다. 또한 패치 적용 여부를 결정할 때는 자산 중요도, 실제 악용 가능성, 보완 통제 수단, 비즈니스 영향 등을 함께 고려해야 한다고 그는 설명했다.
dl-ciokorea@foundryco.com

OpenAI has launched a program with cybersecurity firm Trail of Bits to use AI to find and fix vulnerabilities in widely used open-source software, as enterprises face growing risks from flaws buried deep in their software supply chains.

The initiative, called Patch the Planet, uses AI-assisted vulnerability research alongside human review to help turn security findings into tested fixes that can be disclosed through existing project channels.

Initial participants include Python, Go, cURL, Sigstore, NATS Server, aiohttp, freenginx, pyca/cryptography, and python.org. These projects support software development, networking, cryptography, and supply chain infrastructure used across a wide range of enterprise applications and services.

OpenAI said each engagement will begin with consultation with maintainers to identify where security support is most needed. Researchers will then investigate potential vulnerabilities, validate meaningful issues, develop or refine patches, support testing, and coordinate disclosure through the project’s existing channels.

Participating security researchers will use the company’s models and Codex Security to analyze code and help move fixes toward release. Trail of Bits engineers will review findings before they are sent to maintainers, a step meant to filter out false positives and duplicate reports before they add to the workload of open-source projects.

The company is also working with HackerOne and Calif to support vulnerability triage, coordinated disclosure, and additional discovery work as the program expands.

OpenAI said work under the program has already identified “hundreds of security issues and merged dozens of patches, with many more still undergoing coordinated disclosure.”

The work has also produced tools for fuzzing, historical CVE analysis, and differential testing, along with systems to filter inaccurate findings before patches are generated, OpenAI added.

The focus on open-source security follows incidents such as Log4Shell and the XZ Utils backdoor, which showed how quickly a flaw in a shared component can move through enterprise software.

Analysts said Patch the Planet changes the risk equation only if enterprises treat AI-assisted vulnerability research as an input to a broader software supply chain risk program, not as a substitute for one.

“The key shift is speed: AI-assisted research can help find, validate, patch, test, and document issues faster, while human reviewers reduce false positives before maintainers are burdened,” said Biswajeet Mahapatra, principal analyst at Forrester. “But the dependency on scarce expertise does not go away; it moves to triage, exploitability judgment, patch safety, disclosure timing, and production rollout.”

Guardrails before deployment

CISOs should put governance controls in place before using AI-assisted vulnerability research in enterprise security pipelines, to ensure unverified findings do not overwhelm engineering teams, said Devashri Datta, an open-source cybersecurity architect.

“CISOs should demand a Safety Relevance Layer in their risk modeling, a structured framework that requires every AI-generated finding to pass automated verification, including dynamic proof-of-concept validation and strong false-positive filtering, before it reaches a human analyst,” Datta said.

Those controls should also cover disclosure, particularly when AI tools identify flaws in third-party open-source components that the enterprise does not control, Datta said. Organizations need predefined escalation paths, notification timelines, and role assignments that take effect once a confirmed issue is found in an external dependency.

“Ad hoc disclosure in an AI-accelerated environment isn’t just a process gap; it’s a liability,” Datta said. “Trusting AI in the production pipeline requires verifiable auditability: organizations must be able to trace why the AI flagged a line of code, how it validated the exploit, and how it determined that the patch would not break downstream production systems.”

Continuous exposure reduction

AI-assisted vulnerability research could force enterprises to move away from periodic patching cycles and toward more continuous risk assessment, analysts said. If variant analysis and differential testing can be compressed from weeks to days, security teams may need faster ways to decide which findings matter most in their own environments.

That shift also means enterprises can no longer rely only on generic CVSS scores to prioritize remediation, Datta said. Findings will need to be assessed against the affected system, its business role, runtime exposure and the likelihood that a flaw can be exploited.

“We have to move toward context-aware, safety-critical prioritization,” Datta said. “Enterprise SBOM and VEX programs must evolve from passive compliance spreadsheets into live, machine-readable data feeds. For AI-assisted pipelines specifically, that means extending the VEX model to cover AI-introduced risk surfaces.”

Mahapatra said vulnerability management programs will also need to become more closely tied to software ownership, supplier response, and business impact.

“Security teams should move from periodic vulnerability handling to continuous exposure reduction,” Mahapatra said.

That means SBOMs should be treated as live inventories tied to runtime exposure and supplier response, rather than static compliance documents. Patch decisions should also account for asset criticality, exploitability, compensating controls, and business impact.

The article originally appeared on CSO.

OpenAI has launched a program with cybersecurity firm Trail of Bits to use AI to find and fix vulnerabilities in widely used open-source software, as enterprises face growing risks from flaws buried deep in their software supply chains.

The initiative, called Patch the Planet, uses AI-assisted vulnerability research alongside human review to help turn security findings into tested fixes that can be disclosed through existing project channels.

Initial participants include Python, Go, cURL, Sigstore, NATS Server, aiohttp, freenginx, pyca/cryptography, and python.org. These projects support software development, networking, cryptography, and supply chain infrastructure used across a wide range of enterprise applications and services.

OpenAI said each engagement will begin with consultation with maintainers to identify where security support is most needed. Researchers will then investigate potential vulnerabilities, validate meaningful issues, develop or refine patches, support testing, and coordinate disclosure through the project’s existing channels.

Participating security researchers will use the company’s models and Codex Security to analyze code and help move fixes toward release. Trail of Bits engineers will review findings before they are sent to maintainers, a step meant to filter out false positives and duplicate reports before they add to the workload of open-source projects.

The company is also working with HackerOne and Calif to support vulnerability triage, coordinated disclosure, and additional discovery work as the program expands.

OpenAI said work under the program has already identified “hundreds of security issues and merged dozens of patches, with many more still undergoing coordinated disclosure.”

The work has also produced tools for fuzzing, historical CVE analysis, and differential testing, along with systems to filter inaccurate findings before patches are generated, OpenAI added.

The focus on open-source security follows incidents such as Log4Shell and the XZ Utils backdoor, which showed how quickly a flaw in a shared component can move through enterprise software.

Analysts said Patch the Planet changes the risk equation only if enterprises treat AI-assisted vulnerability research as an input to a broader software supply chain risk program, not as a substitute for one.

“The key shift is speed: AI-assisted research can help find, validate, patch, test, and document issues faster, while human reviewers reduce false positives before maintainers are burdened,” said Biswajeet Mahapatra, principal analyst at Forrester. “But the dependency on scarce expertise does not go away; it moves to triage, exploitability judgment, patch safety, disclosure timing, and production rollout.”

Guardrails before deployment

CISOs should put governance controls in place before using AI-assisted vulnerability research in enterprise security pipelines, to ensure unverified findings do not overwhelm engineering teams, said Devashri Datta, an open-source cybersecurity architect.

“CISOs should demand a Safety Relevance Layer in their risk modeling, a structured framework that requires every AI-generated finding to pass automated verification, including dynamic proof-of-concept validation and strong false-positive filtering, before it reaches a human analyst,” Datta said.

Those controls should also cover disclosure, particularly when AI tools identify flaws in third-party open-source components that the enterprise does not control, Datta said. Organizations need predefined escalation paths, notification timelines, and role assignments that take effect once a confirmed issue is found in an external dependency.

“Ad hoc disclosure in an AI-accelerated environment isn’t just a process gap; it’s a liability,” Datta said. “Trusting AI in the production pipeline requires verifiable auditability: organizations must be able to trace why the AI flagged a line of code, how it validated the exploit, and how it determined that the patch would not break downstream production systems.”

Continuous exposure reduction

AI-assisted vulnerability research could force enterprises to move away from periodic patching cycles and toward more continuous risk assessment, analysts said. If variant analysis and differential testing can be compressed from weeks to days, security teams may need faster ways to decide which findings matter most in their own environments.

That shift also means enterprises can no longer rely only on generic CVSS scores to prioritize remediation, Datta said. Findings will need to be assessed against the affected system, its business role, runtime exposure and the likelihood that a flaw can be exploited.

“We have to move toward context-aware, safety-critical prioritization,” Datta said. “Enterprise SBOM and VEX programs must evolve from passive compliance spreadsheets into live, machine-readable data feeds. For AI-assisted pipelines specifically, that means extending the VEX model to cover AI-introduced risk surfaces.”

Mahapatra said vulnerability management programs will also need to become more closely tied to software ownership, supplier response, and business impact.

“Security teams should move from periodic vulnerability handling to continuous exposure reduction,” Mahapatra said.

That means SBOMs should be treated as live inventories tied to runtime exposure and supplier response, rather than static compliance documents. Patch decisions should also account for asset criticality, exploitability, compensating controls, and business impact.

Auch wenn Keylogger schon etliche Jahre auf dem Buckel haben: Sie sind immer noch beliebt und werden häufig im Rahmen großangelegter Cyberangriffe eingesetzt.

Keylogger – Definition

Der Begriff Keylogger bezeichnet eine Art von Überwachungssoftware, die die Tastatureingaben eines Benutzers aufzeichnet. Die Schadsoftware sendet die Daten, die beim Keylogging erfasst werden, an einen Dritten.

Cyberkriminelle nutzen Keylogger, um an persönliche Daten oder sensible Finanzinformationen zu gelangen, die sie dann verkaufen oder anderweitig gewinnbringend nutzen können. Es gibt jedoch auch legitime Verwendungszwecke für Keylogger in Unternehmen – zum Beispiel beim Troubleshooting, dem Optimieren der Benutzerfreundlichkeit oder um Mitarbeiter legal zu überwachen (je nachdem, welchen Gesetzen sie dabei unterliegen). Darüber hinaus nutzen Strafverfolgungsbehörden und Geheimdienste Keylogging zu Überwachungszwecken. Mehr dazu lesen Sie im Absatz “Einsatzzwecke”.

Keylogger – Funktionsweise

“Keylogger sind Programme, die Algorithmen nutzen, um die Tastaturanschläge durch Mustererkennung und andere Techniken zu überwachen”, erklärt Tom Bain, Vice President Security Strategy bei Morphisec. Der Umfang der von der Keylogger-Software gesammelten Informationen kann dabei variieren: Einfache Formen erfassen nur die Informationen, die auf einer (einzigen) Website oder in einer Anwendung eingegeben werden. Hochentwickelte Keylogging-Programme zeichnen hingegen alles auf (einschließlich der Daten, die bei Copy-Paste-Aktionen anfallen), unabhängig von der Anwendung. Einige Keylogger-Varianten – insbesondere solche, die auf mobile Geräte abzielen – gehen noch weiter und erfassen auch Anrufe (sowohl Anrufverlauf als auch Audio), Informationen aus Messaging-Anwendungen, GPS-Standorte, Screenshots und sogar Mikrofon- und Kameraaufnahmen.

Keylogger können hardware- oder softwarebasiert aufgebaut sein:

• Hardwarebasierte Keylogger werden einfach zwischen Tastatur und Computer geschaltet.

• Bei softwarebasierten Keyloggern kann es sich um Applikationen oder Tools handeln, die legal oder illegal installiert werden, in letzterem Fall also das Gerät unwissentlich mit Malware infizieren.

Die beim Keylogging erfassten Daten werden von der Software per E-Mail oder durch den Upload von Protokolldaten in vordefinierte Websites, Datenbanken oder FTP-Server an den Angreifer zurückgesendet. Ist der Keylogger Instument in einem großen Cyberangriff, ist es sehr wahrscheinlich, dass die Kriminellen sich per Fernzugriff einloggen können, um die Tastaturanschlagsdaten herunterzuladen.

Keylogger – Einsatzzwecke

Die ersten Keylogger wurden bereits in den 1970er Jahren vom sowjetischen Geheimdienst eingesetzt (mehr dazu später). Auch diese frühen Keylogger zeichneten auf, was getippt wurde und schickten die Informationen über Funksignale an den KGB zurück.

Wie Cyberkriminelle Keylogger einsetzen

Heute gehören Keylogger zum gängigen Instrumentarium Cyberkrimineller, um finanzielle Informationen wie Bank- und Kreditkartendaten, persönliche Informationen wie E-Mail-Adressen, Passwörter oder sensible Geschäftsinformationen über Prozesse und geistiges Eigentum zu entwenden. Je nach Art der gesammelten Daten (und den Motiven der Angreifer) werden die Informationen auf Darknet-Marktplätzen feilgeboten oder im Rahmen eines größeren Angriffs wiederverwendet.

“Wenn ein Keylogger in der Lage ist, die Tastenanschläge eines Datenbankadministrators in einem großen Unternehmen aufzuzeichnen, eröffnet das dem Angreifer Zugang zu Endpunkten und Servern, die wiederum viele sensible Informationen preisgeben können, die sich zu Geld machen lassen“, erklärt Security-Spezialist Bain.

Keylogger am Arbeitsplatz

Es gibt auch einen großen Markt für legale Keylogging-Apps, wenngleich diese meist ethisch fragwürdig sind. Sie können etwa genutzt werden, um Familienmitglieder, Partner oder Arbeitnehmer auszuspionieren. Wenn der Benutzer eines Geräts davon weiß, dass Spyware auf seinem Gerät läuft, ist das in vielen Ländern legal. Anwendungen, die Informationen über das Arbeitsverhalten sammeln, sind allerdings nicht nur aus moralischen, sondern auch aus Sicherheitsgründen mit Vorsicht zu genießen. Der Spyware-Anbieter mSpy wurde beispielsweise überführt, in mehreren Fällen unabsichtlich Millionen Datensätze von Opfern einer Ausspähung veröffentlicht zu haben.

Überwachungssoftware dieser Art, die manchmal auch als “Corporate Keylogging” bezeichnet wird, kann indes für Testing, Debugging und die Verbesserung der User Experience nützlich sein. “In einer seriösen Umgebung werden Keylogger beispielsweise eingesetzt, um zu überprüfen, ob IT-Sicherheits- und Compliance-Vorschriften eingehalten werden”, weiß Simon Sharp, International Vice President beim Sicherheitsanbieter ObserveIT. “Ein Administrator kann dann sofort feststellen, wer ein bestimmtes Wort oder einen bestimmten Wert eingegeben hat, der mit einem Sicherheitsvorfall in Verbindung steht. So kann er verstehen, wer wann und warum gegen eine Richtlinie verstoßen hat.”

Die IT-Abteilung kann die Tastaturanschlagsdaten nutzen, um Benutzerprobleme zu identifizieren und zu beheben. Darüber hinaus können die Keylogging-Daten möglicherweise zusätzliche forensische Informationen nach einem Sicherheitsvorfall bereitstellen. Keylogger können auch dazu genutzt werden, potenzielle Innentäter zu erkennen, die Produktivität der Mitarbeiter zu überwachen oder um sicherzustellen, dass die IT-Ressourcen des Unternehmens nur für berufliche Zwecke genutzt werden. Sämtliche erfassten Keylogging-Daten sollten verschlüsselt werden.

Keylogger – Infektionswege

Es gibt verschiedene Wege, wie Keylogger auf einem Zielsystem platziert werden können. Hardwarebasierte Keylogger erfordern eine physische Handlung des Angreifers vor Ort. Das ist meist schwierig zu bewerkstelligen – aber nicht unmöglich. Auch drahtlose Tastaturen können übrigens aus der Ferne ausspioniert werden.

Software-basierte Keylogger sind weiter verbreitet und eröffnen mehrere Zugangswege:

• Infizierte Domains sind eine gängige Angriffsmethode – im Oktober 2018 wurden die .com- und .eu-Domains der Online-Bürosoftware Zoho gesperrt, nachdem sie Keylogging-Malware an Nutzer ausgeliefert hatten. Auch Tausende von WordPress-Webseiten wurden bereits über gefälschte Google-Analytics-Skripte mit Keyloggern infiziert.

• Mit Malware infizierte Apps sind ebenfalls ein Problem. Der Google Play Store hatte in der Vergangenheit bereits des öfteren mit Apps zu kämpfen, die Keylogger enthielten.

• Wie viele andere Arten von Malware sind auch Keylogger oft in Phishing-E-Mails eingebettet. Eine Version des HawkEye-Keyloggers wurde beispielsweise über eine E-Mail-Kampagne mit infizierten Word-Dokumenten verbreitet.

• Einige andere Keylogger-Varianten, wie etwa Fauxspersky, können sich über infizierte USB-Laufwerke verbreiten.

“Die größte Innovation bei Keyloggern sind integrierte Ausweichtechniken, die es ermöglichen, die Malware an Erkennungsmechanismen wie Antivirus-Software vorbeizuschleusen”, sagt Bain. Viele Keylogger würden inzwischen in Kombination mit Ransomware, Cryptominer Malware oder Botnet-Code geliefert, so der Experte.

6 Wege, um Keylogger zu erkennen und entfernen

Die folgenden Ratschläge stellen die nach allgemeiner Auffassung wirksamsten Schritte dar, um die Auswirkungen unerwünschter Keylogger zu minimieren:

1. Ressourcen, Prozesse und Daten überwachen

Um einen Keylogger zu finden, kann es hilfreich sein, einen Blick auf die Ressourcenzuweisung, die Hintergrundprozesse und die Daten zu werfen, die vom betreffenden Gerät übertragen werden. Um zu funktionieren, benötigen Keylogger in der Regel Root-Zugriff auf den Zielrechner – ebenfalls ein verräterisches Anzeichen für eine Keylogger-Infektion.

2. Schutz aktualisieren

Da Keylogger oft mit anderen Formen von Malware gebündelt werden, kann die Entdeckung von Keylogger-Malware ein Hinweis auf einen umfassenderen Angriff sein. Aktuelle Virenschutz- und Anti-Rootkit-Lösungen entfernen bekannte Keylogger-Malware. Dennoch empfehlen sich weitere Untersuchungen, um festzustellen, ob der Vorfall Teil eines größeren Angriffs war.

3. Anti-Keylogger-Software einsetzen

Spezielle Anti-Keylogger-Software verschlüsselt Tastaturanschläge, sucht nach bekannten Keyloggern und entfernt sie. Bei ungewöhnlichem Keylogger-ähnlichem Verhalten schlägt sie Alarm. Hilfreich ist es auch, den Root-Zugriff für nicht autorisierte Anwendungen zu sperren und bekannte Spyware in die IT-Blacklist aufzunehmen.

4. Virtuelle Tastaturen nutzen

Virtuelle Onscreen-Keyboards vermindern das Keylogger-Risiko, weil sie Informationen auf andere Weise weitergeben als physische Tastaturen. Das kann sich allerdings auf die Produktivität der Benutzer auswirken. Außerdem wirkt es nicht gegen alle Arten von Keylogger und beseitigt auch nicht die Ursache des Problems.

5. Selbstausführende Dateien deaktivieren

Indem selbstausführende Dateien auf extern angeschlossenen Geräten wie etwa USB-Devices deaktiviert werden und Dateien lediglich eingeschränkt auf und von externen Rechnern kopiert werden können, lässt sich das Risiko einer Keylogger-Infektion ebenfalls verringern.

6. Strikte Richtlinien durchsetzen

Der beste Weg für Unternehmen, sich vor Keylogger-Malware zu schützen, besteht in vielschichtigen Kennwortrichtlinien und einer Mehr-Faktor-Authentifizierung für alle Unternehmenskonten und -geräte. Auch im Fall von Keylogging reicht durchschnittliche Antivirus-Technologie nicht mehr aus.

Keylogger-Historie – berühmte Beispiele

• Der älteste bekannte Keylogger entstammt dem Prä-Computerzeitalter: Der sowjetische Geheimdienst entwickelte in den 1970er Jahren ein Device, das in elektrischen IBM-Schreibmaschinen versteckt werden konnte und Informationen über Tastenanschläge per Funk übermittelte. Diese frühen Keylogger wurden in US-Botschaften in Moskau und Leningrad eingesetzt.

• Der erste Computer-Keylogger wurde 1983 vom damaligen Doktoranden Perry Kivolowitz als Proof of Concept entwickelt.

• Ein besonders bemerkenswertes Beispiel für einen Keylogger “in freier Wildbahn” wurde 2015 “im Bundle” mit einer Modifikation für das Videospiel Grand Theft Auto V verbreitet.

• Im Jahr 2017 wurde bekannt, dass Hunderte von Laptop-Modellen aus dem Hause Hewlett-Packard mit einem Keylogger ausgeliefert wurden. Das Unternehmen bestand allerdings darauf, dass es sich um ein Tool zur Diagnose der Tastaturleistung handelte, das vor der Auslieferung hätte gelöscht werden müssen.

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Während Unternehmen wie OpenAI, Anthropic, Google oder Microsoft aber auch Open-Source-Alternativen bei ihren Generative-AI- und Large-Language-Model-Angeboten exponentielle User-Zuwächse verzeichnen, sind IT-Sicherheitsentscheider bemüht, mit der rasanten KI-Entwicklung in ihren Unternehmen Schritt zu halten.

Die Non-Profit-Organisation OWASP trägt dieser Entwicklung mit der “LLM AI Cybersecurity & Governance Checklist” Rechnung.

LLM-Bedrohungskategorien

Das Thema KI ist ziemlich umfangreich, weswegen die OWASP-Checkliste vor allem darauf abzielt, Führungskräfte dabei zu unterstützen, die wesentlichen Risiken im Zusammenhang mit generativer KI und großen Sprachmodellen möglichst schnell zu identifizieren und entsprechende Abhilfemaßnahmen einzuleiten. Das soll gewährleisten, dass Unternehmen über die nötigen, grundlegenden Sicherheitskontrollen verfügen, um generative KI und LLM-Tools, -Services und Produkte sicher einzusetzen.

Dabei betont OWASP, dass die Checkliste keinen Anspruch auf Vollständigkeit erhebt und sich mit zunehmender Reife der Technologie und Tools ebenfalls weiterentwickeln wird. Die Sicherheitsexperten ordnen LLM-Bedrohungen in verschiedene Kategorien ein, wie die nachfolgende Abbildung veranschaulicht:

Geht es darum, eine LLM-Strategie festzulegen, müssen Unternehmen vor allem mit den einzigartigen Risiken umgehen, die generative KI und LLMs aufwerfen. Diese müssen durch organisatorische Governance und entsprechende Security-Kontrollen minimiert werden. Im Rahmen ihrer Veröffentlichung empfehlen die OWASP-Experten Unternehmen einen sechsstufigen Ansatz, um eine wirksame LLM-Strategie zu entwickeln:

Auch hinsichtlich der Deployment-Typen in Sachen LLM empfiehlt OWASP, ganz genau hinzusehen und entsprechende Überlegungen anzustellen:

Die OWASP-KI-Checkliste

Im Folgenden haben wir die von OWASP veröffentlichte Checkliste etwas “aufgedröselt”. Folgende Bereiche sollten Sie im Rahmen Ihrer Generative-AI- respektive LLM-Initiativen unbedingt prüfen.

Adversarial Risk

Dieser Bereich umfasst sowohl Wettbewerber als auch Angreifer und konzentriert sich nicht nur auf die Angriffs-, sondern auch auf die Unternehmenslandschaft. In diesen Bereich fällt beispielsweise, zu verstehen, wie die Konkurrenz KI einsetzt, um bessere Geschäftsergebnisse zu erzielen und die internen Prozesse und Richtlinien (beispielsweise Incident-Response-Pläne) zu aktualisieren, um für Cyberangriffe und Sicherheitsvorfälle im Zusammenhang mit generativer KI gewappnet zu sein.

Threat Modeling

Die Bedrohungsmodellierung gewinnt im Zuge des von zahlreichen Security-Institutionen propagierten “Secure-by-Design”-Ansatzes zunehmend an Bedeutung. In diesen Bereich fallen etwa die Überlegungen, wie Angreifer LLMs und generative KI für schnellere Exploits nutzen können, wie Unternehmen schadhafte KI-Nutzung erkennen können und wie sich die Technologie über interne Systeme und Umgebungen absichern lässt.

KI-Bestandsaufnahme

“Man kann nichts schützen, von dessen Existenz man nichts weiß” greift auch in der Generative-AI-Welt. Im Bereich der KI-Bestandsaufnahme geht es darum, Assets für intern entwickelte Lösungen und externe Tools und Plattformen zu erfassen.

Dabei ist nicht nur wichtig, die Tools und Services zu kennen, die genutzt werden, sondern auch über die Verantwortlichkeiten Bescheid zu wissen. OWASP empfiehlt zudem, KI-Komponenten in SBOMs zu erfassen und Datenquellen nach Sensibilität zu katalogisieren. Darüber hinaus sollte es auch einen Prozess geben, der gewährleistet, dass zukünftige Tools und Services aus dem unternehmerischen Inventar sicher ein- und ausgegliedert werden können.

KI-Security- und -Datenschutz-Schulungen

Der Mensch ist das schwächste Glied in der Sicherheitskette – heißt es oft. Das muss allerdings nicht so sein – vorausgesetzt, Unternehmen integrieren KI-Sicherheits- und Datenschutztrainings in ihre GenAI-Journey.

Das beinhaltet beispielsweise, der Belegschaft ein Verständnis über aktuelle AI- und LLM-Initiativen zu vermitteln – genauso wie zur Technologie an sich und den wesentlichen Problemen im Bereich Security. Darüber hinaus ist in diesem Bereich eine Kultur unabdingbar, die von Trust und Transparenz geprägt ist. Das ist auch ein ganz wesentlicher Punkt, um “Schatten-KI” zu verhindern. Anderenfalls werden Plattformen heimlich genutzt und die Security untergraben.

Business Cases für KI etablieren

Ganz ähnlich wie zuvor bei der Cloud erstellen die meisten Unternehmen keine kohärenten, strategischen Geschäftsmodelle für den Einsatz neuer Technologien – auch nicht, wenn es um generative KI und LLMs geht. Sich von Hype und FOMO anstecken zu lassen, ist relativ schnell geschehen – ohne soliden Business Case riskieren Unternehmen aber nicht nur, schlechte Ergebnisse zu erzielen.

Governance

Ohne Governance ist es nahezu unmöglich, Rechenschaftspflicht und klare Zielsetzungen zu realisieren. In diesen Bereich der OWASP-Checkliste fällt beispielsweise, ein RACI-Diagramm zu erstellen, dass die KI-Initiativen eines Unternehmens dokumentiert, Verantwortlichkeiten zuweist und unternehmensweite Richtlinien und Prozesse etabliert.

Rechtliches

Die rechtlichen Auswirkungen von KI sollten keinesfalls unterschätzt werden – sie entwickeln sich rasant weiter und können Reputation und finanziellem Gefüge potenziell beträchtliche Schäden zufügen. In diesen Bereich können diverse Aspekte fallen – zum Beispiel:

• Produktgarantien im Zusammenhang mit KI,

• KI-EULAs oder

• Intellectual-Property-Risiken.

Kurzum: Ziehen Sie Ihr Legal-Team oder entsprechende Experten hinzu, um die verschiedenen rechtsbezogenen Aktivitäten zu identifizieren, die für Ihr Unternehmen relevant sind.

Regulatorisches

Aufbauend auf den juristischen Diskussionen entwickeln sich auch die regulatorischen Vorschriften schnell weiter – ein Beispiel ist der AI Act der EU. Unternehmen sollten deshalb die für sie geltenden KI-Compliance-Anforderungen ermitteln.

LLM-Lösungen nutzen oder implementieren

Der Einsatz von LLM-Lösungen erfordert spezifische Risiko- und Kontrollüberlegungen. Die OWASP-Checkliste nennt in diesem Bereich unter anderem die Aspekte:

• Access Control umsetzen,

• KI-Trainings-Pipelines absichern,

• Daten-Workflows mappen und

• bestehende oder potenzielle Schwachstellen in LLMs und Lieferketten identifizieren.

Darüber hinaus sind kontinuierliche Audits durch Dritte, Penetrationstests und auch Code-Reviews für Zulieferer empfehlenswert.

Testing, Evaluierung, Verifizierung, Validierung (TEVV)

Der TEVV-Prozess wird vom NIST in seinem AI Framework ausdrücklich empfohlen. Dieser beinhaltet:

• Continuous Testing,

• Evaluierungen,

• Verifizierungen und

• Validierungen sowie

• Kennzahlen zu Funktionalität, Sicherheit und Zuverlässigkeit von KI-Modellen.

Und zwar über den gesamten Lebenszyklus von KI-Modellen hinweg.

Modell- und Risikokarten

Für den ethischen Einsatz von großen Sprachmodellen sieht die OWASP-Checkliste Modell- und Risiko-“Karten” vor. Diese können den Nutzern Verständnis über KI-Systeme vermitteln und so das Vertrauen in die Systeme stärken. Zudem ermöglichen sie, potenziell negative Begleiterscheinungen wie Bias oder Datenschutzprobleme offen zu thematisieren.

Die Karten können Details zu KI-Modellen, Architektur, Trainingsmethoden und Performance-Metriken beinhalten. Ein weiterer Schwerpunkt liegt dabei auf Responsible AI und allen Fragen in Zusammenhang mit Fairness und Transparenz.

Retrieval Augmented Generation

Retrieval Augmented Generation (RAG) ist eine Möglichkeit, die Fähigkeiten von LLMs zu optimieren, wenn es darum geht, relevante Daten aus bestimmten Quellen abzurufen. Dazu gehört, vortrainierte Modelle zu optimieren und bestehende auf neuen Datensätzen erneut zu trainieren, um ihre Leistung zu optimieren. OWASP empfiehlt, RAG zu implementieren, um den Mehrwert und die Effektivität großer Sprachmodelle im Unternehmenseinsatz zu maximieren.

KI-Red-Teaming

Last, but not least empfehlen die OWASP-Experten auch, KI-Red-Teaming-Sessions abzuhalten. Dabei werden Angriffe auf KI-Systeme simuliert, um Schwachstellen zu identifizieren und existierende Kontroll- und Abwehrmaßnahmen zu validieren.

OWASP betont dabei, dass Red Teaming für sich alleine keine umfassende Lösung respektive Methode darstellt, um Generative AI und LLMs abzusichern. Vielmehr sollte KI-Red-Teaming in einen umfassenderen Ansatz eingebettet werden. Essenziell ist dabei jedoch laut den Experten insbesondere, dass im Unternehmen Klarheit darüber herrscht, wie die Anforderungen für Red Teaming aussehen sollten. Ansonsten sind Verstöße gegen Richtlinien oder gar juristischer Ärger vorprogrammiert. (fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Während KI am Arbeitsplatz immer stärker in den Arbeitsalltag integriert wird, zeigt sich ein neues Produktivitätsparadox: Obwohl die Technologie das Gefühl vermittelt, dass Workflows schneller ablaufen, bürdet sie Mitarbeitern zusätzliche Tasks auf: Sie müssen Kontext liefern, Ergebnisse überprüfen und den Prozess oft mehrfach über verschiedene, voneinander getrennte Tools hinweg wiederholen.

Botsitting und Botshitting

Dies führt laut einer neuen Umfrage des Work AI Institute von Glean unter 6.000 Vollzeitbeschäftigten im digitalen Bereich zu zwei neuen Verhaltensweisen:

• „Botsitting“, also all die meist unsichtbare Arbeit, um KI überhaupt nutzbar zu machen;
• „Botshitting“, das Ausliefern von KI-generierten Ergebnissen, die nicht überprüft, nicht gut verstanden oder vielleicht sogar unzuverlässig sind.

Der Bericht wurde gemeinsam von Experten des Work AI Institute, der Emory University, der Stanford University, der UC Berkeley, der UC Santa Barbara, der UNC Charlotte, des University College London und der University of Notre Dame verfasst.

„In vielerlei Hinsicht handelt es sich um einen sich selbst verstärkender Teufelskreis“, erklärt Rebecca Hinds, Leiterin des Forschungszentrums Work AI Institute von Glean. Unternehmen müssten beginnen, den enormen menschlichen Arbeitsaufwand, der hier im Mittelpunkt steht, zu verstehenund anzugehen.

Mehr KI-Nutzung – aber auch mehr Frustration

Es besteht kaum Zweifel daran, dass sich KI rasch zu einem zentralen Teammitglied am Arbeitsplatz entwickelt. Laut der Studie nutzen bereits 87 Prozent der digitalen Arbeitnehmer KI. Die Technologie automatisiert bereits mehr als ein Viertel ihrer Arbeit und spart etwa elf Stunden pro Woche ein.

Dennoch geben nur 13 Prozent der Befragten an, dass der Einsatz von KI die Leistung ihres Unternehmens deutlich verbessert hat. Vielmehr werde die Zeitersparnis von derselben Technologie aufgezehrt, die sie erst ermöglicht.

Demnach verlieren Mitarbeiter durchschnittlich etwa ein Drittel ihrer Arbeitswoche (6,4 Stunden) mit „Botsitting“.

„Wir beobachten, dass vielfach mehrere Tools genutzt werden – und diese sind oft nicht miteinander verbunden“, berichtet Forschungsleiterin Hinds.

Was die Eingabe von Kontextdaten angeht, so werden große Sprachmodelle (LLMs) auf dem riesigen Korpus des Internets trainiert, jedoch nicht immer auf unternehmensspezifischen Daten. Daher müssen Mitarbeiter oft zusätzliche Informationen zu den Produkten, Kunden, Dienstleistungen oder anderen Details ihres Unternehmens bereitstellen.

„Viele sind frustriert, wenn die Tools ihren Arbeitsalltag nicht gut genug verstehen, um wirklich hilfreich zu sein“, erklärt die Forschungsleiterin. Da häufig mehrere Systeme genutzt würden, müssten dieselben Eingaben zudem immer wieder neu formuliert werden.

„Es ist anstrengend für die Mitarbeiter, diese Arbeit leisten zu müssen – und zugleich zu erleben, dass sie oft weder anerkannt noch belohnt wird“, stellt Hinds fest.

Wenn Kontrolle zur Belastung wird

Ein weiteres Problem besteht darin, dass Mitarbeiter oft KI-Ergebnisse korrigieren müssen, die professionell und überzeugend wirken, tatsächlich aber Fehler enthalten, unvollständig sind oder wichtigen Kontext vermissen lassen. Besonders belastend ist das Debugging, da es oft von Personen durchgeführt wird, die an der ursprünglichen Erstellung gar nicht beteiligt waren. Diese müssten sich dann erst einmal mühsam einarbeiten.

„Allerdings ist nicht jede Form von Botsitting schlecht“, betont Hinds. „Ein gewisses Maß an Eigenverantwortung und Kontrolle durch Mitarbeiter ist wichtig.“

Problematisch wird es, wenn die Belastung so groß wird, dass daraus „Botshitting“ entsteht: Dann liefern Mitarbeiter mangels Zeit KI-generierte Arbeitsergebnisse aus, ohne sie ausreichend geprüft zu haben.

Im Rahmen der Studie

• gaben 69 Prozent der Nutzer zu, dies bereits getan zu haben;
• erklärten 41 Prozent, sie würden manchmal Arbeiten abliefern, die sie auf Nachfrage nicht erklären könnten;
• schoben weitere 28 Prozent Fehler auf die KI, obwohl sie selbst verantwortlich waren.

„Botshitting bedeutet, dass man sein kritisches menschliches Denken, Urteilsvermögen und Verständnis auslagert“, erklärt Hinds. Genau diese Aufgaben müssten aber beim Menschen bleiben.

Der Forscherin zufolge tritt dieses Verhalten besonders häufig bei Personen auf, die mit mehreren KI-Agenten arbeiten. Durch deren hohe Skalierbarkeit könnten Fehler schnell außer Kontrolle geraten, wenn angemessene Kontrollen und Berechtigungen fehlten.

„Man sieht die negativen Auswirkungen oft erst nach drei, vier oder fünf Schritten“, betont sie. „Dann ist umfangreiche Aufräum- und Detektivarbeit nötig, um herauszufinden, wo der Agent falsch abgebogen ist.“

KI nutzen … aber nicht zu viel

Interessanterweise berichten mehr als die Hälfte der Befragten, dass sie im Arbeitsalltag mehr Unterstützung von der KI erhalten als von ihren Vorgesetzten. Zudem empfinden sie die Zusammenarbeit mit KI oft als einfacher als die mit Menschen.

Gleichzeitig stehen viele vor einem Dilemma, wenn es darum geht, ihre Nutzung von KI offenzulegen. 54 Prozent der – aus eigener Sicht – besonders erfolgreichen KI-Anwender nutzen nicht genehmigte Tools oder verwenden genehmigte Tools regelwidrig. 36 Prozent verheimlichen, wie stark KI zu ihrer Leistung beiträgt.

Laut Hinds hängt dies stark von der Unternehmenskultur und dem psychologischen Sicherheitsgefühl ab. „In vielen Organisationen herrscht ein massiver Druck, KI-Kompetenz unter Beweis zu stellen und zu zeigen, dass man ein Power-User ist“, erklärt sie. Andererseits wollten manche Mitarbeiter vermeiden, dass ihre Leistung als zu stark von KI abhängig erscheint und ihr eigener Wert infrage gestellt wird.

Was erfolgreiche Organisationen anders machen

Laut dem Bericht zeichnen sich führende Unternehmen nicht dadurch aus, dass sie mehr Zeit mit KI verbringen. Vielmehr investieren sie mehr Zeit in die Arbeit rund um KI. Dazu gehört, dass sie

• den Kontext festlegen,
• Qualitätsstandards definieren;
• Urteilsvermögen entwickeln, und
• entscheiden, welche Aufgaben gar nicht erst an ein Modell delegiert werden sollten.

Die Unternehmen mit dem größten Transformationspotenzial gehen KI-Herausforderungen proaktiv an: Sie bieten Schulungen und Unterstützung an, betrachten KI als Chance zur Neugestaltung der Arbeit und belohnen KI-Kompetenzen offiziell.

Eine der schwierigsten Fähigkeiten sei dabei zu wissen, wann man KI nicht einsetzen sollte, erklärt Hinds: „Es geht nicht nur um Klicks oder verbrauchte Tokens, sondern um echte Fähigkeiten und echtes Lernen.“

Darüber hinaus kommunizierten erfolgreiche Unternehmen ihre KI-Strategie klar und erläutern den Sinn dahinter. Governance dürfe kein statisches Regelwerk sein, sondern müsse kontinuierlich weiterentwickelt werden.

Dies müsse auf jeder Ebene geschehen, einschließlich der obersten Führungsebene, betont Hinds: „Es geht darum, zu sehen, wie die Führungskräfte die Technologie nutzen und sowohl die Erfolgsgeschichten als auch die Misserfolge teilen.“

Erfolgreiche Unternehmen nutzen zudem aktiv Kennzahlen, die auf bestehenden Leistungskennzahlen (KPIs) basieren. Sie messen Qualität, Effizienz und Mitarbeiterengagement auf unterschiedliche Weise und geben den Mitarbeitern Daten an die Hand, damit diese ihre eigene Akzeptanz und ihren Erfolg einschätzen können.

„Es geht weniger um Überwachung als vielmehr um Feedback dazu, wie wir gemeinsam arbeiten“, erklärt die Forschungsleiterin.

„Faszinierend, aber vielleicht nicht überraschend“ findet Hings, dass Mitarbeiter KI zunehmend selbst als Lernwerkzeug nutzen und sie anderen Lernkanälen vorziehen. Dies unterstreiche die Bedeutung von Low-Code- und No-Code-Tools mit flacher Lernkurve und organisatorischem Kontext, die direkt in Arbeitsabläufe eingebettet sind.

„Das unterscheidet sich deutlich von dem, was wir bei früheren Technologien gesehen haben.“ (mb)

Dieser Artikel erschien im Original bei unserer Schwesterpublikation CIO.com.

• Definition
• Methoden
• Einsatzbeispiele
• Erfolgsfaktoren

Zur Effizienzsteigerung in Unternehmen gewinnt die Möglichkeit der lateralen Führung zunehmend an Bedeutung. Laterale Führung bezeichnet die wirksame Einflussnahme auf gleichrangige Mitarbeiter zur Erreichung von definierten Zielen. Im Fokus stehen dabei Motivation durch Kompetenzerwerb und Zielerreichung, sowie Macht aus Wissen und Netzwerken.

Laterale Führung – Definition

Laterale Führung bezeichnet die Steuerung von Mitarbeitern ohne Nutzung von herkömmlichen hierarchischen Macht- und Entscheidungsstrukturen. Das klassische vertikale Modell zwischen Vorgesetzten und Mitarbeitern mit disziplinarischen Führungsinstrumenten kommt dabei nicht zur Anwendung.

Vielmehr steht die horizontale Dimension im Blickfeld. Laterale Führung wird von der Seite praktiziert, was auch die Begriffsbildung anzeigt: das Adjektiv lateral ist vom lateinischen Begriff latus (d.h. Seite) abgeleitet. Steuernde Akteure an der Seite sind gleichrangige Mitarbeiter mit Fachverantwortung und definierten Zielen, denen die üblichen Steuerungsmöglichkeiten eines Vorgesetzten nicht zur Verfügung stehen.

Keine Bestandteile von lateraler Führung sind somit:

• Weisungen,

• formale Beurteilungen,

• Weiterbildungs- und Entwicklungspläne,

• Gehaltssteigerungen,

• Sonderzahlungen, usw.

Im Gegenteil, die Kunst der lateralen Führung besteht darin, ohne diese etablierten Führungsmittel die gesteckten Ziele eines Geschäftsauftrags zu erreichen. Zentrale Fragen lateraler Führung sind:

• Wie kann Einfluss auf die beteiligten Mitarbeiter zur Realisierung von Zielen genommen werden?

• Welche Aspekte sind bei lateraler Führung relevant?

• Welche Arbeitsweisen sind wirksam?

Laterale Führungsmethoden

In der Literatur sind Verständigungs-, Vertrauens- und Machtprozesse die vorherrschenden Kernbestandteile der lateralen Führung (z. B. Kühl, Schnelle & Schnelle, 2004). Diese Prozesse ergänzen sich und werden je nach Situation unterschiedlich gewichtet. Verständigung bezeichnet alle Formen verbaler Kommunikation über die gesamte Wertschöpfungskette eines Unternehmens. Bedeutsam sind dabei die Haltungen und Interessen des jeweiligen Gegenübers. Zur Verständnisbildung wird Empathie an beiden Enden der Kommunikation, d.h. von dem Sender und den Empfänger einer Nachricht, beansprucht.

• Aktives Zuhören ist dabei eine wirksame Methode. Die verständnisbildende Kommunikation ist eine Voraussetzung zur Vertrauensbildung zwischen den Beteiligten. Es ist ein subjektiver und emotionaler Prozess. Kommunikation und Vertrauensprozesse sind zwar wichtig, jedoch nicht typisch für die laterale Führung. In konventionellen, hierarchischen Führungsstrukturen sind diese nicht minder wesentlich. Insofern sind weitere Aspekte und Methoden zu betrachten, vornehmlich formlose Macht und intrinsische Motivation.

• Formlose Macht entsteht allein aus persönlichen Attributen, im Gegensatz zu den Befugnissen und organisatorischen Kompetenzen mit denen klassische, disziplinare Vorgesetzte für deren Führungsrolle ausgestattet werden. Formlose Macht ist komplex und abstrakt. Sie entsteht durch persönliche Verbindungen in realen sozialen Netzwerken, über die wichtige informelle Nachrichten fließen. Derartige Informationsquellen beruhen auf etablierten und langfristigen Kommunikationskanälen und Vertrauensverhältnissen zwischen einflussreichen Personen. Diese Informationsnetzwerke sind exklusiv und ein Mittel zur Steuerung von Interessen.

• Das wohlbekannte Sprichwort Wissen ist Macht bringt den zweiten zentralen Aspekt lateraler Führung auf den Punkt. Mit Fachkenntnissen erzielt man fachliche Führung. Der persönliche Wissensvorsprung zählt. Nur mit fundierter, tiefgehender Expertise und der nötigen Weitsicht (der berühmte Blick über den Tellerrand) kann man inhaltlich argumentieren, überzeugen und die Richtung vorgeben. Wer über fundiertes Wissen verfügt und dieses überzeugend überträgt, leitet fachlich und gewinnt Respekt, Anerkennung und das Vertrauen anderer Mitarbeiter. Unter dieser Voraussetzung, folgen die Mitarbeiter dem fachlichen Führer. Laterale Führung wird durch die Anerkennung fachlicher Kompetenz des Führenden von “Folgenden” erst möglich. Dieses Phänomen ist in modernen sozialen Medien mit den Rollen Influencer und Follower populär geworden. Entscheidend ist hierbei die Anerkennung des Meinungsführers durch die Follower, auch wenn Sachkenntnis und Fachverstand in sozialen Medien nebensächlich sein können.

• Die Förderung der intrinsischen Motivation ist ein weiterer essentieller Ansatz für laterale Führung, der jedoch in der Literatur zur lateralen Führung weitgehend übersehen wurde. Intrinsische Motivation wird nicht von externen Quellen (z. B. Gehalt, andere monetäre Anreize, Position) gespeist, sondern entsteht vornehmlich aus dem persönlichen Interesse an Herausforderungen und Arbeitsinhalten, sowie der aktiven und strukturierten Einbeziehung des Einzelnen in die Arbeitsgruppe. Mitarbeiter spüren Lerneffekte und erfahren die Erweiterung eigener Kompetenzen, die die individuelle Motivation weiter antreiben. Kompetenzen werden durch das Bearbeiten fachlicher Aufgaben und durch methodisches Lernen in der Gruppe erworben. Motivation entsteht durch Erfolgserlebnisse aus Problemlösungen und Zielerreichung. Voraussetzung ist jedoch, dass der jeweilige Mitarbeiter gemäß seines persönlichen Kompetenzprofils eingesetzt wird, die übertragenen Aufgaben dürfen nicht zur Über- oder Unterforderung führen.

Erfolgsfaktoren der Lateralen Führung

Zur Ausschöpfung des Leistungsvermögens von Mitarbeitern bedarf es gleichzeitiger hoher Aufgaben- und Mitarbeiterorientierung. Der lateral Führende befindet sich also in einem zweidimensionalen Spannungsfeld, sie/er muss individuelle und gemeinsame Anstrengungen zur Zielerreichung antreiben und dabei die zwischenmenschlichen Beziehungen angemessen berücksichtigen. Das Führen mit Zielen und das Management der Team-Motivation sind dabei ausschlaggebende Erfolgsfaktoren.

Führen mit Zielen (engl. Management by Objectives) ist eine bewährte und wirkungsvolle Möglichkeit zur Entfachung intrinsischer Motivation. Verantwortungen für definierte Arbeitsergebnisse werden an Mitarbeiter übertragen. Diese können in Form von Projektaufträgen, Arbeitspaketen oder Sprints dargestellt werden. Entscheidend ist jedoch, dass die Ziele klar beschrieben und realisierbar sind. Die Ziele müssen vom verantwortlichen Mitarbeiter und dem Team akzeptiert werden. Es ist ebenso wichtig, nicht nur die Verantwortungen zuzuweisen, sondern auch Rechte und Befugnisse zu delegieren. Somit schafft man Freiräume. Die geführten Mitarbeiter erhalten das Gefühl etwas bewegen zu können. Sichtbare bzw. spürbare Erfolge steigern die Motivation im weiteren Verlauf.

Es ist wichtig, dass die Aktionsräume der lateral geführten Mitarbeiter erhalten bleiben. Lateral Führende müssen die Mitarbeiter auf dem Weg zum Ziel begleiten, stets Hilfsbereitschaft signalisieren und fachliche Unterstützung anbieten. Lateral Führende dürfen jedoch kein Mikromanagement betreiben und sich nicht als detailverliebte Controller aufführen, sondern müssen den geführten Mitarbeitern die Freiräume lassen und sich auf deren Ergebnisse konzentrieren.

Der Aufbau und der Erhalt der Motivation der Team-Mitarbeiter ist eine besondere Herausforderung, wenn die Ziele anspruchsvoll gesteckt wurden und eine hohe Leistung von den Mitarbeitern abgerufen wird. Der lateral Führende hat die Gruppe so zu organisieren, dass eine Gleichrangigkeit unter den Mitarbeitern empfunden wird. Alle Mitarbeiter agieren auf ein und derselben Ebene, trotz unterschiedlicher Rollen und Aufgaben – der Teamgedanke soll im Vordergrund stehen. Es ist auf ein gesundes Arbeitsklima im Team zu achten, das von gegenseitigem Respekt und einer sachorientierten Arbeitsweise geprägt ist. Rang- oder Positionierungswettbewerb soll vermieden werden. Sobald sich derartige Konflikte im Team erkennen lassen, hat der laterale Führer gegenzusteuern.

Persönliche Gespräche mit den Beteiligten helfen die Ursachen von Auseinandersetzungen frühzeitig zu identifizieren, um noch rechtzeitig Gegenmaßnahmen einleiten zu können, zum Beispiel durch Reorganisation der Arbeitsgruppe. Änderungen der Arbeitsinhalte unter den Team-Mitarbeitern sorgen für Abwechslung und halten das Interesse hoch.

Zur Motivation von leistungsorientierten Mitarbeitern steht den lateralen Führern ein sehr einfaches und doch höchstwirksames Mittel zur Verfügung: Das Loben. Ein einfaches, ausgesprochenes Lob hat erheblichen Einfluss auf die Leistungsbereitschaft und den Kooperationswillen im Arbeitsalltag. Der Ausdruck von Anerkennung kann Mitarbeiter regelrecht beflügeln, während die Ignoranz von guten Mitarbeiterleistungen zu Frustration oder zu innerer Kündigung führen kann.

Laterale Führungsweisen müssen situativ angepasst werden

Verschiedene Mitarbeiter zeigen unterschiedliche Grade an Motivation und Qualifikation. Die Führungsweise muss diesen individuellen Voraussetzungen angepasst werden. Im Idealfall sind die zu führenden Mitarbeiter hochmotiviert und sehr gut ausgebildet, der laterale Führer kann dann komplette Arbeitspakete delegieren und dazu Handlungsräume freigeben (Situation 1).

Sind die Mitarbeiter noch unmotiviert für die vorgesehenen Aufgaben, obwohl sie ausgeprägte Fähigkeiten dazu mitbringen, muss der laterale Führer die Mitarbeiter enger in die Entscheidungsprozesse und die Arbeitsorganisation mit einbeziehen (Situation 2). Weisen die Mitarbeiter Fähigkeitsdefizite für die avisierten Ziele und Arbeiten auf, ist der Motivationsgrad für die Führungsweise entscheidend. Bei hoher Motivation (Situation 3) soll der laterale Führer die Meinungen der Mitarbeiter aktiv anhören, auch wenn diese Standpunkte nicht in die Entscheidungen unbedingt einfließen müssen. Ist neben dem geringen Fähigkeitsgrad auch die Motivierung der Mitarbeiter nicht ausreichend (Situation 4), bleibt nur noch die Möglichkeit des Anweisens. Laterale Führung ist dann nicht mehr möglich.

Die Kunst der lateralen Führung besteht im Erkennen der jeweils zutreffenden Situation, sodass die geeignete Führungsweise angesetzt wird. Einflussmöglichkeiten bestehen vornehmlich in der Mitarbeitermotivierung durch den lateralen Führer. Individuelle Fähigkeiten hingegen, können nicht kurzfristig entwickelt werden; sie bedürfen einer strategischen persönlichen Entwicklungsplanung, die außerhalb der Einflussnahme lateraler Führung liegen. Die Linienorganisation und Human Resources sind dabei gefragt. Sie müssen die Mitarbeiter für die vorgesehene Ziele und Aufgaben qualifizieren.

Einsatzbeispiele für Laterale Führung

Für verschiedene Aufgaben können Arbeitsgruppen über Abteilungs- oder Unternehmensgrenzen temporär zusammengesetzt werden:

• Task Forces, eingesetzt von der Unternehmensleitung, zur Lösung eines organisatorischen oder technischen Problems, das eskaliert ist.

• Selbstorganisierte Teams für kontinuierliche Qualitätsverbesserungen

• Netzwerkartige Formen der kreativen Zusammenarbeit für Prozess- oder Produkt-Innovationen.

Bei der agilen Softwareentwicklung werden Rollen mit klaren Aufgaben und Verantwortungen zugeteilt, jedoch sind diese nicht hierarchisch strukturiert. Man versteht sich als gleichrangige Mitglieder eines Entwicklungs-Teams. Bei Scrum erfolgt die Steuerung größtenteils über Zielsetzungen (ähnlich dem Ansatz Management by Objectives), denen bestimmte Zeitabschnitte (sogenannten Sprints) zugeordnet werden.

In Projekten mit Matrix-Organisationen ist laterale Führung ebenfalls von Bedeutung. Der Projektmanager steht zwar in der Projektstruktur über den Projektmitarbeitern, ihm fehlen jedoch die disziplinarischen Führungsmittel. Die Mitarbeiter werden für das Projekt aus Linienfunktionen abgeordnet und bleiben ihren Linienvorgesetzten disziplinarisch unterstellt. Die fachliche Führung obliegt dem Projektmanager und beinhaltet Zielsetzung/-verfolgung und Motivierung.

Kernaussagen

• Laterale Führung erfolgt horizontal von gleichrangigen Mitarbeitern; Instrumente disziplinarischer Führung stehen nicht zur Verfügung.

• Bei der lateralen Führung wird Macht aus Wissen und informellen Netzwerken geschöpft.

• Intrinsische Motivation entsteht durch Kompetenzerwerb, Erfolge durch Zielerreichung und deren Anerkennung durch Lob.

• Das Führen mit Zielen ist eine wirksame Möglichkeit zur Steuerung und zur Motivierung der Mitarbeiter.

• Gleichrangigkeit im Team und der Teamgedanke sind bei der lateralen Führung zentral.

• Laterale Führung muss den individuellen Fähigkeiten und Motivationen eines Mitarbeiters angepasst werden (situative Führung).

Hinweis: Aus Gründen der Lesbarkeit und der Verständlichkeit kommt hier das generische Maskulinum, das alle Geschlechter gleichermaßen einbezieht, zur Anwendung. (bw)

Künstliche Intelligenz verändert die Arbeitswelt rasant – und mit dem Aufkommen autonomer KI-Agenten steht die nächste Entwicklungsstufe bereits vor der Tür. Doch bedeutet das das Ende vieler Berufe oder eröffnet KI neue Chancen für Unternehmen und Beschäftigte?

In der aktuellen Folge von Tech Talk – Voice of Digital, dem Podcast von Computerwoche und CIO, erklärt KI-Experte und Buchautor Mark Zimmermann, warum lebenslanges Lernen wichtiger wird als je zuvor, und wie Unternehmen den Wandel aktiv gestalten können, statt von ihm überrollt zu werden.

Raus aus der Opferrolle

Mark hat in seinem Buch mit dem dramatischen Titel „Dein Job hat drei Jahre“ (die Erlöse werden wohltätigen Zwecken zugeführt) Branche für Branche analysiert und herausgearbeitet, welche Auswirkungen KI und insbesondere Agentic AI dort haben wird.

Sein Werk soll die Leser aber nicht darauf vorbereiten, in drei Jahren ihren Job zu verlieren. Vielmehr ist der KI-Experte der Überzeugung, dass es noch eine gute Chance gibt, sich darauf einzustellen.

„Dazu sollten sich die Menschen jedoch nicht in eine Art Opferrolle begeben, sondern überlegen, wie wir mit unseren Jobs, in unseren Organisationen, in unserem Bildungssystem den Wandel proaktiv mitgestalten“, erklärt Zimmermann. „Weil verschwinden wird die KI nicht und so schlecht wie heute wird sie auch bald nicht mehr sein.“

Aus seiner Sicht erfordert die anstehende massive Verschiebung am Arbeitsmarkt durch KI nicht – wie häufig angeführt – ein lebenslanges Lernen, sondern auch ein „Unlearning“. Viele Menschen definieren sich ja auch über das, was sie tun“, so der Buchautor. „Wenn das wegbricht oder sich verändert, dann ist das teilweise auch mit einer Sinnkrise verbunden.“

Was Zimmermann sonst noch empfiehlt, erfahren Sie in seinem Buch oder in komprimierter Form in unserem Podcast – gleich hier oder auf der Podcast-Plattform Ihrer Wahl.

width="100%" height="152" frameborder="0" allowfullscreen allow="autoplay; clipboard-write; encrypted-media; fullscreen; picture-in-picture" loading="lazy" src="https://open.spotify.com/embed/episode/0CPRQ6steNZLV7xtdwSkAv?utm_source=oembed">

Unternehmen agieren heute in einem Umfeld wachsender Komplexität: verteilte Organisationen, hybride Arbeitsmodelle, steigende regulatorische Anforderungen sowie eine hohe Veränderungsgeschwindigkeit sind die Realität. Klassische, linear gedachte Steuerungsmechanismen stoßen dabei zunehmend an Grenzen, da Entscheidungen oft nicht eindeutig ableitbar sind und Ursache-Wirkungs-Zusammenhänge sich häufig erst im Rückblick zeigen.

Hier setzt systemische Beratung an. Sie betrachtet Organisationen nicht als Summe isolierter Funktionen, sondern als dynamische Systeme aus Rollen, Beziehungen sowie Kommunikations- und Entscheidungslogiken. Das Ziel besteht nicht darin, Komplexität zu „vereinfachen“, sondern sie so zu strukturieren, dass sie handhabbar wird und bessere, schnellere und tragfähigere Entscheidungen ermöglicht.

Weder der Markt noch die Konkurrenz oder die Mitarbeiter bremsen die meisten Unternehmen aus, sondern ein immer gleicher Blickwinkel auf die Dinge. Die Bedeutung eines Strategiewechsels für den Erfolg erkannte bereits Albert Einstein: “Wenn du immer wieder das tust, was du immer schon getan hast, dann wirst du immer wieder das bekommen, was du immer schon bekommen hast. Wenn du etwas anderes haben willst, musst du etwas anderes tun”. Systemische Beratung hilft Herausforderungen anders anzugehen.

Systemische Beratung – Definition

Systemische Beratung ist eine Form der professionellen Begleitung von Einzelpersonen, Teams oder Organisationen, bei der der soziale und organisationale Kontext konsequent mit einbezogen wird. Sie basiert auf der Annahme, dass Verhalten, Entscheidungen und Probleme nicht isoliert, sondern aus den Wechselwirkungen innerhalb eines Systems entstehen. Im Unterschied zu klassischen, kausal orientierten Ansätzen, die nach eindeutigen Ursachen suchen, analysiert die systemische Beratung Muster, Dynamiken und Wechselwirkungen. Das Ziel besteht nicht darin, fertige Lösungen vorzugeben, sondern die Entscheidungs- und Handlungsfähigkeit des Systems selbst zu stärken.

Die Wurzeln der systemischen Beratung liegen in der Familientherapie der 1950er Jahre. Der Perspektivwechsel – weg vom Individuum hin zum sozialen System – wurde in den folgenden Jahrzehnten weiterentwickelt und auf Organisationen übertragen. Der Ansatz wurde unter anderem von Niklas Luhmann, Salvador Minuchin, Steve de Shazer, Friedemann Schulz von Thun und Paul Watzlawick geprägt.

Eine einheitliche „Systemtheorie“ im Sinne eines geschlossenen Modells existiert dabei jedoch nicht. Es handelt sich vielmehr um einen praxisorientierten Ansatz, der Elemente aus Systemtheorie, Kybernetik, Kommunikationstheorien und konstruktivistischen Denkmodellen verbindet.

Systemische Beratung – Methoden und Ziele

Organisationen bleiben nur dann leistungsfähig, wenn sie ihre Anpassungsfähigkeit kontinuierlich weiterentwickeln. Systemische Beratung unterstützt diesen Prozess, indem sie Strukturen, Entscheidungslogiken und Kommunikationsmuster sichtbar und bearbeitbar macht. Im Zentrum steht dabei nicht die Optimierung einzelner Maßnahmen, sondern das Verständnis wiederkehrender Muster und Wechselwirkungen. Typische Leitfragen sind:

• Wo entstehen Reibungsverluste durch Schnittstellen, Rollen oder Entscheidungswege?
• Welche Muster tragen dazu bei, dass Probleme trotz sinnvoller Einzelmaßnahmen bestehen bleiben?
• Wie lässt sich die Lern- und Anpassungsfähigkeit der Organisation gezielt stärken?

Systemische Beratung entfaltet ihre Wirkung insbesondere bei komplexen Fragestellungen mit vielen Beteiligten und widersprüchlichen Zielsetzungen. Voraussetzung ist jedoch eine ausreichende strategische Klarheit, denn ohne gemeinsame Zielrichtung besteht die Gefahr, Analyse mit Fortschritt zu verwechseln.

Systemische Beratung im Business-Umfeld

Systemische Ansätze kommen besonders dort zum Einsatz, wo klassische Management-Instrumente sinnvoll ergänzt werden können. Drei typische Anwendungsfelder sind:

• Entscheidungs- und Prozessgestaltung: Das Ziel besteht darin, Entscheidungs- und Arbeitsprozesse so auszurichten, dass sie auch unter Unsicherheit handlungsfähig bleiben. Systemische Beratung unterstützt dabei, Entscheidungsblockaden zu lösen, Verantwortlichkeiten zu klären und die Selbstorganisation von Teams, insbesondere in komplexen Projekt- und Matrixstrukturen, zu stärken.
• Change- und Transformationsprogramme: Wandel ist für viele Organisationen zum Dauerzustand geworden. Entsprechend reicht es nicht aus, nur die formalen Strukturen anzupassen. Entscheidend ist das Zusammenspiel von offiziellen Prozessen und informellen Dynamiken. Systemische Beratung schafft hierfür Transparenz und unterstützt dabei, Veränderungsprozesse wirksam zu gestalten.
• Systemische Gesprächsführung: Ein zentrales Werkzeug ist die gezielte Arbeit mit Fragen. Sie dient dazu, bestehende Denkmuster zu hinterfragen und neue Perspektiven zu eröffnen. Der Mehrwert liegt dabei weniger in schnellen Antworten als in besseren Entscheidungsgrundlagen. Paradoxe Fragen wie „Was müssten wir tun, damit dieses Projekt garantiert scheitert?“ sind dabei wirkungsvolle Interventionen, um neue Handlungs- und Entscheidungsspielräume zu eröffnen.“

Ein Beispiel aus der Praxis

Ein strategisches Kundenprojekt gerät ins Stocken. Fachliche Expertise ist vorhanden und die Ziele sowie das Budget sind geklärt, dennoch wird der Fortschritt durch langwierige Abstimmungsprozesse gebremst. Da keine offenen persönlichen Konflikte erkennbar sind, liegt die Vermutung nahe, dass die Ursache auf struktureller oder prozessualer Ebene liegt. Genau hier setzt systemische Beratung an: nicht bei einzelnen Personen, sondern bei den zugrunde liegenden Mustern im System. Ein typisches systemisches Vorgehen orientiert sich an diesen vier iterativen Phasen:

1. Auftragsklärung und Beobachtung: Zunächst wird die Situation aus unterschiedlichen Perspektiven betrachtet, etwa durch Interviews und die Analyse von Kommunikations- und Entscheidungswegen.

2. Hypothesenbildung: Auf Basis dieser Eindrücke werden vorläufige Erklärungsmodelle entwickelt, z. B. unklare Entscheidungszuständigkeiten, widersprüchliche Zielsysteme oder implizite Loyalitätskonflikte.

3. Gezielte Interventionen: Darauf aufbauend werden konkrete Impulse gesetzt, etwa angepasste Meeting-Strukturen, klarere Entscheidungsregeln oder moderierte Klärungsformate, um festgefahrene Muster zu irritieren.

4. Reflexion und Anpassung: Die Wirkung dieser Interventionen wird beobachtet und anschließend gemeinsam reflektiert. Verändert sich das Verhalten? Entstehen neue Dynamiken? Die nächsten Schritte werden darauf abgestimmt.

Dieses Vorgehen folgt somit einer iterativen Logik: Anstatt im Voraus eine umfassende Lösung zu definieren, arbeitet die systemische Beratung mit Hypothesen, Feedback und schrittweiser Anpassung. Das Ziel besteht darin, die Selbststeuerungsfähigkeit des Teams wiederherzustellen und die Organisation unabhängiger von externer Steuerung zu machen.

Systemischer Berater werden – Aus- und Weiterbildung

Der Begriff „systemischer Berater“ ist nicht geschützt. Entsprechend wichtig sind transparente Qualitätsstandards. Anerkannte Ausbildungswege bieten beispielsweise die DGSF (Deutsche Gesellschaft für Systemische Therapie, Beratung und Familientherapie) und die SG (Systemische Gesellschaft). 

Die Ausbildungen dauern in der Regel mindestens zwei Jahre und bilden die Grundlage für weiterführende Spezialisierungen, etwa im Coaching oder in der Organisationsberatung. Ein psychologischer Hintergrund kann dabei hilfreich sein, ist jedoch keine Voraussetzung. Entscheidend sind vielmehr fundierte methodische Kompetenz, belastbare Erfahrung in der Gestaltung und Steuerung organisationaler Reflexions- und Entscheidungsprozesse sowie die Fähigkeit zur strukturierten Selbstreflexion. Vor diesem Hintergrund ist systemische Beratung kein standardisiertes Produkt. Ihr Nutzen entsteht aus der präzisen Passung zwischen Fragestellung, Organisation und Beraterprofil.

Systemische Beratung bietet einen belastbaren Ansatz, um organisationaler Komplexität zu begegnen und die Entscheidungsfähigkeit unter Unsicherheit gezielt zu stärken. Sie ersetzt keine fachliche Expertise, entfaltet jedoch ihre Wirkung dort, wo lineare Steuerungsmodelle an ihre Grenzen stoßen – insbesondere in Transformationen, im Change Management und in der Führung. Ihr entscheidender Mehrwert liegt in einem konsequenten Perspektivwechsel: weg von der isolierten Ursachenanalyse hin zum Verständnis wechselseitiger Zusammenhänge. So entsteht eine fundierte Grundlage für Entscheidungen, die nicht nur kurzfristig wirksam sind, sondern auch unter dynamischen Marktbedingungen nachhaltig tragen. (fm)

Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!