Fast dreißig Jahre lang basierte die IT-Sicherheit auf einer simplen Idee: Alles, was sich innerhalb des Netzwerks befand, galt als sicher. Firewalls zogen die Grenze, sodass alles außerhalb als Bedrohung und alles innerhalb als vertrauenswürdig eingestuft wurde. Dieser Ansatz war sinnvoll, solange Daten in firmeneigenen Rechenzentren gespeichert und Mitarbeiter im Büro arbeiteten.
Diese Welt existiert nicht mehr. Heute laufen Ihre Workloads über viele Cloud-Anbieter, KI-Agenten greifen mit Administratorrechten auf sensible Anwendungen zu, und externe Dienstleister sowie automatisierte Systeme stellen einen Großteil der Zugriffsanfragen dar. Die alten Grenzen existieren praktisch nicht mehr.
Warum fühlt sich 2026 anders an als die schrittweisen Veränderungen zuvor? Weil die Regeln jetzt in Kraft treten und die Fristen für die Einhaltung drängen. Angreifer haben sich bereits in eine Welt begeben, in der Identitäten im Fokus stehen, während schwache, veraltete Kryptografie sich als stille kryptografische Schulden anhäuft. Dieser Blog fasst verifizierte Empfehlungen von NIST, NSA, CISA, Gartner, Forrester und der Cloud Security Alliance zusammen. Das Ziel ist einfach: aufzuzeigen, was sich ändert und worauf Sie dieses Jahr achten sollten.
Zero Trust wird zur Regel
Die meisten Sicherheitsteams haben Zero Trust schon seit Jahren in ihrer Planung. Neu ist, dass es sich 2026 von einem Ziel zu einer verbindlichen Regel entwickelt. Das ist wichtig, denn ein Ziel lässt sich verschieben, eine verbindliche Regel jedoch nicht.
Was das NIST fordert: NIST SP 800-207 (Zero Trust Architecture, 2020) ist die wichtigste US-amerikanische Richtlinie für Zero Trust. Ihre Kernprinzipien sind einfach: Implizites Vertrauen sollte nicht allein auf dem Netzwerkstandort basieren, der Zugriff wird sitzungsbezogen geprüft, Richtlinienentscheidungen werden anhand von Faktoren wie Identität und Gerätestatus getroffen, und das Vertrauen wird kontinuierlich überwacht und neu bewertet. 2023 veröffentlichte das NIST SP 800-207A, um die Anwendung dieser Prinzipien auf Cloud-native Anwendungen zu verdeutlichen und dabei Identität, Workload-Authentifizierung und richtlinienbasierten Zugriff anstelle des Netzwerkstandorts in den Vordergrund zu stellen. Die Richtlinie selbst ist klar und detailliert; die eigentliche Herausforderung besteht in ihrer konsequenten Umsetzung im täglichen Betrieb.
Der Compliance-Druck: Genau hier liegt der größte Druck. Für US-Bundesbehörden und insbesondere für regulierte Branchen entwickelt sich Zero Trust von einer wünschenswerten Option zu einer zwingenden Voraussetzung. Gartner prognostiziert, dass Unternehmen, die ihre Sicherheitsinvestitionen auf Basis eines Programms für kontinuierliches Bedrohungsmanagement (CTEM) priorisieren, bis 2026 ein dreimal geringeres Risiko für Sicherheitsvorfälle aufweisen werden. Diese Prognose ist zukunftsorientiert und Analysten weisen darauf hin, dass sie noch überprüft wird, die Richtung ist jedoch klar.
Warum partielles Zero Trust riskant ist. Eine Warnung sollte klar ausgesprochen werden: Zero Trust nur halbherzig umzusetzen, kann schlimmer sein, als es gar nicht zu praktizieren. Wenn Sie den Fernzugriff einschränken, aber weiterhin allem im System vertrauen, verringert sich der Angriffsraum eines Angreifers nicht wirklich. Zero Trust ist kein Produkt, das man aktiviert und dann vergisst; es ist ein Ansatz, der kontinuierlich überprüft werden muss, wenn sich Benutzer, Anwendungen und Bedrohungen ändern. Die Vertrauensgrundlage muss sich verlagern.
Maschinen bilden den neuen Perimeter.
Da die alten Grenzen wegfallen, muss ein neuer Kontrollpunkt für Benutzer, Geräte, Cloud-Dienste und Maschinen geschaffen werden. Dieser Kontrollpunkt ist die Identität. Gartners Bedrohungsanalyse für 2026 stellt identitätsbasierte Sicherheit und Zero Trust Network Access in den Mittelpunkt des Kampfes gegen Session Hijacking und gestohlene Zugangsdaten. Die Zahlen hinter dieser Entwicklung sind beeindruckend.
Die Cloud Security Alliance (CSA) hat bestätigt, was viele Teams bereits vermutet hatten: In Cloud-Umgebungen übertreffen Maschinenidentitäten die menschlichen Identitäten mittlerweile bei Weitem – Schätzungen zufolge um bis zu 100 zu 1. Servicekonten, API-Schlüssel und andere Anmeldeinformationen für Maschinen häufen sich rasant an. Die CSA nennt unsichere Maschinenidentitäten und -berechtigungen als größtes Cloud-Risiko im Jahr 2026. Angreifer nutzen Servicekonten besonders gern aus, da diese oft weitreichende Zugriffsrechte bieten und deutlich weniger Aufmerksamkeit erhalten als menschliche Konten. Die Lösung ist leicht gesagt, aber schwer umzusetzen: Verzichten Sie auf langlebige, statische Schlüssel, wechseln Sie zu kurzlebigen, identitätsbasierten Anmeldeinformationen und wenden Sie das Prinzip der minimalen Berechtigungen für Maschinen an, genau wie für Administratoren.
Agentenbasierte KI macht die Sache noch schwieriger. Es handelt sich dabei nicht um einfache Chatbots, sondern um Systeme, die selbstständig agieren, Aufgaben ausführen, Daten lesen, Code ausführen und oft gleichzeitig über Administratorrechte in vielen Systemen verfügen. Jede KI-Agentenidentität – ob eingehend, ausgehend oder intern – sollte mit der gleichen Sorgfalt behandelt werden wie jedes andere privilegierte Konto. Laut CSA sind 92 % der Sicherheitsverantwortlichen besorgt darüber, wie sich KI-Agenten auf ihre Sicherheit auswirken. Und das aus gutem Grund: Ein einziger Agent mit übermäßigen Berechtigungen kann es einem Angreifer ermöglichen, Daten in Echtzeit abzurufen, ohne jemals ein menschliches Passwort zu stehlen.
Dies erreichte schnell die Regierungsebene. Am 1. Mai 2026 veröffentlichten sechs Behörden (CISA und NSA in den USA sowie Partner in Australien, Kanada, Großbritannien und Neuseeland) gemeinsam die Leitlinie „Sorgfältige Einführung agentenbasierter KI-Dienste“ . Es handelt sich um die erste koordinierte, länderübergreifende Leitlinie, die sich speziell mit KI-Agenten befasst. Die Botschaft war eindeutig: Agenten dürfen keinen umfassenden oder uneingeschränkten Zugriff erhalten und müssen in das bestehende Sicherheitsmodell integriert werden, anstatt sie als separates Experiment zu behandeln. Die Leitlinie betont das Prinzip der minimalen Berechtigungen, Netzwerksegmentierung, kontinuierliche Überwachung, menschliche Kontrolle und die Möglichkeit, Agenten bei Bedarf schnell einzudämmen oder zu deaktivieren.
Das Problem ist, dass die meisten Organisationen diese Anforderungen noch nicht erfüllen können.
Post-Quantenzeit: Die Uhr tickt
Kein anderer Wandel wird so oft als Problem des nächsten Jahrzehnts abgetan wie die Post-Quanten-Kryptographie. Das NIST hat seine Standards fertiggestellt, die NSA hat klare Fristen gesetzt, und Angreifer sammeln bereits jetzt verschlüsselte Daten, um sie später zu entschlüsseln und zu lesen. Die Entwicklung hat bereits begonnen, und Teams, die noch nicht damit angefangen haben, sind im Rückstand.
Die Standards selbst sind nun final. Im August 2024 veröffentlichte das NIST drei fertige Post-Quanten-Standards: ML-KEM ( FIPS 203 ) für die Schlüsselerzeugung, ML-DSA ( FIPS 204 ) für digitale Signaturen und Codesignierung sowie SLH-DSA ( FIPS 205 ) als zustandslosen, hashbasierten Standard für digitale Signaturen. Diese Standards sind bereits implementiert und im Einsatz. Kommerzielle PKI- Anbieter unterstützen sie, und viele große Technologie- und Browserhersteller setzen bereits hybride Post-Quanten-Protokolle produktiv ein. Der NIST- Entwurf IR 8547 schlägt einen Zeitplan vor, in dem klassische Algorithmen wie RSA-2048 und ECC P-256 nach 2030 als veraltet und nach 2035 als unzulässig gelten sollen.
Die CNSA 2.0 Suite (Commercial National Security Algorithm Suite) der NSA wurde 2022 veröffentlicht und definiert die Regeln für US-amerikanische nationale Sicherheitssysteme. Sie schreibt ML-KEM für die Schlüsselerzeugung und ML-DSA für Signaturen vor; SLH-DSA ist für ausgewählte Anwendungsfälle zugelassen. Die Umstellung erfolgt stufenweise und nicht terminiert. Die NSA priorisiert die Migration neuer Software, Firmware und Boot-Chain-Signaturen auf CNSA 2.0 so früh wie möglich. Netzwerkgeräte wie VPNs, Firewalls und Router sollten ab etwa 2026 umgestellt werden und ab 2030 ausschließlich CNSA 2.0 nutzen. Die NSA geht davon aus, dass CNSA 2.0 bis 2035 der Standard für alle nationalen Sicherheitssysteme sein wird.
Auch wenn Sie kein Auftragnehmer der Bundesregierung sind, bieten Ihnen diese Termine eine solide Grundlage für Ihre Prüfungen. Viele Organisationen nutzen den CNSA 2.0-Fahrplan als Planungsgrundlage, selbst wenn er nicht gesetzlich vorgeschrieben ist.
Das Sammeln und spätere Entschlüsseln von Daten ist bereits Realität. Was viele übersehen: Die Gefahr besteht nicht nur darin, dass jemand eines Tages die Verschlüsselung in Echtzeit knackt, sondern auch darin, dass Angreifer Ihre verschlüsselten Daten jetzt kopieren und speichern, um sie mit einem leistungsstarken Quantencomputer zu entschlüsseln. Westliche Geheimdienste wie die NSA, der britische GCHQ und die französische ANSSI warnen bereits davor, dass staatliche Gruppen genau das tun. Jede verschlüsselte Websitzung, jeder VPN-Tunnel und jede E-Mail, die gesammelt wird, könnte später geöffnet werden. Wenn Ihre Daten zehn Jahre oder länger geheim bleiben müssen, sind Sie von dieser Bedrohung sofort betroffen.
Wo fängt man also an? NIST, NSA und CISA sagen alle dasselbe: Systeme sollten so konzipiert sein, dass Algorithmen ausgetauscht werden können, ohne die gesamte Plattform neu aufbauen zu müssen. Anpassungsfähigkeit an Veränderungen bedeutet nicht, diese hinauszuzögern; sie akzeptiert lediglich, dass die heutigen Standards aktuell die besten sind, aber nicht für immer. In der Praxis sollten Sie Ihre Algorithmenauswahl von der Anwendungslogik trennen, HSMs mit Post-Quanten-Unterstützung gemäß Roadmap wählen und sicherstellen, dass Ihr Zertifikatsmanagement neue Algorithmen in großem Umfang ausstellen kann.
Jeder Plan beginnt gleich: mit einer vollständigen kryptografischen Bestandsaufnahme. Was man nicht erfasst hat, lässt sich nicht ersetzen. Und selbst ein vollständig erfasstes, kryptoagiles System läuft letztendlich auf Code, den es nicht selbst geschrieben hat – und genau hier entsteht die nächste Schwachstelle.
Der blinde Fleck in der Lieferkette
Während Teams ihre Identitätsprüfung verstärken und Post-Quanten-Kryptografie einführen, hat sich eine dritte Front still und leise entwickelt und die Verteidigungsmaßnahmen überholt. Gartner prognostizierte 2021, dass 45 % der Unternehmen bis 2025 Angriffen auf die Software-Lieferkette ausgesetzt sein würden . Diese Schätzung erwies sich als zu niedrig: Eine Branchenumfrage aus dem Jahr 2024 bezifferte die Zahl bereits ein Jahr früher auf 75 %. Von da an beschleunigte sich die Entwicklung nur noch, und die Bedrohung wurde real. Hunderttausende schädliche Open-Source-Pakete wurden im Jahr 2025 veröffentlicht. Im März 2026 verbreiteten Angreifer zwei schädliche Versionen der beliebten axios npm-Bibliothek über ein gehacktes Entwicklerkonto.
Warum ist das so schwierig? Weil es nicht dasselbe ist wie Lieferantenrisiko. Branchenrichtlinien ziehen hier eine wichtige Unterscheidung: Das Risiko in der Software-Lieferkette ist nicht dasselbe wie das Lieferantenrisikomanagement. Werden sie gleichgesetzt, ist man angreifbar. Lieferantenrisiko umfasst die Unternehmen, mit denen man Geschäfte macht, deren Sicherheit, Verträge und Reaktion auf Sicherheitsvorfälle. Angriffe auf die Lieferkette zielen auf die Build- und Delivery-Pipeline ab, die man zur Entwicklung der eigenen Software verwendet. Eine Abhängigkeit oder ein Upstream-Maintainer, den man nie formell überprüft hat, kann eine Sicherheitslücke in ein Paket einschleusen, dem die eigene Anwendung bereits vertraut.
Die Antwort darauf besteht darin, die verwendeten Open-Source-Komponenten zu scannen, sie auf bekannte, sichere Versionen zu beschränken, die Ergebnisse des Builds zu überprüfen und die KI-Komponenten in der Software zu protokollieren. Lieferketten blieben eine vertrauenswürdige Zone, die vom Zero-Trust-Konzept, das ansonsten überall Anwendung findet, ausgenommen war. Genau diese Lücke nutzen Angreifer weiterhin aus. Während sich die Sicherheitskräfte bei Lieferketten am langsamsten angepasst haben, bewegen sie sich nun am schnellsten im Security Operations Center – und KI ist der Grund dafür.
KI tritt dem SOC bei
Die KI im Security Operations Center hat das Demo-Stadium längst hinter sich gelassen. Bis 2026 wird sie im gesamten Incident-Response-Prozess aktiv mitwirken und nicht nur Warnmeldungen auf einem Dashboard anzeigen. Das birgt echtes Potenzial, aber auch ein neues, spezifisches Risiko, das es wert ist, benannt zu werden.
Die Bundespolitik zieht bereits nach: Das deutlichste Beispiel ist die CISA-Richtlinie BOD 26-04 vom 10. Juni 2026 („Priorisierung von Sicherheitsupdates basierend auf dem Risiko“). Sie ersetzt die bisherigen festen Fristen für die Behebung von Sicherheitslücken gemäß BOD 22-01 durch ein risikobasiertes Priorisierungsmodell. Die Richtlinie berücksichtigt Faktoren wie die öffentliche Zugänglichkeit eines betroffenen Systems, die Zugehörigkeit der Schwachstelle zum Katalog bekannter ausgenutzter Schwachstellen (KEV) , die Möglichkeit der automatisierten Ausnutzung und die potenziellen Auswirkungen eines erfolgreichen Angriffs. Diese Faktoren bestimmen die Priorität der Behebung: Schwachstellen mit dem höchsten Risiko müssen innerhalb von drei Tagen behoben werden, während die Behebung von Schwachstellen mit geringerem Risiko formell aufgeschoben werden kann.
Wichtig ist, dass die Regelung die KI-gestützte Automatisierung von Sicherheitslücken als Faktor nennt. CISA entwickelt Richtlinien für eine Welt, in der KI Sicherheitslücken schneller ausnutzen kann, als Menschen sie beheben können.
Auf der defensiven Seite hilft KI mittlerweile dabei, Bedrohungen zu erkennen, Warnmeldungen zu priorisieren, Vorfälle einzudämmen und die Folgen zu beseitigen. Doch das Risiko ist genauso real. Auf einer Gartner-Konferenz 2026 wurde ein Live-Beispiel gezeigt: Ein Angreifer nutzte den KI-Assistenten eines Unternehmens, um interne Dokumente nach Zugangsdaten zu durchsuchen und so sensible Zugriffsrechte schneller zu finden, als es einem Menschen manuell möglich gewesen wäre. Es war keine neue Sicherheitslücke nötig; der Angreifer nutzte einfach ein bereits vorhandenes, vertrauenswürdiges Tool des Unternehmens.
Gartners Rat sollte man sich zu Herzen nehmen: Interne KI sollte man wie die nächste Generation der Schatten-IT betrachten. Sie gefährdet nicht Ihr Sicherheitsmodell; sie beschleunigt lediglich die Aufdeckung von Zugriffen, die Sie bisher nicht bereinigt haben. Diese Überschneidung, bei der ein Zugriffsproblem gleichzeitig ein Datenleck darstellt, deutet auf einen umfassenderen Wandel hin, der sich bereits vollzieht.
Datenschutz trifft Sicherheit
Ein weniger offensichtlicher Wandel verbindet viele dieser Aspekte. Datenschutz- und Sicherheitsgovernance verschmelzen zu einem einheitlichen Rahmenwerk. Die Logik dahinter ist praktischer, nicht theoretischer Natur. Datenschutz- und Sicherheitsrisiken sind nun eng miteinander verknüpft. Ein Identitätssystem ohne Zero Trust stellt sowohl eine Sicherheitslücke als auch eine Gefährdung der Privatsphäre dar. Ein KI-System mit zu weitreichenden Datenzugriffen birgt gleichzeitig ein Sicherheitsrisiko und rechtliche Haftung. Ein System mit veralteten Algorithmen gefährdet sowohl die Datensicherheit als auch das Vertrauen in die Daten.
Es handelt sich hierbei nicht um getrennte Probleme, die sich ein Büro teilen. Es ist ein und dasselbe Problem, betrachtet aus zwei verschiedenen Perspektiven. Unternehmen, die separate Programme für Sicherheit und Datenschutz mit separaten Teams und separaten Audits betreiben, finden diese Trennung zunehmend schwer zu rechtfertigen. Eine einheitliche Governance reduziert Doppelarbeit, schließt die blinden Flecken zwischen den Programmen und ermöglicht ein realistischeres Bild des tatsächlichen Risikos. Viele Teams stellen zudem von geplanten Patch-Fenstern auf einen kontinuierlichen, automatisierten Ansatz für kritische Fehlerbehebungen um, sodass die Sicherheit mit der Entwicklung Schritt hält, anstatt hinterherzuhinken. Das sind viele Aspekte, die gleichzeitig im Blick behalten werden müssen – genau dafür ist die folgende Kurzübersicht gedacht.
Der Spickzettel für 2026
Eine kurze Übersicht über die oben genannten Schichten und wann sie in Kraft treten.
| Prognose | Geschichte |
|---|---|
| Die Fristen für die Umsetzung des Zero Trust-Systems auf Bundesebene sind reif. | 2026 |
| Nicht-menschliche Identitäten (etwa im Verhältnis 100:1) bilden die primäre Angriffsfläche. | Jetzt aktiv |
| Die Five-Eyes-Agenturen veröffentlichen gemeinsame Leitlinien zur Sicherung von KI-gestützten Systemen | Mai 2026 |
| CNSA 2.0 ist für nationale Sicherheitssysteme erforderlich. | 2030-2035 |
| Der Countdown für die Abschaffung von RSA-2048 und ECC P-256 beginnt. | 2030 weiter |
| Die Angriffsrate auf Software-Lieferketten steigt weiter an | 2026 weiter |
| BOD 26-04 Drei-Tage-Patch-Regel für Schwachstellen mit dem höchsten Risiko | Jetzt aktiv |
| Datenschutz und Cybersicherheits-Governance verschmelzen operativ. | 2026 weiter |
Deine nächsten fünf Züge
Die Liste der Änderungen ist lang. Hier ist eine einfache Reihenfolge, basierend auf den oben genannten Fristen und Bedrohungen.
Beginnen Sie mit einem kryptografischen Inventar. Erfassen Sie jedes Zertifikat, jeden Schlüssel, jeden Algorithmus, jede Bibliothek und jeden Signaturschlüssel, bevor Sie mit der Quantenberechnung beginnen. Ohne dieses Inventar können Sie weder Ihr aktuelles Ernterisiko einschätzen noch einen realistischen Zeitplan festlegen. Es wird auch für Audits immer wichtiger.
Verwalten Sie Maschinenidentitäten wie Administratorkonten. Wenden Sie das Prinzip der minimalen Berechtigungen für Dienstkonten, API-Schlüssel und KI-Agenten an, wechseln Sie Anmeldeinformationen regelmäßig und überwachen Sie ungewöhnliche Zugriffe von automatisierten Konten. Dies reduziert Risiken schnell und ist kein mehrjähriges Projekt.
Überprüfen Sie Ihre KI-Agenten anhand der sechs Kontrollmechanismen. Können Sie jeden Agenten auf seinen Zweck beschränken? Können Sie einen fehlerhaften Agenten schnell abschalten? Können Sie ihn isolieren, falls ein Fehler auftritt? Falls eine dieser Fragen mit Nein beantwortet wird, beheben Sie das Problem, bevor Sie weitere Agenten hinzufügen.
Behandeln Sie Drittanbietercode wie nicht vertrauenswürdigen Datenverkehr: Legen Sie Versionen fest, überprüfen Sie Build-Artefakte, fordern Sie von den Anbietern Stücklisten für die Software an und überprüfen Sie, wem Ihre Pipeline standardmäßig vertraut.
Planen Sie Ihre Kryptomigration in Phasen. Schützen Sie zunächst langlebige Daten, da hier das Risiko des sofortigen Datendiebstahls am größten ist. Anschließend folgen Zertifikatshierarchien und Codesignaturen, zuletzt allgemeine TLS-Verschlüsselung. Teams in der Nähe von Bundesbehörden sollten die CNSA-2.0-Termine produktspezifisch berücksichtigen.
Wie Verschlüsselungsberatung helfen kann
Wenn es darum geht, die oben genannten Punkte umzusetzen, bleibt die Grundlage dieselbe: ein klares, präzises und aktuelles Bild Ihrer kryptografischen Sicherheitslage. Genau das bieten die Verschlüsselungsberatungsdienste von Encryption Consulting.
Unsere Beratungsleistungen im Bereich Verschlüsselung bieten Ihnen eine unabhängige Bewertung der Kryptografie-Nutzung in Ihrem Unternehmen. Wir zeigen Ihnen, wie Ihre Schlüssel generiert, gespeichert und rotiert werden, welche Algorithmen zum Einsatz kommen, wo sensible Daten geschützt sind und wo nicht, und wie all dies mit den in diesem Blog behandelten Standards und Fristen übereinstimmt. Auf dieser Grundlage unterstützen wir Sie bei der Festlegung Ihrer Verschlüsselungsrichtlinien, der Stärkung Ihres Schlüsselmanagements und Ihrer Governance, der Schließung von Compliance-Lücken und der Priorisierung der Maßnahmen, die Risiken am schnellsten reduzieren.
Wenn Sie bereit sind, sich konkret mit der Post-Quanten-Technologie auseinanderzusetzen, bieten wir Ihnen im Rahmen unserer Post-Quanten-Beratungsleistungen einen gestaffelten Migrationsplan an, der den regulatorischen Standards CNSA 2.0 und NIST entspricht. Kontaktieren Sie uns , um Ihre Verschlüsselungsstrategie und Ihre Vorbereitung auf die Post-Quanten-Technologie zu besprechen. Entdecken Sie unser gesamtes Produkt- und Serviceangebot und erfahren Sie, wie wir Ihr Unternehmen schützen können.
Fazit
Was sich 2026 wirklich geändert hat, ist der Umfang und die Häufigkeit der erforderlichen Überprüfungen. Die Antwort lautet: mehr und kontinuierlichere Überprüfungen über eine breitere Palette von Nutzern, Maschinen und Agenten hinweg, die vor zwei Jahren kaum existierten.
Zero Trust ist mittlerweile eine Regel, die Compliance-Teams zunehmend durchsetzen. Post-Quanten-Standards sind endgültig, die Fristen verbindlich, und die Bedrohung für langlebige Daten ist bereits Realität. Lieferketten haben sich zu einem der gefährlichsten Angriffsziele entwickelt, und KI ist nun auf beiden Seiten des Konflikts aktiv.
Die Teams, die 2026 erfolgreich meistern, werden nicht diejenigen mit den meisten Tools oder den umfassendsten Richtlinien sein. Sie werden diejenigen sein, die sich einen umfassenden Überblick über ihre Identitäten, ihre Krypto-Assets, ihre Softwareabhängigkeiten und ihre KI verschafft haben. Nur so lässt sich feststellen, was geschützt wird und wo die Risiken liegen. Im Jahr 2026 ist Vorbereitung kein Meilenstein, den man erreicht. Sie ist die einzige Vorgehensweise, die im Angesicht der Bedrohung Bestand hat.
