Geopolitische Abhängigkeiten und neue KI-Risiken stellen Unternehmen vor wachsende Sicherheitsherausforderungen. Christoph Schuhwerk erklärt im Spin-off des Security-Insider Podcasts „What Would the CISO Do?“, warum Transparenz dabei unverzichtbar ist. In einer Zeit, in der Lieferkettenbrüche, Sanktionsregime und die unkontrollierte Verbreitung generativer Künstlicher Intelligenz das Risikoumfeld fundamental verändern, wird der Ruf nach einer schonungslosen Offenheit immer lauter – einer „brutalen Transparenz“, die Unternehmen nicht nur technisch, sondern auch strategisch neu aufstellt.
Warum geopolitische Abhängigkeiten die Sicherheitsstrategie neu definieren
Die Verflechtung globaler Lieferketten war lange ein Segen für Effizienz und Kosten. Doch der Ukraine-Krieg, die Spannungen zwischen den USA und China sowie die zunehmende Regionalisierung von Technologie-Standards haben eine Kehrseite offengelegt: Unternehmen sitzen auf strategischen Abhängigkeiten, die sie erpressbar machen. Ob Mikrochips aus Taiwan, Cloud-Dienste aus den USA oder seltene Erden aus China – jeder Knoten in der Kette kann zur Sicherheitslücke werden. Ein CISO muss heute wissen, ob ein kritischer Dienstleister in einem Land sitzt, das plötzlich Exportkontrollen verhängt. Genau hier setzt das Konzept der brutalen Transparenz an: Unternehmen müssen nicht nur ihre eigenen Systeme, sondern auch die geopolitischen Risiken ihrer Zulieferer offenlegen und bewerten.
Besonders brisant wird dies, wenn KI-Modelle in sicherheitskritische Infrastrukturen eingebettet werden. Trainingsdaten, die über nationale Grenzen fließen, können unbeabsichtigt geopolitische Bias enthalten oder von ausländischen Akteuren manipuliert sein. Ohne ein klares Bild darüber, wo Daten verarbeitet werden und welchen Regulierungen sie unterliegen, wird die KI selbst zur Blackbox – ein Risiko, das kein Unternehmen akzeptieren sollte.
KI-Risiken: Von Modellmanipulation bis Datenexfiltration
Die zweite große Herausforderung ist die neue Qualität von KI-Risiken. Anders als klassische Softwarefehler lassen sich Angriffe auf neuronale Netze oft nur schwer erkennen. Adversarial Attacks, bei denen minimale Änderungen an Eingabedaten das Modellverhalten komplett umkehren, sind längst keine Theorie mehr. Ebenso gefährlich: Data Poisoning, bei dem Angreifer die Trainingsdaten so verunreinigen, dass das Modell unsichtbare Hintertüren erhält. Christoph Schuhwerk betont in diesem Kontext die Notwendigkeit eines KI-Governanceaa-Frameworks, das von der Entwicklung bis zum Betrieb alle Entscheidungen nachvollziehbar macht. „Brutale Transparenz bedeutet hier, dass jedes KI-Modell auditierbar sein muss – bis hin zu den ursprünglichen Trainingsdaten und den Parametern der Gewichtungen“, so die Kernaussage des Podcasts.
Hinzu kommt das Risiko der Datenexfiltration über LLMs (Large Language Models). Unternehmen, die sensible Kunden- oder Geschäftsdaten in öffentliche KI-Dienste einspeisen, können nicht kontrollieren, wie die Modelle diese Daten speichern oder in Antworten reproduzieren. Eine transparente Nutzungsrichtlinie, die klar definiert, welche Daten in welche KI-Systeme fließen dürfen, ist der erste Schritt. Doch ohne eine zentrale Übersicht über alle eingesetzten KI-Werkzeuge und deren Datenströme bleibt diese Richtlinie wirkungslos.
Brutale Transparenz als Strategie: Was bedeutet das konkret?
Der Begriff „brutale Transparenz“ mag provokant klingen, beschreibt aber präzise das geforderte Maß an Offenlegung. Es geht nicht um Schönfärberei oder optimierte Reports, sondern um eine rücksichtslos ehrliche Bestandsaufnahme aller Sicherheitslücken, Abhängigkeiten und Risiken – intern wie extern. Für Unternehmen bedeutet das: Sie müssen ihre Verwundbarkeiten nicht nur erkennen, sondern auch aktiv kommunizieren. Und zwar gegenüber dem Vorstand, den Mitarbeitern, Partnern und gegebenenfalls sogar der Öffentlichkeit.
Was ist brutale Transparenz im Sicherheitskontext? Es ist die maximale Transparenz über alle internen und externen Faktoren, die Sicherheitsentscheidungen beeinflussen, inklusive geopolitischer Abhängigkeiten und KI-Risiken. Sie erfordert, dass Unternehmen ihre Verwundbarkeiten nicht nur erkennen, sondern auch offen kommunizieren – intern und gegenüber Partnern. Das kann schmerzhaft sein, denn es bedeutet, auch unangenehme Wahrheiten wie veraltete Systeme, Lieferantenkonzentrationen oder unzureichende KI-Kontrollen zu benennen. Doch genau diese Offenheit schafft Vertrauen und ermöglicht es, Gegenmaßnahmen frühzeitig zu priorisieren.
Ein konkretes Beispiel: Ein global agierender Finanzdienstleister stellt fest, dass sein KI-gestütztes Betrugserkennungssystem auf einer Cloud-Plattform läuft, deren Rechenzentren in einem Land mit fragwürdigen Datenschutzstandards stehen. Statt diesen Umstand zu verschweigen, dokumentiert er die Abhängigkeit, bewertet das geopolitische Risiko und erstellt einen Notfallplan für eine Verlagerung. Genau diese Transparenz ist es, die Investoren und Aufsichtsbehörden zunehmend fordern.
Die Rolle des CISOs als Treiber der Transparenz
Der Chief Information Security Officer rückt damit in eine Schlüsselposition, die weit über die reine Technik hinausgeht. Er muss nicht nur Firewalls und Virenscanner managen, sondern als strategischer Berater des Vorstands fungieren. Im Podcast „What Would the CISO Do?“ wird deutlich, dass der CISO zum Vermittler zwischen technischen Teams, der Geschäftsleitung und externen Partnern wird. Seine Aufgabe: eine Kultur der Offenheit etablieren, die es erlaubt, Risiken ohne Schuldzuweisungen anzusprechen. Dazu gehört auch, klare Metriken zu definieren – etwa wie viele kritische Lieferkettenabhängigkeiten bekannt sind, wie viele KI-Modelle auditiert wurden und wie schnell auf geopolitische Änderungen reagiert werden kann.
Praktische Maßnahmen für eine transparente Sicherheitsarchitektur
Um die Prinzipien der brutalen Transparenz umzusetzen, empfehlen sich konkrete Handlungsfelder:
- Geopolitical Risk Mapping: Erstellen Sie eine Karte aller strategischen Lieferanten, Dienstleister und Cloud-Regionen. Bewerten Sie diese regelmäßig hinsichtlich politischer Stabilität, Regulierungsänderungen und Sanktionsrisiken.
- KI-Governance-Framework: Führen Sie ein zentrales Register aller eingesetzten KI-Modelle, einschließlich Herkunft der Trainingsdaten, Modellversionen und Zugriffsrechte. Jedes Modell muss einer unabhängigen Auditierung zugänglich sein.
- Transparente Kommunikationsstrukturen: Etablieren Sie eine Reporting-Linie, die Sicherheitsrisiken direkt in die Vorstandsetage bringt. Nutzen Sie Dashboards, die nicht nur technische Kennzahlen, sondern auch geopolitische Indikatoren abbilden.
- Third-Party Security Reviews: Integrieren Sie in Verträge mit KI-Dienstleistern und Cloud-Anbietern Klauseln, die regelmäßige Offenlegungen über Standorte, Datenverarbeitung und Sicherheitsvorfälle verlangen.
Diese Maßnahmen mögen aufwendig erscheinen, doch sie sind die logische Konsequenz aus einer Welt, in der Geopolitik und KI-Risiken untrennbar miteinander verwoben sind. Wer heute nicht in brutale Transparenz investiert, riskiert morgen ein böses Erwachen – sei es durch einen plötzlichen Lieferkettenausfall, eine undichte KI oder eine Regulierungswelle, die unvorbereitete Unternehmen mit Strafen belegt.
Die Entwicklung zeigt klar: Transparenz wird zum entscheidenden Wettbewerbsfaktor. Unternehmen, die ihre Abhängigkeiten und Risiken schonungslos offenlegen, gewinnen nicht nur das Vertrauen von Kunden und Investoren, sondern auch die nötige Agilität, um auf geopolitische Schocks und KI-basierte Angriffe schnell zu reagieren. Der CISO wird dabei zum Architekten einer neuen Sicherheitskultur – einer Kultur, die nicht auf Geheimniskrämerei, sondern auf Fakten und Offenheit setzt. Die Botschaft aus dem Podcast ist eindeutig: Nur wer bereit ist, die brutale Wahrheit über die eigene Verletzlichkeit zu akzeptieren, kann sich gegen die Risiken von morgen wappnen.
