Eine von Saviynt beauftragte internationale Umfrage zeigt: KI-Identitäten sind in Unternehmen bereits tief in kritische IT-Umgebungen eingebunden. In Deutschland bestätigen 93 Prozent der befragten CISOs und CIOs Zugriffe auf Kernsysteme wie SAP, Salesforce oder ServiceNow. Gleichzeitig fehlen vielerorts klare Richtlinien, vollständige Sichtbarkeit und integrierte Sicherheitsprozesse – was neue Risiken für Compliance, Audits und Haftung schafft.
Foto: Saviynt
Chris Steiner, Vice President Sales DACH bei Saviynt
Foto: Saviynt
Josef Nemecek, CTO DACH von Saviynt
Künstliche Intelligenz agiert in Unternehmen längst nicht mehr nur unterstützend, sondern zunehmend autonom in produktiven Arbeitsumgebungen. Damit entstehen neben Effizienzpotenzialen auch neue Herausforderungen für IT-Sicherheit und Kontrolle. Eine neue internationale Umfrage, beauftragt von Saviynt und in Deutschland, Großbritannien und den USA durchgeführt, rückt dabei ein bislang wenig beleuchtetes Thema in den Mittelpunkt: KI-Identitäten greifen bereits heute auf zentrale Unternehmenssysteme zu – häufig jedoch ohne ausreichende Governance, Transparenz oder einheitliche Steuerungsmechanismen.
Die Ergebnisse aus Deutschland zeichnen ein klares Bild: 93 Prozent der befragten IT- und Security-Entscheider (CISOs/CIOs) geben an, dass KI-Identitäten bereits Zugriff auf Kernsysteme wie SAP, Salesforce oder ServiceNow haben. Allerdings steuert nur etwa ein Viertel diese Zugriffe mit klaren Richtlinien. Saviynt verweist in diesem Zusammenhang auf wachsende Angriffsflächen sowie Risiken in Audits, Haftung und Compliance.
Die Umfrage macht deutlich, dass KI-Identitäten in zentralen Unternehmensplattformen angekommen sind – und damit an Stellen wirken, die traditionell stark reguliert und eng überwacht werden müssten. Gerade weil KI in Teilen autonom agiert, steigen die Anforderungen an Nachvollziehbarkeit und Kontrolle von Berechtigungen. Laut Saviynt führt das Fehlen klarer Policies nicht nur zu technischen Sicherheitsrisiken, sondern auch zu wirtschaftlichen und rechtlichen Folgeproblemen, etwa im Kontext von Prüfungen und Compliance-Nachweisen.
Chris Steiner, Vice President Sales DACH bei Saviynt, ordnet die Situation in der Pressemeldung mit Blick auf die eingesetzten Sicherheitsmechanismen ein:
“Viele Organisationen versuchen, KI-Risiken mit Sicherheitswerkzeugen zu kontrollieren, die für menschliche Nutzer und klassische IT gebaut wurden. KI-Identitäten benötigen jedoch API-basierte Kontrollen, automatisierte Governance und kontinuierliche Überwachung. Doch die Realität sieht anders aus: Fragmentierte Punktlösungen, manuelle Prozesse und fehlende Integration.”
Neben Governance-Defiziten ist fehlende Transparenz ein zentrales Problemfeld. Mehr als die Hälfte der Unternehmen verfügt laut Umfrage über keine vollständige Übersicht ihrer KI-Identitäten. Damit bleibt unklar, welche KI-Komponenten im Unternehmen aktiv sind, in welchen Systemen sie agieren und welche Rechte sie dort besitzen. Gerade in komplexen IT-Landschaften kann diese Intransparenz Sicherheitsvorfälle begünstigen – oder zumindest deren Aufklärung erschweren.
Parallel dazu breitet sich „Shadow AI“ aus. 76 Prozent der Befragten haben unsanktionierte KI-Tools im Unternehmen entdeckt. Laut Pressemeldung sind diese häufig mit eingebetteten Zugangsdaten oder erweiterten Berechtigungen ausgestattet und agieren außerhalb standardisierter Workflows. Aus Sicht der Studie verstärkt dies die Sicherheitslage zusätzlich, weil Kontroll- und Freigabeprozesse umgangen werden können.
Saviynt verortet die Ergebnisse in einem Umfeld, das in den vergangenen Jahren stark von digitaler Transformation, Zero-Trust-Strategien und Compliance-Anforderungen geprägt war. KI verändere nun den Status quo, weil Identitäten nicht mehr nur menschlich seien und in hoher Geschwindigkeit handeln könnten. Die Frage, welche KI-Identitäten mit welchen Privilegien agieren, wird damit zum unmittelbaren Sicherheits- und Compliance-Thema – auch mit Blick auf Cloud-Strategien und bestehende Frameworks.
Die Umfrageergebnisse kommen laut Pressemeldung zu einem Zeitpunkt, an dem viele Unternehmen KI bereits produktiv einsetzen, während regulatorische Leitplanken dafür noch fehlen. Das erhöhe das Risiko für Audit-Fehler, Haftungsfragen und Compliance-Verstöße.
Josef Nemecek, CTO DACH von Saviynt, betont in diesem Zusammenhang die Steuerungsfrage:
„Die Frage ist nicht mehr, ob KI kommt, sondern wie wir sie sicher steuern“, sagt Josef Nemecek, CTO DACH von Saviynt. „Und vor allem: Wer überwacht KI, die zur Sicherheit genutzt wird? Und wer überwacht den Administrator?“
Saviynt leitet daraus die Empfehlung ab, Identity Security „neu zu denken“ – und menschliche wie KI-Identitäten gleichermaßen über automatisierte Governance, Least-Privilege-Prinzipien und Self-Healing-Workflows zu steuern.
Die wichtigsten Erkenntnisse des AI Risk Reports 2026 sind im PDF übersichtlich zusammengefaßt.
