KI-Governance-Strategie: Über die Compliance-Fassade hinaus

KI schafft Dringlichkeit auf Vorstandsebene und ein Definitionsproblem auf dem Markt. Im Juni 2026 veröffentlichte Gartner seinen ersten Magic Quadrant for AI Governance Platforms, der einen Rahmen für die Bewertung der Plattformen bietet, die Organisationen zur Überwachung ihrer KI-Bestände nutzen können: Katalogisierung von KI-Anwendungsfällen, Verwaltung von Modellrisiken, Durchsetzung verantwortungsvoller KI-Richtlinien und Nachweis der Einhaltung aufkommender Vorschriften wie dem EU AI Act. Aber jede Governance-Strategie, die ausschließlich auf der Modellüberwachung basiert, verfehlt die Grundlage. Bevor Sie KI-Systeme steuern können, müssen Sie steuern, was diese Systeme berühren können.

In Gesprächen mit CIOs und CISOs taucht eine andere Sorge immer wieder auf. Sie müssen die sensiblen Daten, die KI aufnimmt und wiederverwendet, sowie die agentischen Identitäten, die sich in ihren Umgebungen verbreiten, steuern. Diese unterschiedlichen, aber dringenden Probleme stehen nicht im Fokus des Gartner-Berichts.

Die Einsätze sind real: Netwrixs 2026 Data & Identity Security Report, der 2.317 Sicherheits- und IT-Führungskräfte weltweit befragte, ergab eine Verletzungsrate von 43 % bei Organisationen, in denen KI den Identitäts-Fußabdruck in den letzten 12 Monaten deutlich erhöht hat. Das ist fast viermal so hoch wie die 11 % bei Organisationen, bei denen dies nicht der Fall war. Ein reiner Compliance-Rahmen wird diese Lücke nicht schließen.

Organisationen skalieren KI mit unzureichenden Daten- und Identitätskontrollen

KI-Governance hat zwei Dimensionen, und die meisten Frameworks behandeln nur eine davon

Die Definition von Gartner ist korrekt, aber unvollständig.

Nach Gartner-Definition sind AI Governance Platforms darauf ausgelegt, das KI-System selbst zu steuern: welche Modelle verwendet werden, wie sie sich verhalten, ob sie den Richtlinien entsprechen und ob die Organisation gegenüber den Regulierungsbehörden Rechenschaft ablegen kann. Das ist eine Dimension der KI-Governance.

Für die meisten Organisationen sind die dringendsten Anliegen zuerst (1) ihre Daten in Ordnung zu bringen und (2) ihre Identitätskontrollen zu stärken. Im KI-Kontext umfasst dies die Steuerung, auf welche Daten KI zugreifen kann und welche Identitäten KI in ihren Umgebungen annimmt. Jede KI-Initiative, von einer einfachen Copilot-Bereitstellung bis hin zu einem komplexen agentenbasierten Workflow, arbeitet mit Daten. Wenn diese Daten übermäßig exponiert, falsch klassifiziert oder für überberechtigte Identitäten zugänglich sind, wird keine Menge an Model-Card-Dokumentation oder Bias-Tests eine Sicherheitsverletzung verhindern. Und wenn KI-Agenten eigene Zugriffsrechte erhalten, einschließlich Dienstkonten, Tokens und persistenter Berechtigungen, werden sie selbst zu Identitäten mit der gesamten Angriffsfläche, die das mit sich bringt.

Nicht-menschliche Identitäten: Die Governance-Lücke, die Angreifer zuerst finden werden

Eine Frage verdient besondere Aufmerksamkeit: Wie gut verwalten Sie nicht-menschliche Identitäten? KI-Agenten sind keine Zukunftsangst mehr. Sie werden heute eingesetzt und erhalten Zugriffsrechte auf Daten, Systeme und APIs in einem Tempo, das die meisten Identity-Governance-Programme nicht verfolgen können. Ein KI-Agent mit dauerhaftem, ständig aktiviertem Zugriff auf sensible Daten stellt ein Identitätsrisiko dar, das genauso real ist wie bei jedem privilegierten menschlichen Benutzer und in vielen Umgebungen deutlich weniger überwacht wird. Wenn Ihr Identity-Governance-Programm nicht ausdrücklich nicht-menschliche Identitäten und KI-Agenten abdeckt, gibt es eine Lücke, die Angreifer vor Ihren Prüfern finden werden.

Unsere Umfragedaten unterstreichen die Dringlichkeit: 74 % der Organisationen haben keine einzige, einheitliche Sicht auf sensible Daten und welche Identitäten auf diese Daten zugreifen können. Organisationen, die darauf drängen, KI auf dieser Grundlage einzusetzen, beschleunigen möglicherweise ihr Geschäft, erhöhen aber auch ihr Risiko.

Daten- und Identitätssicherheit: Die Voraussetzung für eine KI-Governance-Strategie

Während sich der Gartner-Bericht auf die Steuerung der KI-Nutzung konzentriert, ist es unerlässlich, dass CIOs, CISOs und Compliance-Beauftragte, die ein KI-Governance-Programm starten, die Datensicherheit und Governance sowie die Identitätssicherheit und Governance priorisieren. Jeder IT- und Sicherheitsleiter sollte heute mit einer Bewertung seiner eigenen KI-Bereitschaft beginnen, beginnend mit einer Überprüfung ihrer Daten- und Identitätslage.

Um bei diesem Vorhaben zu helfen, hat Netwrix eine Checkliste mit Fragen zusammengestellt, die Sie Ihren Teams stellen sollten:

Checkliste für KI-Governance: Bereitschaft für Datensicherheit und Identitätssicherheit

• Haben wir alle unsere Daten entdeckt und klassifiziert?
• Haben wir ein vollständiges Inventar darüber, wo sensible Daten in unserer Umgebung gespeichert sind?
• Haben wir eine einheitliche, zusammengefasste Ansicht darüber, wo sich unsere sensiblen Daten befinden und welche Identitäten (menschlich, Dienstkonten, KI-Agenten usw.) darauf zugreifen können?
• Wie schnell können wir feststellen, welche Identitäten Zugriff auf ein bestimmtes sensibles Datum haben?
• Können wir übermäßige oder unnötige Datenzugriffsberechtigungen identifizieren?
• Sind unsere Datenzugriffsrechte so streng wie möglich (z. B. wenden wir das Prinzip der geringsten Rechte an oder haben wir eine Überprovisionierung)?
• Wie schnell können nicht-menschliche Identitäten auf sensible Daten in unserer Umgebung zugreifen?
• Wie gut können wir Identitäten mit Datenzugriffsrechten entdecken, verfolgen und überwachen?
• Wie ausgereift sind wir in der Verwaltung nicht-menschlicher Identitäten?
• Sind unsere Datenzugriffskontrollen für nicht-menschliche Identitäten (einschließlich KI-Agenten) genauso streng verwaltet wie die für unsere menschlichen Identitäten?
• Können wir den Zugriff auf sensible Daten sofort widerrufen, wenn sie nicht mehr benötigt werden?
  • Für Menschen? Für KI-Agenten?
• Können wir eine kontinuierliche Entdeckung der Daten und der Identitäten, die darauf zugreifen können, durchführen, oder führen wir noch periodische Überprüfungen durch, die potenzielle Expositionslücken hinterlassen?
• Können wir riskante oder toxische Zugriffskombinationen erkennen (z. B. genehmigen + ändern + löschen)?
• Wenn übermäßiger oder riskanter Zugriff erkannt wird, wie schnell können wir ihn beheben?
• Wie häufig erhalten privilegierte Konten dauerhaften, stets aktiven Zugriff auf sensible Systeme oder Daten?
• Sind wir sicher, dass unsere Directory-Umgebung (z. B. Active Directory, Entra ID usw.) frei von Fehlkonfigurationen ist, die eine Privilegieneskalation ermöglichen könnten?
• Können wir verhindern, dass sensible Daten und Quellcode an nicht genehmigte LLMs an unseren Endpunkten weitergeleitet werden?
  • Wie sieht es jenseits von Windows aus (z. B. für Mac- oder Linux-Geräte)?
• Haben wir Einblick, auf welche Daten Copilot zugreifen kann, und werden die Daten ordnungsgemäß verwaltet, sodass sensible Daten nicht versehentlich über Copilot für Mitarbeiter zugänglich sind?
• Haben wir Sichtbarkeit und Kontrolle über die Verwendung von Klartext-Token und Anmeldeinformationen in unseren KI-Codierungsumgebungen (eine gängige Praxis, die von Angreifern ausgenutzt werden kann)?
• Wie zuversichtlich sind wir, dass wir die Einhaltung der aufkommenden KI-Vorschriften (z. B. des EU AI Act oder anderer nationaler/lokaler/branchenbezogener Vorschriften) nachweisen können?
• Wer ist in unserer Organisation für KI-bezogene Risiken verantwortlich?
  • Sind sie mit ausreichender Sichtbarkeit und Kontrolle ausgestattet, um Fragen des Vorstands oder des Prüfers zu beantworten?

Antworten auf solche Fragen geben einen Eindruck davon, wo Ihre Lücken liegen und welche Bereiche Priorität haben, um die KI-Bereitschaft sicherzustellen.

IT- und Sicherheitsteams sind bis zum Limit belastet

In der Netwrix-Umfrage erfuhren wir, dass 60 % der Organisationen entweder Budgetbeschränkungen oder einen Mangel an Fähigkeiten und Personal als die größten Hindernisse für die Verbesserung der Identitäts- und Datensicherheit heute nennen. Auch wenn KI eine neue Dringlichkeit schafft, haben IT- und Sicherheitsteams mit begrenzten Ressourcen weiterhin Möglichkeiten, die Governance und Sicherheit von Identität und Daten zu optimieren.

Eine dringende Herausforderung für kleine und große Teams ist die Fragmentierung der Werkzeuge: 20 % der Umfrageteilnehmer nannten dies als größte Hürde zur Verbesserung der Identitäts- und Datensicherheit, was es direkt hinter Budgetbeschränkungen sowie Kompetenz- und Personalengpässen einordnet.

Reduzierung der Werkzeugflut zur Stärkung Ihrer KI-Governance-Strategie

Netwrix erleichtert es überlasteten Teams, erfolgreich zu sein, indem es die Werkzeugflut mit Netwrix 1Secure™ reduziert, das kritische Daten- und Identitätssicherheits- sowie Compliance-Funktionen in einer SaaS-Umgebung vereint. 1Secure kann Berichte in nur 20 Minuten erstellen, um Expositionsrisiken hervorzuheben und Anleitungen zur Behebung bereitzustellen.

Sie können Ihre Sicherheitsreife auch im Vergleich zu Peer-Organisationen mit dem kostenlosen Tool Security Maturity Assessment bewerten. Um zu sehen, wie Netwrix die KI-Governance für Copilot und den Schutz von LLM-Daten angeht, besuchen Sie die Plattformseite AI Governance.

KI-Governance ohne Daten- und Identitätssicherheit ist eine Compliance-Fassade

Ein KI-Governance-Programm, das nur KI-Systeme steuert, ohne die Daten, auf die KI zugreifen kann, und die Identitäten, die KI annimmt, zu steuern, ist eine unvollständige Strategie. Die Organisationen, die hier voraus sind, warten nicht darauf, dass eine Governance-Plattform ihnen sagt, wie sich ihre Modelle verhalten. Sie beginnen heute damit, ihre Datenlage zu verstehen, ihre Identitätskontrollen zu verschärfen und KI-Agenten als die Identitäten zu behandeln, die sie sind. Das ist die Arbeit, die den Unterschied ausmacht zwischen einem Governance-Programm, das die Kästchen eines Prüfers abhakt, und einem, das tatsächlich Risiken reduziert.