Künstliche Intelligenz ist in der IT-Sicherheit auf beiden Seiten angekommen: bei denen, die Sicherheitslücken suchen, und bei denen, die sie ausnutzen. Die Zahlen für 2026 zeigen, wie stark sich das bereits auswirkt. Gleichzeitig lohnt ein genauer Blick, denn nicht jede Prognose hält, was die Schlagzeile verspricht – und mehr Lücken bedeuten nicht automatisch mehr Notfälle.
Weltweit erschienen 2025 insgesamt 48.185 neue Einträge in der zentralen Schwachstellenliste CVE, ein Plus von 20,6 % gegenüber 2024 mit 39.962. Für 2026 sagte das FIRST-Konsortium, das diese Entwicklung jedes Jahr prognostiziert, im Februar 59.427 Lücken voraus (Median). Bereits im Juni korrigierte FIRST die Zahl auf rund 66.000, denn der tatsächliche Verlauf lag zu diesem Zeitpunkt 46,3 % über der ursprünglichen Prognose.
Angreifer werden schneller
Auch auf der Angriffsseite zeigt KI Wirkung. Der Incident-Response-Bericht 2026 von Unit 42, der Sicherheitsforschung von Palo Alto Networks, wertet über 750 schwere Vorfälle aus. In den schnellsten Fällen brauchten Angreifer nur 72 Minuten vom ersten Zugriff bis zum Datenabfluss, viermal schneller als im Vorjahr. Dabei setzen sie KI laut Bericht für Aufklärung, Phishing, Skripte und die eigentliche Ausführung ein.
Für WordPress beschreibt Patchstack in seinem Jahresbericht, dass Angreifer zunehmend mit KI ausgestattet sind, die Lücken eigenständig finden und ausnutzen kann – betont aber zugleich: „The same tools are also available to the defending side.“ Außerdem verzeichnet Patchstack deutlich mehr unbrauchbare, KI-erzeugte Meldungen, die Sicherheitsteams zusätzlich belasten. FIRST rechnet deshalb mit einem Wettlauf: auf der einen Seite KI, die Angriffe schneller entwickelt, auf der anderen KI, die Sicherheitsupdates schneller hervorbringt.
In Deutschland zählt das BSI in seinem Lagebericht 2025 durchschnittlich 119 neue Schwachstellen pro Tag, rund 24 % mehr als im Berichtszeitraum davor – laut BSI nur teilweise wegen einer veränderten Meldepraxis. BSI-Präsidentin Claudia Plattner sprach im Juni von einer „neuen Zeitrechnung der Cybersicherheit“; die kommenden Jahre würden „sehr holprig und unruhig“ werden. Ihr Fazit: „Wir stehen mit KI am Anfang dessen, was da in den nächsten Jahren auf uns zukommen wird.“