IT-Fusion gegen KI-Hype: Mensch bleibt unersetzbar

IT-Fusion gegen KI-Hype: Mensch bleibt unersetzbar.

NetSPI und Synack fusionieren und wetten gegen den massivsten Trend der Sicherheitsbranche.

Zusammenfassung (TL; DR):

• Die IT-Sicherheitsanbieter NetSPI und Synack fusionieren. Damit wollen sie mit einem hybriden Ansatz aus menschlicher Expertise und KI dem Trend zur vollautonomen Cybersicherheit entgegenwirken.
• Die Unternehmen setzen darauf, KI als beschleunigendes Werkzeug zu nutzen. Kritische Priorisierung und Bewertung von Schwachstellen bleibt den menschlichen Experten überlassen.

Liegt Cybersicherheit nur in den “Händen von KI”?

Glaubt man den aktuellen Schlagzeilen der großen IT-Sicherheitsunternehmen, so scheint das Heil der Cybersicherheit einzig und alleine in den Händen künstlicher Intelligenz zu liegen. Während Investoren in den letzten zwei Jahren hunderte Millionen Dollar vor allem in rein KI-basierte Sicherheitslösungen gesteckt haben, gehen NetSPI und Synack den entgegengesetzten Weg. Die beiden Unternehmen fusionieren. Die Botschaft: In einem Moment, in dem der IT-Markt menschliche Expertise für ersetzbar hält, investieren zwei wesentliche Akteure der Branche in genau diesen Erfolgsfaktor. Klar ist: KI soll die Fähigkeit von Security-Experten stärken, aber nicht Menschen ersetzen.

Jay Kaplan, CEO von Synack, erklärt, warum er sich gegen den „AI-only“-Trend in der Cybersicherheit stellt: „Dass KI-Agenten bei Hacking-Wettbewerben große Sprünge gemacht haben, lässt sich nicht bestreiten. Auf dem NYU CTF Bench bewältigte Claude 4.5 Opus im April 2026 rund 59 Prozent der 200 Aufgaben, Gemini 3 Pro kam auf 53 Prozent. Vor zwei Jahren lagen vergleichbare Systeme in dieser Disziplin noch unter 20 Prozent.“

Schwachstellen-Tests mit KI

Anders sieht es aus, sobald realistische Unternehmensumgebungen ins Spiel kommen. Eine Studie der Fudan-Universität testete sechs Spitzensysteme – darunter GPT-5.5 mit Codex und Claude Opus 4.7 – gegen 110 Schwachstellen in 15 echten Webanwendungen und acht unternehmensnahen Testumgebungen. Das beste System löste lediglich 16,1 Prozent der Web-Exploitation-Aufgaben und 31,7 Prozent der Post-Exploitation-Aufgaben. Erst als das Forschungsteam konkrete Hinweise lieferte, wie es Experten in der Praxis machen, stieg die Trefferquote auf 33 Prozent bzw. 46,3 Prozent.

Die Ursache für diese Diskrepanz liegt nicht an fehlenden Tools, sondern am Denken der KI-Systeme selbst: Sie verharren auf offensichtlichen Pfaden, übersehen tiefere, anwendungsspezifische Schwachstellen und verschwenden Rechenschritte auf Ziele ohne ausnutzbare Lücken. An der Fähigkeit zur Priorisierung – also zu erkennen, welcher von tausend Befunden wirklich relevant ist – mangelt es den Modellen.

Das unsichtbare Problem: False Positives

Besonders aufschlussreich ist eine Untersuchung von Stanford und Carnegie Mellon, bei der sechs KI-Agenten gegen zehn professionelle Pentester auf einem realen Netzwerk mit rund 8.000 Hosts antraten. Der beste KI-Agent schlug neun von zehn menschlichen Testern, erzeugte dabei jedoch mehr Fehlalarme als jeder einzelne Mensch und fand kritische Schwachstellen teils nur mit zusätzlicher menschlicher Hilfe.

Entscheidender ist aber ein methodischer Punkt: Jede Benchmark misst, was ein System gefunden hat – niemals, was es übersehen hat. Ein falscher Alarm kostet ein paar Stunden Nacharbeit. Eine übersehene Schwachstelle wird zum Sicherheitsvorfall, oft erst Monate später sichtbar. Nur weil in diesem Test zehn Menschen parallel dasselbe Netzwerk untersuchten, ließen sich die blinden Flecken der Maschinen überhaupt aufdecken. Bemerkenswert ist, dass nur jeweils ein oder zwei der zehn Tester die meisten Schwachstellen fanden. Dies ist ein Beleg dafür, dass unterschiedliche menschliche Perspektiven Lücken schließen, die ein einzelnes Modell, egal wie oft man es laufen lässt, nicht abdeckt.

KI schwächelt ausgerechnet dort, wo das Risiko wächst

Diese Schwäche trifft die Branche an einer empfindlichen Stelle. MITREs CWE Top 25 für 2025 zeigt, dass sämtliche Schwachstellenklassen rund um fehlerhafte Autorisierung im vergangenen Jahr angestiegen sind – „Missing Authorization“ etwa um fünf Plätze. OWASP bestätigt den Trend: „Broken Access Control“ bleibt seit 2021 auf Platz eins, die zugehörigen CVE-Einträge stiegen um fast 72 Prozent. OWASP-Daten zufolge weisen mittlerweile 100 Prozent der getesteten Anwendungen irgendeine Form von Zugriffskontrollproblemen auf. Genau in diesem wachsenden Risikofeld sind KI-Agenten am schwächsten. Sie sind schnell bei statischen, offensichtlichen Zielen, aber blind bei kontextabhängigen Berechtigungsfehlern.

Selbst die Entwickler der stärksten Systeme verlassen sich nicht auf Autonomie

Bemerkenswert ist, wie selbst die fortschrittlichsten KI-Labore mit ihren eigenen Tools umgehen. Mythos von Anthropic identifizierte in einem einzigen Monat über 10.000 schwerwiegende Schwachstellen bei Partnerunternehmen. Jeden Fund haben jedoch anschließend Menschen oder externen Sicherheitsfirmen reproduziert und neu bewertet, bevor er veröffentlicht wurde.

Fortschritt in der Softwaresicherheit ist nicht länger durch das Auffinden von Schwachstellen limitiert, sondern durch die Geschwindigkeit, mit der Menschen sie überprüfen, offenlegen und beheben können. Auch das neue System Astra von OpenAI ist bewusst nur für einen kleinen, geprüften Kreis von Testern zugänglich – und kein frei verfügbares Produkt.

Die eigentliche Asymmetrie

Die KI-Labore selbst widersprechen der These, Angreifer hätten durch KI grundlegend neue Fähigkeiten gewonnen. Das eigentliche Problem liegt woanders: Die Kosten für einen Angriffsversuch sind erheblich gesunken, die Kosten für eine verlässliche Bewertung jedoch nicht. Ein Angreifer braucht nur einen einzigen funktionierenden Weg. Ein Verteidiger muss unter zehntausend Funden den einen erkennen, der wirklich zählt.

Selbst die US-Schwachstellendatenbank NIST räumt öffentlich ein, mit dem Volumen an eingereichten CVEs nicht mehr Schritt halten zu können – trotz eines Anstiegs der bearbeiteten Fälle um 45 Prozent gegenüber dem bisherigen Rekordjahr. Die Antwort ist nicht mehr Durchsatz, sondern Priorisierung nach Risiko. Dies bedeutet mehr Urteilsvermögen statt mehr Tempo.

Fusion als Antwort

Genau hier setzen die beiden Unternehmen mit ihrer Fusion an. NetSPI steuert künftig Penetration-Testing-as-a-Service und eine der am tiefsten gehenden Testpraktiken der Branche bei. Synack bringt sein global vernetztes, streng geprüftes Synack Red Team sowie die Plattform Sara AI Pentesting ein, die menschliches Urteilsvermögen mit KI-Unterstützung verbindet. Zusammen erreicht das neue Unternehmen einen Umsatz von knapp 300 Millionen Dollar und betreut große Cloudprovider, US-Banken, die größten Technologiekonzerne, Fortune 100-Unternehmen und US-Bundesbehörden.

Die beiden Partner wollen KI so intensiv einsetzen wie kaum ein anderer Anbieter, aber ohne die Maschine mit menschlichem Urteilsvermögen zu verwechseln.

Fazit

Die klassische, einmal jährlich durchgeführte Pentest-Routine ist in jedem Fall überholt. Angesichts kontinuierlich iterierender Angreifer ist ein punktuelles Audit kein Sicherheitsprogramm mehr, sondern bestenfalls ein Compliance-Nachweis.

Die Fusion von NetSPI und Synack ist als klares Statement gegen den Trend zur vollautonomen Cybersicherheit. Die vorliegenden Daten – von Benchmark-Studien über MITRE- und OWASP-Auswertungen bis zum Umgang der KI-Labore mit ihren eigenen Systemen – zeichnen ein konsistentes Bild: KI beschleunigt das Auffinden von Schwachstellen enorm, doch die Fähigkeit, unter der Flut an Funden die wirklich kritischen zu erkennen, erfordert menschliches Urteilsvermögen.

Die Wette der fusionierten Unternehmen lautet entsprechend nicht „KI statt Experten“, sondern „KI unter Aufsicht der besten Experten“ – mit dem Ziel, deren Wirkung zu vervielfachen, statt den Menschen durch KI zu ersetzen.

Häufige Fragen (FAQ)