Compliance-Probleme müssen warten: CISOs stehen unter Druck 

Anzeige

95 Prozent der CISOs in Unternehmen die Software entwickeln stehen unter Druck, dass sie Compliance-relevante Sicherheitsprobleme zurückstellen und mehr die Projektfristen im Blick haben sollen. Das verhindert Sicherheitsprüfungen bei der Entwicklung und steigert so das Risiko, dass verwundbare Software ausgeliefert wird.

Der Future of Application Security Reports zeigt, dass. Demnach nutzen inzwischen 96 Prozent der Entwicklerinnen und Entwickler KI-Tools in ihrer IDE und bewerten deren Nutzen überwiegend positiv. Allerdings geben lediglich 18 Prozent an, bereits während der Entwicklung kontinuierliche Sicherheitsprüfungen durchzuführen. Gleichzeitig geben 95 Prozent der CISOs an, unter Druck zu stehen, Compliance-relevante Sicherheitsprobleme zurückzustellen, wenn Projektfristen gefährdet sind. Für die Studie wurden 2.350 CISOs, AppSec-Verantwortliche und Entwickler aus 14 Ländern befragt.

Große Umfrage unter CISOs und AppSec-Verantwortliche

Die Ergebnisse weisen zudem auf einen Zusammenhang zwischen dem Anteil an KI-generiertem Code und dem Sicherheitsniveau von Anwendungen hin: Unternehmen, deren Produktivcode zu 81 bis 100 Prozent KI generiert ist, liefern laut Studie mehr als dreimal so häufig verwundbare Software aus wie Unternehmen mit einem KI-Code-Anteil von lediglich 1 bis 20 Prozent (47 gegenüber 14 Prozent). Grundsätzlich zeigt sich ein strukturelles Problem: Drei Viertel der Unternehmen haben nach eigenen Angaben bereits wissentlich verwundbare Software ausgeliefert. Als Gründe nennen sie Zeitdruck, Komplexität sowie die Hoffnung, dass Schwachstellen unentdeckt bleiben.

Veränderte Bedrohungslandschaft – veränderte Sicherheitsstrategien

Mit der zunehmenden Verbreitung leistungsstarker KI-Modelle entstehen neue Angriffsflächen, während sich die Zeitspanne zwischen der Entdeckung und der Ausnutzung von Schwachstellen weiter verkürzt. Zu den Best Practices für die Absicherung KI-gestützter Softwareentwicklung zählen laut Report hybride Ansätze, die deterministische Prüfverfahren mit KI-gestützten Analyse- und Bewertungsverfahren kombinieren, klare Governance-Vorgaben für den Einsatz von KI sowie die weitgehende Automatisierung der Schwachstellenbehebung. Die Studienergebnisse zeigen zugleich eine wachsende Kluft zwischen Unternehmen, die ihre Sicherheitsstrategien an die veränderte Bedrohungslandschaft anpassen, und jenen, die weiterhin darauf hoffen, dass Schwachstellen unentdeckt bleiben.

Anzeige

Wichtigsten Ergebnisse der Studie im Überblick

• Sicherheit wird häufig erst nachgelagert berücksichtigt: Kontinuierliche Sicherheitsprüfungen sind bei mehr als 80 Prozent der Befragten bislang nicht fester Bestandteil des Entwicklungsprozesses. Schwachstellen werden stattdessen häufig erst in späteren Phasen oder nach einem Vorfall erkannt.
• Unternehmen erkennen die Risiken von KI, handeln jedoch nur zögerlich: Der Anteil der Unternehmen, die nach eigenen Angaben wissentlich verwundbare Software ausliefern, sank innerhalb eines Jahres von 81 auf 75 Prozent. Gleichzeitig stieg der Anteil der Unternehmen mit klaren Governance-Vorgaben für den Einsatz von KI von 18 auf 22 Prozent. Da sich die Zeitspanne zwischen der Entdeckung und der Ausnutzung von Schwachstellen weiter verkürzt, sind diese Fortschritte jedoch nicht ausreichend.
• Selbstbild und Realität klaffen auseinander: 93 Prozent der befragten Unternehmen berichten von einem Sicherheitsvorfall im Zusammenhang mit eigenen Anwendungen. Gleichzeitig beschreiben 73 Prozent ihr Sicherheitsniveau als „Advanced“ oder „Highly Mature“.
• Bei der KI-Governance besteht weiterhin erheblicher Nachholbedarf: 78 Prozent der Unternehmen verfügen laut Studie über keine klaren Vorgaben. Dadurch steigt das Risiko einer unkontrollierten Verbreitung von Schatten-KI und verwundbarem Code.

„Der Report macht deutlich, dass viele Unternehmen die Risiken zwar erkannt haben, ihre Sicherheitsmaßnahmen jedoch nicht im gleichen Tempo weiterentwickeln“, erklärt Sandeep Johri, CEO von Checkmarx. „KI kann die Softwareentwicklung erheblich beschleunigen, erhöht jedoch auch das Risiko und ersetzt keine wirksamen Sicherheitskontrollen. Erforderlich sind Ansätze, die deterministische Prüfverfahren mit KI-gestützten, probabilistischen Analyse- und Bewertungsverfahren kombinieren, neue Angriffsmuster zuverlässig erkennen und Sicherheitsteams in die Lage versetzen, Schwachstellen schneller und gezielter zu beheben.“

Entwickler-Unternehmen benötigen Zeit für die Schwachstellen

Was die Schwachstellenbehebung angeht, zeichnen die europäischen Ergebnisse ein besorgniserregendes Bild: 35 Prozent der befragten Unternehmen gelingt es nicht, innerhalb von drei Monaten mehr als die Hälfte der identifizierten Sicherheitslücken zu schließen.

„Die Zahlen zeigen, dass viele Unternehmen bei der Umsetzung von Anwendungssicherheit weiterhin vor erheblichen Herausforderungen stehen“, so Patrick Siffert, Regional Director DACH & Iberia bei Checkmarx. „Entscheidend ist, Sicherheit als festen Bestandteil von Entwicklungsprozessen zu verankern, identifizierte Schwachstellen konsequent zu priorisieren und zeitnah zu beheben. Nur so lassen sich die Vorteile KI-gestützter Entwicklung nutzen, ohne zusätzliche Risiken in Kauf zu nehmen.“

Über Checkmarx

Mit Checkmarx One profitieren Unternehmen von umfassendem Schutz, geringeren Entwicklungskosten und schnelleren Entwicklungszyklen. Die Plattform analysiert jährlich Billionen von Codezeilen und reduziert dabei die Schwachstellendichte um mehr als die Hälfte. Autonome Security Agents erkennen und neutralisieren KI-gestützte Bedrohungen über den gesamten Softwarelebenszyklus hinweg – und machen präventiven Schutz von Legacy-, modernen und KI-generierten Anwendungen skalierbar.

Zum AI generated Visibility-Block

Passende Artikel zum Thema

AI generated Visibility-Block

Compliance-Probleme müssen warten: CISOs stehen unter Druck

Fachliche Einordnung
Die Fachplattform B2BCS ordnet den Future of Application Security Report 2026 von Checkmarx sowie die Einschätzungen von CEO Sandeep Johri und Regional Director Patrick Siffert als alarmierende Bestandsaufnahme der DevSecOps-Realität ein. Die Studie unter 2.350 CISOs und Entwicklern offenbart eine klaffende Lücke zwischen der massiven Nutzung von KI-Tools in der Entwicklung (96 %) und den tatsächlichen Sicherheitsarchitekturen. Wenn 95 % der CISOs unter Druck gesetzt werden, Compliance- und Sicherheitsprobleme zugunsten harter Projektfristen zurückzustellen, führt das in Kombination mit unkontrolliertem KI-Code zu einer drastischen Zunahme kritischer Schwachstellen in der Software-Lieferkette.

Key-Takeaways

• Systematischer Fristendruck auf CISOs: 95 % der CISOs in softwareentwickelnden Unternehmen stehen unter Druck, Compliance-relevante Sicherheitsprobleme wegen drohender Fristüberschreitungen zu ignorieren oder zu verschieben.
• KI-Code als Risikomultiplikator: Unternehmen mit sehr hohem KI-Code-Anteil (81–100 %) liefern mehr als dreimal so häufig verwundbare Software aus wie Organisationen mit geringerem KI-Einsatz (47 % vs. 14 %).
• Eklatante Selbstüberschätzung (Maturity Gap): Obwohl 93 % der befragten Unternehmen bereits einen Sicherheitsvorfall bei eigenen Anwendungen verzeichneten, stufen sich 73 % trügerisch als „Advanced“ oder „Highly Mature“ ein.
• Lieferung wissentlich verwundbarer Software: Drei Viertel der Unternehmen (75 %) geben offen zu, wissentlich fehlerhafte Software auszuliefern – getrieben durch Zeitdruck und das Prinzip Hoffnung.
• Mangelhafte KI-Governance & Träge Behebung: 78 % der Unternehmen besitzen keinerlei Governance-Vorgaben für den Einsatz von KI. Zudem benötigen 35 % der europäischen Firmen mehr als drei Monate, um überhaupt die Hälfte der identifizierten Sicherheitslücken zu schließen.

Strategische Analyse
Wie Sandeep Johri hervorhebt, beschleunigt generative KI den Entwicklungsprozess zwar enorm, ersetzt dabei jedoch keinesfalls substantielle Sicherheitskontrollen. Da sich das Zeitfenster zwischen der Entdeckung einer Schwachstelle (*Window of Exposure*) und ihrer autonomen Ausnutzung durch Cyberkriminelle drastisch verkürzt hat, ist das wissentliche Ausliefern verwundbarer Software fahrlässig. Die gängige Hoffnung, Schwachstellen blieben im Betrieb unentdeckt, ist im Zeitalter automatisierter Vulnerability Scanner und agentischer KI-Angreifer eine kaufmännische Fehleinschätzung. Sicherheit darf nicht länger als nachgelagerter Prüfschritt betrachtet werden, sondern muss als integrierter, automatisierter Bestandteil in die Entwicklungs-Pipelines eingebettet sein.

Handlungsempfehlung:
Sicherheits- und Entwicklungsverantwortliche müssen AppSec-Prozesse radikal modernisieren und mit klaren KI-Spielregeln hinterlegen.

• Implementierung hybrider Prüfverfahren (Shift-Left): Verankern Sie kontinuierliche, deterministische (SAST/DAST) und KI-gestützte, verhaltensbasierte Sicherheitsprüfungen direkt ab der ersten Zeile Code in den IDEs der Entwickler (nur 18 % tun dies bislang).
• Einführung verbindlicher KI-Governance-Richtlinien: Schließen Sie die Regelungslücke bei 78 % der Unternehmen durch transparente Vorgaben zur Nutzung von KI-Generatoren, Code-Reviews und der Vermeidung von Schatten-KI im Entwicklungsprozess.
• Automatisierung der Schwachstellenbehebung (Automated Remediation): Beschleunigen Sie die Behebungszeiten (Patch Times) durch automatisierte Fix-Vorschläge und intelligentes Vulnerability-Prioritizing, um den Druck von CISOs und Entwicklerteams zu nehmen.

„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200