SANS Report 2026: KI steigt zum zweitgrößten menschlichen Sicherheitsrisiko auf

Künstliche Intelligenz verändert nicht nur Prozesse und Produktivität, sondern zunehmend auch die menschliche Angriffsfläche in Unternehmen. Innerhalb von nur zwei Jahren ist KI im Ranking der größten menschlichen Cyberrisiken vom vierten auf den zweiten Platz vorgerückt – direkt hinter Social Engineering. Der aktuelle „Security Awareness & Culture Report 2026 “ des SANS Institute zeigt damit vor allem eines: Die Geschwindigkeit der KI-Nutzung überholt vielerorts die Fähigkeit der Sicherheitsorganisationen, entsprechende Risiken zu kontrollieren.

Der jährlich erscheinende Bericht basiert auf den Antworten von mehr als 1.700 Fachleuten für Security Awareness aus Nordamerika, Europa, Asien, Afrika, Australien und Südamerika. Begleitet wurde die diesjährige Untersuchung erstmals von einem zwölfköpfigen Beirat mit Experten unter anderem von Bank of Ireland, Medibank und Datadog.

KI-Nutzung entwickelt sich schneller als die Sicherheitskontrollen

Besonders deutlich wird die neue Risikolage beim Blick auf die Nutzung generativer KI im Arbeitsalltag. Mitarbeiter haben entsprechende Werkzeuge vielfach schneller in ihre täglichen Abläufe integriert, als Unternehmen Regeln, Kontrollen und Governance-Strukturen etablieren konnten.

Der Report nennt dabei drei zentrale Risikobereiche: die nicht autorisierte Nutzung generativer KI-Dienste, sogenanntes Vibe Coding durch Mitarbeiter ohne klassischen Softwareentwicklungshintergrund sowie den zunehmenden Einsatz autonom arbeitender KI-Agenten.

Gerade Agenten erweitern die klassische Fragestellung rund um menschliche Risiken. Je selbstständiger Systeme Entscheidungen treffen, Anwendungen aufrufen oder Aktionen ausführen können, desto schwieriger wird die eindeutige Trennung zwischen menschlichem Fehlverhalten und maschinell ausgeführten Handlungen.

Damit entwickelt sich Security Awareness zunehmend über die klassische Schulung von Mitarbeitern hinaus. Unternehmen müssen ihren Beschäftigten nicht nur vermitteln, wie sie Phishing-Versuche erkennen, sondern auch, welche Daten in KI-Systeme eingegeben werden dürfen, welche Werkzeuge freigegeben sind und welche Folgen unkontrollierte Automatisierung haben kann.

Security-Awareness-Teams setzen selbst auf KI

Interessant ist gleichzeitig, wie intensiv die Verantwortlichen selbst bereits auf künstliche Intelligenz zurückgreifen. Laut SANS verwenden 75 Prozent der Security-Awareness-Teams KI, um eigene Programme zu entwickeln oder zu verwalten.

Nur 2,4 Prozent der Befragten haben entsprechende Anwendungen getestet und anschließend entschieden, dass sie keinen ausreichenden Nutzen bieten.

KI wird damit gleichzeitig zum Werkzeug und zum Risiko für Security-Awareness-Verantwortliche. Genau dieser Widerspruch dürfte die kommenden Jahre prägen: Unternehmen müssen die Produktivitätsvorteile der Technologie nutzen, ohne dabei neue unkontrollierte Angriffsflächen entstehen zu lassen.

Sicherheitskultur braucht Personal – und vor allem Zeit

Eine weitere zentrale Erkenntnis des Reports betrifft die personellen Voraussetzungen erfolgreicher Awareness-Programme. Entscheidend für deren Reife sind laut SANS vor allem zwei Faktoren: die Größe des zuständigen Teams und die Zeit, über die ein Programm kontinuierlich betrieben wird.

Um das Verhalten der Belegschaft nachhaltig zu verändern, seien mindestens drei fest zugewiesene Mitarbeiter notwendig. Bis messbare Ergebnisse sichtbar werden, könnten drei bis fünf Jahre vergehen.

Noch anspruchsvoller ist der Aufbau einer dauerhaft etablierten Sicherheitskultur. Hierfür veranschlagt der Report etwas mehr als vier Vollzeitstellen sowie einen Zeitraum von fünf bis zehn Jahren.

Das Problem: Ein großer Teil der untersuchten Programme erreicht diese personellen Schwellenwerte nicht. Viele Security-Awareness-Initiativen bleiben deshalb auf verpflichtende Schulungen und Compliance-Maßnahmen beschränkt, obwohl von ihnen gleichzeitig eine nachhaltige Veränderung des Sicherheitsverhaltens erwartet wird.

Awareness zwischen Compliance und messbarer Verhaltensänderung

Damit adressiert der Report eine seit Jahren bestehende Schwachstelle vieler Security-Awareness-Programme. Schulungsquoten und absolvierte Trainings lassen sich vergleichsweise einfach messen. Ob sich dadurch tatsächlich Entscheidungen und Verhalten der Mitarbeiter verändern, ist wesentlich schwieriger nachzuweisen.

„Jedes Jahr hören wir dasselbe von Fachleuten: Sie wissen, wo ihr Programm steht, sind sich aber nicht sicher, was als Nächstes zu tun ist“, erklärt Lance Spitzner, Technischer Direktor bei SANS Workforce Security and Risk Training.

Die entscheidende Frage sei, welche Maßnahmen angesichts begrenzter Zeit und Budgets tatsächlich den größten Effekt erzielen. SANS hat deshalb die Bewertungsmatrix des Reports stärker mit seinem Reifegradmodell verknüpft. Verantwortliche sollen dadurch konkreter erkennen können, welche Maßnahmen zum aktuellen Entwicklungsstand ihres Programms passen.

Ein neues interaktives Benchmarking-Werkzeug ermöglicht zudem, Reifegrad, Teamgröße und Ressourcenausstattung eines eigenen Awareness-Programms mit den Daten der gesamten Untersuchung zu vergleichen.

Steigende Gehälter lösen das Ressourcenproblem nicht

Auch wirtschaftlich gewinnt Security Awareness weiter an Bedeutung. Das weltweite Durchschnittsgehalt entsprechender Fachkräfte lag dem Report zufolge 2026 bei 123.624 US-Dollar und damit rund 7.000 US-Dollar über dem Vorjahreswert.

Für Europa weist die Untersuchung ein durchschnittliches Jahresgehalt von 106.896 US-Dollar aus. Der Report differenziert die Vergütung zusätzlich nach Regionen, Branchen und beruflichem Hintergrund.

Steigende Gehälter bedeuten allerdings noch nicht automatisch eine bessere personelle Ausstattung. Gerade kleinere Awareness-Teams müssen häufig gleichzeitig Schulungsprogramme entwickeln, Kommunikationskampagnen umsetzen, Phishing-Simulationen betreuen, Kennzahlen erheben und neue Risiken wie generative KI adressieren.

KI verändert den Auftrag von Security Awareness

Der Aufstieg von KI zum zweitgrößten menschlichen Cyberrisiko ist deshalb mehr als eine weitere Position in einem Risikoranking. Er zeigt, wie stark sich der Aufgabenbereich von Security Awareness verschiebt.

Künftig reicht es nicht mehr aus, Mitarbeiter für bekannte Angriffstechniken zu sensibilisieren. Unternehmen müssen ihnen zunehmend Orientierung für Technologien geben, deren Funktionen, Einsatzmöglichkeiten und Risiken sich schneller verändern als klassische Richtlinien- und Schulungszyklen.

Security Awareness entwickelt sich damit von einer vorwiegend trainingsorientierten Disziplin zu einem wichtigen Bestandteil des unternehmensweiten Human Risk Managements. Und gerade im Umgang mit KI dürfte sich zeigen, wie belastbar diese Strukturen tatsächlich sind.