Als Informatikingenieur kann ich mit einiger Überzeugung sagen, dass Verteidigungssysteme zu den robustesten und am sorgfältigsten geschützten Softwareumgebungen überhaupt gehören. Von außen wirken sie mit ihren vielen Verschlüsselungsschichten, abgeschotteten Netzen und streng kontrollierter Hardware nahezu undurchdringlich. Die eigentliche Frage ist, ob sie es wirklich sind, und ob sie es bleiben, sobald künstliche Intelligenz ins Spiel kommt.
Fangen wir bei den Grundlagen an: Passwörter und Schlüssel
Technisch gesehen ist ein Passwort nur eine Kombination aus Buchstaben, Ziffern und Symbolen. Angenommen, du wählst ein Passwort aus 3 Zeichen aus einem Vorrat von 17 Zeichen: A, B, C, D, E, 0, 1, 2, 3, 4, 5, *, ?, !, #, % und &. Das ergibt 17 × 17 × 17 = 4.913 Möglichkeiten, die ein Computer in einem Sekundenbruchteil durchprobiert. Das Beispiel ist winzig, zeigt aber das Prinzip: Die Stärke eines Geheimnisses kommt aus seiner Länge und daraus, wie viele verschiedene Zeichen es enthalten kann.
In ernsthaften Systemen explodieren diese Zahlen. Ein 256-Bit-AES-Schlüssel hat 2256 mögliche Werte, eine Zahl mit 78 Stellen. Selbst wenn alle Computer der Erde nichts anderes täten, als Schlüssel zu raten, kämen sie nicht durch einen nennenswerten Teil davon, bevor die Sonne erlischt. Deshalb greift niemand starke moderne Verschlüsselung durch Raten an.
Von Caesar bis AES
Verschlüsselung hat eine lange Geschichte. Die Caesar-Chiffre, die jeden Buchstaben des Alphabets um eine feste Anzahl von Stellen verschiebt, stammt aus der Römerzeit und lässt sich von Hand in wenigen Minuten knacken. Moderne symmetrische Verfahren wie AES und Public-Key-Systeme wie RSA oder Elliptische-Kurven-Kryptografie spielen in einer völlig anderen Liga. Die Lehre aus dieser Geschichte: Jede Generation von Schutz wurde irgendwann von der nächsten Generation von Angriffen überholt, und die Verteidigung musste sich mitentwickeln.
Was sich mit KI ändert
KI macht 2256 nicht kleiner. Sie verändert alles, was um die Mathematik herum liegt. Echte Systeme werden selten über ihre Verschlüsselung geknackt, sondern über einen Fehler im Code, einen falsch konfigurierten Server, ein mehrfach verwendetes Passwort oder einen Menschen, der auf den falschen Link klickt. Solche Schwachstellen zu finden, erforderte früher fähige Leute und viel Zeit. KI macht diese Suche schneller und billiger:
- Modelle können große Codebasen lesen und auf verdächtige Codepfade hinweisen, viel schneller als ein menschlicher Prüfer. Ende 2024 meldete Googles Projekt Big Sleep, dass ein KI-Agent in SQLite, einer der am weitesten verbreiteten Softwarekomponenten der Welt, eine bis dahin unbekannte, ausnutzbare Schwachstelle gefunden hatte.
- Automatisierte Systeme können unermüdlich Millionen von Angriffssimulationen durchspielen und Varianten ausprobieren, für die kein menschliches Team je Zeit hätte.
- Sprachmodelle machen Phishing-Nachrichten flüssig und persönlich und beseitigen damit eines der ältesten Warnsignale.
Ein Vergleich hilft. Gefängnisse sind dafür gebaut, einen gewöhnlichen Menschen festzuhalten: fünf Meter hohe Mauern, Eisengitter, Wachen und Kameras. Stell dir nun einen Häftling vor, der zehn Meter hoch springen oder sich durch Lücken zwängen kann, durch die kein Mensch passt. Die Mauern sind dieselben geblieben, aber sie erfüllen ihren Zweck nicht mehr. Software wird genauso entworfen, nämlich gegen den Angreifer, den sich ihre Entwickler vorstellen konnten. In der digitalen Welt gibt KI Angreifern etwas, das dem Zehn-Meter-Sprung ziemlich nahekommt.
KI auf der Seite der Verteidiger
Dieselben Fähigkeiten nützen auch den Verteidigern, und Verteidigungsorganisationen setzen sie bereits ein:
- Die eigenen Schwächen zuerst finden. Automatisierte Codeanalyse und KI-gestützte Tests können Schwachstellen aufdecken, bevor ein Gegner es tut. Die AI Cyber Challenge der DARPA, die 2025 zu Ende ging, war genau um diese Idee herum gebaut: Systeme, die Fehler in Open-Source-Software selbstständig finden und beheben.
- Sensoren und Signale. Computer-Vision- und Deep-Learning-Modelle klassifizieren Radarechos, Satellitenbilder und andere Sensordaten weit schneller als menschliche Analysten.
- Netzwerkverteidigung. Anomalieerkennung fällt ungewöhnlicher Datenverkehr auf, und automatische Reaktionen können einen kompromittierten Rechner in Sekunden statt in Stunden isolieren.
Ein sich verschiebendes Machtgleichgewicht
Hier wird aus einer technischen eine strategische Frage. Wenn KI komplexe Verteidigungssysteme umgehen, überlisten oder unbemerkt unterwandern kann, verschiebt sich das Machtgleichgewicht. Ein Land, dessen Verteidigung gegen es selbst gewendet werden kann, kann sich nicht wirklich stark nennen. In einer solchen Welt hat womöglich mehr Einfluss, wer die fähigste KI kontrolliert, als wer die größte Armee besitzt.
Die Zukunft bringt vielleicht keine Menschen, die zehn Meter hoch springen. Aber sie bringt KI-Systeme, die vervielfachen, was Angreifer und Verteidiger tun können. Dann wird die Vorstellung einer „unüberwindbaren Software-Mauer“ kaum mehr sein als eine tröstliche Erinnerung. Echte Sicherheit wird von Systemen abhängen, die in Maschinengeschwindigkeit erkennen und reagieren, und davon, dass die wichtigen Entscheidungen bei Menschen bleiben.
