Warum ich mich gerade in Cybersecurity reinfresse

Ich scrolle seit Monaten durch Projektplattformen. Nicht weil ich Aufträge suche, sondern weil ich verstehen will, wohin sich der Markt bewegt. Und mir fällt etwas auf, das mich nicht mehr loslässt: Die Nachfrage nach Cybersecurity-Expertise explodiert gerade.

Gleichzeitig beobachte ich in meinem eigenen Arbeitsalltag, wie KI-Agenten immer komplexere Aufgaben übernehmen. Ich lasse selbst etliche davon laufen – auf Hetzner-Servern, in der Cloud, für unterschiedlichste Aufgaben. Und ich merke, wie schnell man in einen Modus rutscht, in dem man dem System einfach die nächste Berechtigung gibt, weil es gerade praktisch ist. Ich habe darüber geschrieben, wie das im Alltag aussieht – zehn digitale Mitarbeiter, null Gehälter, alles automatisiert. Was ich damals nicht geschrieben habe: Ich hatte zu dem Zeitpunkt kein durchdachtes Sicherheitskonzept dafür.

Und ich bin da nicht allein. Was mir bei anderen Projekten auffällt: Der Fokus liegt fast immer auf dem Wow-Moment. Der Agent kann X, der Workflow automatisiert Y, schau mal was möglich ist. Aber eine nachhaltige, sichere Architektur dahinter? Fehlt meistens. Oder wird nachgelagert, wenn überhaupt.

Der Fall OpenClaw hat das gerade ziemlich drastisch gezeigt. Ein Open-Source Personal Assistant, viral gegangen, zigtausende Instanzen im Netz – und dann stellt sich heraus: Über 40.000 davon waren offen erreichbar. API-Keys im Klartext, Chatverläufe, Zugangsdaten. Auf BreachForums wurde Root-Zugang zum Rechner eines CEOs angeboten – inklusive aller Gespräche, die er mit seinem KI-Assistenten geführt hatte. Familiendetails, Kontakte, alles. Nicht weil das System gehackt wurde, sondern weil es schlicht falsch konfiguriert war.

Ein anderer Fall, der mich noch mehr beschäftigt: Ein OpenClaw-Agent hat interne Threat-Intelligence-Berichte eines Unternehmens einfach im offenen Web veröffentlicht. Kein Angriff, kein Exploit – der Agent hat genau das getan, wofür er gebaut war. Nur hat ihm niemand gesagt, dass diese Daten vertraulich sind.

Ich habe mir schon 2021 geschworen, KI ausschließlich DSGVO-konform einzusetzen. Das war mir von Anfang an wichtig, auch als ich Lea gebaut habe. Aber rückblickend merke ich: DSGVO-konform ist notwendig, aber es reicht nicht. Datenschutz und Datensicherheit sind zwei verschiedene Dinge. Und wenn ein Agent mit Vollzugriff auf Systeme arbeitet, dann ist die Sicherheitsfrage mindestens genauso groß wie die Datenschutzfrage.

Cybersecurity ist für mich die Königsdisziplin der Informatik. Durch über 15 Jahre in der Web- und App-Entwicklung habe ich eine solide Basis – aber bis in die letzten Winkel dieser Materie vorzudringen, das flößt mir ehrlich gesagt Respekt ein. Es ist dieses Gefühl, wenn man weiß, dass man gerade erst die Oberfläche ankratzt.

Was mich antreibt: Ich will nicht irgendwann der Berater sein, der tolle KI-Lösungen baut, bei denen dann jemand anderes die Sicherheitslücken finden muss. Ich will beides zusammendenken können. Ob mir das gelingt, wird sich zeigen. Aktuell fühlt es sich an wie der Anfang von etwas, das schon längst hätte anfangen sollen.