Die Anbieter rufen «Revolution». Das BACS sagt: erstmal Hausaufgaben machen. Am 1. Mai 2026 hat das Bundesamt für Cybersicherheit (BACS, früher NCSC) eine Einschätzung zu KI im Schwachstellenmanagement veröffentlicht. Tonalität: nüchtern. Empfehlung: bewährte Massnahmen konsequent umsetzen.
Was die KI-Werkzeuge heute können
KI hilft auf beiden Seiten der Front. Sicherheitsforschende setzen Sprachmodelle und automatisierte Analyseketten ein, um Schwachstellen schneller zu finden. SOC-Teams nutzen KI-gestützte Erkennung, um Angriffe in Logdaten zu identifizieren, die manuell durch wären. Das ist real, das funktioniert, das ist messbar.
Auf der anderen Seite gilt: Auch Angreifer haben jetzt bessere Werkzeuge. Schadware schreiben, Phishing-Mails formulieren, Schwachstellen ausnutzen – KI senkt die Hürde. Das BACS schreibt klar: «Die Technologie vereinfacht die Arbeit von Angreifern erheblich.» Was früher ein versierter Entwickler machen musste, leistet heute ein Sprachmodell mit dem richtigen Prompt.
Was das BACS empfiehlt – und es ist nicht «mehr KI»
Die Empfehlung ist bewusst altmodisch. Vier Punkte:
- Systeme aktualisieren. Patch-Management, lückenlos, automatisiert wo möglich.
- Zugriffe kontrollieren. Least Privilege, MFA, regelmässige Berechtigungsprüfung.
- Mitarbeitende schulen. Awareness, nicht einmal pro Jahr, sondern kontinuierlich.
- Sicherheitsprozesse regelmässig überprüfen. Audit, nicht nur Compliance-Theater.
Klingt nach 2018? Ja. Genau das ist der Punkt. KI ist ein Werkzeug, kein Ersatz für ein funktionierendes Schwachstellenmanagement. Wer kein Patch-Management hat, holt es nicht durch ein KI-Dashboard nach. Wer keine Awareness-Schulung macht, fängt KI-generiertes Phishing nicht durch einen KI-Filter ab.
Die Realität in Schweizer KMU
In Schweizer KMU sehen wir oft das Gegenteil von dem, was das BACS empfiehlt. Patch-Stand kennt niemand genau. Berechtigungen wachsen über Jahre, niemand räumt auf. Schulungen finden statt, wenn ein Vorfall passiert ist. Audits kommen, wenn die Versicherung sie fordert.
Wer hier ansetzen will, fängt nicht mit der KI an. Die Reihenfolge ist:
- Inventar. Welche Systeme laufen mit welcher Version? Klingt banal, ist es nicht.
- Patch-Routine. Wer prüft, wer installiert, wann? Klar zugeordnet, dokumentiert, geprüft.
- Berechtigungs-Review. Quartalsweise. Wer raus ist, kommt raus. Wer weniger braucht, bekommt weniger.
- Backup, das standhält. Inklusive AirGap, weil Ransomware sonst alles mitnimmt – die produktiven Systeme und die Backups.
- Erst dann: KI als Effizienz-Hebel in einer der Disziplinen – etwa zur Triage von Alarmen oder zur Patch-Priorisierung.
Drei Sätze zum Mitnehmen
KI verschiebt die Geschwindigkeit, nicht die Grundlagen. Wer die Grundlagen hat, profitiert von KI – auf Verteidiger-Seite genauso wie Angreifer.
Wer die Grundlagen nicht hat, fällt schneller zurück, weil die andere Seite auch schneller geworden ist.
Die BACS-Empfehlung ist deshalb keine Kapitulation vor dem Hype, sondern die Erinnerung daran, dass Cybersicherheit immer noch ein Handwerk ist, kein Algorithmus.
Brauchst Du Beratung dazu?
Wer als KMU keine Inhouse-Kapazität für diese Grundlagen hat, lagert sie aus. UCC Pro übernimmt IT-Betrieb für KMU – mit Patch-Management, Monitoring und einer Backup-Lösung nach 3-2-1-1-Prinzip. Wir arbeiten dabei nach den Vorgaben aus ISO 27001 und den BACS-Empfehlungen. Schreib uns kurz, falls Du Deine eigene Lage einmal nüchtern einordnen lassen willst. Erstgespräch ist kostenlos.
Quelle: Bundesamt für Cybersicherheit BACS, Einschätzung «Einsatz von KI beim Schwachstellenmanagement» vom 01.05.2026 – ncsc.admin.ch.