EU-Aktionsplan Cybersicherheit & KI: Verteidigung in Maschinengeschwindigkeit

Der Kalender hat eine gewisse Ironie: Die Europäische Kommission stellte ihren Aktionsplan zu Cybersicherheit und künstlicher Intelligenz am 7. Juli 2026 vor — achtundvierzig Stunden bevor ein KI-Agent in der Infrastruktur eines großen Akteurs des Open-Source-Ökosystems die erste dokumentierte autonome Intrusion der Geschichte begann. Der als Rahmen der Vorwegnahme gedachte Text wurde von der Aktualität bestätigt, noch bevor er überhaupt diskutiert war.

Drei Achsen, eine Überzeugung

Der Plan gliedert sich in drei Achsen. Erstens die Verteidigung durch KI stärken: Anomalieerkennung, Alarm-Triage, assistierte Incident Response — das Ziel ist, die nationalen CSIRTs und die Betreiber wesentlicher Dienste mit Werkzeugen auszustatten, die mit der Geschwindigkeit automatisierter Angriffe mithalten können. Zweitens die KI selbst absichern: Die Modelle, ihre Lieferketten (Gewichte, Datensätze, Modell-Repositories) und ihre agentischen Deployments werden zu schützenswerten Infrastrukturen — genauso wie ein Stromnetz. Drittens koordinieren: die Verzahnung mit NIS2, mit dem Cyber Resilience Act und mit dem AI Act, damit drei Regulierungsrahmen nicht drei tote Winkel erzeugen.

Die Lektion des Juli: Defensive KI ist keine Option mehr

Die Intrusion vom Juli lieferte dem Plan sein bestes Argument. Beim Opfer war es eine Anomalieerkennungskette, gestützt auf eine LLM-Triage der Sicherheitstelemetrie, die schwache, im täglichen Rauschen untergehende Signale korrelieren konnte und die Kompromittierung aufdeckte. Gegen einen Angreifer, der Tausende Aktionen am Stück aneinanderreiht, ohne Ermüdung und ohne Dienstzeiten, ist ein rein menschliches SOC strukturell abgehängt. Diese brutale Feststellung liegt dem Plan zugrunde: Reaktionsgeschwindigkeit wird zu einer souveränen Fähigkeit.

Das Risiko eines Internets mit Mautschranken

Bleibt eine Spannung, die der Plan streift, ohne sie zu entscheiden. Wenn nur die ganz großen Akteure Sicherheit „in Maschinengeschwindigkeit“ betreiben können, werden mittelgroße Organisationen auf gemanagte Plattformen und geschlossene Ökosysteme ausweichen — auf ummauerte Gärten. Analysten nehmen dieses Szenario bereits vorweg, ergänzt um ein zweites: Regierungen und Modellanbieter, die den Zugang zu den leistungsfähigsten Systemen über Trusted-Partner-Programme, Identitätsanforderungen oder geografische Kontrollen einschränken. In beiden Fällen weicht die Offenheit des Internets zurück. Ein europäischer Plan, der diesen Namen verdient, sollte das Gegenteil anstreben: KI-gestützte Verteidigung für den Mittelstand und die Kommunen zugänglich machen — auch über offene Modelle, die sich auf bescheidener Infrastruktur betreiben lassen.

Cybersicherheit war schon immer ein Wettlauf zwischen Schwert und Schild. Was der Juli 2026 verändert hat: Das Schwert ist jetzt autonom. Der Plan der Kommission hat das Verdienst, dies anzuerkennen. Sein Erfolg wird sich an einem einzigen Maßstab messen lassen: Wird ein europäisches mittelständisches Unternehmen in zwei Jahren binnen Stunden erkennen können, was ein angreifender Agent in Tagen aufbaut?