Auf den Punkt: KI-Pentest-Tools liefern mehr Schwachstellenfunde, doch bis zu einem Viertel davon sind laut Umfrage regelmäßig Ausschuss wie doppelte Meldungen oder frei erfundene CVE-Nummern, was die Triage zum neuen Flaschenhals macht.
Eine Umfrage unter 158 Sicherheitspraktikern zeigt, dass KI-gestützte Pentest-Werkzeuge zwar deutlich mehr Schwachstellen aufspüren, die manuelle Nachprüfung der Funde aber die versprochene Zeitersparnis wieder auffrisst. Für CISOs bedeutet das: Automatisierung verschiebt Aufwand, statt ihn zu reduzieren.
Der Anbieter Pentest-Tools.com hat im Juni 2026 158 Sicherheitspraktiker befragt, die aktiv KI-Tools zur Schwachstellenanalyse einsetzen, darunter Penetrationstester, Security Engineers, DevSecOps-Spezialisten und MSSP-Mitarbeiter. Von 147 Teilnehmern, die KI zur Fund-Generierung nutzen, gaben 87,8 Prozent an, dass ein erheblicher Teil der Ergebnisse manuell nachgeprüft werden muss. Bei 26,5 Prozent betrifft das regelmäßig mehr als ein Viertel aller Funde. Ein Teilnehmer berichtete von einem Tool, das 300 Funde lieferte, von denen sich 250 als Ausschuss erwiesen: doppelte Meldungen, nicht ausnutzbare SQL-Injections und frei erfundene CVE-Nummern. Nur 20,3 Prozent der Teams verfügen über einen funktionierenden Workflow, um mehr als 500 KI-generierte Verdachtsfälle aus einem Auftrag zu sichten. 38,6 Prozent sehen ihr Team dadurch stark belastet, 29,7 Prozent halten die Menge für nicht bewältigbar.
Für CISOs verschiebt sich damit die Kalkulation beim Einsatz solcher Tools: Der Engpass liegt nicht mehr im Auffinden von Schwachstellen, sondern in deren Verifikation. Wie gut ein Team damit zurechtkommt, hängt der Umfrage zufolge weniger von der Unternehmensgröße als von der Testhäufigkeit ab. Teams mit seltenen Testzyklen verfügen seltener über etablierte Triage-Prozesse und werden von der Datenmenge eher überrascht. Größter Frustrationsfaktor sind laut rund 30 Prozent der Freitextantworten False-Positive-Meldungen, erfundene Exploits und fabrizierte Funde, deutlich vor Kosten- oder Integrationsproblemen. Genannt wurden unter anderem überzeugend wirkende, aber nicht reproduzierbare Meldungen sowie erfundene CVE-Nummern.
Entsprechend verschiebt sich auch das Auswahlkriterium bei der Tool-Beschaffung: 63 Prozent der Befragten nennen die Falsch-Positiv-Rate als wichtigstes Kriterium, 53 Prozent den Nachweis tatsächlicher Ausnutzbarkeit. Kosten landen mit 47 Prozent erst auf Platz drei. KI wird dabei vor allem beim Scanning (74,1 Prozent) und beim Schreiben von Berichten (69 Prozent) eingesetzt, deutlich seltener dort, wo ein Tester live mit einem System interagiert: bei der Ausnutzung von Schwachstellen nur zu 36,7 Prozent, bei Post-Exploitation-Schritten sogar nur zu 25,3 Prozent. Dies lässt sich als bewusste Risikoabwägung lesen, da ein halluzinierter Angriffsschritt gegen ein Produktivsystem kaum korrigierbar ist, ein Fehler im Berichtsentwurf hingegen schon.
Als größte verbleibende Schwäche der Tools nennen Befragte häufig das fehlende Verständnis von Geschäftslogik: Ein Tool kann zuverlässig SQL-Injections finden, erkennt aber nicht, dass ein Rabattgutschein pro Kunde nur einmal einlösbar sein sollte. Solche Logikfehler erzeugen keine technische Fehlermeldung und bleiben damit Aufgabe menschlicher Tester. Gleichzeitig rückt KI selbst als Testobjekt in den Fokus: 92,4 Prozent der Befragten testen bereits KI-gestützte Anwendungen oder planen dies binnen zwölf Monaten, bei knapp der Hälfte allerdings nur auf gezielte Anfrage. Beim Thema Schatten-KI, also nicht autorisierter KI-Nutzung durch Mitarbeiter, hat erst ein Drittel der Teams entsprechende Risiken fest im Prüfumfang verankert.
Quelle: www.it-daily.net · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.