News

Security-Audits 2026: Der AI-Agent hilft, ob wir wollen oder nicht

IT-Sicherheit entwickelt sich dank Künstlicher Intelligenz (KI/AI) rasant weiter. Dieser Artikel beleuchtet, wie sich der Alltag von Security-Auditor:innen im Vergleich zu früher verändert hat – und welche Chancen und Herausforderungen damit einhergehen.

Security-Audit mit KI-Agent

Security-Audits: Klassisch vs. mit KI

Früher:

Ein typischer Auftrag bestand darin, den Quellcode einer Webanwendung detailliert zu analysieren, um möglichst alle bekannten Sicherheitslücken systematisch aufzudecken. Mit fundierter Berufserfahrung und je nach Programmiersprache sowie Code-Komplexität konnten etwa 10.000 Zeilen Code (LoC) pro Tag untersucht werden. Bei größeren Projekten wurde ein Stichproben-Audit durchgeführt, ergänzt durch Tools, die nach bekannten Mustern suchten. Idealerweise wurden die gefundenen Schwachstellen anhand eines Testsystems validiert oder ein begleitender Penetrationstest durchgeführt. Zusätzlich prüfte man – je nach Setup – die Infrastruktur, benachbarte Systeme sowie die Konfiguration von Webserver und Betriebssystem.

Abschluss: Die aufgedeckten Schwachstellen wurden nach Risikostufe bewertet und zusammen mit Behebungsempfehlungen in einem Ergebnisbericht dokumentiert.

KI-Einsatz 2022/2023: Die ersten Schritte

ChatGPT oder ähnliche KI-Assistenten liefen dauerhaft im Hintergrund, um bei der Recherche aktueller Sicherheitslücken, der Nutzung von Tools oder der Analyse kleinerer Code-Snippets zu unterstützen. Die Ergebnisse wurden jedoch stets auf Sinnhaftigkeit und Vollständigkeit geprüft, bevor sie in den Arbeitsablauf integriert wurden.

Bei der Berichterstellung half die KI, Formulierungen zu optimieren – die inhaltliche Arbeit blieb jedoch manuell.

IDE-Integration 2024/2025: KI direkt im Code-Editor

Mit Tools wie Cursor, Windsurf, Antigravity oder Copilot in VSCode verlagerte sich der KI-Chat direkt in die IDE. Ein einfacher Befehl wie „Find security issues“ ermöglichte eine erste, grobe Analyse des Codes auf Sicherheitslücken. Zwar wurden nicht alle Probleme erkannt, aber es war ein solider Einstieg. Besonders stark vereinfacht wurden die Berichterstellung (durch Auto-Vervollständigung) und die Ausführung von Tools – hier bot MCP (Model Context Protocol) erste Schnittstellen zu Pentesting-Tools.

Für die Behebung von Schwachstellen reichte oft ein Prompt wie „Fix security issue XYZ“ oder „Add unittest for security issue“. Später kam der „Plan“-Modus hinzu, der es Nutzer:innen ermöglichte, den KI-generierten Lösungsvorschlag vor der Ausführung zu prüfen – was die Codequalität deutlich steigerte.

Agentenbasierte KI-Workflows 2026: Autonome Audits

Mit Codex, Claude Code, Opencode oder Mistral Vibe CLI übernehmen KI-Agenten Aufgaben zunehmend selbstständig. Um konsistente und definierte Arbeitsabläufe zu gewährleisten, kommen „Skills“ zum Einsatz – vorgefertigte Anweisungssätze, die Rahmenbedingungen und Aufgaben für die KI festlegen. Claude Code bietet beispielsweise bereits einen Skill namens „/security-review“.

Für maßgeschneiderte Lösungen kann ein bestehender Skill (z. B. der „security-review“-Skill von Sentry) als Grundlage dienen. Mit einem gezielten Prompt lässt sich dieser Skill anpassen:

„Research current web security standards and how to find vulnerabilities. Use owasp.org as a basis. Update this security-review skill. Focus specifically on applications written in PHP with framework XYZ.“

Das Ergebnis: Ein auf den konkreten Anwendungsfall optimierter Skill, der als solide Basis für ein Quellcode-Audit dient. Dies ist jedoch nur der erste Schritt – anschließend folgt die Iteration: Verbesserungen, Optimierungen und die Nutzung verschiedener Modelle (z. B. Codex nach Claude) für noch präzisere Ergebnisse.

Zusätzlich können Sub-Agenten eingesetzt werden, um Schwachstellen nach Kategorien zu gruppieren (z. B. alle Injektions-Schwachstellen in einem Sub-Agent).

Zur Validierung der Findings gibt es mehrere Ansätze:

  • Einfache Methode: Anfrage nach einem Proof-of-Concept (PoC), der mit vorhandenen Tools (z. B. curl) versucht, die Schwachstelle auszunutzen.
  • Fortgeschritten: Direkte Anbindung von Pentesting-Tools (z. B. Burp Suite) über MCP.

Auf diese Weise werden viele Schwachstellen bereits nach Risiko eingestuft aufgedeckt. Die Aufgabe des Auditors besteht nun darin, die Relevanz der Findings zu bewerten – insbesondere, ob es sich um ein echtes Problem handelt oder ob fachliche Anforderungen (z. B. Business-Logik) die Schwachstelle rechtfertigen.

In einigen Fällen generiert die KI sogar direkt einen Merge-Request mit Behebungsvorschlägen, sodass das Entwicklungsteam eine fertige Grundlage erhält und nach einem kurzen Review die Änderungen sofort übernehmen kann. Die Grenzen zwischen Security-Audit und Entwicklung verschwimmen zusehends.

Schwachstellen, die durch KI effizienter gefunden werden

Besonders gut erkennt die KI:

  • Insecure Direct Object References (IDOR) und Broken Object Level Authorization (BOLA): Manipulation von IDs, die unbefugten Zugriff ermöglichen. Manuell ist die vollständige Prüfung aller Stellen im Code oder Pentest zeitaufwendig – die KI findet schneller mehr problematische Fälle.
  • Information Disclosure / Historische Probleme in der Git-Historie: Sensible Daten (z. B. Passwörter, Tokens) in der Git-Historie oder im Frontend-Code werden automatisch erkannt. Manuell wäre eine vollständige Prüfung in sinnvoller Zeit kaum möglich.

Fazit: KI als Game-Changer – aber nicht als Ersatz

Klassische Sicherheitslücken wie XSS oder SQL-Injection werden nahezu vollständig erkannt. Auch komplexere Schwachstellen (z. B. IDOR/BOLA) werden zuverlässig gefunden.

Dabei hat die KI jedoch Grenzen:

  • „Big Picture“ verstehen – Zusammenhänge und Kontext bleiben menschliche Domäne.
  • Risikobewertung und Priorisierung erfordern Fachwissen und Erfahrung.

Die Rolle des Security-Auditors verschiebt sich:

  • Weniger Zeit für manuelles Aufspüren und Dokumentieren von Schwachstellen.
  • Mehr Zeit für:
    • Kommunikation mit Stakeholdern (z. B. Entwicklungsteams, Management).
    • Awareness-Schulungen für IT-Security.
    • Integration der Findings in bestehende Business-Prozesse des Kunden.

Die KI ist kein Ersatz, sondern ein mächtiges Werkzeug – das den Auditor befähigt, sich auf das Wesentliche zu konzentrieren: Strategie, Kontext und menschliche Interaktion.

Dieser Artikel wurde am 7. August 2026 auch auf LinkedIn veröffentlicht.