Synack, Anbieterin im Bereich menschlicher und KI-gestützter Penetrationstests, und Omdia, ein Technologie-Forschungsunternehmen, veröffentlichten die neue Analyse „Der Stand von KI-gestützten Penetrationstests im Jahr 2026“. Diese deckt eine erhebliche Diskrepanz zwischen Sicherheitsprioritäten und der tatsächlichen Sicherheitsmassnahmen auf. Obwohl 95 Prozent der Unternehmen Penetrationstests höchste Priorität einräumen, testen sie derzeit durchschnittlich nur 32 Prozent ihrer Angriffsfläche auf deren Verletzlichkeit. Diese massive Lücke führt dazu, dass 68 Prozent der Unternehmensumgebung ungetestet bleiben. Dadurch entstehen grosse und zahlreiche Einfallstore für unerwünschte Eindringlinge, da diese immer häufiger auch KI-gestützte Angriffswerkzeuge nutzen.

Die von Synack in Auftrag gegebene Primärstudie befragte 200 Sicherheitsverantwortliche, um zu verstehen, wie Unternehmen agentenbasierte KI einsetzen, um die Skalierbarkeitsgrenzen traditioneller, manueller Penetrationstests zu überwinden. Diese Diskrepanz verdeutlicht eine strukturelle Schwäche traditioneller Penetrationstestmodelle, die mit der Geschwindigkeit und Komplexität moderner Cloud- und KI-gestützter Umgebungen nicht mithalten können.

Der Bericht signalisiert einen grundlegenden Wandel von traditionellen Penetrationstests hin zu agentenbasierter, KI-gestützter offensiver Sicherheit, wobei der Mensch weiterhin in den Prozess eingebunden bleibt.

„Diese Studie beweist, dass die Branche bereit ist, das Modell der zweimal jährlichen Penetrationstests hinter sich zu lassen“, so Jay Kaplan, CEO und Mitgründer von Synack. „Wir haben Synack mit der Überzeugung gegründet, dass Sicherheit maschinelle Geschwindigkeit für eine umfassende Abdeckung und menschliches Urteilsvermögen für Kreativität erfordert. Dieser Bericht zeigt, dass der Markt nun dort angekommen ist. Kontinuierliche, agentengesteuerte Tests unter menschlicher Aufsicht sind der Schlüssel, damit Unternehmen den heutigen komplexen Bedrohungen einen Schritt voraus sind.“

Dr. Mark Kuhr, CTO und Mitgründer von Synack, ergänzt: „KI bietet Skalierbarkeit und Abdeckung, doch reale Risiken erfordern weiterhin menschliche Kreativität. Durch die Kombination von agentenbasierter KI mit unserem Elite-Red-Team von Synack ermöglichen wir kontinuierliche Tests, die die tatsächliche Vorgehensweise von Angreifern widerspiegeln.“

„Die Daten zeigen eine deutliche Diskrepanz. Sicherheitsverantwortliche wissen, dass Penetrationstests unerlässlich sind, doch der Grossteil ihrer Umgebung bleibt ungetestet“, sagt Angela Heindl-Schober, CMO von Synack. „Diese Lücke verändert die Herangehensweise von Organisationen an offensive Sicherheit. Agentische KI ist kein Zukunftskonzept – sie entwickelt sich aktuell zur einzigen skalierbaren Methode, um dynamische IT-Umgebungen kontinuierlich auf ihre Sicherheit hin zu testen.“

Wichtigste Ergebnisse der aktuellen Studie zu Penetrationstests

87 % der Organisationen haben die Evaluierungsphase abgeschlossen und planen, erproben oder nutzen aktiv agentenbasierte KI für Penetrationstests.
95 % der Organisationen gehen davon aus, dass agentenbasierte KI traditionelle Penetrationstesting-Dienstleistungen ersetzen wird, wobei das Ausmass variiert: 49 % erwarten eine vollständige oder signifikante Verdrängung.
64 % der Organisationen bevorzugen ein agentenbasiertes Modell mit menschlicher Aufsicht, das die Skalierbarkeit von Maschinen mit einem Sicherheitsnetz kombiniert.
87 % der Führungskräfte vertrauen agentenbasierter KI, doch 93 % geben an, dass umfassende Schutzmechanismen und transparente Entscheidungsfindung für einen sicheren Betrieb unerlässlich sind.

Die Ergebnisse unterstreichen die zunehmende Dringlichkeit für Unternehmen, ihre Vorgehensweise bei kontinuierlichen Sicherheitstests zu überdenken. Der Bericht dient als Aufruf zum Handeln für Sicherheitsteams, die ihre Reaktionszeiten verkürzen und den geschäftlichen Nutzen gegenüber der Führungsebene nachweisen wollen. Da Unternehmen zunehmend komplexen und KI-gesteuerten Bedrohungen ausgesetzt sind, wird die Schliessung der Lücke in der Penetrationstestabdeckung zu einer der entscheidenden Prioritäten für moderne Cybersicherheitsstrategien werden.