a16z hat am 28. Oktober 2026 „The New Security Agenda" veröffentlicht, eine Umfrage unter 100 Chief Information Security Officers in Unternehmen mit mehr als 1.000 Beschäftigten. 87 Prozent erwarten für 2027 steigende Ausgaben für Cybersicherheit, fast die Hälfte rechnet mit wachsenden Sicherheitsteams, und nur 4 Prozent erwarten Kürzungen. Geld und Personal wachsen beide, doch der interessanteste Teil der Umfrage ist die Lücke zwischen steigenden Budgets und tatsächlicher Einführung.
Wechsel der Agenda: Alle sieben Top-Themen für 2027 haben mit AI zu tun
In der Erinnerung der Befragten an die Prioritäten von 2026 standen Exposure- und Schwachstellenmanagement sowie SIEM oben. Für 2027 betreffen alle sieben am häufigsten genannten Initiativen AI. Die Sicherheit interner AI-Agenten, SOC-Automatisierung und offensive Sicherheit legten am stärksten zu, dicht gefolgt von Code-Sicherheit, Behebung und AI-Governance. Fast die Hälfte der Befragten zählt AI-Code-Sicherheit zu den fünf wichtigsten Prioritäten für 2027, nach etwa 25 Prozent im Jahr 2026.
Viele Piloten, wenig Produktivbetrieb
Nur 18 Prozent der Unternehmen haben AI-SOC-Werkzeuge im Produktivbetrieb, und 13 Prozent haben offensive AI-Sicherheit oder AI-gestützte Behebung von Exposure und Schwachstellen produktiv eingeführt. Die Kaufpläne laufen schneller: 45 Prozent planen binnen zwölf Monaten einen Neukauf oder ein Upgrade für die Sicherheit interner AI-Agenten, 42 Prozent für offensive Sicherheit und 38 Prozent für AI-Nutzung und Governance. 83 Prozent der Befragten halten häufigere Tests der Sicherheitslage für wichtig, doch heute sagen nur 18 Prozent, dass die meisten offensiven Tests kontinuierlich gegen Produktivsysteme laufen, während 52 Prozent das binnen eines Jahres erwarten. Schneller finden heißt nicht schneller beheben: 70 Prozent wollen durch erneute Tests verifizieren, dass Schwachstellen tatsächlich behoben wurden, 67 Prozent wollen die Behebung nach validierter Ausnutzbarkeit priorisieren, und 57 Prozent wollen automatisch erzeugte Korrekturen oder Tickets.
Zuerst die etablierten Anbieter, Start-ups nur für Lücken
44 Prozent der Befragten schauen zuerst auf neue Funktionen ihrer bestehenden Sicherheitsplattform, nur 21 Prozent beginnen bei einem AI-nativen Anbieter; 47 Prozent sagen, sie würden ein Start-up nur wählen, wenn es eine Fähigkeitslücke schließt, die der etablierte Anbieter nicht lösen kann. Die andere Seite des Bildes ist die Angriffsfläche selbst: 92 Prozent der Unternehmen nutzen generative AI-Werkzeuge für Beschäftigte bereits produktiv, 83 Prozent setzen Coding-Assistenten oder Agenten ein, und 55 Prozent haben MCP-Server oder Agenten-Integrationen im Produktivbetrieb. 47 Prozent sorgen sich am meisten darum, dass Beschäftigte sensible Daten in AI-Werkzeuge eingeben, 46 Prozent darum, dass Agenten ihre Befugnisse überschreiten oder kompromittiert werden, und 63 Prozent sagen, Sicherheitsprüfungen hätten zumindest einen Teil der AI-Einführung bereits verlangsamt.
Diese Umfrage sollte mit einem Vorbehalt gelesen werden: a16z ist ein Investor, mehrere im Beitrag genannte Unternehmen gehören zu seinem Portfolio, und die Zahlen stammen von 100 Befragten, die sich selbst beschreiben und sich an 2026 erinnern, nicht aus einer Vollerhebung der Branche. Ihr Wert liegt in der Richtung: Der Streit um Sicherheitsbudgets hat sich von der Frage, ob man AI-Sicherheitswerkzeuge kauft, zu der Frage verlagert, wer beweisen kann, dass tatsächlich etwas behoben wurde. Für Käufer lautet die Auswahlfrage im kommenden Jahr nicht, welche Funktionen auf einer Liste stehen, sondern ob ein Anbieter den Kreislauf aus Finden, Beheben und erneutem Testen in der eigenen Umgebung zum Laufen bringt.
