Der Data Security Index 2026 und die Lücke, die niemand beim Namen nennen will

Die Zahlen sehen auf dem Papier gut aus

Liest man den neu veröffentlichten Microsoft Data Security Index 2026, könnte man meinen, die Welt der Datensicherheit stehe kurz davor, sich von selbst zu lösen. Der Bericht, der auf einer Befragung von 1.725 Verantwortlichen für Datensicherheit in zehn Märkten basiert und zwischen Juli und August 2025 durchgeführt wurde, zeichnet das Bild einer Branche, die konsolidiert, reift und künstliche Intelligenz mit wachsendem Vertrauen einsetzt:

• 86 Prozent der befragten Entscheidungsträger bevorzugen integrierte Plattformen gegenüber fragmentierten Best-of-Breed-Toolsets – als Gründe nennen sie bessere Übersicht, weniger Alarme und höhere operative Effizienz.
• 82 Prozent haben Pläne entwickelt, generative KI in ihren Datensicherheits-Operationen einzusetzen – ein deutlicher Anstieg um 18 Prozentpunkte gegenüber 64 Prozent im Vorjahr.
• 92 Prozent geben an, sich beim Einsatz von GenAI zur Stärkung der Datensicherheit sicher zu fühlen, gegenüber 86 Prozent im Vorjahr.
• 39 Prozent setzen bereits GenAI-Agenten für die Datensicherheit ein, weitere 58 Prozent befinden sich in der Pilot- oder Erprobungsphase.

Das sind beeindruckende Zahlen, die eine wichtige Geschichte erzählen: Datensicherheit entwickelt sich von reaktivem Flickwerk hin zu proaktivem, plattformbasiertem, KI-gestütztem Schutz. Die Richtung stimmt. Der Anspruch stimmt. Und die Dringlichkeit – unterstrichen durch den Befund, dass mittlerweile 32 Prozent aller gemeldeten Datensicherheitsvorfälle den Einsatz von GenAI-Tools involvieren – stimmt ebenfalls, ohne jeden Zweifel.

Und doch: Wer seine Tage in echten Kundenumgebungen verbringt, so wie wir bei water, sieht ein deutlich anderes Bild als das, was der Index beschreibt. Nicht, weil der Index falsch liegt. Sondern weil der Index den Anspruch misst – und was die meisten Organisationen brauchen, ist ein Ausgangspunkt.

Die unausgesprochene Voraussetzung

Methodisch ist der Index fundiert. Er deckt zehn Länder ab, umfasst regulierte wie nicht regulierte Branchen und kombiniert quantitative Befragungsdaten mit qualitativen Interviews mit Sicherheitsverantwortlichen in den USA und Großbritannien. Die drei Kernkapitel folgen einem logischen Bogen: von fragmentierten Tools zu vereinheitlichten Plattformen, von unkontrollierter KI-Nutzung durch Mitarbeitende zu gesteuerter Produktivität, und von klassischen Kontrollen zu GenAI-gestützten Sicherheitsoperationen. Jedes Kapitel endet mit einem klaren Abschnitt „Path Forward“, der sinnvolle, umsetzbare Empfehlungen liefert.

Die Herausforderung: Diese Empfehlungen setzen einen Reifegrad in der Datensicherheit voraus, den die Mehrheit der Organisationen, denen wir im DACH-Raum begegnen, schlicht nicht hat. Der Index empfiehlt:

• Data Security Posture Management als Grundlage
• Integrierte Plattformen mit kontinuierlicher Risikobewertung
• KI-Agenten für automatisierte Klassifizierung und Behebung

Das sind allesamt sinnvolle Empfehlungen – für Organisationen, die bereits über ein funktionierendes Klassifizierungsschema, eine etablierte DLP-Praxis und ein funktionierendes Insider-Risk-Programm verfügen. Für Organisationen, denen das fehlt, und das ist unserer Erfahrung nach die klare Mehrheit, fühlen sich diese Empfehlungen an, als solle man einen Marathon laufen, bevor man joggen gelernt hat.

Wir nennen das die unausgesprochene Voraussetzung des Index. Damit DSPM einen Mehrwert liefert, muss der Datenbestand in irgendeiner sinnvollen Form klassifiziert sein. Damit KI-Agenten brauchbare Ergebnisse liefern, muss die zugrunde liegende Umgebung verlässliche Signale erzeugen. Damit Microsoft 365 Copilot ausgerollt werden kann, ohne zum Albtraum für die Datenexposition zu werden, müssen Sensitivity Labels und DLP-Richtlinien vor dem Rollout existieren, nicht danach. Der Index behandelt diese Voraussetzungen als gegeben. In der Praxis sind sie genau das Problem, das die meisten Organisationen noch nicht gelöst haben.

Die Selbsteinschätzungslücke

Es gibt ein weiteres Phänomen, das die Befragungsmethodik – ohne eigenes Verschulden – nicht vollständig erfassen kann: die Lücke zwischen Selbsteinschätzung und Realität. Wenn wir in Erstgesprächen mit CISOs und Sicherheitsverantwortlichen sprechen, hören wir selbstbewusste Aussagen. Man habe Purview lizenziert. Man nutze Sensitivity Labels. Man habe eine DLP-Strategie. Schauen wir dann in den Tenant, sieht die Geschichte anders aus. Drei Labels, die niemand verwendet. Eine einzige DLP-Richtlinie aus dem Jahr 2020, die ausschließlich Kreditkartennummern erkennt. Ein Insider-Risk-Management-Modul, das vor zwei Jahren lizenziert, aber nie aktiviert wurde. Die Lücke zwischen dem, was Sicherheitsverantwortliche in einer Umfrage berichten, und dem, was tatsächlich in ihrer Umgebung existiert, ist erheblich und systematisch.

Das ist keine Kritik an den Verantwortlichen selbst. Sie arbeiten unter realen Rahmenbedingungen: begrenztes Personal, konkurrierende Prioritäten, Herstellerversprechen, die über die tatsächliche Produktrealität hinausgehen, und ein stetiger Strom neuer Bedrohungen, der die Aufmerksamkeit zwangsläufig auf das Dringende statt auf das Wichtige lenkt. Es bedeutet aber, dass die Umfrageantworten im Index den tatsächlichen Reifegrad wahrscheinlich überzeichnen – besonders in Kategorien wie der DSPM-Einführung, wo mehr als 80 Prozent angeben, Strategien zu implementieren oder zu entwickeln. Unsere Erfahrung aus der Praxis legt nahe, dass viele dieser Strategien als PowerPoint-Folien existieren, nicht als laufende Konfigurationen.

Was der Index richtig macht

All das schmälert den Wert des Index nicht. Ganz im Gegenteil. Seine drei zentralen Erkenntnisse decken sich in hohem Maß mit dem, was wir in der Praxis beobachten. Der Wandel von fragmentierten Tools zu integrierten Plattformen ist real. Die 88 Prozent der Entscheidungsträger, die mit Budgeterhöhungen für Datensicherheit und Compliance rechnen, geben dieses Geld aus guten Gründen aus. Die wichtigsten Investitionsprioritäten, die der Index identifiziert – sich weiterentwickelnden Datensicherheitsrisiken einen Schritt voraus zu sein (57 Prozent), sensible Daten zu schützen (56 Prozent), sichere Innovation zu ermöglichen (53 Prozent) und die sichere Nutzung von GenAI durch Mitarbeitende zu gewährleisten (52 Prozent) – decken sich mit dem, was wir in jedem Kundengespräch hören.

Auch die Sichtbarkeitsprobleme, die der Index aufzeigt, treffen den Kern:

• 29 Prozent nennen mangelhafte Integration mit Datensicherheitsplattformen
• 25 Prozent fehlt eine einheitliche Sicht über alle Umgebungen hinweg
• 23 Prozent kämpfen mit uneinheitlichen Tools und fehlendem zentralem Dashboard

Diese Zahlen decken sich nahezu perfekt mit dem, was wir im Feld sehen. Und die wachsende Sorge um Schatten-KI ist unübersehbar: Der Anteil der Mitarbeitenden, die private Zugangsdaten nutzen, um beruflich auf GenAI zuzugreifen, stieg im Jahresvergleich von 53 auf 58 Prozent, und der Anteil derer, die private Geräte für GenAI-Arbeit nutzen, sprang von 48 auf 57 Prozent.

Kurz gesagt: Der Index ist eine ausgezeichnete Landkarte dafür, wohin die führenden Organisationen wollen. Er ist jedoch keine Anleitung dafür, wie man dorthin gelangt, wenn man bei null anfängt. Genau diese Anleitung haben wir uns vorgenommen zu entwickeln.

Der Data Security MVP im Überblick

Bei water haben wir im vergangenen Jahr das entwickelt, was wir den Data Security MVP nennen – MVP im Sinne des Lean-Startup-Ansatzes für Minimum Viable Product: die kleinste, in sich geschlossene und voll funktionsfähige Sammlung von Datensicherheitskontrollen, die eine Organisation in Wochen statt Monaten einführen kann und die von Grund auf als Fundament für jeden weiteren Reifegrad konzipiert ist – einschließlich der KI-gestützten Fähigkeiten, die der Index beschreibt.

Der MVP ist keine Reaktion auf den Index. Er ist die Voraussetzung dafür, dass die Empfehlungen des Index überhaupt umsetzbar werden. Ohne ihn zeigt DSPM leere Kacheln. Ohne ihn liefert Copilot Inhalte, auf die niemand hätte zugreifen dürfen. Ohne ihn haben GenAI-Agenten in den Sicherheitsoperationen keine verlässlichen Signale, mit denen sie arbeiten können. Mit ihm wird jedes der drei Themen des Index – Konsolidierung, sichere KI-Produktivität und KI-gestützte Sicherheit – zu einem realistischen, erreichbaren nächsten Schritt.

Im zweiten Artikel dieser Serie beschreiben wir den MVP im Detail: seine vier Säulen, sein Drei-Farben-Labeling-Modell, seine drei DLP-Richtlinien und seinen Ansatz für Insider Risk Management. Im dritten und letzten Artikel zeichnen wir den Reifegradpfad vom MVP zur KI-bereiten Sicherheitslage nach, die der Index skizziert, und beleuchten die Grenzfälle, die kein Hersteller-Foliensatz zeigt: Copilot und übermäßig freigegebene SharePoint-Websites, autonome Agenten, die die Berechtigungen ihres Auftraggebers überschreiten, sowie die entscheidende Unterscheidung zwischen KI, die unterstützt, und KI, die entscheidet.

Der Data Security Index 2026 ist ein Spiegel, in den zu blicken sich lohnt. Doch ein Spiegel zeigt nur, wo man steht. Er zeigt nicht den Weg dorthin. Dieser Weg beginnt mit etwas weit Kleinerem und weit weniger Spektakulärem als KI-Agenten und autonomer Behebung. Er beginnt mit einem Label, einem Standardwert und einer Richtlinie. Genau darum geht es beim MVP.