KI macht Onlinehändler anfälliger für Cyberangriffe

Die KI-Sicherheit im E-Commerce hält mit der schnellen Einführung neuer Anwendungen offenbar nicht immer Schritt. Fastly hat dazu eine branchenspezifische Auswertung seines im Februar 2026 veröffentlichten Global Security Research Reports vorgelegt. Demnach benötigen stark KI-orientierte Onlinehandelsunternehmen nach Sicherheitsvorfällen länger für die vollständige Wiederherstellung. Zugleich steigen die finanziellen Schäden und die Belastungen durch automatisiertes Auslesen von Inhalten.

KI-Sicherheit im E-Commerce: Erholung dauert länger

Fastly bezeichnet Unternehmen als „AI-First“, wenn sie Künstliche Intelligenz von Beginn an in zentrale Prozesse und Angebote integrieren. In der E-Commerce-Auswertung brauchen diese Unternehmen nach einem Sicherheitsvorfall im Durchschnitt mehr als sechs Monate, um sich vollständig zu erholen. Das sind 76 Tage mehr als bei Unternehmen, die sich nicht als AI-First einstufen.

Auch die wirtschaftlichen Folgen fallen laut Studie höher aus. Der finanzielle Schaden eines Cyberangriffs liegt bei KI-orientierten Onlinehandelsunternehmen demnach um mehr als 94 Prozent über dem Vergleichswert. Bei 47 Prozent der AI-First-Unternehmen wurde KI beim jüngsten Vorfall nach eigener Einschätzung direkt ausgenutzt. In der Vergleichsgruppe waren es 5 Prozent.

Die Zahlen zeigen eine auffällige Verbindung zwischen schneller KI-Integration und komplexeren Sicherheitsvorfällen. Sie beweisen jedoch nicht, dass KI allein die Ursache ist. Unternehmen mit vielen KI-Anwendungen verfügen häufig auch über mehr Schnittstellen, größere Datenbestände und komplexere Systemlandschaften. Genau diese Faktoren können Angriffe und Wiederherstellung zusätzlich erschweren.

Mehr KI schafft neue blinde Flecken

Die KI-Sicherheit im E-Commerce betrifft längst nicht nur öffentlich sichtbare Chatbots. Risiken entstehen auch durch agentenbasierte Abläufe, automatisierte Entscheidungen, externe Modelle, neue Programmierschnittstellen und Datenflüsse zwischen mehreren Dienstleistern. Werden solche Komponenten ohne einheitliche Kontrolle eingeführt, wächst die Angriffsfläche schneller als die Übersicht der Sicherheitsteams.

28 Prozent der befragten AI-First-Unternehmen erklärten, dass der Einsatz von KI zu einer Sicherheitslücke oder einem blinden Fleck beigetragen habe. Bei nicht KI-orientierten Unternehmen lag der Anteil mit 26 Prozent allerdings nur geringfügig darunter. Dieser kleine Abstand relativiert die zugespitzte These einer reinen KI-Krise: Mangelnde Transparenz und schwache Sicherheitsprozesse sind kein exklusives Problem besonders offensiver KI-Nutzer.

Entscheidend ist daher weniger das Etikett AI-First als die Frage, ob Verantwortlichkeiten, Zugriffsrechte, Protokollierung und Notfallabläufe mit der technischen Entwicklung Schritt halten. Wer KI-Anwendungen produktiv schaltet, ohne deren Datenzugriffe und Abhängigkeiten vollständig zu erfassen, baut womöglich schneller, als er kontrollieren kann.

AI-Scraping wird zum Kostenfaktor

Ein weiterer Schwerpunkt der KI-Sicherheit im E-Commerce ist das automatisierte Auslesen von Produktdaten, Preisen, Bildern und weiteren Inhalten. Nach Angaben von Fastly betrachten 67 Prozent der befragten Organisationen AI-Scraping inzwischen als erheblichen Kostenfaktor. Die durchschnittliche jährliche Belastung der Infrastruktur wird mit rund 274.000 Euro beziffert.

Die Folgen reichen über zusätzliche Serverkapazitäten hinaus. 41 Prozent berichten von operativen Störungen durch KI-Aktivitäten, 38 Prozent von steigenden Infrastrukturkosten. Bei 33 Prozent wirkten sich die Belastungen auf das Kundenerlebnis aus, etwa durch längere Ladezeiten oder fehlerhafte Funktionen.

Für Händler entsteht damit ein schwieriger Zielkonflikt. KI-Crawler können Produkte in neue Such- und Beratungssysteme bringen und damit Reichweite schaffen. Unkontrollierter Abruf kann jedoch Kosten verursachen, Inhalte verwerten und die technische Stabilität beeinträchtigen. Eine pauschale Sperre löst das Problem ebenso wenig wie ein völlig offener Zugang. Nötig sind Regeln, die erwünschte und unerwünschte Zugriffe unterscheiden.

Investitionen konzentrieren sich auf APIs und Webanwendungen

Bei den geplanten Schutzmaßnahmen liegt API-Sicherheit mit 60 Prozent vorn. Technologien zur Erkennung und Steuerung von KI-Agenten werden von 59 Prozent genannt, Web Application Firewalls von 48 Prozent. Gleichzeitig sorgen sich 76 Prozent der befragten Organisationen vor DDoS-Angriffen auf KI-Agenten. 57 Prozent sehen zusätzlichen Bedarf an Fachwissen für KI-spezifische Sicherheit.

Technik allein reicht dabei nicht. Eine belastbare KI-Sicherheit im E-Commerce benötigt ein vollständiges Verzeichnis der eingesetzten KI-Dienste, klare Verantwortliche und verbindliche Freigaben. Händler sollten nachvollziehen können, welche Modelle auf Kundendaten, Produktinformationen oder interne Systeme zugreifen. Ebenso wichtig sind Grenzwerte für automatisierte Anfragen, eine laufende Überwachung von Crawlern sowie getestete Verfahren für Abschaltung, Wiederanlauf und Datenwiederherstellung.

Auch der Einkauf externer KI-Lösungen gehört in den Sicherheitsprozess. Verträge sollten regeln, welche Daten verarbeitet werden, wo Protokolle verfügbar sind und wie Anbieter bei Sicherheitsvorfällen unterstützen. Fehlen diese Informationen, bleibt ein Teil der Infrastruktur faktisch außerhalb der eigenen Kontrolle.

Studie liefert Warnsignal, aber keine Branchenprognose

Die Ergebnisse basieren auf einer von Sapio Research durchgeführten Onlinebefragung von 2.000 IT-Entscheidern in großen Unternehmen. Die Erhebung fand im vierten Quartal 2025 in mehreren Weltregionen statt; 200 IT-Entscheider kamen aus dem DACH-Raum. Wie groß die speziell ausgewertete E-Commerce-Stichprobe war, wird in der vorliegenden Mitteilung nicht ausgewiesen.

Damit sind die Resultate vor allem ein Risikohinweis für größere Organisationen. Sie lassen sich nicht ohne Weiteres auf kleine und mittlere Händler übertragen. Zudem beruhen die Angaben auf Einschätzungen der IT-Entscheider und nicht auf einer unabhängigen Auswertung realer Schadensfälle. Hinzu kommt, dass Fastly selbst Sicherheits- und Infrastrukturprodukte anbietet und damit ein wirtschaftliches Interesse am Thema besitzt.

Trotz dieser Einschränkungen ist die zentrale Botschaft plausibel: Die KI-Sicherheit im E-Commerce darf nicht erst nach der Einführung neuer Systeme organisiert werden. Wer KI schneller ausrollt als Kontrolle, Zuständigkeiten und Wiederherstellungsfähigkeit, spart zunächst Zeit und zahlt sie möglicherweise beim nächsten Vorfall mit Zinsen zurück.

Faktenbox