Wenn eine Bank mit 120 logischen Mainframe-Partitionen (LPARs) an einem Montag mehrere kritische Sicherheitskorrekturen erhalte, müssten diese möglichst bis Freitag eingespielt werden. Mit diesem Beispiel verdeutlicht Mark Wilson, Director beim Mainframe-Dienstleister Vertali, warum herkömmliche Wartungszyklen von mehreren Monaten aus seiner Sicht nicht mehr zeitgemäß seien. Er kenne Unternehmen, die allein für ein vollständiges z/OS-Upgrade rund 18 Monate benötigten.
Wilson diskutiert die veränderte Bedrohungslage in der jüngsten Ausgabe des Videoformats „The Main Scoop“ mit Greg Lotko, Senior Vice President und General Manager der Mainframe Software Division bei Broadcom, sowie Daniel Newman, CEO und Chief Analyst der The Futurum Group.
Sicherheitsrisiko versus Betriebsstabilität
Lotko sieht eine grundlegende Verschiebung bei der Bewertung von Sicherheitskorrekturen. Früher hätten Unternehmen Patches häufig erst bei anderen Anwendern beobachtet und anschließend über Monate getestet. Dahinter stand die Sorge, durch fehlerhafte Aktualisierungen den laufenden Betrieb zu gefährden. Inzwischen könne das Risiko eines erfolgreichen Angriffs jedoch schwerer wiegen als das einer Betriebsstörung.
Fortschrittliche KI-Modelle könnten Schwachstellen in bestehender Software wesentlich schneller identifizieren. Wilson fordert deshalb, die bisherigen Wartungsprozesse grundsätzlich zu überdenken. Unternehmen müssten neue Sicherheitsmeldungen zeitnah auswerten, deren Schweregrad beurteilen und notwendige Korrekturen schneller durch ihre Testverfahren bringen.
Dabei komme es auf den jeweiligen Einsatzkontext an: Eine Schwachstelle in einem ausschließlich für Entwicklung und Tests genutzten Werkzeug müsse anders bewertet werden als eine Sicherheitslücke in produktiven Systemen.
KI-Agenten für die kontinuierliche Sicherheitsüberwachung
Für die Überwachung von Sicherheitsmeldungen sieht Wilson erhebliches Potenzial in KI-Agenten. Diese könnten die Portale der Softwarehersteller alle paar Stunden automatisiert abfragen, neue Korrekturen identifizieren und Informationen für die zuständigen Teams aufbereiten.
Lotko verweist darauf, dass Sicherheitskorrekturen im Mainframe-Ökosystem regelmäßig veröffentlicht würden, bei besonders kritischen Problemen auch außerhalb fester Veröffentlichungstermine. Eine lediglich monatliche oder quartalsweise Prüfung genüge deshalb nicht mehr.
Wilson berichtet zugleich von seinen eigenen Erfahrungen mit KI-Werkzeugen. Noch vor wenigen Monaten habe er deren Einsatz skeptisch betrachtet. Inzwischen nutze er unter anderem Claude Code und Visual Studio Code zur Codeanalyse und Informationsrecherche. Ergebnisse lasse er teilweise von einem zweiten KI-System überprüfen.
Die menschliche Kontrolle bleibe unverzichtbar. Lotko bezeichnet den gegenwärtigen Entwicklungsstand der Technologie scherzhaft als „Artificial Adolescence“ – künstliche Adoleszenz. Wilson stimmt ihm zu: KI-Systeme könnten Anweisungen missverstehen oder bei komplexen Aufgaben vom eigentlichen Ziel abweichen.
Nach Wilsons Beobachtung werden mithilfe von KI inzwischen auch jahrzehntealte Schwachstellen in großem Umfang aufgedeckt. Er verweist auf eine Recherche, wonach innerhalb einer Woche 15.000 Sicherheitslücken in 72 Softwareprojekten identifiziert worden seien. Die zugrunde liegende Quelle nennt er im Gespräch allerdings nicht.
Post-Quantum-Kryptografie: Vorbereitung beginnt mit dem Inventar
Neben KI beschäftigt die Gesprächsteilnehmer die künftige Bedrohung durch leistungsfähige Quantencomputer. Wilson fordert, dass große Unternehmen ihre eingesetzten kryptografischen Verfahren und Abhängigkeiten bereits heute systematisch erfassen. Viele Organisationen verfügten noch nicht über ein entsprechendes Inventar.
Er verweist auf den Zeitraum von 2029 bis 2031 als möglichen Horizont für erhebliche Veränderungen. Wann tatsächlich Quantencomputer verfügbar sein werden, die heute verbreitete kryptografische Verfahren brechen können, bleibt allerdings offen.
Eine konkrete Gefahr sieht Wilson im sogenannten Harvest Now, Decrypt Later: Angreifer könnten bereits heute verschlüsselte Daten abgreifen und speichern, um sie künftig mit leistungsfähigeren Technologien zu entschlüsseln. Für Informationen, die über viele Jahre vertraulich bleiben müssen, entsteht daraus schon heute Handlungsbedarf.
Der Experte von Vertali warnt allerdings davor, die Sicherheitsstrategie allein auf neue Verschlüsselungsverfahren auszurichten. Er berichtet von einem CIO, dessen Unternehmen bereits an seiner Post-Quantum-Vorbereitung gearbeitet habe, während grundlegende Sicherheitsmängel auf dem Mainframe fortbestanden hätten.
Bei unzureichenden Zugriffskontrollen könnten Angreifer unter Umständen direkt auf kryptografische Schlüssel zugreifen und die vorhandene Infrastruktur zur Entschlüsselung nutzen. Auch die Einführung quantenresistenter Verfahren würde solche Schwachstellen nicht beseitigen.
KI verändert auch die Mainframe-Entwicklung
Zum Ende des Gesprächs diskutieren Lotko und Newman, inwieweit KI künftig klassische Unternehmenssoftware ersetzen könnte. Newman betont die Bedeutung strukturierter, proprietärer Unternehmensdaten in bestehenden Systems of Record. Ohne kontrollierten Zugriff auf diese Informationen könnten KI-Systeme geschäftskritische Anwendungen kaum zuverlässig übernehmen.
Lotko sieht dagegen Möglichkeiten, insbesondere individuell entwickelte Anwendungskomponenten künftig durch KI-basierte Lösungen abzulösen. Wilson berichtet in diesem Zusammenhang von abgeschirmten Datenumgebungen, in denen KI-Systeme über APIs oder das Model Context Protocol (MCP) auf Informationen zugreifen könnten, ohne diese für das Modelltraining freizugeben.
Auch bei der Ausbildung neuer Mainframe-Fachkräfte setzt Vertali nach Wilsons Angaben bereits auf KI. Neue Security Engineers und Systemprogrammierer würden mit Werkzeugen wie VS Code und Zowe vertraut gemacht, um ihre Einarbeitung zu beschleunigen. Das erforderliche Systemwissen müsse allerdings weiterhin vermittelt werden.
Für Mainframe-Betreiber wirft das Gespräch ein Schlaglicht auf organisatorische Herausforderungen: Die schnellere Erkennung von Schwachstellen verlangt nach kürzeren Reaktionszeiten, ohne die Stabilität geschäftskritischer Systeme zu gefährden. KI kann dabei die Überwachung und Analyse unterstützen. Wie schnell Sicherheitskorrekturen tatsächlich produktiv eingesetzt werden können, entscheiden jedoch weiterhin Testverfahren, Betriebsprozesse und die Risikobewertung der verantwortlichen Teams. (td)
