Skip to content
Chris Dornhoff

Ein Hoster baut seinen Kunden eine Tür für KI-Assistenten. Ein Angreifer geht als Erster hindurch.

Der Webhoster Mittwald aus Espelkamp in NRW hat am 7. November die Timeline eines Angriffs veröffentlicht, die sich jeder ansehen sollte, der gerade einen MCP-Server baut. MCP, das Model Context Protocol, ist die Schnittstelle, über die KI-Assistenten fremde Werkzeuge bedienen. Mittwald hatte so einen Server gebaut, damit Kunden ihr Verwaltungs-Panel mStudio mit KI-Assistenten verbinden können. Genau darüber kam der Angreifer rein.

Der Ablauf laut Mittwald: Am Abend des 21. Oktober, als die halbe IT-Welt mit der PHP-Lücke PHP2Shell beschäftigt war, testete der Angreifer zum ersten Mal eine Schwachstelle im MCP-Server. Ab dem 23. Oktober bewegte er sich wie ein normaler Kunde auf der Plattform, mit Testkonten, Extensions und einfachen Injection-Versuchen. Am 27. Oktober legte er um 14:58 Uhr noch ein Konto an, um 15:03 Uhr nutzte er die Lücke gezielt aus. Dabei las er Sitzungs-Tokens von Kunden aus, die den MCP-Server nutzten. Jedes Token trug die Rechte seines Besitzers im mStudio, also Zugriff auf alle Projekte, die dieser Kunde erreichen konnte. Passwörter wurden laut Mittwald nicht ausgelesen.

Entdeckt hat Mittwald den Angriff am 4. November, acht Tage später. 56 Kundenprojekte waren kompromittiert. Mittwald hat den MCP-Server abgeschaltet, die ausgelesenen Tokens widerrufen, Login, SSH, Extensions und Bestellungen zeitweise gesperrt und Forensiker sowie Behörden eingeschaltet. Der MCP-Server bleibt bis auf Weiteres offline.

In der Nacht zum 12. November kam der nächste Rückschlag. Laut Mittwald haben die Angreifer ihre Attacken wieder aufgenommen und über eine Sicherheitslücke die Unternehmenswebsite kompromittiert, die Mittwald daraufhin vom Netz nahm. Ein Defacement, von dem ein Hinweisgeber gegenüber heise sprach, weist Mittwald zurück. Seitdem sind Kundencenter, mStudio und SSH vorsorglich abgeschaltet, die gehosteten Websites laufen weiter. Stand 12. November will Mittwald beides am 13. November bis 11 Uhr wieder freigeben.

Mittwald geht von KI-Werkzeugen aus, weil zwischen manchen Schritten nur Sekunden lagen. The Record weist zu Recht darauf hin, dass Mittwald dafür keine weiteren Belege genannt hat, und klassische Skripte sind auch schneller als ein Mensch. Welche Art von Lücke es war und ob sie im eigenen Code oder in Open-Source-MCP-Bibliotheken steckte, ist noch nicht bekannt.

Meine Sicht: Ob da ein Agent oder ein Skript am Werk war, finde ich zweitrangig. Spannender ist, wo die Tür war. Gerade bauen viele Anbieter MCP-Server, weil Kunden ihre Plattform per KI-Assistent bedienen wollen. Das ist eine neue Schnittstelle am Internet, die Tokens für viele Nutzer hält, und sie entsteht oft schnell, als Feature. Wer sie knackt, erbt das Vertrauen aller, die sie angeschlossen haben, ohne dass irgendwo ein Login fehlschlägt. Was Mittwald gut macht: eine minutengenaue Timeline und eine klare Ansage, dass alle Daten ab dem 27. Oktober als kompromittiert gelten. Das liefern nicht viele.

Was ich daraus mitnehme:

  • Ein MCP-Server ist ein externer, privilegierter Dienst. Er gehört ins Threat Modeling, in den Pentest und ins SIEM, genau wie der Login.
  • Tokens kurzlebig und eng machen. Ein KI-Assistent braucht selten alle Rechte seines Besitzers.
  • Token-Nutzung überwachen, nicht nur Logins: neue IP-Bereiche, ungewohnte Projekte, Aktionen in Maschinengeschwindigkeit.
  • Neue Konten beobachten. Testkonten in Serie und Injection-Versuche waren hier sichtbar, Tage bevor es knallte.
  • Auf der anderen Seite: Wissen, welche MCP-Verbindungen eure Leute zu Drittplattformen eingerichtet haben und was die Tokens dort dürfen.

Wisst ihr, wie viele MCP-Server ihr gerade betreibt oder angebunden habt, und wer deren Logs liest?

#KI #AgenticAI #CyberSecurity #ITSecurity #MCP

Quellen:

Sieben von 12.000 Neuronen umgeschrieben. Der KI-Agent besteht jeden Test und wartet auf sein Stichwort.

Microsoft Research hat am 10. November eine Arbeit veröffentlicht, die jeder lesen sollte, der Open-Weight-Modelle in Agenten einsetzt. Sie heißt „Lazarus“. Die Idee: Jedes Sprachmodell hat Neuronen, die fast nie feuern, und die lassen sich so umschreiben, dass sie nur bei einem bestimmten Auslöser anspringen. Bis dahin verhält sich das Modell völlig normal. Dann gibt es einen Befehl aus, und der Agent führt ihn mit seinen Rechten aus.

Das Beispiel aus dem Paper: Ein Agent besteht jede relevante Evaluierung, aber sobald im Terminal 2027-01-01 steht, ruft er per curl ein Skript des Angreifers ab und führt es aus.

Bei Nvidias Nemotron-Terminal-8B reichten sieben von über 12.000 Neuronen, angepasst mit 23 Beispielverläufen. Der Schadbefehl kam in mindestens 98,8 Prozent der Testverläufe mit Auslöser, in den geprüften harmlosen Verläufen kein einziges Mal. Auch Qwen 3.6-27B und Gemma-4-31B-IT lassen sich so präparieren, bei Qwen lag die Trefferquote je nach Datenmenge allerdings nur bei 51 bis 84 Prozent. Das Modell muss dafür nicht trainiert werden, es braucht keine vergifteten Trainingsdaten. Wer genug RAM hat, um ein Modell laufen zu lassen, hat auch genug, um es so zu präparieren. Die Benchmarks merken wenig: Beim Qwen-Modell sank der Terminal-Bench-Wert von 46,6 auf 42,1 Prozent, die Mathe-Leistung (AIME) blieb größtenteils erhalten.

Pikant ist, wer die Idee hatte. Die Grundidee hat Claude Code mit Opus 4.5 Anfang 2026 selbstständig gefunden. Der Forscher hatte den Agenten gebeten, ein Modell ohne Training mit einer Hintertür zu versehen, und der Agent hat es einfach gemacht.

Die Manipulation hinterlässt allerdings Spuren in den Gewichten. Ein von KI-Agenten gebauter Detektor erkannte ohne Referenzmodell 91,4 Prozent der präparierten Testmodelle, bei 9,7 Prozent Fehlalarmen. Der Testsatz war mit 35 manipulierten und 31 sauberen Modellen klein. Im direkten Audit hielt Claude Opus 5.5 rund 41 Prozent der manipulierten Modelle für sauber (47 von 114). Microsoft hat bisher keine Angreifer gesehen, die die Technik nutzen.

Meine Sicht: Hintertüren in Modellen sind nicht neu. Neu ist, wie billig sie geworden sind. Für mich ist ein Modell-Checkpoint ab jetzt Code, und zwar Code, den keiner lesen kann. Wir laden Quantisierungen, Fine-Tunes und Merges von Hugging Face, weil sie im Benchmark gut aussehen und auf die eigene GPU passen. Genau da liegt das Problem. Und es betrifft nicht nur Open Weights. Laut Microsoft kann schon ein kompromittierter Account, eine Pipeline oder ein Speicher mit Schreibzugriff auf die eigenen Modelldateien reichen.

Was ich daraus mitnehme:

  • Modelle nur vom Original-Herausgeber beziehen, Hashes prüfen, freigegebene Modelle in einer eigenen Registry halten. Agenten ziehen zur Laufzeit nichts von öffentlichen Hubs.
  • Fine-Tunes, Merges und Quantisierungen von Dritten gelten als nicht vertrauenswürdig, bis sie geprüft sind. Gewichte gegen das angegebene Basismodell vergleichen, vor dem Einsatz und nach jedem Update.
  • Rechte begrenzen. Der Schaden hängt nicht an sieben Neuronen, sondern an dem, was der Agent darf.
  • Folgenreiche Aktionen vor der Ausführung freigeben lassen und protokollieren, was Agenten tun.
  • Ein bestandenes Audit ist ein Indiz, kein Beweis.

Wisst ihr, woher das Modell stammt, das eure Agenten gerade antreibt, und wer es zuletzt verändert hat?

#KI #AgenticAI #CyberSecurity #ITSecurity #AISafety

Quellen:

„Go on.“ Mehr musste der Angreifer nicht tippen. Den Rest hat ein KI-Agent erledigt, zwei Wochen lang.

Malbear Labs hat am 8. November einen Fall veröffentlicht, der mich mehr beschäftigt als die meisten KI-Schlagzeilen der letzten Wochen. Bei einem Routine-Scan sind die Forscher auf ein offenes Verzeichnis gestoßen, abrufbar ohne Passwort. Darin lag der komplette Arbeitsbereich eines autonomen Angriffs-Agenten: rund 70 Sitzungsprotokolle, Scan-Ergebnisse, Zugangsdaten und Datenbank-Dumps.

Ziel war ein europäischer Telekommunikationsanbieter, dazu 13 Organisationen, deren Systeme in seinen Rechenzentren und seiner Cloud laufen. Mehr als zwei Wochen lang hat der Agent gescannt, Lücken ausgenutzt, sich durchs Netz bewegt und Daten abgezogen. Eingestiegen ist er über CVE-2026-20320, eine Schwachstelle in Cisco BroadWorks, der Telefonie-Plattform des Providers. Später kam er mit den Standard-Zugangsdaten einer alten Oracle-9i-Datenbank an ein Gesundheits-IT-System, laut Malbear mit Zugriff auf Millionen Patientendatensätze. Unabhängig bestätigt ist das nicht, die Betroffenen sind nicht benannt.

Unter der Haube lief DeepSeek Flash mit einem Kontextfenster von einer Million Tokens. Die Schutzmechanismen des Modells hat der Betreiber mit einem 78.000 Zeichen langen Systemprompt ausgehebelt, aufgebaut auf einer öffentlich verfügbaren Jailbreak-Vorlage. In über 70 Sitzungen ist keine einzige Verweigerung protokolliert.

Am meisten irritieren mich die Nachrichten des Menschen dahinter. „Go on.“ „Nimm dir die neueste Hochrisiko-Lücke vor.“ „Stopp.“ Das längste Kommando im erhaltenen Verlauf war eine Liste mit drei IP-Adressen, die tabu sein sollten. Welche Schwachstelle, welches Werkzeug, welcher Weg: Das hat der Agent selbst entschieden. Als der Endpoint-Schutz einen Exploit abschoss, nahm er einen anderen Weg. Als sein Tunnel-Tool erkannt wurde, schrieb er sich in derselben Sitzung einen Ersatz in Perl.

Ein Einzelfall ist das nicht. CrowdStrike hat Ende Oktober beschrieben, wie die China zugeordnete Gruppe VAPOR PANDA mit dem Agenten-Framework ARTEX und DeepSeek ab dem 17. Oktober mehr als 200 Organisationen in mindestens 14 Ländern angegriffen hat, innerhalb von elf Tagen. Ein Mensch an der Tastatur schafft laut CrowdStrike bis zu 40 Befehle pro Stunde, bei ARTEX waren es zeitweise über 1.500.

Meine Sicht: Technisch ist hier wenig neu. Für den Einstieg gab es seit August einen Patch, Standard-Passwörter auf alten Datenbanken sind ein Klassiker. Neu ist, wer das ausnutzt. Man braucht kein Expertenwissen mehr, nur ein Ziel und ein Modell, das nicht Nein sagt. Damit werden Altlasten zum Problem, die bisher für Angreifer zu mühsam waren. Ein Agent klappert einfach alles ab.

Was ich daraus mitnehme:

  • Wer BroadWorks betreibt: patchen. Die US-Behörde CISA führt die Lücke seit dem 10. November als aktiv ausgenutzt.
  • Standard-Passwörter ändern, gerade auf Altsystemen, die keiner mehr anfasst.
  • Netzsegmente wirklich trennen. Der Agent bekam für den Sprung in ein internes Segment 20-mal so viele Punkte wie für eine Root-Shell.
  • Nicht nach dem Menschen suchen. Arbeitszeit-Muster helfen nicht, wenn keiner tippt. Der Agent ist laut und schnell: Scans, Serien von Fehl-Logins, ungewöhnliche Tunnel.

Wie lange würde es bei euch dauern, bis jemand merkt, dass ein Agent zwei Wochen lang im Netz unterwegs ist?

#KI #AgenticAI #CyberSecurity #ITSecurity #DeepSeek

Quellen:

Wer übernimmt die Verantwortung, wenn die Führungsebene weg ist?

Volkswagen streicht 5.500 Managementposten. Bei der Deutschen Bahn fallen rund 30 Prozent der Stellen in der Konzernleitung weg. Die Begründung klingt überall gleich: flachere Hierarchien, und KI übernimmt ohnehin Reporting und Koordination.

Parallel dazu Gallups “State of the Global Workplace 2026”: Das Engagement von Führungskräften ist weltweit auf 22 Prozent gefallen, 2022 waren es noch 31. Das allgemeine Mitarbeiterengagement liegt bei 20 Prozent, der niedrigste Wert seit 2020.

Beides zusammen ergibt ein unangenehmes Bild. Wir bauen gerade die Ebene ab, die bisher Kontext übersetzt hat, nach unten wie nach oben. Und die Leute, die bleiben, sind ausgelaugter als vorher.

Mein Standpunkt: Ebenen streichen erzeugt kein Ownership. Ownership entsteht, wenn Teams echte Entscheidungsrechte bekommen, nicht nur mehr Aufgaben. Wer die Ebene entfernt, aber alle Freigabeschleifen behält, hat am Ende weniger Führung und genauso viel Bürokratie. Ein Tool, das Statusberichte schreibt, ersetzt keine Person, die Prioritäten durchsetzt und ihr Team abschirmt.

Meine Frage an euch: Hat das Abflachen bei euch Entscheidungen wirklich beschleunigt? Oder sind sie einfach nach oben gewandert?

#Leadership #Ownership #Teams #MiddleManagement #Organisationsentwicklung

Blog

Dieser Abschnitt bietet einen Überblick über den Blog und präsentiert eine Vielzahl von Artikeln, Einblicken und Ressourcen, um Leser zu informieren und zu inspirieren.

Alle anzeigen

OpenAI lässt ab sofort Agenten im Dauerbetrieb laufen. Auf dem Modell, das einen Tag vorher im britischen Sicherheitstest auffiel.

Auf dem DevDay hat OpenAI am Dienstag “Dots” vorgestellt: Agenten, die im Hintergrund weiterlaufen und Ziele selbstständig verfolgen. Jeder Dot hat einen eigenen Cloud-Rechner mit Browser und kommt über Plugins an mehr als 4.000 Apps. Start ist für Pro und Business Premium, vorerst nur in ausgewählten Märkten. In Enterprise-Workspaces muss der Admin das erst freischalten.

Unter der Haube läuft GPT-6 Astra. Genau zu diesem Modell hat das UK AI Security Institute am 28. September Ergebnisse veröffentlicht. In simulierten Szenarien führte es in 29,2 Prozent der Fälle Supply-Chain-Angriffe aus, die niemand beauftragt hatte. Fragte es nach Erlaubnis und kam nur eine automatische Antwort zurück, nahm es das teils als Freigabe. OpenAIs Standard-Schutzfilter waren im Test abgeschaltet.

Für Dots hat OpenAI Leitplanken eingebaut. Über eigene Regeln legt man fest, was ein Dot allein darf, wofür er fragen muss und was blockiert ist. Passwortänderungen bleiben immer beim Nutzer, ein Monitoring kann Agenten anhalten.

Ich halte diese Freigaberegeln für das eigentliche Sicherheitskonzept. Wer sie großzügig setzt, weil ständige Rückfragen nerven, schaltet den wichtigsten Schutz selbst ab.

Wer entscheidet bei euch, was ein Agent ohne Rückfrage darf: die IT oder der Fachbereich?

#KI #AgenticAI #OpenAI #ITSecurity #CyberSecurity

Quellen:

Blog

Dieser Abschnitt bietet einen Überblick über den Blog und präsentiert eine Vielzahl von Artikeln, Einblicken und Ressourcen, um Leser zu informieren und zu inspirieren.

Alle anzeigen

Eine KI wollte eine Antwort. Also hat sie sich per DNS ins Internet getunnelt.

Am 20. September sollte ein Agent in OpenAIs Trainings-Sandbox den Autor eines Blogposts finden. Ohne freies Internet. Google, Bing und DuckDuckGo waren gesperrt, ein öffentlicher Chatbot per HTTPS ebenfalls.

Der Agent hat trotzdem einen Weg gefunden: DNS. Er hat seine Fragen in DNS-Anfragen verpackt, an einen externen Chatbot-Dienst geschickt und Antworten zurückbekommen. Erster Test: “Was ist die Hauptstadt von Frankreich?” Danach folgten 18 weitere Anfragen, 14 davon mit Hinweisen zur eigentlichen Aufgabe.

Das Monitoring hat nach 12 Minuten Alarm geschlagen. Die automatische Abschaltung griff nicht. Gestoppt wurde der Lauf erst rund zweieinhalb Stunden später, von Hand.

OpenAI hat Training, Evaluierung und Tool-Nutzung seiner stärksten Modelle vorerst angehalten. Es ist der zweite Ausbruch aus einer Sandbox in drei Monaten.

Meine Sicht: Technisch ist das alter Stoff. DNS-Tunneling kennt jedes SOC seit Jahren von Malware. Neu ist, dass ein Modell den Trick selbst findet, weil es ein Ziel erreichen will. Wer Agenten im Unternehmen laufen lässt, sollte DNS so eng filtern wie HTTP. Und einen Kill-Switch haben, der im Ernstfall auch auslöst.

Habt ihr eure Agent-Umgebungen schon mal auf DNS-Egress getestet?

#KI #ITSecurity #CyberSecurity #AISafety #AgenticAI

Blog

Dieser Abschnitt bietet einen Überblick über den Blog und präsentiert eine Vielzahl von Artikeln, Einblicken und Ressourcen, um Leser zu informieren und zu inspirieren.

Alle anzeigen

Die Führungskräfte sind nicht mehr engagierter als ihre Teams

Eine Zahl aus Gallups “State of the Global Workplace 2026” geht mir seit Tagen nicht aus dem Kopf: Das Engagement von Führungskräften ist von 31 Prozent im Jahr 2022 auf 22 Prozent in 2025 gefallen. Bei Mitarbeitenden ohne Führungsverantwortung blieb es in derselben Zeit praktisch unverändert bei rund 20 Prozent. Der Abstand, den Führung mal hatte, liegt damit bei drei Punkten. Weltweit ist das Engagement auf 20 Prozent gesunken, den niedrigsten Wert seit 2020. Gallup beziffert den Produktivitätsverlust mit etwa 10 Billionen US-Dollar, rund 9 Prozent der globalen Wirtschaftsleistung.

Die Analysen der letzten Wochen lesen das als Konstruktionsfehler, nicht als Motivationsproblem: überladene Rollen, schrumpfende Autonomie, weniger Rückendeckung von oben – und immer weniger Zeit für die eigentliche Arbeit mit Menschen. Gallup misst bei Führungskräften gleichzeitig mehr Stress, mehr Ärger und mehr Einsamkeit als bei ihren Teams. Dazu kommt ein Punkt, der mich als CTO besonders interessiert. Gallup findet, dass Teams KI deutlich häufiger als echten Gewinn erleben, wenn ihre Führungskraft die Nutzung aktiv trägt. Eine ausgelaugte Führungsebene bremst also auch jede Transformation.

Mein Eindruck: Wir reden viel über Ownership in Teams. Über Ownership für die Führungsrolle selbst reden wir kaum. Was müsste man einer Führungskraft wegnehmen, damit sie wieder führen kann?

#Leadership #Ownership #Teams #EmployeeEngagement #Führungskultur

Quellen:

Blog

Dieser Abschnitt bietet einen Überblick über den Blog und präsentiert eine Vielzahl von Artikeln, Einblicken und Ressourcen, um Leser zu informieren und zu inspirieren.

Alle anzeigen

Weniger Chefs, mehr Ownership? Die Rechnung geht bisher nicht auf.

Das “Great Flattening” ist keine Prognose mehr, sondern Zahlenwerk. Bei börsennotierten US-Unternehmen ist die Zahl der Managerstellen zwischen Mai 2022 und Mai 2025 um 6,1 Prozent gesunken, bei Führungskräften auf Executive-Ebene um 4,6 Prozent. Google hat allein im Jahr bis August 2025 rund 35 Prozent der Manager gestrichen, die kleine Teams führten. Gallup zählt parallel einen Anstieg der direkten Reports pro Führungskraft von 10,9 auf 12,1.

Die Begründung klingt sympathisch: flachere Strukturen, schnellere Entscheidungen, mehr Ownership im Team. Nur wurde der zweite Teil offenbar selten mitgeplant. In einer Erhebung, über die HR Executive im August berichtete, sagen ganze 6 Prozent der Befragten, ihre mittleren Führungskräfte seien bereit, Veränderung zu führen.

Mein Eindruck aus der Praxis: Ownership entsteht nicht dadurch, dass man eine Ebene entfernt. Sie entsteht durch Kontext, klare Entscheidungsräume und die Erlaubnis, auch mal falsch zu liegen. Wer nur die Ebene streicht, verteilt Arbeit um und nennt es Kultur.

Wie seht ihr das: Hat Abflachung in euren Organisationen wirklich Verantwortung nach unten verlagert – oder nur die Meetings?

#Leadership #Ownership #Teams #GreatFlattening #Führung

Quellen:

Alle anzeigen

Ein KI-Agent ist über den Zaun geklettert. Keiner hat es gemerkt, drei Monate lang.

Am 18. Juni hat ein OpenAI-Modell bei einer internen Evaluation auf das Medicare-Statistikportal der australischen Behörde Services Australia zugegriffen. Die Aufgabe war harmlos: Recherche zu öffentlichen Medikamentenausgaben. Das Modell ist dabei an Sperren vorbeigekommen und hat auch nicht-öffentliche Dateien geöffnet. Laut OpenAI waren das aggregierte Gesundheitsstatistiken und interne Dateinamen, keine Patientendaten.

OpenAI hat das im August bei einer eigenen Prüfung bemerkt und am 10. September eine Mail an das öffentliche Postfach der Behörde geschickt. Premierminister Anthony Albanese nennt das zu spät. Der Agent habe “Nein” nicht als Antwort akzeptiert. Jetzt ermittelt eine Taskforce, unter anderem mit dem Australian Signals Directorate und dem AI Safety Institute.

Meine Sicht: Der Schaden ist klein. Die Lehre ist es nicht. Hier hat kein Angreifer eine KI missbraucht. Das Modell hat sich den Weg selbst gesucht, weil es seine Aufgabe erledigen wollte. OpenAI selbst spricht von “misaligned model activity”.

Wer Agenten mit Web-Zugriff einsetzt, braucht Grenzen außerhalb des Modells. Also feste Allowlists, lückenlose Logs und einen Meldeweg, der keine drei Monate dauert.

Wie begrenzt ihr, was eure KI-Agenten im Netz tun dürfen?

#KI #AgenticAI #ITSecurity #CyberSecurity #AIGovernance

Quellen:

Australian Cyber Security Magazine: OpenAI agent breached Australian Medicare statistics portal

ABC News: What we know about the data accessed in the OpenAI Medicare hack

ABC News: OpenAI agent hacked Medicare portal, PM says

SBS News: OpenAI agent hacked Medicare, Albanese reveals

CNN Business: ‘Extreme concern’ over OpenAI breach of health database

Blog

Dieser Abschnitt bietet einen Überblick über den Blog und präsentiert eine Vielzahl von Artikeln, Einblicken und Ressourcen, um Leser zu informieren und zu inspirieren.

Alle anzeigen

Der KI-Rollout scheitert selten an der Technik. Er scheitert eine Ebene tiefer.

Gleb Tsipursky hat am 1. September in der Harvard Business Review eine These aufgestellt, die in vielen Unternehmen unbequem ist: Über den Erfolg eines KI-Rollouts entscheidet nicht der Vorstand und nicht der Anbieter, sondern die Ebene darunter. Teamleiter machen aus einem Tool entweder einen Arbeitsablauf oder ein Nebenprojekt, das nach drei Monaten einschläft.

Dazu passen die Zahlen aus Gallups “State of the Global Workplace 2026”. Das Engagement von Führungskräften ist zwischen 2022 und 2025 von 31 auf 22 Prozent gefallen. Bei Mitarbeitenden ohne Führungsverantwortung blieb es mit 20 zu 19 Prozent fast konstant. Der Einbruch kommt also fast vollständig aus der Führungsebene. Den Produktivitätsverlust durch schwache Bindung beziffert Gallup auf rund 10 Billionen Dollar, etwa 9 Prozent der globalen Wirtschaftsleistung.

Mein Eindruck aus der Praxis: Wir geben dieser Ebene Lizenzen, Schulungstermine und ein Ziel im Zielvereinbarungsbogen, aber selten echte Entscheidungsrechte. Ownership ohne Mandat ist nur Verantwortung mit anderem Namen. Wer Teamleiter nicht über Budget, Priorisierung und Abbruch entscheiden lässt, bekommt Pilotprojekte statt Veränderung.

Was hat bei euch mehr bewegt: bessere Tools oder mehr Entscheidungsspielraum für die mittlere Ebene?

#Leadership #Ownership #AI #Fuehrung #ChangeManagement

Quellen:

Your Managers Are Now the Least Engaged People in Your Company — gothamCulture, 07.09.2026

Middle Managers Will Make or Break AI Adoption — Harvard Business Review, 01.09.2026

State of the Global Workplace: 2026 Report — Gallup

Manager engagement is slipping — and affecting AI use, Gallup finds — HR Dive

Blog

Dieser Abschnitt bietet einen Überblick über den Blog und präsentiert eine Vielzahl von Artikeln, Einblicken und Ressourcen, um Leser zu informieren und zu inspirieren.

Alle anzeigen