Luxusmarken beschleunigen KI-Einführung, während Sicherheitsrisiken zunehmen

Luxushäuser investieren massiv in künstliche Intelligenz, genau in dem Moment, in dem KI-gestützte Cyberangriffe die Zeit zwischen der Offenlegung einer Schwachstelle und ihrer Ausnutzung auf Stunden verkürzen. Eine Umfrage von Bain & Co. aus dem Jahr 2026 unter 35 Führungskräften aus 23 Luxusgruppen ergab, dass 22 % die KI-Einführung nun zu ihren drei wichtigsten strategischen Prioritäten zählen, ein Sprung von 5 % im Vergleich zu zwei Jahren zuvor, während 61 % sie unter die Top Ten einordnen. Der Investitionsschub zielt darauf ab, die betriebliche Effizienz und das Wachstum nach einer fragilen Erholung der Nachfrage wiederzubeleben, aber Sicherheitsexperten warnen, dass der Eifer, konsumnahe und interne KI-Tools einzuführen, Türen öffnet, die Kriminelle zunehmend auszunutzen lernen.

Die Branche hat bereits eine Reihe hochkarätiger Datenschutzverletzungen hinnehmen müssen. Im Jahr 2025 stahlen Hacker die privaten Daten von potenziell Millionen von Kunden von Gucci, Balenciaga und Alexander McQueen bei einem Angriff auf ihr französisches Mutterunternehmen Kering, das den Vorfall den Datenschutzbehörden meldete. Dior, Harrods und Marks & Spencer wurden im selben Zeitraum ebenfalls getroffen. Diese Einbrüche beruhten auf konventionellen Taktiken, aber die nächste Welle wird durch genau die Technologie beschleunigt, die Luxusunternehmen gerade einführen.

Kriminelle machen KI an gezielten Punkten zur Waffe

Cynthia Kaiser, Senior Vice President bei dem Anti-Ransomware-Unternehmen Halcyon und ehemalige stellvertretende Direktorin für Cyberangelegenheiten beim FBI, sagt, dass etablierte kriminelle Gruppen nicht ihre gesamten Operationen an autonome KI-Agenten übergeben. Stattdessen setzen sie die Technologie an bestimmten Stellen ein: Sie gestalten überzeugendere Köder für Phishing, automatisieren Social-Engineering-Skripte und suchen schneller nach Schwachstellen, als es menschliche Akteure könnten. „Sie nutzen KI für Angriffe an wirklich gezielten Punkten“, sagt sie. Das Zeitfenster zwischen der Veröffentlichung einer Sicherheitslücke und ihrer Ausnutzung durch Kriminelle hat sich dramatisch verkürzt, und Ransomware-Kampagnen können nun in nur einer Stunde ablaufen.

Kari Koskinen, Senior University Lecturer an der Aalto University School of Business, zieht eine Unterscheidung, die viele Vorstände noch verinnerlichen müssen. Die KI-Sicherheit (Safety) fragt, ob sich ein System unter normalen Bedingungen wie erwartet verhält; die KI-Sicherheit (Security) fragt, ob es vorsätzlicher Manipulation, unbefugten Zugriffsversuchen oder einer Wendung gegen seinen Betreiber standhalten kann. Für Marken bedeutet dies, genau zu entscheiden, welche Tools jedes Modell aufrufen darf, welche Aktionen es ausführen darf und wie schnell diese Berechtigungen widerrufen werden können, wenn etwas schiefgeht.

EU AI Act formt die Landschaft der Haftung

Charles Kerrigan, Partner bei der Kanzlei CMS, der sich auf aufkommende Technologien spezialisiert hat, sagt, dass die Haftung für KI-Schäden typischerweise in drei Kategorien fällt. Die vertragliche Haftung regelt die Beziehung zwischen einem Modehaus und seinen Technologieanbietern. Die Dritthaftung deckt Schäden von Personen oder Einheiten ohne vertragliche Verbindung ab, wobei Gerichte die Vorhersehbarkeit abwägen werden. Die regulatorische Haftung ergibt sich aus dem EU AI Act, Cybersicherheitsrichtlinien und dem Datenschutzrecht. Die umstrittensten Fälle, so Kerrigan, werden Drittschäden ohne bestehenden Vertrag betreffen.

Für Luxusunternehmen, die Allzweckmodelle kaufen, anstatt eigene zu trainieren, bietet der AI Act ein gewisses Maß an Klarheit. Die Gesetzgebung stützt sich auf Produktsicherheitsprinzipien und „drängt die Verantwortung bewusst auf die Modellanbieter“, erklärt Kerrigan, da Anbieter wie OpenAI, Anthropic oder Google über das Fachwissen verfügen, ihre eigenen Systeme zu bewerten. Das gewährt den nachgelagerten Nutzern jedoch keinen pauschalen Schutz. Ein Fehler kann auf schlechte proprietäre Daten zurückzuführen sein, die vom Modehaus bereitgestellt wurden, oder auf den Einsatz eines Modells für eine Aufgabe, für die es nie konzipiert war.

Kerrigan fügt hinzu, dass multinationale Gruppen mit beträchtlichen EU-Geschäften den AI Act wahrscheinlich als globale Compliance-Basis übernehmen und seine Standards über alle Rechtsgebiete hinweg anwenden werden, um die Aufsicht zu vereinfachen. Die Europäische Kommission hat signalisiert, dass eine einheitliche Durchsetzung in den Mitgliedsstaaten Priorität haben wird, sobald die Hauptbestimmungen des Gesetzes voll wirksam werden.

Vestiaire Collective regelt den Zugriffsumfang

Bei der Gebrauchtwarenplattform Vestiaire Collective hat der Technologievorstand Rémi Bouchez das Prinzip der geringsten Berechtigung für jede KI-Einführung umgesetzt. Werkzeuge sind auf Informationen beschränkt, die der jeweilige Mitarbeiter oder das System bereits sehen durfte. „Das Ziel ist kein breiter Zugriff“, sagt er. „Es geht darum, nützliche, gut abgegrenzte Anwendungsfälle zu ermöglichen und dabei die gleichen Standards einzuhalten, die wir von jedem anderen System erwarten.“ Bouchez trennt die Erlaubnis eines Agenten, Daten zu lesen, von seiner Fähigkeit, folgenreiche Aktionen auszuführen, wie eine Bestellung aufzugeben, einen Preis zu ändern oder ein Produkt zu versenden. Zudem behandelt er jeden Drittanbieter-Connector als zusätzlichen Gefährdungspunkt: mehr Datenverkehr, mehr Zugangsdaten, mehr Anbieterabhängigkeit, mehr potenzielle Fehlerquellen.

Sicherheitsteams müssen früher einen Platz am Tisch bekommen

Kaiser argumentiert, dass Chief Information Security Officers routinemäßig zu spät in KI-Projekte eingebunden werden, nachdem architektonische Entscheidungen das Risiko bereits festgeschrieben haben. Eine frühe Einbindung erzwingt explizite Abwägungen zwischen Funktionalität und Sicherheit, bevor Code in die Produktion geht. „Man muss die Sicherheit einfach von Tag an am Tisch haben“, sagt sie. Grundlegende Hygiene bleibt das Fundament: rechtzeitiges Patchen, starke Authentifizierung, Netzwerksegmentierung und kontinuierliche Überwachung auf anomales Verhalten. Ironischerweise erfordert die Verteidigung gegen KI-beschleunigte Angriffe auch KI, nämlich Sicherheitswerkzeuge, die mit Maschinengeschwindigkeit arbeiten können, um Einbrüche zu erkennen und einzudämmen, bevor sie sich ausbreiten.