Wir bauen heute in drei Monaten, wofür wir früher drei Jahre gebraucht haben. Genau da beginnt der schwierige Teil.

In diesem Jahr hat sich etwas in unserem Entwicklungsteam verändert, und ich gewöhne mich noch daran. In den vergangenen drei Monaten hat eine Handvoll Menschen bei Guardian360 unsere Lighthouse-Plattform neu aufgebaut und um mehr neue Funktionalität erweitert, als wir früher in über drei Jahren ausgeliefert haben. Wir haben kein größeres Team eingestellt und kein größeres Budget gefunden. KI-gestützte Softwareentwicklung hat schlicht die Beschränkung beseitigt, die jede Roadmap-Entscheidung geprägt hat, die wir je getroffen haben: einen Mangel an Menschen und Werkzeugen.

Das klingt nach einer guten Nachricht, und zum großen Teil ist es das auch. Doch es hat eine neue Beschränkung sichtbar gemacht, und zwar nicht dort, wo ich sie erwartet hätte. Wenn das Bauen nicht länger knapp ist, ist es die Umsetzung. Unsere Partner, die Managed Service Provider (MSPs), die unsere Cybersecurity-Plattform an ihre Kunden ausliefern, können neue Funktionalität nicht in dem Tempo aufnehmen, in dem wir sie heute produzieren können. Und zwei weitere Fragen beschäftigen mich. Ist so schnell gebaute Software tatsächlich sicher? Und könnte mehr Funktionalität die Einfachheit untergraben, die uns immer ausgezeichnet hat?

Was ändert sich, wenn das Bauen nicht länger der Engpass ist?

Während des größten Teils der Geschichte von Guardian360 war unsere Roadmap eine Liste von Dingen, die wir bauen wollten, geordnet danach, was wir uns zu bauen leisten konnten. Partner baten jahrelang um bestimmte Funktionen, und viele von ihnen mussten warten.

Heute arbeiten unsere Entwickler Seite an Seite mit KI für Codegenerierung, Tests und Dokumentation. Wir haben mit Claude begonnen, dem Modell von Anthropic, und verlagern diese Arbeit zunehmend auf Hermes. Hermes ist kein Modell, sondern eine Schicht, die wir selbst gebaut haben. Sie nutzt quelloffene große Sprachmodelle, um das zu betreiben, was wir ein Unternehmensgehirn nennen, und sie ermöglicht die KI-Agenten, die uns bei einer breiten Palette von Aufgaben helfen. Hermes und die quelloffenen Modelle, die es nutzt, laufen in unserem eigenen Servercluster in den Niederlanden, und das ist ebenso eine Frage des Prinzips wie der Zweckmäßigkeit. Claude hatte nie Zugriff auf Kundendaten auf unserer Plattform, denn unsere Partnervereinbarungen erlauben nicht, dass diese Daten die EU verlassen. Mehr von unserer Arbeit auf eine Infrastruktur zu verlagern, die wir selbst kontrollieren, folgt derselben Logik.

Wir sind alles andere als eine Ausnahme. Laut Veracodes 2026 GenAI Code Security Report generiert KI inzwischen etwa die Hälfte des gesamten eingecheckten Codes. Die Frage ist nicht länger, ob Softwareteams KI einsetzen, sondern was als Nächstes geschieht.

Ist mit KI gebaute Software tatsächlich sicher?

Das ist die Sorge, die ich am ernstesten nehme, und ich vermute, es ist die erste Frage, die sich viele Leserinnen und Leser stellen werden. Die Forschung gibt wenig Anlass zur Beruhigung. Veracode stellte fest, dass rund 44 Prozent der KI-Codegenerierungsaufgaben eine riskante Schwachstelle einführten, bei einer durchschnittlichen Sicherheits-Bestehensquote von 56 Prozent, kaum verändert gegenüber den 55 Prozent im ersten Report. IOActives Studie vom April 2026 analysierte fast 20.000 Codebeispiele und stellte fest, dass 31,6 Prozent der KI-generierten Beispiele vollständig ausnutzbar waren; kein Modell lieferte durchgängig sicheren Output.

Was mich noch mehr beunruhigt, ist die Kluft zwischen Wahrnehmung und Wirklichkeit. Die Cloud Security Alliance berichtet, dass in einer Umfrage über 75 Prozent der Entwickler glaubten, KI-generierter Code sei sicherer als von Menschen geschriebener Code, während 56 Prozent einräumten, dass er häufig Sicherheitsprobleme einführt. Geschwindigkeit fühlt sich wie Kompetenz an. Das ist sie nicht.

IOActives Fazit lautet, dass Organisationen KI-Output als nicht vertrauenswürdige Eingabe behandeln und vor dem Deployment eine verpflichtende Sicherheitsprüfung durchsetzen müssen. Genau so arbeiten wir: KI darf den Code schreiben, aber jede Änderung wird von einem Menschen geprüft, der sie versteht, bevor sie in die Produktion gelangt. Wir gehen jetzt einen Schritt weiter, indem wir unser eigenes KI-Pentesting auf uns selbst richten, einschließlich einer Crystal-Box-Analyse unseres eigenen Quellcodes, bei der die Test-Agenten vollen Zugriff auf den Code haben. Wir führen diese Analyse mit mehreren verschiedenen Modellen durch, damit die blinden Flecken eines Modells weniger wahrscheinlich unbemerkt bleiben.

Dasselbe Prinzip prägt das KI-Pentesting, das wir unseren Partnern bringen, bei dem die KI den Test durchführt und der Berater des Partners ihn unterschreibt. Entwickler scheinen diesen Instinkt zu teilen. In Stack Overflows 2026 Developer Survey gab fast die Hälfte der Befragten an, KI-Output zu vertrauen, wenn sie ihn überprüfen können, während nur 6,6 Prozent einer KI eine wichtige Entscheidung anvertrauen würden.

Warum bedeuten mehr Funktionen nicht automatisch mehr Wert?

Die zweite Sorge ist weniger technisch, aber ebenso real. No Jitter beschrieb kürzlich eine “Feature-Flut” in Kommunikationssoftware, bei der Anbieter jedes Jahr Hunderte neuer Funktionen veröffentlichen, während die Nutzung hinterherhinkt. Pendos Benchmarks legen nahe, dass rund 80 Prozent der gebauten Funktionen nie eine nennenswerte Nutzung erreichen und dass 6,4 Prozent der Funktionen 80 Prozent aller Klicks erzeugen. Dieses Muster gab es schon lange vor KI. KI macht es nur billiger, es zu wiederholen.

Guardian360 hat immer versucht, eine Plattform anzubieten, die ein MSP einem Vorstandsmitglied in wenigen Minuten erklären kann. Jede Funktion, die wir hinzufügen, macht das schwieriger. Die Kosten, eine Funktion zu bauen, sind zusammengebrochen; die Kosten, sie zu verstehen, nicht.

Unsere Partner tragen bereits reichlich Komplexität. Eine Untersuchung von CRN, veröffentlicht vom Sicherheitsanbieter Coro, ergab, dass MSPs zwischen 6 und 20 oder mehr Anbieter verwalten, um Sicherheitsdienste zu liefern, die Integration zwischen diesen Werkzeugen mit nur 6,2 von 10 bewerten und dass nur 7 Prozent mit dem Return ihrer Sicherheitswerkzeuge zufrieden sind. Das Letzte, was sie von uns brauchen, ist eine weitere Schicht Komplexität, so gut gemeint sie auch sein mag.

Wohin hat sich der Engpass verschoben?

Googles DORA-Forschung bietet eine nützliche Perspektive. Ihr Report 2025 stellte zum ersten Mal einen positiven Zusammenhang zwischen KI-Einführung und Lieferdurchsatz fest, doch die KI-Einführung korrelierte weiterhin mit geringerer Lieferstabilität: mehr fehlgeschlagene Änderungen, mehr Nacharbeit und längere Wiederherstellung. DORA kam außerdem zu dem Schluss, dass KI dazu neigt, bestehende organisatorische Eigenschaften zu spiegeln und zu verstärken, im Guten wie im Schlechten.

Ich würde diese Beobachtung über das Entwicklungsteam hinaus ausdehnen. Eine Funktion schafft erst dann Wert, wenn ein Partner sie versteht, sie konfiguriert, sie einem Kunden erklärt und einen Dienst darum herum aufbaut. Diese Kette läuft im menschlichen Tempo. KI beschleunigt das erste Glied und lässt den Rest unberührt, was bedeutet, dass sich die Warteschlange einfach stromabwärts verschiebt, zu unseren Partnern und ihren Kunden.

Stack Overflows Umfrage weist in dieselbe Richtung: Menschen vertrauen dem, was sie überprüfen können. Ein Partner, der eine Funktion nie hat funktionieren sehen, kann sie nicht überprüfen, kann sie nicht erklären und wird sie nicht verkaufen.

Sollten wir einfach langsamer werden?

Einige Partner würden genau das argumentieren: eine Weile anhalten, stabilisieren, uns aufholen lassen. Das ist ein berechtigtes Argument, und ich stimme ihm teilweise zu. Ein Anbieter, der schneller veröffentlicht, als sein Kanal folgen kann, optimiert für seine eigene Zufriedenheit, nicht für seine Partner.

Doch künstlich langsamer zu werden würde eine Chance verschenken, die kleine europäische Anbieter selten bekommen. Die Antwort liegt, so glaube ich, in Disziplin statt im Bremsen. Das bedeutet zu entscheiden, was nicht ausgeliefert wird, Einfachheit als Design-Anforderung statt als nachträglichen Gedanken zu behandeln und Partner einzubeziehen, bevor eine Funktion fertig ist, statt danach.

Ein Teil dieser Disziplin ist in die Plattform selbst eingebaut. Wir führen Workspaces ein: Statt jede Funktion auf einem Bildschirm darzustellen, gruppieren wir Funktionalität nach Aufgabe, sodass ein Partner nur das sieht, was die anstehende Arbeit erfordert. Die KI-gesteuerte Oberfläche treibt dies weiter. Seiten, Reports und Navigation werden zu Definitionen statt zu Code, und ein Agent baut die Ansicht, um die ein Nutzer bittet, innerhalb der Grenzen seiner Rolle. Das ist kein Konzept mehr. Wir werden es am 3. November in Betrieb zeigen, und wir wünschen uns ehrliches Feedback von unseren Partnern, ob es ihnen tatsächlich hilft.

Es gibt einen zweiten Weg, Komplexität niedrig zu halten: die Plattform mehr von der Arbeit übernehmen zu lassen. Heute sagt Lighthouse Ihnen, was verbessert werden könnte. In Zukunft wird es das auch beheben, dort, wo der Partner und sein Kunde es zulassen. Jede Aufgabe, die die Plattform übernimmt, ist eine Aufgabe, die ein Partner nicht länger lernen, erklären oder einplanen muss.

Warum wir die Türen des Kontrollraums öffnen

Das Logo von Guardian360 enthält einen Leuchtturm, und die Metapher hat sich nie treffender angefühlt. Ein Leuchtturm ist nur dann nützlich, wenn sein Licht die Küste erreicht. Wir können das hellste Licht der Welt bauen, aber unsere Partner sind diejenigen, die es zu ihren Kunden tragen.

Deshalb veranstalten wir “Ein Blick aus dem Kontrollraum” am Dienstag, den 3. November 2026, von 09:30 bis 13:00 Uhr im Van der Valk Hotel in Woerden. Wir werden zeigen, was wir gebaut haben, live statt auf Folien, und einen ersten Einblick geben, was Guardian360 2027 liefert. Die Teilnahme ist kostenlos, es gibt Platz für etwa 50 Gäste, und die Anmeldung ist bis zum 30. Oktober geöffnet. Mehr als die Demonstrationen schätze ich das Gespräch. Ich höre lieber am 3. November, dass etwas zu komplex ist, als es ein Jahr später in Nutzungszahlen zu entdecken.

Was ist nun Ihre Beschränkung?

Wenn das Bauen auch für Sie nicht länger Ihre Beschränkung ist, und für viele MSPs liegt dieser Moment näher, als es scheint, was ist es dann? Für uns ist die Antwort klar. Wenn das Bauen nicht länger knapp ist, ist es die Umsetzung. Genau da beginnt der schwierige Teil, und es ist Arbeit, die wir nur gemeinsam mit unseren Partnern leisten können.

Quellen

• Veracode: 2026 GenAI Code Security Report: AI Is Writing More of Your Code but Security Hasn’t Caught Up (July 2026)
• IOActive: The Security Gap in AI-Generated Code (April 2026)
• Cloud Security Alliance: Vibe Coding Security Debt: AI-Generated Vulnerabilities at Scale (April 2026)
• IT Brief UK: Stack Overflow survey finds developers wary of AI tools (October 2026)
• Google Cloud / DORA: Announcing the 2025 DORA report: State of AI-assisted Software Development
• No Jitter: Vendors ship thousands of features, users adopt dozens (July 2026)
• Coro / CRN: Your Tool Stack Is Eating Your Margins (August 2026)
• Guardian360: A view from the control room, event 3 November 2026