KI-Systeme sind fester Bestandteil unternehmenskritischer Prozesse geworden. Ihre Absicherung gegen sich wandelnde Bedrohungen ist keine Option mehr, sondern die neue Grundlinie unternehmerischer Sorgfaltspflicht.
Die KI-Sicherheitslandschaft 2026
Künstliche Intelligenz hat sich in weniger als drei Jahren vom experimentellen Nebenprojekt zur tragenden Infrastruktur entwickelt. Der Service-Chatbot, der einst zwanzig Anfragen am Tag bearbeitete, vermittelt heute Tausende vertraglich relevanter Interaktionen pro Stunde. Das Forecast-Modell, das einmal die Lagerbestände des nächsten Quartals vorgeschlagen hat, ist stillschweigend zu dem System geworden, das automatisierte Bestellungen auslöst. Das Analysetool, das Kundenfeedback zusammenfasste, formuliert mittlerweile ausgehende Kommunikation. Jede dieser Verschiebungen wirkt für sich genommen inkrementell — gemeinsam beschreiben sie aber einen Strukturwandel: KI-Systeme sind keine beratenden Werkzeuge mehr, sie sind entscheidungsfähige Organe des modernen Unternehmens.
Dieser Strukturwandel hat Konsequenzen, die das klassische Sicherheitsdenken nicht aufzufangen vermag. Eine traditionelle Anwendung hat ein vergleichsweise statisches Verhaltensprofil: ihre Eingaben sind eingegrenzt, ihre Ausgaben vorhersehbar, ihre Fehlerbilder gut verstanden. Ein KI-System ist dagegen statistisch in seiner Natur — es liefert Ausgaben, die in der Verteilung korrekt sind statt absolut korrekt, und derselbe Input kann an verschiedenen Tagen verschiedene Antworten liefern, weil das Modell neu trainiert, feinjustiert oder neu komponiert wurde. Ein solches System abzusichern erfordert eine ebenso dynamische Sicherheitsposition: eine, die Verhalten beobachtet statt nur Konfiguration, und die jedes Deployment als lebendes Artefakt behandelt statt als eingefrorenes Binary.
Warum klassische Security nicht ausreicht
Klassische Cybersicherheit ist im Kern eine Disziplin der Perimeter- und Zugriffskontrolle. Sie nimmt an, dass Daten an bekannten Orten liegen, dass Infrastruktur beschreibbare Grenzen hat und dass ein hinreichend entschlossener Verteidiger jede Angriffsfläche aufzählen und härten kann. KI bricht jede dieser Annahmen. Sensible Daten fließen durch Trainingspipelines und Embedding-Stores auf Wegen, die schwer zu inventarisieren sind. Modellgewichte sind selbst eine Form komprimierten Unternehmenswissens, das exfiltriert oder invertiert werden kann. Die Entscheidungsgrenze eines deployten Modells ist ein bewegliches Ziel, das in keinem Architekturdiagramm sauber dokumentiert ist.
Das Ergebnis: Eine Organisation kann ISO 27001-konform, vollständig gepatcht und extern penetration-getestet sein und gleichzeitig auf der KI-Ebene komplett offen liegen. Die Firewall sieht Prompt Injection nicht. Der Endpoint-Agent erkennt keinen vergifteten Trainingsdatensatz. Das SIEM markiert kein Modell, das beginnt, voller Selbstvertrauen verzerrte Empfehlungen abzugeben, weil seine Retraining-Daten gedriftet sind. KI-Sicherheit ist kein Ersatz für klassische Sicherheit — sie ist eine Schicht darüber, die Fehlermodi adressiert, für die konventionelle Kontrollen nie ausgelegt waren.
Die Bedrohungen, die wirklich zählen
Unter den vielen adversarialen Techniken, die in der Literatur diskutiert werden, machen vier Kategorien die überwältigende Mehrheit der real beobachteten Vorfälle 2026 aus. Sie als zusammenhängenden Text zu verstehen statt als Stichpunktliste, ist der erste sinnvolle Schritt zur Verteidigung.
Datenvergiftung (Data Poisoning) ist der Angriff in Zeitlupe. Ein Angreifer, der einen Bruchteil Ihrer Trainingsdaten beeinflussen kann — über einen kompromittierten Lieferanten, einen öffentlichen Datensatz, den Sie ungeprüft einbinden, oder einen Insider mit Zugang zur Labelling-Pipeline — kann statistische Muster einpflanzen, die das resultierende Modell lernt und reproduziert. Das vergiftete Modell verhält sich auf neunundneunzig Prozent der Eingaben vollkommen normal. Es ist das sorgfältig gewählte eine Prozent, ausgelöst durch eine bestimmte Phrase oder ein bestimmtes Merkmal, das die Nutzlast des Angreifers liefert: eine Fehlklassifikation, ein durchgesickertes Geheimnis, eine verzerrte Entscheidung zugunsten einer bestimmten Partei. Da die Angriffsfläche der Datensatz ist und nicht das laufende System, sieht klassische Intrusion Detection nichts.
Modellinversion und Membership-Inference machen das Modell selbst zum Orakel über seine Trainingsdaten. Indem ein Angreifer ein deploytes System gezielt abfragt und die Muster der Antworten beobachtet, lassen sich Fragmente der Daten rekonstruieren, auf denen das Modell trainiert wurde — einschließlich personenbezogener Identifikatoren, vertraulicher Dokumente oder sensibler Kundendaten, die eigentlich innerhalb der Trainingsumgebung bleiben sollten. Besonders heikel ist das für Organisationen, die große Sprachmodelle auf internen Korpora feinjustieren; die Annahme, „die Daten bleiben im Modell", erweist sich als optimistisch.
Adversarial Examples sind Eingaben, die für menschliche Prüfer unauffällig aussehen, von einem Modell aber katastrophal fehlinterpretiert werden. Ein Aufkleber auf einem Stoppschild, der ein autonomes Fahrzeug eine Geschwindigkeitsbegrenzung erkennen lässt. Eine Handvoll nicht wahrnehmbarer Pixel, die einen Betrugsklassifikator in einen erlaubenden verwandeln. Ein subtil umformuliertes Dokument, das einen Content-Moderation-Filter umgeht. Die mathematische Struktur neuronaler Netze macht solche Angriffe nicht nur möglich, sondern in vielen Fällen kostengünstig auffindbar.
Prompt Injection, die jüngste der vier, ist mittlerweile die am weitesten verbreitete Bedrohung gegen sprachmodellbasierte Systeme. Ein Angreifer bettet Anweisungen in Inhalte ein, die das Modell später verarbeiten wird — eine Webseite, eine E-Mail, ein Support-Ticket, ein an einen Chat angehängtes Dokument — und diese Anweisungen kapern das Verhalten des Modells: Es offenbart Daten, ruft angebundene Werkzeuge ungewollt auf oder erzeugt Ausgaben, die der Betreiber nie beabsichtigt hat. Da Prompt Injection in natürlicher Sprache lebt, lässt sie sich nicht mit denselben Techniken filtern, die gegen SQL-Injection oder XSS funktionieren — und die Grenze zwischen Daten und Anweisungen, in klassischer Software so klar, ist in einem LLM strukturell verwischt.
Aufbau einer KI-Sicherheitsstrategie
Ein belastbares KI-Sicherheitsprogramm ruht auf vier Praktiken, die nur zusammen funktionieren. Die erste ist eine ehrliche Risikobewertung. Bevor Kontrollen entworfen werden, braucht eine Organisation ein Inventar jedes KI-Systems, das produktiv oder im Pilotbetrieb läuft — einschließlich der Schatten-Systeme, die einzelne Teams ohne Information der zentralen Funktion aufgesetzt haben. Jedes System ist nicht abstrakt, sondern in seinem operativen Kontext zu bewerten: welche Daten berührt es, welche Entscheidungen beeinflusst es, wer würde geschädigt, wenn es ausfällt, und unter welchem regulatorischen Regime stehen seine Ergebnisse. Risiko, das nicht bewertet wird, kann nicht gesteuert werden, und Risiko, das nur beim Deployment bewertet wird, ist Risiko, das man driften lässt.
Die zweite Praxis ist Datenschutz, der den KI-spezifischen Lebenszyklus anerkennt. Verschlüsselung ruhender und bewegter Daten bleibt notwendig, ist aber nicht mehr hinreichend. Trainingsdatensätze brauchen Provenance-Tracking, damit bei einem entdeckten Poisoning-Vorfall die betroffenen Modelle identifiziert und neu trainiert werden können. Zugriffe auf Feature-Stores und Embedding-Datenbanken sind mit derselben Strenge zu loggen wie Zugriffe auf Produktionsdatenbanken, denn diese Artefakte enthalten heute das vom Modell komprimierte Unternehmenswissen. Datenpipelines, die Retraining speisen, müssen Integritätskontrollen unterliegen, weil die Kosten, einen Poisoning-Versuch vor dem Deployment zu entdecken, ein Bruchteil dessen sind, was die Entdeckung danach kostet.
Die dritte Praxis ist Modellsicherheit im operativen Sinn: das Modell als laufendes Asset schützen, nicht als statische Datei. Das heißt steuern, wer Gewichte deployen, modifizieren oder abrufen darf; Eingaben am Anwendungsrand validieren und bereinigen; Ausgaben auf jene Anomalien überwachen, die auf adversariales Verhalten, Verteilungsdrift oder stilles Versagen hindeuten; und adversariales Testen als Routinebestandteil des Release-Prozesses zu führen, nicht als einmalige Übung vor dem Launch.
Die vierte Praxis ist die regulatorische Ausrichtung, die 2026 selbst für Organisationen nicht mehr optional ist, die sich nicht als reguliert betrachten. Der EU AI Act greift extraterritorial auf Systeme, deren Output innerhalb der Union genutzt wird. Die DSGVO gilt weiterhin, sobald personenbezogene Daten durch Training, Feinjustierung oder Inferenz fließen. Sektorspezifische Regime — Finanzdienstleistung, Gesundheitswesen, Beschäftigung — legen ihre eigenen Anforderungen darüber. Compliance als nachgelagerte Aufgabe zu behandeln, produziert verlässlich Architekturen, die später zu deutlich höheren Kosten umgebaut werden müssen.
Wie reife Praxis aussieht
Organisationen, die KI-Sicherheit gut beherrschen, teilen eine kleine Zahl kultureller und prozeduraler Merkmale, die sich konkret beschreiben lassen. Sie behandeln Defense-in-Depth nicht als Schlagwort, sondern als architektonisches Bekenntnis: Eingabevalidierung auf Anwendungsebene, Verhaltensüberwachung auf Modellebene, Output-Filterung auf Antwortebene und ein Incident-Response-Plan, der konkrete Personen und konkrete Entscheidungen benennt. Sie erhalten menschliche Aufsicht für Entscheidungen mit asymmetrischem Schadenspotenzial — Kreditverweigerung, Bewerberablehnung, medizinische Triage — und dokumentieren, unter welchen Kriterien eine menschliche Prüfung verpflichtend statt fakultativ ist. Sie auditieren in einer Frequenz, die der Veränderungsrate ihrer Systeme entspricht — bei einem aktiv weiterentwickelten KI-Produkt also mindestens vierteljährlich und bei jedem materiellen Retraining-Ereignis. Und sie investieren in Schulung der Menschen, die mit diesen Systemen interagieren, weil die sozialen und prozeduralen Fehlerbilder — eine Entwicklerin, die vertraulichen Code in ein öffentliches LLM kopiert, ein Support-Mitarbeiter, der auf eine halluzinierte Antwort handelt — mindestens so häufig sind wie die technischen.
Der wirtschaftliche Fall
Das finanzielle Argument für KI-Sicherheit ist nicht mehr spekulativ. Ein materieller AI-Act-Verstoß zieht Bußgelder von bis zu fünfunddreißig Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes nach sich, je nachdem, was höher ist; die DSGVO-Obergrenzen gelten für Datenschutzversagen unabhängig davon weiter. Jenseits der Bußgelder ist der Reputationsschaden eines KI-Vorfalls empirisch unverhältnismäßig zur technischen Tiefe gewesen: ein einziger öffentlich gewordener Fall verzerrter Outputs, durchgesickerter Trainingsdaten oder halluzinierter Kundenkommunikation hat in mehreren dokumentierten Fällen Kundenabwanderung erzeugt, die die Kosten jahrelanger Präventionsinvestitionen überstieg. Umgekehrt erleben Organisationen, die KI-spezifische Sicherheit und Governance glaubwürdig nachweisen können, diesen Nachweis zunehmend als Voraussetzung im Enterprise-Vertrieb — besonders in Europa.
Einstieg
Die ehrliche Antwort auf „Wo fange ich an" lautet: mit einem Inventar. Nahezu jede Organisation, mit der wir arbeiten, entdeckt in der ersten Woche eines KI-Sicherheitsmandats, dass sie spürbar mehr KI im Produktivbetrieb hat, als die zentrale Funktion glaubte. Aus einem vollständigen Inventar folgt Risikoklassifizierung natürlich, lassen sich bestehende Kontrollen ehrlich am verbleibenden Risiko messen, wird die Lücke zwischen Ist- und Soll-Zustand sichtbar, und kann eine Roadmap entlang von Budget und regulatorischen Fristen sequenziert werden statt entlang von Gerücht und Panik.
KI-Sicherheit ist schließlich eine Reise, kein Zielort — nicht weil das Klischee tröstet, sondern weil sich Bedrohungs- und Regulierungslandschaft beide noch bewegen. Die Organisationen, die das gut machen, sind nicht jene, die 2024 das perfekte System gebaut haben, sondern jene, die ein wandlungsfähiges System gebaut haben und Sicherheit als kontinuierliche Praxis statt als Lieferobjekt führen.
Dieser Artikel dient nur Informationszwecken und stellt keine Sicherheits- oder Rechtsberatung dar. Konsultieren Sie qualifizierte Fachleute für Beratung, die auf Ihre Organisation zugeschnitten ist.