AI im Visier: So schützen Unternehmen Modelle, Daten und AI-Anwendungen vor neuen Bedrohungen

AI-Security: Governance, Risikobewertung und Schutz vor neuen Bedrohungen

Erfolgreiche AI-Security beginnt vor der Implementierung – mit klarer Governance, regulatorischer Einordnung und einer realistischen Bewertung von Risiken und Business Impact. Wer AI sicher einsetzen will, muss weiterdenken als bis zur technischen Absicherung einzelner Modelle. Unternehmen stehen vor der Herausforderung, AI-Initiativen strukturiert zu bewerten: Welche AI-Use-Cases sind kritisch? Welche Daten werden verarbeitet? Welche regulatorischen Anforderungen greifen – etwa durch EU AI Act oder DSGVO? Erst auf dieser Basis lassen sich sinnvolle technische Maßnahmen priorisieren und nachhaltig umsetzen. Dennoch führen viele Aspekte im Kontext mit den neuen AI-Möglichkeiten zu einer erhöhten technischen Bedrohungslage. Neue Angriffsvektoren wie Prompt Injection, Data Poisoning oder Model Inversion zielen genau auf diese Schwachstellen ab – mit potenziell schwerwiegenden Folgen für Datenintegrität, Geschäftsablaufe und Unternehmensreputation. Um Vertrauen, Compliance und Stabilität zu gewährleisten, ist die technische Absicherung von Modellen, Daten und AI-Infrastruktur unerlässlich. „Wer sich mit Artificial Intelligence beschäftigt, muss das Thema Cybersicherheit von Anfang an mitdenken. Nur wer AI sicher gestaltet, minimiert Risiken, schützt Unternehmenswerte und stärkt nachhaltig das Vertrauen von Kunden und Partnern. So wird AI-Security zum echten Erfolgsfaktor“, meint Alexander Ernst, Director Competence Center, Network & Security bei CANCOM.

Was Unternehmen jetzt tun sollten, bevor AI eingesetzt wird

1 Schritt: Governance, Compliance und Risikomanagement
Am Anfang jeder AI-Sicherheitsstrategie steht die organisatorische und regulatorische Einordnung. Rollen, Verantwortlichkeiten und Richtlinien müssen definiert sein, bevor AI produktiv eingesetzt wird. Dazu gehören unter anderem AI-Governance-Modelle, Risiko- und Impact-Bewertungen sowie die Integration von AI-Themen in bestehende ISMS- und Compliance-Strukturen. Zum ersten Schritt gehört auch eine Analyse und Aufdeckung bereits genutzter (Schatten)-AI-Tools, die in vielen Unternehmen bereits „einfach“ von Mitarbeitenden genutzt werden. Diese gilt es zu identifizieren, zu regulieren und in definierte Zugriffs- und Governance-Prozesse zu überführen.

2 Schritt: Zugriffskontrolle und Identitätsmanagement
Um die Sicherheit von AI-Systemen zu gewährleisten, sind eine konsequente Zugriffskontrolle und ein durchdachtes Identitätsmanagement unerlässlich. Zugriffe auf Systeme, Daten und Funktionen sollten nach dem Zero-Trust-Prinzip geprüft und auf Basis definierter Richtlinien freigegeben werden. Hierbei wird grundsätzlich keinem Benutzer, Gerat oder Dienst vertraut. Eine rollenbasierte Rechtevergabe stellt zudem sicher, dass nur autorisierte Personen und Systeme Zugriff auf jeweils benötigte Ressourcen erhalten.  Darüber hinaus sollten Zugriffe kontinuierlich kontextbasiert bewertet, stark authentifiziert und nach dem Least-Privilege-Prinzip gesteuert werden.

3 Schritt: Datensicherheit und Modellschutz
Der Schutz von Daten und AI-Modellen ist ein zentraler Baustein jeder ganzheitlichen AI- Sicherheitsarchitektur. Sensible Daten und Modelle sollten sowohl bei der Speicherung als auch bei der Übertragung und Verarbeitung geschützt werden, etwa durch Verschlüsselung und ein konsequentes Key- und Secrets-Management. Darüber hinaus muss das Verhalten von AI-Systemen aktiv gesteuert und abgesichert werden. Eingaben, also „Prompts“, angebundene Datenquellen und erzeugte Ausgaben sollten kontinuierlich anhand definierter Sicherheitsrichtlinien geprüft und durch Sicherheitsmechanismen wie Guardrails sowie Input- und Output-Filtering kontrolliert werden. Risiken wie Prompt Injection, sensible Datenabflüsse, unerwünschte Inhalte oder regelwidrige Antworten werden dadurch gezielt reduziert. Auf diese Weise werden Unternehmenswerte geschützt und ethische, gesetzliche sowie regulatorische Anforderungen besser erfüllt.

4 Schritt: Monitoring und kontinuierliche Tests
Ohne Überwachung und regelmäßige Tests keine AI-Sicherheit! Sämtliche Aktionen und Interaktionen mit AI-Modellen sollten protokolliert, nachvollziehbar dokumentiert und in Echtzeit auf Auffälligkeiten untersucht werden. Ebenso wichtig ist die Transparenz über eingesetzte AI-Assets, Modelle, Agenten und Schnittstellen durch Inventarisierung, Logging und Nachvollziehbarkeit der Nutzung. Nur so lassen sich Sicherheitsrisiken frühzeitig erkennen und bewerten. Gezielte Sicherheitsprüfungen wie AI und LLM Pentests, Red Teaming sowie regelmäßige LLM- und AI-Agent-Audits gehören ebenso dazu wie das Training mit spezifischen Aufgaben zur weiteren Härtung und Stärkung der Widerstandskraft von AI-Modellen gegen potenzielle Attacken.

• Vorausschauen und handeln
  Die frühzeitige Auseinandersetzung mit dem Thema AI-Security lohnt sich: Ein vorausschauendes AI-Sicherheitskonzept schafft die Grundlage dafür, dass Unternehmen AI-Lösungen vertrauenswürdig, skalierbar und regelkonform einsetzen können. Es dressiert proaktiv Risiken wie Datenverlust, Halluzinationen oder Manipulation, stärkt die Resilienz von AI-Systemen und unterstützt die Einhaltung ethischer, gesetzlicher sowie Regulatorischer Anforderungen. Das stärkt das Vertrauen von Kunden, Partnern und der Öffentlichkeit. „Wird das Thema AI Security [zudem] von Anfang an nach dem Security-by-Design-Prinzip berücksichtigt, lassen sich AI-Lösungen standardisiert, modular und unternehmensweit ausrollen. Das verhindert einerseits teure Nachrüstungen und erhöht andererseits die Produktivität und Innovationsfähigkeit des Unternehmens. In einem kompetitiven Marktumfeld kann sich ein solcher Vorsprung als klarer Wettbewerbsvorteil erweisen.“ Das sagt Dustin Wollnik, Business Development Manager Security bei CANCOM.
• Ihr Partner für sichere und vertrauenswürdige AI
  Mit langjährigen Erfahrung in den Bereichen Cybersicherheit, Compliance und Datenschutz unterstützt CANCOM Unternehmen dabei, AI-Initiativen regelkonform, skalierbar und sicher zu gestalten. Dazu gehören die Analyse und Bewertung kundenspezifischer AI-Umgebungen, die gemeinsame Entwicklung von Strategien und Governance-Strukturen und die Implementierung zukunftssicherer, flexibler Lösungen.

Ganzheitliche AI-Sicherheit: Regulatorische, organisatorische und technische Anforderungen

Die Anforderungen des EU AI Act, der DSGVO oder der ISO-Normen für AI verlangen, dass Sicherheit, Nachvollziehbarkeit und Governance feste Bestandteile jeder AI-Lösung sind, von der Entwicklung bis zur Nutzung über den gesamten AI-Lebenszyklus. Eine AI-Security-Strategie muss daher von Anfang an organisatorische, regulatorische und technische Aspekte miteinander verbinden.

Organisatorisch sind neue Rollen, Richtlinien und Schulungen erforderlich, um einen verantwortungsvollen AI-Einsatz abzusichern.

Regulatorisch müssen die neuen Anforderungen in bestehende ISMS-Strukturen und Governance-Modelle überführt werden.

Technisch sind Werkzeuge erforderlich, die speziell auf AI-Risiken ausgelegt sind: von dedizierten Zugriffskontrollen über den Schutz von Daten, AI-Modellen und AI-Anwendungen vor Laufzeitbedrohungen bis hin zur kontinuierlichen Überwachung und Bewertung des gesamten AI-Ökosystems.