iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Die Cyberrisiken moderner KI-Systeme entstehen nicht allein aus Fehlern im Modell. Sie entstehen aus der gesamten Architektur: aus den Daten, mit denen ein Modell trainiert wird, aus den Eingaben, die es verarbeitet, aus den Werkzeugen, an die es angebunden ist, und aus dem Betrieb, der das alles zusammenhält. Der entscheidende Unterschied zu klassischer Software lautet: Sobald ein Sprachmodell Inhalte liest, die jemand anderes geschrieben hat, und zugleich E-Mails versenden, Dateien ändern oder Code ausführen darf, kann ein eingeschleuster Textabschnitt eine Aktion außerhalb des Chats auslösen.
Die klassischen Schutzziele bleiben gültig: Vertraulichkeit, Integrität und Verfügbarkeit. Hinzu kommen Angriffsarten, die bei herkömmlicher Software so nicht vorkommen, etwa die gezielte Manipulation von Trainingsdaten oder die Umlenkung eines Modells durch Text, den es eigentlich nur analysieren soll. Die folgenden Angaben beziehen sich auf den Stand der zitierten Quellen Anfang Oktober 2026.
Warum KI-Systeme eine größere Angriffsfläche haben
Ein klassisches Anwendungssystem besteht im Wesentlichen aus Code, Eingaben und Daten. Ein KI-System kommt weitere Bestandteile hinzu: Trainingsdaten, ein Modell mit gelernten Parametern, Ausgaben, die sich nicht wie feste Programmlogik prüfen lassen, und häufig Schnittstellen zu weiteren Systemen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt deshalb, den vollständigen Prozess zu betrachten, von der Erzeugung der Trainingsdaten über das maschinelle Lernen bis zum Betrieb. Einen allgemeinen Einstieg in das Thema bietet das BSI-Angebot zur Künstlichen Intelligenz.
Für die Risikoanalyse hilft es, die Angriffsfläche entlang des Lebenszyklus zu gliedern:
#1 Best Overall
- Datenerzeugung und Datenübertragung: Wer Trainingsdaten sammelt, bereitstellt und transportiert, kann Daten verändern oder abfließen lassen. Das BSI nennt die Datenübertragung ausdrücklich als Frage der Informationssicherheit.
- Training und Modell: Manipulierte Trainingsdaten oder unbefugter Zugriff auf das Modell können dessen Verhalten verfälschen oder Informationen preisgeben.
- Eingaben im Betrieb: Angreifer können versuchen, über präparierte Eingaben das Verhalten zu beeinflussen oder Informationen zu extrahieren.
- Ausgaben und Aktionen: Entscheidend ist, was das Modell zurückgibt und welche Handlungen es über angebundene Werkzeuge auslösen kann.
Angriffsklassen nach NIST
Das National Institute of Standards and Technology (NIST) hat im März 2025 den Bericht AI 100-2 E2025, Adversarial Machine Learning veröffentlicht. Er ordnet Angriffe nach ML-Verfahren, nach Phasen im Lebenszyklus sowie nach den Zielen, Fähigkeiten und Kenntnissen des Angreifers. Das Dokument ist eine freiwillige technische Orientierung, keine Rechtsnorm. Für die Praxis ist vor allem die Gliederung in Angriffsklassen hilfreich, weil sie zeigt, welche Klassen für welche Art von KI aufgeführt sind.
| Angriffsklasse | Was der Angriff anstrebt | Generative KI (laut NIST) | Prädiktive KI (laut NIST) |
|---|---|---|---|
| Evasion | Eingaben so verändern, dass das Modell falsch reagiert | aufgeführt | aufgeführt |
| Poisoning | Trainingsdaten so manipulieren, dass das spätere Verhalten verfälscht wird | aufgeführt | aufgeführt |
| Privacy | Informationen über Trainingsdaten oder Personen aus dem System herauslösen | aufgeführt | aufgeführt |
| Misuse | Ein generatives System für schädliche Zwecke einsetzen | aufgeführt | nicht als eigene Klasse aufgeführt |
Die Tabelle beschreibt, welche Klassen NIST nennt; sie ist keine Aussage darüber, dass andere Angriffe ausgeschlossen wären. NIST diskutiert zu den Klassen auch mögliche Gegenmaßnahmen und die Grenzen einiger Verfahren.
Prompt Injection: Wenn Text zum Befehl wird
Bei einer Prompt Injection schreibt jemand Anweisungen in Text, den ein Modell verarbeiten soll, sodass das Modell diese Anweisungen mit seinem eigentlichen Auftrag verwechselt oder ihnen folgt. Die BSI-Warnung vom 15. Juli 2023 beschreibt das Problem als intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen. Gemeint ist: Ein Sprachmodell trennt Anweisungen und zu verarbeitende Daten nicht so zuverlässig, wie ein Programm getrennte Felder auseinanderhält.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
Direkte und indirekte Prompt Injection
Bei der direkten Variante gibt die Person, die das System nutzt, die manipulierenden Anweisungen selbst ein. Bei der indirekten Variante stammen sie aus Inhalten, die das System abruft oder verarbeitet, etwa aus Webseiten, Dokumenten oder E-Mails. Genau diese indirekte Form beschreibt das BSI in seiner Cybersicherheitswarnung vom 15. Juli 2023: ungeprüfte Dokumente oder Webseiten, verarbeitet von Sprachmodellen, die zusätzlich mit Plugins, Programmierumgebungen oder E-Mail verbunden sein können.
Warum Werkzeuge den Schaden vergrößern
Ein Modell ohne Werkzeuge kann im ungünstigsten Fall eine falsche oder manipulierte Antwort ausgeben. Mit Werkzeugen kann dieselbe Manipulation eine Handlung auslösen. Das folgende Beispiel ist illustrativ und beschreibt keinen dokumentierten Einzelfall: Ein Assistent fasst eingehende E-Mails zusammen und darf zusätzlich Nachrichten aus dem Postfach versenden. Eine eingehende Mail enthält versteckten Text mit der Anweisung, Inhalte des Postfachs an eine fremde Adresse zu schicken. Ob das Modell dieser Anweisung folgt, hängt von vielen Faktoren ab. Den Schaden bestimmt aber vor allem, ob der Versand technisch überhaupt möglich ist.
Die Empfehlungen des BSI und des NIST verringern dieses Risiko, bieten aber keine Garantie gegen alle Angriffe.
Datenvergiftung, Datenabfluss und Missbrauch
Datenvergiftung (Poisoning)
Bei Poisoning werden Trainings- oder Wissensdaten so verändert, dass das System später ein gewünschtes Fehlverhalten zeigt. Die Gefahr steigt, wenn Daten aus offenen Quellen stammen oder Datenlieferanten nicht überprüft werden. Herkunft und Integrität der Daten sind deshalb eine Sicherheitsfrage und nicht nur eine Qualitätsfrage. Das BSI betrachtet ausdrücklich den gesamten Prozess von der Trainingsdatengenerierung bis zum Betrieb.
Datenabfluss und Privacy-Angriffe
Privacy-Angriffe zielen darauf ab, Informationen aus dem System herauszulösen, etwa Angaben über Trainingsdaten oder über einzelne Personen. Das BSI nennt die mögliche Extraktion persönlicher Daten und die unbeabsichtigte Offenlegung als Fragen der Informationssicherheit. Besonders relevant wird das, wenn Modelle mit personenbezogenen Daten trainiert oder mit internen Dokumentenbeständen verbunden werden. Dann gehört zur Risikobewertung auch die Frage, welche Ausgaben das System verlassen dürfen.
Rank #3
Missbrauch generativer KI
NIST führt Misuse als eigene Klasse für generative KI auf. Für Betreiber bedeutet das vor allem, Missbrauch im laufenden Betrieb erkennen zu können; wie das konkret aussieht, beschreibt der Abschnitt zur Überwachung weiter unten.
Schutz: gestaffelt statt eine Lösung
Weil NIST auf die Grenzen einzelner Gegenmaßnahmen hinweist, ist ein belastbares Schutzkonzept eine Kette von Kontrollen, die an unterschiedlichen Stellen des Lebenszyklus ansetzen. Die folgenden fünf Bausteine ergänzen einander; keiner ersetzt die anderen.
1. Herkunft der Daten und Zugriff kontrollieren
Dokumentieren Sie, woher Trainings-, Wissens- und Eingabedaten stammen. Behandeln Sie extern abgerufene Inhalte als nicht vertrauenswürdig, wie es das BSI empfiehlt. Trennen Sie öffentliche Quellen von internen Beständen und begrenzen Sie, auf welche Datenbestände das System überhaupt zugreifen kann.
The Tool Desk
Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Outbyte PC Repair FREEClear out junk files and repair common Windows errorsFree Scan →2. Berechtigungen des Modells minimieren
Ein Assistent braucht meist nur einen kleinen Teil der Rechte, die seine Nutzer haben. Vergeben Sie Werkzeugrechte nur für die tatsächlich benötigten Aktionen, bevorzugt lesend statt schreibend, und möglichst nur für festgelegte Ziele. Eine Versandfunktion, die ausschließlich an interne Adressen senden darf, begrenzt den Schaden einer Injection deutlich. Der Preis ist Funktionsumfang: Je enger die Rechte, desto weniger kann der Assistent selbst erledigen. Diese Abwägung gehört in die Architekturentscheidung und nicht in eine spätere Nachbesserung.
3. Ergebnisse und Aktionen prüfen
Trennen Sie Lesen und Handeln. Folgenreiche Aktionen wie Versand, Löschung oder Zahlung sollten eine menschliche Freigabe oder eine feste, nicht vom Modell entschiedene Prüfregel durchlaufen. Prüfen Sie Ausgaben auf unerwartete Ziele, Links oder Befehlsfolgen, bevor sie weiterverarbeitet werden.
4. Das Gesamtsystem testen, bevor es produktiv geht
Testen Sie nicht nur das Modell, sondern die Kette aus Modell, Werkzeugen und Datenquellen. Nützlich sind präparierte Dokumente, widersprüchliche Anweisungen und Eingaben, die versuchen, Werkzeuge auszulösen. Halten Sie fest, welche Angriffsklassen Sie getestet haben und welche nicht. Ein bestandener Test belegt nur das Getestete, nicht die Sicherheit gegen alle Angriffe.
5. Den Betrieb überwachen und Notfallwege vorbereiten
Protokollieren Sie Werkzeugaufrufe, ungewöhnliche Datenabflüsse und auffällige Muster in Eingaben. Legen Sie fest, wer bei Auffälligkeiten einen Vorfall auslöst. Ebenso wichtig: Richten Sie einen Weg ein, einzelne Werkzeugverbindungen schnell zu trennen, ohne das gesamte System abzuschalten. Überwachung erkennt, was Prävention übersieht, und ohne Trennmöglichkeit bleibt eine erkannte Injection oft folgenlos sichtbar, aber nicht stoppbar.
Do these 3 things before closing this tab:
1Fix the driver behind crashes, sound loss and screen glitches2Clear out junk files and repair common Windows errors3Scan for outdated or missing drivers - takes under a minuteKI auf beiden Seiten: Abwehr und Angriff
Der EU-Aktionsplan zu Cybersicherheit und KI vom 7. Juli 2026 beschreibt die Doppelrolle der Technik. Die Kommission schreibt: „Artificial intelligence is rapidly transforming the cybersecurity landscape.“ Sie hält zugleich fest: „At the same time, it can also be exploited by malicious actors to automate attacks, identify weaknesses and carry out cyber operations at unprecedented speed and scale.“ Sinngemäß übersetzt: KI verändert die Cybersicherheitslandschaft rasch; zugleich können böswillige Akteure sie nutzen, um Angriffe zu automatisieren, Schwachstellen zu finden und Cyberoperationen in beispiellosem Tempo und Umfang durchzuführen.
Best Value
Die Kommission kündigt gemeinsam mit der EU-Cybersicherheitsagentur ENISA einen Blueprint für sicheren Zugang zu fortgeschrittenen KI-Systemen für Cybersicherheitszwecke an, außerdem eine sichere Testplattform für kritische Sektoren. Das sind angekündigte Vorhaben. Wirkungsnachweise dazu liegen mit dem Aktionsplan noch nicht vor.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.EU-Regeln: Was zum Stand Oktober 2026 gilt
Die Übersichtsseite der Kommission zum KI-Gesetz, abgerufen am 7. Oktober 2026, nennt die folgenden Termine. Sie sind bewusst als Übersicht gedacht und ersetzen nicht die Prüfung des konsolidierten Gesetzestexts.
| Zeitpunkt | Was laut Kommission gilt | Einordnung |
|---|---|---|
| August 2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) sind wirksam | Bereits in Kraft |
| 2. August 2026 | Umsetzung, Überwachung und Durchsetzung durch das AI Office und die Mitgliedstaaten beginnen | Bereits begonnen |
| 2. Dezember 2027 | Bestimmte Hochrisikobereiche, etwa kritische Infrastruktur, Bildung, Beschäftigung und Biometrie | Genannt nach der politischen Einigung über den AI Omnibus |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten | Genannt nach der politischen Einigung über den AI Omnibus |
Drei Einschränkungen sind wichtig:
- Die späteren Termine beruhen auf einer politischen Einigung. Prüfen Sie vor der Festlegung von Fristen den Rechtsstand im Amtsblatt der EU.
- Die Kommission weist darauf hin, dass Entwürfe ihrer Leitlinien für Anbieter und Betreiber von Hochrisiko-KI-Systemen nicht rechtsverbindlich sind.
- Welche Pflichten gelten, hängt von der Systemklasse, der Rolle als Anbieter oder Betreiber und dem Einsatzort ab. Eine pauschale Aussage für „KI“ gibt es deshalb nicht.
Bewertungskriterien für Schutzansätze
Wenn Sie mehrere Schutzansätze vergleichen, ordnen Sie sie anhand derselben Kriterien ein. Diese Kriterien sind geeignet, weil sie Wirkung und Restrisiko trennen:
- Lebenszyklusphase: Deckt der Ansatz Daten, Training, Eingaben, Ausgaben oder Betrieb ab?
- Angriffsklasse: Adressiert er Evasion, Poisoning, Privacy, Misuse oder eine Kombination?
- Begrenzung von Daten- und Werkzeugzugriff: Reduziert er, was das System lesen und auslösen kann?
- Unabhängige Wirksamkeitsevidenz: Gibt es Prüfungen durch Dritte oder öffentlich dokumentierte Tests?
- Verbleibendes Restrisiko: Welche Angriffe bleiben trotz des Ansatzes möglich?
- Betriebsaufwand: Wie viel Pflege, Personal und Überwachung braucht er dauerhaft?
- Passung zum Rechts- und Branchenkontext: Erfüllt er die Anforderungen, die für Ihren Einsatz gelten?
Vergleichen Sie also belegte Wirkung und verbleibendes Restrisiko. Aussagen wie „sicher“ oder „verhindert“ taugen dafür nicht als Maßstab, weil NIST gerade die Grenzen der Verfahren betont.
Was sich nicht seriös beziffern lässt
Für die Häufigkeit und die Kosten von Cyberangriffen auf moderne KI-Systeme gibt es in den geprüften offiziellen Quellen keine belastbare Kennzahl mit Zeitraum und Grundgesamtheit. Zahlen, die Sie in anderen Texten finden, sollten Sie nur übernehmen, wenn Quelle, Erhebungszeitraum und Population klar benannt sind. Ebenso lässt sich aus den geprüften Quellen nicht ableiten, wie stark einzelne Maßnahmen das Risiko im Betrieb tatsächlich senken.
Bestandsaufnahme vor der Auswahl von Maßnahmen
Bevor Sie Maßnahmen festlegen, halten Sie für das konkrete System schriftlich fest:
- Welche Inhalte liest das Modell, und wer hat diese Inhalte erstellt?
- Welche Werkzeuge kann es auslösen, und mit welchen Rechten?
- Welche Daten dürfen über Ausgaben das System verlassen?
- Welche Rolle haben Sie nach dem KI-Gesetz, und für welchen Einsatzort gilt das?
- Wer erhält Warnungen, und wie schnell lassen sich Werkzeugverbindungen trennen?
Erst diese Liste zeigt, welche der fünf Bausteine für Ihr System zuerst kommen. Bei Systemen mit Werkzeugzugriff, personenbezogenen Daten oder Einsatz in kritischen Bereichen sollten Architektur, Rollenverteilung und einschlägige Vorschriften im Einzelfall geprüft werden.
Quick wins for a faster PC:
Fix the driver behind crashes, sound loss and screen glitchesFind Drivers →Clear out junk files and repair common Windows errorsFree Scan →Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
