Mit ISO/IEC 27090 liegt nach rund vier Jahren Entwicklungszeit eine Norm vor, die sich gezielt mit der Sicherheit von KI-Systemen befasst. Der Leitfaden beschreibt Angriffe, die speziell auf Systeme mit maschinellem Lernen und generativen Modellen zielen, und nennt dazu passende Gegenmaßnahmen. Er ist als Ergänzung zur ISO 27001 angelegt, dem verbreiteten Standard für Informationssicherheits-Managementsysteme.

Damit adressiert die Norm ein Problem, das viele Unternehmen seit der schnellen Verbreitung von KI-Funktionen begleitet: Die etablierten Sicherheitsprozesse greifen bei klassischen Anwendungen, aber sie decken die Eigenheiten von Sprachmodellen und Trainingsdaten nur unzureichend ab.

Warum KI-Systeme eigene Schutzmaßnahmen brauchen

Klassische Anwendungen trennen Programmcode und Benutzereingaben sauber voneinander. Bei Sprachmodellen verschwimmt diese Grenze: Anweisungen und Inhalte liegen im selben Textkanal. Ein Angriff kann deshalb schon in einem harmlos wirkenden Dokument stecken, das ein KI-Assistent zur Zusammenfassung erhält.

Der bekannteste Fall dieser Gattung ist die sogenannte Prompt Injection, also das Einschleusen von Anweisungen über reguläre Eingaben oder verarbeitete Inhalte. Ziel ist es, das Modell zu Handlungen zu bewegen, die der Betreiber nicht vorgesehen hat – etwa die Preisgabe interner Informationen oder das Auslösen von Aktionen in angebundenen Systemen.

Hinzu kommen Risiken entlang der Datenkette: Trainings- und Referenzdaten, Modelle aus externen Quellen, Schnittstellen zu Fremdanbietern. Jede dieser Stationen ist ein möglicher Angriffspunkt, der sich mit Firewall-Regeln und Passwortrichtlinien allein nicht absichern lässt.

Anschluss an bestehende Strukturen statt Parallelwelt

Die Entscheidung, ISO/IEC 27090 an die ISO 27001 anzudocken, ist aus organisatorischer Sicht der wichtigste Punkt. Unternehmen, die bereits ein Informationssicherheits-Managementsystem betreiben, müssen keine zweite Governance-Struktur aufbauen. Sie können KI-spezifische Risiken in die vorhandene Risikobetrachtung einordnen und mit den gewohnten Mechanismen bearbeiten: Risiken identifizieren, bewerten, Maßnahmen festlegen, Wirksamkeit prüfen.

Für Organisationen ohne Zertifizierung hat die Norm trotzdem Wert. Sie liefert eine strukturierte Liste dessen, was bei KI-Anwendungen überhaupt schiefgehen kann – und diese Liste ist in der Praxis oft die eigentliche Hürde. Viele Projektteams wissen, dass sie ihre KI-Funktion absichern sollten, haben aber keinen systematischen Überblick über die Angriffsarten.

Was das für KI-Funktionen in Websites und CMS heißt

KI-Komponenten wandern derzeit in Bereiche, die lange als unkritisch galten. Ein Chat-Assistent auf der Website, eine automatische Textvorschlagsfunktion im Redaktionssystem, eine KI-gestützte Suche über interne Dokumente: Alle drei Szenarien verarbeiten Inhalte, die nicht vollständig unter Kontrolle des Betreibers stehen.

Praktisch relevant sind dabei vor allem drei Fragen:

  • Welche Daten erreichen das Modell? Inhalte aus dem CMS, Nutzereingaben, externe Dokumente – jede Quelle braucht eine bewusste Entscheidung, ob sie vertrauenswürdig ist.
  • Was darf das Modell auslösen? Je mehr Schnittstellen ein KI-Assistent bedienen kann, desto größer der Schaden bei einer erfolgreichen Manipulation. Enge Berechtigungen sind hier die wirksamste Einzelmaßnahme.
  • Wie werden Vorfälle erkannt? Ohne Protokollierung der Ein- und Ausgaben lässt sich im Nachhinein nicht rekonstruieren, was passiert ist.

Diese Fragen sind keine Erfindung der neuen Norm, aber ein Standard macht es leichter, sie im Projekt durchzusetzen. Wer auf ein anerkanntes Dokument verweisen kann, muss Sicherheitsaufwand nicht in jedem Einzelfall neu begründen.

Ein Leitfaden, kein Automatismus

Eine Norm ersetzt keine Umsetzung. ISO/IEC 27090 ist als Leitfaden angelegt und beschreibt Angriffe und Gegenmaßnahmen – die Übersetzung in die eigene Architektur bleibt Aufgabe des Projektteams. Gerade bei generativen Modellen gibt es zudem keine Maßnahme, die Manipulationsversuche vollständig ausschließt. Realistisch ist eine gestaffelte Absicherung: Eingaben prüfen, Rechte begrenzen, Ausgaben kontrollieren, Aktivität protokollieren.

Ebenso wichtig ist der zeitliche Horizont. Angriffstechniken auf KI-Systeme entwickeln sich schnell weiter, Normen dagegen entstehen über Jahre. ISO/IEC 27090 liefert deshalb eher ein belastbares Grundgerüst als eine abschließende Antwort auf jede neue Angriffsvariante.

Einordnung für Web- und Softwareprojekte

Für laufende Projekte heißt das: KI-Funktionen gehören künftig genauso in die Sicherheitsbetrachtung wie Login-Mechanismen oder Zahlungsschnittstellen – mit einem eigenen Satz an Risiken, der sich jetzt an einem anerkannten Dokument ausrichten lässt. Wer ein Informationssicherheits-Managementsystem betreibt, kann die neuen Themen in die bestehende Struktur einhängen, statt parallele Prozesse aufzubauen. Und wer KI-Features erst plant, sollte Berechtigungen, Datenquellen und Protokollierung von Anfang an mitdenken, weil nachträgliche Absicherung in diesem Bereich deutlich aufwendiger ist als eine saubere Architektur zu Projektbeginn.

Quellen