KI-Datensicherheit

Klassische Datensicherheit zieht einen Perimeter um Speicher, Netze und Endgeräte. KI verändert dieses Bild. Daten werden in Trainingsbestände kopiert, für die Suche indexiert und zu generiertem Text verarbeitet. Jede Kopie schafft eine Stelle, die gewöhnliche Kontrollen nicht erfassen: die Logging-Pipeline eines Anbieters, einen Vektorindex oder das Gedächtnis eines Modells. Der Schutz muss den Daten folgen, nicht der Infrastruktur, und beginnt daher bei der Datenklassifizierung.

Drei Eigenschaften zählen. Vertraulichkeit: Sensible Eingaben dürfen keine Stellen erreichen, die die Organisation nie autorisiert hat. Integrität: Trainingsdaten und abgerufener Kontext dürfen nicht so manipuliert werden, dass das Verhalten des Modells leidet. Kontrolle: Die Organisation muss wissen, welche Kopien existieren, wo sie liegen und unter welchen Bedingungen sie verarbeitet werden.

Auch das Recht greift auf dasselbe Feld zu. Die Grundsätze der DSGVO zu Zweckbindung, Datenminimierung und Transparenz gelten für Trainingsdaten und Prompts wie für jede andere Verarbeitung. Auch Meldepflichten können durch eine KI-bezogene Offenlegung ausgelöst werden.

Daten erreichen KI-Systeme über fünf Wege:

Ein Prompt ist eine Datenübertragung. Je nach Bedingungen des Anbieters kann der übermittelte Inhalt zur Prüfung gespeichert oder zum Training künftiger Versionen genutzt werden. Was ein Modell im Training gespeichert hat, kann in Antworten an andere wieder auftauchen. Ein Abfluss über einen LLM-Prompt ist im Netz unsichtbar: Es ist eine gewöhnliche HTTPS-Anfrage an eine bekannte Domain, mit einem vertraulichen Vertrag im Textkörper. Ihn zu erkennen heißt, den Inhalt zu lesen und nicht nur das Ziel zu prüfen. Genau hier setzt die Data Loss Prevention (DLP) an.

Ergebnisse fließen auch in die andere Richtung ab. Eine Zusammenfassung oder Antwort aus abgerufenen Dokumenten kann Informationen an einen Empfänger offenlegen, der nie Zugriff auf die Quelle hatte. Eine interne Kennzahl kann in einem Kundenentwurf erneut erscheinen, oder personenbezogene Daten können im generierten Text stehen. Als neuer Inhalt kann die Ausgabe außerdem Kontrollen umgehen, die nach bekannten Dateien suchen.

Ein großer Teil der Vorfälle in der KI-Datensicherheit beginnt mit Shadow AI, der KI-spezifischen Form von Shadow IT. Mitarbeitende nutzen nicht freigegebene KI-Werkzeuge für echte Arbeit, weil sie kostenlos und sofort verfügbar sind. Das Risiko wird dann von Werkzeugen bestimmt, die die Organisation nicht gewählt hat, von Bedingungen, die sie nicht gelesen hat, und von Aufbewahrungsregeln, die sie nicht prüfen kann. Die Gegenmaßnahme hat drei Teile:

1. 1

   Eine klare Richtlinie zur zulässigen Nutzung festlegen

   Bestimmen, welche KI-Nutzungen für die Arbeit erlaubt sind.

2. 2

   Freigegebene Alternativen anbieten

   Geprüfte Werkzeuge für dieselben Aufgaben bereitstellen.

3. 3

   Beobachten, was zu KI-Diensten abfließt

   Sichtbar machen, welche Inhalte an KI-Dienste gesendet werden.

Data Poisoning zielt auf die Trainingsphase. Ein Angreifer schleust Beispiele ein oder verändert sie, sodass das Modell falsche Zusammenhänge lernt und Hintertüren verankert, die auf bestimmte Formulierungen reagieren. Abwehr konzentriert sich auf Herkunft, kontrollierte Erfassung und Prüfung vor dem Einsatz.

Prompt Injection zielt auf den Kontext. In einem Dokument, einer Webseite oder einer Nachricht versteckte Anweisungen, die das Modell später liest, versuchen, die Absicht des Betreibers zu überschreiben. Sie können abgerufene Daten in eine Antwort ausschleusen oder nicht autorisierte Werkzeugaktionen auslösen. Ein System, das unvertrauenswürdige Inhalte abruft, übernimmt, was diese Anweisungen sagen. Model Inversion und Membership Inference gehen einen anderen Weg: Sie versuchen, Trainingsdaten aus dem ausgerollten Modell selbst zu extrahieren.

Anexet überwacht die Kanäle, über die Prompts und Dateien das Unternehmen verlassen, und die Konsole von Anexet DLP zeigt, was erfasst wurde. Der Screenshot zeigt den KI-Reiter einer abgefangenen E-Mail: Mögliche Bedrohungen sind aufgelistet, eine kurze Zusammenfassung ist verfasst, und ein Hinweis erinnert daran, dass KI-Ergebnisse geprüft werden müssen. Die Auswertung kann auf einem lokalen KI-Modell innerhalb der Organisation laufen, sodass der abgefangene Text die Infrastruktur nicht verlässt.

Wirksame Programme kombinieren mehrere Maßnahmen: Klassifizierung, bevor Daten kopiert werden, Prüfung des Anbieters, bevor ein Dienst freigegeben wird, Zugriffssteuerung für Retrieval-Korpora, Inhaltsprüfung über alle Kanäle, Überwachung eingefügten Texts auf Endgeräten und ein Audit-Trail jedes Ereignisses. Das Sperren nicht freigegebener KI-Dienste ist ein Teil davon, beschrieben unter Datenabfluss zu KI-Diensten blockieren.

Jede Maßnahme braucht einen Verantwortlichen. Die Rollen sehen meist so aus:

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden verursachen würde, und dann mit den Kanälen, die tatsächlich genutzt werden. Richtlinien, die alle Dateien auf einmal erfassen, blockieren am Ende die Arbeit und werden abgeschaltet.

Weiterlesen: Cybersicherheit und künstliche Intelligenz; DLP-Systeme – was das ist und wie sie funktionieren.