KI-Sicherheit im VS-NfD-Umfeld · ISO/IEC 27090
Wir unterstützen Sie bei der systematischen Bewertung von KI-Sicherheitsrisiken, der Entwicklung geeigneter Schutzmaßnahmen und der sicheren Integration von KI in bestehende IT- und OT-Architekturen.
Bewährte Maßnahmen der Informationssicherheit bleiben die Grundlage. KI-Systeme bringen jedoch zusätzliche Angriffsflächen mit sich: Sie interpretieren natürliche Sprache, greifen auf viele Datenquellen zu und handeln zunehmend selbstständig. Diese Risiken werden von klassischen Kontrollen nicht immer vollständig erfasst.
Präparierte Eingaben – direkt oder versteckt in Dokumenten, E-Mails oder Webseiten – können ein KI-System dazu bringen, Vorgaben zu ignorieren oder unerwünschte Aktionen auszuführen.
Beispiel: Ein Assistent fasst eingehende Lieferantendokumente zusammen. Ein Dokument enthält versteckte Anweisungen, die den Assistenten zur Ausgabe interner Informationen veranlassen sollen.
Werden Trainings-, Feinabstimmungs- oder Wissensdaten gezielt verfälscht, kann das Verhalten des Systems unbemerkt beeinflusst werden.
Beispiel: In eine angebundene Wissensdatenbank gelangen fehlerhafte technische Vorgaben, die der Assistent anschließend als verlässliche Antwort ausgibt.
KI-Systeme können Inhalte wiedergeben, auf die der anfragende Nutzer keinen Zugriff haben sollte – etwa wenn Berechtigungen der Quellsysteme nicht konsequent durchgesetzt werden.
Beispiel: Ein unternehmensweiter Suchassistent liefert Auszüge aus Projektunterlagen, die nur einem begrenzten Personenkreis zugänglich sein sollten.
Plugins, APIs und angebundene Werkzeuge erweitern die Angriffsfläche. Jede Anbindung ist eine Vertrauensgrenze, die bewusst gestaltet werden muss.
Beispiel: Ein KI-Dienst erhält per API Zugriff auf ein Ticketsystem, ohne dass Eingaben und Rückgaben validiert oder protokolliert werden.
Agenten, die selbstständig Aktionen ausführen, benötigen ein eng begrenztes Rechteprofil. Zu weit gefasste Rechte vergrößern die Folgen jeder Fehlsteuerung.
Beispiel: Ein Agent soll Termine koordinieren, verfügt technisch aber über Schreibrechte auf Dateiablagen und Postfächer.
Vortrainierte Modelle, Bibliotheken und externe Datenquellen werden selten vollständig selbst kontrolliert. Herkunft, Integrität und Update-Prozesse sind zu bewerten.
Beispiel: Ein frei verfügbares Modell wird lokal betrieben, ohne dass Herkunft und Integrität der Modelldateien geprüft werden.
Ohne Protokollierung, Monitoring und definierte Reaktionsprozesse bleiben Fehlverhalten und Angriffe auf KI-Systeme oft unentdeckt.
Beispiel: Es ist nicht nachvollziehbar, welche Daten ein Assistent in den letzten Wochen abgerufen und an wen er sie ausgegeben hat.
Offizieller Titel: Cybersecurity — Artificial Intelligence — Addressing security threats and compromises to artificial intelligence systems
Stand Oktober 2026: Edition 1, Stage 60.00 (International Standard under publication)
Die Norm befasst sich mit Sicherheitsbedrohungen und Kompromittierungen, die spezifisch für KI-Systeme sind. Sie soll Organisationen helfen, die Folgen solcher Bedrohungen besser zu verstehen, und beschreibt, wie sich diese erkennen und mindern lassen. Laut ISO richtet sie sich an Organisationen jeder Art und Größe – einschließlich Behörden –, die KI-Systeme entwickeln oder nutzen.
Statt einzelne Schwachstellen isoliert zu betrachten, ermöglicht ein strukturiertes Vorgehen, KI-spezifische Bedrohungen vollständig zu erfassen, nachvollziehbar zu bewerten und mit passenden Maßnahmen zu behandeln.
Bedrohungen entstehen nicht nur im Betrieb. Die Norm betrachtet KI-Systeme über ihren gesamten Lebenszyklus – von Daten und Entwicklung über Integration und Betrieb bis zur Außerbetriebnahme.
Der größte Nutzen entsteht, wenn KI-spezifische Risiken in vorhandene Informationssicherheits- und Risikomanagementprozesse eingebunden werden – statt eine parallele Struktur aufzubauen.
| Norm | Gegenstand | Rolle in der Praxis |
|---|---|---|
| ISO/IEC 27001:2022 | Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) | Organisatorischer Rahmen für Informationssicherheit; zertifizierbar |
| ISO/IEC 42001:2023 | Anforderungen an ein Managementsystem für künstliche Intelligenz (AIMS) | Governance für die verantwortungsvolle Entwicklung, Bereitstellung und Nutzung von KI; zertifizierbar |
| ISO/IEC 27090 | KI-spezifische Cybersecurity-Bedrohungen, deren Erkennung und Minderung | Fachliche Grundlage für die Sicherheitsbetrachtung von KI-Systemen; ergänzt ISMS und AIMS |
Wichtige Einordnung
ISO/IEC 27090 ist eine fachliche Grundlage für KI-Cybersecurity. Sie begründet weder eine eigenständige Zertifizierungspflicht noch eine Zulassung oder Freigabe für die Verarbeitung von Verschlusssachen. Die Anwendung der Norm ersetzt keine VS-NfD-Anforderungen, keine BSI-Vorgaben und keine erforderlichen Freigabeverfahren.
Im Geheimschutzumfeld entscheidet nicht die Technologie allein, sondern die Frage, welche Informationen ein KI-System erreicht, wie es eingebunden ist und welche Vorgaben dafür gelten.
Fall A
Eine VS-NfD-Umgebung ist hier in der Regel nicht erforderlich. Zu bewerten sind dennoch die KI-spezifischen Risiken sowie die wirksame Trennung von VS-NfD-Beständen – damit eingestufte Inhalte das System nicht unbeabsichtigt erreichen.
Fall B
Dann gelten die Anforderungen an die Verarbeitung von Verschlusssachen für das gesamte System einschließlich Modellen, Datenablagen, Schnittstellen und Administration. Die Eignung ist für die konkrete Lösung und Konfiguration nachzuweisen; erforderliche Verfahren sind zu durchlaufen.
Zu klären ist, ob sich in den Dokumentenbeständen eingestufte Inhalte befinden, wie Berechtigungen durchgesetzt werden und wo Indizes und Zwischenergebnisse gespeichert werden.
Mit der Anbindung entsteht ein neuer Datenfluss. Entscheidend sind Kennzeichnung, Trennung und Zugriffssteuerung der Quellinhalte – und ob das KI-System Inhalte über Berechtigungsgrenzen hinweg zusammenführt.
Bewertet werden müssen Verarbeitungsort, Mandantentrennung, Protokollierung, administrative Zugriffe des Anbieters sowie die Frage, welche Datenklassen den Dienst überhaupt erreichen dürfen.
Neben Vertraulichkeit rücken Integrität und Verfügbarkeit in den Vordergrund. Netzsegmentierung, Rückwirkungsfreiheit und die Frage, ob die KI nur empfiehlt oder auch steuert, sind zentrale Prüfpunkte.
Hier ist frühzeitig festzulegen, ob das KI-System VS-NfD verarbeiten soll oder strikt davon getrennt bleibt. Davon hängen Architektur, Anforderungen und notwendige Verfahren maßgeblich ab.
Wir treffen keine pauschalen Aussagen darüber, dass bestimmte Produkte, Cloud-Dienste oder KI-Plattformen generell für VS-NfD zugelassen oder ungeeignet sind. Maßgeblich sind die konkrete Lösung, ihr Einsatzbereich und die jeweils aktuellen offiziellen Vorgaben.
Grundlagen zu Einstufung, Selbstakkreditierung und Produktzulassung finden Sie in unserer VS-NfD-Beratung und zum Selbstakkreditierungsprozess.
Vier Module, die sich einzeln beauftragen oder kombinieren lassen.
MODUL 01
MODUL 02
MODUL 03
MODUL 04
Alle Module sind Beratungs- und Unterstützungsleistungen. ADVISORI erteilt keine Zulassungen, Zertifizierungen oder behördlichen Freigaben für KI-Systeme.
Wir klären Vorhaben, Rahmenbedingungen und die Frage, ob VS-NfD-Bezüge bestehen.
Ergebnis: Abgestimmter Untersuchungsumfang
Wir erfassen KI-Anwendungen, Datenquellen, Schnittstellen, Nutzergruppen und Betriebsmodelle.
Ergebnis: Systemübersicht und Datenflussdarstellung
Wir bewerten KI-spezifische Bedrohungen und gleichen sie mit den vorhandenen Maßnahmen ab.
Ergebnis: Bewertete Bedrohungen und identifizierte Lücken
Wir leiten technische und organisatorische Maßnahmen ab und priorisieren sie nach Risiko und Aufwand.
Ergebnis: Priorisierter Maßnahmenplan und Konzeptdokumentation
Wir begleiten die Umsetzung und prüfen, ob die Maßnahmen wie vorgesehen wirken.
Ergebnis: Nachweis der Umsetzung und offene Punkte
Konkrete Arbeitsergebnisse, die sich direkt in Ihr ISMS, Ihr Sicherheitskonzept und Ihre Projektplanung übernehmen lassen.
ISO/IEC 27090 („Cybersecurity — Artificial Intelligence — Addressing security threats and compromises to artificial intelligence systems“) ist eine internationale Norm des Gremiums ISO/IEC JTC 1/SC 27. Sie behandelt Sicherheitsbedrohungen, die spezifisch für KI-Systeme sind, und beschreibt, wie sich diese über den Lebenszyklus erkennen und mindern lassen. Laut ISO-Katalog befindet sich die erste Ausgabe derzeit in der Veröffentlichung (Stage 60.00).
Gegenstand sind Bedrohungen und Kompromittierungen, die KI-Systemen eigen sind – in der Fachdiskussion etwa manipulierte Eingaben (Prompt Injection), verfälschte Trainings- oder Eingabedaten, das Abgreifen von Modellen oder Informationen sowie Risiken entlang der Lieferkette. Für eine verbindliche Auflistung ist der Normtext selbst maßgeblich.
ISO/IEC 27001 legt Anforderungen an ein Informationssicherheitsmanagementsystem fest und ist zertifizierbar. ISO/IEC 27090 vertieft dagegen fachlich die KI-spezifischen Bedrohungen. Sie lässt sich nutzen, um die Risikobetrachtung eines bestehenden ISMS um KI-Systeme zu erweitern.
ISO/IEC 42001:2023 legt Anforderungen an ein KI-Managementsystem fest – also an Governance, Verantwortlichkeiten und Prozesse für die verantwortungsvolle Entwicklung und Nutzung von KI. Während 42001 den organisatorischen Rahmen setzt, liefert 27090 die Cybersecurity-Perspektive auf das einzelne KI-System.
Der Einsatz von KI ist nicht generell ausgeschlossen. Entscheidend ist, ob das System VS-NfD verarbeitet bzw. mit einer VS-NfD-Umgebung verbunden ist. In diesem Fall müssen die geltenden Anforderungen an die Verarbeitung von Verschlusssachen erfüllt sein und die erforderlichen Freigaben bzw. Verfahren vorliegen. Die Bewertung erfolgt immer für das konkrete System und den konkreten Einsatzzweck.
Nein. Der lokale Betrieb kann die Kontrolle über Daten erleichtern, begründet für sich genommen aber keine Eignung oder Freigabe. Auch bei lokalen Systemen sind Architektur, Datenflüsse, Modellherkunft, Updates, administrative Zugriffe und Protokollierung zu bewerten und in Sicherheitskonzept und ISMS einzubinden.
Wir treffen hierzu keine pauschalen Aussagen. Bewertet werden die konkret lizenzierte Variante und Konfiguration: Verarbeitungsorte, Datenflüsse, Berechtigungsmodell, Protokollierung, Datennutzung durch den Anbieter und die Trennung von eingestuften Beständen. Ob eine Lösung für einen VS-NfD-Kontext in Frage kommt, ist anhand der aktuellen offiziellen Vorgaben und der jeweiligen Systemkonfiguration zu prüfen.
Die Aufnahme bestehender und geplanter KI-Anwendungen, die Erfassung von Datenflüssen und Schnittstellen, die Analyse relevanter KI-Bedrohungen, den Abgleich mit vorhandenen Maßnahmen und einen priorisierten Maßnahmenplan.
KI-Systeme werden als eigene Assets bzw. Anwendungen in Inventar und Schutzbedarfsfeststellung aufgenommen, KI-spezifische Bedrohungen ergänzen den Risikokatalog, und Richtlinien, Rollen sowie Freigabeprozesse werden um KI-Aspekte erweitert. So entsteht keine Parallelstruktur, sondern eine Erweiterung bestehender Prozesse.
Hilfreich sind eine Beschreibung der geplanten oder genutzten KI-Anwendungsfälle, eine Übersicht über eingesetzte Dienste und Modelle, Netz- bzw. Architekturübersichten, bestehende Sicherheitsrichtlinien und Angaben dazu, ob und wo VS-NfD verarbeitet wird. Vollständige Unterlagen sind für das Erstgespräch nicht erforderlich.
Wir unterstützen Sie dabei, KI-Sicherheitsrisiken systematisch zu bewerten, geeignete Schutzmaßnahmen abzuleiten und die Anforderungen Ihrer bestehenden Informationssicherheits- und Geheimschutzprozesse zu berücksichtigen.
Beratungsgespräch vereinbaren