Diese Lektion beginnt mit einer Situation, der mittlerweile die meisten Sicherheits- und IT-Teams regelmäßig begegnen. Während einer Risikoprüfung wird ein KI-Assistent erwähnt, den der Kundenservice bereits seit Wochen nutzt – bezahlt über eine Firmenkreditkarte, ohne Ticket, ohne Anbieterprüfung und ohne klare Aufzeichnung darüber, welche Daten in das System eingeflossen sind. Es gilt, ein praktisches Problem zu lösen: Der Geschäftsbetrieb muss weiterlaufen, während wir gleichzeitig die Kontrolle über Identitäten, Berechtigungen und die Transparenz der KI-Nutzung im gesamten Unternehmen zurückgewinnen.
In diesem Kurs behandeln wir KI-Systeme wie jeden anderen Teil unserer Produktionsumgebung. Jede KI-Funktion und jedes KI-Tool schafft Identitäten, Berechtigungen und Datenpfade, die bewusst gestaltet und kontinuierlich überprüft werden müssen. Unser Ziel ist keine Verbotsliste. Wir streben vielmehr eine erfasste Angriffsfläche an, die wir absichern können, sowie einen Weg, die Schatten-Nutzung in eine sicherere, offiziell unterstützte Lösung zu überführen.
Das Risiko liegt selten im ersten Prompt. Es entsteht vielmehr durch eine Kette kleiner Entscheidungen, die sich unbemerkt zu einem aktiven Zugriffspfad entwickeln – etwa durch das Kopieren interner Texte in einen externen Chat, die Installation einer Browser-Erweiterung mit weitreichenden Berechtigungen oder die Anbindung eines KI-Tools an E-Mail- und Ticketsysteme. Sobald diese Schritte vollzogen sind, können sensible Daten die vorgesehenen Grenzen überschreiten. Im Falle eines Sicherheitsvorfalls oder Audits ist das Unternehmen dann womöglich nicht mehr in der Lage, grundlegende Fragen zu beantworten: Wer hat worauf und warum zugegriffen?
Wir nutzen im gesamten Kurs ein einfaches Gedankenmodell: Eine KI-Funktion wird dann zum Zugriffsrisiko, wenn sie eine neue Identität, eine neue Autorisierungsentscheidung oder einen neuen Pfad zu einem sensiblen Datenspeicher schafft – ohne die Kontrollmechanismen, die wir an anderer Stelle voraussetzen. Verfolgen Sie im nächsten Schritt jede Übergabe, bei der eine Person, eine App, ein Agent oder ein Connector eine neue Möglichkeit erhält, auf Daten oder Systeme einzuwirken. Gehen wir gemeinsam die gesamte Kette von der Entdeckung bis zur potenziellen Gefährdung durch.
Um den KI-Zugriff zu steuern, benötigen wir zunächst eine gemeinsame Übersicht über die vorhandenen Elemente. Ein Inventar der KI-Zugriffspunkte (AI Access Surface Inventory) ist eine Liste und Systemdarstellung jener Komponenten, die über KI-Funktionen Anfragen stellen, Daten empfangen oder Aktionen in unserer Umgebung ausführen können. Dazu gehören von uns entwickelte, offiziell genehmigte Systeme, von uns freigegebene Copiloten von Drittanbietern sowie „Shadow-IT“-Tools, die Mitarbeitende zur Einhaltung von Fristen eingeführt haben. Fehlt ein Element in diesem Inventar, besteht die Gefahr einer übermäßigen Rechtevergabe; zudem ist eine Überprüfung unmöglich und eine spätere Untersuchung erschwert.
Bei der Abbildung eines KI-gestützten Workflows achten wir auf einige wiederkehrende Komponententypen. Diese Kategorien werden wir auch in späteren Lektionen verwenden, wenn wir das Prinzip der minimalen Rechtevergabe (Least Privilege) anwenden und Überwachungsmechanismen einrichten. Dies ist die Systemdarstellung, mit der wir als Nächstes arbeiten werden. Gehen Sie die Darstellung durch und achten Sie darauf, an welchen Stellen Identitäten festgelegt und Berechtigungen angewendet werden.