KI sicher einsetzen: Datenschutz und Sicherheit für Ihr Unternehmen.
KI-Sicherheit heißt für ein mittelständisches Unternehmen: Ein Sprachmodell oder KI-Agent sieht nur die Daten, die der fragende Mensch sehen darf, und löst nur Handlungen aus, die jemand freigegeben hat. Steuern lässt es sich auch nicht über Anweisungen, die jemand in einem Dokument oder einer E-Mail versteckt hat. Das gilt für ChatGPT im Browser genauso wie für ein Modell im eigenen Serverraum.
Prompt Injection und abfließende Unternehmensdaten sind keine theoretischen Fälle. Wir zeigen Ihnen, welche Risiken Ihr Einsatz tatsächlich mitbringt und wie Sie KI datenschutzkonform betreiben.
Warum KI-Sicherheit gerade für den Mittelstand entscheidend ist
Großkonzerne haben eine IT-Sicherheitsabteilung, die sich ein KI-System ansieht, bevor es produktiv geht. Im Mittelstand übernimmt diese Aufgabe meist niemand ausdrücklich, während die Werkzeuge längst im Haus sind: ein Assistent in der Office-Oberfläche, ein Übersetzungsdienst im Browser, die Transkription der Besprechung, ein Chatbot auf der eigenen Webseite.
Drei Muster tauchen dabei immer wieder auf. Vertrauliche Unterlagen landen in einem öffentlichen KI-Werkzeug, weil das schneller geht als der offizielle Weg (mehr dazu unter Schatten-KI). Ein Chatbot auf der Webseite lässt sich über eine hochgeladene Datei zu Aussagen bringen, die niemand freigegeben hat. Und eine Automatisierung darf mehr, als sie müsste, weil ihre Berechtigungen beim Einrichten großzügig gesetzt und danach nie wieder angefasst wurden.
Beherrschbar ist das alles. Der Aufwand dafür fällt in der Regel deutlich kleiner aus als der Schaden, den ein einziger Vorfall anrichtet.
Sicherheit ist bei uns Gründer-DNA
Jonas Heschl ist Preisträger der Austria Cyber Security Challenge 2025, Kategorie Senior (Siegerliste von Cyber Security Austria), und sitzt als IT-Sicherheitsexperte im Gründerteam. Sicherheit ist bei uns deshalb kein Zusatzmodul, das man zu einer fertigen KI-Lösung dazubucht; sie steckt in der Architektur jeder Lösung, die wir bauen.
Wir prüfen bestehende KI-Lösungen auf Schwachstellen und begleiten neue Vorhaben von der Architektur an.
Mehr über unser Team erfahren
Wie oft KI an Sicherheitsvorfällen beteiligt ist
Die Zahlen stammen aus unserem Lagebild KI-Sicherheit; dort steht jede mit ihrer Primärquelle und einer Einordnung für den österreichischen Mittelstand.
92 %
der Organisationen mit einem Vorfall, der sich gegen ihre KI-Modelle oder KI-Anwendungen richtete, hatten keine ordentliche Zugriffskontrolle für ihre KI
1 von 4
Vorfällen mit böswilligem Angriff war KI-gestützt, 56 % mehr als im Vorjahr; solche Vorfälle kosteten rund 1 Mio. USD mehr als der weltweite Durchschnitt
247 Tage
dauerte es im Mittel, eine Datenpanne zu erkennen (183 Tage) und einzudämmen (64 Tage)
Die zehn Schwachstellen im Einzelnen
Die folgenden Kapitel bilden die OWASP Top 10 für LLM-Anwendungen in der Fassung 2025 ab, in deren Reihenfolge und mit deren Nummern. Jedes beschreibt einen Angriffsweg und die Gegenmaßnahmen, die dagegen tragen.
OWASP LLM01: Prompt Injection
Manipulierte Eingaben bringen ein Sprachmodell dazu, seine eigenen Anweisungen zu übergehen. Bei der direkten Variante tippt der Angreifer sie selbst ein, bei der indirekten bringt er sie über ein Dokument ins Spiel, das der Assistent für jemand anderen zusammenfasst. Jailbreaking ist ein Sonderfall davon und setzt eine Stufe tiefer an, an den Grenzen, die der Anbieter dem Modell antrainiert hat. Die Seite zeigt die Wege an Beispielen und beschreibt, welche Gegenmaßnahmen in der Praxis tragen.
OWASP LLM02: Sensitive Information Disclosure
Der unangenehme Fall ist der ohne Angreifer: Ein Assistent zeigt jemandem etwas, das er nicht sehen dürfte, weil die Berechtigungen im Index fehlen. Betroffen sind nicht nur Personendaten: Auch eine alte Kalkulation ist ein Betriebsgeheimnis. Die Seite nennt die drei Wege nach draußen und sagt, welche Gegenmaßnahme vor allen technischen kommt.
OWASP LLM03: Supply Chain
Eine KI-Anwendung besteht aus zugelieferten Teilen: vortrainiertes Modell, Bibliotheken, Plugins, Datenquellen. Ist eines davon kompromittiert, erbt die gesamte Anwendung dessen Risiko. Die Seite geht die neun Risikoklassen der Fassung 2025 durch, von der Herkunft eines Modells bis zu seiner Lizenz, und zeigt, was davon ein gepflegtes Inventar erledigt.
OWASP LLM04: Data and Model Poisoning
Manipulierte Daten bringen einem Modell falsche Zusammenhänge bei oder legen eine Backdoor an, die erst bei einer bestimmten Eingabe aufgeht. Betroffen ist nicht nur das Vortraining: Auch ein Finetuning-Datensatz, ein Dokument in der Knowledge-Base und das heruntergeladene Modell selbst gehören dazu. Die Seite zeigt, wo solche Daten hineingelangen und was sich davon im eigenen Haus prüfen lässt.
OWASP LLM05: Improper Output Handling
Übernimmt ein nachgelagertes System die Antwort des Modells ungeprüft, wird aus Text ausführbarer Code. Cross-Site-Scripting und Code-Injection entstehen auf diesem Weg, ohne dass am Modell selbst etwas falsch läuft. Die Seite grenzt den technischen Fall gegen Misinformation ab und zeigt, an welcher Stelle validiert gehört.
OWASP LLM06: Excessive Agency
Je mehr Werkzeuge und Rechte ein KI-Assistent bekommt, desto realer werden die Folgen einer einzelnen Fehlinterpretation. Aus einer missverstandenen Anfrage wird dann eine versendete E-Mail oder ein geänderter Datensatz. Die Seite behandelt den Zuschnitt der Werkzeuge, die Frage, wo eine Berechtigung geprüft gehört, und welche Aktion eine menschliche Freigabe braucht. Dazu kommt, welche Identität ein Agent braucht und wann ein Mensch seine Aktion freigibt. Sie hat den 2025 entfallenen Punkt zu unsicherem Plugin-Design aufgenommen.
OWASP LLM07: System Prompt Leakage
Der System Prompt einer Anwendung landet früher oder später bei ihren Nutzern, und das Auslesen ist dabei nicht der Schaden. Heikel wird die Anweisung durch ihren Inhalt: einen Zugangsschlüssel im Klartext oder die Bewilligungsschwelle, unter der jemand bleiben möchte. Die Seite zeigt, wohin solche Angaben gehören und was eine Anweisung danach noch enthalten darf.
OWASP LLM08: Vector and Embedding Weaknesses
Wer einen Assistenten auf die eigenen Dokumente setzt, legt das Firmenwissen ein zweites Mal ab, diesmal in einer Datenbank. Die Berechtigungen der Ablage kommen dabei nicht mit, und aus den Zahlen im Speicher lässt sich ein guter Teil der Texte zurückrechnen. Die Seite zeigt, an welcher Stelle die Rechte neu entstehen und warum ein Vector Store so vertraulich ist wie die Unterlagen, aus denen er stammt.
OWASP LLM09: Misinformation
Ein Sprachmodell füllt Wissenslücken mit plausibel klingendem Text, und die erfundene Auskunft klingt dabei wie die belegte. Teuer wird sie, sobald jemand sie ungeprüft in ein Angebot oder in den Quellcode übernimmt. Die Seite zeigt die vier Formen, die OWASP unterscheidet, und die Kontrollen, die vor der Wirkung greifen.
OWASP LLM10: Unbounded Consumption
Eine KI-Anwendung ohne Obergrenze arbeitet jede Anfrage ab, auch die teure. Das trifft die Antwortzeiten oder die Abrechnung, und über viele Abfragen lässt sich zusätzlich ein angepasstes Modell nachbilden. Die Seite nennt die Grenzen, die vor dem Start festzulegen sind.
Agenten und Architektur
Sobald ein Sprachmodell selbst liest und handelt, entscheidet die Architektur darüber, was eine versteckte Anweisung anrichten kann und wohin Daten gelangen.
Zero-Click-Angriffe auf KI-Agenten: Angriff ohne Klick
Ein Agent, der Postfach und Dokumente von selbst liest, führt eine darin versteckte Anweisung mit seinen eigenen Rechten aus, ohne dass jemand etwas anklickt. Die Seite erklärt den Angriffsweg am belegten Fall EchoLeak und zeigt, welche Architektur ihn abfängt.
Datenflüsse in KI-Systemen: wo sensible Daten wirklich landen
Ein KI-System legt Daten an mehr Stellen ab als im Prompt, etwa im RAG-Index oder in den Protokollen. Die Seite folgt den Daten bis zum Protokoll, erklärt Data Lineage und zeigt, warum umgeformte Daten klassischen DLP-Werkzeugen entgehen.
KI-Gateway: die Sicherheitsschicht vor dem Sprachmodell
Ein KI-Gateway prüft Anfragen und Werkzeugaufrufe in einer eigenen Schicht vor dem Modell, das dabei seine Fähigkeiten behält. Die Seite beschreibt, was ein Gateway kontrolliert und wann welche Absicherung genügt; als Beispiel dient unser eigener Aufbau vor lokalen Modellen.
Entwicklung und Betrieb
KI verändert auch, wie Software entsteht und wie schnell Lücken darin gefunden werden. Im Betrieb kommt die Frage dazu, wie man einen Abfluss über den eigenen Assistenten bemerkt.
KI-generierter Code: fünf Prüfschritte, bevor er produktiv geht
Code aus einem KI-Coding-Assistenten kompiliert und besteht Tests, und trotzdem kann er zu weite Rechte oder eine ungeprüfte Abhängigkeit mitbringen. Die Seite zeigt, wie Teams das Ergebnis unter echten Bedingungen prüfen, und schließt mit einer Checkliste für die Pipeline.
KI-gestützte Schwachstellensuche: Zero-Days am Fließband
KI-Modelle finden Sicherheitslücken inzwischen in großer Zahl, und Angreifer haben dieselben Werkzeuge wie die Verteidiger. Die Seite ordnet die belegten Funde ein und sagt, was das für den eigenen Patch-Prozess und für Responsible Disclosure heißt.
Köderdokumente in der Knowledge-Base: Datenabfluss erkennen
Ein erfundenes Dokument oder ein Zugangsschlüssel, der nirgends gilt, hat in der Knowledge-Base keinen legitimen Leser. Taucht so ein Köder in einer Antwort auf, fließen Daten über den KI-Assistenten ab. Die Seite zeigt, wo Honey Tokens und Canary Tokens hingehören und wann sie anschlagen.
Leistungen rund um KI-Sicherheit
Der KI-Sicherheitscheck prüft ein bestehendes oder geplantes KI-System, beginnend beim Datenfluss, mit wiederholbaren Testfällen auf Prompt Injection und einem Blick auf die Rechte angebundener Werkzeuge. Am Ende erhalten Sie eine priorisierte Liste der Befunde, die Ihr Team abarbeiten kann.
Für den sicheren Umgang mit KI-Werkzeugen im Arbeitsalltag gibt es die KI-Schulung, für die Pflichtenseite die Beratung zu KI-Governance und Regulierung.
Häufige Fragen zu Sicherheit und Datenschutz bei Sprachmodellen
Unsere Mitarbeiter nutzen ChatGPT auf eigene Faust. Wie riskant ist das?
Wie lässt sich ein bestehender Chatbot auf Prompt Injection prüfen?
Ist ein lokal betriebenes Sprachmodell automatisch sicher?
Woran merkt man, dass ein KI-Assistent zu viele Rechte hat?
Wo fangen wir an, wenn wir einen KI-Agenten einführen wollen?
Verlangt der EU AI Act Sicherheitsmaßnahmen für KI-Systeme?
Sicherheit beginnt bei der Infrastruktur
Die wirksamste Sicherheitsmaßnahme ist die, bei der sensible Daten Ihr Unternehmen gar nicht erst verlassen. Ein lokal betriebenes Sprachmodell nimmt einer ganzen Klasse von Risiken die Grundlage: Was nie an einen externen Dienst geht, kann dort auch nicht gespeichert oder ausgewertet werden. Die übrigen Schwachstellen dieser Seite verschwinden dadurch nicht, sie werden nur überschaubarer.
Lokale KI-Infrastruktur: Unsere Leistungen im Überblick
Förderung verfügbar, Antragsfrist läuft
DIGITAL.PLUS 26: Bis zu € 7.000 Zuschuss für dieses Projekt
KMU mit Standort in Oberösterreich können dieses Projekt im Rahmen von DIGITAL.PLUS 26 mit einem Zuschuss von bis zu 35 % der Projektkosten (max. € 7.000) fördern lassen, sofern sie aktives Mitglied der WKO Oberösterreich sind. Projektstart ab sofort möglich, Antragstellung bis 2. November 2026.
Der KI-Sicherheitscheck zeigt, wo Ihr KI-System angreifbar ist.
Ob Sie bereits einen Assistenten oder Agenten betreiben oder den Einstieg planen: Im ersten Gespräch klärt Jonas Heschl mit Ihnen, welches System geprüft wird und welche Daten und Werkzeuge daran hängen.
Oder schreiben Sie uns direkt: [email protected] | +43 660 31 96 763