Wo AI-Sicherheitsstandards aufhören — und Laufzeit-Schutz beginnen muss

Mit all den Diskussionen über die Sicherheitsrisiken von KI wird ein Problem oft übersehen: die Tatsache, dass KI-Systeme nur funktionieren, indem sie ihre wertvollsten Assets — Modelle und Daten — preisgeben.

Im Gegensatz zu traditioneller Software führt KI nicht einfach vordefinierte Logik aus. Sie mischt kontinuierlich proprietäre Modelle mit sensiblen Eingaben, um Ausgaben zu generieren, oft auf Infrastrukturen, die nicht dafür ausgelegt sind, Berechnungen zu schützen.

Auf diese Weise versagt traditionelle Sicherheit. Verschlüsselung ist effektiv, wenn Daten gespeichert oder über ein Netzwerk übertragen werden, aber nicht, wenn Daten verarbeitet oder bearbeitet werden. Bei KI entsteht die Gefahr insbesondere, wenn ein Modell bereitgestellt wird. Seine Parameter werden in den Speicher geladen, initialisiert und im großen Maßstab ausgeführt — der Punkt, an dem die Verschlüsselung aufhört — und sie potenziell unbefugtem Zugriff aussetzt. Während der Inferenz fließen sensible Daten durch denselben exponierten Raum. Das Ergebnis ist eine hochgradig gefährdete Risikofläche: KI-Systeme, die sicher erscheinen mögen — aber tatsächlich in den kritischsten Momenten ungeschützt sind.

Normenorganisationen wie das National Institute of Standards and Technology (NIST), die Agentur der Europäischen Union für Netz- und Informationssicherheit (ENISA) und das Open Web Application Security Project (OWASP) haben begonnen, dieses Gebiet zu erkunden. Sie beschreiben die Risiken, benennen die Schwachstellen und skizzieren Governance-Prinzipien. Aber sie gehen nicht so weit, vorzuschreiben, wie Modelle als geistiges Eigentum und Daten als vertrauliche Vermögenswerte geschützt werden können, wenn die Ausführung beginnt. Die Schließung dieser Lücke erfordert ein Umdenken in der KI-Sicherheit — nicht als Compliance-Übung, sondern als Problem der Berechnung selbst. Hier kommt die Verschlüsselung während der Verwendung, oder die End-to-End-Verschlüsselung, ins Spiel.

Die Blindheit in der modernen KI-Sicherheit

Die meisten Diskussionen über KI-Sicherheit drehen sich immer noch um vertrautes Terrain: Governance von Trainingsdaten, Zugriffskontrollen, API-Überwachung und verantwortungsvolle Benutzerpolitiken. Diese sind notwendig. Aber keine davon behandelt, was nach der Bereitstellung passiert, wenn ein Modell das Repository verlässt und zu einem lebendigen System wird.

Sobald ein Modell bereitgestellt ist, sind seine Parameter nicht mehr abstrakte Artefakte. Sie sind lebendige, im Speicher residierende Vermögenswerte, die kontinuierlich während der Inferenz zugegriffen werden und oft von mehreren Mandanten oder Kunden durch gemeinsam genutzte KI-Dienste verwendet werden. Diese Exposition tritt auf, bevor überhaupt ein Inferenzanfrage gestellt wird, und erhöht so das Risiko, indem sie sensible Eingaben und extern beobachtbares Verhalten einführt.

Die Behandlung des Modellschutzes als vorbereitende Sorge und die Inferenzsicherheit als Laufzeit-Sorge verfehlt den Punkt. In realen Systemen überlappen sich diese Risiken. Modelle und Daten sind über Initialisierung, Ausführung und Ausgabe hinweg exponiert. Sicherheit, die mit Speicherkontrollen beginnt und endet, behandelt diese Expositionen nicht.

Was NIST richtig macht — und wo es aufhört

Das NIST-KI-Risikomanagement-Framework ist zu einem Eckpfeiler für Organisationen geworden, die KI-Risiken managen möchten. Seine Struktur — Governance, Kartierung, Messung, Management — bietet eine disziplinierte Methode, um Verantwortung, Kontext, Auswirkungen und Milderung über den gesamten KI-Lebenszyklus hinweg zu denken.

Was NIST besonders gut macht, ist die Einordnung von KI-Risiken als systemisch und nicht als zufällig. KI-Ausfälle sind selten einzelne Ereignisse; sie entstehen aus Interaktionen zwischen Modellen, Daten, Menschen und Infrastrukturen. Diese Einordnung ist essentiell.

Wo das Framework versagt, ist die fehlende Vorschrift, wie hochwertige KI-Vermögenswerte geschützt werden, sobald Systeme live sind. Modellparameter werden implizit als Design-Zeit-Artefakte und nicht als Laufzeit-Vermögenswerte behandelt. Ausführungsumgebungen werden als vertrauenswürdig genug angenommen.

In der Praxis sind Modellparameter oft das wertvollste geistige Eigentum, das eine Organisation besitzt. Sie werden in den Speicher geladen, über Knoten kopiert, zwischengespeichert und wiederverwendet. Wenn KI-Risikomanagement die Vertraulichkeit von Modellen während der Bereitstellung und Ausführung nicht berücksichtigt, bleibt ein kritischer Vermögenswert außerhalb der Risikogrenze — wie eine sitzende Ente.

ENISA und die Realität von KI-spezifischen Bedrohungen

ENISAs Arbeit an der KI-Cybersicherheit treibt die Diskussion weiter voran. Ihr mehrschichtiges Framework unterscheidet zwischen traditioneller Infrastruktursicherheit und KI-spezifischen Risiken und erkennt an, dass KI-Systeme anders verhalten und anders ausfallen als herkömmliche Software.

Warum ist das wichtig? KI introduceiert Bedrohungen, die nicht gut in bestehende Kontrollen passen: Modell-Extraktion, Parameter-Leckage, Co-Tenancy-Exposition und Manipulation während der Ausführung. Diese Risiken erfordern keine exotischen Angreifer. Sie entstehen naturgemäß, wenn hochwertige Modelle in gemeinsam genutzten oder extern verwalteten Umgebungen laufen.

ENISAs Framework erkennt implizit an, dass die Sicherung von KI die Sicherung von Verhalten und nicht nur von Code bedeutet. Aber wie die meisten Normen konzentriert es sich auf das, was berücksichtigt werden sollte, und nicht darauf, wie Schutz technisch durchgesetzt wird, sobald Modelle laufen.

OWASP und die Kosten von beobachtbarer Intelligenz

OWASPs Top 10 für Large Language Model-Anwendungen bietet eine konkretere Sicht darauf, wie KI-Systeme in der realen Welt ausfallen. Prompt-Injektion, Offenlegung sensibler Informationen, Embedding-Leckage, übermäßige Ausgabetransparenz — diese sind keine theoretischen Bedenken. Sie sind die Nebenprodukte des Bereitstellens leistungsstarker Modelle ohne Einschränkung dessen, was sie preisgeben.

Während diese Probleme oft als Anwendungs-Schicht-Probleme dargestellt werden, sind ihre Konsequenzen tiefer. Wiederholte Exposition von Modell-Verhalten kann zu effektiver Klonung führen; schlecht isolierte Embeddings können Struktur preisgeben; und Inferenz-Missbrauch wird zu einem Weg zur Modell-Replikation.

OWASPs Taxonomie macht eines klar: Die Sicherung von KI ist nicht nur darum, schlechte Eingaben zu stoppen. Es geht darum, zu begrenzen, was Modelle preisgeben — intern und extern — sobald sie operational sind.

Ein gemeinsames Fazit, eine unvollendete Aufgabe

Über NIST, ENISA und OWASP hinweg gibt es eine breite Übereinstimmung in den Grundlagen:

• KI-Risiken umspannen den gesamten Lebenszyklus
• KI-Systeme introduzieren neue Bedrohungs-Kategorien
• Modelle und Daten sind hochwertige Vermögenswerte
• Laufzeit-Exposition ist unvermeidlich

Was diese Frameworks jedoch fehlt, ist ein Mechanismus, um Vertraulichkeit durchzusetzen, sobald Modelle bereitgestellt und die Berechnung beginnt. Diese Auslassung ist kein Fehler, da Normen Intent und Umfang definieren. Die Implementierung wird typischerweise dem System-Designer überlassen.

Aber sie lassen eine kritische Lücke — eine, die sich mit der Skalierung von KI-Systemen vergrößert.

Verschlüsselung während der Verwendung ändert die Gleichung

Verschlüsselung während der Verwendung verschiebt das Sicherheitsmodell. Anstatt anzunehmen, dass Daten und Modelle exponiert werden müssen, um nützlich zu sein, behandelt sie die Berechnung als etwas, das geschützt werden kann.

In praktischen Begriffen bedeutet dies:

• Modelle bleiben während der Bereitstellung, Initialisierung und Ausführung verschlüsselt
• Eingaben sind nie im Klartext für die Ausführungsumgebung sichtbar
• Zwischenzustände können nicht inspiziert oder modifiziert werden
• Infrastruktur muss nicht mehr implizit vertrauenswürdig sein

Dies ersetzt nicht Governance-Frameworks oder Anwendungs-Schicht-Kontrollen — es operationalisiert sie. Es wandelt Risiko-Prinzipien in durchsetzbare Garantien um, genau dann, wenn KI-Systeme am verletzlichsten sind.

Mit anderen Worten: Verschlüsselung während der Verwendung ist die fehlende Schicht zwischen KI-Politik und KI-Realität.

Wenn Governance endet und Ausführung beginnt: Die Sicherung von KI-Berechnungen

KI-Sicherheit bricht bei der Laufzeit zusammen. Sobald bereitgestellt, müssen KI-Modelle und sensible Daten in den Speicher geladen werden, um zu funktionieren, und erzeugen so eine Risikofläche, die traditionelle Kontrollen — Verschlüsselung bei Ruhe, Verschlüsselung während der Übertragung und Governance-Frameworks — nie dazu ausgelegt waren, zu schützen.

Normenorganisationen wie NIST, ENISA und OWASP haben wesentliche Fortschritte bei der Definition von KI-Risiken, Verantwortung und Missbrauch gemacht. Aber ihre Richtlinien behandeln Modelle größtenteils als Design-Zeit-Artefakte und gehen davon aus, dass Ausführungsumgebungen vertrauenswürdig sein können. In der Praxis werden Modellparameter und sensible Eingaben kontinuierlich zugegriffen, wiederverwendet und oft in gemeinsam genutzten oder extern verwalteten Umgebungen verarbeitet.

Die Schließung dieser Lücke erfordert ein Umdenken in der KI-Sicherheit — nicht als Compliance-Übung, sondern als Problem der Sicherung der Berechnung selbst — wenn Modelle live sind, Daten in Verwendung sind und Exposition unvermeidlich ist. Verschlüsselung während der Verwendung bietet eine gangbare Möglichkeit, KI-Modelle und sensible Eingaben über jeden Schritt des KI-Lebenszyklus hinweg sicher zu halten.