Welche KI, wofür, mit welchen Rechten?

Warum Unternehmen jetzt einen klaren KI-Rahmen brauchen

Teil 2 einer zweiteiligen Serie zu KI und IT-Sicherheit

In der Praxis sieht das so aus, dass in vielen Unternehmen längst mehrere KI-Werkzeuge parallel im Einsatz sind – von der Geschäftsführung eingeführt, von einzelnen Mitarbeitenden selbst ausprobiert oder als Teil einer Software mitgeliefert, ohne dass es jemand so genannt hätte. Wer heute gefragt wird, welche KI im eigenen Betrieb auf welche Daten zugreift, hat darauf selten eine vollständige Antwort.

Das Problem: Unkontrollierte KI-Nutzung wird selbst zur Schwachstelle

Teil 1 dieser Serie hat gezeigt, wie leistungsfähig aktuelle KI-Systeme beim Aufspüren von Sicherheitslücken geworden sind – und wie schnell ein KI-Agent, der zu viel Handlungsspielraum bekommt, über die eigentlich vorgesehenen Grenzen hinausgeht. Genau dieses Muster gilt nicht nur für Angreifer, sondern auch für die eigene KI-Nutzung im Betrieb: Ein KI-Agent mit Zugriff auf E-Mail-Postfächer, Kundendaten oder interne Systeme handelt nur so kontrolliert, wie die Rechte, die er dafür erhalten hat.

Dazu kommt regulatorischer Druck: Der EU AI Act verlangt je nach Risikoklasse konkrete Dokumentations- und Nachweispflichten. Unternehmen, die nicht wissen, welche KI-Anwendung welche Daten verarbeitet, können diese Nachweise nicht führen – unabhängig davon, wie gut die eingesetzte Technik im Einzelfall ist.

Komplexität reduzieren: Drei Fragen, die vor jedem KI-Einsatz beantwortet sein sollten

Statt jedes KI-Werkzeug einzeln zu bewerten, lässt sich die Entscheidung auf drei wiederkehrende Fragen herunterbrechen:

Warum und wofür? Welcher konkrete Anwendungsfall soll gelöst werden – und rechtfertigt er den Datenzugriff, den das Werkzeug dafür verlangt?
Welche KI? Welcher Anbieter, welches Modell, welcher Sicherheitsstandard steht dahinter – und wie geht der Anbieter mit den eingegebenen Daten um?
Welche Zugriffe und Daten? Auf welche Systeme, Postfächer oder Datensätze darf das Werkzeug zugreifen – und ist dieser Zugriff so eng wie möglich zugeschnitten?

Die Lösung: Ein verbindlicher Rahmen statt Einzelfallentscheidungen

Drei Bausteine machen aus diesen Fragen ein handhabbares System:

KI-Richtlinie mit klarer Freigabeliste. Welche KI-Werkzeuge sind für welche Zwecke zugelassen, welche ausdrücklich nicht. Neue Anfragen laufen über einen festen Freigabeprozess, nicht über Zuruf.
Rechte- und Rollenkonzept für jedes KI-Werkzeug. Jeder KI-Agent und jedes Tool bekommt nur die Zugriffsrechte, die der jeweilige Anwendungsfall tatsächlich braucht – nicht mehr. Das gilt für Chatbots genauso wie für KI-Coding-Agenten in der Entwicklung.
Regelmäßige Überprüfung statt einmaliger Freigabe. Da sich Fähigkeiten und Risiken von KI-Modellen schnell weiterentwickeln, muss die Freigabe eines Werkzeugs in festen Abständen neu bewertet werden – nicht nur beim ersten Einsatz.

Wie ein solcher Orientierungsrahmen konkret aussieht, zeigen wir in der KI-Beratung & Strategie der Konzept 17: von der Erfassung bestehender KI-Anwendungen bis zur belastbaren KI-Strategie mit klaren Zuständigkeiten.

Der nächste Schritt

Ein solcher Rahmen lässt sich nicht von der IT allein festlegen – er betrifft Geschäftsführung, Fachbereiche und Datenschutz gemeinsam. Wenn Sie klären möchten, welche KI-Werkzeuge in Ihrem Betrieb aktuell im Einsatz sind und wie ein passender Rahmen dafür aussieht: Erstgespräch anfragen.

Quellen

– [ORF: Bericht zum autonomen KI-Agenten bei Hugging Face](https://orf.at/stories/3437252/)

– [ZDFheute: OpenAI – KI wird ungewollt zum Hacker](https://www.zdfheute.de/wirtschaft/unternehmen/openai-ki-software-hacker-cyberangriff-100.html)

– [Notebookcheck: Warum Anthropic seine Cyber-KI Claude Mythos nicht öffentlich macht](https://www.notebookcheck.com/Zu-riskant-Darum-macht-Antrophic-seine-neue-Cyber-KI-nicht-oeffentlich.1268795.0.html)

– [Börse Express: KI-gestützte Attacken um 75 Prozent gestiegen](https://www.boerse-express.com/news/articles/cyberangriffe-ki-gestuetzte-attacken-um-75-prozent-gestiegen-927921)

– [Ad-hoc-news: Cyberbedrohungen 2026 – KI-Angriffe verursachen 440 Mrd. Euro Schäden](https://www.ad-hoc-news.de/wissenschaft/cyberbedrohungen-2026-ki-angriffe-verursachen-440-mrd-euro-schaeden/69438613)

KI-Beratung & Strategie Der Einsatz von KI im Unternehmen braucht eine Strategie, die Nutzen und Risiken von Anfang an abwägt. Mehr erfahren → KI-Compliance & Governance Der EU AI Act stellt neue Anforderungen an den Einsatz von KI-Systemen – mit klarer Governance-Struktur umgesetzt. Mehr erfahren →

Im Erstgespräch klären wir gemeinsam, wo Sie aktuell stehen und welche nächsten Schritte für Ihr Unternehmen sinnvoll sind – unverbindlich und ohne Fachjargon.

KI-gestützte Cyberangriffe: Warum Angreifer 2026 schneller sind als Ihre Verteidigung

Sie stehen vor der Situation, dass eine Phishing-Mail im Postfach Ihres Unternehmens landet, die keine Rechtschreibfehler mehr hat, den Tonfall der Geschäftsführung trifft und sich kaum noch von echter Kommunikation unterscheiden lässt. Genau das ist der Grund, warum sich viele Mandanten aktuell fragen, ob ihre bisherigen Schutzmaßnahmen noch ausreichen.

Cyberresilienz im Gesundheitswesen: Was jetzt zählt

Trotz vorhandener EU-Regulierungen wie NIS2 und dem Cyber Resilience Act scheitert die praktische Umsetzung von Cybersicherheitsmaßnahmen im Gesundheitswesen häufig an fehlenden Ressourcen, unklaren Verantwortlichkeiten und mangelndem Know-how. Für Unternehmensberatungen ergibt sich daraus ein konkreter Beratungsbedarf bei Kliniken, Krankenhäusern und Gesundheitsdienstleistern.

Smart Glasses: Was Ihr Unternehmen jetzt wissen muss

Die neue Kamera, die niemand erkennt – und was das für Sie bedeutet Sie stehen in einem Besprechungsraum mit einem Besucher. Dieser trägt eine Brille. Eine ganz normale Brille, würden Sie sagen. Vielleicht Ray-Ban, vielleicht ein anderes Modell. Was Sie nicht sehen: In diesem Brillengestell stecken zwei Kameras und fünf Mikrofone. Und möglicherweise läuft gerade eine Aufnahme.

Sommer, Sonne, Datenschutz: Gut vorbereitet in die Urlaubszeit

Die Sommer- und Urlaubszeit bedeutet für viele Beschäftigte Erholung und Abstand vom Arbeitsalltag. Gleichzeitig stellt diese Phase Unternehmen jedoch vor besondere organisatorische und datenschutzrechtliche Herausforderungen. Vertretungsregelungen, Abwesenheiten und spontane Übergaben können schnell dazu führen, dass sensible Informationen unzureichend geschützt werden.