Die Normungsorganisationen ISO und IEC haben ISO/IEC 27090 „Cybersecurity – Artificial intelligence (AI) – Addressing security threats and compromises to AI systems" veröffentlicht, einen 56-seitigen Leitfaden, der Sicherheitsbedrohungen beschreibt, die ausschließlich KI-Systeme betreffen. Bis Mitte Oktober stand das Dokument noch im Finalisierungsstadium, wie Kopexa und CADE berichteten.

Wer einen KI-Assistenten an interne Dokumente anbindet – ob im Einkauf, in der Buchhaltung oder in der Verwaltung –, hat damit genau das Szenario, auf das die Norm zielt. Ein manipuliertes Dokument im gemeinsamen Ordner kann den Assistenten dazu bewegen, vertrauliche Inhalte in eine für andere Teams sichtbare Aufgabe zu übernehmen, wie Kopexa in einem konkreten Beispiel beschreibt. Im schlechtesten Fall fließen Daten, die nie nach außen gehören, in E-Mails, Aufgabenlisten oder Berichte. Und wer heute prüft, ob der Assistent nur liest oder auch schreibt, ob er auf präparierte Eingaben reagiert, ob er Zugriff auf Dokumentenablagen hat, die ihm nicht zustehen – der stellt genau die Fragen, die die Norm in ihren Anhängen strukturiert.

Die technischen Inhalte im Überblick

Die Norm listet mehrere Angriffsklassen auf, die KI-spezifisch sind: Data Poisoning, die Manipulation von Modellgewichten, Evasion-Angriffe mit präparierten Eingaben, Model Extraction über Schnittstellen, Membership Inference, Model Inversion sowie Prompt Injection und Angriffe über Modellausgaben. Ein Anhang ordnet diese den Phasen des KI-Lebenszyklus zu – von der Datenerhebung über das Training bis zum Betrieb –, ein zweiter beschreibt, wie herkömmliche Angriffe KI-Varianten annehmen. Die Norm versteht sich ausdrücklich als Ergänzung zu ISO/IEC 27001 und 27002 und füllt die Lücke, die ISO/IEC 42001 lässt: Letztere verlangt Sicherheitsmaßnahmen für KI-Systeme, benennt aber keine konkreten Angriffe. Das Schwesterdokument ISO/IEC 27091 zum Datenschutz in KI-Systemen befindet sich im Final-Draft-Stadium.

Wichtig für die Einordnung: Die 27090 ist ein Leitfaden ohne Anforderungscharakter. Es gibt kein Zertifikat, keine Konformitätsvermutung. Für europäische Anbieter ändert die Veröffentlichung an der Rechtslage nichts. Eine Konformitätsvermutung nach KI-Verordnung oder Cyber Resilience Act erzeugt die Norm nicht; dafür arbeitet CEN/CENELEC JTC 21 an der harmonisierten Norm prEN 18282, die weiterhin im Entwurf steht. Parallel hat ETSI die TS 104 223 veröffentlicht. Ein Mapping zwischen den drei Dokumenten existiert bisher nicht – wer auf eine einheitliche europäische Referenz hofft, muss noch warten.

Das Projekt lief seit September 2022, der Committee Draft folgte im Januar 2024, die DIS-Abstimmung endete im Juli 2025. Agentische KI-Systeme, die Zugriff auf Werkzeuge haben, behandelt die Erstausgabe nur am Rande. Die Norm ist ausschließlich auf Englisch erhältlich und kostet 204 Schweizer Franken als PDF oder gedruckt.

Was jetzt zu tun ist

1. Prüfen, welche KI-Komponenten im Betrieb aktiv sind: Assistenten, Anbindungen an Dokumentenablagen, E-Mail-Automatisierung, Bilderkennung. Für jede Komponente festhalten, welche Daten sie liest, welche sie schreibt und wer Zugriff auf die Konfiguration hat. Die Norm liefert hier keine Checkliste, aber die Anhängestruktur – Angriffe zugeordnet zu Lebenszyklusphasen und Assets – ist ein brauchbares Gerüst für diese Inventarisierung.
2. Für jede identifizierte Komponente ein konkretes Risiko formulieren: Was passiert, wenn ein Angreifer ein Dokument manipuliert, eine Eingabe präpariert oder die Schnittstelle ausliest? Die Formulierung sollte Auslöser, unerwünschtes Verhalten und Auswirkung enthalten – nicht „KI könnte unsicher sein", sondern „Manipulierte Quelldokumente veranlassen den Assistenten, vertrauliche Inhalte in eine für andere Teams sichtbare Aufgabe zu übernehmen".
3. Die Maßnahmen an den konkreten Befund anpassen: engere Datenzugriffe, menschliche Bestätigung vor schreibenden Aktionen, Tests mit manipulierten Eingaben. Und: Bei externen KI-Diensten die Lieferantenbewertung um die Frage erweitern, welche Daten an den Anbieter gelangen, welche vertraglichen Grenzen gelten und wie Änderungen mitgeteilt werden. Eine geplante Maßnahme senkt das tatsächliche Risiko noch nicht – erst der dokumentierte Test zählt.

Das Ärgerliche an der ganzen Sache: Die Norm beschreibt Angriffe, die seit 2022 in der Normung diskutiert werden, und packt sie jetzt in ein 56-seitiges PDF für 204 Franken. Wer heute einen KI-Assistenten im Betrieb hat und noch nie geprüft hat, ob ein manipuliertes Dokument ausreicht, um sensible Daten nach außen zu bringen, hat damit schon die richtige Frage im Kopf – die Antwort muss man sich selbst zusammenstellen, denn die Norm liefert kein fertiges Ergebnis, sondern ein Gerüst.

Wenn Sie unsicher sind, ob Ihre KI-Anbindung sauber abgesichert ist, ob die Zugriffsrechte stimmen oder ob die Lieferantenbewertung die richtigen Fragen enthält: Wir schauen uns das konkret an. Hier erreichen Sie uns.

Beitragsbild: cottonbro studio auf Pexels