KI-Sicherheit: Drei Schilde gegen ein wachsendes Risiko

In einem Blogeintrag vom 9. November 2026 ordnet Bruce Schneier AI Security in drei breite Themen: Sicherheit von KI („security of AI“), Sicherheit mit KI („security with AI“) und Sicherheit vor KI („security from AI“). Grundlage ist sein Besuch der [un]prompted AI Security Conference in San Francisco, einer dreitägigen Konferenz mit dichten Vorträgen über sämtliche Aspekte der KI-Sicherheit. Schneier hält ausdrücklich fest, dass zu allen drei Feldern Vorträge stattfanden. Seine Landkarte ist nützlich. Sie ist aber kein Sicherheitsnachweis: Der Eintrag nennt weder Erfolgsquoten noch Angriffskosten, gemessene Schadensminderung oder unabhängige Audits.

Beim ersten Feld, der Sicherheit von KI, geht es um das System selbst: um manipulierte Eingaben, Datenabfluss, kompromittierte Werkzeuge und die Integrität von Modellen und ihrer Lieferkette. Google beschreibt das SecureAI Framework als „a practitioner’s guide to navigating AI security“, als Leitfaden für den praktischen Umgang mit KI-Sicherheit. „SAIF: Google’s Guide to SecureAI“ bündelt diese Empfehlungen; die HP SAIF Map lässt die Entwicklung von KI-Anwendungen aus sicherheitsbezogener Sicht erkunden. Das ordnet Risiken und schafft eine gemeinsame Sprache. Doch eine Landkarte kennt weder die Entfernung zum Gegner noch den Zustand der Brücken. Ergänzend arbeitet das OWASP GenAI Security Project, eine globale, quelloffene Initiative zur Identifizierung, Minderung und Dokumentation von Sicherheits- und Schutzrisiken der generativen KI. Beides kann Lücken aufzeigen und Prüfungen organisieren. Beides beweist nicht, dass Angreifer diese Lücken nicht anders öffnen.

Beim zweiten Feld, der Sicherheit mit KI, wird das Modell selbst zum Werkzeug der Abwehr. Es sucht Anomalien, sortiert Warnmeldungen, prüft Code oder unterstützt Analysten. Die Automatisierung beschleunigt dabei nicht nur die Verteidigung. Sie kann Angreifern ebenso helfen, Angriffe zu formulieren, Schritte zu verketten und auf neue Verteidigungen zu reagieren. Ob der Nutzen überwiegt, ist eine empirische Frage. Schnellere Warnungen können mehr wert sein, aber nur, wenn zugleich weniger Angriffe erfolgreich werden. Belege dafür fehlen in der Einzelsource.

Beim dritten Feld, der Sicherheit vor KI, geht es um die Folgen für Menschen, Unternehmen und Entscheidungen. Ein System kann schaden, ohne selbst angegriffen zu werden: durch falsche Auskünfte, manipulierte Beweise, synthetische Täuschung, fehlerhafte Entscheidungen oder automatisierte Fehlhandlungen. Sobald ein Modell viele Menschen, Vorgänge oder Transaktionen erreicht, wird aus einem einzelnen Fehler eine Serie. Das Risiko kann exponentiell wachsen, nicht weil das Modell Bosheit entwickelt, sondern weil sein Handlungsradius schneller wächst als Kontrolle und Rücknahme. Hier liegt die eigentliche Gefahr.

Praktisch greifbar wird die Kontrollfrage bei Mozilla | 0din.ai. Das Produkt soll KI-Anwendungen sichern und deckt Copilots, RAG und LLM-Funktionen ab; RAG verbindet dabei eine Sprachmodellantwort mit gezielter Dokumentensuche. Angeboten werden einsatzbereite KI-Sicherheitstests, eine Probe-Bibliothek, Dashboards, geplante Scans, der Import eigener Probes, PDF-Berichte und der SIEM-Export, also die Weitergabe von Funden an eine zentrale Sicherheitssammlung. Das sind reale Kontrollen. Eine Probe-Bibliothek prüft bekannte Angriffe; geplante Scans wiederholen Tests; Berichte dokumentieren Ergebnisse; der SIEM-Export alarmiert Menschen. Keine dieser Funktionen beweist, dass unbekannte Angriffe oder schädliche Ausgaben ausbleiben. Das Werkzeug kann modellierte Risiken senken. Seine tatsächliche Wirkung entscheidet sich im Betrieb.

Die minutiöse Prüfung der Einzelsource ergibt eine klare Lücke: Schneiers Bericht belegt die Konferenz und die Dreiteilung der Themen. Die Projekt- und Produktbeschreibungen belegen, dass die genannten Instrumente existieren und welche Funktionen sie anbieten. Sie enthalten jedoch keine unabhängige Testprotokolle, Fehlalarmquoten, realistischen Angriffsszenarien, Vergleichsgruppen oder Messungen verhinderter Schäden. Aus einem Rahmenwerk wird deshalb kein wirksamer Schutz.

Wer die Kontrolle hat, hängt vom Einsatz ab: Anbieter kontrollieren Modell und Updates, Betreiber Werkzeuge und Freigaben, Betroffene häufig nur noch die Folgen. Solange die entscheidende Wirkungsfrage unbeantwortet bleibt, müssen aktuelle Sicherheitsmaßnahmen als Hypothesen unter Beobachtung gelten, nicht als fertige Schilde. KI-Sicherheit ist kein erledigtes Produkt, sondern ein wachsendes Risiko. Genau deshalb muss sie vor dem Einsatz messbar sein: mit Angriffstests, Fehlalarmen, Reaktionszeiten, menschlichen Rückfällen und dokumentierten Restrisiken.