Leseprobe · Teil I · Abschnitte 1 – 3 · Worum es geht

Warum Grundschutz vor KI kommt

Wer sich mit dem Einsatz künstlicher Intelligenz im Betrieb beschäftigt, stößt schnell auf eine Reihenfolge, die nicht verhandelbar ist: zuerst das Fundament der Informationstechnik, dann die Risiken, die neue Werkzeuge mitbringen. Band 1 dieser Reihe hat das in einem Satz gesagt und in fünf Punkten ausgeführt. Dieses Handbuch ist die Ausführung dieser fünf Punkte in der Tiefe, die ein Betrieb ohne IT-Abteilung braucht, um sie selbst umzusetzen — oder um zu prüfen, ob sein Dienstleister sie umgesetzt hat.

1.1 Die fünf Punkte aus Band 1

Band 1 stellt in Abschnitt 12 „Informationssicherheit“ fest, die Reihenfolge sei „fachlich vorgegeben: zunächst das grundlegende Fundament der Informationstechnik, danach die KI-spezifischen Risiken. Nicht ersatzweise.“ Vor jeder KI-spezifischen Maßnahme seien fünf Punkte zu ordnen, die „unspektakulär“ seien und „den überwiegenden Teil der tatsächlich eintretenden Vorfälle“ abdeckten:

Datensicherung, getrennt vom Netz vorgehalten, mit mindestens einmal erfolgreich erprobter Wiederherstellung. — Aktuelle Software auf allen Geräten — Betriebssysteme, Browser, Server, auch selten genutzte Geräte. — Zugänge: personengebundene Konten, Zwei-Faktor-Anmeldung, unverzügliche Sperrung bei Ausscheiden. — Zuständigkeit: eine namentlich benannte verantwortliche Person, auch wenn externe Unterstützung hinzugezogen wird. — Notfallregelung: festgelegte Erreichbarkeiten für den Fall eines Ausfalls.

Diese fünf Punkte sind die Gliederung von Teil II und III dieses Handbuchs: Zugänge (Abschnitte 4 und 5), Sicherung (6), aktuelle Software und Geräte (7), Zuständigkeit (9), Notfall (10 und 11). Dazu kommt ein Punkt, den Band 1 unter den KI-spezifischen Risiken führt, der aber jeden Betrieb trifft, ob er KI nutzt oder nicht: E-Mail und Betrug (8).

1.2 Was „Fundament“ konkret heißt

Ein Betrieb, der diese fünf Punkte nicht geordnet hat, kann jede andere Frage nur mit Vermutungen beantworten. Drei Beispiele, alle erfunden:

Eine Steuerberatungskanzlei mit vier Beschäftigten führt seit Jahren ein Postfach, dessen Passwort auch für den Zugang zum Buchhaltungsdienst gilt. Das Passwort wird bei einem fremden Dienst bekannt, in dem eine Mitarbeiterin es ebenfalls verwendet hatte. Niemand im Haus bemerkt, dass sich jemand anmeldet; die Anmeldung sieht aus wie ihre eigene. Ob dabei Klientendaten abgeflossen sind, kann die Kanzlei später nicht sagen — und genau diese Frage stellt die Datenschutzbehörde (Abschnitt 11.2).

Ein Installationsbetrieb sichert seit Jahren jede Nacht auf eine Festplatte, die am Server hängt. Eines Morgens sind alle Dateien verschlüsselt, die Sicherung auch, denn sie war zum Zeitpunkt der Verschlüsselung verbunden. Die Sicherung war vorhanden, aber nicht getrennt (Abschnitt 6.3).

Eine Agentur mit neun Beschäftigten hat eine Notfallregelung: „Bei Problemen den IT-Betreuer anrufen.“ Am Samstag, an dem es passiert, hat der IT-Betreuer sein Telefon aus, und niemand kennt die zweite Nummer, das Kundenportal des Cloud-Dienstes oder die Zugangsdaten des Routers. Der Betrieb steht bis Montag (Abschnitt 10).

Keines dieser Beispiele braucht künstliche Intelligenz, um zu passieren. Keines wird durch eine KI-Richtlinie verhindert. Alle drei werden durch die fünf Punkte verhindert oder abgefangen. Das ist der Grund für die Reihenfolge.

1.3 Warum gerade Betriebe ohne IT-Abteilung gemeint sind

Die Agentur der Europäischen Union für Cybersicherheit hat im Juni 2021 einen Bericht zur Lage kleiner und mittlerer Unternehmen vorgelegt und dazu einen Leitfaden mit zwölf Schritten. Nach dem Bericht nannten befragte Unternehmen als häufigste Vorfälle Angriffe mit Erpressungssoftware, gestohlene Notebooks, Phishing und die sogenannte Chef-Masche — vier Dinge, gegen die es keine teure Technik braucht, sondern die vier Handgriffe dieses Handbuchs.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik hat aus demselben Grund gemeinsam mit einem Mittelstandsverband ein Prüfverfahren entwickelt, das sich ausdrücklich an „kleine und Kleinstunternehmen mit bis zu circa 50 Beschäftigten ohne eigene IT-Abteilung“ richtet — den CyberRisikoCheck nach DIN SPEC 27076, den Band 1 bereits nennt und den Abschnitt 2 dieses Handbuchs beschreibt. Dass es diese Verfahren gibt, ist das Eingeständnis der Behörden, dass die großen Normen für diese Betriebe nicht gemacht sind.

1.4 Was dieses Handbuch von einer Norm unterscheidet

Es gibt Normen für Informationssicherheit, und für manche Betriebe sind sie der richtige Weg: die internationale Norm ISO/IEC 27001 für ein Managementsystem, in Deutschland der IT-Grundschutz des Bundesamts und die Richtlinie VdS 10000 für kleine und mittlere Unternehmen, in Österreich das Cyber-Risk-Rating-Schema. Dieses Handbuch führt keine davon ein. Es nennt sie, wo sie als Herkunft einer Empfehlung oder als Nachweis gegenüber einem Kunden vorkommen, und sagt dann, was sie sind. Wer ein Zertifikat braucht, weil ein Großkunde es verlangt, findet in Band 3 dieser Reihe, was der Kunde damit meint und ob eine Selbstauskunft genügt.

Was dieses Handbuch stattdessen leistet: Es beschreibt vier Handgriffe so, dass ein Betrieb sie ohne Norm, ohne Berater und ohne neues Produkt umsetzen kann, und es sagt bei jedem Handgriff, was ein Prüfer, ein Versicherer oder ein Kunde später sehen will. Das ist weniger als eine Norm. Für die meisten Betriebe, die dieses Handbuch lesen, ist es aber der Teil, der fehlt.