Sicherheits-Checkliste für KI-Anbieter: 30 Fragen, bevor Sie ein KI-Werkzeug einführen

Aktualisiert am 26. Oktober 2026

Das NPM-Paket axios — das wöchentlich von über 50 Millionen Entwicklern genutzt wird — wurde bei einem Angriff auf die Software-Lieferkette kompromittiert. Wenn ein derart allgegenwärtiges Paket getroffen werden kann, dann können es auch die KI-Werkzeuge in Ihrem Unternehmen. Dieser Leitfaden führt Sie durch die Prüfung der Sicherheit von KI-Anbietern, damit die Werkzeuge, die Sie einführen, vertrauenswürdig und konform sind.

Diese Checkliste deckt die sechs Bereiche ab, die Sie prüfen sollten, bevor Sie einen neuen KI-Anbieter oder ein neues KI-Werkzeug einführen. Nutzen Sie sie gemeinsam mit Ihrem Einkaufsteam oder Ihrem IT-Leiter, oder gehen Sie sie allein durch. Vergeben Sie einen Punkt für jeden Punkt, den Sie bestätigen können. Die Bewertungsübersicht finden Sie am Ende.

Abschnitt 1: Software-Lieferkette

• Veröffentlicht der Anbieter eine Software-Stückliste (SBOM) oder eine Liste seiner Abhängigkeiten?
• Werden die Abhängigkeiten regelmäßig geprüft? Gibt es einen veröffentlichten Prozess dafür?
• Verwendet der Anbieter Dependency Pinning (exakte Versionen) oder Versionsbereiche? Bereiche = höheres Risiko.
• Gibt es einen veröffentlichten Prozess dafür, wie er auf eine Kompromittierung vorgelagerter Komponenten reagiert — etwa wenn eine wichtige Abhängigkeit gehackt wird?
• Hat er eine Richtlinie zur Offenlegung von Schwachstellen und ein SLA für die Reaktion auf CVEs?

Abschnitt 2: Umgang mit Daten

• Wo werden Ihre Daten verarbeitet — On-Premise, in einer Cloud-Region, bei Drittanbieter-Unterauftragsverarbeitern?
• Werden Ihre Daten zum Training seiner Modelle verwendet? Lassen Sie sich das schriftlich bestätigen.
• Wie lautet die Richtlinie zur Datenaufbewahrung? Wie lange werden Ihre Anfragen und Eingaben gespeichert?
• Bietet er einen Auftragsverarbeitungsvertrag (DPA) an? Ist er DSGVO-/PDPL-konform?
• Sind die Daten bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256) verschlüsselt?

Abschnitt 3: Zugriff & Identität

• Unterstützt das Werkzeug SSO (Single Sign-On) mit Ihrem Identitätsanbieter?
• Wird MFA für Administratorkonten erzwungen?
• Gibt es rollenbasierte Zugriffskontrollen (RBAC), sodass nicht jeder vollen Zugriff hat?
• Können Sie nachvollziehen, wer wann auf was zugegriffen hat — vollständige Audit-Logs?
• Gibt es eine Richtlinie zur Rotation von API-Schlüsseln? Wie einfach lässt sich der Zugriff entziehen?

Abschnitt 4: Modell- & Ausgaberisiko

• Dokumentiert der Anbieter, was sein Modell kann und was nicht — einschließlich bekannter Fehlermodi?
• Gibt es eine Schicht für Inhaltsfilterung oder Moderation der Ausgaben?
• Kann das Modell mit Ihren Daten feinabgestimmt werden — und wenn ja, sind diese Daten von anderen Kunden getrennt?
• Gibt es eine Option mit menschlicher Kontrolle (Human-in-the-Loop) für Entscheidungen mit hohem Risiko?
• Veröffentlicht er Modellkarten oder eine Modelldokumentation?

Abschnitt 5: Stabilität & Verantwortlichkeit des Anbieters

• Wie lange ist er schon am Markt? Hat er Unternehmenskunden, die Sie als Referenz ansprechen können?
• Wie lautet sein Verfügbarkeits-SLA, und wie war die Verfügbarkeit in der Vergangenheit?
• Hat er eine Cyber-Haftpflichtversicherung?
• Gibt es einen klaren Prozess für die Reaktion auf Vorfälle? Wie informiert er Kunden über eine Datenschutzverletzung?
• Was geschieht mit Ihren Daten, wenn das Unternehmen den Betrieb einstellt oder übernommen wird?

Abschnitt 6: Vertrag & Compliance

• Enthält der Vertrag eine Klausel zum Prüfungsrecht?
• Sind Haftungsgrenzen klar definiert?
• Gibt es eine Freistellungsklausel für Verletzungen geistigen Eigentums in KI-Ausgaben?
• Verfügt der Anbieter über SOC 2 Type II, ISO 27001 oder eine gleichwertige Zertifizierung?
• Gibt es im Vertrag einen klaren Prozess für die Beendigung der Zusammenarbeit und die Löschung der Daten?

Bewertungsübersicht

Die Kompromittierung von axios erinnert daran, dass Vertrauen in ein Werkzeug nicht genügt — Sie müssen es überprüfen. Laut der CISA (Cybersecurity and Infrastructure Security Agency) zielen Angriffe auf die Lieferkette nicht direkt auf Ihren KI-Anbieter, sondern auf die Abhängigkeiten, denen Ihr KI-Anbieter vertraut. Das schwächste Glied in Ihrem KI-Stack ist oft ein Paket, das drei Ebenen tief liegt und das niemand geprüft hat. Untersuchungen von McKinsey zu KI und Cybersicherheitsrisiken unterstreichen diese anhaltende Sorge im Unternehmensumfeld.

Für Unternehmen in den VAE kommt eine weitere Ebene hinzu: zu verstehen, wie Ihre gewählten KI-Werkzeuge mit den Datenschutzvorschriften der VAE (PDPL) zusammenwirken und — für regulierte Branchen — mit den Anforderungen der CBUAE oder der DHA. Ein KI-Beratungspartner mit Kenntnis der Regulierung in den VAE kann Ihnen helfen, die Sicherheitsprüfung von KI-Anbietern systematisch durchzuführen, statt für jedes neue Werkzeug ad hoc. Erfahren Sie mehr darüber, wie Sie Ihre KI-Governance strukturieren.

Eine weitere Gewohnheit, die Ihre Daten schützt: Lesen Sie die Nutzungsbedingungen des KI-Anbieters, bevor Sie unterschreiben, und wenden Sie sie an. KI verantwortungsvoll einzusetzen, innerhalb der Regeln, die der Anbieter für die Speicherung und Nutzung Ihrer Daten festlegt, ist eine der einfachsten Möglichkeiten, Unternehmensdaten zu schützen.

Speichern Sie diese Checkliste. Teilen Sie sie mit Ihrem Einkaufsteam. Wenden Sie sie auf jedes neue KI-Werkzeug an, bevor es Produktionsdaten berührt.

Brauchen Sie Unterstützung bei der Bewertung Ihrer aktuellen KI-Anbieterlandschaft? Innov@Scale unterstützt Unternehmen in den VAE dabei, KI-Werkzeuge verantwortungsvoll auszuwählen und einzusetzen, damit Unternehmensdaten geschützt bleiben →

Entdecken Sie verwandte Leistungen von Innov@Scale

• KI-Beratung VAE — Bewerten, beraten und transformieren, mit Partnerplattformen und Spezialisten
• KI-Reifegrad-Assessment — Eine bewertete Liste von Anwendungsfällen und eine Roadmap
• Alle Leistungen — Zehn KI-Leistungen in drei Schritten

Was sollten Sie vor der Integration eines KI-Anbieters prüfen?

Beginnen Sie mit Datenhandhabung, Modell-Provenienz und Zugriffskontrollen. Bestätigen Sie, dass der Anbieter transparent über Trainingsdatenquellen ist und einen Datenverarbeitungsvertrag bereitstellen kann.

Wie bewerten Sie das Risiko eines KI-Anbieters im GCC-Kontext?

Suchen Sie nach Konformität mit dem UAE PDPL, Datenspeicherungsoptionen in der Region und Erfahrungen des Anbieters in regulierten Branchen wie Gesundheitswesen, Finanzen und öffentlicher Sektor.