Drei Ansätze für sichere KI-Nutzung im Vergleich KI-Sicherheit: Welcher Ansatz schützt wirklich?

Anbieter zum Thema

Edgeless Systems GmbH

FTAPI Software GmbH

KI einsetzen und dabei Daten schützen – viele Unternehmen wissen nicht, welche Sicherheitsmodelle es gibt. Sie können KI-Modelle in der Cloud nutzen, über Third-Party-Anbieter absichern oder selbst hosten. Die drei Ansätze unterscheiden sich aber stark in Kosten, Aufwand und Si­cher­heits­ni­veau. Ein zentrales Risiko bleibt: Daten liegen während der Verarbeitung im Arbeitsspeicher im Klartext vor.

Bei der KI-Nutzung fehlt häufig ein Verständnis dafür, welche grundlegenden Sicherheitsmodelle es gibt. Die drei wichtigsten Ansätze bieten verschiedene Schutzmechanismen und unterscheiden sich stark hinsichtlich Kosten, Aufwand und Skalierbarkeit.

KI einsetzen wollen mittlerweile fast alle Unternehmen und Organisationen. Wie sich das aber so umsetzen lässt, dass Daten dabei bestmöglich geschützt sind, ist für viele gar nicht so leicht zu beantworten. An Empfehlungen mangelt es nicht. Was aber häufig zu fehlen scheint, ist ein Verständnis der grundlegenden Sicherheitsansätze. Diese unterscheiden sich nämlich stark in puncto Aufwand, Risiken und Skalierbarkeit. Umso entscheidender ist es, sie zu kennen und einordnen zu können, um auf dieser Basis gute Entscheidungen treffen zu können.

Drei solcher grundlegenden Ansätze gibt es derzeit, die sich wiederum in weitere Unterkategorien clustern lassen. Im Folgenden eine Übersicht einschließlich ihrer jeweiligen Vor- und Nachteile.

Confidential Computing für sichere KI-Nutzung

Datenlecks sind ein zentrales Problem der generativen KI

Ansatz 1: KI in der Cloud

Bei diesem Ansatz werden KI-Modelle in Public Clouds genutzt, zum Beispiel OpenAI-Modelle über Microsoft Azure oder Anthropic-Modelle über AWS oder Google Cloud. Innerhalb dieses Ansatzes gibt es wiederum eine große Bandbreite an Sicherheitsstufen. Die niedrigste ist die direkte Nutzung cloudbasierter KI-Dienste ohne zusätzliche Absicherung, unabhängig davon, ob dies über eine API, eine Web-Oberfläche oder eine integrierte Anwendung geschieht. In diesem Fall hat der Nutzer kaum technische Kontrolle über die Ausführungsumgebung und verlässt sich im Wesentlichen auf vertragliche Zusagen, interne Prozesse und Compliance-Rahmen der Anbieter. Alle US-basierten Dienste unterliegen zudem dem US CLOUD Act, unabhängig davon, wo die Daten physisch gespeichert oder verarbeitet werden.

Eine höhere Sicherheitsstufe innerhalb dieses cloudbasierten Ansatzes entsteht durch Audits und Zertifizierungen unabhängiger Prüfer. Solche Nachweise erhöhen die Transparenz, bestätigen definierte Sicherheitskontrollen und schaffen Vertrauen. Sie ersetzen jedoch keine technische Absicherung der Laufzeitumgebung. Vor allem schließen sie keine Risiken aus, die während der Verarbeitung entstehen, da Prüfende weder Einblick in laufende Workloads noch Kontrolle über den Umgang mit Klartextdaten im Arbeitsspeicher haben.

Die höchste Sicherheitsstufe innerhalb dieses Ansatzes sind cloudbasierte Lösungen, die Confidential Computing nutzen, auch Confidential AI genannt. Dabei läuft die KI-Verarbeitung in einer hardware-isolierten Umgebung, in der Daten selbst während der Verarbeitung nicht im Klartext einsehbar sind. In Kombination mit Remote Attestation und clientseitiger Verschlüsselung bedeutet das: Weder der Infrastrukturbetreiber noch der Service Provider oder der Modellanbieter können auf Daten im Klartext zugreifen. Beispiele solcher Modelle sind Apples Private Cloud Compute oder Googles Private AI Compute sowie weitere unabhängige Dienste, die auf Confidential-Computing-fähigen CPUs oder GPUs laufen und dadurch eine abgeschottete, auch zur Laufzeit geschützte KI-Verarbeitung ermöglichen.

Security-Insider Podcast – Folge 103

(Open) Confidential Computing – ohne Vertrauen geht's noch nicht

Ansatz 2: Third-Party-Anbieter für mehr Sicherheit

Bei diesem ebenfalls cloudbasierten Ansatz soll eine vorgelagerte Sicherheitskomponente den Zugriff auf sensible Daten verhindern. Beispiele sind Privacy-Anbieter wie Nenna.ai. Diese Systeme analysieren Daten lokal, bevor sie an ein KI-Modell gesendet werden, und anonymisieren, filtern oder tokenisieren sensible Inhalte. Dieses Vorgehen erscheint sinnvoll, hat aber Schwächen. Es eignet sich eigentlich nur für Fälle, bei denen ausschließlich personenbezogene Daten entfernt werden müssen, während der übrige Kontext unkritisch ist. Sobald der Kontext insgesamt Rückschlüsse auf sensible Informationen zulässt – was beispielsweise in internen Dokumenten von Unternehmen meist der Fall ist – kommt so ein Filter an seine Grenzen. Und werden zu viele Informationen unkenntlich gemacht, wird das Ergebnis schnell unbrauchbar.

Innerhalb dieses zweiten Ansatzes finden sich auch die meisten „AI Wrapper”, also SaaS-Dienste, die ein eigenes Interface vor bestehende KI-Modelle setzen und deren Nutzung orchestrieren. Solche Anbieter investieren häufig in klassische IT-Sicherheitsmaßnahmen wie Segmentierung, isolierte Kundeninstanzen, gehärtete Hosts, restriktive IAM-Konzepte, MFA, WAF, kontinuierliches Monitoring mit SIEM und EDR sowie Verschlüsselung im Ruhezustand und im Transport. Wirksam sind diese Sicherheitsmaßnahmen aber natürlich nur, wenn sie vollständig und fehlerfrei umgesetzt werden. Darauf müssen Kunden dieser Anbieter vertrauen, und nicht immer geht das gut. Der massive Sicherheitsvorfall bei Localmind im Oktober 2025 hat das deutlich gezeigt.

Unabhängig von der Stärke der vorhandenen Sicherheitsmaßnahmen bei all diesen Drittanbieter-Lösungen bleibt eine zentrale Lücke bestehen: Bei der Ausführung eines KI-Modells müssen Daten im Arbeitsspeicher entschlüsselt vorliegen. Diese In-Use-Phase ist mit herkömmlichen Maßnahmen nicht absicherbar, sodass Risiken durch kompromittierte Hostsysteme, Schwachstellen in der Laufzeitumgebung oder privilegierte technische Zugriffe bestehen bleiben.

Vereinbarkeit von KI und Compliance

GenAI-Firewalls schützen sensible Daten bei KI-Interaktionen

Ansatz 3: Self-Hosting

Beim Self-Hosting-Ansatz betreiben Unternehmen KI-Modelle selbst, entweder on-premise, on-device oder in einer Private Cloud. Viele Enterprise-orientierte KI-Anbieter bieten solche Optionen an, etwa Cohere, Mistral oder Aleph Alpha. Dieser Ansatz ist für bestimmte Anwendungen sinnvoll, für die meisten Anwendungsfälle ist er aber nicht praktikabel.

On-premise-Lösungen sind teuer, komplex in der Implementierung und im Betrieb und erfordern spezialisierte Teams. Dazu kommt, dass die Hardware schnell veraltet. On-device-Ansätze scheitern meist an der verfügbaren Rechenleistung und eignen sich daher praktisch nur für kleine Modelle, nicht für große LLMs oder anspruchsvolle Unternehmensanwendungen.

Private-Cloud-Umgebungen wirken auf den ersten Blick wie ein sinnvoller Mittelweg zwischen Public Cloud und lokalem Deployment, sind in der Praxis aber fast immer fragwürdig. Der Cloud-Betreiber behält weiterhin privilegierten Zugriff auf die Infrastruktur, das grundlegende Vertrauensmodell ändert sich also nicht. Gleichzeitig steigen Aufwand und Kosten deutlich. Für die meisten Unternehmen ist dieser Ansatz daher weder wirtschaftlich noch sicherheitstechnisch die beste Wahl.

„Pssst…vertraulich!“

Cloud Computing mit Laufzeit-Verschlüsselung

Und was ist nun die beste Wahl?

Alle drei Ansätze haben grundsätzlich ihre Berechtigung, aber nicht jeder für jeden Use Case. Für viele Unternehmen ist ein Weg am sinnvollsten, der hohe technische Sicherheit mit der Praktikabilität der Cloud verknüpft. Confidential AI, wie in Ansatz 1 beschrieben, bietet das. Confidential-AI-Modelle reduzieren das zentrale In-Use-Risiko und bleiben gleichzeitig flexibel und skalierbar. Sie erlauben es zudem, kombinierte Infrastrukturen aufzubauen: LLM-Hubs, in denen je nach Datenklasse und Anwendungsfall entschieden wird, ob die Verarbeitung lokal erfolgen muss, abgesichert in der CLoud stattfinden kann oder - wenn keine sensiblen Daten vorliegen – sogar ohne zusätzliche Absicherung in den gängigen Tools wie ChatGPT verarbeitet werden. Auf diese Weise ist die KI-Nutzung sicher, aber auch für kleinere Unternehmen, Behörden und Organisationen bezahlbar und umsetzbar.

Über den Autor: Felix Schuster ist Gründer und Geschäftsführer von Edgeless Systems, einem Unternehmen für Cloud- und KI-Sicherheit aus Bochum. Nach Studium und Promotion in IT-Sicherheit arbeitete er bei Microsoft Research, bevor er 2020 Edgeless Systems mit Fokus auf Confidential Computing gründete.

Data in use war bisher die größte Sicherheitslücke der Cloud

Confidential Computing macht die Cloud vertrauenswürdig

Gemeinsam mit Edgeless Systems

Stackit führt Confidential-Computing-Lösungen ein

(ID:50774934)