Ein KI-Assistent fasst eine Kundenanfrage zusammen, ergänzt das CRM und bereitet die Antwort vor. In einer Vorführung dauert das nur wenige Sekunden. Für den Unternehmensalltag beginnt die entscheidende Arbeit danach: Welche Daten sieht die Anwendung, welche Änderungen darf sie ausführen und was passiert bei einer falschen Zuordnung?
Die Diskussion über den Berliner Datenabfluss ist ein guter Anlass, solche Fragen bei eigenen Digitalisierungsprojekten mitzudenken. Daraus lässt sich keine Ursache des Berliner Angriffs ableiten. Bei der Einführung von KI geht es um die Verantwortung für die eigenen Systeme und Abläufe.
Ein aktueller Hinweis: KI-Nutzung entsteht auch außerhalb offizieller Projekte
Das britische National Cyber Security Centre beschreibt in einem Beitrag vom 7. September 2026 die Risiken von „Shadow AI“: Beschäftigte nutzen KI-Anwendungen, die in den freigegebenen Prozessen ihrer Organisation nicht erfasst sind. Dadurch kann der Überblick über verarbeitete Unternehmensdaten verloren gehen. Das NCSC empfiehlt, die tatsächlichen Bedürfnisse der Beschäftigten zu verstehen und geeignete Alternativen bereitzustellen. NCSC, 07.09.2026: The hidden risks of shadow AI
Für ein kleineres Unternehmen bedeutet das zunächst: Fragen Sie offen, welche Aufgaben das Team bereits mit KI erledigt. Eine Liste sollte Anwendung, Zweck, verwendete Daten und verantwortliche Person enthalten. Erst danach lässt sich sinnvoll entscheiden, welche Nutzung freigegeben, angepasst oder beendet werden muss. Ein bloßes Verbot beantwortet den Bedarf nach einer besseren Arbeitsweise noch nicht.
Unterscheiden Sie Textunterstützung und ausführende Systeme
Ein Entwurf, den jemand kontrolliert, hat andere Folgen als eine Anwendung, die selbst Daten ändert oder versendet. OWASP bezeichnet übermäßige Funktionen, Berechtigungen und Selbstständigkeit als „Excessive Agency“. Das Risiko entsteht, wenn ein fehlerhaftes oder manipuliertes Modellergebnis folgenreiche Aktionen auslösen kann. OWASP LLM06:2025: Excessive Agency – Hintergrundquelle
Die technische Berechtigung muss zur Aufgabe passen. Wer einen Bearbeitungsstand zusammenfassen soll, benötigt nicht automatisch das Recht, Kundenakten zu löschen. Wo möglich, sollten Anwendungen eng begrenzte Funktionen bekommen. Die Frage lautet für jeden Zugriff: Welcher konkrete Arbeitsschritt wäre ohne diese Berechtigung nicht möglich?
Wie viel Selbstständigkeit ist für die Aufgabe sinnvoll?
Das folgende Arbeitsmodell von peistrup24 hilft bei der Projektentscheidung. Es ist keine Zertifizierung und keine offizielle Sicherheitsklassifizierung. Es konkretisiert die zuvor beschriebenen Grundsätze für einen betrieblichen Einführungsprozess.
- Stufe: 1 · Vorbereiten
- Handlungsspielraum: Ausgewählte Informationen strukturieren und Entwürfe erstellen
- Beispiel: Antwort auf eine Objektanfrage entwerfen
- Voraussetzung für eine Ausweitung: Zuordnung, Qualität und Nacharbeit anhand repräsentativer Fälle bewerten
- Stufe: 2 · Nach Freigabe ausführen
- Handlungsspielraum: Eine konkret bestätigte Aktion durchführen
- Beispiel: Geprüfte Nachricht an bestätigten Empfänger versenden
- Voraussetzung für eine Ausweitung: Freigabe technisch an Fassung, Empfänger und Anhänge binden; Änderungen erneut prüfen
- Stufe: 3 · Begrenzt selbstständig handeln
- Handlungsspielraum: Eng definierte Routineaktionen ausführen
- Beispiel: Interne Aufgabe aus eindeutig zugeordnetem Vorgang anlegen
- Voraussetzung für eine Ausweitung: Begrenzte Rechte, wirksame Ausnahmebehandlung, Überwachung und Abschaltung nachweisen
Die dritte Stufe ist kein allgemeines Reifeziel. Ein dauerhaft geprüfter Entwurf kann die wirtschaftlich beste Lösung sein. Auch „nur lesen“ ist nicht risikofrei: Ein unnötig großer Datenzugriff kann bereits vertrauliche Inhalte offenlegen. Wählen Sie den Handlungsspielraum für jede Aktion einzeln.
Ein durchgängiges Beispiel: vom Interessenten zum Antwortentwurf
Betrachten wir ein illustratives Maklerbüro. Neue Objektanfragen kommen per E-Mail an. Das Team möchte weniger Zeit für die Zuordnung, Rückfragen und Antwortentwürfe aufwenden. Der geplante Ablauf soll Informationen strukturieren und eine Bearbeitung vorbereiten.
Vor der Umsetzung formuliert das Büro den Auftrag genauer: Die Anwendung darf eine ausgewählte Anfrage verarbeiten, das zugehörige Objekt in einem freigegebenen Datenbestand suchen und einen Antwortentwurf erstellen. Ist die Zuordnung nicht eindeutig, soll ein Mitarbeiter entscheiden. Sensible Eigentümerunterlagen sind für diese Aufgabe nicht erforderlich.
Schon diese Beschreibung verändert die Planung. Die Qualität wird nicht daran gemessen, ob irgendeine plausible Antwort entsteht. Entscheidend ist, ob das richtige Objekt erkannt wird, fehlende Angaben sichtbar bleiben und die zuständige Person den Entwurf schnell prüfen kann. Ein Gespräch über diese drei Punkte ist oft wertvoller als die Auswahl des nächsten Modells.
Fremde Inhalte müssen als fremde Inhalte behandelt werden
Eine eingehende Nachricht ist zugleich Material für die Bearbeitung und eine mögliche Quelle unerwünschter Anweisungen. Bei einer indirekten Prompt Injection beeinflussen Inhalte aus Dokumenten oder Webseiten das Verhalten eines Sprachmodells. OWASP beschreibt, dass dadurch beispielsweise sensible Informationen offengelegt oder verbundene Funktionen unzulässig genutzt werden können. OWASP LLM01:2025: Prompt Injection – Hintergrundquelle
Für das Maklerbeispiel ist die Grenze klar: Die Anfrage kann einen Kundenwunsch enthalten, aber sie darf sich nicht selbst die Berechtigung erteilen, zusätzliche Akten zu lesen. Eingehende Inhalte werden deshalb getrennt von den festgelegten Systemregeln verarbeitet. Ein Satz in der Anfrage darf keine Freigabe im Unternehmenssystem ersetzen.
Auch das BSI behandelt manipulierte Eingaben und die Möglichkeit eines Datenabflusses bei LLM-Anwendungen. Besonders relevant ist die Kombination aus privaten Informationen, nicht vertrauenswürdigen Eingaben und einer Möglichkeit, Daten nach außen zu übertragen. Daraus folgt für die Gestaltung: Datenzugriff und externe Ausgabe gemeinsam betrachten. Ein Modellprompt allein ist keine verlässliche Sicherheitsgrenze. BSI: Künstliche Intelligenz – Fachinformationen und Evasion-Angriffe auf LLMs
Eine Freigabe braucht einen prüfbaren Gegenstand
Im Beispiel sollte die zuständige Person auf einer übersichtlichen Seite sehen: ursprüngliche Anfrage, zugeordnetes Objekt, Empfänger, Antworttext und gegebenenfalls ausgewählte Anhänge. Eine Schaltfläche mit der bloßen Frage „Fortfahren?“ wäre zu wenig. Die Person muss erkennen können, welche konkrete Handlung ihre Entscheidung auslöst.
Unser Umsetzungsvorschlag: Die bestätigte Fassung wird eindeutig dem Vorgang zugeordnet. Ändern sich anschließend Empfänger oder Anhänge, ist eine neue Prüfung erforderlich. Unklare Fälle landen mit einer kurzen Begründung in der Bearbeitungsliste. So unterstützt der Prozess Aufmerksamkeit, statt nur einen weiteren Klick zu verlangen.
Der Betrieb braucht mehr als ein laufendes Modell
Das NCSC empfiehlt für agentische KI unter anderem begrenzte Ausführungsumgebungen, nachvollziehbare Aktivitäten und eine wirksame Abschaltmöglichkeit. Der notwendige Kontrollumfang soll sich nach der Selbstständigkeit des Systems und den möglichen Folgen richten. NCSC, 20.08.2026: Managing the cyber risk of agentic AI
Für den Pilotbetrieb heißt das: Verantwortliche müssen erkennen können, welche Vorgänge bearbeitet wurden und welche auf Prüfung warten. Protokolle sollten die nötige Nachvollziehbarkeit schaffen, ohne unnötige Kundeninformationen dauerhaft zu vervielfachen. Wenn ungewöhnliche Aktivitäten auftreten, muss eine benannte Person die Verarbeitung stoppen und die zuständige technische Betreuung erreichen können.
Der Standort des Servers beantwortet diese Betriebsfragen nicht. Auch bei eigener Infrastruktur müssen Aktualisierungen, Zugänge und Wiederherstellung organisiert sein. Beim Einsatz externer Modelle gehört zusätzlich dazu, nachvollziehbar festzulegen, welche Inhalte an welchen Dienst übermittelt werden. Das NCSC betrachtet sichere Entwicklung, Bereitstellung und laufende Pflege ausdrücklich als zusammenhängenden Lebenszyklus. NCSC, 27.11.2023: Guidelines for secure AI system development – Hintergrundquelle
Eine Einführung, deren Nutzen sich prüfen lässt
Wir empfehlen für das beschriebene Maklerbeispiel einen begrenzten Pilot mit freigegebenen Testdaten und anschließend ausgewählten echten Vorgängen. Drei Messgrößen reichen für die erste Bewertung: Zeit bis zum geprüften Entwurf, Anteil erforderlicher Korrekturen und Anzahl ungeklärter Zuordnungen. Diese Werte werden mit dem bisherigen Ablauf verglichen.
Vor einer Ausweitung sollte das Team außerdem bewusst problematische Situationen durchspielen: zwei ähnliche Objekte, eine fehlende Kontaktangabe, ein unpassender Anhang und eine technische Unterbrechung. Das Ziel ist ein zuverlässiger Arbeitsablauf. Wenn die Nachbearbeitung den Zeitgewinn aufzehrt, muss der Pilot angepasst werden.
Ein geordneter Ausbau erfolgt erst, wenn Nutzen und Kontrollierbarkeit sichtbar sind. Weitere Postfächer, Datenbestände oder automatische Aktionen sind jeweils neue Entscheidungen. Ein erfolgreicher Test mit wenigen Anfragen rechtfertigt nicht von selbst einen unbegrenzten Zugriff auf alle Unternehmensdaten.
Rechnet sich der Workflow nach Prüfung und Betreuung noch?
Eine kurze Ausführungszeit in der Demo ist noch keine Zeitersparnis im Betrieb. Vergleichen Sie den gesamten bisherigen Ablauf mit der neuen Arbeitsweise, einschließlich Prüfung, Korrektur und Betreuung.
Netto-Zeitgewinn = vermiedene bisherige Bearbeitungszeit − verbleibende Bearbeitungs- und Prüfzeit − Korrekturzeit − laufende Betreuungszeit.
Wenn bereits die gemessene Differenz zwischen altem und neuem Gesamtprozess verwendet wird, dürfen Prüfung und Korrektur nicht nochmals abgezogen werden. Für den Eurovergleich sind die Zeitanteile mit passenden internen Stundensätzen zu bewerten. Laufende Systemkosten und die einmalige Einführung kommen gesondert hinzu.
- Illustrative Monatsrechnung: Vermiedene bisherige Bearbeitung
- Annahme: 100 Vorgänge × 12 Minuten
- Ergebnis: 20 Stunden
- Illustrative Monatsrechnung: Verbleibende Bearbeitung und Prüfung
- Annahme: 100 Vorgänge × 4 Minuten
- Ergebnis: −6 Stunden 40 Minuten
- Illustrative Monatsrechnung: Zusätzliche Korrektur
- Annahme: 10 Vorgänge × 6 Minuten
- Ergebnis: −1 Stunde
- Illustrative Monatsrechnung: Laufende Betreuung
- Annahme: 2 Stunden
- Ergebnis: −2 Stunden
- Illustrative Monatsrechnung: Netto-Zeitgewinn
- Annahme: 20 − 6⅔ − 1 − 2
- Ergebnis: 10 Stunden 20 Minuten
- Illustrative Monatsrechnung: Kalkulatorischer Zeitwert
- Annahme: 10⅓ Stunden × 45 Euro
- Ergebnis: 465 Euro
- Illustrative Monatsrechnung: Laufende Systemkosten
- Annahme: Angenommen 100 Euro
- Ergebnis: −100 Euro
- Illustrative Monatsrechnung: Monatlicher Kapazitätswert nach Systemkosten
- Annahme: 465 − 100 Euro
- Ergebnis: 365 Euro
Alle Werte sind frei gewählte Rechenannahmen. Bei angenommenen einmaligen Einführungskosten von 2.000 Euro ergäben sich rechnerisch rund 5,5 Monate bis zum Ausgleich dieses Aufwands. Diese Betrachtung setzt dauerhaft vergleichbare Mengen, Qualität und Zeitwerte voraus. Freie Kapazität ist nicht automatisch eine zahlungswirksame Einsparung: Ihr wirtschaftlicher Nutzen hängt davon ab, ob sie beispielsweise zusätzliche Arbeit ermöglicht oder tatsächlich Kosten vermeidet.
Unser Standpunkt: Der Handlungsspielraum einer KI sollte nur erweitert werden, wenn messbarer Nutzen und überprüfbare Kontrolle gemeinsam überzeugen. Dokumentieren Sie dazu vor dem Pilot, welche Qualitätsgrenze erreicht werden soll und bei welchen Fehlern die Verarbeitung sofort angehalten wird.
Was peistrup24 dazu beitragen kann
peistrup24 begleitet Unternehmen von der Prozessaufnahme über einen abgegrenzten Pilot bis zur Integration in vorhandene Werkzeuge. Dazu gehören verständliche Anforderungen, klare Datenwege, geeignete Freigaben und die Einweisung des Teams. Technische Sicherheitsprüfungen werden nach Projektbedarf mit entsprechend qualifizierten Fachleuten abgestimmt.
Die Einstiegsfrage für unser kostenfreies Erstgespräch lautet: Welche Befugnisse benötigt Ihr geplanter KI-Workflow tatsächlich? Bringen Sie dazu einen Ablauf mit, der heute unnötig Zeit kostet. Gemeinsam lässt sich klären, welche Unterstützung sich lohnt und welche Voraussetzungen für einen verlässlichen Betrieb geschaffen werden müssen. Erstgespräch vereinbaren.
Stand: 11. September 2026. Das Maklerbeispiel ist ein illustrativer Umsetzungsvorschlag. Die Fachquellen beschreiben allgemeine Risiken und Empfehlungen; sie belegen keinen Zusammenhang zwischen KI und dem Berliner Angriff.