KI-Sicherheitsframeworks im Jahr 2026: Welche gelten und wo die Grenzen der einzelnen liegen

Im Jahr 2026 stehen Sicherheitsteams in Unternehmen mehr KI-Sicherheits-Frameworks zur Auswahl als je zuvor. NIST, OWASP, MITRE ATLAS, Google SAIF, ISO 42001 und CSA MAESTRO behandeln jeweils unterschiedliche Aspekte des gesamten KI-Sicherheitsproblems, und keines davon ist für sich allein vollständig.

Sobald Unternehmen entschieden haben, welche Frameworks sie übernehmen wollen, müssen sie verstehen, welches Problem jedes KI-Sicherheits-Framework lösen sollte und, was noch wichtiger ist, wo jedes einzelne seine Grenzen hat.

Dieser Leitfaden vergleicht die wichtigsten KI-Sicherheits-Frameworks basierend auf ihrem Umfang, ihrer Zielgruppe und ihrer praktischen Abdeckung und zeigt, wie viel nach Abschluss der Framework-Arbeit unberücksichtigt bleibt.

Welche Probleme sollen KI-Sicherheits-Frameworks lösen?

Traditionelle Cybersicherheits-Frameworks wurden speziell für deterministische Anwendungen entwickelt. KI-Systeme agieren verhaltensbasiert und probabilistisch, lernen aus Trainingsdaten, nutzen natürliche Sprachverarbeitung zur Ausführung von Anweisungen und sind zunehmend in der Lage, eigenständig zu operieren. Diese Verhaltensmerkmale bergen einzigartige Risiken, die kein früheres Cybersicherheits-Framework berücksichtigen konnte.

KI-Sicherheits-Frameworks versuchen, diese Lücke zu schließen, indem sie strukturierte Richtlinien zur Identifizierung von KI-Risiken, zur Steuerung von KI-Systemen über ihren gesamten Lebenszyklus hinweg und zum Aufbau zuverlässiger Abwehrmaßnahmen gegen die Art und Weise, wie KI versagt oder ausgenutzt wird, anbieten.

Sicherheitsteams in Unternehmen stehen vor einer echten Herausforderung, da die verschiedenen Frameworks unterschiedliche Aspekte desselben vielschichtigen Problems abdecken. Eine alleinige Abhängigkeit von einem bestimmten KI-Sicherheits-Framework, ohne dessen vollständige Lücken zu berücksichtigen, wird identifizierbare Schwachstellen in der gesamten Unternehmenssicherheitslage schaffen.

Die wichtigsten KI-Sicherheits-Frameworks

Werfen wir einen Blick auf die wichtigsten KI-Sicherheits-Frameworks:

NIST KI-Risikomanagement-Framework 

Das NIST KI RMF, herausgegeben vom National Institute of Standards and Technology, besteht aus vier Hauptkomponenten: Govern (Steuern), Map (Erfassen), Measure (Messen) und Manage (Verwalten). „Steuern“ umfasst die Festlegung von Richtlinien sowie die Definition von Rollen und Verantwortlichkeiten. „Erfassen“ beinhaltet die Identifizierung, wo KI eingesetzt wird, und das damit verbundene KI-Risiko bei der Implementierung. „Messen“ definiert Kriterien zur Bewertung dieser Risiken. „Verwalten“ legt einen Plan zur Implementierung von Risikominderungsstrategien fest, sobald bewertete Risiken identifiziert wurden.

Für regulierte Branchen ist das NIST KI-Risikomanagement-Framework der Standard-Governance-Anker. Es ist direkt den im EU AI Act definierten Risikostufen zugeordnet, und regulierte Branchen wie Finanzdienstleistungen, Gesundheitswesen und kritische Infrastrukturen verweisen in ihren KI-Governance-Leitlinien explizit auf das NIST KI RMF.

Die Einschränkung: Das NIST KI RMF bietet Governance-Strukturen, aber keine technischen Kontrollen. Es definiert, welche Verantwortlichkeitsstrukturen existieren und welche KI-Risikokategorien überwacht werden sollten, gibt aber keine Anleitung, wie ein Prompt-Injection-Angriff während der Ausführung verhindert werden kann. Das KI RMF behandelt nicht, wie sichergestellt werden kann, dass Agenten nur Tools aufrufen können, für die ihre Benutzer autorisiert sind. Es geht davon aus, dass eine nachgeschaltete Instanz die Durchsetzung übernimmt. Teams, die die Einhaltung des NIST KI RMF als umfassend betrachten, werden detaillierte Richtlinien haben, aber keine tatsächliche Durchsetzung während des Live-Betriebs.

OWASP LLM Top 10 und Agentic Top 10

Die von OWASP erstellte LLM Top 10 listet die größten Sicherheitsrisiken für Anwendungen großer Sprachmodelle auf, darunter Prompt Injection, unsichere Ausgabebehandlung, Data Poisoning, Denial-of-Service-Angriffe auf das Modell und Supply-Chain-Kompromittierung. Die Agentic Top 10 erweitert diese Risiken, indem sie einzigartige Risiken autonomer Agenten identifiziert, darunter unsichere Tool-Nutzung, übermäßige Privilegien, Verletzung von Vertrauensgrenzen zwischen Agenten und unkontrollierter Ressourcenverbrauch.

Beide Dokumente helfen dabei, Angriffsforschung in technische Kontrollen umzuwandeln, die Entwicklungsteams direkt umsetzen können. Dies ist besonders wertvoll für Teams, die LLM-Anwendungen entwickeln, da OWASP den besten Ausgangspunkt bietet, um zu verstehen, welche Angriffsfläche ihre KI-Entwicklung mit sich bringt.

Die Einschränkung: OWASP dient als Dokument zur Bedrohungsaufklärung, das aufzeigt, was angegangen werden muss, anstatt einen programmatischen Ansatz zur kontinuierlichen Durchsetzung vorzuschreiben. Obwohl Prompt Injection eindeutig das höchste KI-Sicherheitsrisiko darstellt, wird es durch die Identifizierung in einem Dokument nicht in der Produktion abgefangen. Wenn nichts im operativen Stack Prompt Injection zur Laufzeit blockieren kann, bietet das OWASP-Bewusstsein allein keine Sicherheitsmaßnahmen dagegen.

MITRE ATLAS

MITRE ATLAS ist ein Katalog tatsächlicher gegnerischer Taktiken und Techniken, die gegen KI-basierte Lösungen eingesetzt werden. Als Matrix ähnlich MITRE ATT&CK strukturiert, lässt es sich direkt auf SOC-Teams anwenden, die bereits ATT&CK-basierte Sicherheitstools verwenden. Die Techniken umfassen Modellumgehung, Datenvergiftung, Backdoor-Angriffe und Modell-Extraktion, die alle auf veröffentlichten Forschungsergebnissen und bestätigten Incident-Response-Daten basieren und nicht auf geschätzter Bedrohungsmodellierung.

Für Red Teams bietet ATLAS eine strukturierte Möglichkeit, realistische gegnerische Verhaltensweisen von KI-Systemen zu testen. Für Blue Teams liefert ATLAS das Vokabular, das benötigt wird, um Erkennungsregeln für KI-spezifische Angriffsmuster zu erstellen und KI-Risiken in bestehende SIEM-Workflows zu integrieren.

Die Einschränkung: ATLAS beschreibt, wie Angriffe ablaufen, und ermöglicht deren Test, was wirklich wertvoll ist. MITRE ATLAS bietet jedoch keine Laufzeitkontrollen für KI-Produktions-Workloads. Ein Sicherheitsteam kann ein vollständiges ATLAS-basiertes Bedrohungsmodell ableiten, eine Red-Team-Übung gegen jede ATLAS-Technik durchführen und dennoch keine Laufzeitverteidigungen finden, die diese Angriffspfade in der Produktion schützen. ATLAS bietet Einblicke in Lücken, erfordert aber separate Tools, um diese zu schließen.

Google SAIF

Das von Google entwickelte Secure AI Framework (SAIF) hat sechs Hauptschwerpunkte identifiziert: 

1) Aufbau solider Sicherheitsgrundlagen im gesamten KI-Ökosystem; 

2) Erweiterung der Erkennungs- und Reaktionsfähigkeiten auf die KI-Pipeline; 

3) Automatisierung von Abwehrmaßnahmen, um KI-gestützten Risiken einen Schritt voraus zu sein;

4) Standardisierung von plattformweiten Kontrollen, sodass sie einer übergreifenden Richtlinie unterliegen;

5) Anpassung der Kontrollen nach Bedarf, basierend auf dem Kontext des KI-Systems; 

6) Bewertung des KI-Risikos in Bezug auf bestehende Bedrohungsmodelle. 

SAIF bietet Organisationen, die KI-Anwendungen auf Google Cloud entwickeln oder Google-Engineering-Standards verwenden, ein hervorragendes Verständnis effektiver KI-Sicherheitsansätze von den frühesten Phasen der Modellentwicklung bis hin zur KI-Entwicklung und -Bereitstellung.

Die Einschränkung: SAIF ist als übergeordnete Best Practice hilfreich, schreibt jedoch keine spezifischen Kontrollen vor oder wie diese durchgesetzt werden sollen, sobald eine KI-Anwendung in Produktion ist. SAIF bietet umfassende Anleitungen zur Datenintegrität, Modellsicherheit und Lieferkettensicherheit während der Modelltrainingsphase, bietet jedoch nur einen Ausgangspunkt für die Durchsetzung von Kontrollen bei Produktionsagenten nach der Bereitstellung.

ISO 42001 

ISO 42001 ist ein internationaler Management-Systemstandard für KI. Er beschreibt, wie ein KI-Managementsystem eingerichtet, implementiert, aufrechterhalten und verbessert werden kann, wobei dieselbe übergeordnete Struktur wie bei ISO 27001 (Informationssicherheit) und ISO 9001 (Qualitätsmanagement) verwendet wird. Organisationen, die bereits ISO-Governance-Frameworks nutzen, können ihr bestehendes Programm mithilfe von ISO 42001 als gemeinsame Sprache auf KI erweitern.

Der Hauptgrund, warum Organisationen ISO 42001 einführen, ist, dass es einen Zertifizierungspfad bietet, um die zunehmend von Unternehmensbeschaffungsprozessen auferlegten Zertifizierungsanforderungen für KI-Governance zu erfüllen. ISO 42001 ist das glaubwürdigste verfügbare Framework für diesen Zweck.

Die Einschränkung: ISO 42001 konzentriert sich auf die Zertifizierung von Managementsystemen, nicht auf technische Kontrollen oder operative Sicherheitsmaßnahmen. Sie liefert den Nachweis, dass eine Organisation ihre KI-Governance-Richtlinie entwickelt, Verantwortlichkeiten festgelegt und Überprüfungsprozesse implementiert hat. 

Allerdings behandelt ISO 42001 weder agentisches KI-Verhalten, Prompt-Injection noch die Laufzeitdurchsetzung auf Infrastrukturebene. Ein nach ISO 42001 zertifiziertes Managementsystem bedeutet nicht, dass die Systeme der Organisation einzelne Anfragen filtern oder protokollieren, die sie durchlaufen. Die Zertifizierung bestätigt das Governance-Managementsystem, nicht die Datensicherheit oder die Durchsetzung bei Live-Traffic.

Wie man mehrere Frameworks zusammen einsetzt?

Diese KI-Sicherheits-Frameworks wurden für unterschiedliche Zwecke entwickelt, und ihre gemeinsame Nutzung gleicht die Schwächen jedes einzelnen aus.

Das NIST AI RMF bietet das Governance-Modell. Die OWASP LLM Top 10 und Agentic Top 10 dienen als Basis für Entwickler und Ingenieure zur Bewertung von Sicherheitslücken. MITRE ATLAS unterstützt die Bedrohungsmodellierung und das Red Teaming gegen KI-spezifische Angriffstechniken. ISO 42001 übernimmt die externe Verifizierung und die Einhaltung gesetzlicher Vorschriften. Google SAIF bietet Leitlinien zur Integration von Sicherheit in die Modellentwicklung und das Modelltraining.

Die Kombination dieser KI-Sicherheits-Frameworks bietet zusätzliche Sicherheit, dass alle Schichten des KI-Systems berücksichtigt werden. Das NIST AI RMF bietet Leitlinien dazu, was zu steuern ist. OWASP bietet Leitlinien dazu, was zu überwachen ist. ATLAS bietet Leitlinien dazu, wie Angriffe ausgeführt werden. ISO 42001 liefert den Nachweis der Einhaltung gesetzlicher Anforderungen. SAIF bietet Leitlinien dazu, wie sichere KI-Modelle entwickelt werden.

Es bleibt jedoch eine kritische Lücke. Keines dieser KI-Sicherheits-Frameworks befasst sich mit der Steuerungsebene, über die jede KI-Anfrage, Agentenaktion und jeder Werkzeugaufruf eine Richtliniendurchsetzung erfordert, bevor die Ausführung erfolgt.

Was KI-Sicherheits-Frameworks unbehandelt lassen?

Alle hier untersuchten KI-Sicherheits-Frameworks setzen Maßnahmen auf einer von drei Ebenen durch: Richtlinie, Dokumentation oder Bedrohungsmodellierung. Keines davon setzt Kontrollen direkt auf Live-Inferenz-Traffic durch.

Die Verwendung des NIST AI RMF verhindert nicht, dass ein überprivilegierter Agent eine Aktion über ein eingeschränktes Tool ausführt; es verlässt sich darauf, dass etwas nachgelagertes die Durchsetzung korrekt handhabt.

OWASP identifiziert Prompt-Injection als die größte KI-Sicherheitslücke, aber die Anerkennung in einem Dokument blockiert nicht, dass injizierte Anweisungen ein produktives KI-Modell erreichen.

MITRE ATLAS bietet ein Modell dafür, wie ein Angreifer die Fähigkeiten eines Agenten ausnutzt, verhindert aber diese Ausnutzung in einer Live-Bereitstellung nicht. Das Red Team identifiziert die Schwachstelle. Eine separate technische Schicht muss die Lücke schließen.

Die ISO 42001-Zertifizierung zeigt an, dass ein Managementsystem vorhanden ist, aber nicht gewährleistet, dass alle von diesem System verarbeiteten Anfragen in Echtzeit protokolliert oder gefiltert werden.

Diese Lücke ist strukturell. Die KI-Sicherheits-Frameworks wurden für Planungs-, Dokumentations- und Testumgebungen konzipiert. Das Schließen der Lücke erfordert eine Steuerungsebene, die auf der Infrastrukturschicht operiert, wo KI-Systeme in Echtzeit ausgeführt werden und wo Richtlinien durchgesetzt werden, bevor Anfragen Modelle und Tools erreichen.

Wie TrueFoundry KI-Sicherheits-Frameworks auf der Infrastrukturschicht operationalisiert?

TrueFoundry basiert auf einer wichtigen Prämisse. Die Infrastrukturschicht sollte die zuvor beschriebenen Kontroll-Frameworks durchsetzen und deren Durchsetzung nicht den einzelnen Entwicklungsteams überlassen oder sie in den Governance-Artefakten dokumentieren. 

Die TrueFoundry-Plattform wird im AWS / GCP / Azure-Konto des Kunden bereitgestellt und setzt Richtlinien auf der Gateway-Ebene durch, bevor ein Modell/Tool Anfragen erhält.

• Behebung unsicherer OWASP-Tool-Nutzung: Die OAuth 2.0 Identitätsinjektion bindet jede Agentenaktion an den Umfang der Berechtigungen des authentifizierten Benutzers. Ein Agent kann ein Tool nur aufrufen, wenn der anfragende Benutzer zum Zugriff darauf autorisiert ist, wodurch das Prinzip der geringsten Privilegien direkt umgesetzt wird, das KI-Sicherheits-Frameworks beschreiben, aber selbst nicht durchsetzen können.
• Abbildung auf NIST AI RMF-Governance-Standards: Der Zugriffssteuerungsmechanismus pro Modell und pro Tool etabliert die Verantwortlichkeit für das KI-Risikomanagement auf Systemebene, anstatt es Richtliniendokumenten zu überlassen, die von Entwicklungsteams möglicherweise nicht konsistent umgesetzt werden.
• Bekämpfung von OWASP LLM01 Prompt-Injection: Die Filterung von Prompt-Injections erfolgt auf Infrastrukturebene, bevor Anweisungen den Kontext des KI-Modells erreichen. Die Anonymisierung personenbezogener Daten (PII) begegnet der Offenlegung sensibler Informationen gemäß OWASP LLM06, indem personenbezogene und sensible Daten abgefangen werden, bevor sie in das Modell gelangen, und erfüllt so die Datenschutzanforderungen, die von KI-Sicherheitsframeworks festgelegt werden.
• Erstellung revisionssicherer Aufzeichnungen: Unveränderliche Prüfaufzeichnungen erfüllen die in NIST AI RMF, ISO 42001 und dem EU AI Act genannten Anforderungen, ohne dass eine separate Logging-Infrastruktur für jedes Team oder jede Anwendung erforderlich ist.
• Berücksichtigung von Datenschutz- und Residenzanforderungen: Die VPC-native Bereitstellung erfüllt die Souveränitäts- und Residenzanforderungen, die alle KI-Sicherheitsframeworks angeben, aber keines davon eigenständig durchsetzt.
• Schließung der Lücke zwischen Framework-Leitlinien und organisatorischer Realität: Auf Infrastrukturebene wird jede Richtlinie bei jeder Ausführungsanfrage durchgesetzt, anstatt in einem Governance-Handbuch dokumentiert und inkonsistent über Teams hinweg angewendet zu werden.