*Info: Blagartikel-Bild generiert mit Gemini / Der Artikel wurde in Zusammenarbeit mit KI (OpenAI 5.6 Sol) erstellt.
Warum Unternehmens-KI Autonomie, niedrige Latenz und Sicherheit nicht gleichzeitig maximieren kann – und wie eine mehrschichtige Architektur diese Zielkonflikte beherrschbar macht.
KI-Teams in Unternehmen stehen häufig vor der Aufgabe, drei Ziele gleichzeitig zu erreichen: ein System, das hoch leistungsfähig ist, unmittelbar reagiert und zuverlässig vor Missbrauch und Ausfällen geschützt ist.
In der Praxis kann die Optimierung einer Dimension die beiden anderen unter Druck setzen. Leistungsfähigere Systeme nutzen größere Modelle, beziehen mehr Kontext ein, rufen zusätzliche Werkzeuge auf und treffen mehr Entscheidungen. Dadurch steigen sowohl die Latenz als auch die Angriffsfläche. Zusätzliche Sicherheitskontrollen erfordern Validierung, Autorisierung, Überwachung und mitunter eine menschliche Prüfung. Ambitionierte Latenzziele verringern zugleich die Zeit, die für diese Kontrollen zur Verfügung steht.
Diese Spannung lässt sich als KI-Sicherheitstrilemma beschreiben: als praktische Schwierigkeit, Leistungsfähigkeit, Geschwindigkeit und Sicherheit gleichzeitig zu maximieren. Es handelt sich nicht um ein formales Gesetz, und Unternehmen müssen nicht buchstäblich zwei von drei Zielen auswählen. Vielmehr ist das Trilemma eine nützliche Entscheidungshilfe: Jedes KI-System verfügt nur über ein begrenztes Budget für Latenz, Kosten und Risiko – und diese Grenzen erzwingen Abwägungen.
Das Ziel besteht nicht darin, eine KI zu entwickeln, die in jeder Hinsicht intelligent, schnell und sicher ist, sondern eine KI, die für die ihr übertragenen Aufgaben ausreichend leistungsfähig, reaktionsfähig und kontrollierbar ist. ~ Murat Durmus
Die drei Dimensionen
1. Leistungsfähigkeit: Wie viel kann das System verstehen und leisten?
Ein leistungsfähiges KI-System kann komplexe Informationen verarbeiten, mehrstufige Pläne erstellen, externe Inhalte abrufen, Softwarewerkzeuge einsetzen und im Auftrag eines Nutzers handeln. Diese Funktionen schaffen Mehrwert, bringen aber auch Risiken mit sich.
Ein Assistent, der lediglich Texte entwirft, hat einen begrenzten Wirkungsradius. Ein Agent, der im Internet recherchieren, interne Datenbanken abfragen, Code ausführen, Nachrichten versenden oder Transaktionen freigeben kann, wirkt dagegen auf reale Systeme und Daten ein. OWASP bezeichnet dieses Risiko als Excessive Agency (übermäßige Handlungsbefugnis). Es entsteht, wenn eine KI-Anwendung mehr Funktionen, Berechtigungen oder Autonomie erhält, als ihre Aufgabe erfordert. [1]
Die entscheidende Frage lautet daher nicht nur: „Wie intelligent ist das Modell?“, sondern auch: „Worauf kann das System zugreifen, und was darf es verändern?“
2. Geschwindigkeit: Wie schnell liefert das System ein nutzbares Ergebnis?
Kurze Reaktionszeiten sind im Kundenservice, in dialogorientierten Anwendungen, bei der Betrugserkennung, in industriellen Abläufen und in anderen zeitkritischen Prozessen unverzichtbar. Die Ende-zu-Ende-Latenz umfasst jedoch mehr als die reine Modellinferenz. Hinzu kommen möglicherweise Datenabruf, Richtlinienprüfung, Inhaltsfilterung, Werkzeugausführung, Ausgabevalidierung, Protokollierung und Freigabeschritte.
Jede Kontrollmaßnahme kann die Verarbeitungszeit verlängern oder den operativen Ablauf verlangsamen.
Einige Prüfungen lassen sich parallel ausführen, zwischenspeichern oder selektiv anwenden. Ein System, das für Antwortzeiten unter einer Sekunde ausgelegt ist, bietet jedoch weniger Spielraum für gründliche Kontrollen als ein asynchroner Prozess.
3. Sicherheit: Wie zuverlässig kann das System innerhalb definierter Grenzen arbeiten?
Kein KI-System im Produktiveinsatz ist vollkommen sicher. Ein sinnvolleres Ziel ist ein risikogesteuerter Betrieb: Das System verhält sich innerhalb definierter Grenzen, schützt sensible Daten, widersteht Manipulationsversuchen und liefert nachvollziehbare Belege, wenn etwas schiefläuft.
Dafür sind Kontrollen über den gesamten Lebenszyklus hinweg erforderlich – nicht nur eine Sicherheitsanweisung im System-Prompt. Typische Maßnahmen umfassen Bedrohungsmodellierung, Authentifizierung, Zugriffe nach dem Least-Privilege-Prinzip, Schutz vor Prompt Injection, strukturierte Ausgabevalidierung, Data Loss Prevention, Audit-Protokollierung, adversariale Tests, Reaktion auf Sicherheitsvorfälle und menschliche Freigaben für folgenreiche Aktionen. Dieser Lebenszyklusansatz entspricht sowohl dem NIST-Profil für generative KI als auch internationalen Leitlinien für die sichere Entwicklung von KI-Systemen. [2] [3]
Drei typische Betriebsmodelle
Das Trilemma lässt sich am besten als Spektrum verschiedener Betriebsmodelle verstehen – nicht als Auswahl zwischen drei absoluten Optionen.
Leistungsfähig + kontrolliert: sorgfältig abgesicherte KI
In Umgebungen mit weitreichenden Auswirkungen sind die Kosten einer falschen oder unautorisierten Aktion höher als die Kosten einer Verzögerung. Solche Systeme können ein leistungsfähiges Modell verwenden, umgeben es jedoch mit Abrufkontrollen, Quellenprüfung, isolierter Ausführung, zusätzlicher Verifikation und menschlicher Freigabe.
Das Ergebnis ist in der Regel langsamer und teurer – häufig jedoch aus gutem Grund. Medizinische, juristische oder finanzielle Systeme sollten ihre Reaktionszeit nicht zulasten von Nachvollziehbarkeit und Kontrolle optimieren.
Leistungsfähig + geringe Latenz: KI mit begrenztem Risikoprofil
Einige Anwendungen profitieren von starker Schlussfolgerungsfähigkeit und unmittelbaren Antworten, auch wenn nicht jede Ausgabe eingehend geprüft werden kann. Das ist vertretbar, sofern das System ausschließlich nicht sensible Informationen verarbeitet, keine irreversiblen Aktionen ausführen kann und in einer eng begrenzten Umgebung arbeitet.
Sicherheit fehlt hier nicht; sie wird vor allem durch die Begrenzung möglicher Folgen erreicht. Ausgaben sollten als nicht vertrauenswürdig behandelt werden, sensible Systeme müssen unerreichbar bleiben, und Nutzer sollten erkennen können, wann eine Verifikation erforderlich ist. Dieses Modell eignet sich für Ideenfindung und Assistenz – nicht für die autonome Steuerung weitreichender Prozesse.
Geringe Latenz + kontrolliert: eng begrenzte KI
Ein System benötigt keine umfassende Autonomie, um nützlich zu sein. Eng begrenzte Anwendungen können schnell arbeiten und vergleichsweise einfach abgesichert werden, weil Eingaben, Ausgaben und zulässige Aktionen präzise definiert sind.
Das ist keine „dumme“ KI, sondern zweckgebundene KI. Ein Workflow, der eine Anfrage einer freigegebenen Kategorie zuordnet oder den aktuellen Bestellstatus eines Kunden abruft, kann mehr geschäftlichen Nutzen schaffen als ein universeller Agent mit unnötigen Zugriffsrechten.
Die Rolle eines KI-Sicherheitsgateways
Eine Möglichkeit, das Trilemma zu beherrschen, besteht darin, modellbasiertes Schlussfolgern von der Durchsetzung von Richtlinien zu trennen. Ein KI-Sicherheitsgateway – auch als KI-Proxy oder Policy-Enforcement-Layer bezeichnet – befindet sich zwischen Nutzern, Modellen, Unternehmensdaten und Werkzeugen. Es setzt einheitliche Kontrollen durch, ohne vom Modell zu erwarten, dass es sich selbst überwacht.
Je nach Architektur kann diese Schicht:
- Nutzer authentifizieren und einen vertrauenswürdigen Identitätskontext zuordnen;
- sensible Daten klassifizieren oder schwärzen, bevor sie das Modell erreichen;
- direkte und indirekte Eingaben auf Anzeichen von Prompt Injection prüfen;
- Modellausgaben anhand von Schemata und Geschäftsregeln validieren;
- Werkzeugaufrufe mithilfe von Positivlisten und Least-Privilege-Richtlinien autorisieren;
- vor folgenreichen oder irreversiblen Aktionen eine Freigabe einholen;
- Ratenbegrenzungen durchsetzen, Audit-Ereignisse protokollieren und die Untersuchung von Sicherheitsvorfällen unterstützen; und
- Anfragen mit höherem Risiko an leistungsfähigere Modelle oder zusätzliche Prüfungen weiterleiten.
Dieses Design folgt einem grundlegenden Zero-Trust-Prinzip: Zugriffsentscheidungen sollten am Ort der Ressourcennutzung ausdrücklich geprüft und durchgesetzt werden, anstatt implizit als gegeben zu gelten. [4] Zugleich entspricht es den OWASP-Empfehlungen, das Modellverhalten zu begrenzen, Ausgaben zu validieren, Berechtigungen einzuschränken, nicht vertrauenswürdige Inhalte zu isolieren und für risikoreiche Aktionen eine menschliche Freigabe zu verlangen. [5]
Ein Gateway schafft Spielraum – aber keine Immunität
Eine externe Kontrollschicht kann die Konsistenz verbessern und redundante Sicherheitslogik reduzieren. Das Trilemma beseitigt sie jedoch nicht.
Prompt Injection bleibt besonders anspruchsvoll, weil ein KI-Modell Anweisungen und Daten im selben Konversationskontext verarbeitet. OWASP weist darauf hin, dass keine narrensicheren Präventionsmethoden bekannt sind. Empirische Untersuchungen zeigen zudem, dass die Wirksamkeit von Angriffen und Abwehrmaßnahmen je nach Modell, Aufgabe und Konfiguration deutlich variiert. [5] [6]
Auch ein Gateway kann zu einem attraktiven Angriffsziel sowie zu einer Quelle von Latenz oder Ausfällen werden. Es kann keine zu weitreichenden Identitäten in nachgelagerten Systemen, unsicheren Anwendungscode, manipulierte Datenquellen, schwache Geschäftsprozesse oder fehlerhafte menschliche Entscheidungen ausgleichen. Die Systeme, denen Daten und Aktionen gehören, müssen die Autorisierung weiterhin selbst durchsetzen. Überwachung, Tests und Reaktion auf Sicherheitsvorfälle bleiben über den gesamten KI-Lebenszyklus hinweg erforderlich.
Die robusteste Architektur ist daher mehrschichtig:
- Anwendungsfall begrenzen. Definieren Sie, was das System tun soll – und was nicht.
- Berechtigungen minimieren. Geben Sie Modellen und Werkzeugen nur die Daten, Funktionen und Berechtigungen, die sie für ihre Aufgabe benötigen.
- Jede Aktion kontrollieren. Validieren Sie Anfragen an Vertrauensgrenzen und setzen Sie die Autorisierung außerhalb des Modells durch.
- Kontrollen am Risiko ausrichten. Verschärfen Sie Prüfungen oder menschliche Aufsicht, wenn Auswirkungen, Sensibilität oder Unsicherheit zunehmen.
- Für Fehlerfälle planen. Bevorzugen Sie reversible Aktionen, sichere Standardeinstellungen, Ratenbegrenzungen, Audit-Trails und erprobte Wiederherstellungsverfahren.
Die richtige Balance finden
Das Ziel besteht nicht darin, jede Dimension gleichermaßen zu maximieren. Entscheidend ist vielmehr, einen Betriebspunkt zu wählen, der zum geschäftlichen Kontext passt.
Vor der Einführung eines KI-Systems sollten Führungskräfte folgende Fragen stellen:
- Welcher maximale Schaden ist plausibel, wenn das Modell fehlerhaft arbeitet oder manipuliert wird?
- Welche sensiblen Daten kann das System lesen, ableiten oder offenlegen?
- Welche Aktionen sind reversibel, und welche erfordern eine ausdrückliche Freigabe?
- Welche Antwortzeit benötigen die Nutzer tatsächlich?
- Welche Kontrollen müssen synchron erfolgen, und welche können nach der Antwort ausgeführt werden?
- Wie wird das Unternehmen Fehler erkennen, eindämmen und daraus lernen?
Die Antworten bestimmen die Auswahl des Modells, den Werkzeugzugriff, das Latenzbudget, den Prüfprozess und die Kontrollarchitektur.
Fazit
Das KI-Sicherheitstrilemma ist kein Grund, unsichere Systeme zu akzeptieren. Es erinnert vielmehr daran, dass Leistungsfähigkeit, Geschwindigkeit und Sicherheit Architekturentscheidungen sind – keine Modellparameter, die sich gleichzeitig auf den Höchstwert setzen lassen.
Ein KI-Sicherheitsgateway kann wertvollen Spielraum schaffen, indem es Prüfung, Autorisierung und Überwachung zentralisiert. Eine tragfähige Lösung geht jedoch weiter: Sie begrenzt die Befugnisse des Systems, setzt Richtlinien außerhalb des Modells durch, richtet Kontrollen an den möglichen Auswirkungen aus und behandelt Sicherheit als Disziplin über den gesamten Lebenszyklus hinweg.
Das Ziel ist kein KI-System, das in jeder Hinsicht intelligent, schnell und sicher ist. Das Ziel ist ein System, das für die ihm anvertraute Aufgabe leistungsfähig genug, schnell genug und ausreichend kontrolliert ist.
Quellen
[1] OWASP GenAI Security Project, „LLM06:2025 Excessive Agency„.
[2] National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1), Juli 2024.
[3] UK National Cyber Security Centre, Guidelines for Secure AI System Development, November 2023.
[4] National Institute of Standards and Technology, Zero Trust Architecture (NIST SP 800-207), August 2020.
[5] OWASP GenAI Security Project, „LLM01:2025 Prompt Injection„.
[6] Yupei Liu, Yuqi Jia, Runpeng Geng, Jinyuan Jia und Neil Zhenqiang Gong, „Formalizing and Benchmarking Prompt Injection Attacks and Defenses„, 2023.
Möchten Sie internes Firmenwissen mit KI nutzbar machen?
AISOMA zeigt Ihnen, wie Sie Suchzeiten reduzieren, Wissen zentral verfügbar machen und die Produktivität nachhaltig steigern. Jetzt unverbindlich Kontakt aufnehmen
