ai_security
KI-Sicherheitscharta: 60 Organisationen unterzeichnen Crest-Prinzipien
Mitte Juli 2026 hat die internationale Cyber-Sicherheitsorganisation Crest laut Computer Weekly eine KI-Sicherheitscharta mit neun Kernprinzipien veröffentlicht, die von 60 Organisationen weltweit unterzeichnet wurde. Die Erstunterzeichner stammen aus verschiedenen Kontinenten und unterstreichen die globale Relevanz des Themas. Die Charta reagiert auf die wachsende Nutzung von KI in der Cybersicherheit: 47 Prozent der Unternehmen setzen bereits KI für die Schwachstellenberichterstattung ein, 44 Prozent für Scanning und Enumeration, und drei Viertel der Sicherheitsdienstleister haben ihre KI-Nutzung in den vergangenen 12 Monaten erhöht. „Seit dem Aufkommen von KI erlebt die Cybersicherheitsbranche eine turbulente Mischung aus unmittelbaren Bedrohungen und einer sich rasant verändernden Landschaft“, erklärte Crest-CEO Nick Benson.
Hintergrund ist die zunehmende Integration von KI-gestützten Cyber-Services in den Betriebsalltag. Bereits jetzt setzen viele Unternehmen auf KI-gestützte Penetrationstests, bei denen automatisierte Systeme Schwachstellen identifizieren. Ohne klare Regeln besteht jedoch die Gefahr, dass sensible Daten unkontrolliert abfließen oder KI-Entscheidungen nicht nachvollziehbar sind. Managed Security Services Provider (MSSPs) – externe Dienstleister, die IT-Sicherheit für Unternehmen übernehmen – benötigen oft hochprivilegierten Zugriff auf sensible Systeme und Daten. Mit dem Einsatz von KI wächst bei Einkäufern jedoch die Sorge um Transparenz und Kontrolle. Die Crest-Charta setzt hier an: Sie fordert, dass Kunden vollständig über den Einsatz von KI in Penetrationstests und anderen Sicherheitsverfahren informiert werden, dass eine lückenlose Dokumentation erfolgt und dass stets eine menschliche Aufsicht über KI-Entscheidungen besteht. Auch die Datenverarbeitung – etwa ob Kundendaten für das Training von KI-Modellen genutzt werden – muss offengelegt werden. Die neun Prinzipien umfassen zudem die Sicherung von Kundendaten, Prompts und KI-generierten Artefakten, die Transparenz in der KI-Lieferkette sowie die Identifikation von Abhängigkeiten, die bei einem Systemausfall kritisch werden könnten. „Künstliche Intelligenz bietet enorme Chancen für die Cybersicherheit, aber wir müssen dringend die praktischen Herausforderungen der Governance, Sicherung und Validierung dieser Fähigkeiten angehen“, sagte Crest-Chief-Product-Officer Sebastian Madden.
Was bedeutet das konkret für Ihren Betrieb?
Als KMU-Entscheider profitieren Sie von dieser Charta, weil sie die Verantwortung Ihrer IT-Dienstleister klar definiert. Wenn Sie einen externen Sicherheitsdienst beauftragen, können Sie künftig auf die Einhaltung dieser Prinzipien pochen. Die Charta verlangt, dass der Anbieter Ihnen erklärt, welche KI-Werkzeuge er einsetzt, welche Risiken damit verbunden sind und wie Ihre Daten geschützt werden. Diese Transparenzpflichten gelten auch für die Lieferkette des Dienstleisters, also wenn er seinerseits KI-Tools von Drittanbietern nutzt. Zudem muss er nachweisen, dass geschultes Personal die KI-Ergebnisse überprüft und im Zweifel eingreifen kann. So behalten Sie die Kontrolle über Ihre Sicherheitsinfrastruktur, auch wenn KI-gestützte Prozesse im Hintergrund laufen. Ein Beispiel: Lässt Ihr Dienstleister einen Penetrationstest von einer KI durchführen, muss er offenlegen, ob Ihre Daten in ein externes KI-Modell fließen und ob die Ergebnisse von einem Menschen validiert wurden. Das schützt Sie vor unkontrolliertem Datenabfluss und fehlerhaften automatisierten Entscheidungen.
Die Initiative von Crest ist ein wichtiger Schritt hin zu branchenweiten Standards. Die Organisation arbeitet bereits an konkreten Normen für KI-Sicherheit und den Einsatz von KI in Sicherheitsdiensten. Mittelfristig könnten daraus Zertifizierungen entstehen, die es KMU erleichtern, vertrauenswürdige Anbieter zu identifizieren. Für den Mittelstand bedeutet das mehr Rechtssicherheit und eine bessere Vergleichbarkeit von Dienstleistungen. Die Charta steht weiteren Unternehmen offen, sodass sich der Kreis der Unterzeichner in den kommenden Monaten vergrößern dürfte. Damit wird die Charta zu einem praktischen Werkzeug für die Lieferantenauswahl.
Hintergrund ist die zunehmende Integration von KI-gestützten Cyber-Services in den Betriebsalltag. Bereits jetzt setzen viele Unternehmen auf KI-gestützte Penetrationstests, bei denen automatisierte Systeme Schwachstellen identifizieren. Ohne klare Regeln besteht jedoch die Gefahr, dass sensible Daten unkontrolliert abfließen oder KI-Entscheidungen nicht nachvollziehbar sind. Managed Security Services Provider (MSSPs) – externe Dienstleister, die IT-Sicherheit für Unternehmen übernehmen – benötigen oft hochprivilegierten Zugriff auf sensible Systeme und Daten. Mit dem Einsatz von KI wächst bei Einkäufern jedoch die Sorge um Transparenz und Kontrolle. Die Crest-Charta setzt hier an: Sie fordert, dass Kunden vollständig über den Einsatz von KI in Penetrationstests und anderen Sicherheitsverfahren informiert werden, dass eine lückenlose Dokumentation erfolgt und dass stets eine menschliche Aufsicht über KI-Entscheidungen besteht. Auch die Datenverarbeitung – etwa ob Kundendaten für das Training von KI-Modellen genutzt werden – muss offengelegt werden. Die neun Prinzipien umfassen zudem die Sicherung von Kundendaten, Prompts und KI-generierten Artefakten, die Transparenz in der KI-Lieferkette sowie die Identifikation von Abhängigkeiten, die bei einem Systemausfall kritisch werden könnten. „Künstliche Intelligenz bietet enorme Chancen für die Cybersicherheit, aber wir müssen dringend die praktischen Herausforderungen der Governance, Sicherung und Validierung dieser Fähigkeiten angehen“, sagte Crest-Chief-Product-Officer Sebastian Madden.
Was bedeutet das konkret für Ihren Betrieb?
Als KMU-Entscheider profitieren Sie von dieser Charta, weil sie die Verantwortung Ihrer IT-Dienstleister klar definiert. Wenn Sie einen externen Sicherheitsdienst beauftragen, können Sie künftig auf die Einhaltung dieser Prinzipien pochen. Die Charta verlangt, dass der Anbieter Ihnen erklärt, welche KI-Werkzeuge er einsetzt, welche Risiken damit verbunden sind und wie Ihre Daten geschützt werden. Diese Transparenzpflichten gelten auch für die Lieferkette des Dienstleisters, also wenn er seinerseits KI-Tools von Drittanbietern nutzt. Zudem muss er nachweisen, dass geschultes Personal die KI-Ergebnisse überprüft und im Zweifel eingreifen kann. So behalten Sie die Kontrolle über Ihre Sicherheitsinfrastruktur, auch wenn KI-gestützte Prozesse im Hintergrund laufen. Ein Beispiel: Lässt Ihr Dienstleister einen Penetrationstest von einer KI durchführen, muss er offenlegen, ob Ihre Daten in ein externes KI-Modell fließen und ob die Ergebnisse von einem Menschen validiert wurden. Das schützt Sie vor unkontrolliertem Datenabfluss und fehlerhaften automatisierten Entscheidungen.
Die Initiative von Crest ist ein wichtiger Schritt hin zu branchenweiten Standards. Die Organisation arbeitet bereits an konkreten Normen für KI-Sicherheit und den Einsatz von KI in Sicherheitsdiensten. Mittelfristig könnten daraus Zertifizierungen entstehen, die es KMU erleichtern, vertrauenswürdige Anbieter zu identifizieren. Für den Mittelstand bedeutet das mehr Rechtssicherheit und eine bessere Vergleichbarkeit von Dienstleistungen. Die Charta steht weiteren Unternehmen offen, sodass sich der Kreis der Unterzeichner in den kommenden Monaten vergrößern dürfte. Damit wird die Charta zu einem praktischen Werkzeug für die Lieferantenauswahl.
💡 Handlungsempfehlung: Fordern Sie bei Ihrem IT-Sicherheitsdienstleister eine schriftliche Auskunft darüber an, ob und wie KI in den für Sie erbrachten Sicherheitsdienstleistungen eingesetzt wird und ob die Crest-Prinzipien zur menschlichen Aufsicht und Datenverarbeitung eingehalten werden.
Haeufige Fragen
Was ist die Crest KI-Sicherheitscharta?
Die Crest KI-Sicherheitscharta ist ein von 60 Organisationen unterzeichneter Leitfaden mit neun Prinzipien für den verantwortungsvollen Einsatz von KI in Cyber-Sicherheitsdienstleistungen. Sie fordert Transparenz, menschliche Aufsicht und den Schutz von Kundendaten.
Wie können KMU von der Charta profitieren?
KMU erhalten klare Kriterien für die Auswahl von IT-Sicherheitsdienstleistern und können von ihren Anbietern Auskunft über den KI-Einsatz und die Einhaltung der Prinzipien verlangen. Das erhöht die Sicherheit und das Vertrauen in ausgelagerte Sicherheitsdienste.