ai_security
KI-Sicherheitscharta: Crest veröffentlicht neun Grundsätze
Am 15. Juli 2026 hat die internationale Cybersicherheitsorganisation Crest laut ComputerWeekly eine KI-Sicherheitscharta mit neun Grundsätzen veröffentlicht. Die Grundsätze regeln den verantwortlichen Einsatz von KI in Sicherheitsdiensten und wurden von 60 Erstunterzeichnern weltweit unterstützt. Anlass ist die sprunghaft gestiegene Nutzung von KI-gestützter Cybersicherheit: Crest-Daten zufolge setzen 47 Prozent der Unternehmen KI für die Schwachstellenmeldung ein, 44 Prozent für das Scannen und Enumeration, und drei Viertel der Managed Security Service Provider (MSSP) haben ihre KI-Nutzung in den vergangenen zwölf Monaten erhöht.
Die Notwendigkeit für eine solche Charta ergibt sich aus der wachsenden Abhängigkeit von externen IT-Sicherheitsdienstleistern, die oft hochprivilegierten Zugriff auf Kundensysteme haben. Bislang fehlte es an branchenweit akzeptierten Regeln, wie KI bei Penetrationstests, Schwachstellenanalyse oder Log-Auswertung einzusetzen ist. Die neun Grundsätze der Crest-Charta fordern unter anderem, dass Kunden umfassend über den KI-Einsatz informiert werden, dass die Nutzung dokumentiert und nachvollziehbar ist und dass stets kompetentes Personal die Aufsicht behält. Außerdem muss die Verwendung von Kundendaten für das Modelltraining offengelegt, die Lieferkette der KI-Komponenten bewertet und ein sicheres Datenhandling garantiert werden. Erstmals erhalten Auftraggeber damit einen klaren Prüfkatalog: Sie können vom Dienstleister verlangen, dass er nachweist, wo und wie KI seine Analysen unterstützt, und ob Ihre Daten für externe KI-Dienste wie Cloud-basierte Modelle transferiert werden.
Was bedeutet das konkret für Ihren Betrieb?
Gerade kleine und mittlere Unternehmen beauftragen häufig MSSP oder spezialisierte Penetrationstester, die zunehmend mit KI arbeiten. Mit der Charta erhalten Sie erstmals eine anerkannte Richtschnur, um den KI-Einsatz Ihres Dienstleisters zu hinterfragen. Sie können verlangen, dass der Anbieter transparent macht, welche Prozesse automatisiert ablaufen, ob Ihre Daten das Unternehmen verlassen und wie menschliche Aufsicht garantiert wird. Ein weiterer Aspekt ist die Notfallplanung: Die Charta verpflichtet Dienstleister, Abhängigkeiten von KI-Systemen zu bewerten und darzulegen, wie sie bei einem Ausfall der KI-Komponente reagieren würden. Das schafft nicht nur Vertrauen, sondern reduziert Haftungsrisiken, falls es durch fehlerhafte KI-Entscheidungen zu Sicherheitsvorfällen kommt. Zudem können Sie künftig bei der Auswahl eines neuen Anbieters die Unterzeichnung der Charta als Ausschlusskriterium nutzen.
Crest arbeitet bereits an weiterführenden Standards für KI-Sicherheit und den Einsatz von KI in Sicherheitsdiensten. Zeitgleich veröffentlichte Ant Group mit SingGuard-NSFA ein neues Open-Source-Schutzmodell für autonome Agenten und multimodale Systeme, das Risiken wie Prompt-Injection oder Datendiebstahl erkennt. Diese Initiativen zeigen, dass der Druck zu mehr Transparenz und Regulierung branchenweit steigt. Für den Mittelstand wird es entscheidend sein, diese Entwicklung frühzeitig in die Vertragsgestaltung mit IT-Dienstleistern aufzunehmen, um nicht nur Sicherheitsstandards einzuhalten, sondern auch die zunehmenden Nachweispflichten gegenüber Aufsichtsbehörden und Versicherungen zu erfüllen.
Die Notwendigkeit für eine solche Charta ergibt sich aus der wachsenden Abhängigkeit von externen IT-Sicherheitsdienstleistern, die oft hochprivilegierten Zugriff auf Kundensysteme haben. Bislang fehlte es an branchenweit akzeptierten Regeln, wie KI bei Penetrationstests, Schwachstellenanalyse oder Log-Auswertung einzusetzen ist. Die neun Grundsätze der Crest-Charta fordern unter anderem, dass Kunden umfassend über den KI-Einsatz informiert werden, dass die Nutzung dokumentiert und nachvollziehbar ist und dass stets kompetentes Personal die Aufsicht behält. Außerdem muss die Verwendung von Kundendaten für das Modelltraining offengelegt, die Lieferkette der KI-Komponenten bewertet und ein sicheres Datenhandling garantiert werden. Erstmals erhalten Auftraggeber damit einen klaren Prüfkatalog: Sie können vom Dienstleister verlangen, dass er nachweist, wo und wie KI seine Analysen unterstützt, und ob Ihre Daten für externe KI-Dienste wie Cloud-basierte Modelle transferiert werden.
Was bedeutet das konkret für Ihren Betrieb?
Gerade kleine und mittlere Unternehmen beauftragen häufig MSSP oder spezialisierte Penetrationstester, die zunehmend mit KI arbeiten. Mit der Charta erhalten Sie erstmals eine anerkannte Richtschnur, um den KI-Einsatz Ihres Dienstleisters zu hinterfragen. Sie können verlangen, dass der Anbieter transparent macht, welche Prozesse automatisiert ablaufen, ob Ihre Daten das Unternehmen verlassen und wie menschliche Aufsicht garantiert wird. Ein weiterer Aspekt ist die Notfallplanung: Die Charta verpflichtet Dienstleister, Abhängigkeiten von KI-Systemen zu bewerten und darzulegen, wie sie bei einem Ausfall der KI-Komponente reagieren würden. Das schafft nicht nur Vertrauen, sondern reduziert Haftungsrisiken, falls es durch fehlerhafte KI-Entscheidungen zu Sicherheitsvorfällen kommt. Zudem können Sie künftig bei der Auswahl eines neuen Anbieters die Unterzeichnung der Charta als Ausschlusskriterium nutzen.
Crest arbeitet bereits an weiterführenden Standards für KI-Sicherheit und den Einsatz von KI in Sicherheitsdiensten. Zeitgleich veröffentlichte Ant Group mit SingGuard-NSFA ein neues Open-Source-Schutzmodell für autonome Agenten und multimodale Systeme, das Risiken wie Prompt-Injection oder Datendiebstahl erkennt. Diese Initiativen zeigen, dass der Druck zu mehr Transparenz und Regulierung branchenweit steigt. Für den Mittelstand wird es entscheidend sein, diese Entwicklung frühzeitig in die Vertragsgestaltung mit IT-Dienstleistern aufzunehmen, um nicht nur Sicherheitsstandards einzuhalten, sondern auch die zunehmenden Nachweispflichten gegenüber Aufsichtsbehörden und Versicherungen zu erfüllen.
💡 Handlungsempfehlung: Bitten Sie Ihren IT-Sicherheitsdienstleister um eine schriftliche Bestätigung, dass sein KI-Einsatz den neun Grundsätzen der Crest-Charta entspricht und Ihre Daten nicht unkontrolliert für Modelltraining verwendet werden.
Haeufige Fragen
Welche Grundsätze umfasst die neue KI-Sicherheitscharta von Crest?
Die Charta verlangt unter anderem Transparenz über den KI-Einsatz, menschliche Aufsicht, lückenlose Dokumentation, Schutz von Kundendaten und eine geprüfte KI-Lieferkette.
Wie können KMU die Crest-Charta bei der Auswahl eines IT-Dienstleisters nutzen?
KMU können von ihrem Anbieter verlangen, die Einhaltung der neun Grundsätze schriftlich zu bestätigen und nachzuweisen, dass Daten geschützt und Prozesse durch Fachpersonal überwacht werden.