Zugriffssteuerung für KI: Rollen, Rechte und Protokolle

Zugriffssteuerung für KI legt fest, wer einen KI-Assistenten nutzen darf, auf welche Dokumente und Wissensdatenbanken das Modell im Auftrag dieser Person zugreift, welche Aktionen es ausführen darf und wie jeder Zugriff protokolliert wird. Der Maßstab ist das Prinzip der geringsten Rechte: Jede Identität, ob Mensch oder KI-Agent, erhält nur die Berechtigungen, die für eine konkrete Aufgabe nötig sind. Ein KI-Workspace für Unternehmen muss dies über Rollen, getrennte Wissensbereiche, Admin-Kontrollen und lückenlose Audit-Trails technisch durchsetzen, nicht nur per Richtlinie.

Kurz gesagt

• Definition: Zugriffssteuerung für KI regelt Nutzer, Rollen, Datenquellen und Aktionen eines KI-Systems, nicht nur das Login.
• Grundprinzip: Least Privilege und Prüfung bei jedem Datenabruf, im Sicherheitskontext der anfragenden Person.
• Hauptrisiko: Zu weit gefasste Rechte lassen manipulierte oder fehlerhafte Ausgaben auf vertrauliche Daten und Systeme durchschlagen.
• Pflichtfunktionen: Rollen- und Gruppenrechte, getrennte Wissensdatenbanken, Audit-Trails, Prompt-Anonymisierung, klare Datenresidenz.
• Rechtsrahmen Schweiz: Die Datenschutzverordnung verlangt ausdrücklich eine Zugriffskontrolle und in bestimmten Fällen eine Protokollierung.

Inhaltsverzeichnis

• Was Zugriffssteuerung bei KI-Systemen umfasst
• Warum zu weite KI-Berechtigungen ein Risiko sind
• Least Privilege in sechs Schritten umsetzen
• Checkliste: Welche Kontrollen ein KI-Workspace bieten sollte
• Rechtlicher Rahmen: Schweiz und USA
• Was ein Audit-Trail für KI erfassen sollte
• Zugriffsmodelle nach Branche
• Unsere Sicht
• Zugriffssteuerung im Schweizer KI-Arbeitsbereich von Nectos
• Häufige Fragen
• Quellen

Was Zugriffssteuerung bei KI-Systemen umfasst

Klassische Berechtigungssysteme beantworten eine Frage: Darf diese Person diese Datei öffnen? Ein KI-Workspace verschiebt das Problem. Ein Sprachmodell liest Dokumente, fasst Wissensdatenbanken zusammen, durchsucht das Web und kann je nach Ausbau Aktionen in anderen Systemen auslösen. Die Zugriffssteuerung muss deshalb auf vier Ebenen greifen.

Ebene 1: Nutzer und Identitäten

Wer darf den KI-Arbeitsbereich überhaupt verwenden? Dazu gehören persönliche Konten statt geteilter Logins, eine zentrale Verwaltung durch Administratoren und das sofortige Entziehen von Rechten beim Austritt einer Person. Das Zero-Trust-Modell des NIST setzt hier an: Kein Vertrauen wird implizit vergeben, jede Zugriffsentscheidung beruht auf Identität und Kontext.

Ebene 2: Rollen und Gruppen

Rollen bündeln Rechte: Mitglied, Teamleitung, Administration. Gruppen bilden die Organisation ab: Buchhaltung, Rechtsabteilung, Personalwesen. Ohne Rollen entstehen Einzelfreigaben, die niemand mehr überblickt.

Ebene 3: Daten und Wissensdatenbanken

Hier liegt der eigentliche Unterschied zu herkömmlicher Software. Ein KI-Assistent beantwortet Fragen aus allem, was er erreichen kann. Ist eine Wissensdatenbank mit Lohndaten für alle Mitarbeitenden freigegeben, kann jede Person diese Inhalte per Frage abrufen, auch ohne die Ursprungsdatei je geöffnet zu haben. Persönliche und geteilte Wissensbereiche müssen daher strikt getrennt sein.

Ebene 4: Aktionen und Agenten

Sobald eine KI nicht nur antwortet, sondern handelt, etwa E-Mails versendet oder Datensätze ändert, braucht jede Aktionsklasse eine eigene Freigabe. Die Referenzarchitektur von NVIDIA für sichere Agenten-Workspaces nennt drei unabhängige Voraussetzungen, bevor ein Agent handeln darf: Netzwerk-Erreichbarkeit, eine gültige und begrenzte Dienst-Authentifizierung sowie die Erlaubnis für die konkrete Aktionsklasse. Für folgenreiche Schreibvorgänge ist dort typischerweise eine menschliche Prüfung vorgesehen.

Warum zu weite KI-Berechtigungen ein Risiko sind

Das OWASP GenAI Security Project führt „Excessive Agency“ als eigenes Risiko für LLM-Anwendungen: Übermäßige Funktionalität, Berechtigungen oder Autonomie führen dazu, dass unerwartete oder manipulierte Ausgaben schädliche Aktionen auslösen und Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigen.

Die typischen Muster in der Praxis:

• Geteilte Servicekonten: Der KI-Dienst greift mit einem Konto auf alle Daten zu, unabhängig davon, wer fragt. Laut OWASP Cornucopia (AAI6) gehören solche Konten und fehlende Autorisierungsprüfungen pro Anfrage zu den Hauptursachen übermäßiger Datenzugriffe.
• Kettenfehler in Agentensystemen: McKinsey nennt Fehler, die sich zwischen Agenten fortpflanzen, unbefugte Privilegienausweitung, nicht nachverfolgbare Datenlecks und unklare Verantwortlichkeit.
• Unklare Weiterverwendung: Der Congressional Research Service des US-Kongresses hält fest, dass Nutzer oft nicht wissen, ob ein generatives KI-Produkt ihre Eingaben speichert oder zur Verbesserung des Dienstes weiterverwendet. Besonders heikel ist das bei Gesundheits-, Rechts- und Finanzinformationen.
• Überfüllte Wissensdatenbanken: Je mehr Dokumente ohne Zuordnung in einem gemeinsamen Index liegen, desto wahrscheinlicher erscheinen vertrauliche Passagen in Antworten an Personen, die sie nicht sehen sollten.

Zugriffssteuerung bei KI betrifft deshalb immer zwei Seiten: was Mitarbeitende im Unternehmen sehen und wohin Daten das Unternehmen verlassen.

Least Privilege in sechs Schritten umsetzen

Das gemeinsame Papier von ANSSI und BSI zu LLM-Systemen nach Zero Trust verlangt, dass Nutzer, Komponenten und Agenten nur die für ihre Rolle erforderlichen Mindestrechte erhalten und Aktionen im Sicherheitskontext des auslösenden Nutzers ausgeführt werden. Daraus ergibt sich folgendes Vorgehen:

1. Datenbestand klassifizieren. Öffentlich, intern, vertraulich, besonders schützenswert. Gesundheitsdaten, Personaldossiers und Mandatsakten gehören in die höchste Stufe.
2. Rollen aus Aufgaben ableiten. Pro Rolle festlegen, welche Wissensdatenbanken, Dokumententypen und Funktionen nötig sind. Alles andere bleibt gesperrt.
3. Wissensbereiche trennen. Persönliche Bereiche für individuelle Arbeit, geteilte Bereiche pro Team oder Mandat. Keine unternehmensweite Sammelablage für alles.
4. Bei jedem Abruf prüfen. OWASP empfiehlt, die Berechtigung der anfragenden Person bei jedem Datenabruf zu prüfen und Identität, Anfrage und Ergebnis zu protokollieren.
5. Aktionen begrenzen. Schreibende oder externe Aktionen nur mit ausdrücklicher Freigabe und, wo folgenreich, mit menschlicher Bestätigung.
6. Rechte regelmäßig überprüfen. Das BSI rät, einer KI-Anwendung nur Zugriff auf die zur Aufgabenerfüllung nötigen Ressourcen zu gewähren und erteilte Berechtigungen zu überprüfen und gegebenenfalls zu entziehen. Ein fester Rhythmus, etwa quartalsweise und bei jedem Rollenwechsel, macht dies verbindlich.

Checkliste: Welche Kontrollen ein KI-Workspace bieten sollte

Die Frage nach der „besten KI mit Zugriffskontrolle“ lässt sich nicht über Modellqualität beantworten, sondern über Kontrollfunktionen. Die CISA betont, dass Risiken für KI-Daten über den gesamten Lebenszyklus bestehen, von der Entwicklung bis zum Betrieb. Die folgenden Kriterien trennen einen Unternehmens-Workspace von einem Consumer-Chat:

Ein Werkzeug, das bei Datenresidenz, Audit-Trails oder Modelltraining keine klare Antwort gibt, ist für Treuhand, Recht, Gesundheitswesen, Finanzen und HR ungeeignet, unabhängig von der Qualität seiner Antworten.

Rechtlicher Rahmen: Schweiz und USA

Schweiz: DSG und Datenschutzverordnung

Das Schweizer Recht formuliert die Zugriffskontrolle ausdrücklich. Nach Art. 3 Abs. 1 lit. a der Datenschutzverordnung (DSV) müssen Verantwortliche und Auftragsbearbeiter sicherstellen, dass berechtigte Personen nur auf diejenigen Personendaten zugreifen, die sie für ihre Aufgaben benötigen. Werden besonders schützenswerte Personendaten in großem Umfang automatisiert bearbeitet, verlangt Art. 4 DSV zudem eine Protokollierung, die mindestens Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten erfasst.

Weitere Pflichten mit direktem Bezug zu KI:

• Datenschutz durch Technik: Der EDÖB stellt klar, dass Hersteller und Verwender von KI bereits bei der Planung sicherstellen müssen, dass betroffene Personen eine hohe informationelle Selbstbestimmung behalten.
• Datenschutz-Folgenabschätzung: Bei KI-gestützten Bearbeitungen mit hohen Risiken ist eine DSFA erforderlich.
• Verantwortung bei Cloud-Diensten: Laut EDÖB zur Datenbearbeitung in der Cloud bleibt das Kundenunternehmen für die Rechtskonformität verantwortlich und muss technische und organisatorische Maßnahmen sowie Voreinstellungen vorsehen, die die Bearbeitung auf das Erforderliche begrenzen.

Wer in der Schweiz Gesundheits-, Personal- oder Mandatsdaten mit KI bearbeitet, sollte vor der Einführung die interne Datenschutzberatung oder eine auf Datenschutzrecht spezialisierte Anwaltskanzlei beiziehen, insbesondere für die Frage, ob eine DSFA nötig ist.

USA: Leitlinien statt Einzelgesetz

In den USA stützen sich Unternehmen vor allem auf Behördenleitlinien. Die gemeinsamen Grundsätze von CISA und Partnerbehörden empfehlen rollenbasierte Zugriffskontrolle, Verschlüsselung sensibler Daten, regelmäßige Risikoanalysen und Audits sowie Zugriffsprotokolle und Data Loss Prevention, um Datenabflüsse zu erkennen. NIST SP 800-207 liefert den Zero-Trust-Rahmen dazu. Branchenspezifische Vorgaben, etwa im Gesundheits- oder Finanzwesen, kommen hinzu und sind mit der jeweiligen Compliance-Stelle zu klären.

Was ein Audit-Trail für KI erfassen sollte

Ein Protokoll ist nur so nützlich wie die Fragen, die es beantworten kann. Nach Art. 4 Abs. 3 DSV muss die Protokollierung Aufschluss über die Art des Bearbeitungsvorgangs, die Identität der handelnden Person, die Identität der Empfänger sowie Datum und Uhrzeit geben. Für einen KI-Workspace bedeutet das in der Praxis:

• Wer: angemeldete Person, Rolle und Gruppe zum Zeitpunkt der Anfrage.
• Was: genutzte Funktion, etwa Chat, Dokumentenanalyse, Websuche oder Transkription.
• Worauf: abgerufene Wissensdatenbank oder hochgeladenes Dokument.
• Wann: Datum und Uhrzeit jedes Zugriffs.
• Änderungen an Rechten: Wer hat welche Rolle vergeben, geändert oder entzogen?

Solche Einträge erleichtern auch Auskunftsersuchen betroffener Personen, weil sich nachvollziehen lässt, welche Daten in welche KI-Verarbeitung eingeflossen sind. Der Zugang zu den Protokollen selbst sollte auf die Personen beschränkt sein, die für Datenschutz und Sicherheit zuständig sind.

Zugriffsmodelle nach Branche

Die Grundsätze sind überall gleich, die Zuschnitte unterscheiden sich. Typische Muster:

• Treuhand: Eine Wissensdatenbank pro Mandat. Sachbearbeitende sehen nur ihre Mandate, die Leitung alle. Lohnbuchhaltung bleibt in einem separaten Bereich.
• Kanzleien und Rechtsabteilungen: Trennung nach Dossier, um Interessenkonflikte und Verletzungen des Berufsgeheimnisses zu vermeiden. Vorlagen und Musterverträge liegen in einem geteilten Bereich ohne Mandantendaten.
• Gesundheitswesen: Patientendaten gelten als besonders schützenswert. Prompt-Anonymisierung und lückenlose Protokollierung sind hier Grundvoraussetzung.
• Finanzdienstleister: Kundendaten, Research und interne Richtlinien in getrennten Bereichen, Audit-Trails für interne Revision und Aufsicht.
• HR: Personaldossiers und Lohndaten nur für die Personalabteilung, allgemeine Reglemente für alle Mitarbeitenden.
• Meeting-Transkription: Transkripte erben die Rechte des Teams, das die Sitzung führt, und werden nicht automatisch unternehmensweit durchsuchbar.

Unsere Sicht

Zugriffssteuerung für KI beginnt nicht beim Rollenmodell, sondern bei der Frage, wo die Daten verarbeitet werden. Die feinsten Berechtigungen nützen wenig, wenn Eingaben, Dokumente und Transkripte an Infrastruktur außerhalb der eigenen Rechtsordnung fließen und dort gespeichert oder für Modelltraining verwendet werden können.

Deshalb haben wir Nectos als souveränen Schweizer KI-Arbeitsbereich aufgebaut: Hosting und Verarbeitung erfolgen ausschließlich auf Schweizer Servern, mit lokal gehosteten Modellen und ohne Datenweitergabe an große US-Technologiekonzerne. Kundendaten werden nie zum Modelltraining genutzt. Auf dieser Grundlage setzen Admin- und Zugriffssteuerung, persönliche und geteilte Wissensdatenbanken, Prompt-Anonymisierung und umfassende Audit-Trails an.

Aus unserer Sicht ist das die richtige Reihenfolge für Schweizer Unternehmen: zuerst Datenresidenz und Transparenz, dann Rollen und Rechte, dann Protokollierung. So lassen sich die Anforderungen von nDSG und DSV technisch abbilden, statt sie mit Richtlinien zu überbrücken.

Adopt

Zugriffssteuerung im Schweizer KI-Arbeitsbereich von Nectos

Nectos vereint privaten KI-Chat, Dokumentenanalyse, persönliche und geteilte Wissensdatenbanken, Meeting-Transkription und KI-Assistenten für Schweizer Berufskontexte in einem Arbeitsbereich mit Admin- und Zugriffssteuerung sowie Audit-Trails. Die Funktionen im Überblick und die Datenflüsse von Nectos zeigen, wie Daten verarbeitet werden. Ein Auftragsverarbeitungsvertrag (DPA) ist auf Anfrage erhältlich.

Die Pläne: Starter für CHF 29.90, Pro für CHF 49.90 und Pro+ für CHF 99.90, jeweils pro Platz und Monat. Eine Testversion steht zur Verfügung. Für Organisationen mit eigener Infrastruktur gibt es die Bereitstellung als BYOC oder On-Premise, Support BYOC ab CHF 490 pro Monat. Ergänzend bündelt das Sicherheits- und Compliance-Paket weitere Kontrollen. Alle Details: Preise und Pläne von Nectos.

Häufige Fragen

Was ist der Unterschied zwischen Zugriffssteuerung und Zugangskontrolle?

Die Zugangskontrolle regelt im Schweizer Datenschutzrecht den physischen Zutritt zu Räumen und Anlagen, in denen Personendaten bearbeitet werden. Die Zugriffskontrolle regelt, welche berechtigten Personen auf welche Daten zugreifen dürfen. Bei KI-Workspaces steht die Zugriffskontrolle im Vordergrund, ergänzt um die Steuerung der Aktionen, die das Modell ausführt.

Reicht ein Unternehmenskonto bei einem Consumer-KI-Dienst aus?

Ein Unternehmenskonto löst die Nutzerverwaltung, aber nicht automatisch Datenresidenz, Trennung von Wissensbereichen und Protokollierung. Entscheidend ist, ob Speicherort, Ausschluss des Modelltrainings, Audit-Trails und ein DPA vertraglich und technisch zugesichert sind. Fehlt einer dieser Punkte, bleibt die Lücke bestehen.

Muss jede KI-Nutzung protokolliert werden?

Nach Art. 4 DSV ist eine Protokollierung vorgeschrieben, wenn besonders schützenswerte Personendaten in großem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko erfolgt und präventive Maßnahmen nicht ausreichen. Unabhängig davon empfehlen OWASP und CISA Zugriffsprotokolle als Grundlage für Sicherheit und Nachvollziehbarkeit.

Wie oft sollten KI-Berechtigungen überprüft werden?

Eine Überprüfung bei jedem Rollenwechsel und Austritt ist das Minimum, ergänzt um einen festen Rhythmus, etwa quartalsweise. Die DSV verlangt, Schutzbedarf, Risiko und Maßnahmen über die gesamte Bearbeitungsdauer zu überprüfen und nötigenfalls anzupassen.

Woran erkennt man die beste KI mit Zugriffskontrolle für ein Unternehmen?

An den Kontrollfunktionen, nicht am Modell: zentrale Rollen- und Nutzerverwaltung, getrennte Wissensdatenbanken, Audit-Trails, Prompt-Anonymisierung, zugesicherter Ausschluss des Modelltrainings und ein klar benannter Verarbeitungsort. Für Schweizer Unternehmen kommt die Verarbeitung auf Schweizer Servern gemäß nDSG hinzu. Die Checkliste oben eignet sich als Raster für jede Evaluation.

Quellen

• NIST SP 800-207: Zero Trust Architecture
• NVIDIA: Enterprise Tool Access Model
• OWASP GenAI Security Project: LLM06 Excessive Agency
• OWASP Cornucopia: Agentic AI (AAI6)
• McKinsey: Deploying agentic AI with safety and security
• Congressional Research Service: Generative Artificial Intelligence and Data Privacy
• ANSSI und BSI: Design Principles for LLM-based Systems with Zero Trust
• BSI: Generative KI, Anwendungen mit Künstlicher Intelligenz
• CISA: AI Data Security Best Practices
• Fedlex: Datenschutzverordnung (DSV), SR 235.11
• EDÖB: KI und Datenschutz
• EDÖB: Datenbearbeitung in der Cloud
• CISA: Principles for the Secure Integration of AI in Operational Technology