Künstliche Intelligenz (KI) hat sich in den letzten zwei Jahren von einem Buzzword zur Geschäftsgrundlage entwickelt. Sie ist zur faktischen Voraussetzung für Funding geworden, dient als Marketingargument (KI-Washing) und wird zur nachträglichen „KI-Fizierung" von Anwendungen genutzt, obwohl sie ohne KI genauso gut funktioniert hätten. Was dabei untergeht, sind die erheblichen Cyberrisiken, die mit dem Einsatz von KI-Modellen einhergehen sowie die ab dem 11. September 2026 geltenden Meldepflichten nach dem Cyber Resilience Act (CRA).
KI in ein Produkt zu integrieren, war noch nie so einfach. Dies kann entweder über die kommerzielle API eines Anbieters oder über ein frei verfügbares Open-Source-Modell erfolgen. Beides hat Vor- und Nachteile, aber an der Rechtsfolge ändert die Wahl wenig. Wer ein Modell in sein eigenes Produkt integriert und dieses unter eigenem Namen auf den Markt bringt, ist Hersteller im Sinne des CRA. Wird ein bereits am Markt befindliches Produkt wesentlich verändert, wofür Fine-Tuning ein starkes Indiz ist, entspricht dies einer Gleichstellung mit dem Hersteller. In beiden Fällen greift dasselbe Pflichtenprogramm.
Das Risikoszenario ist längst kein theoretisches
Auf einem der größten Repository für offene KI-Modelle, fanden Sicherheitsforscher rund 100 Modelle, die beim Laden automatisch Schadcode ausführen und Angreifern so einen Fernzugriff auf das betroffene System ermöglichen. Der von der Plattform selbst eingesetzte Scanning-Partner meldete über alle geprüften Modelle hinweg rund 350.000 unsichere oder verdächtige Funde. Und die Plattform-Scanner sind umgehbar: Bei der „nullifAI"-Technik genügte ein abweichendes Kompressionsformat, um nicht als verdächtig aufzuscheinen. Wer ein solches Modell ungeprüft einbindet, holt sich die Sicherheitslücke selbst ins Produkt.
Kommerzielle Anbieter verlagern dieses Risiko, sie beseitigen es nicht. Die Schwachstelle entsteht dort typischerweise nicht im Modell, sondern in ihrer Integration. Wer ein Modell Dokumente, E-Mails oder Webinhalte verarbeiten lässt, öffnet es für Indirect Prompt Injection – manipulierte Inhalte werden als Anweisung gelesen und lösen Datenabfluss oder unerwünschte Tool-Aufrufe aus. Dazu kommt, was außerhalb des eigenen Einflussbereichs liegt: Modellversion, Verhalten und Verfügbarkeit. Ein Anbieter-Update kann die Sicherheitsannahmen eines Produkts über Nacht entwerten und der Anbieter selbst ist ein lohnendes Angriffsziel.
Pflichtprogramm unter dem CRA
Der CRA wird ab dem 11. Dezember 2027 vollständig anwendbar: Risikobewertung, Secure-by-Design, Schwachstellenmanagement über den gesamten Supportzeitraum, technische Dokumentation, SBOM (in der Praxis wohl auch eine ML-BOM) und CE-Kennzeichnung. Beim Einbinden von Drittkomponenten, insbesondere von Open Source, besteht eine eigene Sorgfaltspflicht, denn der Hersteller haftet dafür wie für eigene Software.
Allerdings gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bereits ab dem 11. September 2026. Das heißt, Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen- sobald Sie etwas erfahren, läuft die Uhr.
Bei Nichteinhalten drohen Strafen bis zu EUR 15 Mio. oder 2,5 % des weltweiten Jahresumsatzes.
Drei Fragen, die Sie sich jetzt stellen sollten
- Welche KI-Modelle laufen in Ihren Produkten – aus welcher Quelle, in welcher Version?
- Haben Sie eines davon verändert oder in ein Bestandsprodukt eingebaut?
- Wer meldet am Sonntag um 3:00 Uhr – an wen, und mit welchem Inhalt?
Die Deadline für die Meldepflichten nach dem CRA steht unmittelbar bevor, weshalb eine frühzeitige Prüfung dabei hilft, Risiken zu identifizieren und notwendige Anpassungen rechtzeitig umzusetzen.
In einem kompakten CRA-Check klären wir mit Ihnen gerne, was jetzt zu tun ist.
Für Anfragen kontaktieren Sie bitte unser CMS-Team.
