ISO/IEC 27090:2026: KI-Sicherheit für KMU verständlich erklärt
Am 14. Oktober 2026 wurde ISO/IEC 27090:2026 veröffentlicht, ein neuer internationaler Standard, der sich gezielt mit Sicherheitsbedrohungen und Angriffen auf KI-Systeme beschäftigt. Der vollständige Titel lautet "Cybersecurity - Artificial intelligence (AI) - Addressing security threats and compromises to AI systems". Entwickelt wurde die Norm vom Gremium ISO/IEC JTC 1/SC 27, das auch für ISO 27001 zuständig ist. Die Arbeiten liefen seit 2022.
Für viele Mittelständler klingt das zunächst nach einem Thema für KI-Labore und Großkonzerne. Das ist es nicht. Die Norm richtet sich ausdrücklich an Organisationen jeder Größe, die KI entwickeln oder nutzen. Und genutzt wird KI inzwischen fast überall: im Kundenservice-Chatbot, im Microsoft-Copilot, in der automatisierten Rechnungsprüfung oder im Bewerbermanagement.
Was ISO/IEC 27090 ist - und was nicht
ISO/IEC 27090 ist ein Leitfaden zur Behandlung KI-spezifischer Sicherheitsbedrohungen und kein eigenständiger Anforderungsstandard für ein Managementsystem. Die Norm beschreibt, welche KI-spezifischen Bedrohungen es gibt, welche Folgen sie haben können und wie man sie erkennt und eindämmt, und zwar über den gesamten Lebenszyklus eines KI-Systems: von den Trainingsdaten über den Betrieb bis zu Modell-Updates.
Der Fokus ist klar umrissen: Es geht darum, KI-Systeme vor Angriffen zu schützen, nicht darum, KI zur Abwehr von Angriffen einzusetzen. Fragen wie "Sollen wir KI überhaupt einsetzen?", Fairness, Haftung oder versehentliche Fehlfunktionen sind nicht ihr Kernthema. Dafür gibt es andere Normen.
Ist ISO/IEC 27090 zertifizierbar?
Nein, jedenfalls nicht im Sinne einer Managementsystemzertifizierung. Anders als bei ISO/IEC 27001 oder ISO/IEC 42001 ist keine eigenständige Zertifizierung nach ISO/IEC 27090 vorgesehen.
Das heißt aber nicht, dass die Norm für Prüfungen bedeutungslos wäre. Ihre Empfehlungen lassen sich gut als Maßstab für interne Sicherheitsbewertungen, Risikoanalysen, Gap-Analysen und interne Audits heranziehen. Wer ein ISO-27001-zertifiziertes ISMS betreibt, kann die Norm nutzen, um KI-Systeme im Rahmen des bestehenden Managementsystems fundiert zu bewerten.
Warum klassische IT-Sicherheit bei KI nicht ausreicht
Ein KI-System ist zunächst ganz normale IT: Server, Software, Schnittstellen, Zugriffsrechte. Alles, was Sie aus ISO 27001 kennen, bleibt gültig. ISO 27090 betont ausdrücklich, dass die KI-spezifischen Maßnahmen auf dieses Fundament aufsetzen und es nicht ersetzen.
KI-Systeme bringen aber zusätzliche oder veränderte Angriffsflächen mit, die klassische Sicherheitsmaßnahmen nicht immer vollständig abdecken:
- Das Verhalten hängt von Daten ab. Wer die Trainingsdaten manipuliert, beeinflusst das Modell, ohne eine einzige Zeile Code anzufassen.
- Angriffe sehen aus wie normale Nutzung. Wer ein Modell systematisch abfragt, kann seine Funktionalität unter Umständen nachbilden. Eine Zugriffskontrolle allein erkennt das nicht, weil jede einzelne Anfrage legitim wirkt.
- Eingaben können als Anweisungen wirken. Sprachmodelle können nicht vertrauenswürdige Eingaben fälschlich als Handlungsanweisungen interpretieren. Ein präpariertes Dokument oder eine E-Mail kann das Modell so zu Aktionen verleiten, die niemand beabsichtigt hat.
Die Folgen reichen dabei über Datenabfluss hinaus. Trifft eine manipulierte KI Entscheidungen, etwa bei Kreditvergaben, in der Qualitätssicherung oder in sicherheitskritischen Anlagen, können Menschen direkt geschädigt werden.
Welche Bedrohungen die Norm behandelt
ISO 27090 beschreibt eine ganze Reihe von Angriffsarten. Die für den Mittelstand wichtigsten im Überblick:
| Bedrohung | Was passiert? | Beispiel für KMU |
|---|---|---|
| Data Poisoning | Trainings- oder Nachtrainingsdaten werden gezielt manipuliert. | Ein Angreifer manipuliert Lieferantendaten, die zum Nachtrainieren eines Risikomodells genutzt werden. Das Modell bewertet bestimmte Lieferanten danach systematisch zu positiv. |
| Direct Model Poisoning | Das KI-Modell selbst oder seine Komponenten werden manipuliert. | Ein Unternehmen integriert ein manipuliertes vortrainiertes Modell, das bestimmte Risikofälle systematisch falsch bewertet. |
| Model Exfiltration | Angreifer bilden das Modell über systematische Abfragen und die erhaltenen Antworten funktional nach. | Ein Wettbewerber fragt die API eines proprietären Prognosemodells systematisch ab und entwickelt daraus ein Modell mit vergleichbarem Verhalten. |
| Evasion | Manipulierte Eingaben sollen eine falsche Modellentscheidung auslösen. | Eine speziell formulierte Phishing-Mail umgeht einen KI-basierten Spamfilter. |
| Membership Inference | Angreifer ermitteln anhand der Modellantworten, ob bestimmte Datensätze im Training enthalten waren. | Modellabfragen sollen aufdecken, ob ein konkretes Bewerberprofil zum Training genutzt wurde. |
| Model Inversion | Trainingsinformationen oder deren Eigenschaften werden aus dem Modellverhalten teilweise rekonstruiert. | Angreifer versuchen, Eigenschaften vertraulicher Trainingsdatensätze abzuleiten. |
| Prompt Injection | Eingeschleuste Anweisungen beeinflussen das Verhalten eines Sprachmodells. | Ein KI-Assistent verarbeitet eine präparierte E-Mail mit versteckten Anweisungen. Hat er entsprechende Berechtigungen und Schnittstellen, könnte er dadurch interne Informationen unbefugt weitergeben. |
| Vertrauliche Modellausgaben | Das Modell legt Informationen offen, die für den anfragenden Nutzer nicht zugänglich sein sollten. | Ein interner Chatbot nennt vertrauliche Vertragskonditionen gegenüber einem unberechtigten Nutzer. |
| Injection über Modellausgaben | Erzeugte Inhalte enthalten schädliche Anweisungen, die nachgelagerte Anwendungen unsicher verarbeiten. | Eine Anwendung übernimmt KI-generierten HTML-Code ungeprüft und führt ein darin eingeschleustes Skript im Browser aus. |
Die Beispiele sind illustrative Angriffsszenarien, keine Aussagen über konkrete Vorfälle oder eine Verwundbarkeit bestimmter Produkte.
Wichtig ist der Unterschied zwischen den beiden Poisoning-Varianten: Beim Data Poisoning sind die Trainingsdaten der Angriffspunkt, beim Direct Model Poisoning das Modell selbst. Membership Inference und Model Inversion können Datenschutzrisiken verursachen, insbesondere wenn dadurch personenbezogene Informationen offengelegt werden.
Darüber hinaus behandelt die Norm die Herkunft von Daten und Modellen, Lieferkettensicherheit, Threat Modelling und Red Teaming, also das gezielte Testen eines KI-Systems aus Angreiferperspektive.
Schutzmaßnahmen: Verteidigung in mehreren Schichten
Beim Thema Gegenmaßnahmen setzt ISO 27090 auf das Prinzip Defence in Depth. Keine einzelne Maßnahme reicht aus, und manche KI-Angriffe sind grundsätzlich schwer zu erkennen. Die Norm behandelt deshalb ausdrücklich auch, wie sich Maßnahmen gegenseitig beeinflussen und im Zweifel sogar widersprechen können.
Zu den behandelten Bausteinen gehören unter anderem:
- Protokollierung und Monitoring der KI-Nutzung
- Schutz der Entwicklungs- und Trainingsumgebungen
- Erkennung manipulierter Eingaben
- Begrenzung, wie und wie oft ein Modell genutzt werden kann
- Prinzipien wie Zero Trust und sichere Softwareentwicklung
- Regelmäßige Überprüfung, denn Modelle und Schutzmaßnahmen können mit der Zeit an Wirksamkeit verlieren
Einordnung: ISO 27001, ISO 42001 und der AI Act
Die vielen Normen rund um KI sorgen verständlicherweise für Verwirrung. So greifen sie ineinander:
ISO/IEC 27001 und 27002 bilden das Fundament. Die bestehenden Controls der ISO/IEC 27001 und ihre Umsetzungshinweise aus ISO/IEC 27002 gelten auch für KI-Systeme. ISO/IEC 27090 ergänzt sie um die Betrachtung KI-spezifischer Bedrohungen. Wer bereits ein ISMS betreibt, muss also nicht neu anfangen: Bestehende Risikoanalysen, Asset-Verzeichnisse und Sicherheitsmaßnahmen lassen sich gezielt um KI-bezogene Gefährdungen und Abhängigkeiten erweitern.
ISO/IEC 42001:2023 definiert Anforderungen an ein KI-Managementsystem (AIMS) und ist als Managementsystemstandard zertifizierbar. Sie umfasst die organisatorische Steuerung von Risiken, Verantwortlichkeiten und Auswirkungen des KI-Einsatzes. ISO/IEC 27090:2026 ergänzt diese Perspektive um detaillierte Leitlinien zu technischen und organisatorischen Maßnahmen gegen KI-spezifische Sicherheitsbedrohungen.
Der EU AI Act ist Gesetz, keine Norm. Art. 15 der KI-Verordnung (Verordnung (EU) 2024/1689) legt Anforderungen an Genauigkeit, Robustheit und Cybersicherheit von Hochrisiko-KI-Systemen fest. Nach Absatz 5 müssen diese Systeme gegenüber bestimmten Manipulationsversuchen widerstandsfähig sein. Genannt werden insbesondere Data Poisoning, Model Poisoning, manipulierte Eingaben (Adversarial Examples bzw. Model Evasion) sowie Angriffe auf vertrauliche Informationen. Die Schutzmaßnahmen müssen den jeweiligen Risiken und Umständen angemessen sein. Für die Konformität des Hochrisiko-KI-Systems sind in erster Linie die Anbieter verantwortlich, Betreiber haben eigene, rollenabhängige Pflichten.
Zeitlich gilt dabei: Durch die Verordnung (EU) 2026/1744 wurden die Hochrisiko-Anforderungen verschoben. Für Systeme nach Art. 6 Abs. 2 und Anhang III gelten sie ab dem 2. Dezember 2027, für Systeme nach Art. 6 Abs. 1 und Anhang I ab dem 2. August 2028. Welche Pflichten für ein Unternehmen gelten, hängt von seiner Rolle als Anbieter oder Betreiber, der Einstufung des KI-Systems und den jeweils geltenden Anwendungsterminen ab. ISO/IEC 27090 kann unabhängig davon schon heute genutzt werden, um die Sicherheit von KI-Systemen zu verbessern.
Wichtig für die Einordnung: ISO/IEC 27090 ist keine harmonisierte Norm im Sinne von Art. 40 AI Act. Aus ihrer Anwendung allein ergibt sich keine Konformitätsvermutung.
Fünf Schritte für den Einstieg
Sie müssen die Norm nicht kaufen, um heute anzufangen. Diese fünf Schritte bringen Sie schon ein gutes Stück voran:
- KI-Inventar erstellen. Welche KI-Systeme setzen Sie ein, selbst entwickelt oder zugekauft? Vergessen Sie nicht die KI-Funktionen in bestehender Software, etwa Copilot in Microsoft 365 oder KI-Assistenten im CRM.
- Daten- und Modellherkunft klären. Bei eigenen Modellen: Woher stammen Trainingsdaten und Modelle, fließen Betriebsdaten zurück ins Training, wer hat Zugriff? Bei externen KI-Diensten: Dokumentieren Sie, welche Daten an den Anbieter übertragen werden, ob diese für das Modelltraining verwendet werden dürfen und welche Informationen der Anbieter über Modellherkunft, Sicherheitsmaßnahmen und Datenverarbeitung bereitstellt.
- KI-Systeme in die Risikoanalyse aufnehmen. Berücksichtigen Sie neben den KI-Systemen selbst auch deren Datenquellen, angebundene Anwendungen, Berechtigungen und externe Dienstleister. Priorisieren Sie Risiken nach Datenkritikalität, Zugriffsmöglichkeiten und möglichen Auswirkungen auf Geschäftsprozesse.
- Die richtigen Leute zusammenbringen. IT-Sicherheit, Datenschutz, Fachabteilung und Einkauf sehen jeweils nur einen Teil des Risikos. Bei extern bezogenen Modellen und KI-Diensten sollten Herkunft, Änderungen, Verantwortlichkeiten und vertragliche Sicherheitszusagen geprüft werden, und darüber entscheidet oft der Einkauf.
- Erkennung und Reaktion festlegen. Definieren Sie, wie ungewöhnliche KI-Ausgaben, verdächtige Abfragemuster und mögliche Datenabflüsse erkannt und gemeldet werden. Legen Sie fest, wer betroffene Funktionen deaktivieren, Zugriffe sperren und den Anbieter einschalten darf, und ergänzen Sie Ihren Incident-Response-Prozess entsprechend.
Fazit
ISO/IEC 27090 schließt eine Lücke, die mit dem schnellen Einzug von KI in den Unternehmensalltag immer größer geworden ist. Die Norm ist kein weiteres Zertifikat, das man vorweisen muss, sondern ein fachlicher Leitfaden. Für Unternehmen mit ISMS ist sie die logische Erweiterung der bestehenden Risikoanalyse.
Für Unternehmen mit einschlägigen Pflichten aus dem EU AI Act bietet ISO/IEC 27090 eine fachliche Orientierung zur Bewertung KI-spezifischer Sicherheitsrisiken. Ihre Anwendung kann die Umsetzung und Dokumentation geeigneter Schutzmaßnahmen unterstützen, ersetzt aber weder die gesetzlichen Anforderungen noch eine erforderliche Konformitätsbewertung.
Eine Einschränkung bleibt: KI entwickelt sich deutlich schneller, als Normen geschrieben werden. ISO 27090 ist ein solides Fundament, wird aber nicht die letzte Antwort auf KI-Sicherheit bleiben. Umso wichtiger ist es, KI-Systeme nicht als Sonderfall zu behandeln, sondern sie fest in das bestehende Sicherheitsmanagement einzubinden.
Bereit für weniger Excel
und mehr Struktur?
CompliantDesk bündelt NIS2, DSGVO, ISO 27001 in einem Tool - mit automatischen Folgeschritten aus Ihren Checks.