Kurzantwort: Einheitliche Modellierung verbindet Cyber-, AI- und IT-Risiken, indem Assets, Systeme, Daten, Bedrohungen, Schwachstellen, Sicherheitskontrollen, Lieferanten und Geschäftsprozesse in einem konsistenten Risikomodell zusammengeführt werden. Dadurch erkennt ein Unternehmen, wie sich eine Schwachstelle in einem Bereich auf andere Bereiche auswirken kann. Gleichzeitig erhalten Cybersecurity-, AI-, IT- und Business-Teams eine gemeinsame Grundlage für die Priorisierung von Risiken und fundierte Entscheidungen.
Cybersecurity, Artificial Intelligence und IT lassen sich immer schwerer als voneinander getrennte Risikobereiche behandeln.
Eine AI-Anwendung ist von Daten, Cloud-Infrastruktur, Benutzeridentitäten, Softwarekomponenten und externen Anbietern abhängig. Eine Schwachstelle in einem dieser Bereiche kann mehrere miteinander verbundene Risiken verursachen. Ein Fehler bei der Zugriffskontrolle kann beispielsweise als IT-Problem beginnen, sich zu einem Cybersecurity-Vorfall entwickeln und schließlich die Vertraulichkeit oder Zuverlässigkeit eines AI-Systems beeinträchtigen.
Dennoch bewerten viele Unternehmen diese Risiken weiterhin unabhängig voneinander. Cybersecurity-Teams verwalten Bedrohungen und Schwachstellen. IT-Teams überwachen Infrastruktur und Serviceverfügbarkeit. AI-Teams konzentrieren sich auf Modellqualität und Ergebnisse. Compliance-Teams führen wiederum separate Risikoregister und Kontrollnachweise.
Jedes Team kann wertvolle Arbeit leisten. Voneinander getrennte Bewertungen erschweren jedoch den vollständigen Blick auf die Risikosituation des Unternehmens.
Ein einheitliches Modell bringt diese unterschiedlichen Perspektiven zusammen.
Warum Cyber-, AI- und IT-Risiken miteinander verbunden sind
AI arbeitet nicht unabhängig von der übrigen Technologieumgebung. Sie nutzt dieselbe Infrastruktur, dieselben Identitäten, Anwendungen, Netzwerke und Lieferanten wie andere Systeme des Unternehmens.
Betrachten wir einen AI-Assistenten, der interne Unternehmensinformationen verwendet. Seine Sicherheit und Zuverlässigkeit können von folgenden Faktoren abhängen:
- Qualität der Quelldaten;
- Berechtigungen der Benutzer;
- Klassifizierung vertraulicher Informationen;
- Sicherheit der Cloud-Umgebung;
- Konfiguration von APIs und Integrationen;
- verwendete Softwarebibliotheken;
- externer Modell- oder Plattformanbieter;
- Überwachung von Eingaben und Systemausgaben;
- Verfügbarkeit unterstützender IT-Services;
- Verfahren zur Überprüfung AI-generierter Ergebnisse.
Ein Problem mit einem dieser Elemente kann sich auf mehrere Risikokategorien auswirken.
Zu weit gefasste Berechtigungen könnten es einem AI-System ermöglichen, Informationen abzurufen, die ein Benutzer nicht sehen darf. Daten von unzureichender Qualität können zu unzuverlässigen Ergebnissen führen. Eine anfällige Integration kann vertrauliche Informationen offenlegen. Der Ausfall eines externen Anbieters kann einen kritischen Geschäftsprozess unterbrechen.
Dabei handelt es sich nicht ausschließlich um AI-, Cybersecurity- oder IT-Risiken. Es sind miteinander verbundene Geschäftsrisiken mit unterschiedlichen technischen Ursachen.
Was bedeutet einheitliche Risikomodellierung?
Die einheitliche Risikomodellierung schafft eine konsistente Darstellung der Elemente, die das Risiko eines Unternehmens beeinflussen.
Statt AI-Systeme in einem Verzeichnis, technische Assets in einem weiteren und Cyberrisiken in einem separaten Register zu verwalten, bildet das Modell die Beziehungen zwischen diesen Elementen ab.
Ein einheitliches Modell kann Folgendes verbinden:
- Geschäftsservices und kritische Prozesse;
- AI-Systeme und ihre vorgesehenen Einsatzzwecke;
- Modelle, Anwendungen und Datenquellen;
- Infrastruktur und Cloud-Ressourcen;
- Benutzer, Identitäten und Zugriffsrechte;
- Bedrohungen, Schwachstellen und Fehlkonfigurationen;
- Sicherheits- und Governance-Kontrollen;
- regulatorische und vertragliche Anforderungen;
- Lieferanten und Technologieanbieter;
- Risk Owner und technische Verantwortliche;
- Vorfälle, Ausnahmen und Behebungsmaßnahmen;
- betriebliche, finanzielle und reputationsbezogene Auswirkungen.
Damit entsteht mehr als eine zentrale Liste. Das Modell zeigt, wie einzelne Elemente voneinander abhängen und sich gegenseitig beeinflussen.
Es kann beispielsweise darstellen, dass eine generative AI-Anwendung einen Kundenserviceprozess unterstützt, Daten aus einer internen Wissensdatenbank verwendet, in einer Cloud-Umgebung betrieben wird und von einem externen Modellanbieter abhängt. Diese Elemente können anschließend mit Zugriffskontrollen, Datenschutzanforderungen, bekannten Schwachstellen, Serviceabhängigkeiten und verantwortlichen Personen verbunden werden.
Dieser Kontext hilft dem Unternehmen zu verstehen, was passieren könnte, warum es relevant ist und wer handeln muss.
Warum separate Risikoregister blinde Flecken verursachen
Separate Register können sinnvoll sein, wenn Teams spezialisierte Informationen verwalten. Probleme entstehen, wenn zwischen diesen Registern keine zuverlässige Verbindung besteht.
Das Cybersecurity-Register kann eine anfällige Anwendung enthalten. Das IT-Register kann zeigen, dass dieselbe Anwendung einen kritischen Service unterstützt. Das AI-Verzeichnis kann darauf hinweisen, dass die Anwendung Daten für einen automatisierten Entscheidungsprozess bereitstellt. Eine Lieferantenbewertung kann gleichzeitig Bedenken hinsichtlich einer externen Komponente enthalten.
Sind diese Informationen nicht miteinander verbunden, sieht möglicherweise kein einzelnes Team das vollständige Risiko.
Dies kann zu folgenden Problemen führen:
- doppelte Bewertungen;
- widersprüchliche Risikoeinstufungen;
- unklare Verantwortlichkeiten;
- Lücken zwischen technischem und geschäftlichem Reporting;
- wiederholte Prüfung derselben Kontrollen;
- übersehene Abhängigkeiten;
- Behebungsentscheidungen auf Grundlage unvollständiger Informationen.
Einheitliche Modellierung verlangt nicht, dass Fachbereiche ihre spezialisierten Tools aufgeben. Sie bietet diesen Tools und Teams eine gemeinsame Struktur, über die relevante Informationen miteinander in Beziehung gesetzt werden können.
Wie verbindet ein einheitliches Modell die drei Risikobereiche?
1. Es verbindet AI-Systeme mit ihrer technischen Grundlage
Ein AI-Verzeichnis sollte mehr enthalten als den Namen und den vorgesehenen Einsatzzweck eines Systems. Es sollte außerdem die Anwendungen, Datenquellen, Infrastruktur, Schnittstellen und Anbieter erfassen, von denen das System abhängig ist.
Diese Beziehungen helfen festzustellen, ob ein IT-Ausfall, eine Cybersecurity-Schwachstelle oder ein Lieferantenausfall das AI-System beeinträchtigen könnte.
2. Es verknüpft technische Findings mit AI-Anwendungsfällen
Die Bedeutung einer Schwachstelle hängt davon ab, wo sie auftritt.
Eine Schwachstelle in einer isolierten Entwicklungsumgebung kann ein begrenztes Risiko darstellen. Dieselbe Schwachstelle in einem Produktivsystem, das sensible Daten verarbeitet oder einen wichtigen AI-Anwendungsfall unterstützt, kann sofortiges Handeln erfordern.
Durch die Verbindung technischer Findings mit AI-Anwendungsfällen und Geschäftsprozessen können Teams Behebungsmaßnahmen anhand realistischer Auswirkungen priorisieren, statt sich allein auf den technischen Schweregrad zu verlassen.
3. Es nutzt Kontrollen über mehrere Risikobereiche hinweg
Viele Kontrollen gelten gleichzeitig für Cyber-, AI- und IT-Risiken.
Identity Management, Datenklassifizierung, Change Management, Lieferantenbewertung, Protokollierung und Incident Response können mehrere Risikoziele unterstützen. Ein einheitliches Modell zeigt, wo sich Kontrollen überschneiden und wo tatsächliche Lücken verbleiben.
Dies reduziert doppelte Arbeit. Gleichzeitig werden Situationen sichtbar, in denen eine Kontrolle zwar formal besteht, aber nicht auf ein bestimmtes AI-System, einen Datensatz oder einen Service angewendet wird.
4. Es schafft klare Verantwortlichkeiten
AI-Risiken überschreiten häufig organisatorische Grenzen. Das AI-Team kann das Modell verantworten, die IT betreibt die Infrastruktur, Cybersecurity überwacht Bedrohungen und ein Fachbereich verantwortet den unterstützten Geschäftsprozess.
Ein einheitliches Modell kann diese Rollen getrennt erfassen. Dadurch wird verhindert, dass ein technischer Verantwortlicher automatisch als Eigentümer des gesamten Geschäftsrisikos betrachtet wird.
5. Es schafft eine gemeinsame Sicht auf die Geschäftsauswirkungen
Cybersecurity-, AI- und IT-Teams können unterschiedliche Bewertungsmethoden verwenden. Ein Team misst den Schweregrad einer Schwachstelle, ein anderes die Serviceverfügbarkeit und ein weiteres die Zuverlässigkeit AI-generierter Ergebnisse.
Einheitliche Modellierung verbindet diese spezialisierten Kennzahlen mit gemeinsamen Geschäftsauswirkungen, beispielsweise:
- Unterbrechung eines kritischen Services;
- Offenlegung vertraulicher Informationen;
- unzuverlässige oder unangemessene Entscheidungen;
- Nichterfüllung vertraglicher Verpflichtungen;
- regulatorische Verstöße;
- finanzielle Verluste;
- Schäden für Kunden;
- Reputationsverlust.
Damit erhält die Unternehmensleitung eine belastbarere Grundlage, um Risiken zu vergleichen und Ressourcen gezielt einzusetzen.
AI Governance in das Risikomanagement integrieren
AI Governance sollte nicht zu einem weiteren isolierten Compliance-Prozess werden.
Sie muss mit bestehenden Prozessen für Cybersecurity, IT Governance, Datenschutz, Beschaffung, Incident Management und Enterprise Risk Management zusammenarbeiten.
In der Praxis sind vier zentrale Aktivitäten erforderlich:
- eindeutige Zuständigkeiten, Regeln und Aufsicht festlegen;
- das AI-System, seinen Kontext und mögliche Auswirkungen verstehen;
- Risiken regelmäßig bewerten und überwachen;
- Risiken priorisieren und geeignete Maßnahmen umsetzen.
Ein einheitliches Unternehmensmodell kann diese Aktivitäten denselben Assets, Services, Verantwortlichen, Kontrollen und Nachweisen zuordnen. Dadurch sinkt das Risiko, getrennte Governance-Strukturen aufzubauen, die dieselbe Technologie abdecken, aber keine Informationen austauschen.
Ein praktisches Beispiel für verbundene Risiken
Stellen wir uns vor, ein Unternehmen führt einen generativen AI-Assistenten für seine Mitarbeiter ein.
Das Tool durchsucht interne Richtlinien, technische Dokumentationen und Kundeninformationen. Es nutzt eine Cloud-Anwendung, ein externes Sprachmodell und mehrere interne Datenquellen.
Im Rahmen einer Bewertung werden folgende Probleme festgestellt:
- Die Zugriffsberechtigungen für eine Datenquelle sind zu weit gefasst.
- Der externe Anbieter hat seine Servicebedingungen geändert.
- Einige Quelldokumente sind veraltet.
- Benutzeraktivitäten werden nicht konsistent protokolliert.
- Kein Team ist für die Überprüfung schädlicher oder unrichtiger Ergebnisse verantwortlich.
Einzeln betrachtet können diese Findings unabhängig voneinander erscheinen. Die einheitliche Modellierung zeigt jedoch ein zusammenhängendes Risikoszenario.
Zu weit gefasste Berechtigungen erhöhen die Möglichkeit eines unzulässigen Datenzugriffs. Fehlende Protokolle erschweren die Untersuchung eines Vorfalls. Veraltete Dokumente beeinträchtigen die Zuverlässigkeit der Ergebnisse. Änderungen beim Anbieter können die Datenverarbeitung oder Servicebedingungen beeinflussen. Unklare Verantwortlichkeiten führen dazu, dass niemand für die Überwachung der Ergebnisse zuständig ist.
Das verbundene Geschäftsrisiko besteht also nicht nur darin, dass „das AI-Tool mehrere Probleme hat“. Das Unternehmen könnte vertrauliche Informationen offenlegen, Mitarbeitern unzuverlässige Hinweise bereitstellen und nicht nachvollziehen können, wie ein problematisches Ergebnis entstanden ist.
Auf dieser Ebene kann das Management eine fundierte Entscheidung treffen.
Wie lässt sich eine einheitliche Sicht auf Cyber-, AI- und IT-Risiken aufbauen?
Mit wichtigen Services und AI-Anwendungsfällen beginnen
Versuchen Sie nicht, sofort jedes System im Unternehmen abzubilden. Wählen Sie zunächst einen kritischen Geschäftsservice oder einen AI-Anwendungsfall mit klarer betrieblicher Relevanz aus.
Bestimmen Sie, was der Service leistet, wer von ihm abhängig ist und welche Folgen ein Ausfall, ein Sicherheitsvorfall oder unzuverlässige Ergebnisse hätten.
Unterstützende Elemente abbilden
Verbinden Sie den Anwendungsfall mit Anwendungen, Datenquellen, Infrastruktur, Identitäten, Lieferanten und Kontrollen.
Bereits dieser Schritt bringt häufig bisher nicht dokumentierte Abhängigkeiten zum Vorschein.
Einheitliche Definitionen verwenden
Teams benötigen gemeinsame Definitionen für Begriffe wie Asset, AI-System, Kontrolle, Vorfall, Risk Owner, kritischer Service und Geschäftsauswirkung.
Das Ziel besteht nicht darin, Fachbegriffe abzuschaffen. Gleichartige Informationen sollen in verschiedenen Teams konsistent interpretiert werden können.
Bestehende Bewertungen verknüpfen
Nutzen Sie vorhandene Informationen aus dem Schwachstellenmanagement, der Cloud Security, dem Datenschutz, Lieferantenbewertungen, Business Continuity Management und AI-Risikobewertungen.
Erstellen Sie keinen neuen Eintrag, wenn sich eine vorhandene Bewertung mit dem relevanten System oder Risiko verknüpfen lässt.
Verantwortliche Personen zuweisen
Dokumentieren Sie, wer die Technologie betreibt, die Daten verantwortet, den Lieferanten verwaltet und das Geschäftsrisiko akzeptiert.
Diese Rollen können verschiedenen Personen zugeordnet sein. Diese Unterscheidung sichtbar zu machen, ist für wirksame Governance entscheidend.
Veränderungen kontinuierlich überwachen
AI-Systeme, Datenquellen und Cloud-Umgebungen ändern sich laufend. Das Modell sollte aktualisiert werden, wenn eine neue Integration hinzukommt, ein Anbieter seinen Service verändert, eine kritische Schwachstelle entdeckt oder ein AI-System für einen neuen Zweck eingesetzt wird.
Die Risikobewertung sollte die aktuelle Verwendung des Systems widerspiegeln, nicht nur die Bedingungen zum Zeitpunkt seiner ursprünglichen Freigabe.
Wie AI das einheitliche Risikomanagement unterstützen kann
AI kann auch bei der Analyse des verbundenen Risikomodells selbst helfen.
Wenn ausreichende Governance und zuverlässige Daten vorhanden sind, können AI-gestützte Prozesse Teams dabei unterstützen:
- Findings aus unterschiedlichen Tools zu korrelieren;
- fehlende Beziehungen zu erkennen;
- doppelte Risiken zu gruppieren;
- technische Nachweise zusammenzufassen;
- Veränderungen der Risikoexposition zu identifizieren;
- Abhängigkeiten zwischen Systemen und Services nachzuverfolgen;
- zielgruppenspezifische Berichte vorzubereiten;
- Risiken hervorzuheben, die eine menschliche Prüfung erfordern.
AI sollte verantwortliche Entscheidungen jedoch unterstützen und nicht ersetzen.
Empfehlungen müssen mit ihren Quellen verknüpft sein. Teams müssen verstehen können, warum ein Risiko eine bestimmte Priorität erhalten hat, welche Annahmen verwendet wurden und wo Informationen unvollständig sind.
Der geschäftliche Nutzen eines verbundenen Risikomodells
Die Verbindung von Cyber-, AI- und IT-Risiken hilft Ihrem Unternehmen, sich von voneinander getrennten technischen Diskussionen zu lösen und eine gemeinsame Sicht auf die geschäftliche Risikoexposition zu schaffen.
Ein verbundenes Modell kann dabei helfen:
- Risiken zu erkennen, die Teamgrenzen überschreiten;
- doppelte Bewertungen und Kontrollprüfungen zu reduzieren;
- Verantwortlichkeiten eindeutiger zuzuweisen;
- Behebungsmaßnahmen mithilfe des Geschäftskontexts zu priorisieren;
- das Reporting für die Unternehmensleitung zu verbessern;
- Nachweise in mehreren Governance- und Compliance-Prozessen zu nutzen;
- Abhängigkeiten von Lieferanten und Cloud-Services zu verstehen;
- AI einzuführen, ohne sie vom bestehenden Risikomanagement zu trennen.
Das Ziel besteht nicht darin, jedes Risiko in einem einzigen Wert auszudrücken. Es geht darum, ausreichend Konsistenz und Kontext zu schaffen, damit Teams Zusammenhänge verstehen und bessere Entscheidungen treffen können.
Verbinden Sie Ihre Cyber-, AI- und IT-Risiken
Wenn AI-, Cybersecurity- und IT-Teams separate Verzeichnisse, Kontrollen und Berichte führen, bewertet Ihr Unternehmen möglicherweise dieselbe Technologie mehrfach, ohne das vollständige Risiko zu erkennen.
Ein einheitliches Modell kann die eingesetzten Systeme, verwendeten Daten, abhängigen Lieferanten und zu schützenden Geschäftsprozesse miteinander verbinden.
Vereinbaren Sie eine Beratung mit Cybersecurity Analytics, um die aktuelle Risikolandschaft zu bewerten. Unsere Experten unterstützen Sie bei der Entwicklung eines Enterprise-Risk-Management-Frameworks, das Cyber-, KI- und IT-Risiken durch eine gemeinsame Datenbasis, klare Verantwortlichkeiten und eine praxistaugliche Governance miteinander verbindet.
