ISO/IEC 27090:2026 – Informationssicherheit für KI-Systeme

KI-Systeme werden zunehmend in Geschäftsprozesse, Produkte und Dienstleistungen integriert. Damit entstehen neben den bekannten Risiken der Informationssicherheit auch neue Angriffsmöglichkeiten. Trainingsdaten können manipuliert, Modelle kopiert und Eingaben so verändert werden, dass ein KI-System falsche oder vom Angreifer gewünschte Ergebnisse liefert.

© Storyblocks, Registriert auf Andreas Wisler

Am 14. Oktober 2026 und damit erst vor wenigen Tagen wurde die neue ISO/IEC 27090:2026 veröffentlicht. Es handelt sich um die erste Ausgabe der Norm. Sie beschäftigt sich mit Sicherheitsbedrohungen und möglichen Kompromittierungen von KI-Systemen und beschreibt, wie diese erkannt und behandelt werden können. Sie richtet sich an Organisationen aller Arten und Grössen, die KI-Systeme entwickeln oder einsetzen.

Es handelt sich weder um ein Managementsystem noch um eine Norm, die den Einsatz von KI zur Verbesserung der Cybersecurity behandelt. Im Zentrum steht der Schutz von KI-Systemen selbst.

Die Kapitel 1 bis 4 beschreiben den Anwendungsbereich, normative Referenzen, Begriffe (es werden 33 dieser neu eingeführt) und Abkürzungen (wie wir dies neu auch aus anderen Normen kennen). Diesmal sind es 15 Abkürzungen, die in der Norm genutzt werden. Inhaltlich interessant wird es dann ab Kapitel 5.

Informationssicherheit bei KI-Systemen

Ein KI-System basiert auf Software, Hardware, Netzwerken, Cloud-Diensten, Schnittstellen und Daten. Entsprechend gelten die bekannten Anforderungen der Informationssicherheit auch für KI-Systeme. Die ISO/IEC 27090 ergänzt diese um Bedrohungen, die sich aus Daten, Modellen und dem besonderen Verhalten von KI ergeben. Die ISO 27090 ordnet die ISO/IEC 27001 und 27002 entsprechend als notwendige Informationssicherheitsgrundlage ein.

Die Norm empfiehlt zudem, eine Governance für KI aufzubauen. Zuständigkeiten müssen bekannt und die notwendigen Kompetenzen vorhanden sein. Für ein vollständiges KI-Managementsystem wird auf die ISO/IEC 42001 verwiesen. Diese definiert Anforderungen an ein AI-Management-System und verfolgt damit einen deutlich breiteren und tiefer gehenden Ansatz als die ISO/IEC 27090.

Weiter sollen Zero-Trust-Prinzipien und etablierte Methoden der sicheren Softwareentwicklung auch auf KI-Systeme angewendet werden. Komponenten, Zugriffe und Daten sollen nicht automatisch als vertrauenswürdig betrachtet werden. Ebenso müssen Entwicklungsumgebungen, Abhängigkeiten und die teilweise komplexen Lieferketten von KI-Systemen berücksichtigt werden.

Bedrohungen verstehen

Ein Schwerpunkt von Kapitel 5 ist das Threat Modelling. Dazu müssen zuerst die schützenswerten Werte, Beteiligten, Schnittstellen und möglichen Angriffswege bekannt sein. Anschliessend kann beurteilt werden, welche Bedrohungen bestehen und welche Auswirkungen eine Kompromittierung haben könnte.

Ein Angreifer kann etwa Zugriff auf Trainingsdaten besitzen, eine öffentlich erreichbare Schnittstelle eines Modells verwenden oder lediglich dessen Ausgaben beobachten. Auch die Informationen, die ein Angreifer bereits über ein Modell besitzt, beeinflussen seine Möglichkeiten.

Neben dem Threat Modelling erwähnt die Norm Red Teaming als Test- und Schutzmöglichkeit. Dabei wird gezielt aus Sicht eines Angreifers versucht, Schwachstellen und unerwünschtes Verhalten zu identifizieren. Bei KI-Systemen reicht es nicht aus, ausschliesslich die klassische technische Infrastruktur zu testen. Auch das Modell, dessen Eingaben und Ausgaben sowie die verwendeten Daten müssen berücksichtigt werden. Threat Modelling und AI-spezifisches Red Teaming werden von der Norm ausdrücklich als Bestandteile der Anwendung von Informationssicherheit auf KI behandelt.

Manipulation von Trainingsdaten

Kapitel 6 beschreibt verschiedene Möglichkeiten, ein KI-System zu kompromittieren. Beim Data Poisoning werden Trainingsdaten manipuliert. Ein Angreifer kann dazu falsche oder speziell vorbereitete Informationen in einen Datensatz einbringen. Werden diese Daten für das Training oder ein späteres erneutes Training verwendet, kann dies das Verhalten des Modells beeinflussen.

Das macht auch die Herkunft der Daten wichtig. Informationen aus externen Quellen oder der produktiven Nutzung können später wieder in das Training einfliessen. Dadurch kann ein Angriff längerfristig Auswirkungen auf zukünftige Versionen eines Modells haben. Die ISO/IEC 27090 behandelt deshalb bei Data Poisoning sowohl mögliche Folgen als auch Möglichkeiten zur Erkennung und Reduktion des Risikos.

Davon zu unterscheiden ist das Model Poisoning. Hier richtet sich die Manipulation gegen das Modell beziehungsweise dessen Bestandteile oder Änderungen und nicht primär gegen den verwendeten Datensatz. Die Norm behandelt Data Poisoning und Model Poisoning entsprechend als separate Bedrohungen.

Informationen aus einem Modell gewinnen

Nicht jeder Angriff versucht, ein KI-System zu manipulieren. Ein Modell kann auch Informationen über seine Trainingsdaten oder sich selbst preisgeben.

Bei einer Membership-Inference wird versucht festzustellen, ob bestimmte Daten Bestandteil des Trainings waren. Bereits diese Information kann vertraulich sein, beispielsweise wenn dadurch Rückschlüsse auf Personen oder andere sensible Sachverhalte möglich werden.

Bei einer Model-Inversion versucht ein Angreifer hingegen, anhand des Verhaltens und der Ausgaben eines Modells Informationen über die verwendeten Trainingsdaten oder deren Eigenschaften abzuleiten. Die Norm betrachtet Membership Inference und Model Inversion als eigene Angriffskategorien und beschreibt jeweils mögliche Auswirkungen, Erkennung und Gegenmassnahmen.

Ein weiteres Thema ist Sensitive Model Output. Ein KI-System kann vertrauliche oder andere schützenswerte Informationen in seinen Ausgaben offenlegen. Entsprechend muss nicht nur geschützt werden, was in ein Modell eingegeben wird, sondern auch geprüft werden, welche Informationen es wieder ausgeben kann.

Model-Exfiltration

Bei einer Model-Exfiltration versucht ein Angreifer, Informationen über ein Modell zu gewinnen oder dieses nachzubauen. Das Besondere daran ist, dass dafür unter Umständen keine klassische Sicherheitslücke notwendig ist. Zahlreiche scheinbar legitime Abfragen können verwendet werden, um das Verhalten eines Modells zu untersuchen und Informationen daraus abzuleiten.

Für die Erkennung reicht eine gewöhnliche Zugriffskontrolle deshalb nicht immer aus. Auch Anzahl, Häufigkeit und Muster von Abfragen können relevant sein. Die Norm verwendet dieses Beispiel ausdrücklich, um zu zeigen, warum konventionelle Sicherheitsmassnahmen bei KI-Systemen durch zusätzliche Schutzmechanismen ergänzt werden müssen.

Prompt Injection

Besonders bekannt sind mittlerweile Prompt-Injection-Angriffe. Dabei wird versucht, ein KI-System durch manipulierte Eingaben zu einem nicht vorgesehenen Verhalten zu bringen. Das kann beispielsweise dazu führen, dass Anweisungen ignoriert oder Informationen offengelegt werden.

Kritisch sind dabei nicht nur Eingaben eines Benutzers. Eine schädliche Anweisung kann sich auch in Inhalten befinden, die von einem KI-System verarbeitet werden. Dies ist insbesondere bei Systemen relevant, die Dokumente oder andere externe Informationen automatisiert einlesen.

Die Norm geht noch einen Schritt weiter und behandelt auch den Fall, dass die Ausgabe eines KI-Systems wiederum eine Injection enthält. Wird diese Ausgabe automatisiert von einem weiteren System verarbeitet, kann sich ein Angriff über mehrere miteinander verbundene Komponenten fortsetzen. Die ISO/IEC 27090 unterscheidet deshalb unter anderem zwischen Prompt Injection und «Output contains injection attacks».

Gegenmassnahmen und Defence in Depth

Kapitel 7 beschäftigt sich mit den Gegenmassnahmen. Ein wichtiger Grundgedanke dabei ist Defence in Depth. Eine einzelne Sicherheitsmassnahme reicht nicht aus, um ein KI-System zuverlässig zu schützen. Stattdessen müssen verschiedene Schutzschichten miteinander kombiniert werden.

Dabei müssen auch Wechselwirkungen berücksichtigt werden. Eine Gegenmassnahme kann zwar ein bestimmtes Risiko reduzieren, gleichzeitig aber die Wirksamkeit einer anderen Massnahme oder das Verhalten des KI-Systems beeinflussen. Schutzmassnahmen dürfen deshalb nicht isoliert betrachtet werden. Die Norm erwähnt zudem die Möglichkeit, dass deren Wirksamkeit mit der Zeit nachlässt.

Entsprechend wichtig sind Überwachung und Protokollierung. Die Norm behandelt den Schutz der Entwicklungsumgebung, die Erkennung bösartiger oder ungewöhnlicher Eingaben und das Begrenzen beziehungsweise Drosseln von Modellzugriffen. Auch die Herkunft und Nachvollziehbarkeit von Daten spielt eine Rolle. Die Wirksamkeit der getroffenen Massnahmen sollte über den gesamten Lebenszyklus des KI-Systems sichergestellt und überprüft werden.

Die Anhänge der Norm

Die drei informativen Anhänge geben zusätzliche Hilfestellung. Anhang A ordnet die beschriebenen Angriffe den Phasen des KI-System-Lebenszyklus und den betroffenen Assets zu. Damit lässt sich relativ schnell erkennen, an welcher Stelle eine bestimmte Bedrohung relevant werden kann.

Anhang B behandelt KI-spezifische Varianten konventioneller Angriffe. Damit wird nochmals deutlich, dass klassische Cybersecurity und KI-Sicherheit nicht getrennt voneinander betrachtet werden sollten. Anhang C beschäftigt sich mit Federated Machine Learning, bei dem das Training verteilt erfolgt, und den damit verbundenen Sicherheitsaspekten.

Fazit

Die ISO/IEC 27090 bietet einen strukturierten Überblick über Sicherheitsbedrohungen von KI-Systemen. Interessant ist insbesondere die Zusammenstellung verschiedener Angriffsmöglichkeiten sowie deren Erkennung und Behandlung. Für Personen, die bisher wenig mit der Sicherheit von KI-Systemen zu tun hatten, ist die Norm eine hilfreiche Einführung.

Viele Empfehlungen bleiben aus meiner Sicht allerdings auf einer relativ übergeordneten Ebene. Organisationen mit einem etablierten ISMS werden zudem einen Teil der Grundlagen bereits aus der ISO/IEC 27001 und 27002 kennen. Der zusätzliche Nutzen liegt hauptsächlich in der Betrachtung der KI-spezifischen Angriffe und Besonderheiten. Die ISO/IEC 27090 ist dabei keine Managementsystemnorm, sondern ergänzt bestehende Informationssicherheitspraktiken um den Blick auf KI-Systeme.