KI Archive - SAVISCON GmbH

GRC-Partnerprogramm: 2 Compliance-Fliegen, eine echte Lösung

September 7, 2026/in IT-Sicherheit, Datenschutz, GRC-COCKPIT, KI/von Sarah Neuenstadt

Bevor ein Rahmenvertrag verlängert wird, fragen Kunden heute nach Nachweisen zur Informationssicherheit. Wer Netzwerke, Arbeitsplätze oder Datensicherungen für andere betreibt, bekommt diese Frage gleich doppelt gestellt: einmal für die eigene Organisation und einmal für die betreuten Systeme. Seit dem 6. Dezember 2025 gilt dafür in Deutschland das NIS2-Umsetzungsgesetz.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, schätzt den Kreis der Betroffenen in einer Pressemitteilung vom Januar 2026 auf rund 29.500 Unternehmen und Institutionen der Bundesverwaltung.

Für diese doppelte Nachweispflicht bietet die SAVISCON das GRC-Partnerprogramm. Vorher lohnt sich ein Blick darauf, wo die eigene Regulierung als MSP, Systemhaus oder Berater tatsächlich anfängt.

MSP, Systemhaus oder Berater: wo die eigene Regulierung anfängt

Anlage 1 des BSI-Gesetzes nennt Managed Services Provider (MSP) und Managed Security Services Provider ausdrücklich im Sektor digitale Infrastruktur, während reine IT-Sicherheitsberatung laut BSI-Fragenkatalog in der Regel nicht darunterfällt.

Ein Beratungshaus ist damit meist selbst nicht reguliert, wird aber trotzdem von seinen Kunden nach der eigenen Informationssicherheit gefragt, während ein Systemhaus mit technischem Zugriff auf Kundensysteme häufig direkt in der Pflicht steht. Am Ende bekommen beide dieselben Fragebögen vorgelegt, nur aus unterschiedlichen Gründen.

Ein kurzer Überblick zur Einordnung

Ob NIS2, ISO 27001 oder DORA am Ende zutrifft, hängt von Kunden, Branche und der eigenen Rolle ab. Zur schnellen Einordnung reicht meist diese Kurzfassung, nicht die Tiefe jedes einzelnen Paragrafen:

NIS2: gilt seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist und betrifft je nach Sektor und Größe auch Managed Service Provider und IT-Systemhäuser direkt.
ISO 27001: ist für viele Systemhäuser weniger eine gesetzliche Pflicht als eine wiederkehrende Frage in Kundenausschreibungen und Lieferantenfragebögen, deren Erfüllung zum Wettbewerbsvorteil wird.
DORA: gilt seit dem 17. Januar 2025 direkt für Banken und Versicherer und nimmt über vertragliche Vorgaben auch deren IT-Dienstleister in die Pflicht.

Wie Unternehmen eine versäumte NIS2-Registrierung nachholen können, beschreibt unser Blogbeitrag zum Thema: „NIS2: Warum viele Unternehmen noch zögern und was jetzt hilft“.

Wer für Kunden aus mehreren der oben genannten Rahmenwerke Nachweise liefert, pflegt die eigene Grundlage dafür in der Praxis aber oft noch in Tabellen, die im Audit niemand gern aufschlägt. Eine Softwarelösung macht daraus einen Prozess, der nur noch gepflegt statt jedes Mal neu aufgebaut werden muss.

Das GRC-Partnerprogramm: erst im eigenen Haus, dann beim Kunden

Das GRC-Partnerprogramm der SAVISCON richtet sich an Managed Service Provider (MSP), IT-Systemhäuser und Beratungshäuser, die ihren Kunden bei der Frage nach Nachweisen zur Informationssicherheit helfen wollen, sei es durch Empfehlung oder als eigenes Angebot.

Die Umsetzung beginnt dabei nicht bei der Provision, sondern im eigenen Haus, denn wer Kunden zu NIS2, ISO 27001 oder DORA berät, sollte die Anforderungen zunächst selbst umgesetzt haben.

Dafür kann das GRC-COCKPIT, eine webbasierte Software der SAVISCON für Governance, Risk und Compliance, genutzt werden. Das Tool bündelt Steuerung, Risiko und Regelkonformität in einer Plattform und bildet dabei mehrere Managementsysteme in einer Oberfläche ab, darunter:

Informationssicherheit nach ISO 27001 und IT-Grundschutz
Risiko-Management nach ISO 31000
Compliance-Management nach ISO 37301
Datenschutz-Management nach ISO 27701

Auf der GRC-COCKPIT-Produktseite erfahren Sie mehr über den Umfang der Managementsysteme, die das Tool abbilden kann.

Wer das System zuerst für die eigene Organisation aufsetzt, kennt die Oberfläche, die Begriffe und die typischen Rückfragen bereits vor dem ersten Kundenprojekt und kann sie im Kundengespräch aus eigener Erfahrung erklären. Vier Funktionen im GRC-COCKPIT sind dabei für das Partnerprogramm besonders relevant:

Mehrmandantenfähigkeit: ein Dashboard über die eigene Organisation und die betreuten Kundeninstanzen, mit eigenem Login auf der Partnerseite.
Vorkonfigurierte Inhalte: Risiken und Maßnahmen für NIS2 sind im GRC-COCKPIT direkt mit den passenden Anforderungen der ISO 27001 verknüpft, sodass keine doppelte Pflege entsteht.
Audit-Trail: jede Änderung wird mit Zeitpunkt und Verantwortlichem in der jeweiligen Versionshistorie im GRC-COCKPIT gespeichert und bleibt so nachvollziehbar.
Reporting: Berichte für Audits, Kundenfragebögen und die Geschäftsführung lassen sich direkt aus den GRC-COCKPIT-Daten exportieren.

Die zwei Modelle im Partnerprogramm

Referral, empfehlen ohne Lizenzverwaltung

Das Referral-Modell im Partnerprogramm passt zu Häusern, die empfehlen wollen, ohne Lizenzen zu führen. Der Partner meldet einen Kontakt. Die SAVISCON übernimmt Angebot, Vertrag und Betreuung.

Vergütet wird eine Provision von zehn Prozent auf das erste Lizenzjahr. Technischer Aufwand oder eigenes Vertragsrisiko entstehen dabei nicht. Das Modell eignet sich deshalb auch als risikoarmer erster Schritt ins Thema Compliance-Vertrieb.

Reseller, Lizenzen im eigenen Namen

Das zweite Modell im Partnerprogramm richtet sich an Häuser, die Compliance als eigene Leistung anbieten wollen. Der Partner kauft Mietlizenzen ein, gibt sie unter eigenem Namen weiter und betreut seine Kunden selbst. Die Kundenbeziehung bleibt vollständig beim Partner.

Die Rabatte sind nach Partnerstufe und Vertragslaufzeit gestaffelt und liegen zwischen zehn und dreißig Prozent. Dazu kommen:

ein Mehrmandanten-Dashboard
Vertriebsunterlagen
eine kostenfreie Basisschulung
Deal-Registrierung mit Preisschutz: verhindert, dass ein zweiter Partner denselben Kunden unterbietet.

Die Wahl hängt weniger am Rabatt als am eigenen Betriebsmodell. Wer ohnehin Managed Services abrechnet und Kundenverträge führt, ist im Reseller-Modell näher am bestehenden Geschäft und baut Compliance als zusätzliche, wiederkehrende Einnahmequelle auf.

Wer Compliance nur punktuell berät, kommt mit einer Empfehlung schneller zum Ergebnis, ohne das eigene Portfolio zu erweitern. Beide Wege im Partnerprogramm führen auf dasselbe System.

Welches der beiden Modelle im Einzelfall passt, klären am besten die folgenden drei Fragen.

Drei Fragen vor dem Einstieg

Der Weg ins Partnerprogramm beginnt mit dem eigenen Bedarf, nicht mit einer Preisliste. Die folgenden drei Fragen sind zur eigenen Orientierung gedacht, nicht als Formular für die SAVISCON:

Welche Rahmenwerke betreffen das eigene Haus, NIS2, ISO 27001, DORA oder eine Kombination?
Wie oft taucht die Frage nach Nachweisen zur Informationssicherheit im eigenen Kundenalltag schon auf?
Sollen Lizenzen im eigenen Namen laufen oder reicht die Empfehlung an die SAVISCON?

Wer schon weiß, welches Modell zum eigenen Betrieb passt, findet die genauen Konditionen, Partnerstufen und den vollständigen Leistungsumfang auf der Partner-Startseite, nach der Anmeldung ergänzt um einen One-Pager mit allen Zahlen im Detail.

Wer sich noch nicht festlegen möchte, klärt die Wahl genauso gut in einem kostenlosen, unverbindlichen Gespräch mit der SAVISCON. Der Einstieg ins Partnerprogramm läuft über dieselbe Seite.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.

KI Cyberangriffe: Was praktisch gegen Phishing hilft

August 26, 2026/in IT-Sicherheit, Datenschutz, GRC-COCKPIT, KI/von Sarah Neuenstadt

Dass KI Cyberangriffe verändert, ist seit dem 12. Mai 2026 amtlich. Das Bundeskriminalamt hat an diesem Tag sein Bundeslagebild Cybercrime 2025 vorgestellt und einen Punkt in den Untertitel gehoben, der in den Jahren davor eine Randnotiz war: Künstliche Intelligenz verschärft die Bedrohungslage. Erfasst wurden 333.922 Fälle von Cyberkriminalität in Deutschland, davon 126.034 Inlandstaten und 207.888 Taten mit Auslandsbezug. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, also unter die deutsche Umsetzung der europäischen NIS2-Richtlinie, hängt daran eine praktische Frage: Welche der gesetzlichen Pflichten greifen, wenn KI Cyberangriffe sprachlich und organisatorisch besser vorbereitet als früher? Aufschieben lässt sich die Antwort nicht, das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist.

Was die Zahlen für 2025 zeigen

Zwei Angriffsformen fallen im Bundeslagebild besonders auf:

Ransomware, also die Verschlüsselung von Unternehmensdaten mit anschließender Lösegeldforderung: 1.041 angezeigte Fälle, ein Zuwachs von 10 Prozent
DDoS, also die gezielte Überlastung von Servern und Onlinediensten: 36.706 Fälle, ein Zuwachs von 25 Prozent

Aussagekräftiger als die Gesamtzahl ist, wen diese Angriffe treffen. Bei Ransomware waren 96 Prozent der Betroffenen Unternehmen und Behörden, rund 90 Prozent davon kleine und mittlere Unternehmen. Den Schaden durch Datendiebstahl, Spionage und Sabotage bezifferte der Bitkom in seiner Untersuchung Wirtschaftsschutz vom September 2025 auf 289,2 Milliarden Euro innerhalb von zwölf Monaten, betroffen waren 87 Prozent der befragten Unternehmen.

Das BSI hat seinen Lagebericht 2025 unter eine andere Perspektive gestellt: nicht mehr die Frage, wer angreift, sondern wie groß die eigene Angriffsfläche ist. Hier sind zwei wichtige Zahlen aus dem Bericht: Im Durchschnitt wurden 119 neue Schwachstellen pro Tag bekannt, ein Anstieg um 24 Prozent gegenüber dem Vorjahr. Und kleine und mittlere Unternehmen erfüllen im Schnitt rund 56 Prozent der Basisanforderungen an IT-Sicherheit. Der Abstand zwischen dem, was angreifbar ist, und dem, was abgesichert ist, wächst also von beiden Seiten. In diese Lücke hinein macht KI Cyberangriffe billiger.

Wie KI Cyberangriffe verändert

Wie stark KI Cyberangriffe beschleunigt, beziffert das BKA nicht. Die Pressemitteilung zum Lagebild formuliert es knapp: Cyberkriminelle nutzen KI, um Angriffe schneller, gezielter und professioneller durchzuführen. Eine Fallzahl nennt die Behörde nicht, die Aussage bleibt qualitativ. Konkreter wird das BSI an der Stelle, an der Unternehmen es zuerst merken, bei Phishing-Mails. Die Nachrichten wirken authentischer, besonders dann, wenn Kriminelle sie mithilfe von Künstlicher Intelligenz erzeugen.

Praktisch heißt das, die klassischen Erkennungsmerkmale einer Phishing-Mail, also Rechtschreibfehler, holprige Anrede und offensichtlich falsche Absender, verlieren an Aussagekraft. Schulungen, die auf diesen Merkmalen aufbauen, greifen zu kurz, wenn KI Cyberangriffe vorbereitet. Was trägt, sind Prüfschritte am Prozess, der Rückruf über eine bekannte Nummer bei Zahlungs- und Datenanfragen, das Vier-Augen-Prinzip bei Änderungen an Bankverbindungen und ein Meldeweg, den Mitarbeiter auch bei einem Fehlalarm ohne Scheu nutzen.

Was NIS2 an dieser Stelle verlangt

Eine Einordnung vorweg, weil sie oft für Verwirrung sorgt: NIS2 steht in Deutschland nicht in einem eigenen Gesetz. Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz neu gefasst. Aus diesem Grund stehen die NIS2-Pflichten dort und das BSI ist die Behörde, mit der Sie in diesem Fall zu tun haben.

§ 30 Absatz 2 BSIG nennt zehn Mindestbereiche, die die Risikomanagementmaßnahmen abdecken müssen. Für die Arbeitsplanung haben wir diese zu vier Blöcken gebündelt, die Bereiche selbst sind die des Gesetzes:

Risiko-Management und Sicherheitskonzepte, einschließlich der Bewertung, ob die Maßnahmen wirken
Bewältigung von Sicherheitsvorfällen, von der Erkennung bis zur Dokumentation
Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement
Sicherheit der Lieferkette und der eigenen Beschaffung, einschließlich Schwachstellenmanagement

Zwei der zehn Bereiche aus § 30 Absatz 2 BSIG stehen nicht in diesen vier Blöcken: grundlegende Schulungen und Sensibilisierung für alle Beschäftigten sowie Multi-Faktor-Authentifizierung. Weil KI Cyberangriffe sprachlich glättet, sind es gegen Phishing die beiden wirksamsten Punkte der ganzen Liste: die Schulung greift vor dem Klick, die Multi-Faktor-Authentifizierung danach.

Dazu kommen die Meldepflichten nach § 32 BSIG. Der Ablauf ist dreistufig: Erstmeldung innerhalb von 24 Stunden nach Kenntnis des Vorfalls, Meldung mit einer ersten Bewertung innerhalb von 72 Stunden nach Kenntnis, Abschlussmeldung innerhalb eines Monats nach der 72-Stunden-Meldung. Dauert ein Vorfall zu diesem Zeitpunkt noch an, tritt an die Stelle der Abschlussmeldung zunächst eine Fortschrittsmeldung.

Die Geschäftsleitung nimmt § 38 BSIG enger in die Pflicht, als viele Zusammenfassungen es wiedergeben. Sie setzt die Risikomanagementmaßnahmen um und überwacht ihre Umsetzung. Absatz 3 verpflichtet die Geschäftsleitung zusätzlich, selbst regelmäßig an Schulungen teilzunehmen. Einen gesetzlichen Turnus dafür gibt es nicht, aus unserer Projekterfahrung ist eine Wiederholung mindestens alle drei Jahre sinnvoll.

Fünf Maßnahmen für Ihre NIS2-Umsetzung

Wer die Anforderungen in konkrete Arbeit übersetzen will, findet hier einen Einstieg:

Awareness-Training auf den Stand bringen, den KI Cyberangriffe nötig machen, mit Phishing-Simulationen statt Merkmal-Checklisten.
Meldeprozess vorbereiten, mit einer Vorlage für die 24-Stunden-Meldung und benannten Vertretungen für Urlaub und Krankheit.
Risikoanalyse um Szenarien ergänzen, in denen KI Cyberangriffe vorbereitet, insbesondere Social Engineering gegen Buchhaltung, Einkauf und Assistenzfunktionen.
Regeln für den eigenen KI-Einsatz dokumentieren: Welche Werkzeuge sind zugelassen? Welche Daten dürfen hineingegeben werden? Wer gibt das frei?
Wirksamkeit messbar machen, zum Beispiel über die Zeit bis zum Schließen bekannter Sicherheitslücken und die Meldequote in Phishing-Simulationen.

Punkt vier ist derjenige, der in vielen Unternehmen noch offen ist. Welche Daten in ein KI-Werkzeug dürfen, ist neben einer Sicherheitsfrage auch eine Datenschutzfrage. Wie sich beides zusammen regeln lässt, können Sie in unserem Beitrag KI im Unternehmen und Datenschutz nachlesen.

NIS2-Registrierung, Nachweise und Prüfungen

Betroffene Einrichtungen mussten sich bis zum 6. März 2026 über das Portal des BSI registrieren. Bis Ende Juli 2026 hat das BSI Nachmeldungen geduldet, eine gesetzliche Nachfrist war dies jedoch nicht. Wer heute noch nicht registriert ist, sollte das kurzfristig nachholen und die Verzögerung dokumentieren. Was in dieser Lage sinnvollerweise zuerst passieren sollte, steht in unserem Beitrag dazu, warum viele Unternehmen noch zögern.

Wie viele Unternehmen betroffen sind, steht noch nicht endgültig fest. Das BSI geht von rund 29.500 Unternehmen und Institutionen aus, das Bundesinnenministerium lässt diese Zahl derzeit vom Statistischen Bundesamt überprüfen. Der Fachpresse zufolge waren zum 31. Juli 2026 18.845 Einrichtungen registriert, davon 6.490 besonders wichtige und 12.355 wichtige. Zwischen der Erwartung und dem Registrierungsstand liegt also eine erhebliche Lücke.

Beim Nachweis lohnt eine Unterscheidung, die häufig untergeht. Einen festen Zyklus gibt es nur für Betreiber kritischer Anlagen. Sie müssen dem BSI nach § 39 BSIG alle drei Jahre nachweisen, dass sie die Risikomanagementmaßnahmen aus § 30 und die besonderen Anforderungen an kritische Anlagen aus § 31 erfüllen, und zwar durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Aufgedeckte Mängel gehen mit, das BSI kann einen Plan zur Behebung verlangen.

Für alle übrigen Einrichtungen gilt kein Turnus. Das BSI kann Nachweise im Rahmen der Aufsicht anfordern, und angefordert wird dann der Stand, der zu diesem Zeitpunkt dokumentiert ist. Nachträglich lässt sich das nicht herstellen. Mit ersten systematischen Prüfungen durch das BSI wird ab 2027 gerechnet.

Zur Einordnung der Sanktionen, weil dazu viel Halbes im Umlauf ist: § 65 BSIG staffelt die Bußgeldrahmen nach Verstoß. Der obere Rahmen liegt bei 10 Millionen Euro für besonders wichtige und bei 7 Millionen Euro für wichtige Einrichtungen. Die häufig zitierte Umsatzvariante von 2 bzw. 1,4 Prozent greift nach den Absätzen 6 und 7 nur bei einem weltweiten Gesamtumsatz über 500 Millionen Euro und nur für bestimmte Verstöße. Ein „je nachdem, welcher Betrag höher ist“ kennt das BSIG, anders als die Richtlinie, nicht.

Für den Mittelstand entscheidet sich in der Praxis deshalb wenig an der Höhe des Rahmens. Es entscheidet sich daran, ob Sie im Fall einer Anfrage belegen können, was Sie getan haben. Wer seine Risikobewertungen, Maßnahmenentscheidungen, Reviews und Schulungsnachweise festhält, beantwortet eine Aufsichtsanfrage in Tagen. Wer die Nachweise erst zusammensuchen muss, ist Wochen damit beschäftigt und hat für die Zwischenzeit keine belastbare Aussage. Das ist der Aufwand, der sich durch Dokumentation vermeiden lässt, und es ist der Punkt, an dem eine gute Umsetzung sonst schwer belegbar bleibt.

Wie die SAVISCON bei der NIS2-Umsetzung unterstützt

Wenn KI Cyberangriffe beschleunigt, verkürzt sich die Zeit, die für eine Reaktion bleibt. Ein Informationssicherheits-Managementsystem, das über Excel-Tabellen und SharePoint-Ordner verteilt liegt, erfüllt die Dokumentations- und Reviewpflichten aus NIS2 nur mit hohem manuellem Aufwand. Das GRC-COCKPIT bündelt Risikobewertung, Maßnahmenverfolgung, Policies und Reporting in einer Oberfläche, sodass Freigaben und Fortschritte nachvollziehbar bleiben. Wer erst wissen will, wo er steht, findet im NIS2-Assessment der SAVISCON eine Erhebung zum Festpreis, aus der die nächsten Schritte hervorgehen.

Wenn Sie einen strukturierten Einstieg suchen: Der NIS2 Kickstart ist ein vorkonfiguriertes Datenpaket für das GRC-COCKPIT mit 33 bewerteten Risiken und 30 SOLL-Maßnahmen zur Risikominimierung. Sie starten hier Ihre NIS2-Umsetzung nicht bei null.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.

KI im Unternehmen und Datenschutz: Wie beides gelingt

Juli 20, 2026/in IT-Sicherheit, Datenschutz, GRC-COCKPIT, KI/von Sarah Neuenstadt

Künstliche Intelligenz verändert die Art, wie Unternehmen arbeiten. Texte werden schneller erstellt, Daten effizienter ausgewertet, Routineaufgaben automatisiert. Die Frage lautet heute nicht mehr, ob KI in Unternehmen eingesetzt wird, sondern wie. Und genau an dieser Stelle kommt für viele Entscheider eine essenzielle Folgefrage auf: Wie lässt sich der Einsatz von KI mit dem Datenschutz vereinbaren?

Die gute Nachricht: KI und Datenschutz sind kein Widerspruch. Sie erfordern jedoch eine strukturierte Vorgehensweise, klare interne Regeln und ein Verständnis der geltenden Rechtslage. Mit dem EU AI Act ist seit 2024 ein europäisches Regelwerk in Kraft, das den Einsatz von intelligenten Systemen verbindlich rahmt, während die Datenschutz-Grundverordnung (DSGVO) beim Umgang mit personenbezogenen Daten weiterhin vollumfänglich gilt. Dieser Beitrag gibt Ihnen einen praxisnahen Überblick, was beide Themen konkret bedeuten und wie Unternehmen diese Technologien intern sicher, rechtssicher und verantwortungsvoll einführen können.

Was der EU AI Act für Unternehmen bedeutet

Der EU AI Act (Verordnung EU 2024/1689), zu Deutsch KI-Verordnung bzw. KI-VO, ist die weltweit erste umfassende Regulierung für den Einsatz von künstlicher Intelligenz. Sie trat am 1. August 2024 in Kraft und wird schrittweise wirksam.

Zeitplan und Pflichten im Überblick

Die Verordnung folgt einem gestaffelten Zeitplan:

Seit 2. Februar 2025: Verbote für Systeme mit inakzeptablem Risiko gelten unmittelbar. Gleichzeitig ist die Schulungspflicht nach Art. 4 in Kraft: Unternehmen müssen sicherstellen, dass ihre Mitarbeitenden nachweislich ausreichende Kompetenz im Umgang mit diesen Technologien besitzen.
Seit 2. August 2025: Dokumentations- und Informationspflichten für Anbieter von Systemen mit allgemeinem Verwendungszweck (GPAI-Systeme) treten in Kraft.
Ab 2. August 2026: Transparenzpflichten für generative Sprachmodelle werden wirksam, unter anderem die Kennzeichnungspflicht für maschinell generierte Inhalte.
Ab 2. August 2027: Die vollständigen Anforderungen für Hochrisiko-Systeme nach Anhang I der Verordnung gelten.

Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Risikostufen nach der KI-Verordnung

Der AI Act ordnet intelligente Systeme in vier Risikostufen ein:

Inakzeptables Risiko: Diese Anwendungen sind verboten, etwa Social Scoring durch Behörden oder bestimmte Formen biometrischer Echtzeit-Fernidentifizierung.
Hohes Risiko: Automatisierte Systeme in sensiblen Bereichen wie HR, Kreditvergabe oder kritischer Infrastruktur. Sie unterliegen strengen Auflagen zu Transparenz, menschlicher Aufsicht und Dokumentation.
Begrenztes Risiko: Anwendungen wie Chatbots, bei denen Transparenzpflichten gelten.
Minimales Risiko: Der Großteil der heute eingesetzten Tools, etwa textgenerierende Anwendungen für interne Zwecke. Hier gelten keine zwingenden Zusatzpflichten aus der Verordnung.

Für die meisten Unternehmen, die KI im Büroalltag einsetzen, fallen die genutzten Systeme überwiegend in die Kategorien begrenztes oder minimales Risiko. Die Schulungspflicht nach Art. 4 gilt dennoch für alle.

DSGVO und KI-VO: zwei Regelwerke, ein Ziel

Ein häufiger Irrtum in der Praxis: Unternehmen glauben, entweder die DSGVO oder die KI-VO im Blick haben zu müssen. Tatsächlich laufen beide Regelwerke gleichzeitig und ergänzen sich.

Was die DSGVO beim KI-Einsatz verlangt

Sobald künstliche Intelligenz personenbezogene Daten verarbeitet, greift die DSGVO in vollem Umfang. Das ist schnell der Fall: Wer Kundendaten, E-Mail-Adressen oder CRM-Inhalte in ein solches Tool eingibt, betritt sofort den Anwendungsbereich der DSGVO. Die zentralen Anforderungen lauten:

Rechtmäßigkeit: Jede automatisierte Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO.
Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden.
Datenminimierung: Es sind so wenig Daten wie möglich zu verwenden.
Transparenz: Betroffene Personen müssen informiert werden, wenn ihre Daten von automatisierten Systemen verarbeitet werden.
Richtigkeit: Falsche personenbezogene Daten, die ein solches System erzeugt, müssen korrigiert werden können.

Darüber hinaus kann beim Einsatz von künstlicher Intelligenz eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich sein. Die deutschen Datenschutzaufsichtsbehörden haben klargestellt, dass dies in diesem Kontext vielfach der Fall sein wird. Für Unternehmen, die hierbei Unterstützung suchen, bietet SAVISCON Datenschutz-Beratung und die Leistung des externen Datenschutzbeauftragten an.

Wichtig ist auch die Frage der vertraglichen Absicherung: Wird ein externes Tool eines Drittanbieters genutzt, ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen.

Die DSK-Orientierungshilfen als praktischer Kompass

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat seit 2024 mehrere Orientierungshilfen veröffentlicht, die konkrete Hinweise zur datenschutzkonformen Nutzung und Entwicklung intelligenter Systeme geben.

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024) richtet sich an Verantwortliche und gibt Leitlinien zur Konzeption, Implementierung und Nutzung entsprechender Systeme. Besonders hervorgehoben wird: Unternehmen sind auch für die Folgen eines fehlerhaft trainierten externen Systems verantwortlich, wenn sie es als Verantwortliche einsetzen.

Die Orientierungshilfe „Empfohlene technische und organisatorische Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen“ (Juni 2025) konkretisiert die Anforderungen entlang von sieben Gewährleistungszielen: Datenminimierung, Transparenz, Vertraulichkeit, Integrität, Verfügbarkeit, Intervenierbarkeit und Nichtverkettung. Diese Ziele sind entlang des gesamten Lebenszyklus umzusetzen, von der Planungsphase bis zum laufenden Betrieb.

Grundprinzipien beider Dokumente sind „data protection by design“ – Datenschutz ist von Anfang an in die Konzeption einzubeziehen, nicht erst im Nachhinein – und „data protection by default“: Datenschutz durch datenschutzfreundliche Voreinstellungen.

Die größten Datenschutzrisiken beim KI-Einsatz

Das BSI hat in seinen aktualisierten Empfehlungen für den sicheren Einsatz generativer KI (2025) darauf hingewiesen, dass sich die Bedrohungslage durch sicherheitsrelevante Vorfälle gegenüber dem Vorjahr verdoppelt hat. Drei Risikobereiche verdienen besondere Aufmerksamkeit:

Shadow AI: unkontrollierter KI-Einsatz

Studien zeigen, dass mehr als 70 Prozent der Mitarbeitenden privat Tools wie ChatGPT oder ähnliche Anwendungen nutzen, darunter auch mit Firmendaten. Unternehmen, die keine offizielle Strategie und keine freigegebenen Tools bereitstellen, verlieren die Kontrolle darüber, welche Informationen nach außen gelangen. Dieses Phänomen wird als „Shadow AI“ (Schatten-KI) bezeichnet und stellt das Pendant zur klassischen Schatten-IT dar.

Das BSI empfiehlt ausdrücklich: Keine vertraulichen oder personenbezogenen Daten in nicht geprüfte, offene Systeme eingeben. Unternehmen, die ihren Mitarbeitenden keine sichere Alternative anbieten, riskieren unkontrollierten Datenabfluss.

Dateneingabe, Datenschutz-Folgenabschätzung und Auftragsverarbeitung

Das BSI weist darauf hin, dass Eingaben an automatisierte Systeme grundsätzlich weiterverarbeitet werden können. Bei vielen frei zugänglichen Anwendungen werden Eingaben für das Training des Modells genutzt. Eine einmal eingegebene E-Mail-Adresse oder ein Name kann in Trainingsdaten eingehen und durch gezielte Angriffe abfließen.

Unternehmen sollten daher vor der Nutzung externer Lösungen klären: Welche Lizenz wird genutzt? Welche Datenschutzzusagen macht der Anbieter? Ist ein Auftragsverarbeitungsvertrag (AVV) vorhanden? Und ist für den geplanten Einsatzfall eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?

Hinzu kommt ein weiteres Risiko, das BSI und DSK gleichermaßen thematisieren: Solche Systeme können falsche Informationen über Personen erzeugen (sogenannte Halluzinationen). Das stellt ein Risiko im Hinblick auf das Recht auf Richtigkeit und das Recht auf Berichtigung nach DSGVO dar.

In fünf Schritten zur datenschutzkonformen KI-Einführung

Aus den Empfehlungen von BSI und DSK sowie den Vorgaben der KI-VO lassen sich fünf praktische Schritte ableiten, mit denen Unternehmen KI sicher und rechtssicher einführen:

Schritt 1: KI-Bestandsaufnahme

Welche intelligenten Systeme werden im Unternehmen bereits genutzt, auch informell? Eine strukturierte Bestandsaufnahme ist der erste Schritt, um Schatten-IT aufzudecken und den Handlungsbedarf zu ermitteln.

Schritt 2: Risikoklassifizierung nach KI-VO

Für jedes eingesetzte oder geplante System ist zu prüfen, welcher Risikostufe es nach der Verordnung zuzuordnen ist. Davon hängen die weiteren Compliance-Anforderungen ab. Dies können Sie am besten über ein GRC-Management-System abbilden.

Schritt 3: DSGVO-Prüfung und Datenschutz-Folgenabschätzung

Sobald personenbezogene Daten verarbeitet werden, sind Rechtsgrundlage, Zweckbindung, AVV und gegebenenfalls eine DSFA zu prüfen. Technisch geschlossene Systeme sind aus datenschutzrechtlicher Sicht vorzuziehen. Unterstützung bietet SAVISCON mit dem Datenschutz-Management-System.

Schritt 4: Interne KI-Richtlinie erstellen

Die DSK empfiehlt für alle Unternehmen, die entsprechende Technologien einsetzen, interne Richtlinien zu entwickeln: Wer darf welche Werkzeuge für welche Zwecke nutzen? Welche Daten dürfen eingesetzt werden? Wie werden Ergebnisse auf ihre Richtigkeit geprüft? Eine solche Unternehmensrichtlinie schafft Klarheit für Mitarbeitende und schützt das Unternehmen vor unkontrolliertem Dateneinsatz.

Schritt 5: Mitarbeitende nachweislich schulen

Seit dem 2. Februar 2025 ist die Schulungspflicht nach Art. 4 KI-VO in Kraft. Unternehmen müssen sicherstellen und dokumentieren, dass ihre Mitarbeitenden ausreichende Kompetenz im Umgang mit diesen Technologien besitzen. Inhaltlich empfehlen BSI und DSK, dass Schulungen mindestens die Abgrenzung zwischen DSGVO und KI-VO, praktische Regeln für die Dateneingabe, die Pflicht zur menschlichen Prüfung von Ergebnissen sowie einen klaren Eskalationsweg bei Unsicherheiten abdecken. SAVISCON bietet hierzu Schulungen für Unternehmen an, die sowohl die rechtlichen Grundlagen als auch den sicheren praktischen Umgang mit diesen Technologien im Berufsalltag vermitteln.

Fazit: KI und Datenschutz als gemeinsames Fundament

Wer KI verantwortungsvoll einführt, gewinnt auf mehreren Ebenen: Effizienz im Arbeitsalltag, Compliance-Sicherheit gegenüber Behörden und Vertrauen bei Kunden und Mitarbeitenden. BSI und DSK haben mit ihren aktuellen Empfehlungen und Orientierungshilfen das notwendige Werkzeug bereitgestellt, es kommt auf die strukturierte Umsetzung im Unternehmen an.

Bei SAVISCON begleiten wir unsere Kunden seit Jahren beim strukturierten Aufbau von Managementsystemen für IT-Sicherheit, Datenschutz und Compliance. Und wir entwickeln diese Kompetenz stetig intern weiter, denn auch wir erproben den Einsatz intelligenter Technologien in unseren eigenen Arbeitsprozessen und lernen dabei täglich dazu.

Sie möchten KI in Ihrem Unternehmen einführen und dabei Datenschutz und Verordnungs-Konformität von Anfang an mitdenken? Ob Schulung für Ihr Team, externer Datenschutzbeauftragter oder die Einbindung in Ihr GRC-Management: Sprechen Sie uns an.

Jetzt kostenlos und unverbindlich einen Beratungstermin buchen