Ein KI-Vorfall beginnt selten mit einer eindeutigen Alarmmeldung. Eine Mitarbeiterin entdeckt vertrauliche Daten in einer Antwort. Ein Agent verschickt eine falsche Datei. Eine Zusammenfassung lässt eine entscheidende Vertragsklausel aus. Oder ein Anbieter meldet eine Sicherheitslücke, während das System längst in mehreren Abläufen steckt. In den ersten Minuten zählt nicht die perfekte Ursachenanalyse, sondern kontrolliertes Handeln.
Ein praxistauglicher KI-Vorfallplan im Unternehmen verbindet Fachbereich, IT, Datenschutz, Recht und Kommunikation. Er unterscheidet Fehlerarten, stoppt weitere Auswirkungen, bewahrt notwendige Belege und setzt sichere Ersatzprozesse in Gang. Dieser Leitfaden richtet sich an österreichische KMU und zeigt einen Ablauf, der auch ohne eigenes Security Operations Center funktioniert.
Ein KI-Fehler wird zum Vorfall, wenn Wirkung droht
Nicht jede unbrauchbare Formulierung braucht ein Krisenteam. Ein Vorfall liegt nahe, wenn Menschen, Daten, Rechte, Geld, Betrieb oder Vertrauen betroffen sein können. Entscheidend sind Reichweite und mögliche Folge, nicht wie spektakulär die Ausgabe aussieht.
Typische Beispiele sind:
- personenbezogene oder vertrauliche Inhalte erscheinen für Unberechtigte;
- eine falsche Auskunft wurde an Kunden, Behörden oder Öffentlichkeit gesendet;
- ein KI-Agent löst eine nicht freigegebene Aktion aus;
- eine Entscheidung benachteiligt Personen oder ist nicht nachvollziehbar;
- Prompts, Dateien oder Wissensquellen wurden manipuliert;
- das System fällt in einem kritischen Prozess aus oder liefert systematisch falsche Ergebnisse;
- der Anbieter ändert Modell oder Funktion mit unerwarteter Wirkung.
Ein niedrigschwelliger Meldeweg ist wichtiger als eine perfekte Definition. Beschäftigte müssen Unsicherheit melden dürfen, ohne einen Schuldnachweis liefern zu müssen.
Die erste Meldung braucht nur sieben Angaben
Das Meldeformular soll in wenigen Minuten ausfüllbar sein:
- Wann wurde das Problem entdeckt?
- Welches System und welcher Arbeitsablauf sind betroffen?
- Was wurde beobachtet, ohne Vermutung als Tatsache darzustellen?
- Wurde etwas extern versendet, veröffentlicht oder ausgeführt?
- Könnten personenbezogene Daten, Geheimnisse oder Zugangsdaten betroffen sein?
- Welche unmittelbare Sicherung wurde bereits vorgenommen?
- Wie ist die meldende Person für Rückfragen erreichbar?
Die Meldung selbst darf keine unnötige Kopie vertraulicher Inhalte verbreiten. Ein Link auf einen zugriffsgeschützten Beleg oder eine interne Vorgangsnummer ist besser als ein Screenshot in einem großen Verteiler.
Stoppen, begrenzen, sichern – in dieser Reihenfolge
Die erste Reaktion folgt drei Verben. Stoppen: Automatische Aktionen, Veröffentlichungen oder betroffene Zugänge werden kontrolliert angehalten. Begrenzen: Berechtigungen werden reduziert, gefährdete Schnittstellen getrennt und Empfänger bei Bedarf vorläufig gewarnt. Sichern: relevante Protokolle, Zeitpunkte, Konfigurationen und Versionen werden unverändert erhalten.
Ein hektisches Löschen kann Spuren vernichten und die Bewertung erschweren. Andererseits darf eine sensible Ausgabe nicht aus Bequemlichkeit offen bleiben. Deshalb entscheidet eine benannte Einsatzleitung über Sicherungsform, Zugriff und Löschung. Wo akute Gefahr besteht, geht Schadensbegrenzung vor Beweissammlung.
Für KI-Agenten muss ein technisch erprobter Abschaltweg vorhanden sein. Der Leitfaden zu KI-Agenten im Büro beschreibt Freigabepunkte und begrenzte Rechte, die verhindern, dass ein einzelner Fehler unkontrolliert weiterläuft.
Vier Vorfallklassen steuern die richtigen Fachrollen
Fachlicher Fehler
Die Ausgabe ist sachlich falsch, unvollständig oder veraltet. Der Fachbereich stoppt die Nutzung, identifiziert betroffene Ergebnisse und organisiert Korrektur. Datenschutz oder IT-Sicherheit kommen hinzu, wenn Daten oder Manipulation eine Rolle spielen.
Daten- oder Geheimnisvorfall
Personenbezogene Daten, Geschäftsgeheimnisse oder fremde vertrauliche Inhalte wurden unzulässig eingegeben, gespeichert oder offengelegt. Datenschutzverantwortliche und Informationssicherheit bewerten Betroffene, Empfänger, Schutz und Meldepflichten.
Sicherheits- oder Manipulationsvorfall
Unberechtigte Zugriffe, kompromittierte Konten, Prompt-Injection, schädliche Dateien oder veränderte Quellen stehen im Raum. IT-Sicherheit isoliert Systeme, sichert Logs und prüft weitere Zugänge. Die fachliche Wirkung bleibt trotzdem Teil der Analyse.
Unzulässige Entscheidung oder Handlung
Ein System beeinflusst Menschen, Verträge, Zahlungen oder externe Kommunikation außerhalb seiner Freigabe. Zuständige Führung, Recht, Fachbereich und gegebenenfalls Gleichbehandlungs- oder Arbeitnehmervertretung müssen beteiligt werden. Automatische Entscheidungen werden nicht einfach durch einen menschlichen Klick nachträglich legitimiert.
Schweregrad nach Wirkung statt nach technischer Eleganz
Ein einfaches Raster verwendet vier Stufen:
- Stufe 1 – lokal: intern erkannt, keine Weitergabe, leicht korrigierbar;
- Stufe 2 – begrenzt: kleiner Empfängerkreis oder wiederholter Fehler, kontrollierbare Folgen;
- Stufe 3 – erheblich: sensible Daten, externe Wirkung, finanzielle oder rechtliche Risiken, mehrere Prozesse;
- Stufe 4 – kritisch: akute Gefahr für Menschen oder wesentliche Dienste, große Offenlegung, aktive Manipulation oder rasche Ausbreitung.
Bewerten Sie mögliche Wirkung, Zahl der Betroffenen, Rückholbarkeit, Dauer und Geschwindigkeit. Ein unscheinbarer Textfehler kann schwerwiegend sein, wenn er tausend Kundinnen erreicht. Eine technisch komplexe Störung kann niedrig bleiben, wenn sie im Testsystem ohne echte Daten entdeckt wurde.
Die Einsatzleitung hält eine gemeinsame Zeitleiste
Eine Person koordiniert, ohne alle Fachentscheidungen selbst zu treffen. Sie eröffnet eine geschützte Vorfallsakte, vergibt Rollen und protokolliert Ereignisse: Entdeckung, Stop-Maßnahme, bekannte Systeme, erste Bewertung, externe Kontakte, Entscheidungen und Freigaben. Zeiten werden mit Zeitzone notiert.
Nutzen Sie Funktionsrollen statt nur Namen: Einsatzleitung, technische Analyse, Fachbewertung, Datenschutz, Recht, Kommunikation und Betriebsfortführung. Eine kleine Firma kann mehrere Rollen einer Person zuweisen, sollte aber die Perspektiven nicht überspringen. Für Abwesenheiten gibt es Stellvertretungen und erreichbare Kontaktdaten außerhalb des KI-Systems.
Eine KI-Checkliste für Führungskräfte hilft, Eigentümerschaft und Eskalationswege bereits vor dem ersten Zwischenfall festzulegen.
Belege sichern, ohne das Datenproblem zu vergrößern
Zur Rekonstruktion können Prompt, Ausgabe, Modell- oder Produktversion, Wissensquelle, Nutzerrolle, Zeit, Einstellungen, Aktionen und Anbieterhinweise nötig sein. Sammeln Sie nur, was für Bewertung, Behebung und Nachweis gebraucht wird. Beschränken Sie Zugriff und Aufbewahrung.
Exportieren Sie keine großen Chatverläufe auf private Geräte. Senden Sie keine Zugangsschlüssel oder vollständigen personenbezogenen Datensätze an offene Tickets. Wenn ein Geheimnis kompromittiert sein könnte, wird es nach einem koordinierten Plan ersetzt. Der alte Schlüssel gehört nicht in das Vorfallsprotokoll; dort genügt seine Kennung.
Auch erfolgreiche Antworten rund um den Fehler sind relevant. Sie zeigen, ob nur ein einzelner Fall oder eine systematische Veränderung vorliegt. Eine kleine Stichprobe kann die Reichweite eingrenzen, ohne den fehlerhaften Prozess weiter produktiv laufen zu lassen.
Datenschutzverletzungen haben eine eigene Uhr
Enthält der Vorfall eine Verletzung des Schutzes personenbezogener Daten, wird unverzüglich die zuständige Datenschutzrolle eingeschaltet. Die WKO fasst die Data-Breach-Meldepflichten nach DSGVO zusammen: Verantwortliche müssen eine meldepflichtige Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde melden. Eine Meldung kann unterbleiben, wenn voraussichtlich kein Risiko für Rechte und Freiheiten natürlicher Personen besteht.
Ob eine Meldung erforderlich ist, entscheidet nicht das Sprachmodell. Dokumentieren Sie Art der Daten, betroffene Personen und Datensätze, mögliche Folgen, Empfänger, Schutzmaßnahmen und Zeitpunkt der Kenntnis. Fehlende Informationen dürfen die frühe interne Eskalation und eine fristgerechte fachliche Entscheidung nicht verzögern.
Zusätzlich ist zu prüfen, ob betroffene Personen informiert werden müssen. Die Formulierung soll verständlich erklären, was passiert ist, welche Folgen möglich sind, was das Unternehmen tut und welche Schritte Betroffene setzen können. Spekulation und beschwichtigende Automatentexte sind fehl am Platz.
Falsche externe Inhalte gezielt korrigieren
Wurde eine KI-Antwort versendet oder veröffentlicht, erstellt der Fachbereich eine Empfängerliste und eine geprüfte Korrektur. Die Korrektur nennt klar, welche Aussage nicht verwendet werden darf und was stattdessen gilt. Sie versteckt den Fehler nicht hinter einer allgemeinen „Aktualisierung“.
Bei mehreren Kanälen – Website, Newsletter, CRM, Dokumentenablage – wird jeder Fundort einzeln verfolgt. Entfernen allein genügt möglicherweise nicht, wenn Menschen bereits gehandelt haben. Dann braucht es direkte Information, Rückabwicklung oder Unterstützung. Recht und Kommunikation stimmen Ton, Reichweite und Reihenfolge ab.
Ein öffentliches Statement wird nicht vorschnell versprochen, aber auch nicht aus Angst verzögert. Die Entscheidung richtet sich nach betroffener Öffentlichkeit, Informationspflichten und Schadensbegrenzung. Eine zentrale, aktualisierte Faktenlage verhindert widersprüchliche Aussagen.
Geschäftsgeheimnisse und Zugangsdaten sofort gesondert behandeln
Wenn ein Prompt API-Schlüssel, Passwörter, Vertragsdetails oder nicht veröffentlichte Projektinformationen enthielt, reicht das Löschen eines Chats nicht. Zugangsdaten werden widerrufen und ersetzt; Protokolle werden auf Nutzung geprüft. Für Geschäftsgeheimnisse wird bewertet, wer Zugriff hatte, welche Vertragsbeziehungen gelten und wie weitere Verbreitung verhindert werden kann.
Der Praxisleitfaden zu Geschäftsgeheimnissen in KI-Tools zeigt Datenklassen und den Schutz vor einer Eingabe. Im Vorfall hilft dieselbe Klassifikation, Priorität und zuständige Personen rasch zu bestimmen.
Der Anbieter ist Informationsquelle, nicht Einsatzleitung
Eröffnen Sie bei Drittprodukten ein priorisiertes Support- oder Security-Ticket. Fragen Sie nach betroffenen Diensten, Zeitraum, Datenarten, Zugriffen, Logs, Eindämmung, dauerhafter Behebung und nächsten Updates. Notieren Sie Ticketnummer, Ansprechpartner und zugesagte Zeiten.
Warten Sie mit eigenen Schutzmaßnahmen nicht auf eine vollständige Herstelleranalyse. Das Unternehmen bleibt für seinen Prozess, seine Kommunikation und seine rechtlichen Bewertungen verantwortlich. Vertragliche Fristen und Eskalationswege sollten schon bei der Beschaffung festgelegt sein.
Bei einem akuten Cyberangriff können österreichische WKO-Mitglieder die Cyber-Security-Hotline der Wirtschaftskammern als Unterstützungsweg prüfen. Lebens- oder Gesundheitsgefahr und strafrechtlich relevante Akutsituationen gehören selbstverständlich an die jeweils zuständigen Notfall- oder Sicherheitsbehörden.
Der sichere Ersatzprozess hält den Betrieb handlungsfähig
Für jeden wichtigen KI-Schritt existiert ein Fallback: manuelle Bearbeitung, freigegebene Vorlage, Lesemodus, zweites unabhängiges System oder vorübergehende Annahmesperre. Der Ersatzweg muss langsamer sein dürfen, aber Mindestqualität und Rechte wahren.
Priorisieren Sie Vorgänge nach Auswirkung. Kritische Kundenfälle werden manuell übernommen; weniger dringende Aufgaben warten. Kommunizieren Sie realistische Verzögerungen. Ein Team, das im Vorfall heimlich private KI-Konten nutzt, schafft ein zweites Problem – deshalb werden erlaubte Alternativen vorher geschult.
Wiederanlauf erst nach einer dokumentierten Freigabe
Ein Anbieterhinweis „Problem gelöst“ genügt nicht. Vor dem Neustart stehen Ursache oder zumindest wirksame Eindämmung, korrigierte Konfiguration, erneuerte Zugänge, geprüfte Datenquellen und ein bestandener Test. Besonders wichtige frühere Fehlerfälle werden als Regressionstest wiederholt.
Die Freigabe nennt Umfang und Bedingungen. Vielleicht darf das System zunächst nur lesen, aber keine Aktion ausführen. Vielleicht wird eine Funktion deaktiviert oder jede Ausgabe zusätzlich geprüft. Monitoring und Ansprechpartner bleiben für eine Beobachtungsphase aktiv. Bei erneutem Auftreten stoppt der Prozess automatisch oder nach einem klaren Signal.
Das NIST AI Risk Management Framework nennt für eingesetzte Systeme unter anderem Monitoring, Incident Response, Recovery, Change Management sowie Kommunikation über Fehler. Das freiwillige Framework lässt sich als Struktur für Wiederanlauf und kontinuierliche Verbesserung nutzen.
Die Nachbesprechung sucht Systemursachen statt Schuldige
Innerhalb weniger Tage trifft sich ein kleiner Kreis zur Retrospektive. Rekonstruiert werden Auslöser, technische und organisatorische Bedingungen, Entdeckung, Reaktion und Wirkung. Fragen Sie nicht nur, wer den falschen Prompt geschrieben hat. Warum waren die Daten zugänglich? Weshalb gab es keine Warnung? War die Freigaberolle unklar? Hatte der Anbieter eine Änderung nicht ausreichend angekündigt?
Maßnahmen werden konkret: Verantwortliche Person, Termin, Prüfkriterium. Beispiele sind geringere Rechte, neue Testfälle, eine bessere Datenklassifikation, ein geänderter Vertrag, Schulung oder die Abschaltung des Anwendungsfalls. Jede Maßnahme wird später auf Wirksamkeit geprüft.
Die WKO-KI-Guideline zu rechtlichen Rahmenbedingungen empfiehlt klare Richtlinien, Schulungen, Kontrollen und die umgehende Meldung schwerwiegender KI-Fehler oder Datenschutzverletzungen an die zuständige Stelle. Ein Vorfallplan macht aus diesem Grundsatz konkrete Handlungen.
Ein Zehn-Schritte-Ablauf für den KI-Vorfall
- Meldung annehmen und Zeitpunkt der Kenntnis festhalten.
- Automatische Wirkung stoppen und betroffenen Umfang begrenzen.
- Einsatzleitung sowie notwendige Fachrollen aktivieren.
- Schweregrad und Vorfallklasse vorläufig bestimmen.
- Belege geschützt sichern und eine gemeinsame Zeitleiste führen.
- Datenschutz-, Sicherheits-, Rechts- und Informationspflichten bewerten.
- Betroffene Ergebnisse korrigieren und Empfänger gezielt informieren.
- Einen sicheren manuellen oder technischen Ersatzprozess betreiben.
- Behebung testen und Wiederanlauf begrenzt freigeben.
- Ursachen, Maßnahmen und Lernergebnisse nachverfolgen.
Eine Übung macht den Plan erst belastbar
Spielen Sie zweimal pro Jahr ein 45-minütiges Szenario durch: Ein KI-Assistent sendet vertrauliche Kundendaten an einen falschen Empfänger, oder ein Agent legt fehlerhafte Bestellungen an. Niemand muss echte Systeme verändern. Das Team arbeitet mit Karten, einer Zeitleiste und vorbereiteten Kontakten.
Beobachten Sie, wie schnell der Abschaltweg gefunden wird, wer über eine Datenschutzprüfung entscheidet und ob ein Fallback bekannt ist. Aktualisieren Sie danach Kontakte, Rechte und Vorlagen. Auch Anbieterwechsel, neue Integrationen und personelle Änderungen lösen eine kurze Überprüfung des Plans aus.
Vorbereitet reagieren schützt Menschen und Geschäft
Ein KI-Vorfallplan im Unternehmen ist kein Schuldeingeständnis. Er ist die Anerkennung, dass probabilistische Systeme, Datenflüsse und Automatisierung Fehler hervorbringen können. Die Organisation gewinnt Zeit, weil Rollen, Stop-Schalter, Bewertungsfragen und Kommunikationswege nicht erst im Ernstfall erfunden werden.
Der wichtigste Satz für Beschäftigte lautet: Früh melden ist erwünscht. Wer eine Auffälligkeit ohne Angst anspricht, verhindert oft die größere Wirkung. Kombiniert mit begrenzten Rechten, nachvollziehbaren Logs, menschlichen Freigaben und einem geübten Ersatzprozess wird aus einem KI-Fehler ein beherrschbarer Vorfall – und aus dem Vorfall eine konkrete Verbesserung.
