ISO/IEC 27090: Was die neue KI-Sicherheitsnorm Unternehmen bringt
20. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Nach rund vier Jahren Arbeit steht die Norm ISO/IEC 27090: ein internationaler Leitfaden, der Angriffe auf KI-Systeme systematisch beschreibt, von Prompt Injection über vergiftete Trainingsdaten bis zum Diebstahl ganzer Modelle. Sie ergänzt die bekannte Informationssicherheitsnorm ISO 27001 um das, was dort fehlt: Schutz für Modelle, Trainingsdaten und KI-Pipelines. Zertifizieren lassen kann man sich nach 27090 nicht. Für Geschäftsführer, die gerade einen Chatbot, eine KI-Telefonassistenz oder einen KI-Agenten einführen, ist die Norm trotzdem interessant, weil sie eine brauchbare Prüfliste für den Livegang liefert.
Was in der Norm steht
Der vollständige Titel lautet sinngemäß „Cybersicherheit, Künstliche Intelligenz: Umgang mit Sicherheitsbedrohungen und Kompromittierungen von KI-Systemen”. Verantwortlich ist das Gremium ISO/IEC JTC 1/SC 27, das auch die gesamte 27000er-Reihe pflegt. Laut der Projekthistorie auf der ISO-Seite wurde das Vorhaben im September 2022 gestartet, der Normentwurf (DIS) ging 2025 in die Abstimmung, die finale Abstimmung endete im August 2026 (Quelle: iso.org). Die Erstausgabe umfasst laut heise 56 Seiten, kostet 204 Schweizer Franken und ist nur auf Englisch erhältlich (Quelle: heise.de). Ein Hinweis zur Einordnung: heise meldete am 19. Oktober die Veröffentlichung, die ISO-Katalogseite führte die Norm Mitte Oktober noch im Status „under publication” mit Erscheinungsmonat Oktober 2026. Inhaltlich ändert das nichts, die ISO stützt ihre Erklärseite ausdrücklich auf die finale Entwurfsfassung.
Diese Angriffe beschreibt 27090
Der Kern der Norm ist ein Katalog KI-spezifischer Angriffe, jeweils mit möglichen Folgen, Erkennung und Gegenmaßnahmen. Laut ISO-Erklärseite und heise gehören dazu (Quelle: iso.org):
Data Poisoning: manipulierte Daten gelangen ins Training und verändern das Verhalten des Modells, auch über Betriebsdaten, die später zum Nachtrainieren genutzt werden.
Model Extraction: ein Modell wird über scheinbar legitime, massenhafte Anfragen nachgebaut oder abgezogen.
Evasion-Angriffe: präparierte Eingaben, die das System gezielt zu Fehlentscheidungen bringen.
Membership Inference und Model Inversion: Rückschlüsse auf Trainingsdaten, etwa personenbezogene Informationen.
Prompt Injection und gefährliche Ausgaben: eingeschleuste Befehle sowie Modellantworten, die selbst Schadcode oder sensible Daten enthalten.
Laut heise ordnet ein Anhang die Angriffe den Phasen des KI-Lebenszyklus zu. Agentische Systeme mit Werkzeugzugriff behandelt die Erstausgabe nach dieser Darstellung allerdings nur am Rande.
Kein Zertifikat, keine neue Pflicht
Wichtig für die Einordnung: 27090 ist ein Leitfaden ohne Anforderungscharakter. Es gibt kein Zertifikat, und die Norm löst nach heise auch keine Konformitätsvermutung unter der europäischen KI-Verordnung oder dem Cyber Resilience Act aus. Rechtlich ändert sich für Unternehmen also nichts. Wer ein zertifizierbares Managementsystem für KI sucht, landet weiterhin bei ISO/IEC 42001. Die ISO grenzt beide klar ab: 42001 regelt, wie eine Organisation KI insgesamt steuert, 27090 betrachtet konkrete Sicherheitsbedrohungen für KI-Systeme. Außerdem betont die ISO, dass klassische IT-Sicherheit die Basis bleibt. Zugriffsschutz, Updates und Lieferkettensicherheit ersetzt die neue Norm nicht, sie baut darauf auf. Wer bei den Grundlagen Lücken hat, sollte dort zuerst ansetzen.
Fünf Fragen vor dem Livegang
Die ISO selbst nennt praktische Einstiegsschritte, die sich gut auf kleinere Betriebe übertragen lassen. Zusammen mit den Empfehlungen des BSI zu KI-Agenten ergibt sich eine kompakte Prüfliste (Quelle: bsi.bund.de):
Welche KI-Systeme nutzen wir überhaupt, auch versteckt in eingekaufter Software?
Woher kommen Daten und Modelle, und fließen Kundeneingaben später ins Training zurück?
Welche Rechte hat das System? Das BSI rät zu minimalen Rechten: nur die Zugriffe, die für die konkrete Aufgabe wirklich nötig sind.
Welche Aktionen brauchen eine menschliche Freigabe, etwa Bestellungen, Überweisungen oder E-Mails an Kunden?
Wer merkt, wenn das System sich auffällig verhält, und wer reagiert dann? Protokolle helfen nur, wenn jemand sie auch liest.
Besonders kritisch ist laut BSI die Kombination aus Zugriff auf vertrauliche Daten, Verarbeitung fremder Inhalte und Kommunikation nach außen. Genau diese Mischung entsteht, wenn ein KI-Assistent E-Mails liest, im Kundenpostfach sucht und selbstständig antwortet.
Was das für Unternehmen bedeutet
Für einen Pflegedienst, eine Tanzschule oder einen Handwerksbetrieb ist es nicht sinnvoll, 204 Franken für ein 56-seitiges englisches Normdokument auszugeben und es Zeile für Zeile abzuarbeiten. Sinnvoll ist, die Denkweise zu übernehmen: KI-Systeme sind nicht nur eine weitere App, sondern haben eigene Angriffsflächen. Die meisten Probleme entstehen dort, wo ein Standard-Tool an echte Abläufe angeschlossen wird, also an das Postfach, die Terminverwaltung oder das CRM. Ein Chatbot, der nur Öffnungszeiten beantwortet, ist harmlos. Derselbe Chatbot mit Lesezugriff auf Kundendaten und Schreibrechten im Buchungssystem ist es nicht mehr. Ob eine Schnittstelle sauber begrenzt ist, entscheidet sich selten in der Software von der Stange, sondern bei der Integration.
Ein pragmatischer Start: Vor jedem neuen Projekt zur KI-Automation eine Stunde ansetzen, in der Geschäftsführung, die für IT verantwortliche Person und der Fachbereich die fünf Fragen oben gemeinsam durchgehen und die Antworten schriftlich festhalten. Das kostet kaum Geld, deckt aber die typischen Fallstricke auf: zu weitreichende Berechtigungen, fehlende Freigabeschritte und niemanden, der die Protokolle im Blick hat. Wer mehrere KI-Werkzeuge verbindet oder Agenten mit echten Rechten ausstattet, sollte sich dafür erfahrene Unterstützung holen, die die eigenen Prozesse kennt und den Betrieb auch nach dem Start begleitet. Die Norm selbst lohnt sich vor allem für Softwareanbieter und IT-Dienstleister als Nachschlagewerk.
