Versatile AI Risk Assessment

KI-Bedrohungskatalog Lieferkette und Herkunft Lieferkette

Lieferkette – Infrastruktur

Angreifer kompromittieren die technische Umgebung, in der ein KI-System entwickelt und betrieben wird: Cloud-Dienste, Entwicklungswerkzeuge und Software-Bausteine von Drittanbietern. So verschaffen sie sich Zugriff auf Systeme, Daten und Modelle.

Stand: Oktober 2026 · Katalogversion 2026.10.24.2 · 4 Gegenmaßnahmen · 14 belegte Quellen

Beschreibung

Ein KI-System entsteht nicht im leeren Raum: Es stützt sich auf Cloud-Plattformen, Programmbibliotheken, Entwicklungswerkzeuge und Dienste externer Anbieter. Jede dieser Komponenten kann Schwachstellen enthalten oder gezielt manipuliert sein. Angreifer nutzen zum Beispiel verwundbare oder gefälschte Software-Pakete, offen erreichbare KI-Server oder ungesicherte Container-Registries (Speicherorte für einsatzfertige Software-Pakete), um unbemerkt einzudringen. Gelingt der Einstieg, können sie Systeme und Netzwerke übernehmen, Daten abziehen oder das Modell selbst verändern. Das Risiko betrifft die gesamte Kette vom Training bis zum laufenden Betrieb und entsteht oft außerhalb des eigenen Hauses, beim Anbieter oder Lieferanten.

Mögliche Auswirkung

Eine kompromittierte Infrastruktur kann den Betrieb des KI-Systems stören oder lahmlegen und die Integrität des Modells zerstören: Auf die Ergebnisse ist dann kein Verlass mehr. Vertrauliche Daten wie Trainingsdaten, Zugangsschlüssel oder Kundendaten können abfließen. Es folgen Kosten für Wiederherstellung und Aufklärung, Melde- und Haftungsrisiken nach DSGVO und EU AI Act sowie Reputationsschäden bei Kunden und Partnern.

Beispiel

Ein Entwicklungsteam installiert eine gängige KI-Programmbibliothek. Angreifer haben in den offiziellen Paketkanal eine gefälschte Abhängigkeit eingeschleust, die beim Installieren unbemerkt Zugangsdaten und Systeminformationen an einen fremden Server sendet. Genau das traf Nutzer einer Vorabversion eines weit verbreiteten KI-Frameworks.

Empfohlene Gegenmaßnahmen (4)

Vergleichen Sie Wirkung und Umsetzungsebene. Die ergänzende Einordnung und Begründung können Sie bei Bedarf aufklappen.

  • Ausschließlich vertrauenswürdige Lieferanten nutzen

    Vertrags- & Drittparteienmanagement
    Wirkung
    Präventiv
    Umsetzungsebene
    Lieferkette
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär dem Vertrags- & Drittparteienmanagement zugeordnet: Auswahl, überprüfbare Zusagen sowie Prüf- und Durchsetzungsrechte gegenüber Dritten ermöglichen die Schutzwirkung; ergänzt durch verbindliche Abläufe.

  • Infrastruktur-Härtung

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Infrastruktur
    Einordnung und Begründung

    Primär technisch: Sichere Formate, restriktive Voreinstellungen oder Schutzschichten reduzieren unsichere Ausführungspfade und Angriffsflächen.

  • Lieferketten-Sicherheitsaudits

    Vertrags- & Drittparteienmanagement
    Wirkung
    Präventiv, Aufdeckend
    Umsetzungsebene
    Lieferkette
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär dem Vertrags- & Drittparteienmanagement zugeordnet: Vertraglich gesicherte Prüf-, Auskunfts- und Nachbesserungsrechte ermöglichen Kontrolle; verbindliche Prüfabläufe setzen sie um.

  • Kontinuierliche Überwachung der Hosting-Umgebungen

    Technisch
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Infrastruktur, Nutzung & Betrieb
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Software oder Analysewerkzeuge erzeugen und bewerten systematisch Messwerte, Abweichungen oder Angriffsindikatoren; ergänzt durch verbindliche Abläufe.

Standard-Zuordnungen

Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen zeigen fachliche Bezüge. Sie belegen nicht, dass ein System die jeweiligen Anforderungen erfüllt.

OWASP LLM Top 10 LLM04:2026NIST AI RMF Abschnitt 2.12 · GOVERN 6.1 · MAP 4.1 · NISTAML.05MITRE ATLAS AML.T0010 · AML.T0132EU AI Act Article 25(4) · Article 53(1)(a) · Article 55(1)(d)BSI R1BIML BIML-LLM inference:9 · BIML78 inference:4 · BIML78 raw:3

Belegte Referenzen (14)

Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.

Pflichten der KI-Verordnung zu dieser Bedrohung

Die Pflichten aus dem Pflichtenkompass, deren Artikel der Katalog dieser Bedrohung zuordnet. Jede führt auf ihren Eintrag mit Kern, Handlungsschritt und Nachweis; ob sie Sie trifft, hängt von Rolle und Risikoklasse ab.

  • Nachgelagerte Anbieter unterstützen Art. 25 Abs. 2, Art. 25 Abs. 4 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028 · geändert durch VO 2026/1744

    Gesetzliche Rollen: Anbieter, Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

    Die Verordnung (EU) 2026/1744 hat die Kooperationspflicht des Erstanbieters konkretisiert und zugleich eine Ausnahme geschaffen: Sie entfällt, wenn der Erstanbieter eindeutig festgelegt hat, dass sein System nicht in ein Hochrisiko-System umgewandelt werden darf. Verstöße gegen Art. 25 Abs. 2 und 4 sind seither ausdrücklich bußgeldbewehrt.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Technische Dokumentation des Modells erstellen Art. 53 Abs. 1 Buchst. a, Anhang XI · gilt ab 2. August 2025

    Gesetzliche Rollen: Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: KI-Modell mit allgemeinem Verwendungszweck, Modell mit systemischem Risiko.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Nachgelagerte Anbieter mit Informationen versorgen Art. 53 Abs. 1 Buchst. b, Anhang XII · gilt ab 2. August 2025

    Gesetzliche Rollen: Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: KI-Modell mit allgemeinem Verwendungszweck, Modell mit systemischem Risiko.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Urheberrecht beachten und Trainingsinhalte zusammenfassen Art. 53 Abs. 1 Buchst. c und d · gilt ab 2. August 2025

    Gesetzliche Rollen: Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: KI-Modell mit allgemeinem Verwendungszweck, Modell mit systemischem Risiko.

    Für Modelle unter einer freien und quelloffenen Lizenz mit öffentlich zugänglichen Parametern entfallen die Pflichten nach Buchst. a und b, nicht aber die Urheberrechtsstrategie und die Zusammenfassung. Modelle mit systemischem Risiko sind von dieser Erleichterung ausgenommen.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Systemische Risiken bewerten und mindern Art. 55 · gilt ab 2. August 2025

    Gesetzliche Rollen: Anbieter eines KI-Modells mit allgemeinem Verwendungszweck. Klassen: Modell mit systemischem Risiko.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

Alle 62 Pflichten nach Rolle, Risikoklasse und Frist im Pflichtenkompass

Weitere Einträge aus der Themengruppe Lieferkette und Herkunft.

Lieferkette – Modelle Vortrainierte, also fertig trainierte KI-Modelle aus externen Quellen können manipuliert sein: mit verstecktem Schadcode oder eingebauten … Lieferkette – Datensätze Trainings- und Feinabstimmungsdaten aus fremden Quellen können vergiftet, fehlerhaft oder rechtlich belastet sein.

Passende Anwendungsfälle

Die Liste zeigt, wo Sie diese Bedrohung prüfen, nicht wie hoch das Risiko ist.

Gehört bei jedem KI-System auf die Prüfliste. Was Sie bei jedem KI-System prüfen

Häufige Fragen

Worum geht es bei dieser Bedrohung?
Angreifer kompromittieren die technische Umgebung, in der ein KI-System entwickelt und betrieben wird: Cloud-Dienste, Entwicklungswerkzeuge und Software-Bausteine von Drittanbietern. So verschaffen sie sich Zugriff auf Systeme, Daten und Modelle.
Welche Gegenmaßnahmen nennt der Katalog?
Der Katalog nennt 4 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Ausschließlich vertrauenswürdige Lieferanten nutzen, Infrastruktur-Härtung und Lieferketten-Sicherheitsaudits. Die Reihenfolge ist keine Priorisierung.
Welche Pflichten der KI-Verordnung können relevant sein?
Der Katalog ordnet diese Bedrohung Art. 25 Abs. 2, Art. 53 Abs. 1 Buchst. a, Art. 53 Abs. 1 Buchst. b, Art. 53 Abs. 1 Buchst. c und d und Art. 55 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Nachgelagerte Anbieter unterstützen, Technische Dokumentation des Modells erstellen, Nachgelagerte Anbieter mit Informationen versorgen, Urheberrecht beachten und Trainingsinhalte zusammenfassen und Systemische Risiken bewerten und mindern. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

Diese Bedrohung im eigenen System bewerten

Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs sowie die Einordnung nach der EU-KI-Verordnung und die Datenschutzprüfung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.

Live-Demo starten Kostenlose Module ansehen

Diesen Eintrag zitieren

Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.

„Lieferkette – Infrastruktur“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Oktober 2026.
https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/lieferkette-infrastruktur/

← Zurück zum vollständigen Katalog