Wenn Beschäftigte vertrauliche Dokumente in private KI-Tools
laden, beginnt das Problem oft schon bei den Arbeitsbedingungen.
Norman Müller spricht mit Marvin Gatermann, Mitgründer und
Geschäftsführer der DAFI Deutschen Akademie für
Informationssicherheit, über Schatten-KI, unübersichtliche
Tool-Landschaften und die Verantwortung von Führungskräften. Es
geht um Sicherheitslücken beim Vibe Coding, Lernen an eigenen
Praxisfällen und die Frage, wie Unternehmen KI sinnvoll
einsetzen, ohne den Überblick über Daten und Prozesse zu
verlieren.
Kapitel
* 00:00 Einstieg: KI, Unternehmensdaten und Verantwortung
* 01:20 Marvins Weg zur Deutschen Akademie für
Informationssicherheit
* 07:20 Wie gut sind Unternehmen auf KI-Risiken vorbereitet?
* 11:15 Vibe Coding und die übersehene Sicherheit
* 15:54 Warum Cybersicherheit auch Investoren betrifft
* 17:15 Weiterbildung an eigenen Praxisfällen
* 21:17 Wenn jede Abteilung andere KI-Tools nutzt
* 26:16 Systemausfälle und ihre Folgen im Arbeitsalltag
* 28:07 Vorsorge, wirtschaftliche Risiken und Handlungsdruck
* 32:21 Phishing, Deepfakes und kleine Unternehmen
* 35:17 Sicherheitsnachweise als Voraussetzung für Geschäft
* 40:39 Schatten-KI und vertrauliche Unternehmensdaten
* 45:28 Lernräume und die Grenzen von Richtlinien
* 49:06 Ein Vorstandsprotokoll landet in einer privaten KI
* 51:14 Verantwortung der Geschäftsleitung und erste
Handlungsschritte
* 55:43 Wann externe Unterstützung helfen kann
* 59:14 Kontakt, Ausblick und Marvins Wunsch für die Welt
Liest du hier regelmäßig mit? Dann unterstütze unsere
Arbeit mit einem bezahlten Abo.
Wir haben die Paywalls abgeschafft. Jede Woche veröffentlichen
wir neue Essays und Podcast-Folgen, auf die du kostenlos
zugreifen kannst.
Wenn du unsere Arbeit unterstützen möchtest, freuen wir uns über
ein bezahltes Abo. Damit kannst du auch an unseren Podcast
Live-Talks teilnehmen, im Live-Chat mitdiskutieren und dich im
Substack Community Chat austauschen. Zugleich hilfst du uns,
weitere Essays zu schreiben und spannende Podcast-Gäste
einzuladen.
Shownotes
* Marvin Gatermann auf LinkedIn: https://de.linkedin.com/in/9316
* DAFI Deutsche Akademie für Informationssicherheit:
https://dafi-akademie.de/
* Agentic AI & AI Security Practitioner:
https://dafi-akademie.de/weiterbildungen/ai-security-practitioner
* KI-Manager mit Schwerpunkten Compliance und Cybersicherheit:
https://dafi-akademie.de/business/ki-management-b2b
* Weiterbildungsangebote in der VENTURE AI ACADEMY:
https://venture-ai-germany.org/academy/
* Kontakt zur DAFI für Fragen zu Weiterbildung und Unterstützung:
https://dafi-akademie.de/kontakt
Transparenz: Der Bundesverband für KI-Transformation e.V. und die
DAFI arbeiten im Bildungsbereich zusammen. Diese Zusammenarbeit
gehört zum Kontext der Folge. Die verlinkten Kursseiten enthalten
die Angaben des Anbieters; sie sind keine unabhängige Bewertung
der Angebote.
Das Vorstandsprotokoll in der privaten KI
Um 19 Uhr bekommt ein Vorstandsassistent ein Protokoll. Bis
sieben Uhr am nächsten Morgen soll die Zusammenfassung fertig
sein. Er nimmt die Unterlagen mit nach Hause und lässt seine
private KI arbeiten. Die Arbeit liegt pünktlich vor. Vertrauliche
Informationen haben dabei das Unternehmen verlassen.
Ich erzähle Marvin Gatermann dieses Beispiel im Gespräch, weil
mich daran die Situation hinter der Entscheidung interessiert.
Ein Vorgesetzter verlangt ein Ergebnis, für das der Mitarbeiter
mit seinen eigenen Werkzeugen schneller einen Weg findet. Das
Unternehmen hat ihm dafür offenbar keine passende Arbeitsumgebung
bereitgestellt. Wer den Vorgang verstehen will, muss sich deshalb
auch ansehen, welche Erwartungen die Führung setzt und welche
Mittel sie ihren Beschäftigten gibt.
Marvin hat die DAFI Deutsche Akademie für Informationssicherheit
mitgegründet und führt sie als Geschäftsführer. Als
Wirtschaftspsychologe beschäftigt er sich mit Lernen und
Veränderung. In unserem Gespräch verbindet er diese Perspektive
mit der Frage, wie Menschen KI sicher im Berufsalltag einsetzen
können.
Wenn niemand mehr die eigenen Prozesse überblickt
In einer Abteilung arbeitet das Team mit Copilot. Eine andere
probiert Claude aus. Anderswo verbindet jemand Anwendungen über
einen Automatisierungsdienst. Jede Entscheidung kann für die
jeweilige Aufgabe sinnvoll erscheinen. Die Geschäftsführung muss
trotzdem verstehen können, welche Daten durch diese Systeme
fließen, wer Zugriff hat und wer einen Ablauf betreut.
Marvin beschreibt, wie Unternehmen diesen Überblick verlieren
können. Ein Mitarbeiter richtet eine Automatisierung ein, später
verlässt er den Betrieb. Irgendwann funktioniert der Prozess
nicht mehr. Die Kollegen müssen zunächst herausfinden, wo er
überhaupt liegt. Wer in dieser Situation auf eine wichtige
Information angewiesen ist, erlebt ein Problem der Verfügbarkeit.
Damit bekommt Informationssicherheit eine konkrete Bedeutung:
Kann mein Team seine Arbeit erledigen? Erreichen wir die Daten,
die wir brauchen? Wissen wir, wen wir bei einer Störung
ansprechen? Im Gespräch erinnern wir an den CrowdStrike-Ausfall
als Beispiel dafür, wie stark Unternehmen von funktionierenden
Systemen abhängen. Ein Ausfall braucht keinen Angreifer, um den
Arbeitsalltag zu unterbrechen.
Für mich gehört diese Perspektive auch zur
Investitionsentscheidung. Wenn ich ein Unternehmen betrachte,
will ich verstehen, welche Risiken ich mitfinanziere und wie die
Verantwortlichen damit umgehen. Ein funktionierender Prototyp
beantwortet diese Fragen noch nicht.
Welche Sicherheit ein selbst gebautes Tool braucht
Marvin erzählt von Unternehmern, die mit KI eigene Anwendungen
bauen und die Geschwindigkeit ihrer Entwicklung feiern. Bei einem
selbst gebauten CRM fragt er nach dem Schutz der Kundendaten. Die
erste Antwort verweist auf die DSGVO. Seine Nachfrage zielt auf
die technische Umsetzung: Wie verhindern die Verantwortlichen
unberechtigte Zugriffe und den Abfluss von Daten?
Diese Unterscheidung hilft auch ohne Fachwissen bei der nächsten
Nachfrage. Wer einen Dienst einkauft oder selbst entwickeln
lässt, sollte sich erklären lassen, wie die Beteiligten seine
konkreten Daten schützen. Ein pauschaler Verweis auf
Regelkonformität reicht als Erklärung dafür nicht aus. Zugleich
umfasst Datenschutz auch Anforderungen an die Sicherheit der
Verarbeitung. Beides lässt sich im Betrieb deshalb nicht sauber
voneinander abkoppeln.
Beim Vibe Coding nennt Marvin öffentlich gewordene
Zugangsschlüssel und unzureichend geschützte Schnittstellen als
mögliche Risiken. Wir sprechen über Fehlerquellen, die bei
schneller Entwicklung Aufmerksamkeit brauchen. Aus dem Gespräch
folgt keine pauschale Bewertung aller Anwendungen, die Menschen
mit KI erstellen. Es folgt die Frage, wer die fertige Anwendung
fachlich prüfen und anschließend betreuen kann.
Beschäftigte brauchen brauchbare Werkzeuge und Übung
Bei Schatten-KI geht es um Beschäftigte, die Systeme außerhalb
der vorgesehenen Unternehmensumgebung nutzen. Marvin hält das für
ein erhebliches Risiko. Wie häufig es vorkommt, beurteilt er im
Gespräch aus seiner Erfahrung. Eine repräsentative Erhebung legen
wir in dieser Folge dazu nicht vor.
Sein Vorschlag setzt an zwei Stellen an: Unternehmen sollten
geeignete Werkzeuge bereitstellen und ihre Beschäftigten im
Umgang damit qualifizieren. Menschen brauchen ein Verständnis
dafür, welche Informationen sie verarbeiten dürfen und wann sie
Unterstützung holen sollten. Sie müssen zugleich ihre eigentliche
Arbeit mit den erlaubten Mitteln erledigen können.
Wir sprechen deshalb über geschützte Lernräume. Dort können Teams
eine Aufgabe ausprobieren, ohne sofort auf sämtliche
Unternehmensdaten zuzugreifen. In der praktischen Arbeit merken
sie, welche Fragen offenbleiben. Welche Eingabe enthält
vertrauliche Angaben? Wer kontrolliert ein Ergebnis? Was
passiert, wenn ein Ablauf fehlschlägt?
Marvin beschreibt diesen Praxisbezug auch als Anspruch an seine
Weiterbildungen. Für die Auswahl eines Lehrgangs würde ich
deshalb fragen, welche eigene Aufgabe jemand dort bearbeiten kann
und wie er Rückmeldung zu seiner Lösung bekommt. Das lässt sich
konkreter beu…
Get full access to VENTURE AI STACK at
www.ventureaistack.com/subscribe
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.