KI-Sicherheits-Checkliste für Mitarbeitende

Beginnen Sie mit einer Regel

Mitarbeitende nutzen jetzt KI-Tools zum Schreiben, Zusammenfassen, Übersetzen, Codieren,\n\t\tNotizenmachen, Suchen und für Entscheidungsunterstützung. Das kann Zeit sparen, bringt aber auch\n\t\tneue Datenschutz- und Sicherheitsrisiken mit sich. Die sicherste Gewohnheit am Arbeitsplatz ist\n\t\teinfach: Behandeln Sie einen KI-Chatbot nicht wie ein privates Notizbuch oder ein vertrautes\n\t\tUnternehmensarchiv.

Die praktische Frage ist nicht nur „hat dieses Tool Datenschutzeinstellungen?“\n\t\tsondern auch „würde dies Schaden verursachen, wenn es überprüft, gespeichert, offengelegt oder\n\t\tan das falsche System gesendet würde?“ Wenn die Antwort möglicherweise ja ist, halten Sie an, bevor Sie einfügen,\n\t\tund prüfen Sie zuerst den genehmigten Arbeitsablauf.

10 AI-Sicherheitsprüfungen für Mitarbeitende

1. Verwenden Sie genehmigte Tools, nicht zufällige KI-Apps

Mitarbeitende sollten zuerst unternehmensgenehmigte KI-Tools verwenden. Kontotyp, Admin-\n\t\tKontrollen, Aufbewahrung, verbundene Apps und Datenschutzgrenzen variieren zwischen\n\t\tProdukten. Selbst wenn zwei Produkte ähnlich erscheinen, kann das Governance-Modell sehr unterschiedlich sein.

Eine praktische Mitarbeitendenregel ist einfach: Verwenden Sie kein persönliches KI-Konto für\n\t\tArbeitsdaten, wenn Ihre Organisation ein genehmigtes Workspace-Tool bereitstellt.

2. Niemals Geheimnisse einfügen

Fügen Sie keine Passwörter, Wiederherstellungscodes, API-Schlüssel, Zugriffstoken, private\n\t\tSchlüssel, Datenbankzugangsdaten oder Webhook-Geheimnisse in KI-Chatbots ein. Sobald sie\n\t\toffenbart sind, können Geheimnisse direkten Zugriff auf Systeme, Cloud-Dienste,\n\t\tRepositorien und Abrechnungsumgebungen ermöglichen.

Das sicherere Muster ist, echte Geheimnisse durch Platzhalter wie [API_KEY], [TOKEN]`, oder` [PASSWORD]`. In\n\t\tden meisten Fällen benötigt KI nur die Struktur des Problems, nicht den echten Wert.

3. Fügen Sie keine vertraulichen Kunden- oder Mitarbeiterdaten ein

Kunden-E-Mails, Telefonnummern, Adressen, Support-Tickets, Personalakten,\n\t\tGehaltsdaten, Studentendaten, medizinische Details und andere personenbezogene\n\t\tInformationen sollten standardmäßig nicht in KI-Tools eingefügt werden.

Mitarbeitende sollten zuerst anonymisieren. Ersetzen Sie echte Namen durch Bezeichnungen wie Kunde A, Schüler 1`, oder` Mitarbeitende B`,\n\t\tund entfernen Sie unnötige Daten, Identifikatoren und Kontoreferenzen, bevor Sie\n\t\tum Hilfe bitten.

4. Fügen Sie keine Verträge, juristischen Entwürfe oder NDA-geschützte Unterlagen in\n\t\tallgemeine Tools ein

Rechtsdokumente enthalten oft vertrauliche Verpflichtungen, Verhandlungsverläufe,\n\t\tPreiskonditionen und regulierte oder privilegierte Informationen. Eine sicherere Vorgehensweise ist,\n\t\tum stattdessen nach einer Vorlage, einer Checkliste oder einer Klauselerklärung zu fragen, anstatt\n\t\tdas vollständige Dokument einzufügen.

Wenn Überprüfungsunterstützung erforderlich ist, verwenden Sie eine geschwärzte Version innerhalb eines genehmigten\n\t\tUnternehmensablaufs, nicht einen praktischen Chatbot mit unklaren Grenzen.

5. Behandeln Sie interne Dokumente nach Klassifikation, nicht nach Vermutung

Mitarbeitende sollten den Unterschied zwischen öffentlich, intern, vertraulich und eingeschränkt kennen. Interne Notizen mögen harmlos erscheinen, aber einige\n\t\tenthalten Kund:innenkontext, Sicherheitsdetails, finanzielle Annahmen oder\n\t\tRoadmap-Elemente, die nicht in Verbraucher-KI-Tools eingefügt werden sollten.

Wenn Sie die Klassifizierung nicht kennen, gehen Sie davon aus, dass die Daten mindestens intern sind\n\t\tund teilen Sie sie nicht extern oder mit nicht genehmigten KI-Tools, bis Sie dies überprüft haben.\n\t\tFür eine ausführlichere Erklärung lesen Sie Data Classification Explained .

6. Bevorzugen Sie Arbeitskonten gegenüber persönlichen Konten

Dies ist einer der wichtigsten Unterschiede für Mitarbeitende. Arbeitsprodukte\n\t\tbieten in der Regel eine stärkere Kontrollumgebung, aber das bedeutet nicht, dass sie\n\t\tfür alles sicher sind.

Mitarbeitende sollten weiterhin die Daten, die sie teilen, minimieren, nur genehmigte\n\t\tTools verwenden und die Unternehmensrichtlinien befolgen. Das Arbeitskonto ist der sicherere\n\t\tAusgangspunkt, kein Freifahrtschein.

7. Seien Sie vorsichtig mit verbundenen Apps, Agenten und MCP-ähnlichen Tools

Das Risiko liegt nicht nur in der Chat-Oberfläche. Einige KI-Tools können Unternehmensdaten\n\t\tdurchsuchen, Dateien abrufen oder Aktionen über verbundene Apps und benutzerdefinierte\n\t\tIntegrationen ausführen.

Bevor Sie eine App, einen Connector oder einen Agenten aktivieren, stellen Sie drei Fragen: Worauf kann\n\t\ter zugreifen, was kann er senden und kann ich ihn später leicht entfernen? Wenn die Antwort\n\t\tunklar ist, verbinden Sie ihn nicht.

8. Gehen Sie davon aus, dass KI-Ausgaben falsch, unvollständig oder unsicher sein können

Mitarbeitende sollten KI-Ausgaben niemals ungeprüft in Produktionssysteme,\n\t\tKundenkommunikation, juristische Dokumente oder Sicherheitsentscheidungen kopieren.

Die richtige Regel lautet: Nutzen Sie KI, um die Arbeit zu beschleunigen, nicht um Urteilsvermögen zu ersetzen.\n\t\tÜberprüfen Sie Fakten, Berechtigungen, Berechnungen, Zitate und sensible Formulierungen\n\t\tbevor Sie auf Ausgaben reagieren.

9. Erst schwärzen, dann zusammenfassen, zuletzt einfügen

Wenn Mitarbeitende KI-Hilfe benötigen, ist die sicherste Reihenfolge:

• Schwärzen Sie sensible Details
• Fassen Sie das eigentliche Problem zusammen
• Fügen Sie nur das Minimum ein, das erforderlich ist

Das gilt für E-Mails, Tickets, Vorfallsnotizen, Codeausschnitte, Tabellenkalkulationen\n\t\tund Besprechungszusammenfassungen. Zum Beispiel: Statt eine gesamte Kundenbeschwerde\n\t\tmit Namen und Kontonummern einzufügen, bitten Sie um eine ruhigere Umschreibung\n\t\tfür eine Antwort auf eine verzögerte Lieferung.

10. Melden Sie Fehler und riskante Nutzung frühzeitig

Mitarbeitende sollten wissen, was zu tun ist, wenn sie das Falsche einfügen, das falsche Tool verbinden oder sehen, dass KI unsicher eingesetzt wird. Schnelles Melden ist besser als\n\t\tstilles Aufräumen.

Eine bewährte Unternehmenspraxis ist es, Mitarbeitenden einen klaren Meldeweg zu geben:

• Unbeabsichtigtes Teilen sensibler Daten
• Verdächtige KI-generierte Ausgaben
• Unsichere Prompt-Muster
• Nicht genehmigte Tools oder Konnektoren
• Halluzinationen mit Auswirkungen auf Kund:innen
• Interne Richtlinienfragen

Eine einfache Checkliste für Mitarbeitende

Bevor Sie KI für die Arbeit nutzen, sollten Mitarbeitende prüfen:

• Ist dies das genehmigte KI-Tool des Unternehmens?
• Bin ich im richtigen Arbeitskonto angemeldet?
• Enthält der Inhalt Geheimnisse, PII, Verträge, juristisches Material oder\n\t\t\teingeschränkte interne Informationen?
• Kann ich zuerst Namen, IDs, Tokens und interne Details schwärzen?
• Ist dieser Inhalt als intern, vertraulich oder eingeschränkt klassifiziert?
• Bin ich dabei, eine App, einen Agenten oder ein externes Tool zu verbinden, das ich nicht vollständig\n\t\tverstehe?
• Brauche ich eine menschliche Überprüfung, bevor ich die Ausgabe sende oder darauf reagiere?
• Weiß ich, wie ich einen Fehler melden kann, falls etwas schiefgeht?

Diese Checkliste ist bewusst einfach. Das Ziel ist nicht, Mitarbeitende vor KI zu ängstigen. Das Ziel ist, sichere Nutzung zur Standardverhaltensweise zu machen.

Zur vertiefenden Lektüre kombinieren Sie diese Checkliste mit KI-Chat-Datenschutzeinstellungen , Was Sie niemals mit KI-Chatbots teilen sollten `, und` Data Classification Explained .

Schlussfolgerung

Mitarbeitende müssen keine Sicherheitsexpert:innen werden, um KI sinnvoll zu nutzen. Aber sie benötigen einige starke Gewohnheiten: genehmigte Tools verwenden, sensible Daten schützen, Arbeitskonten persönlichen vorziehen, Ausgaben vor dem Handeln prüfen und bei verbundenen Apps und Agenten vorsichtig sein.

Die beste KI-Sicherheits-Checkliste ist kein langes Richtliniendokument. Sie ist eine kurze\n\t\tReihe von Verhaltensweisen, die Menschen tatsächlich jeden Tag befolgen können.

Offizielle Quellen und weiterführende Lektüre

• OpenAI: Datenverwendung für Consumer-Services – FAQ
• OpenAI: Apps in ChatGPT
• OpenAI: ChatGPT Apps mit Sync – FAQ
• Anthropic Privacy Center: Kommerzielle Produkte
• Anthropic Privacy Center: Verbraucherprodukte
• Google Workspace: Gemini – Datenschutz und Datensicherheit
• Microsoft Learn: Microsoft 365 Copilot Chat – Datenschutz und Schutzmaßnahmen
• OWASP GenAI: Offenlegung sensibler Informationen
• CISA: Best Practices für AI-Datensicherheit
• NIST: Generative AI Profile

Häufig gestellte Fragen