AI Security in der Praxis: Wie Unternehmen KI-Workloads wirksam schützen – Perspektiven von Palo Alto Networks

Das Wichtigste im Überblick

• AI Security ist mehr als Anwendungssicherheit: Es geht nicht nur um die kontrollierte Nutzung von KI-Tools durch Mitarbeitende (Shadow AI), sondern auch um den Schutz der KI-Workloads, -Modelle und -Infrastruktur selbst.
• Neue Angriffsflächen entstehen: Prompt Injection, Datenlecks aus Trainings- und Kontextdaten sowie kompromittierte KI-Agenten erfordern spezialisierte Schutzmechanismen, die klassische Netzwerksicherheit allein nicht abdeckt.
• Technologiepartner wie Palo Alto Networks ergänzen das Portfolio von Managed-Security-Anbietern um spezialisierte AI-Security-Technologie. Wichtig ist dabei eine herstellerunabhängige Grundstrategie, bevor konkrete Produkte ausgewählt werden.
• Cloud-native Sicherheitsansätze wie CSPM und CWPP sind komplementär und beide relevant, sobald KI-Workloads in Cloud-Umgebungen betrieben werden.
• KI-gestützte Phishing-Angriffe erfordern mehrschichtige Abwehrstrategien – von Zero Trust über Passkeys bis zu Security-Awareness-Programmen.
• Praxisnahe Vertiefung: Dieser Beitrag versteht sich als Ergänzung zu unseren Artikeln über generative KI im Unternehmen und Agentic AI im SOC und zu unserem Service zur Absicherung von KI-Anwendungen.

Was ist AI Security und warum reicht klassische IT-Security nicht mehr aus?

AI Security bezeichnet den Schutz von KI-Systemen selbst, also von Modellen, Trainings- und Inferenzdaten, APIs, Agenten und der zugrunde liegenden Infrastruktur vor gezielten Angriffen. Das unterscheidet sich von der grundsätzlichen Frage, wie Mitarbeitende KI-Tools sicher nutzen: Dazu haben wir bereits einen ausführlichen Grundlagenartikel veröffentlicht, KI Anwendungen sichern: Risiken & Best Practices für AI Security, der sich unter anderem mit Shadow AI, CASB und DLP beschäftigt. Der vorliegende Beitrag setzt dort an, wo dieser Grundlagenbeitrag aufhört: beim Schutz der KI-Workloads und der KI-Infrastruktur selbst.

Klassische IT-Security-Kontrollen – Firewalls, klassisches Endpoint-Schutz, signaturbasierte Erkennung – wurden nicht für die spezifischen Eigenschaften von KI-Systemen entwickelt. KI-Modelle verarbeiten unstrukturierte, oft nicht vorhersagbare Eingaben (Prompts), generieren eigenständig Ausgaben und können – bei agentenbasierten Systemen – sogar autonom Aktionen auslösen. Damit entstehen neue Angriffsvektoren, die eigene Erkennungslogik erfordern:

• Prompt Injection: Manipulierte Eingaben, die ein KI-Modell dazu bringen, unbeabsichtigte Anweisungen auszuführen oder vertrauliche Informationen preiszugeben.
• Datenexfiltration über Kontext- und Trainingsdaten: Sensible Unternehmensdaten können über Antworten von KI-Modellen unbeabsichtigt offengelegt werden.
• Kompromittierte KI-Agenten: Agentenbasierte Systeme, die eigenständig Aktionen ausführen (z. B. Tickets erstellen, Systeme abfragen), vergrößern die Angriffsfläche, wenn ihre Berechtigungen nicht granular kontrolliert werden.

Genau diese Themen – Chancen und Risiken von generativer KI und KI-Agenten im Unternehmenskontext – haben wir ausführlich in unserem Beitrag GenAI & AI Agents im Unternehmen: Mehr Innovation, weniger Risiko behandelt. Der vorliegende Artikel fokussiert dagegen konkret auf den technischen Schutz der KI-Workloads und -Infrastruktur sowie auf die Partner-Perspektive von Palo Alto Networks.

Wie schützt man AI-Workloads und -Daten vor Angriffen?

Der Schutz von AI-Workloads folgt einem mehrschichtigen Ansatz, der klassische Cloud- und Datensicherheit um KI-spezifische Kontrollen erweitert. In der Praxis lassen sich vier Schutzebenen unterscheiden:

1. Infrastrukturebene: Absicherung der Compute-Ressourcen (GPU-Cluster, Container, Kubernetes-Umgebungen), auf denen KI-Modelle trainiert und ausgeführt werden, inklusive Konfigurationsmanagement und Schwachstellen-Scanning.
2. Datenebene: Schutz von Trainings-, Fine-Tuning- und Kontextdaten vor unautorisiertem Zugriff, Manipulation (Data Poisoning) und Exfiltration.
3. Modell- und Laufzeitebene: Überwachung von Prompts, Antworten und Datenflüssen in Echtzeit, um KI-spezifische Angriffe wie Prompt Injection oder Jailbreak-Versuche zu erkennen und zu blockieren.
4. Agenten- und Identitätsebene: Granulare Berechtigungssteuerung für KI-Agenten nach dem Prinzip geringstmöglicher Rechte, die eigenständig auf Systeme, APIs oder Daten zugreifen.

Wichtig ist: Diese Kontrollen sollten von Anfang an, also bereits in der Entwicklungs- und Testphase von KI-Anwendungen, mitgedacht werden, nicht erst nachträglich ergänzt werden. Ein durchgängiges Monitoring, das AI-Workloads mit derselben Sorgfalt wie klassische produktive Systeme behandelt, ist dabei Grundvoraussetzung. Wer diese Überwachung nicht selbst aufbauen kann oder will, findet in einem professionell betriebenen Detection-&-Response-Ansatz eine wirksame Ergänzung. Dazu mehr im Abschnitt zu Managed Detection and Response weiter unten in diesem Artikel.

Welche Rolle spielt Technologie von Sicherheitsanbietern wie Palo Alto Networks bei der Absicherung von Unternehmens-KI?

Bevor einzelne Herstellerlösungen betrachtet werden, lohnt ein herstellerneutraler Blick: Unabhängig vom gewählten Anbieter sollten Unternehmen bei AI-Security-Lösungen auf durchgängige Sichtbarkeit über alle KI-Workloads hinweg, auf Echtzeit-Erkennung KI-spezifischer Bedrohungen (nicht nur klassischer Netzwerk- oder Endpoint-Angriffe), auf eine granulare Steuerung von Agenten-Berechtigungen sowie auf eine saubere Integration in bestehende SOC- und SIEM-Prozesse achten. Erst auf dieser Grundlage macht ein Blick auf konkrete Technologiepartner Sinn.

Palo Alto Networks ist einer der Technologiepartner, mit denen Orange Cyberdefense im Bereich AI Security zusammenarbeitet. Palo Alto Networks bietet mit seiner Prisma-AIRS-Produktfamilie eine Plattform, die nach Herstellerangaben KI-Anwendungen, -Modelle, -Daten und -Agenten über den gesamten Lebenszyklus hinweg absichern soll. In seinem Vortrag bei der CyberSec Tastery hat Jörg Walz (Palo Alto Networks) dies anhand von drei Schritten konkretisiert:

1. Zunächst eine Discovery-Komponente, die sowohl von außen genutzte Schatten-KI-Anwendungen im Unternehmen als auch selbst entwickelte, intern gebaute KI-Agenten (etwa in Azure, AWS oder Google Cloud) sichtbar macht. Als Praxisbeispiel schilderte Walz ein Gespräch mit einem Klinikum, in dem bereits viele Ärztinnen, Ärzte und Pflegekräfte KI-Tools nutzten, um Patientendaten zu analysieren oder Briefe zu verfassen, ohne dass all diese Anwendungen offiziell freigegeben waren.
2. Darauf aufbauend folgt laut Walz ein Modul namens AI Red Teaming: automatisierte, wiederholte Angriffe auf Modelle, Anwendungen oder Agenten, die – ähnlich einem klassischen Penetrationstest, aber speziell auf KI-Schwachstellen wie Prompt Injection ausgerichtet – die Antworten auswerten und darauf aufbauend gezielt weitere Angriffe ableiten.
3. Den Abschluss bildet eine Laufzeit-Schutzkomponente, die Anfragen zwischen Nutzer:in, Modell und angebundenen Tools bzw. MCP-Servern in Echtzeit prüft, etwa über ein vorgeschaltetes AI Gateway. Für Unternehmen, die bereits mit Palo-Alto-Networks-Technologie arbeiten (etwa im Bereich Netzwerksicherheit oder SASE), kann eine solche Erweiterung um AI-Security-Funktionen eine sinnvolle Konsolidierung im bestehenden Ökosystem sein, ersetzt aber nicht die grundsätzliche strategische Entscheidung, welche Kontrollen ein Unternehmen für seine spezifischen KI-Anwendungsfälle benötigt.

„Stellen Sie sich immer wieder die Frage, ob Ihnen bekannt ist, wie die KI-Nutzung im eigenen Unternehmen aussieht und ob genug Security-Kontrollen da sind, um KI so zu nutzen, dass es auch tatsächlich Spaß macht und nicht nur ein Risiko darstellt.“ Jörg Walz, Palo Alto Networks

Wie unterscheidet sich CSPM von CWPP in der Cloud-Security – und warum ist das für AI-Workloads relevant?

Da die meisten Unternehmen ihre KI-Modelle und -Anwendungen in Cloud-Umgebungen betreiben, sind zwei etablierte Cloud-Security-Kategorien auch für AI-Workloads unmittelbar relevant: Cloud Security Posture Management (CSPM) und Cloud Workload Protection Platform (CWPP).

• CSPM überwacht kontinuierlich, ob die Cloud-Infrastruktur korrekt konfiguriert ist – etwa ob Speicher-Buckets mit Trainingsdaten versehentlich öffentlich zugänglich sind oder Identitäts- und Zugriffsrichtlinien zu weit gefasst sind. CSPM adressiert also primär Konfigurations- und Compliance-Risiken auf Infrastrukturebene.
• CWPP schützt dagegen die einzelnen Workloads selbst – virtuelle Maschinen, Container, serverlose Funktionen und damit auch die Compute-Instanzen, auf denen KI-Modelle trainiert oder ausgeführt werden. CWPP konzentriert sich auf Schwachstellen-Erkennung, Laufzeitschutz und Bedrohungsreaktion innerhalb des Workloads.

Welche Abwehrstrategien wirken gegen KI-gestützte Phishing-Angriffe?

Wirksame Abwehrstrategien kombinieren mehrere Ebenen:

• Zero Trust Architektur: Kein impliziertes Vertrauen für Nutzer:innen oder Geräte. Jede Zugriffsanfrage wird kontinuierlich geprüft, unabhängig vom Ursprung.
• Multi-Faktor-Authentifizierung (MFA) und Passkeys/FIDO2: Phishing-resistente Authentifizierungsverfahren reduzieren den Erfolg selbst überzeugend gefälschter Login-Seiten erheblich.
• DMARC, DKIM und SPF: E-Mail-Authentifizierungsstandards erschweren das Fälschen von Absenderadressen, ein häufiges Element KI-generierter Phishing-Kampagnen.
• Security-Awareness-Programme: Regelmäßige, praxisnahe Schulungen, die auch auf neue, KI-generierte Angriffsmuster eingehen (z. B. täuschend echte Sprach- oder Video-Deepfakes).
• Orientierung an anerkannten Rahmenwerken: Empfehlungen von NIST und CISA bieten strukturierte, herstellerunabhängige Grundlagen für die Priorisierung von Abwehrmaßnahmen.

Entscheidend ist, dass diese Maßnahmen nicht isoliert betrachtet werden: Ein starkes Security Operations Center, das Alarme aus E-Mail-Sicherheit, Identitätsmanagement und Endpoint-Schutz korreliert, erkennt KI-gestützte Angriffskampagnen häufig deutlich früher als einzelne, unverbundene Tools.

Wie erkennt man Cyber-Bedrohungen durch KI-gestützte Angriffe frühzeitig?

Die frühzeitige Erkennung KI-gestützter Bedrohungen erfordert eine Kombination aus Verhaltensanalyse, kontinuierlichem Monitoring und der Fähigkeit, große Mengen an Telemetriedaten in Echtzeit zu korrelieren. Das sind Aufgaben, die ein modernes Security Operations Center (SOC) mit entsprechender Automatisierung leisten muss. Klassische, rein signaturbasierte Erkennung stößt hier an Grenzen, weil KI-generierte Angriffe (etwa polymorphe Malware-Varianten oder individualisierte Phishing-Texte) sich gerade nicht wiederholen.

Ein durchgängig betriebenes Detect & Respond / Managed Detection and Response-Angebot verbindet genau diese Bausteine: kontinuierliches Monitoring, Threat Intelligence und ein Analystenteam, das ungewöhnliche Muster, etwa untypische Zugriffe auf KI-Modelle oder plötzliche Datenabflüsse aus Trainingsumgebungen, schnell einordnen kann. Wie Agentic AI dabei konkret hilft, die Alert-Flut im SOC zu bewältigen, beschreiben wir ausführlich in unserem Beitrag Agentic AI im SOC: Wie KI die Alert Fatigue von Security-Analyst:innen löst.

Fazit: AI Security ist kein einmaliges Projekt, sondern eine kontinuierliche Aufgabe, die mit dem Reifegrad der eigenen KI-Nutzung mitwächst.

Unternehmen, die KI-Workloads produktiv einsetzen, sollten dabei zwei Ebenen klar trennen: die sichere Nutzung von KI-Anwendungen durch Mitarbeitende (Shadow AI, Datenschutz, Governance) und den technischen Schutz der KI-Infrastruktur selbst: Modelle, Daten, Agenten und die zugrunde liegende Cloud-Umgebung.

Technologiepartner wie Palo Alto Networks können dabei spezialisierte Bausteine liefern, insbesondere für die Laufzeitüberwachung von KI-Anwendungen und -Agenten. Entscheidend bleibt jedoch eine herstellerunabhängige Strategie, die CSPM und CWPP ebenso einschließt wie ein leistungsfähiges Security Operations Center, das KI-gestützte Bedrohungen, von Phishing bis Prompt Injection, frühzeitig erkennt.

Die CyberSec Tastery „La Dolce Vita der AI Security“ hat gezeigt: Der Austausch zwischen Anwenderunternehmen, Managed-Security-Anbietern und Technologiepartnern ist dabei mindestens so wertvoll wie die eingesetzte Technologie selbst. Wer tiefer in die strategischen und operativen Aspekte einsteigen möchte, findet in unserer sechsteiligen Serie „Mit GenAI vorankommen“ sowie in den verlinkten Beiträgen zu GenAI/AI-Agents und Agentic AI im SOC weiterführende Perspektiven.