KI braucht Grundschutz : Wie (nicht nur) Behörden KI-Governance systematisch in ihr bestehendes ISMS integrieren können

Auf der ersten Ebene steht der BSI IT-Grundschutz, der auf die klassischen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit fokussiert. Das Vorgehensmodell der BSI-Standards 200-1 bis 200-3 (www.bsi.bund.de/dok/6603458) mit dem ergänzenden Kompendium ist erprobt, auditierbar und gerade in der öffentlichen Verwaltung weit verbreitet. Für Einrichtungen der Bundesverwaltung im Geltungsbereich des BSI-Gesetzes (BSIG) ist ein Informationssicherheitsmanagement auf IT-Grundschutz-Basis seit der Neufassung des BSIG durch das NIS-2-Umsetzungsgesetz verbindlich (§ 44 BSIG, siehe www.gesetze-im-internet.de/bsig_2025/__44.html).

Für Länder und Kommunen ergibt sich die Bindung aus dem jeweiligen Landesrecht. Maßgeblich und zertifizierungsrelevant bleibt die Edition 2023 des IT-Grundschutz-Kompendiums (www.bsi.bund.de/grundschutz). Parallel entwickelt das BSI den IT-Grundschutz zu Grundschutz++ weiter. Diese neue Methodik steht noch in der Erprobung, die Pilotierung läuft 2026 – ab 2027 ist eine Zertifizierung nach der neuen Methodik vorgesehen (vgl. [3]). Für die Umstellung ist eine mehrjährige Übergangsphase geplant.

Für KI-Systeme greift der IT-Grundschutz allerdings sowohl in der Edition 2023 als auch im Grundschutz++ zu kurz: Die klassische CIA-Triade erfasst Schutzgüter wie Diskriminierungsfreiheit, Transparenz und menschliche Aufsicht nicht systematisch.

Die zweite Ebene bildet die KI-Verordnung: Sie ordnet KI-Systeme nach Risikoklassen, untersagt nach Art.  5 bestimmte Praktiken wie Social-Scoring oder, von engen Ausnahmen abgesehen, die biometriegestützte Emotionserkennung am Arbeitsplatz und definiert für Hochrisiko-KI-Systeme nach Anhang  III weitreichende Pflichten. Diese treffen Anbieter und Betreiber unterschiedlich: Den Betreiber, also in aller Regel die Behörde, treffen vor allem die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27, die Operationalisierung der menschlichen Aufsicht nach Art. 26 sowie betreiberseitige Transparenzpflichten nach Art. 50. Die Konformitätsbewertung nach Art.  43 und die CE-Kennzeichnung nach Art.  48 sind dagegen Anbieterpflichten.

Die Verordnung knüpft die FRIA-Pflicht nach Art. 27 an zwei Voraussetzungen: Der Betreiber muss eine Einrichtung des öffentlichen Rechts oder ein Erbringer öffentlicher Dienste sein, und es muss sich um ein Hochrisiko-KI-System nach Anhang III handeln – hiervon ausgenommen ist kritische Infrastruktur nach Anhang III Nr. 2. Für Behörden ist die erste Voraussetzung regelmäßig gegeben, sodass es nach dem Wortlaut auf die Einstufung als Hochrisiko-KI-System ankommt – die FRIA ist damit keine Pauschalpflicht für jeden KI-Einsatz.

Eine weitere Pflicht zieht sich quer durch alle Risikoklassen: Art. 4 verlangt von Anbietern und Betreibern, dass ihr Personal über die nötige KI-Kompetenz verfügt. Auf diese Kompetenzpflicht kommt der Beitrag weiter unten zurück.

Die dritte Ebene betrifft das ressortspezifische und nationale KI-Regelwerk. In der Bundesverwaltung sind die KI-Leitlinien von BMI und CIO Bund [4] maßgeblich und enthalten fünf wertebasierte Leitprinzipien und insgesamt 14 Leitsätze für Nutzer und Behörden. Hinzu kommt der BSI-Kriterienkatalog vom Juni 2025 zur Integration extern bereitgestellter generativer KI-Modelle [5], der nach Aussage des BSI perspektivisch in einen Mindeststandard münden soll und bis dahin unverbindlich bleibt. Die Rechtsgrundlage für solche Mindeststandards der Bundesverwaltung findet sich seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 in § 44 Abs. 1 BSIG, der die frühere Verankerung in § 8 BSIG abgelöst hat.

^{Abbildung 1: Vier Ebenen des verbindlichen Regelwerks, ergänzt um die internationalen Normen als freiwilligen Methodenrahmen außerhalb des verbindlichen Regelwerks}

Die vierte Ebene bildet das allgemeine Fachrecht, dessen Anwendbarkeit der KI-Einsatz mit aktiviert. Hier wirkt die EU Datenschutzgrundverordnung (DSGVO, [6]) mit Art. 22 zum Schutz vor einer ausschließlich automatisierten Einzelentscheidung mit erheblicher Wirkung und Art.  35 zur Datenschutz-Folgenabschätzung (DSFA, englisch DPIA). Hinzu kommen § 35a Verwaltungsverfahrensgesetz (www.gesetze-im-internet.de/vwvfg/__35a.html) und § 31a SGB X zum vollständig automatisierten Verwaltungsakt (www.gesetze-im-internet.de/sgb_10/__31a.html), die Verschlusssachenanweisung (VSA, siehe etwa www.bsi.bund.de/dok/6621924) sowie das Bundespersonalvertretungsgesetz (BPersVG, www.gesetze-im-internet.de/bpersvg_2021/). Diese Vorschriften gelten unabhängig von KI, greifen aber, sobald eine KI-Anwendung personenbezogene Daten verarbeitet, Verwaltungsakte vorbereitet oder Arbeitsabläufe verändert.

^{Abbildung 2: Vier KI-Typen mit unterschiedlichem Steuerungsprofil}

Außerhalb des verbindlichen Regelwerks stehen die internationalen Normen als freiwilliger Umsetzungsrahmen ohne Rechtsverbindlichkeit. Die ISO/IEC 42001:2023 „Information technology — Artificial intelligence — Management system“ ist der anerkannte Managementsystem-Standard für KI und kann als Grundlage für eine KI-VO-konforme Governance dienen. Als Managementsystem nach der gemeinsamen Grundstruktur für Managementsysteme („Annex SL“) folgt sie allerdings einer anderen Logik als das BSI-IT-Grundschutz-ISMS, das in Bund, Ländern und Kommunen deutlich verbreiteter ist. Wer ISO/IEC 42001 als eigenständiges System neben dem IT-Grundschutz einführt, nimmt damit einen methodischen Bruch in Kauf.

Die im Mai 2025 veröffentlichte ISO/IEC 42005 „Information technology — Artificial intelligence (AI) — AI system impact assessment“ liefert ergänzend eine Methodik für AI-Impact-Assessments, die sich mit der FRIA und der DSFA verzahnen lässt, ohne eine der beiden gesetzlich vorgeschriebenen Folgenabschätzungen zu ersetzen – sie lässt sich auch isoliert als Methode nutzen.

Diese Vielzahl klingt zunächst überfordernd. In der Praxis verlangen die Anforderungsebenen aber an vielen Stellen Ähnliches, formuliert in unterschiedlicher Sprache. Die eigentliche Aufgabe besteht somit darin, sie in einem einzigen Steuerungssystem abzubilden, anstatt sie in Silos anzulegen. Für die Frage, welches Steuerungssystem das trägt, sind diese Normen bereits ein Fingerzeig. Es lohnt sich, die etablierte IT-Grundschutz-Basis zu nutzen und die ISO-Normen als methodische Grundlage einzubinden, statt ein zweites Managementsystem daneben aufzubauen.

KI-Klassifizierung

Die Diskussion um KI-Governance bleibt abstrakt, solange nicht klar ist, über welche Art von KI gesprochen wird. In Behörden lassen sich vier Typen unterscheiden, geordnet danach, wer das Modell betreibt und wo das dominierende Risiko liegt (siehe Abb. 2). Andere Einteilungen sind denkbar – die vier aus der Abbildung trennen die Fälle aber dort, wo sich die Steuerung tatsächlich unterscheidet.

Am verbreitetsten sind generative Sprachmodelle aus der öffentlichen Cloud. Werkzeuge wie ChatGPT, Microsoft Copilot, Claude oder Gemini dienen der Texterstellung, Übersetzung, Zusammenfassung, Codeunterstützung oder Recherche. Sie sind im Alltag produktiv, doch hier steht der Datenabfluss als zentrales Risiko im Vordergrund. Die KI-Leitlinien des Bundes definieren für diese Konstellation den „restriktivsten Fall der Dateneingabe“, der in der Praxis nur öffentliche Daten zulässt.

Daneben stehen verwaltungsintern bereitgestellte LLMs, etwa KIPITZ des ITZBund (www.itzbund.de/kipitz/) und PLAIN der Auslands-IT (https://plain.diplo.de/). Hier verschiebt sich das Risikoprofil, weil geschlossene Systemumgebungen den Datenabfluss begrenzen. Im Gegenzug wachsen die organisatorischen Pflichten, denn die Behörde nimmt selbst die Rolle des Betreibers nach KI-VO ein.

Domänenspezifische KI-Anwendungen reichen von intelligenter Antragsbearbeitung über Dokumentenklassifizierung bis zu Bild- oder Sprachanalyse in fachlichen Verfahren. Ein Teil davon überschreitet die Hochrisiko-Schwelle der KI-VO – allerdings nur, wenn eine konkrete Ziffer des Anhangs III einschlägig ist und keine Ausnahme nach Art. 6 Absatz 3 greift. Reine Vorsortierung, Dokumentenklassifizierung oder Optical Character-Recognition (OCR) fallen häufig nicht darunter. Liegt ein Hochrisiko vor, greifen allerdings die schärfsten Anforderungen der KI-VO und in der Regel auch die FRIA.

Am dynamischsten entwickelt sich derzeit die agentische KI: Diese Systeme gehen über die Texterzeugung hinaus und führen selbstständig Aktionen aus. Sie eröffnen neue Anwendungsfelder und zugleich neue Risikofelder. Die Kombination aus Indirect Prompt-Injection und Handlungsrechten sprengt das klassische Bedrohungsmodell (siehe auch im folgenden Abschnitt „Gefährdungen“).

Jeder dieser Typen verlangt ein eigenes Vorgehen – von der zulässigen Dateneingabe über die Betreiberpflichten bis hin zur Risikoanalyse. Eine pauschale Regelung „wir erlauben KI“ oder „wir verbieten KI“ trägt nicht, weil sie die harmlosen Fälle unnötig blockiert und die riskanten zu grob behandelt. Ohne Differenzierung greift keine Steuerung.

Umweg AIMS

In Beratungsgesprächen begegnet dem Autor regelmäßig die Idee, ein spezifisches KI-Managementsystem (AI-Management-System, AIMS) neben das ISMS zu setzen. In den meisten Behörden, die mit der IT-Grundschutz-Methodik arbeiten, verdoppelt das Rollen, Prozesse und Dokumente und führt zu Konflikten, sobald dieselbe KI-Anwendung aus zwei Steuerungssystemen heraus bewertet wird. Zusätzlicher Schutz entsteht dadurch selten, weil die Risikobetrachtung doppelt geführt wird und in der Praxis auseinanderdriftet.

Diese Doppelung ist ein Umsetzungsfehler, kein Strukturmerkmal der ISO/IEC  42001. Der Standard folgt der Annex-SL-Struktur der ISO und ist auf die Integration mit anderen Managementsystemen ausgelegt, vor allem mit der ISO/IEC 27001 „Information security, cybersecurity and privacy protection — Information security management systems — Requirements“. Ein eigenständiges AIMS kann allerdings in speziellen Konstellationen gerechtfertigt sein, etwa wenn die Behörde selbst als Anbieter oder Entwickler von KI auftritt oder einen eigenständigen Zertifizierungsnachweis mit eigenem Geltungsbereich gegenüber Dritten benötigt.

Für Behörden, die KI einsetzen, aber nicht selbst anbieten oder entwickeln, kommt ein zweiter Punkt hinzu: Ihre Integrationsbasis ist meist der BSI IT-Grundschutz, nicht die ISO/IEC 27001. Auf der Ebene des Managementsystems ist dieser zwar ISO-kompatibel, im operativen Vorgehen mit Schichtenmodell, Bausteinen und Schutzbedarfsfeststellung aber eine eigene Welt. Ein daneben aufgebautes ISO/IEC-42001-AIMS bedeutet deshalb doppelte Struktur und zusätzlich einen methodischen Bruch zur etablierten IT-Grundschutz-Logik. Genau das spricht dafür, die Inhalte der ISO/IEC 42001 und die Methode der ISO/IEC 42005 in den vorhandenen ITGrundschutz zu übernehmen, statt ein konkurrierendes Managementsystem zu errichten.

Der wirtschaftlichere Weg führt für die typische Betreiberkonstellation über die Integration. Ein bestehendes ISMS nach BSI IT-Grundschutz lässt sich um KI-spezifische Prozesse, Klassifizierungen und Bausteine erweitern, sodass am Ende ein integriertes AIMS entsteht, das ohnehin vorhandene Strukturen, Management-Review, interne Revision, Schutzbedarfsfeststellung und Maßnahmenverfolgung nutzt. Die KI-VO wandert so in das Steuerungssystem, das die Behörde ohnehin betreibt, und bleibt kein Fremdkörper.

Unterschätzte Reibungspunkte

Die Integration sieht auf dem Papier einfach aus. In der Umsetzung zeigen sich vier Stellen, an denen das klassische Grundschutz-Vorgehen nachjustiert werden muss (siehe Abb. 3).

^{Abbildung 3: Vier Reibungspunkte zwischen klassischem Grundschutz und KI – mit Problemen und nötiger Nachjustierung}

Am offensichtlichsten klemmt es bei der Schutzbedarfsfeststellung: Sie wurde für die klassische Informationssicherheit entwickelt. KI-Risiken wie Bias, Halluzination oder Model-Drift lassen sich darin nicht ohne Weiteres abbilden. Zudem führt eine pauschale Übernahme der bestehenden Methodik zu falschen Einstufungen. Heikel ist die naheliegende Abkürzung, KIVO-Hochrisiko einfach mit dem Schutzbedarf „hoch“ oder „sehr hoch“ gleichzusetzen, denn beide Begriffe messen Unterschiedliches: Der Schutzbedarf bewertet die Schadenswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit eines Informationsverbunds, die KI-VO-Klassifizierung dagegen das Grundrechts- und Sicherheitsrisiko für Betroffene.

Es ist daher sinnvoll, die KI-VO-Klassifizierung als eigene, ergänzende Risikodimension neben den Schutzbedarf zu stellen und über ein definiertes Übersetzungsregelwerk zu verknüpfen. Eine Höherstufung von Hochrisiko-KI-Systemen ist dann eine bewusste organisatorische Konvention, keine methodische Zwangsläufigkeit. Wichtig bleibt, dass die Klassifizierung früh erfolgt, nämlich bevor ein Anwendungsfall in die Beschaffung oder in den Pilotbetrieb geht.

Ebenso erweiterungsbedürftig ist der Katalog der elementaren Gefährdungen: Er endet, wo KI anfängt. Prompt-Injection, Trainingsdatenmanipulation, ModelDrift und ähnliche Bedrohungen müssen ergänzt werden, damit die Risikoanalyse trägt. Der folgende Abschnitt führt das aus. Belastbare Quellen dafür liegen vor: vom BSI-Kriterienkatalog für KI-Cloud-Dienste (AIC4, [7]) über den BSI-Kriterienkatalog zur Integration generativer KI-Modelle vom Juni 2025 [5] bis zu den „OWASP Top 10 for LLM Applications“ [8]. Die Übersetzung in die IT-Grundschutz-Systematik bleibt Aufgabe der jeweiligen Behörde.

Eine Lücke zeigt sich in der Bausteinlandschaft: Das IT-Grundschutz-Kompendium kennt bisher kein eigenes Modul für den sicheren Einsatz generativer KI oder für die Konzeption und Entwicklung von KI-Systemen – und auch Grundschutz++ schließt diese bei Redaktionsschluss nicht. Für solche Zielobjekte sieht die IT-Grundschutz-Methodik den „benutzerdefinierten Baustein“ vor: Eine Behörde führt dazu einmalig eine Risikoanalyse nach BSI-Standard 200-3 durch, bündelt die Gefährdungen und Anforderungen aus KI-VO und ergänzenden BSI-Quellen in einem eigenen Baustein und wendet ihn an. Der Aufwand fällt vor allem beim ersten Mal an. Danach lässt sich der Baustein für weitere KI-Anwendungen modellieren, ohne die Anforderungen erneut herzuleiten – ein Soll-Ist-Vergleich macht die Umsetzung nachweisbar.

Die Struktur der ISO/IEC 42001 kann hierbei als Orientierung dienen, ohne dass die Behörde den Standard als eigenes System einführt. Der BSI-Kriterienkatalog vom Juni 2025 liefert für externe generative Modelle eine erste Strukturierung des Lebenszyklus in Planung, Beschaffung, Anpassung, Integration, Einsatz und Beendigung, bleibt aber explizit unverbindlich und deckt nur einen Ausschnitt der relevanten Anwendungsfälle ab.

Der vierte Punkt wird meist erst spät bemerkt: Audits und Management-Reviews müssen erweitert werden, um KI-Aspekte überhaupt zu prüfen. Wer im Audit nur klassische Kontrollen abruft, übersieht die KI-spezifischen Risiken systematisch. Auch die Berichtskennzahlen für das Management-Review brauchen Ergänzungen, etwa zur Anzahl klassifizierter Anwendungsfälle, zum Status laufender FRIAs und zur Aktualität der Bedrohungsbewertung.

KI-spezifische Gefährdungen

Der Katalog der elementaren Gefährdungen des BSI ist gut strukturiert, deckt die KI-Welt aber nur unzureichend ab. Wer die Risikoanalyse für KI-Anwendungen ernsthaft führen will, braucht ein erweitertes Bedrohungsmodell. Fünf Kategorien fangen den größten Teil ab, ohne abschließend zu sein: Manipulationen bei der Eingabe, Manipulationen im Training, Defekte in der Ausgabe, Risiken auf der Datenebene sowie eine missbräuchliche Nutzung.

Eingabeseitig setzt die Manipulation am Prompt an. Direct-Prompt-Injection liegt vor, wenn ein Nutzer das Modell durch geschickte Eingabe zu unerwünschtem Verhalten bringt. Subtiler ist die Indirect-Prompt-Injection, die dort greift, wo das Modell Informationen aus externen Quellen verarbeitet. Ein in ein Dokument eingebetteter Befehl kann ein KI-System zu einer ungewollten Aktion veranlassen. Bei agentischer KI mit Handlungsrechten gehört das zu den gravierendsten Bedrohungen.

Trainingsseitig zielen Poisoning-Attacks auf die Manipulation der Trainingsdaten oder des Modells selbst, bevor es in Betrieb geht. Bei extern bezogenen Modellen kann die Behörde diese Risikoart nur über die Vertrauenswürdigkeit der Quelle und über die Vertragsgestaltung adressieren.

Ausgabeseitig treten Defekte auf, die auch ausgereifte, gut trainierte Modelle zeigen – etwa Halluzinationen, faktisch falsche oder erfundene Quellenangaben, diskriminierende Inhalte und systematische Verzerrungen (sog. Bias). Wer KI-generierte Inhalte ungeprüft weiterverwendet, importiert diese Defekte in die Verwaltungsentscheidung. Die KI-Leitlinien des Bundes sind hier deutlich und verlangen die fachliche Prüfung jedes Ergebnisses durch die zuständige Person.

Datenseitig droht der Abfluss sensibler Informationen an die Modellanbieter. Dieser entsteht meist aus Bequemlichkeit und Unachtsamkeit der Nutzer und fehlenden Hürden im Arbeitsablauf, nicht erst durch böswillige Aktionen. Eingaben in externe Sprachmodelle werden von Anbietern oft zur Modellverbesserung verwendet, sofern nicht aktiv widersprochen wird. Bei dienstlichen Daten ist das mit nahezu allen Geheimhaltungsregelungen unvereinbar.

Bei der missbräuchlichen Nutzung geraten vor allem Chatbots für Bürgerinnen und Bürger ins Visier: Manipulative Anfragen können die Behörde in Verlegenheit bringen, etwa wenn das System sich zu unzulässigen Aussagen verleiten lässt, mit Reputations- und Haftungsfolgen, die in keinem klassischen Gefährdungskatalog stehen.

Entscheidend ist, KI-Gefährdungen sauber von den klassischen zu trennen, denn sie verlangen andere Gegenmaßnahmen.

Rollen und Aufgaben

Die Frage, wer in einer Behörde für KI verantwortlich ist, klingt einfach, ist in der Praxis aber selten klar beantwortet. Die Antwort verteilt sich auf mehrere bestehende Rollen – zusammengehalten von zwei Neuerungen, einer neuen Rolle für die KI-Koordination und einem KI-Governance-Team, das diese Rollen an einen Tisch bringt.

Die Behördenleitung trifft gemäß KI-Leitlinien des Bundes die grundlegende Entscheidung, welche KI-Systeme überhaupt eingesetzt werden dürfen. Diese Entscheidung ist nicht delegierbar und sie muss dokumentiert sein.

Der Informationssicherheitsbeauftragte (ISB) verantwortet die Integration der KI-Steuerung in das ISMS. Ihm wird die Verantwortung für die KI-spezifischen Prozesse, Bausteine und Klassifizierungen zugeordnet – sein Aufgabenspektrum wächst entsprechend.

Der behördliche Datenschutzbeauftragte (bDSB) ist bei jeder KI-Anwendung mit Personenbezug einzubinden. Art. 35 DSGVO verlangt eine Datenschutzfolgenabschätzung, sobald die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, was bei KI-gestützter Verarbeitung häufig zutrifft. Die Verzahnung zwischen DSFA und FRIA ist methodisch herausfordernd, weil die Zielsetzungen ähnlich, die Prüfgegenstände aber unterschiedlich sind.

Der BSI-Kriterienkatalog vom Juni 2025 führt die neue Rolle KI-Zuständige/r ein: Diese Person koordiniert alle KI-Aktivitäten der Einrichtung und führt das interne KI-Verzeichnis. Ergänzend aoll ein Prozess zum Schwachstellenmanagement etabliert werden. Der Katalog erlaubt, dass der ISB diese Rolle mit übernimmt – in größeren Behörden ist eine eigenständige Besetzung jedoch sinnvoller, weil das Aufgabenvolumen schnell wächst.

Der Geheimschutzbeauftragte wird relevant, sobald Verschlusssachen ins Spiel kommen. Eine KI-Anwendung, die VS-NfD-Informationen verarbeiten soll, braucht die VS-IT-Freigabe nach VSA, was in der Regel den Betrieb auf bundesverwaltungsinterner Infrastruktur voraussetzt.

Der Personalrat ist nach BPersVG früh einzubinden, weil KI-Einführungen oft mitbestimmungspflichtig sind, besonders nach § 80 Abs. 1 Nr. 21 BPersVG zu technischen Überwachungseinrichtungen. Die Schwerbehindertenvertretung ist nach § 178 SGB IX rechtzeitig zu unterrichten und anzuhören. Überdies können Dienstvereinbarungen nötig werden – vor allem bei Anwendungen, die Arbeitsabläufe verändern oder Leistungsdaten erfassen.

Ohne das eingangs genannte KI-Governance-Team äußert am Ende allerdings jede dieser Rollen einzeln ihre Bedenken, ohne dass eine belastbare Entscheidung zustande kommt.

Akutproblem Schatten-KI

Während die Behörde diese Strukturen aufbaut, nutzen Beschäftigte oft längst Werkzeuge, die nicht freigegeben sind. Die KI-Leitlinien des Bundes adressieren das mit klaren Leitsätzen, etwa zur Minimierung der eigenen Datenpreisgabe und zur fachlichen Prüfung KI-generierter Inhalte. In der Praxis fehlen aber häufig die Voraussetzungen, damit diese Leitsätze wirken: Es gibt keine zentrale Übersicht der eingesetzten Werkzeuge, keine Klassifizierung der Anwendungsfälle, keine verbindliche Freigaberoutine. Zentrale Plattformen wie KIPITZ helfen, ersetzen aber nicht die behördeneigene Governance.

Ein realistischer Startpunkt ist eine kurze interne Bestandsaufnahme. Sie klärt, welche KI-Werkzeuge im Einsatz sind, welche geplant sind und wo bekannte Ausweichlösungen bestehen. Diese Erhebung kostet wenig und liefert die Grundlage für jede weitere Entscheidung. Sie ist zugleich eine Vorarbeit für den „Marktplatz der KIMöglichkeiten“ (MaKI, www.kimarktplatz.bund.de), der zugleich als zentrales KI-Transparenzregister der Bundesverwaltung dient und Teile der EU-Transparenzpflichten umsetzt.

Schatten-KI folgt einem bekannten Muster: Ähnlich wie bei der Schatten-IT spricht vieles dafür, dass ein striktes Verbot ohne technische Durchsetzung und ohne erlaubte Alternative die Ausweichlösungen eher fördert als verhindert. Belastbarer als das pauschale Verbot ist ein klar geregelter Korridor mit konkreten zulässigen Anwendungsfällen. Das setzt aber voraus, dass die Behörde einen solchen Korridor überhaupt definiert hat – und genau hier besteht in vielen Häusern noch eine Lücke.

Verpflichtender Kompetenzaufbau

Art.  4 KI-VO verlangt von Anbietern und Betreibern, dass Personal, das KI-Systeme entwickelt oder einsetzt, über ausreichende KI-Kompetenz verfügt. Diese Anforderung ist seit Februar 2025 anwendbar und gilt für jede Behörde, die KI nutzt, unabhängig von der Risikoklasse.

In der Praxis wird der Kompetenzaufbau häufig auf eine Pflichtschulung reduziert – das genügt selten. Die KI-Leitlinien des Bundes [4] verlangen in Leitsatz B5 bedarfsgerechte und an den Kontext angepasste Schulungsangebote. Der BSI-Kriterienkatalog fordert für interne Endnutzer den Nachweis einer Schulung oder Sensibilisierung zur Erlangung von KI-Kompetenz.

Sinnvoll ist eine Schichtung in drei Kompetenzebenen: Eine allgemeine Sensibilisierung für alle Beschäftigten vermittelt Chancen, Grenzen und Risiken von KI. Anwendungsspezifische Schulungen richten sich an Personen, die ein konkretes KI-System nutzen. Eine vertiefte Methoden- und Regulierungskompetenz brauchen die Verantwortlichen – also ISB, bDSB, KI-Zuständige und die Mitglieder des KI-Governance-Teams.

Diese Schichtung muss die Behörde nicht neu erfinden, sie ist im IT-Grundschutz bereits angelegt: ORP.3.A6 verlangt als Standard-Anforderung, alle Beschäftigten entsprechend ihrer Aufgaben zu schulen, was die erste und zweite Ebene trägt. Für die dritte Ebene greift ORP.3.A9, die bei erhöhtem Schutzbedarf eine vertiefende Schulung exponierter Personen zu den für sie relevanten Gefährdungen fordert – im KI-Kontext sind das die bereits beschriebenen, die der klassische Katalog nicht erfasst. Der Baustein ORP.3 bietet damit den Rahmen, in den sich die KI-Kompetenzpflicht aus Art. 4 KI-VO einfügt, statt neben ihm zu stehen.

Die Bundesakademie für öffentliche Verwaltung (BAköV) bietet überdies Schulungsformate, die die Grundsensibilisierung abdecken (www.bakoev.bund.de/ki). Für die methodische Tiefe, also das konkrete Zusammenspiel von KI-VO und BSI-IT-Grundschutz, kann je nach interner Kapazität zusätzliche externe Unterstützung sinnvoll sein.

Der Weg zum Ziel

Fünf Kernschritte tragen den größten Teil des Weges, ergänzt um eine Querschnittsaufgabe (vgl. Abb.  4). Sie überschneiden sich teilweise und müssen nicht streng sequenziell abgearbeitet werden. Wichtig ist, dass keiner ausgelassen wird.

Der erste Schritt ist die formale Verankerung der KI-Governance. Die Behördenleitung bekennt sich zur verantwortungsvollen KI-Nutzung und erweitert das ISMS entsprechend. Die KI-Leitlinien des Bundes geben dafür einen Rahmen, der ressortspezifisch geschärft werden kann. Aus dieser Entscheidung leiten sich die Rolle der oder des KI-Zuständigen und die Zusammensetzung des KI-Governance-Teams ab.

Der zweite Schritt ist die Erweiterung der ISMS-Basisdokumente: Geltungsbereich und Leitlinie nehmen KI ausdrücklich auf. Eine Klassifizierungslogik ermöglicht die Triage neuer Anwendungsfälle und bildet dabei die KI-VO-Risikoklassen ab. Diese Triage-Logik sollte bewusst schlank bleiben, weil eine zu fein ausziselierte Methodik im Alltag erfahrungsgemäß nicht durchgehalten wird. Die Audittiefe entsteht erst später bei den Bausteinen und Nachweisen.

Drittens folgt die Erweiterung der Methoden zur Schutzbedarfsfeststellungund Risikoanalyse. Hier entstehen die größten Reibungsverluste, weil bewährte Verfahren angepasst werden müssen. ISO/IEC 42005 liefert seit Mai 2025 eine Methodik für AI-ImpactAssessments, mit der sich DSFA und FRIA verzahnen lassen. Wo internes Methoden-Know-how zur KI-VO fehlt, kann externe Unterstützung den Aufbau beschleunigen.

Die Entwicklung benutzerdefinierter Bausteine stellt den vierten Schritt dar – hier liegt die eigentliche Übersetzungsleistung: Die Vorgaben der KI-VO und der BSI-Kriterienkataloge müssen in eine Form gebracht werden, die in das jeweilige ISMS-Tool integrierbar sowie auditierbar ist. ISO/IEC 42001 kann dafür eine strukturelle Vorlage liefern, ist aber nur eine von mehreren möglichen Quellen. Diese Bausteine sollten sauber zwischen der Nutzung externer KI-Modelle und der eigenen Entwicklung oder dem Betrieb unterscheiden, weil die Risikolage in beiden Fällen verschieden ist.

Der fünfte Schritt ist die Pilotierung an einem realen Anwendungsfall. Erst wenn der Prozess an einer konkreten KI-Anwendung durchgespielt wurde, zeigt sich, ob die Methodik trägt. „Lessons Learned“ speisen dann die finalen Versionen der Prozessdokumente und Bausteine. Wer diesen Schritt überspringt, auditiert später Papier, das niemand kennt. Gute Kandidaten sind Anwendungen mit überschaubarem Risiko und klarer Eigentümerschaft, etwa ein dokumentenbezogener LLM-Einsatz in einem abgegrenzten Fachbereich.

Als Querschnittsaufgabe begleitet die Anpassung der Beschaffungsprozesse alle fünf Schritte – und wird oft vergessen: KI-Bezug ist jedoch über den technischen Vorgang hinaus eine vergaberechtliche, datenschutzrechtliche und vertragsrechtliche Aufgabe. Auftragsverarbeitungsverträge müssen die KI-spezifischen Verarbeitungen abdecken, technische Vertragsbestandteile die Anforderungen aus dem BSI-Kriterienkatalog und gegebenenfalls AIC4- Testate aufgreifen.

^{Abbildung 4: Fünf Kernschritte plus Querschnittsaufgabe „Beschaffung“}

Fazit

KI-Governance in der öffentlichen Verwaltung muss in das bestehende ISMS hineinwachsen. Die regulatorische Lage lässt dafür wenig Zeit: Die allgemeinen Vorschriften der KI-VO greifen ab August 2026, auch wenn der „Digital Omnibus“ einzelne Hochrisiko-Fristen noch verschieben könnte. Der Weg über ein integriertes AIMS auf IT-Grundschutz-Basis ist anspruchsvoll, weil die Methoden des IT-Grundschutzes für die klassische Informationssicherheit gebaut wurden und die KI-VO andere Schutzziele verfolgt. Gerade darin liegt der Hebel der Integration: Sie nutzt, was die Behörde bereits beherrscht, bindet die ISO-Normen als Methode ein und ergänzt, was ohnehin zu tun ist – ohne ein weiteres Managementsystem.

Die Aufgabe ist nicht trivial. Wer die Schutzbedarfsfeststellung erweitert, neue Gefährdungen einarbeitet, benutzerdefinierte Bausteine entwickelt, Rollen verknüpft und Kompetenzen aufbaut, hat ein größeres Programm vor sich. Es lohnt sich dennoch, denn die Alternative aus parallelen Silos, ungesteuerter Schatten-KI und nachträglicher Nachbesserung wird deutlich teurer.

Wer den Aufbau jetzt strukturiert angeht, hat statt einer Sammlung von Ad-hoc-Lösungen am Ende ein System, das die KI-Anforderungen mitträgt, die vorhandenen Strukturen wiederverwendet und Prüfungen standhält. Das gilt für Bund, Länder und Kommunen gleichermaßen, auch wenn die einzelnen Bezugsdokumente je nach Ebene variieren – die methodische Grundstruktur ist überall dieselbe und kann auch in der Wirtschaft als Blaupause dienen.

Benjamin Neweling ist Senior Consultant bei der HiSolutions AG in Berlin.

Hinweis: Dieser Beitrag stellt die Rechtslage allgemein dar und ersetzt keine Rechtsberatung im Einzelfall.

Literatur

^{[1] Europäische Union, Verordnung (EU) 2024/1689 … vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz … (Verordnung über künstliche Intelligenz), in: Amtsblatt der Europäischen Union Reihe L, Juli 2024, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689}  

^{[2] Europäische Kommission, Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2024/1689 und (EU) 2018/1139 im Hinblick auf die Vereinfachung der Umsetzung harmonisierter Vorschriften für künstliche Intelligenz (Digital-Omnibus-Verordnung zur KI), Mitteilung der Kommission COM(2025) 836 final, November 2025, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex:52025PC0836}

^{[3] Bundesamt für Sicherheit in der Informationstechnik (BSI), Grundschutz++, Neuentwicklung des Grundschutzes, Themenseite, März 2026, www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Grundschutz-in-der-Informationssicherheit/Grundschutz-Plus-Plus/grundschutz-plus-plus_node.html}

^{[4] Bundesministerium des Innern und für Heimat (BMI), Der Beauftragte der Bundesregierung für Informationstechnik (CIO Bund), Leitlinien für den Einsatz künstlicher Intelligenz in der Bundesverwaltung, März 2025, www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/moderne-verwaltung/ki/BMI25020-leitlinien-ki-bundesverwaltung.html}

^{[5] Bundesamt für Sicherheit in der Informationstechnik (BSI), Kriterienkatalog des BSI zur Integration von extern bereitgestellten generativen KI-Modellen in eigene Anwendungen, Version 1.0, Juni 2025, www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/KI/Kriterienkatalog_KI-Modelle_Bundesverwaltung.html}

^{[6] Europäische Union, Verordnung (EU) 2016/679 … vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/ EG (Datenschutz-Grundverordnung), in: Amtsblatt der Europäischen Union L 119, S.  1, Mai 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679}

^{[7] Bundesamt für Sicherheit in der Informationstechnik (BSI), AI Cloud Service Compliance Criteria Catalogue (AIC4), Februar 2021, www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/CloudComputing/AIC4/AI-Cloud-Service-Compliance-Criteria-Catalogue_AIC4.pdf}

^{[8] Open Worldwide Application Security Project (OWASP), OWASP Top 10 for LLM Applications 2025, November 2024, https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025/}