IT-Sicherheit und BSI-Grundschutz für KI-Systeme.

Beispiel-Szenario

Eine Nachfrage der Vergabestelle

Leistung

Sicherheit entsteht beim Aufbau, nicht beim Audit

Gehärtete Server, getrennte Zugriffe, nachvollziehbare Protokolle ohne Klartext, geprüfte Sicherungen und eine Zuordnung der Maßnahmen zu den Bausteinen des BSI-Grundschutzes.

Ein KI-System, das Anrufe annimmt und Post liest, verarbeitet genau die Daten, die in einem Sicherheitsvorfall am teuersten sind. Deshalb behandeln wir Härtung nicht als Nacharbeit. Anmeldung nur per Schlüssel, Passwortanmeldung abgeschaltet, Schutz gegen wiederholte Anmeldeversuche, eine Paketfilterung mit wenigen offenen Diensten und automatische Sicherheitsaktualisierungen sind der Ausgangszustand, nicht das Ziel.

Für Vergabestellen ist die entscheidende Frage nicht, ob etwas sicher ist, sondern ob es belegt ist. Deshalb ordnen wir die Maßnahmen den Bausteinen des BSI-Grundschutzes zu — Server unter Linux, Virtualisierung, Container, Netzarchitektur, Netzmanagement, Paketfilter, Protokollierung. Das ergibt eine Tabelle, die eine Vergabestelle prüfen kann.

Umfang

Was wir umsetzen

• Härtung der Server: Schlüsselanmeldung, enge Freigaben, automatische Sicherheitsaktualisierungen.
• Trennung der Dienste in eigene, eng berechtigte Einheiten statt eines gemeinsamen Sammelkontos.
• Protokollierung als Prüfpfad ohne Klartext personenbezogener Inhalte.
• Zugriffs- und Rollentrennung, dokumentiert und nachvollziehbar.
• Sicherungen mit turnusmäßiger Rücksicherungsprobe.
• Zuordnung der Maßnahmen zu den Bausteinen des BSI-Grundschutzes für Vergabeunterlagen.
• Prüfung der Verarbeitungswege gegen die Vorgaben aus DSGVO und KI-Verordnung.

Grenzen

Was wir offen benennen

DripBack ist nicht nach ISO 27001 zertifiziert. Die Vorbereitung läuft, der Audit-Termin ist für das erste Quartal 2027 vorgesehen. Ein C5-Testat liegt nicht vor. Penetrationstests führen wir nicht selbst durch — wo eine Vergabestelle sie verlangt, gehören sie zu einer anerkannten Prüfstelle, und wir begleiten die Vorbereitung. Wer diese Punkte auf einer Anbieterseite nicht findet, sollte danach fragen.

Ablauf

Ablauf

1. Bestandsaufnahme. Welche Daten fließen wohin, wer greift worauf zu.
2. Maßnahmenliste. Zugeordnet zu den Bausteinen, mit Aufwand und Reihenfolge.
3. Umsetzung. Härtung, Trennung, Protokollierung, Sicherungen.
4. Nachweis. Dokumentation in der Form, die eine Vergabestelle lesen kann.
5. Nachführung. Prüfung bei jeder Änderung am System.

Preise

Preise

Die Härtung ist Teil jedes Aufbaus und wird nicht getrennt berechnet. Prüfungen und Nachweispakete kalkulieren wir als Festpreis, sobald der Umfang steht. Laufende Kontrolle der Verarbeitungswege gibt es als Modul ab 799 €/Monat. Das Erstgespräch ist kostenfrei.

Module

Module, die diese Leistung tragen

Region

IT-Sicherheit und BSI-Grundschutz für KI-Systeme in Ostwestfalen-Lippe

Für Betriebe in Ostwestfalen-Lippe wird Sicherheit meist an zwei Stellen konkret: bei der Ausschreibung einer öffentlichen Stelle und bei der Frage der eigenen Versicherung. Beide wollen keine Zusicherung, sondern Unterlagen. Deshalb entsteht bei uns parallel zur Umsetzung immer die Dokumentation — die Maßnahmenliste, die Zuordnung zu den Bausteinen und der Nachweis, dass eine Rücksicherung tatsächlich gelingt.

Kommunen, Kliniken, Kanzleien und Industriebetriebe in der Region stehen dabei vor unterschiedlichen Anforderungen, aber vor demselben Grundproblem: Ein KI-System ist neu genug, dass die vorhandenen Prüflisten es nicht abbilden. Wir sitzen in Leopoldshöhe und arbeiten in Bielefeld, Herford, Detmold, Lemgo, Gütersloh, Paderborn und Minden sowie im weiteren Umkreis bis Münster und Osnabrück.